解决SPEL项目中Packer在Oracle Linux 9上SSH连接失败问题

解决SPEL项目中Packer在Oracle Linux 9上SSH连接失败问题

spel STIG-Partitioned Enterprise Linux (spel) 项目地址: https://gitcode.com/gh_mirrors/sp/spel

在SPEL项目中使用Packer构建Oracle Linux 9镜像时，可能会遇到SSH连接失败的问题。这个问题源于FIPS模式下的安全限制与Packer默认SSH密钥交换算法的不兼容性。

问题现象

当Packer尝试通过SSH连接到新创建的Oracle Linux 9实例时，连接会超时失败。检查实例的/var/log/secure日志文件，会发现如下错误信息：

input_kex_gen_init: Key exchange type c25519 is not allowed in FIPS mode [preauth]
ssh_dispatch_run_fatal: Connection from [IP地址] port [端口号]: invalid argument [preauth]

问题根源

Oracle Linux 9默认启用了FIPS（联邦信息处理标准）模式，这是一种严格的安全合规模式。在FIPS模式下，系统会限制允许使用的加密算法和密钥交换方法。

Packer默认使用的SSH通信器尝试使用Curve25519（c25519）密钥交换算法，但这种算法在FIPS模式下不被允许，导致SSH连接失败。

解决方案

要解决这个问题，我们需要在Packer配置中显式指定允许的密钥交换算法，排除不被FIPS模式支持的算法。具体方法是在Packer的SSH通信器配置中添加ssh_key_exchange_algorithms参数：

"ssh_key_exchange_algorithms": [
  "ecdh-sha2-nistp521",
  "ecdh-sha2-nistp256",
  "ecdh-sha2-nistp384",
  "ecdh-sha2-nistp521",
  "diffie-hellman-group14-sha1",
  "diffie-hellman-group1-sha1"
]

技术背景

FIPS模式是美国政府制定的一套信息安全标准，要求使用经过认证的加密算法。Curve25519虽然是一种现代、高效的椭圆曲线加密算法，但尚未获得FIPS认证，因此在FIPS模式下被禁用。

我们选择的替代算法包括：

1. NIST标准椭圆曲线算法（ecdh-sha2-nistp256/384/521）：这些是FIPS认证的椭圆曲线算法
2. Diffie-Hellman组交换算法：传统的密钥交换方法，FIPS兼容

实施建议

对于使用SPEL项目构建Oracle Linux 9镜像的用户，建议：

1. 更新Packer模板，添加上述密钥交换算法配置
2. 在构建环境中测试SSH连接功能
3. 考虑其他可能受FIPS模式影响的组件，确保整体兼容性

这种解决方案不仅解决了Packer构建问题，还确保了系统保持FIPS合规状态，适合需要严格安全标准的部署环境。

spel STIG-Partitioned Enterprise Linux (spel) 项目地址: https://gitcode.com/gh_mirrors/sp/spel