Обновление ПО для сервисных маршрутизаторов ESR. Версия 1.40.4

Мониторинг и управление

CLI:

• Доработки и улучшения:
• Реализована возможность фильтрации конфигурации IPsec при выводе команд "show running-config" и "show candidate-config"
• Реализована возможность фильтрации конфигурации IPS при выводе команд "show running-config" и "show candidate-config"
• Реализована возможность фильтрации конфигурации licence при выводе команд "show running-config" и "show candidate-config"
• Реализована возможность отдельного просмотра входящего и исходящего трафика командой "monitor"
• Реализована команда "show system power-supply" для просмотра подробной информации о блоках питания
• Скорректированы сообщения пользователю при ошибке копирования
• Скорректированы подсказки для команды "unmount storage-devices"
• Скорректированы подсказки для команд "clear storage-devices"
• Скорректированы подсказки для команд "verify storage-devices"
• Улучшена читаемость логов процесса "if-mgr-ng"
• Решение эксплуатационных проблем:
• Решена проблема некорректного отображения конфигурации раздела PBX. После удаления одного ruleset переставали отображаться правила сущестующего ruleset.
• Решена проблема некорректного отображения правил при выводе команды "show ip route-map"
• Не отображались ключи ge/le/eq, если их указать для "match ip address object-group <OBJECT-GROUP-NAME>"
• Параметры классификации, заданные как "match ip address <PREFIX>", отображались в разделе "Actions:" вместо "Match pattern:"
• При настройке классификации "match ip address 0.0.0.0/0" она не отображалась ни в "Match pattern:", ни в "Actions:"
• Решена проблема конфигурации пересекающихся портов в "object-group service". Не происходило применение изменений конфигурации, если в "object-group service" были прописаны отдельные "port-range", содержащие один и тот же номер порта
• Решена проблема пересечения IP-адреса с префиксом в "object-group network". Не происходило применение изменений конфигурации, если в "object-group network" были прописаны отдельные "ip address-range" и/или "ip prefix", содержащие один и тот же IP-адрес

SSH:

• Решение эксплуатационных проблем:
• Решена проблема невозможности подключения по SSH из CLI ESR без указания "source-address"
   

TFTP:

• Доработки и улучшения:
• Реализована возможность конфигурирования "source-ip" для копирования по TFTP
   

SNMP:

• Доработки и улучшения:
• Реализована поддержка OID "ELTEX-GENERIC-MIB::eltexNATSessionTotalCounter", позволяющего отслеживать количество NAT-сессий с использованием протокола SNMP
• Реализована поддержка OID "ELTEX-GENERIC-MIB::eltexEnvMemoryAvailable", позволяющего отслеживать доступную память с использованием протокола SNMP
• Реализована поддержка OID "ELTEX-GENERIC-MIB::eltexSystemLastReloadReason", позволяющего получить причину последней перезагрузки устройства
• Реализована поддержка "ELTEX-ESR-DHCP-MIB.mib", позволяющего отслеживать счетчики DHCP Relay с использованием протокола SNMP
• Реализована поддержка SNMP-таблиц с информацией о кластере на ESR в MIB "ELTEX-ESR-CLUSTER-MIB.mib". Реализованные таблицы:
• "show cluster status"
• "show cluster sync status"
• "show cluster sync configuration"
• "show cluster-unit-licence"
• Реализована шифрование SNMP-community при выводе команд "show running-config" и "show candidate-config"
• Реализовано сохранение счетчика "snmpEngineBoots" при перезагрузке устройства. После обновления с более ранних версий до версии 1.40 и более поздних, возникнет перерыв опросов по SNMPv3. Для восстановления необходимо перезапустить SNMP сервис на устройстве
• Решение эксплуатационных проблем:
• Решена проблема отсутствия значений OID "IF-MIB::ifType" для sub-интерфейсов при наличии PPPoE-туннеля. После конфигурирования и активации PPPoE-туннеля, переставали отдаваться значения OID "IF-MIB::ifType" для сконфигурированных sub-интерфейсов
• Решена проблема некорректного опроса таблиц счетчиков интерфейсов и их IP-адресов ("ipIfStatsTable", "ipAddressPrefixTable") в случаях, когда на опрашиваемом устройстве настроен PPP-сервер c активными клиентскими сессиями
• Решена проблема отсутствия SNMP-Trap при указании loopback-интерфейса в качестве source-address для snmp-server host
• Решена проблема с некорректным значением OID статуса единсткенного БП (.1.3.6.1.4.1.89.53.15.1.2.0) на ESR-30. Отдавалось значение "5 – Not Present"

Syslog:

