[Sysadmins] Cisco 29xx и SSH

[Sysadmins] Cisco 29xx и SSH

[slchess]

Здравствуйте!

После обновления на текущий Sisyphus, ssh (6.6p1-alt1) перестал заходить
на cisco
в логах cisco (ios 15.x ): SSH2 0:  Client DH key range mismatch with
max built-in DH key on server!

как быть ?

Re: [Sysadmins] Cisco 29xx и SSH

[Anton Gorlov]

Обратится к вашему вендору, как вариант.
https://supportforums.cisco.com/document/111696/error-message-ssh-3-dhrangefail-client-dh-key-range-mismatch-maximum-configured-dh

11.04.2014 14:26, slchess@gmail.com пишет:
> Здравствуйте!
>
> После обновления на текущий Sisyphus, ssh (6.6p1-alt1) перестал заходить
> на cisco
> в логах cisco (ios 15.x ): SSH2 0:  Client DH key range mismatch with
> max built-in DH key on server!
>
> как быть ?
>
>
>
>
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Cisco 29xx и SSH

[Anton Gorlov]

Ну и до кучи
https://supportforums.cisco.com/discussion/12051361/cisco-ios-does-not-support-openssh-64

11.04.2014 14:26, slchess@gmail.com пишет:
> Здравствуйте!
>
> После обновления на текущий Sisyphus, ssh (6.6p1-alt1) перестал заходить
> на cisco
> в логах cisco (ios 15.x ): SSH2 0:  Client DH key range mismatch with
> max built-in DH key on server!
>
> как быть ?
>
>
>
>
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

11.04.2014 14:00, Anton Gorlov пишет:
> Обратится к вашему вендору, как вариант.
> https://supportforums.cisco.com/document/111696/error-message-ssh-3-dhrangefail-client-dh-key-range-mismatch-maximum-configured-dh
>
>
Это понятно, интересно есть люди у кого совпало такое сочетание

cisco - ssh - sisyphus

и как они вышли из такой ситуации

Но с другой стороны до обновления ssh в sisyphus с cisco проблем не
было, т.е. ломаем так чтобы не совместимо.

И да - гуглом я умею пользоваться :) Кроме этой и пару других ссылок
информации пока 0, кроме предложения обновится
Пробовал обновится на последний IOS проблему не решило обновление.

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

11.04.2014 14:02, Anton Gorlov пишет:
> Ну и до кучи
> https://supportforums.cisco.com/discussion/12051361/cisco-ios-does-not-support-openssh-64
>
>
Если бы хотел увидеть таки ответы то написал бы на форум или в раcсылки
comm/sisyphus.

Re: [Sysadmins] Cisco 29xx и SSH

[Anton Gorlov]

Скорее всего откатываться на более старый ssh и ставить его на hold.
В 2 словах -в железке древняя реализация этого алгоритма, которая не 
совместима с актуальными.. Ну или вариант - это сломали в апстриме ssh, 
что сомнительно.
Ну и как обычно - сизиф это как хождение по минному полю. Хотя в даннм 
случае скорее всего дело именно в самой железке и древних алгоритмах 
внутри неё.

13.04.2014 18:57, slchess@gmail.com пишет:
> 11.04.2014 14:00, Anton Gorlov пишет:
>> Обратится к вашему вендору, как вариант.
>> https://supportforums.cisco.com/document/111696/error-message-ssh-3-dhrangefail-client-dh-key-range-mismatch-maximum-configured-dh
>>
>>
> Это понятно, интересно есть люди у кого совпало такое сочетание
>
> cisco - ssh - sisyphus
>
> и как они вышли из такой ситуации
>
> Но с другой стороны до обновления ssh в sisyphus с cisco проблем не
> было, т.е. ломаем так чтобы не совместимо.
>
> И да - гуглом я умею пользоваться :) Кроме этой и пару других ссылок
> информации пока 0, кроме предложения обновится
> Пробовал обновится на последний IOS проблему не решило обновление.
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

13.04.2014 18:24, Anton Gorlov пишет:
> Скорее всего откатываться на более старый ssh и ставить его на hold.
> В 2 словах -в железке древняя реализация этого алгоритма, которая не
> совместима с актуальными.. Ну или вариант - это сломали в апстриме
> ssh, что сомнительно.
> Ну и как обычно - сизиф это как хождение по минному полю. Хотя в даннм
> случае скорее всего дело именно в самой железке и древних алгоритмах
> внутри неё.

С сизифом понятно, но из него когда стоделают p8. :)

на железке сейчас c2900-universalk9-mz.SPA.150-1.M7.bin

Я бы не сказал что такая уж древняя железка и прошивка, к тому же
пробовал 152.

