Oxidized项目连接FirewareOS设备SSH密钥交换问题解析与解决方案

问题背景

在使用Oxidized网络设备配置备份工具时，部分用户遇到了无法通过SSH连接运行FirewareOS 12.8.2 Update 1版本的Watchguard防火墙设备的问题。系统日志显示SSH连接失败，错误信息明确指出密钥交换(KEX)算法协商失败。

错误现象分析

当Oxidized尝试连接设备时，会出现以下典型错误信息：

could not settle on kex algorithm
Server kex preferences: [e-mail]
Client kex preferences: ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1

这表明服务器端(防火墙设备)要求使用[e-mail]算法进行密钥交换，而客户端(Oxidized)提供的算法列表中不包含此选项，导致连接失败。

技术原理

这个问题源于Watchguard在FirewareOS 12.8.2 Update 1中加强了SSH连接的安全性，默认启用了更现代的加密算法。curve25519-sha256是一种基于椭圆曲线的密钥交换算法，相比传统的Diffie-Hellman算法具有更好的安全性和性能。

Oxidized底层使用Ruby的net-ssh库实现SSH连接功能。虽然net-ssh从7.0.0版本开始就支持curve25519-sha256算法，但需要额外安装x25519这个Ruby gem才能启用该功能。

解决方案

解决此问题的方法非常简单：

1. 在运行Oxidized的系统上安装x25519 gem：

gem install x25519

2. 对于使用Docker容器的用户，最新版的Oxidized镜像已经包含了这个依赖，只需更新到最新版本即可。

验证与确认

多位用户验证了这一解决方案的有效性。安装x25519 gem后，Oxidized能够成功与Watchguard防火墙建立SSH连接，完成配置备份工作。

总结

这个问题展示了现代网络安全实践中算法升级带来的兼容性挑战。随着设备厂商逐步淘汰旧的加密算法，运维工具链也需要相应更新。Oxidized社区通过添加必要的依赖快速解决了这一问题，体现了开源项目的灵活性和响应能力。

对于网络运维团队，建议定期检查自动化工具与网络设备之间的协议兼容性，特别是在设备固件升级后，以确保配置备份等关键功能不受影响。