• Доработки и улучшения:
• Реализована возможность выбора типа значения в поле HOSTNAME в логах Syslog, отправляемых на удаленный хост
• Реализована возможность отключения отправки поля "STRUCTURED-DATA"
• Реализован вывод IP-адреса в логах при подключении пользователя по telnet или SSH
• Решение эксплуатационных проблем:
• Решена проблема отображения логов при конфигурировании строковых параметров при включённой опции "syslog cli-commands". При
• активированной настройке "syslog cli-commands", при вводе команды, содержащей строковый аргумент, в syslog-сообщении строковый аргумент заменялся 10-ричным значением
• Решена проблема утечки памяти при наличии сконфигурированного "syslog host"
• Решена проблема с просмотром лог-файла, записанного на съемном носителе (USB/MMC)

ZTP

• Доработки и улучшения:
• Реализована возможность безусловного применения конфигурации с внешнего носителя при запуске устройства

NTP

• Доработки и улучшения:
• Реализована возможность конфигурирования "ntp source address" и "ntp ipv6 source address" для VRF

Маршрутизация

Static

• Доработки и улучшения:
• Реализована возможность конфигурирования статических маршрутов через WireGuard-туннель

Multiwan:

• Решение эксплуатационных проблем:
• Решена проблема допустимости применения некорректных конфигураций Muliwan

BGP:

• Доработки и улучшения:
• Реализована генерация атрибута atomic-aggregate при анонсировании агрегированного маршрута
• Решение эксплуатационных проблем:
• Решена проблема сброса таймера Uptime для BGP-сессий, находящихся длительное время в состоянии Established

OSPF:

• Доработки и улучшения:
• Команда "network" перенесена из режимы конфигурирования "area" в глобальный режим конфигурирования процесса OSPF

MPLS

• Доработки и улучшения:
• Реализована возможность использования функционала BFD для LDP
• Решение эксплуатационных проблем:
• Решена проблема конфигурации L2VPN в VRF 

Security

Инфраструктура открытых ключей:

• Доработки и улучшения:
• Переработана конфигурация PKI-сервера и PKI-клиента
• Реализован механизм теневой замены сертификатов PKI-сервера в роли удостоверяющего центра
• Реализована поддержка работы со списком отозванных сертификатов на стороне PKI-сервера и PKI-клиента
• Реализована команда отзыва сертификата на стороне PKI-сервера
• Реализована команда ручного перевыпуска сертификата на стороне PKI-клиента
• Решение эксплуатационных проблем:
• Решена проблема вывода сертификата при запросе команды "show crypto certificates cert"

Firewall:

• Доработки и улучшения:
• Реализована возможность применения политик firewall по расписанию
• Добавлена возможность блокировки трафика с нулевым TCP/UDP-портом источника и назначения
• Решение эксплуатационных проблем:
• Решена проблема применения правил, содержащих фильтрацию по доменному имени

DPI:

• Доработки и улучшения:
• Расширен список поддерживаемых приложений
• Решение эксплуатационных проблем:
• Решены проблемы в работе Application Firewall, в редких случаях приводившие к деградации и полной блокировке транзитного трафика

IPsec:

• Доработки и улучшения:
• Реализована возможность конфигурирования "email address" в качестве IKE identity
• Оптимизирована работа IPsec при обработке пользовательского трафика
• Расширены поля в выводе команд:
• "show security ike proposal"
• "show security ike policy"
• "show security ike gateway"
• "show security ipsec proposal"
• "show security ipsec policy"
• Реализована возможность очистки всех текущих VPN-соединений при помощи команды "clear security ipsec vpn"
• Решение эксплуатационных проблем:
• Решена проблема отсутствия VRRP IP в подсказках к команде "local address" в режиме конфигурирования "ike gateway"
• Исправлен формат вывода команды "show security ike policy"

Защита от атак:

• Доработки и улучшения:
• Реализована возможность обнуления счётчиков срабатывания защиты от DDoS-атак при помощи команд "clear ip firewall screens counters" и "clear ipv6 firewall screens counters"
• Реализована возможность просморта счетчиков отброшенных пакетов для механизма arp inspection при помощи команды "show ip firewall arp-inspection counters"
• Реализована возможность обнуления счетчиков отброшенных пакетов для механизма arp inspection при помощи команды "clear ip firewall arp-inspection counters"
   

IDS/IPS:

• Решение эксплуатационных проблем:
• Решена проблема захвата трафика средствами IPS при наличии VRRP. Данная проблема приводила к тому, что трафик, проходящий через VRRP-интерфейс, не захватывался IPS, из-за чего происходила ошибочная блокировка пакетов

ACL:

• Доработки и улучшения:
• Реализован новый тип ACL – "mac access-list", который позволяет конфигурировать правила фильтрации для L2-трафика

Резервирование

Cluster:

• Доработки и улучшения:
• Реализована синхронизация конфигураций при подключении юнита в кластер

SLA:

• Доработки и улучшения:
• Оптимизирован механизм опроса таблиц IP-SLA по протоколу SNMP

VRRP:

