Configureer de Kex-algoritmen voor de versleuteling van MAC's in Nexus-platforms

Inleiding

In dit document worden de stappen beschreven die moeten worden uitgevoerd om coderingen, MAC's en Kex-algoritmen in Nexus-platforms toe te voegen (of te verwijderen).

---

Voorwaarden

Vereisten

Cisco raadt u aan de basisprincipes van Linux en Bash te begrijpen.

---

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende hardware- en softwareversies:

• Nexus 3000 en 9000 NX-OS 7.0(3)I7(10)
• Nexus 3000 en 9000 NX-OS 9.3(13)
• Nexus 9000 NX-OS 10.2(7)
• Nexus 9000 NX-OS 10.3(5)
• Nexus 7000 NX-OS 8.4(8)
• Nexus 5600 NX-OS 7.3(14)N1(1)

---

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Achtergrondinformatie

Sommige beveiligingsscans kunnen zwakke coderingsmethoden vinden die worden gebruikt door Nexus-apparaten. Als dit gebeurt, zijn wijzigingen in het dcos_sshd_config-bestand op switches vereist om onveilige algoritmen te verwijderen.

---

Beschikbare coderingen, MAC's en Kex-algoritmen controleren 

Om te bevestigen welke Ciphers, MAC's en Kex-algoritmen een platform gebruikt, controleert u dit vanaf een extern apparaat. U kunt deze opties gebruiken:

---

Optie 1. CMD-lijn vanaf pc gebruiken

Open een CMD-lijn op een pc die het Nexus-apparaat kan bereiken en voer de opdracht ssh -vvv uit

C:\Users\xxxxx>ssh -vvv <hostname>
--------- snipped ------------
debug2: peer server KEXINIT proposal          
debug2: KEX algorithms: diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp256,ecdh-sha2-nistp384,curve25519-sha256@libssh.org <--- Kex algorithms
debug2: host key algorithms: ssh-rsa
debug2: ciphers ctos: aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
debug2: ciphers stoc: aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc <--- encryption algorithms
debug2: MACs ctos: hmac-sha1
debug2: MACs stoc: hmac-sha1 <--- mac algorithms
debug2: compression ctos: none,zlib@openssh.com
debug2: compression stoc: none,zlib@openssh.com <--- compression algorithms

---

Optie 2. Toegang tot het bestand "dcos_sshd_config" met Feature Bash-Shell

Dit geldt voor:

• N3K draait 7. X, 9. X, 10. X
• Alle N9K-codes
• N7K met 8.2 en hoger

---

1. Schakel de bash-shell-functie in en in bash-modus:

switch(config)# feature bash-shell
switch(config)#
switch(config)# run bash
bash-4.3$

---

2. Controleer de inhoud van het bestand dcos_sshd_config:

bash-4.3$ cat /isan/etc/dcos_sshd_config

---

Optie 3. Toegang tot het bestand "dcos_sshd_config" met behulp van een Dplug-bestand 

Dit geldt voor:

• N3K loopt 6. X die geen toegang heeft tot de bash-shell

• Alle N5K- en N6K-codes
• N7Ks loopt 6. X en 7. X-codes

---

Stappen:

1. Open een TAC-geval om het dplug-bestand te verkrijgen dat overeenkomt met de NXOS-versie die op de switch wordt uitgevoerd.

---

2. Upload het dplug-bestand naar bootflash en maak er een kopie van. 

switch# copy bootflash:nuova-or-dplug-mzg.7.3.8.N1.1 bootflash:dp

---

3. Laad de kopie van de dplug door de opdracht laden uit te voeren.

n5k-1# load bootflash:dp
Loading plugin version 7.3(8)N1(1)
###############################################################
Warning: debug-plugin is for engineering internal use only!
For security reason, plugin image has been deleted.
###############################################################
Successfully loaded debug-plugin!!!
Linux(debug)# 
Linux(debug)# 

---

2. Controleer het bestand dcos_sshd_config.

Linux(debug)# cat /isan/etc/dcos_sshd_config

---

Oplossing

Stap 1. Het bestand "dcos_sshd_config" exporteren

1. Stuur een kopie van het dcos_sshd_config-bestand naar bootflash:

Linux(debug)# cd /isan/etc/
Linux(debug)# copy dcos_sshd_config /bootflash/dcos_sshd_config
Linux(debug)# exit

---

2. Bevestig dat de kopie zich op bootflash bevindt:

switch(config)# dir bootflash: | i ssh
7372 Mar 24 02:24:13 2023 dcos_sshd_config

---

3. Exporteren naar een server:

switch# copy bootflash: ftp:
Enter source filename: dcos_sshd_config
Enter vrf (If no input, current vrf 'default' is considered): management
Enter hostname for the ftp server: <hostname>
Enter username: <username>
Password: 
***** Transfer of file Completed Successfully *****
Copy complete, now saving to disk (please wait)...
Copy complete.

