Cisco kann keine Verbindung zum Juniper-Gerät über SSH herstellen

9

Ich versuche, über SSH eine Verbindung von einem Cisco 886VA zu einem Juniper EX2200 herzustellen. Die Verbindung schlägt mit den folgenden Meldungen auf dem Cisco fehl:

*Jan 17 09:51:20.823: SSH2 CLIENT 0: Server has chosen 2056 -bit dh keys
*Jan 17 09:51:20.823: %SSH-3-INV_MOD: Invalid modulus length

Gibt es eine Möglichkeit, dies durch Ändern einiger Parameter auf dem Juniper- oder Cisco-Gerät zu erreichen?

IOS-Version: 15.2(4)M5

JunOS-Version: 12.3R3.4

cisco juniper ssh

— Sebastian Wiesinger
quelle

Gibt es noch andere Lösungen? Die Verwendung der Einstellung 4096 hat ein Tool zum Anmelden beschädigt und muss weiterentwickelt werden, da dies als nicht standardmäßige Einstellung angesehen wird. Vielen Dank, dass Sie Graham

— Graham

9

Dies ist definitiv ein Problem mit Ihrer DH-Schlüsselgröße.

Versuche dies:

cisco886va(config)#ip ssh dh min size 4096

— Ryan Foley
quelle

Das Einstellen der dh min-Größe auf 4096 hat funktioniert. 2048 war nicht genug. Vielen Dank!

— Sebastian Wiesinger

@Sebastian Jetzt frage ich mich, woher 2056kommt? Das scheint eine seltsame Schlüsselgröße zu sein, aber dennoch die sicherste, wenn 4096Schlüsselgrößen erforderlich sind.

— Ryan Foley

Keine Ahnung, es ist eine Standard-Wacholderbox mit aktiviertem SSH.

— Sebastian Wiesinger

8

Junos 'Datei / etc / ssh / primes hatte einen Fehler von 8. Das heißt, die Module in dieser Datei, für die 2048 Bit angekündigt wurden, waren tatsächlich 2056 Bit lang.

Der Cisco SSH-Client ist in dieser Hinsicht sehr streng und weigert sich daher, fortzufahren. Löschen Sie zur Umgehung dieses Problems die Datei / etc / ssh / primes von Ihrem Junos-Gerät. Dies führt dazu, dass Junos Module der Gruppe 14 verwendet.

Vielen Dank

— Kunst
quelle

2

+1 gute Info, Könntest du den Junos Bugid hinzufügen?

— Mike Pennington

0

Sie müssen einen neuen RSA-Schlüssel in Cisco generieren und einen größeren Modul für den Schlüssel angeben

— Pyatka
quelle

Dies ist der Diffie-Hellman-Parameter, nicht der Modul aus dem RSA-Schlüssel. Wir haben einen 2048-Bit-RSA-Schlüssel auf dem Cisco erstellt.

— Sebastian Wiesinger

Möglicherweise sollten Sie versuchen, einen Schlüssel mit der Modulgröße 4096 zu generieren. Dies funktioniert bei mir, ich habe den gleichen Fehler (% SSH-3-INV_MOD), aber nicht mit Wacholder. cisco.com/de/US/docs/ios-xml/ios/security/a1/…

— pyatka

Cisco kann keine Verbindung zum Juniper-Gerät über SSH herstellen - Ungültige Modullänge