下記の問題点を改修いたしました。
|
(1) |
IPsec冗長機能を使用する構成において、センター側VPN装置のLAN側インターフェースがダウンしてバックアップ経路通信に切り替わった場合に、センター側VPN装置のLAN側インターフェースがアップしてもメイン経路通信に戻らないことがありました。 |
(2) |
OSPF使用時にルート数の上限を超えてルート情報を受信・登録できてしまっていました。 |
(3) |
SA確立状態で keepalive-icmp source-interface 設定を削除しrefreshしても、keepalive-icmpパケットの送信元アドレスが設定削除前のsource-interfaceで指定されたものになっていました。 |
(4) |
AggressiveモードのResponder側となった場合に、keepalive always-sendの設定をしても、keepaliveのパケットが送信されなくなってしまうことがありました。 |
(5) |
AggressiveモードのResponder側でXAUTH(拡張認証)設定を併用した場合に、InitiatorからのIKE SA再確立が行われると、旧IKE SAを削除せずに、新旧2つのIKE SAが存在する状態となっていました。旧IKE SAはlifetime満了まで内部的に保持されていました。 |
(6) |
ipsecif を使用してトンネルの中にさらにトンネルを通す下記のような構成において、F100#2とF100#3間のトンネルでESP通信が1度も発生していない状態の場合に、F100#1からIKEのパケットを受けるとF100#2がICMPエラーメッセージ(destination unreachable)を送信し、F100#1とF100#4間のトンネルが確立できませんでした。
<構成>
F100#1 ----- F100#2 ------ F100#3 ------ F100#4
|
(7) |
タイマ登録処理において時刻情報の取り扱いに問題があり、以下の現象が発生する可能性がありました。
- ルーティングプロトコル(RIP、OSPF、BGP、RIPng)の定期送信パケット停止
- working.cfg編集状態でresetコマンドを実行した場合の警告メッセージ誤動作
- IPv6におけるRA広告機能停止
- IPv6におけるDHCPクライアント機能停止
- VRRP機能におけるマスター状態に遷移した経過時間の不正表示
|
(8) |
複数のevent-actionに同じ宛先への経路情報追加を行う設定を行った場合に、経路情報が削除されたり変更されてしまうことがありました。 |
(9) |
OSPFで配信されたデフォルトルートが有効になりませんでした。 |
(10) |
DPD の keepalive が Failして SA を消す場合に、deleteメッセージを送信していませんでした。 |
(11) |
event-actionモードの add ip route コマンドにおいて、add ip route <ip> <mask> connected ipsecif までが同じだと上書きされてしまい、ipsecif 向けの複数ルートの追加ができませんでした。 |
(12) |
event-actionモードの add ip route コマンドにおいて、add ip route <ip> <mask> までが同じで <nexthopアドレス>の異なる設定を行うと上書きされてしまい、複数ルートの追加ができませんでした。 |
(13) |
予期せぬ事態において装置が自律リセットを行う場合に、次の問題がありました。
- 自律リセットが完了せずに装置停止する可能性がありました。
- 自律リセットのログが残らない可能性がありました。
|
(14) |
event-action の内容は変更になっているが、event-map が変更にならないような設定の変更をおこなってrefreshした場合に、event-action の内容が実行されないことがありました。 |
(15) |
crypto isakmp policyモードの keepalive のヘルプ文字列を修正しました。 |
(16) |
Web管理機能画面のHTML表記において<p>タグの使用方法に不適切な部分がありました。 |
(17) |
Web管理機能のコンフィグファイルのアップロードで、内容がすべて -1 のファイルをアップロードした際に、エラー画面を表示してコンフィグファイルが書き換えられないように修正しました。。 |
(18) |
INBOUND SAが256個、OUTBOUND SAが0個となっている状態で IKE keepalive 動作を行うと、SAがないと誤判断して keepalive パケットを送信しない可能性がありました。 |
(19) |
Quick Mode の Responderで QM-3rd パケット受信前に EWAN インターフェースがダウン(ケーブルを抜く等)した場合に、Quick Modeネゴシエーションのタイムアウトを迎えても、QM-1st受信時に作成したSAを削除することができませんでした。 |
(20) |
IKE SAのlifetime計測処理において、計測誤差が累積する問題がありました。 |
(21) |
keepalive(DPD)動作において、DPDリクエストパケットの送信が1回抜ける等の動作が発生することがあり、VPNピアのダウンを検出するタイミングが遅れる可能性がありました。 |
(22) |
nullインターフェース宛の中継パケットを連続的に送信すると、slogに下記のログが記録されることがありました。
”unable to enter address for IPアドレス (could not allocate llinfo) ”
|
(23) |
router rip 設定モードの distribute-list コマンドでインターフェース指定を行うと、RIPフィルタの内容が有効となりませんでした。 |
(24) |
IPsecとQoSを併用する設定で、多数のSAを収容もしくはlifetime 設定が短く、SAの張り替えが頻繁に行われる環境下において、以下の vpnlog が記録されて、ESP通信が停止する現象が発生することがありました。
”espInputAsync driver error (109) ”
”safn_des_cbc_mbuf_async error (-1) ”
|
(25) |
shutdown してある dialer インターフェースで、no shutdown として refresh しても、フィルタリングと NAT の設定が有効になりませんでした。 |
(26) |
イベントアクション機能関連の設定変更を行いrefreshした場合に、即時有効処理が正しく動作しないことがありました。 |
(27) |
crypto isakmp policy の33番目以降にvpn natを使用する設定を行った場合に、正しく動作しないことがありました。 |
(28) |
event-map で複数の event-class が一つの event-action にマップされていると、正しく動作しないことがありました。 |
|
−−−−−−−−2005/11/14 下記を追記−−−−−−−−
|
(29) |
「NISCC-273756 ISAKMP プロトコルの実装に複数の脆弱性」にて報告されている問題について対応しました。脆弱性の詳細についてはこちら。 |