Troubleshooting SSH Compatibility pada Cisco Catalyst 3750 IOS Lawas

 

Mengatasi Error SSH “No Matching …” & Host Key Mismatch di Cisco Catalyst 3750 (IOS Lawas)

📌 Latar Belakang

Banyak perangkat jaringan lawas, termasuk Cisco Catalyst 3750 dengan IOS 12.2(55)SE7, hanya mendukung algoritma SSH generasi lama.

Sementara itu, OpenSSH modern (Windows 11, Linux terbaru) secara default menonaktifkan algoritma lama demi keamanan.

Akibatnya, koneksi SSH gagal meskipun IP reachable dan kredensial benar.

---

🔍 Gejala Masalah

1. Error KEX (Key Exchange)

ssh <username>@<ip-address>

Unable to negotiate with <ip-address> port 22: no matching key exchange method found. Their offer: diffie-hellman-group1-sha1

2. Error MAC

(Setelah KEX diperbaiki)

Unable to negotiate with <ip-address> port 22: no matching MAC found. Their offer: hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96

3. Host Key Mismatch (setelah regenerasi key)

WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!

Host key verification failed.

---

🧩 Analisis

Proses negosiasi SSH terdiri dari tiga tahap utama:

• KEX (Key Exchange) → tukar kunci awal.
• Cipher → enkripsi data.
• MAC (Message Authentication Code) → verifikasi integritas data.

🔒 Cisco 3750 IOS 12.2(55)SE7 hanya mendukung algoritma lama:

• KEX → diffie-hellman-group1-sha1
• Cipher → aes128-cbc, 3des-cbc
• MAC → hmac-sha1, hmac-sha1-96, hmac-md5, hmac-md5-96

⚠️ OpenSSH modern menolak algoritma ini secara default → negosiasi gagal.

---

⚡ Solusi Cepat (Client-side)

🔹 Windows CMD / PowerShell

Gunakan opsi tambahan agar OpenSSH mau pakai algoritma lama:

ssh -v `

  -oKexAlgorithms=+diffie-hellman-group1-sha1 `

  -oHostKeyAlgorithms=+ssh-rsa `

  -oCiphers=+aes128-cbc `

  -oMACs=+hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96 `

  <username>@<ip-address>

🔹 PuTTY

• Kex: aktifkan & geser diffie-hellman-group1-sha1 ke atas.
• Cipher: aktifkan AES(128) atau 3DES.
• MAC: aktifkan semua opsi lawas (SHA1, MD5).

---

🛠 Solusi Permanen (Device-side)

Catatan: Regenerasi RSA key tidak menambah algoritma baru. IOS lama memang terbatas.

Pilihan solusi:

• 🔼 Upgrade IOS → ke versi 15.x yang mendukung algoritma modern.
• 🖥️ Gunakan jump host → VM/host dengan OpenSSH versi lama.
• 🔒 Batasi akses SSH → hanya dari jaringan aman (misalnya management VLAN).

---

🆕 Mengatasi Host Key Mismatch

Masalah ini muncul setelah regenerasi RSA key di switch. OpenSSH akan menolak koneksi jika fingerprint host key berubah.

Solusi 1 — via ssh-keygen

ssh-keygen -R <ip-address>

Solusi 2 — manual edit

Hapus baris <ip-address> di file:

• Windows → C:\Users\<user>\.ssh\known_hosts
• Linux/macOS → ~/.ssh/known_hosts

Kemudian coba SSH ulang dan konfirmasi fingerprint baru dengan ketik yes.

---

❗ Mitos vs Fakta

Mitos	Fakta
Regenerasi RSA key akan memperbarui algoritma SSH	❌ Salah – algoritma bergantung pada versi IOS
OpenSSH modern bisa langsung connect ke IOS lawas	❌ Salah – perlu enable algoritma lama di sisi client
Error “REMOTE HOST IDENTIFICATION HAS CHANGED” berarti ada hacker	❌ Tidak selalu – seringkali hanya host key berubah setelah regenerasi/reset
Satu-satunya solusi adalah upgrade IOS	❌ Bisa juga pakai workaround client-side atau jump host

---

📚 Kesimpulan

• Masalah terjadi karena mismatch algoritma antara client modern dan device lawas.
• Solusi cepat → aktifkan algoritma lama di sisi client.
• Solusi permanen → upgrade IOS atau gunakan jump host yang kompatibel.
• Host key mismatch → hapus entry lama di known_hosts lalu terima fingerprint baru.

Dengan trik ini, perangkat Cisco 3750 lawas tetap bisa dikelola tanpa harus langsung upgrade, sambil menjaga jalur migrasi jangka panjang.