---

4. Vul alle noodzakelijke wijzigingen in het bestand in en importeer terug naar bootflash.

---

Stap 2. Importeer het bestand "dcos_sshd_config"

1. Upload het gewijzigde dcos_sshd_config-bestand naar Boot Flash.

switch# copy ftp: bootflash:
Enter source filename: dcos_sshd_config_modified.txt
Enter vrf (If no input, current vrf 'default' is considered): management
Enter hostname for the ftp server: <hostname>
Enter username: <username>
Password: 
***** Transfer of file Completed Successfully *****
Copy complete, now saving to disk (please wait)...
Copy complete.
switch# 

---

Stap 3. Vervang het originele bestand "dcos_sshd_config" door de kopie

    

Handmatig proces (niet persistent bij reboots) - Alle platforms

Door het bestaande dcos_sshd_config-bestand onder /isan/etc/ te vervangen door een aangepast dcos_sshd_config-bestand in bootflash. Dit proces is niet persistent bij reboots

1. Upload een gewijzigd  ssh config  bestand naar bootflash:

switch# dir bootflash: | i ssh
7372 Mar 24 02:24:13 2023 dcos_sshd_config_modified

---

2. In de modus bash of Linux (debug)# overschrijft u het bestaande dcos_sshd_config-bestand met het bestand in bootflash:

bash-4.3$ sudo su
bash-4.3# copy /bootflash/dcos_sshd_config_modified /isan/etc/dcos_sshd_config

---

3. Bevestig dat de wijzigingen succesvol waren:

bash-4.3$ cat /isan/etc/dcos_sshd_config 

---

Geautomatiseerd proces - N7K

Door een EEM-script te gebruiken, wordt dit geactiveerd wanneer het log "VDC_MGR-2-VDC_ONLINE" na een herladen wordt vernieuwd. Als de EEM wordt geactiveerd, wordt een py-script uitgevoerd en vervangt het bestaande dcos_sshd_config-bestand onder /isan/etc/ door een gewijzigd dcos_sshd_config-bestand in bootflash. Dit geldt alleen voor NX-OS-versies die "feature bash-shell" ondersteunen.

---

1. Upload een gewijzigd ssh-configuratiebestand naar bootflash:

switch# dir bootflash: | i ssh
       7404    Mar 03 16:10:43 2023  dcos_sshd_config_modified_7k
switch#

---

2. Maak een py-script dat wijzigingen toepast op het bestand dcos_sshd_config. Zorg ervoor dat u het bestand opslaat met de extensie "py".

#!/usr/bin/env python
import os
os.system("sudo usermod -s /bin/bash root")
os.system("sudo su -c \"cp /bootflash/dcos_sshd_config_modified_7k /isan/etc/dcos_sshd_config\"")

---

3. Upload het Python-script naar bootflash.

switch# dir bootflash:///scripts
        175    Mar 03 16:11:01 2023  ssh_workaround_7k.py 

---

---

4. Zorg ervoor dat de bestandsnaam dcos_sshd_config van het script en bootflash (in stap 1.) hetzelfde zijn:

switch# dir bootflash: | i ssh
       7404    Mar 03 16:10:43 2023  dcos_sshd_config_modified_7k
switch#

switch# show file bootflash:///scripts/ssh_workaround_7k.py
#!/usr/bin/env python
import os
os.system("sudo usermod -s /bin/bash root")
os.system("sudo su -c \"cp /bootflash/dcos_sshd_config_modified_7k /isan/etc/dcos_sshd_config\"")
switch#

---

5. Voer het script eenmaal uit, dus het dcos_sshd_config-bestand wordt gewijzigd.

switch# source ssh_workaround_7k.py
switch#

---

6. Configureer een EEM-script, zodra het py-script wordt uitgevoerd elke keer dat de switch opnieuw wordt opgestart, komt het terug naar boven.

---

EEM N7K:

event manager applet SSH_workaround
  event syslog pattern "vdc 1 has come online"
  action 1.0 cli command "source ssh_workaround_7k.py"
  action 2 syslog priority alerts msg "SSH Workaround implemented"

Geautomatiseerd proces - N9K, N3K

1. Upload een gewijzigd SSH-configuratiebestand naar bootflash.

switch# dir | i i ssh
7732 Jun 18 16:49:47 2024 dcos_sshd_config
7714 Jun 18 16:54:20 2024 dcos_sshd_config_modified
switch#

---

2. Maak een py-script dat wijzigingen toepast op het bestand dcos_sshd_config. Zorg ervoor dat u het bestand opslaat met de extensie "py".

