Пристрої серії PowerProtect DP та IDPA повідомляють про застаріле налаштування SHA1 для SSH (QID 38909)

ssh -o "HostKeyAlgorithms ssh-rsa" localhost

ssh -o "HostKeyAlgorithms ssh-rsa" <IP Address>

The authenticity of host 'localhost (127.0.0.1)' can't be established.
RSA key fingerprint is SHA256:DvdSBsGADdtyhzc5wi+CCpSpelEhVXFWeWQ9pheDJ2g.
Are you sure you want to continue connecting (yes/no)?

Unable to negotiate with 127.0.0.1 port 22: no matching host key type found. Their offer: ecdsa-sha2-nistp256,ssh-ed25519

Наведений нижче обхідний шлях вимикає ключ вузла ssh-rsa для компонентів, пов'язаних з IDPA. 

Для ACM, Avamar, Avamar Proxy, DPA та пошуку:

1. Увійдіть у віртуальну машину від імені root. Для Avamar і Avamar Proxy спочатку увійдіть як адміністратор, а потім su до root.

2. Змініть робочу директорію на /etc/ssh

cd /etc/ssh

3. Створіть резервну копію існуючого файлу /etc/ssh/sshd_config

cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config.backup

4. Змініть файл /etc/ssh/sshd_config і дозвольте лише "HostKey /etc/ssh/ssh_host_ecdsa_key" та "HostKey /etc/ssh/ssh_host_ed25519_key" у файлі налаштувань для всіх параметрів HostKey:
 

Малюнок 1: Приклад, у якому активними є лише "HostKey /etc/ssh/ssh_host_ecdsa_key" та "HostKey /etc/ssh/ssh_host_ed25519_key". 

5. Перевірте синтаксис файлу /etc/ssh/sshd_config, наведена нижче команда має вивести "0". Якщо це не так, виправте будь-які синтаксичні помилки у файлі, перш ніж продовжити:

sshd -t |echo $?
0

6. Перезапустіть процес sshd:

systemctl restart sshd

7. Якщо ключ вузла ssh-rsa вимкнено, у разі використання ssh-rsa як ключа вузла з'являється повідомлення «не знайдено відповідного типу ключа вузла»:

ssh -o "HostKeyAlgorithms ssh-rsa" localhost
Unable to negotiate with 127.0.0.1 port 22: no matching host key type found. Their offer: ecdsa-sha2-nistp256,ssh-ed25519

Для домену даних: 
   

Для iDRAC:

1. Увійдіть в інтерфейс

командного рядка iDRAC RACADM 2. Перегляньте існуючі налаштування криптошифрів SSH за допомогою наступної команди:

get idrac.sshcrypto.ciphers

3. Оновіть налаштування криптошифрів SSH за допомогою наступної команди:

set idrac.sshcrypto.ciphers aes128-gcm@openssh.com,aes256-gcm@openssh.com

4. Ще раз перевірте налаштування криптошифрів SSH:

get idrac.sshcrypto.ciphers

Ось приклад очікуваного результату вищезазначених команд:

racadm>>get idrac.sshcrypto.ciphers
[Key=idrac.Embedded.1#SSHCrypto.1]
Ciphers=chacha20-poly1305@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com,aes256-gcm@openssh.com

racadm>>set idrac.sshcrypto.ciphers aes128-gcm@openssh.com,aes256-gcm@openssh.com
[Key=idrac.Embedded.1#SSHCrypto.1]
Object value modified successfully

racadm>>get idrac.sshcrypto.ciphers
[Key=idrac.Embedded.1#SSHCrypto.1]
Ciphers=aes128-gcm@openssh.com,aes256-gcm@openssh.com
racadm>>

5. Переконайтеся, що ssh-rsa вимкнено як ключ вузла за допомогою SSH:

ssh -o "HostKeyAlgorithms ssh-rsa" <IDRAC IP Address>
Unable to negotiate with <IDRAC IP Address> port 22: no matching cipher found. Their offer: aes128-gcm@openssh.com,aes256-gcm@openssh.com

Попередній відомий ключ хоста недійсний:

