Cómo seleccionar los paquetes de cifrado SSL/TLS en las tarjetas de administración de red

Problema
Es posible que los usuarios deban ajustar la lista de cifrados SSL/TLS en uso para el acceso web de la NMC en la NMC, para cumplir con las políticas de seguridad locales, los cambios en la compatibilidad del navegador o para reflejar las mejores prácticas en constante cambio.

Línea de productos
Tarjeta de gestión de redes 2: AP9630/CH, AP9631/CH, AP9635/CH
Los dispositivos con tarjeta de gestión de redes 2 integrada incluyen (entre otros): PDU para montaje en rack con medición y conmutación de 2G (AP84XX, AP86XX, AP88XX, AP89XX), interruptores de transferencia automática para rack (AP44XX), algunos productos habilitados para la gestión de redes de audio y vídeo, Smart-UPS Online (SRT).

Medio ambiente
Versiones AOS 6.6.4 en adelante.

Resolución

Mediante la línea de comandos de la NMC:

Utilice el comando "cipher" para mostrar el conjunto activado o "cipher help" para las notas de uso.
eg;

apc>cipher help Usage: cipher — Configuration Options Nota: El valor mínimo del protocolo no se tiene en cuenta cuando se muestran los cifrados disponibles. cipher [-aes (enable) | disable)] (AES) [-dh (activar) | disable)] (DH) [-rake (activar) | disable)] (RSA Key Exchange) [-rsaau (activar) | disable)] (Autenticación de RSA) [-sha1 (activar) | disable)] (SHA) [-sha2 (activar) | disable)] (SHA256) [-ecdhe (activar | disable)] (ECDHE)

Nota:
Antes de 6.8.0, cada opción (por ejemplo -rc4) alternaba con el estado actual; ahora son explícitamente deterministas.
Reiniciar para realizar cambios.

Ejemplo:
Hacer una lista de los ajustes actuales, indicando que todos los disponibles están habilitados (como predeterminados):

>cifrado E000: Algoritmos de intercambio de claves de éxito ----------------------- DH habilitados para RSA Key Exchange Algoritmos de autenticación ------------------------- (advertencia: si se deshabilita el único algoritmo en la categoría, se bloquearán todas las sesiones SSL/TLS) Algoritmos de cifrado de bloque habilitados para RSA Authentication ----------------------- Algoritmos de autenticación Triple DES habilitados para RC4 habilitado para AES -------------- habilitado para MD5 habilitado para SHA256

[...]
Desactive el cifrado RC4 y el intercambio de claves de RSA:

>cipher -rc4 disable E002: Success >cipher -rrest disable E002: Success (Éxito)

Enumerar nuevos ajustes, confirmando los cambios esperados:

>cifrado E000: Algoritmos de intercambio de claves de éxito ----------------------- activado por DH RSA Key Exchange Disabled Authentication Algorithms ------------------------- (Advertencia: si se deshabilita el único algoritmo en la categoría, se bloquearán todas las sesiones SSL/TLS) RSA Authentication Enabled Block Cipher Algorithms ----------------------- habilitada para DES triple, RC4 deshabilitada por AES Algoritmos MAC habilitados -------------- por MD5 habilitado para SHA256

[...]

Uso de archivos INI (por ejemplo, para configuración masiva):

[CryptographicAlgorithms] ,Advertencia: Cambiar estos valores puede afectar el acceso al sistema. TripleDES=Enabled RC4=Disabled AES=Enabled DH=Enabled RSA_KE=Disabled RSA_Auth=Enabled MD5=Enabled SHA=Enabled SHA256=enabled

Uso de la interfaz Web:

Esta configuración aún no está expuesta a través de la interfaz de usuario web.

Resolución de problemas:

Tenga en cuenta que la desactivación de los cifrados puede afectar la compatibilidad del explorador; SSL/TLS no se podrá utilizar para el usuario, a menos que el explorador y la NMC tengan al menos un conjunto de cifrado en común. Los errores del explorador como "ssl_error_no_cipher_superposición" o "err_ssl_version_or_cipher_mismatch" indicarían tal incompatibilidad.

Publicado para:APC Costa Rica