И как я понимаю из логов и src, проблема в клиенте который не хочет
работать с сервером с таким размером ключа.

debug1: kex: server->client aes256-cbc hmac-sha1 none
debug2: mac_setup: setup hmac-sha1
debug1: kex: client->server aes256-cbc hmac-sha1 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<8192<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP

а вот подключение к древней hp procurve 2610

debug1: kex: server->client aes256-ctr hmac-sha1 none
debug2: mac_setup: setup hmac-sha1
debug1: kex: client->server aes256-ctr hmac-sha1 none
debug2: bits set: 1029/2048
debug1: sending SSH2_MSG_KEXDH_INIT
debug1: expecting SSH2_MSG_KEXDH_REPLY

Re: [Sysadmins] Cisco 29xx и SSH

[Alexey Shabalin]

13 апреля 2014 г., 18:57 пользователь slchess@gmail.com
<slchess@gmail.com> написал:
> 11.04.2014 14:00, Anton Gorlov пишет:
>> Обратится к вашему вендору, как вариант.
>> https://supportforums.cisco.com/document/111696/error-message-ssh-3-dhrangefail-client-dh-key-range-mismatch-maximum-configured-dh
>>
>>
> Это понятно, интересно есть люди у кого совпало такое сочетание
>
> cisco - ssh - sisyphus
>
> и как они вышли из такой ситуации

ну и я свой рецепт покажу, как я выкрутился.
у нас все интерфейсы(у свичей) для управления собраны в одной подсети.
в ~/.ssh/config (что бы не переопределять глобально у остальных
пользователей) добавил такое:
Host 192168.1.*
    KexAlgorithms
diffie-hellman-group14-sha1,curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1

т.е.  diffie-hellman-group14-sha1 - на первое место.


> Но с другой стороны до обновления ssh в sisyphus с cisco проблем не
> было, т.е. ломаем так чтобы не совместимо.
>
> И да - гуглом я умею пользоваться :) Кроме этой и пару других ссылок
> информации пока 0, кроме предложения обновится
> Пробовал обновится на последний IOS проблему не решило обновление.
>



-- 
Alexey Shabalin

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

14.04.2014 11:52, Alexey Shabalin пишет:
> ну и я свой рецепт покажу, как я выкрутился.
> у нас все интерфейсы(у свичей) для управления собраны в одной подсети.
> в ~/.ssh/config (что бы не переопределять глобально у остальных
> пользователей) добавил такое:
> Host 192168.1.*
>     KexAlgorithms
> diffie-hellman-group14-sha1,curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
>
> т.е.  diffie-hellman-group14-sha1 - на первое место.

Вот оно -  то что искал!
Спасибо!!!

Re: [Sysadmins] Cisco 29xx и SSH

[Anton Gorlov]

оформите пожалуйста статейку на http://www.altlinux.org/  - пригодится и 
не раз ещё, заодно и для тех кто ещё споткнётся об подобное

14.04.2014 13:57, slchess@gmail.com пишет:
> 14.04.2014 11:52, Alexey Shabalin пишет:
>> ну и я свой рецепт покажу, как я выкрутился.
>> у нас все интерфейсы(у свичей) для управления собраны в одной подсети.
>> в ~/.ssh/config (что бы не переопределять глобально у остальных
>> пользователей) добавил такое:
>> Host 192168.1.*
>>      KexAlgorithms
>> diffie-hellman-group14-sha1,curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
>>
>> т.е.  diffie-hellman-group14-sha1 - на первое место.
> Вот оно -  то что искал!
> Спасибо!!!
>
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Cisco 29xx и SSH

[Michael Shigorin]

On Mon, Apr 14, 2014 at 12:57:38PM +0300, slchess/gmail.com wrote:
> > ну и я свой рецепт покажу, как я выкрутился.
[...]
> > т.е.  diffie-hellman-group14-sha1 - на первое место.
> Вот оно -  то что искал!
> Спасибо!!!

Никто не хочет на http://altlinux.org/changes добавить? :)

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

14.04.2014 13:52, Anton Gorlov пишет:
> оформите пожалуйста статейку на http://www.altlinux.org/  - пригодится
> и не раз ещё, заодно и для тех кто ещё споткнётся об подобное
>

http://www.altlinux.org/SSH#.D0.9F.D0.BE.D0.BB.D0.B5.D0.B7.D0.BD.D1.8B.D0.B5_.D1.81.D0.BE.D0.B2.D0.B5.D1.82.D1.8B

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

14.04.2014 13:52, Anton Gorlov пишет:
> оформите пожалуйста статейку на http://www.altlinux.org/  - пригодится
> и не раз ещё, заодно и для тех кто ещё споткнётся об подобное

http://www.altlinux.org/Mdadm#.D0.9F.D1.80.D0.B8.D0.BC.D0.B5.D1.80.D1.8B_.D0.B8.D1.81.D0.BF.D0.BE.D0.BB.D1.8C.D0.B7.D0.BE.D0.B2.D0.B0.D0.BD.D0.B8.D1.8F_mdadm

Посмотрите может  тоже будет полезно.

Re: [Sysadmins] Cisco 29xx и SSH

[slchess]

15.04.2014 14:03, slchess@gmail.com пишет:
> 14.04.2014 13:52, Anton Gorlov пишет:
>> оформите пожалуйста статейку на http://www.altlinux.org/  - пригодится
>> и не раз ещё, заодно и для тех кто ещё споткнётся об подобное
> http://www.altlinux.org/Mdadm#.D0.9F.D1.80.D0.B8.D0.BC.D0.B5.D1.80.D1.8B_.D0.B8.D1.81.D0.BF.D0.BE.D0.BB.D1.8C.D0.B7.D0.BE.D0.B2.D0.B0.D0.BD.D0.B8.D1.8F_mdadm

Промахнулся

http://www.altlinux.org/Mdadm#.D0.98.D0.B7.D0.BC.D0.B5.D0.BD.D0.B5.D0.BD.D0.B8.D0.B5_hostname_.D0.B8_.D1.80.D1.8D.D0.B9.D0.B4.D1.8B_v.1.2