#!/usr/bin/env python
import os
os.system("sudo su -c \"cp /bootflash/dcos_sshd_config_modified /isan/etc/dcos_sshd_config\"")

---

3. Upload het python script naar bootflash.

switch# dir | i i .py
127 Jun 18 17:21:39 2024 ssh_workaround_9k.py
switch# 

---

4. Zorg ervoor dat de bestandsnaam dcos_sshd_config van het script en bootflash (Stap 1.) hetzelfde zijn:

switch# dir | i i ssh
7732 Jun 18 16:49:47 2024 dcos_sshd_config
7714 Jun 18 16:54:20 2024 dcos_sshd_config_modified
127 Jun 18 17:21:39 2024 ssh_workaround_9k.py
switch# 

switch# sh file bootflash:ssh_workaround_9k.py
#!/usr/bin/env python
import os
os.system("sudo su -c \"cp /bootflash/dcos_sshd_config_modified /isan/etc/dcos_sshd_config\"")
switch#

---

5. Voer het script eenmaal uit, zodat het dcos_sshd_config-bestand wordt gewijzigd.

switch# python bootflash:ssh_workaround_9k.py

---

6. Configureer een EEM-script, zodra het py-script elke keer wordt uitgevoerd, wordt de switch opnieuw opgestart en komt deze terug naar boven.

---

EEM N9K en N3K:

event manager applet SSH_workaround
  event syslog pattern "vdc 1 has come online"
  action 1.0 cli python bootflash:ssh_workaround_9k.py
  action 2 syslog priority alerts msg SSH Workaround implemented

---

---

Geautomatiseerd proces - N5K, N6K

Een gewijzigd dplug-bestand is gemaakt via Cisco bug ID CSCvr23488 om deze Kex-algoritmen te verwijderen:

• Diffie-Hellman-Group-Exchange-SHA256
• Diffie-Hellman-Group-Exchange-SHA1
• Diffie-Hellman-Group1-SHA1

---

De dpug bestanden die via Cisco bug ID CSCvr23488 zijn geleverd zijn niet dezelfde als die worden gebruikt om toegang te krijgen tot de Linux Shell. Open een TAC-geval om de gewijzigde dplug van Cisco bug ID CSCvr23488 te verkrijgen.

---

1. Controleer de standaard dcos_sshd_config-instellingen:

C:\Users\user>ssh -vvv admin@<hostname>
      ---- snipped ----
debug2: peer server KEXINIT proposal
debug2: KEX algorithms: ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1, diffie-hellman-group14-sha1,diffie-hellman-group1-sha1  <--- kex algorithms
debug2: host key algorithms: ssh-rsa
debug2: ciphers ctos: aes128-ctr,aes192-ctr,aes256-ctr
debug2: ciphers stoc: aes128-ctr,aes192-ctr,aes256-ctr           <--- encryption algorithms
debug2: MACs ctos: hmac-sha1
debug2: MACs stoc: hmac-sha1                                     <--- mac algorithms
debug2: compression ctos: none,zlib@openssh.com
debug2: compression stoc: none,zlib@openssh.com                  <--- compression algorithms

---

2. Maak een kopie van het gewijzigde dplug-bestand.

switch# copy bootflash:nuova-or-dplug-mzg.7.3.14.N1.1_CSCvr23488.bin bootflash:dp

---

---

3. Pas het dplug-bestand van Cisco bug ID CSCvr23488 handmatig toe:

switch# load bootflash:dp2
Loading plugin version 7.3(14)N1(1)
###############################################################
  Warning: debug-plugin is for engineering internal use only!
  For security reason, plugin image has been deleted.
###############################################################
Successfully loaded debug-plugin!!!
Workaround for CSCvr23488 implemented
switch#

---

4. Controleer de nieuwe dcos_sshd_config-instellingen:

C:\Users\user>ssh -vvv admin@<hostname>
      ---- snipped ----
debug2: peer server KEXINIT proposal
debug2: KEX algorithms: diffie-hellman-group14-sha1,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521
debug2: host key algorithms: ssh-rsa
debug2: ciphers ctos: aes128-ctr,aes192-ctr,aes256-ctr
debug2: ciphers stoc: aes128-ctr,aes192-ctr,aes256-ctr
debug2: MACs ctos: hmac-sha1
debug2: MACs stoc: hmac-sha1
debug2: compression ctos: none,zlib@openssh.com
debug2: compression stoc: none,zlib@openssh.com

---

5. Zorg ervoor dat deze wijziging aanhoudt bij het opnieuw opstarten met een EEM-script:

event manager applet CSCvr23488_workaround
event syslog pattern "VDC_MGR-2-VDC_ONLINE"
action 1 cli command "copy bootflash:nuova-or-dplug-mzg.7.3.14.N1.1_CSCvr23488.bin bootflash:dp"
action 2 cli command "load bootflash:dp"
action 3 cli command "conf t ; no feature ssh ;feature ssh"
action 4 syslog priority alerts msg "CSCvr23488 Workaround implemented"

---

---

Platformoverwegingen

N5K/N6K

• MAC (Message Authentication Code) kan op deze platforms niet worden gewijzigd door het dcos_sshd_config-bestand te wijzigen. De enige ondersteunde MAC is hmac-sha1. 

