отключение слабого шифрования ssh на MDS

[twielgos]

Моя команда по информационной безопасности жалуется, что мои MDS9250i с версией 8.4(2c) допускают слабые стандарты шифрования. Мои исследования показывают, что стандартной командой для исправления этой ситуации является «ip ssh ...» в режиме конфигурации, но этой команды нет на моем коммутаторе: MDS9250i-A(config)# ip ssh server algorithm ^
% Invalid command at '^' marker. Как правильно это сделать?

[Jens Albrecht]

Здравствуйте,
@twielgos
, Руководство по настройке безопасности для версий программного обеспечения 8.x
не содержит информации об используемых шифрах или командах, которые можно использовать для их изменения. Согласно
Руководству по настройке
безопасности для версий программного обеспечения 9.x
, в этих версиях по умолчанию используются надежные алгоритмы.
Версии 9.x также позволяют настраивать криптографические алгоритмы SSH, как упомянул
@Mark Elsen
, однако в этом разделе есть следующее примечание: «Настройка алгоритмов шифрования SSH поддерживается только на коммутаторах серии MDS 9000 на базе x86.
Однако
эта функция не поддерживается на
коммутаторах
MDS 9250i
, MDS 9148S и MDS 9396S». Таким образом, обновление до версии 9.x по умолчанию включит надежные алгоритмы, но вы не сможете их настраивать. EDIT: Текущая рекомендуемая версия 9.4(3a) действительно предлагает настройку SSH на этих платформах, так как в соответствии с обновлением от
@Jason Mooney
в версии 9.4(2) была введена функциональная паритетность. Надеюсь, это поможет!

[Jason Mooney]

Привет,
@twielgos
,
Похоже, есть некоторая путаница относительно того, как управлять слабыми
ssh
ciphers
и
macs
для коммутаторов MDS S-Series и 9250i.
Я рад сообщить, что начиная с
NX-OS 9.4(2)
была добавлена поддержка настройки этих параметров на этих платформах на основе отзывов клиентов. Текущая рекомендуемая версия — NX-OS 9.4(3a), которую можно найти в документе
«Рекомендуемые версии MDS NX-OS
».
Как указал
@jen
, в
руководстве
по настройке безопасности MDS 9000
для более ранних версий 9.x (в частности, в период выпуска
NX-OS 9.4(1)
) содержалось примечание о том, что Cisco не поддерживает изменение
шифров
и
MAC-адресов
на указанных платформах (MDS 9250i, MDS 9148S и MDS 9396S). Это примечание было верно для версий до NX-OS 9.4(2), поскольку эти платформы изначально не имели тех же возможностей настройки SSH, что и другие продукты MDS, когда версия 9.x была выпущена впервые. Йенс, сегодня я подал заявку на исправление ошибки в документации
CSCwp31201
, чтобы руководство было обновлено с учетом поддержки, добавленной в NX-OS 9.4(2) и более поздних версиях. Пожалуйста, подождите 2-3 рабочих дня, пока этот идентификатор ошибки станет общедоступным. И еще раз спасибо за то, что указали на несоответствие!
Желаю вам хорошего дня,
Джейсон

[Mark Elsen]

• Для этой платформы используйте или попробуйте использовать:
  switch (config)#
  ssh ciphers ?
  Выберите желаемый вариант
  .
  Перед включением
  aes256-gcm
  убедитесь, что
  ssh cipher-mode weak
  отключен
  .
  (например) М. -- Пусть все происходит с вами
  Красота и ужас
  Просто продолжайте идти
  Ни одно чувство не является окончательным
  Райнер Мария Рильке
  (1899)

[Jens Albrecht]

Привет
[, @Jason Mooney]
, спасибо за это обновление!
Это действительно хорошая новость, что вы прислушиваетесь к отзывам клиентов и теперь предлагаете равные возможности для настройки SSH на этих платформах. С уважением, Йенс