Integracja Avamar i Data Domain: Zgodność z pakietem SSH Cipher Suite

Pakiety cipher są zmieniane lub uaktualniane w Data Domain. Avamar nie jest już w stanie zalogować się do domeny danych przy użyciu uwierzytelniania bez hasła.

Avamar loguje się do domeny danych przy użyciu klucza publicznego domeny danych w celu wymiany certyfikatów, gdy włączono funkcje zabezpieczeń sesji.

Klucz DDR służy również do aktualizacji data domain w interfejsie użytkownika Avamar AUI i Java.

W artykule wyjaśniono, w jaki sposób zmienić pakiety szyfrowania SSH domeny danych i hmacs:
jak dostroić obsługiwane szyfry i algorytmy haszujące dla serwera SSH w objawach DDOS

, może to spowodować następujący błąd w Avamar AUI/UI:
"Failed to import host or ca automatically" for the Data Domain

This prevent the exchange of certificates between Avamar and Data Domain over SSH connections.

Z treści artykułu bazy wiedzy w sekcji symptomy:
000069763 | Jak dostroić obsługiwane szyfry i algorytmy haszujące dla serwera SSH w DDOS

Pakiety szyfrowania są zmieniane na serwerze SSH DD:

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Ta zmiana przerywa możliwość SSH z kluczem publicznym DDR z Avamar do Domeny danych.
Dzieje się tak, ponieważ klient SSH Avamar nie współdzieli już pakietu szyfrowania z serwerem SSH Data Domain.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Po zaktualizowaniu pakietów szyfrowania SSH w domenie danych należy zaktualizować pakiety szyfrowania po stronie klienta Avamar SSH, aby były zgodne.

Działania
Wyświetl listę bieżących pakietów szyfrowania klienta Avamar SSH

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Edytuj plik ssh_config i zmień ostatni wiersz pliku z listą szyfrów, aby uwzględnić nowe szyfry. chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.Com

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

Po edytowaniu ostatniego wiersza pliku powinien wyglądać następująco:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Przetestuj zgodność pakietu szyfrowania SSH za pomocą klucza publicznego DDR, aby zalogować się do domeny danych przy użyciu uwierzytelniania klucza publicznego.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**
ddboost@datadomain#