diffie-hellman-group-exchange-sha256 не работают со всем программным обеспечением после upgrating к 16,04 - OpenSSH_7.2p2
Я обновил 2 компьютера с Ubuntu 14.04LTS к 16.04LTS, и у меня есть проблема с openssh.
С программным обеспечением любят Шпаклевку 0.64, и меньше например, я не могу establiseh связь с diffie-hellman-group-exchange-sha256 или diffie-hellman-group-exchange-sha1.
Первая работа является diffie-hellman-group14-sha1.
Перед обновлением это работает хорошо, и на другом компьютере с 14.04LTS это continu к работам хорошо со шпаклевкой 0.64 и меньше с diffie-hellman-group-exchange-sha256.
Странно потому что со Шпаклевкой 0.65 и больше continu работать хорошо.
Таким образом, я думаю, что моя конфигурация все еще хороша, и это - та же рабочая Ubuntu 14.04.
Действительно ли это - ошибка на Ubuntu-4ubuntu2.1 OpenSSH_7.2p2?
Большое спасибо
1 ответ
Я нашел при соединении с различными ssh серверами (в этом случае, выполненные финансовыми учреждениями), что для многих diffie-hellman-group-exchange методы не делают никакой работы с Ubuntu 16, в то время как они хорошо работали с Ubuntu 14. Это имеет отношение к согласованию размера ключа после принятия метода. OpenSSH в Ubuntu 16 не примет меньше чем ключ на 2 048 битов, в то время как более старый OpenSSH принял более короткий ключ в этом контексте. Работа вокруг для клиента должна исключить их. Таким образом в/etc/ssh/ssh_config я имею:
HostKeyAlgorithms +ssh-dss
KexAlgorithms diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,curve25519-sha256@libssh.org
первая строка, позволяя DSS, который я знаю, менее безопасна. Но соединения необходимы, и я не управляю теми серверами. Вторым является полный список поддерживаемых ключевых обменных методов (ssh-Q kex) только с двумя проблематичными diffie-hellman-group-exchange -* не учтенные методы. Это, вероятно, была бы лучшая практика для списка тех, которые в обратном порядке, поскольку это может быть взятием как порядком предпочтения, и список, поскольку у меня есть он, помещает более новые, более сильные методы в последний раз. В любом случае игнорирование тех, которые не будут работать с серверами, которые необходимо подключить с, или поочередно определение сингла, известного - совместимый на одном командная строка, является путем вокруг проблемы Вы, и я видел.