SSH-onverenigbaarheid met ESXi 6.7P04 (gebouw 1716734) en hoger

Inleiding

Er is een probleem met betrekking tot software-interoperabiliteit tussen HXDP [3.5(x), 4.0(x)] en ESXi 6.7P04 (build 1716734) en later.  Klanten moeten deze softwarecombinatie vermijden.

OPMERKING: Dit onderwerp wordt uitgebreid tot elke 6,7 ESXi-versie boven 6,7P04 

Het compatibiliteitsprobleem wordt opgelost in HXDP 4.0(2e). Dit probleem heeft geen invloed op HXDP 4.5(1a) en later. 

Vereisten

ESXi 6.7P04 (gebouw 1716734) en hoger 

HXDP-versie 10.5(x), 4.0(x)

Meer informatie

schenden

De verwante bug-ID is CSCv8204 - ESXi OpenSSH-interoperabiliteitsprobleem met HXDP

Het probleem doet zich voor in ESXi 6.7P04, door VMware de OpenSSH-bibliotheek te verbeteren naar: OpenSSH_8.3p1. Deze nieuwe versie van OpenSSH verwijdert de ondersteuning van de belangrijkste uitwisselingsmethode die intern door HXDP wordt gebruikt bij de directe communicatie met ESXi via SSH. Hieronder staat een fragment uit de OpenSSH-handleiding waarin de breekbare verandering wordt beschreven in deze versie:

ssh(1), sshd(8): this release removes diffie-hellman-group14-sha1 from the default key exchange proposal for both the client and server.

Softwareresearch

Raadpleeg softwareadvies voor meer informatie - Cisco-softwareadvies voor ESXi 6.7 P04

Ingebrachte gebieden

Enkele functionele gebieden van HX zullen worden beïnvloed, waaronder:

• Vers cluster maken (kan mislukken bij onderhandelingen over algoritme)

• Cluster uitbreiding (kan mislukken bij onderhandelingen over algoritme)

• Cluster reregistaration (stcli-cluster reregister kan falen met "Algorithm onderhandeling fail") 

• Systeeminformatiepagina in HX Connect
• Upgraden kunnen mislukken met "Kan geen SSH-verbinding voor host opzetten" of "fouten gevonden tijdens upgrade"

ESXi-upgrade mislukt met SSH-uitzondering

2020-12-16-10:31:04.675 [] [vmware-upgrade-pool-9] FOUT c.s.sysmgmt.stMgr.SshScpUtilImpl - heeft geen SSH-verbinding naar host tot stand gebracht: Host is niet bereikbaar, of in afsluitmodus

com.jcraft.jsch.JSchException: Algoritme onderhandeling mislukt

• Mogelijk andere gebieden

Werken

De HXDP release notes zijn bijgewerkt om deze versie van 6.7 specifiek te roepen, die niet wordt ondersteund op 3.5(x) en 4.0(x) releases. Deze kwestie is vastgelegd in de HXDP 4.0-pleister - 4.0(2e) en in alle releases 4.5(1a) en later.

• Gebruik het terugdraaimechanisme dat in ESXi is ingebouwd om terug te draaien naar een compatibele ESXi versie. 
• Een andere mogelijke ommekeer is om de verwijderd key exchange-methode opnieuw in te schakelen door sshd_fig op elke ESXi-host bij te werken en de SSH-service opnieuw te starten. Aanbevolen wordt om dit tijdelijke alternatief slechts in te voeren. 

LET OP: Het doel moet zijn om het cluster naar een vaste HXDP-release te verplaatsen en deze werkruimte zo snel mogelijk te verwijderen. Clusters zouden niet in deze staat lange termijn moeten blijven met deze extra algoritme instelling toegevoegd aan sshd_fig. 

Stappen voor Workarounds

Als u geen upgrade van HXDP op een vaste release kunt uitvoeren, gebruikt u de volgende werkpunten -

Werken 1

• Gebruik het terugdraaimechanisme dat in ESXi is ingebouwd om terug te draaien naar een compatibele ESXi versie. Raadpleeg VMware KB - https://kb.vmware.com/s/article/1033604

Werkongeveer 2

Schakel de verwijderde methode van het uitwisselen door sshd_fig op elke ESXi-host bij te werken en de SSH-service opnieuw te starten.

• Voeg +diffie-hellman-group14-sha1 toe aan de KexAlgorithms onder /etc/ssh/sshd_fig op elke ESXi-host

# echo "KexAlgorithms +diffie-hellman-group14-sha1" >> /etc/ssh/sshd_config

• Bevestig dat KexAlgorithms +diffie-hellman-group14-sha1 in de /etc/ssh/sshd_fig toont

• ESXi SSH-proces opnieuw starten

# /etc/init.d/SSH restart

• Herstart of hervat de eerder mislukte werkstroom.