Після вимкнення ключа вузла ssh-rsa раніше збережений ключ вузла RSA у файлі SSH known_hosts більше не є дійсним. Може з'явитися помилка, подібна до наступного:

idpa-acm:~ # ssh 192.168.100.100
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:J4j0FrLvrWbFouXtTE8qMCkDrIQ9U0+RaPGIKXtprTo.
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending RSA key in /root/.ssh/known_hosts:9
You can use following command to remove the offending key:
ssh-keygen -R 192.168.100.100 -f /root/.ssh/known_hosts
ECDSA host key for 192.168.100.100 has changed and you have requested strict checking.
Host key verification failed.
idpa-acm:~ #

Щоб оновити файл SSH known_hosts для конкретного хоста, можна використовувати наступну команду:

ssh-keygen -R <IP Address> -f /root/.ssh/known_hosts

Приклад може бути схожий на:

/root/.ssh/known_hosts updated.
Original contents retained as /root/.ssh/known_hosts.old
idpa-acm:~ # ssh 192.168.100.100
The authenticity of host '192.168.100.100 (192.168.100.100)' can't be established.
ECDSA key fingerprint is SHA256:J4j0FrLvrWbFouXtTE8qMCkDrIQ9U0+RaPGIKXtprTo.
Are you sure you want to continue connecting (yes/no)?

SSH на iDRAC з помилкою "шифр не знайдено":

Після оновлення криптошифрів iDRAC SSH з ACM або іншої віртуальної машини до iDRAC може отримати таке повідомлення про помилку. IP-адреса iDRAC – 10.60.9.156 у цьому прикладі:

idpa-acm:~ # ssh 10.60.9.156
Unable to negotiate with 10.60.9.156 port 22: no matching cipher found. Their offer: aes128-gcm@openssh.com,aes256-gcm@openssh.com
idpa-acm:~ #

Є два варіанти вирішення цієї проблеми.

Варіант 1:
Додайте опцію "-c aes128-gcm@openssh.com" при SSH до iDRAC. 

Наприклад:

idpa-acm:~ # ssh -c aes128-gcm@openssh.com 10.60.9.156
Password:
racadm>>

Варіант 2:
Змініть ssh_config /etc/ssh/, щоб включити шифри aes128-gcm@openssh.com та aes256-gcm@openssh.com.

1. Увійдіть у віртуальну машину від імені root. Для Avamar і Avamar Proxy спочатку увійдіть як адміністратор, а потім su до root.

2. Змініть робочу директорію на /etc/ssh.

cd /etc/ssh

3. Створіть резервну копію існуючого файлу /etc/ssh/ssh_config.

cp -p /etc/ssh/ssh_config /etc/ssh/ssh_config.backup

4. Змініть /etc/ssh/ssh_config, щоб включити шифри aes128-gcm@openssh.com та aes256-gcm@openssh.com.

Від:

Малюнок 2: Стандартне налаштування шифру в /etc/ssh/ssh_config

Кому:

Малюнок 3: Новий параметр шифру в /etc/ssh/ssh_config

Після оновлення /etc/ssh/ssh_config для включення шифрів aes128-gcm@openssh.com та aes256-gcm@openssh.com, слід вирішити проблему "не знайдено відповідного шифру". 

У випадку, якщо клієнт SSH на базі Windows отримує помилку "не знайдено відповідного шифру":


Малюнок 4: Помилка «шифр не знайдено», отримана в SSH-клієнті

на базі Windows PuTTY версії 0.81 було протестовано без проблем.

Малюнок 5: PuTTY 0.81 можна використовувати для доступу до iDRAC з Windows.

PowerProtect Data Protection Appliance, PowerProtect DP4400, PowerProtect DP5300, PowerProtect DP5800, PowerProtect DP8300, PowerProtect DP8800, PowerProtect Data Protection Software, Integrated Data Protection Appliance Family , Integrated Data Protection Appliance Software, PowerProtect DP5900, PowerProtect DP8400, PowerProtect DP8900 ... 扩大查看范围 about warranties 缩小查看范围 about warranties