Avamar- og Data Domain-integration: SSH Cipher Suite-kompatibilitet

Cipher-pakker ændres eller opgraderes på Data Domain. Avamar kan ikke længere logge på Data Domain ved hjælp af adgangskodefri godkendelse.

Avamar logger på Data Domain ved hjælp af Data Domains offentlige nøgle for at kunne ombytte certifikater, når sessionens sikkerhedsfunktioner er aktiveret.

DDR-nøglen bruges også til at opdatere Data Domain i Avamar AUI og Java UI.

Der er en artikel, der forklarer, hvordan du ændrer Data Domain SSH cipher-pakker og hmacs:
Sådan justeres understøttede krypteringer og hashingalgoritmer for SSH-serveren i DDOS-symptomer

kan resultere i følgende fejl i Avamar AUI/UI:
"Kunne ikke importere vært eller ca automatisk" til Data Domain

Dette forhindrer udveksling af certifikater mellem Avamar og Data Domain over SSH-forbindelser.

Fra indholdet af KB-artiklen i afsnittet symptomer:
000069763 | Sådan finjusteres understøttede koder og hashalgoritmer for SSH-serveren i DDOS

Cipher-pakker ændres på DD SSH-serveren:

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Denne ændring bryder muligheden for at SSH med den offentlige DDR-nøgle fra Avamar til Data Domain.
Dette skyldes, at Avamar SSH Client ikke længere deler en cipher-pakke med Data Domain SSH-serveren.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Når SSH cipher-pakker er opdateret på Data Domain, skal vi opdatere cipher-pakkerne på Avamar SSH-klientsiden, så de stemmer overens.

Handling
Vis de aktuelle Avamar SSH-klientkrypteringspakker

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Rediger ssh_config filen, og rediger den sidste linje i filen med listen over koder, så den indeholder de nye koder. chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.Com

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

Efter redigering af filens sidste linje skal den se ud som følger:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Test SSH cipher-pakkens kompatibilitet ved hjælp af den offentlige DDR-nøgle for at logge på Data Domain med offentlig nøglegodkendelse.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**
ddboost@datadomain#