---

N7K 

• Voor het wijzigen van MAC's is een 8.4-code vereist. Zie Cisco bug ID CSCwc26065 voor meer informatie. 
• "Sudo su" is standaard niet beschikbaar op 8.X. Referentie Cisco bug ID: CSCva14865. Indien uitgevoerd, wordt deze fout waargenomen:

F241.06.24-N7706-1(config)# feature bash-shell
F241.06.24-N7706-1(config)# run bash
bash-4.3$ sudo su
Cannot execute /isanboot/bin/nobash: No such file or directory   <---
bash-4.3$

---

Om dit te overwinnen, loop:

bash-4.3$ sudo usermod -s /bin/bash root

---

Nadat u de opdracht prior hebt uitgevoerd, werkt "sudo su":

bash-4.3$ sudo su
bash-4.3#

---

---

Er is een afzonderlijk dcos_sshd_config-bestand voor elke VDC, als SSH-parameters moeten worden gewijzigd op een andere VDC, zorg er dan voor dat u het overeenkomstige dcos_sshd_config-bestand wijzigt.

N7K# run bash 
bash-4.3$ cd /isan/etc/
bash-4.3$ ls -la | grep ssh
-rw-rw-r-- 1 root root 7564 Mar 27 13:48 dcos_sshd_config     <--- VDC 1
-rw-rw-r-- 1 root root 7555 Mar 27 13:48 dcos_sshd_config.2   <--- VDC 2
-rw-rw-r-- 1 root root 7555 Mar 27 13:48 dcos_sshd_config.3   <--- VDC 3

---

N9K

• Wijzigingen in het bestand dcos_sshd_config zijn niet persistent bij het opnieuw opstarten op een Nexus-platform. Als wijzigingen permanent moeten zijn, kan een EEM worden gebruikt om het bestand te wijzigen telkens wanneer de switch wordt opgestart. 
• Verbeteringen op N9K-wijzigingen beginnen met 10.4(2) en zijn ook beschikbaar in 10.5(1). Het werd niet toegevoegd aan nieuwere versies van eerdere software treinen.
• Zie Cisco bug ID CSCwd82985 voor meer informatie. 

---

Voorbeeld CLI van een switch met 10.5(1):

switch(config)# ssh ?
cipher-mode          Set Cipher-mode for ssh
ciphers              Ciphers to encrypt the connection <<<<<<<<<
idle-timeout         SSH Client session idle timeout value
kexalgos             Key exchange methods that are used to generate per-connection keys <<<<<<<<<
key                  Generate SSH Key
keytypes             Public key algorithms that the server can use to authenticate itself to the client
login-attempts       Set maximum login attempts from ssh
login-gracetime      Set login gracetime for ssh connection
macs                 Message authentication codes used to detect traffic modification <<<<<<<<<
port                 Set port number for ssh
rekey                Renegotiate ssh key

switch(config)# ssh ciphers ?
WORD                 Algorithm name to be configured (Max Size 128)
aes256-gcm           <Deprecated> enable aes256-gcm
all                  Control known weak SSH algorithms in current version of NX-OS in addition to the base set of strong algorithms

switch(config)# ssh macs ?
WORD                 Algorithm name to be configured (Max Size 128)
all                  Control known weak SSH algorithms in current version of NX-OS in addition to the base set of strong algorithms

switch(config)# ssh kexalgos ?
WORD                 Algorithm name to be configured (Max Size 128)
all                  Control known weak SSH algorithms in current version of NX-OS in addition to the base set of strong algorithms

---

N7K, N9K (codes vóór 10,4 en 10,5), N3K

Voor platforms met eerdere code kunt u ciphers, MAC's en KexAlgorithms toevoegen. Deze versies bieden niet de mogelijkheid om specifieke algoritmen afzonderlijk te selecteren; alleen de optie 'alles' wordt ondersteund.

N9000(config)# ssh macs ?
all                 Enable algorithms supported in current version of SSH

N9000(config)# ssh kexalgos ?
all                 Enable algorithms supported in current version of SSH
ecdh-sha2-nistp384  Enable ecdh-sha2-nistp384

N9000(config)# ssh ciphers ?
aes256-gcm          Enable aes256-gcm
all                 Enable algorithms supported in current version of SSH

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	31-Jul-2026	Bijgewerkte spelling, grammatica, titel, ingevoegde horizontale regels om secties/leesbaarheid te scheiden, vaste CCW-waarschuwingen.
1.0	01-Jul-2024	Eerste vrijgave