2 votos

No se puede hacer SSH en el switch Cisco o en el router pfSense desde el Mac Mini (MacOS High Sierra 10.13.6)

Los mensajes de error en el Terminal son (switch 1, router 2):

MacMini:/ MacAdmin$ ssh NetAdmin@192.168.3.2 #Switch
No se puede negociar con 192.168.3.2 puerto 22: no se ha encontrado ningún método de intercambio de claves que coincida. Su oferta: diffie-hellman-group1-sha1

MacMini:/ MacAdmin$ ssh NetAdmin@192.168.3.1 #Router
No se puede negociar con 192.168.3.1 puerto 22: no hay método de intercambio de claves que coincida
encontrado. Su oferta: curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256

ACTUALIZACIÓN 1:
Usando la sugerencia de Pete más abajo, recibo este error sobre "no se ha encontrado ninguna MAC que coincida"

MacMini:/ MacAdmin$ ssh -oKexAlgorithms=+diffie-hellman-group-exchange-sha256 192.168.3.1
No se puede negociar con 192.168.3.1 puerto 22: no se ha encontrado ninguna MAC que coincida. Su oferta: > hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160->etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac->ripemd160,umac-128@openssh.com

Aquí está la salida de mi archivo de configuración SSH ( /etc/ssh/ssh_config ):

MacMini:/ MacAdmin$ cat /etc/ssh/ssh_config
#   $OpenBSD: ssh_config,v 1.33 2017/05/07 23:12:57 djm Exp $

# This is the ssh client system-wide configuration file.  See
# ssh_config(5) for more information.  This file provides defaults for
# users, and the values can be changed in per-user configuration files
# or on the command line.

# Configuration data is parsed as follows:
#  1. command line options
#  2. user-specific file
#  3. system-wide file
# Any configuration value is only changed the first time it is set.
# Thus, host-specific definitions should be at the beginning of the
# configuration file, and defaults at the end.

# Site-wide defaults for some commonly used options.  For a comprehensive
# list of available options, their meanings and defaults, please see the
# ssh_config(5) man page.

# Host *
#   ForwardAgent no
#   ForwardX11 no
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
#   Port 22
#   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
   MACs hmac-md5,hmac-sha1,umac-64@openssh.com
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h

Host 192.168.3.1
HostkeyAlgorithms ssh-dss,ssh-rsa
KexAlgorithms +diffie-hellman-group1-sha1
MacMini:/ MacAdmin$ 

Actualización 2:
No sé cómo editar correctamente mi archivo de configuración SSH ( /etc/ssh/ssh_config ) pero tengo una solución decente con este comando:
ssh -oKexAlgorithms=+diffie-hellman-group-exchange-sha256 -oMACs=hmac-sha2-512-etm@openssh.com RouterAdmin@192.168.3.1

4voto

user266438 Puntos 1

Prueba esto:

ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 192.168.3.2
ssh -oKexAlgorithms=+diffie-hellman-group-exchange-sha256 192.168.3.1

Si estoy leyendo bien, has puesto la clave para 192.168.3.1 (router) a diffie-hellman-group1-sha1 pero sólo ofrece diffie-hellman-group-exchange-sha256 en la familia DH.

Más información sobre las conexiones heredadas de OpenSSH aquí . En relación con esto, los cifrados SHA1 han sido obsoleto por una buena razón - son considerados inseguros o roto Así que sería pertinente investigar si el software de su enrutador o conmutador puede actualizarse a una versión moderna y más segura.

1 votos

¡Gracias, @Pete Cooper! Eso funcionó para el interruptor, pero todavía parece que no puede entrar en el router pfSense a través de SSH. Voy a actualizar mi post con la salida del comando de terminal que sugirió...

1 votos

Su configuración establece MACs a hmac-md5,hmac-sha1,umac-64@openssh.com pero no hay un punto en común con las MAC de los routers. Dale una vuelta a esto: ssh -oKexAlgorithms=+diffie-hellman-group-exchange-sha256 -oMACs=hmac-sha2-512-etm@openssh.com 192.168.3.1 . Ese es el primer MAC de la lista ofrecida. Si no funciona, sustituya hmac-sha2-512-etm@openssh.com con la siguiente ( hmac-sha2-256-etm@openssh.com ) y así sucesivamente hasta encontrar uno que funcione. Editado: formato.

0 votos

Gracias de nuevo, Pete. Efectivamente, esto ha funcionado para la conexión con mi interruptor: ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 AdminMe@192.168.3.2

AppleAyuda.com

AppleAyuda es una comunidad de usuarios de los productos de Apple en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros usuarios, hacer tus propias preguntas o resolver las de los demás.

Powered by:

X