)
Переход на новую версию SSH, для моделей QSW-3750/4610/3420 при обновлении до версии прошивки 8.2.1.245 и выше, а также моделей QSW-4530/4900 до версии 8.2.3.333 и выше.
В данной статье будут рассмотрены нюансы перехода на новую версию SSH, при обновлении программного обеспечения для коммутаторов серии QSW.
ВАЖНО!
!! ВНИМАНИЕ !! ПРОЧИТАТЬ ИНФОРМАЦИЮ НИЖЕ ПЕРЕД ОБНОВЛЕНИЕМ !!
!! Для запуска ПО на QSW-4530 требуется версия загрузчика не ниже 2011.12.6 !!
Пакет SSH заменен на Open SSH 10.2p1, OpenSSL 3.5.4
Поддерживаемые Cipher, KEX, MAC соответствует актуальной версии Open SSH. Поддержка устаревших протоколов отключена.
Изменения в протоколах, включенных по умолчанию:
Протокол SSH включен по умолчанию
Протокол HTTP отключен по умолчанию
Протокол HTTPS включен по умолчанию
Максимальная длина пароля увеличена до 64 символов
Добавлена возможность авторизации SSH по ключу
Изменен метод хеширования паролей пользователей в конфигурации, при включенном service-password encryption с MD5 на SHA256.
Добавлена поддержка типов ключей RSA до 16384 бит, ecdsa (256, 384 или 521 бит), ed25519.
На устройстве существуют все ключи по умолчанию, после обновления до новой версии ПО требуется заново сгенерировать все три типа ключа, для обеспечения безопасности
Одним из основных этапов перед обновлением, является обновление пользователей или создание нового с отключенным
service password-encryptionВ связи с изменением метода шифрования, пароли, зашифрованные до обновления, не смогут быть расшифрованы коммутатором после.
Пример решения:
У нас включено шифрование паролей, в данном случае, пользователь с username admin privilege 15 password admin
service password-encryption!
username admin privilege 15 password 7 21232f297a57a5a743894a0e4a801fc3
Сперва отключаем шифрование:
no service password-encryption
Далее пересоздаем пользователя:
username admin privilege 15 password admin
Проверяем, что коммутатор показывает пароль без шифрования:
no service password-encryption!
username admin privilege 15 password 0 admin
!После обновления включаем шифрование.
Критически важным является пересоздание ключей шифрования после обновления. После смены прошивки коммутатор не сохраняет ключи от предыдущей версии, а использует универсальный ключ, заранее сгенерированный для всех устройств. Использование общего ключа создает уязвимость, поэтому его необходимо заменить на уникальный.
Для этого воспользуйтесь командами:
switch(config)#ssh-server host-key rsa?<1024-16384> Custom length (1024-16384 bits)
switch(config)#ssh-server host-key ecdsa?
<256-521> Custom length (256, 384 or 521 bits)
switch(config)#ssh-server host-key ed25519
Не рекомендуется устанавливать размер ключа выше 4096 бит. Генерация более длинных ключей сопряжена с существенным увеличением времени обработки, которая может занять несколько часов.
После пересоздания ключа через SSH, соединение будет разорвано и потребуется повторное подключение.
К списку

