Content

１. 対象のシステム

AIX 7.1 TL5以上、かつOpenSSH(ssh, scp, sftp)を使用しているシステム

同梱OpenSSHレベルとAIXレベルの対照表

２．対象ソフトウェア

OpenSSH 7.x と OpenSSH 6.x の組み合わせ

３．発生する現象

OpenSSHあるいはAIX TLをアップグレードすると、SSH接続に失敗する場合があります。

SSHサーバー(sshd)側の問題に関しては下記のtechnoteに詳しく記載されています。

IBM Various ssh problems after upgrading to OpenSSH 7.x
https://www-01.ibm.com/support/docview.wss?uid=isg3T1025737

SSHクライアント側でも同様にSSH接続の問題が報告されており、例えば以下のようなエラーメッセージが出力されます。

DH_GEX group out of range: 2048 !< 1024 !< 8192
Connection closed

あるいは

ssh_dispatch_run fatal: Connection to xxx.xxx.xxx.xxx port 22:
DH GEX group out of range Connection closed

４．原因

OpenSSH 7.x と OpenSSH 6.x の間で、暗号化アルゴリズムのデフォルト設定あるいは仕様が変更されているため。

明示的なOpenSSHのバージョンアップを行わない場合でも、AIX 7.1 TL5以降にAIXをアップグレードした場合にOpenSSHが6.0.0.6204(6.0p1)から7.1.102.1100(7.1p1)へアップグレードされるため「AIXのアップグレード後SSH接続ができなくなった」という問題として認識されることがあります。

- AIX 7.1 TL4: openssh.base 6.0.0.6201 (6.0p1)
- AIX 7.1 TL5: openssh.base 7.1.102.1100 (7.1p1)

OpenSSH 7.1.102.1100 のReadmeより抜粋:

*) Increase the minimum modulus size supported for diffie-hellman-group-exchange to 2048 bits.

５．回避策

• SSHサーバーが OpenSSH 7.xの場合
  SSHサーバーの /etc/ssh/sshd_config に "KexAlgorithms +diffie-hellman-group1-sha1"の設定を行い、sshdを再起動します。
  
  ************************************************************************************
  2019/08追記
  この回避方法では、障害により sshd が起動できない可能性があります。
  その場合、/etc/ssh/sshd_config の KexAlgorithms +diffie-hellman-group1-sha1 を以下に置き換えてください。
  
  KexAlgorithms diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha1,diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,curve25519-sha256,curve25519-sha256@libssh.org,gss-group1-sha1-,gss-group14-sha1-,gss-gex-sha1-
  
  ※ 間に改行を含めず、1行で設定してください。
  ************************************************************************************

• SSHクライアントが OpenSSH 7.xの場合
  SSHクライアントにおいて、コマンドラインオプションに"-oKexAlgorithms=diffie-hellman-group1-sha1"を設定するか、/etc/ssh/ssh_config に "KexAlgorithms diffie-hellman-group1-sha1" の設定を行います。

以上