• Доработки и улучшения:
• Реализоано отображение VRRP-IP в выводе команды "show ip interfaces"
• Реализоано отображение VRRP-IP в выводе команды"show arp"
• Реализована возможность конфигурирования поля "description" для режима конфигурирования VRRP
• Реализована возможность просмотра состояния всех VRRP во всех VRF при помощи команды "show vrrp all"
• Удален функционал "track-ip" в конфигурации VRRP
• Решение эксплуатационных проблем:
• Решена проблема некорректного изменения состояния VRRP при выполнении команды "clear vrrp-state" на устройствах с одинаковым приоритетом
• Решена проблема некорректной работы IPv4 VRRP и IPv6 VRRP на одном интерфейсе
• Решена проблема некорректного отображения вывода команды "show run interface"

Remote-access

OpenVPN

• Решение эксплуатационных проблем:
• Решена проблема отображения состояния сетевых интерфейсов при активном OpenVPN-сервере на устройстве
• Решена проблема неверного отображения информации в выводе команды "show crypto certificates public-key"

WireGuard:

• Доработки и улучшения:
• Реализована проверка устанавливаемых ключей как для Remote-access Wireguard, так и для Tunnel Wireguard
• Реализован вывод подсказки со списком доступных ключей при конфигурировании команд "private-key" и "public-key"
• Изменен принцип работы настройки "access-addresses" для WireGuard-клиента (tunnel wireguard)
• Ранее данная настройка влияла и на фильтрацию трафика, отправляемого в туннель, и на инсталляцию маршрутов
• Теперь данная настройка влияет только на фильтрацию трафика, отправляемого в туннель (для инсталляции маршрутов необходимо отдельно конфигурировать статические маршруты)

Интерфейсы

• Физические:
• Решение эксплуатационных проблем:
• Решена проблема невозможности настройки sub-интерфейсов OOB-интерфейса
• Решена проблема добавления "Ethernet trailer" к ethernet-кадрам на ESR-1200, ESR-1500, ESR-1511
• Решена проблема увеличения размера ARP-сообщения при прохождении через устройства ESR-3100, ESR-3200, ESR-3300

Туннелирование

GRE:

• Доработки и улучшения:
• Реализована возможность указывать loopback в качестве "local interface"
• Решение эксплуатационных проблем:
• Решена проблема некорректного подсчета контрольной суммы для ICMP-пакетов keepalive
• Решена проблема отображения IP-адресов, назначенных на GRE-туннелях в выводе команды "show ip interfaces"

VTI:

• Решение эксплуатационных проблем:
• Решена проблема отсутствия VRRP-IP в подсказках к команде "local address"
• Решена проблема отображения IP-адресов, назначенных на VTI-туннелях в выводе команды "show ip interfaces"

DMVPN:

• Доработки и улучшения:
• Добавлена отладочная информация DMVPN при выгрузке данных командой "show tech-support"
• Решение эксплуатационных проблем:
• Решена проблема некорректного Init-состояния BFD-соседства при выключении/включении mGRE-туннеля

Сетевые сервисы

DNS:

• Доработки и улучшения:
• Реализована возможность конфигурирования "source-address" для обращения к DNS-серверу

NAT:

• Решение эксплуатационных проблем:
• Решена проблема с неработоспособностью команды "check output-interface"

DHCP:

• Доработки и улучшения:
• Реализована командя для вывода счетчиков работы DHCP-Relay – "show ip dhcp relay"
• Решение эксплуатационных проблем:
• Решена проблема с выводом ошибки "internal error" при выполнении команды "show ip dhcp binding"
• Решена проблема некорректного открытия порта OMAPI (TCP-7911)
• Решена проблема с неработоспособностью dhcp-серера на VRRP-интерфейсе после смены роли

QoS:

• Доработки и улучшения:
• Реализован учета служебных заголовков при ограничении скорости с помощью функционала "shape"
• Решение эксплуатационных проблем:
• Решена проблема высокой утизиациии CPU при выполнении команды "show qos policy statistics"

vESR

• Доработки и улучшения:
• Изменен выбор предпочтительного clocksource (tsc/refined-jiffies/jiffies/hpet)
• Удалена команда конфигурирования лицензионного ключа "licence-key" из режима конфигурирования "licence-manager"
• Реализована команда конфигурирования лицензионного ключа "set system licence-key" в режиме глобальной конфигурации
• Решение эксплуатационных проблем:
• Решена проблема bootloop vESR на Hyper-V

Аппаратное обеспечение

• Доработки и улучшения:
• Реализована поддержка маршрутизаторов ESR-3150
• Решение эксплуатационных проблем:
• Решена проблема спонтанной перезагрузки ESR-15/15R/15VF
• Решена проблема возможной потери конфигурации после отключении питания ESR-15/15R/15VF
• Решена проблема спонтанной перезагрузки ESR-1500