はじめに
NSOはNEDを使用して様々なデバイスへ様々な方法で接続することが出来ます。CLI NEDを使い、Cisco IOS機器へ接続する際、SSHを使用して接続することが可能ですが、IOS-XE 17.10 以降での機器側での変更により、現時点 (NSO 6.1.2)ではデフォルト状態で接続出来ません。
以下の内容をご確認頂き、Workaround適用によりNSO側の対応が完了するまでの間、ご対応頂きますよう、お願い致します。
IOS-XE側の変更
IOS-XEには SSHサーバが内蔵されており、それを使用して外部からログインすることが可能となっています。XE 17.10よりデフォルトで使用されるMAC アルゴリズムのうち、以下が削除されています。
- hmac-sha1
- hmac-sha2-256
- hmac-sha2-512
これにより、デフォルトで使用されるMACアルゴリズムは以下のものとなりました。
- hmac-sha2-256-etm@openssh.com
- hmac-sha2-512-etm@openssh.com
ただし、この場合でもデフォルト設定が変更されたのみであり、IOS-XEの設定により、旧のMACアルゴリズムを使用することは可能です。
NSOが SSH接続を使用する際に使用可能なアルゴリズム
NSOはSSHで接続する際、以下のアルゴリズムを使用します。
- hmac-sha1
- hmac-sha2-256
- hmac-sha2-512
現時点で、IOS-XE 17.10 以降でデフォルトで使用するMACアルゴリズムを使用することが出来ないため、NSO側での可能な対処はございません。
ワークアラウンド
IOS-XE機器で使用するSSHサーバの設定として、以下の様に MACアルゴリズムを指定してください。
ip ssh server algorithm mac hmac-sha2-256 hmac-sha2-512 hmac-sha1
これにより、NSOがこれらMACアルゴリズムを使用して、IOS-XE 17.10 以降の機器へ接続が出来るようになります。
参考情報
IOS-XE 17.10 でされた変更について
https://www.cisco.com/c/en/us/td/docs/routers/ios/config/17-x/sec-vpn/b-security-vpn/m_sec-secure-shell-algorithm-ccc.html
