https://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.20.01/relnote_20_01_03.html Revision : 20.01.03 Release : Jul. 2026, ヤマハ株式会社 vRX Rev.20.01.03 リリースノート ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 【重要】vRX Rev.20系への移行のお願い ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 2028年3月31日をもって、Rev.19系で使用可能なライセンスの販売を終了します。計画的 にRev.20系へ移行してください。 詳しくは以下をご覧ください。 https://www.rtpro.yamaha.co.jp/notice/vrx/vrx-rev20-migration-notice-esxi-ec2.html ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ Rev.19.01.09 からの変更点 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ■脆弱性対応 [1] OpenSSLの以下の脆弱性対応を行った。 - CVE-2021-3712(JVNVU#99612123) - CVE-2022-0778 (JVNVU#90813125) - CVE-2025-69421(JVNVU#91919266) ■機能追加 [1] ヘアピンNAT機能を追加した。 https://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/hairpin_nat.html 外部仕様書をよくご確認のうえ、ご利用ください。 [2] LANパススルー機能を追加した。 https://www.rtpro.yamaha.co.jp/RT/docs/lan_pass-through/index.html 外部仕様書をよくご確認のうえ、ご利用ください。 [3] DHCPv6-PDサーバー機能を追加した。 https://www.rtpro.yamaha.co.jp/RT/docs/dhcpv6/index.html 外部仕様書をよくご確認のうえ、ご利用ください。 [4] FQDNフィルター機能のIPv6対応を行った。 [5] Luaスクリプト機能で、LuaSocketに対応した。 https://www.rtpro.yamaha.co.jp/RT/docs/lua/index.html 外部仕様書をよくご確認のうえ、ご利用ください。 [6] IKEv2で、Configuration Payloadに対応した。 この変更により、Android と iOS の端末でIKEv2を使ったリモートアクセスVPN接続 が可能になる。 [7] フィルター型ルーティングで、IPv6に対応した。 [8] IKEv1で、受信したIDを基とした経路を自動的に追加できるようにした。 https://www.rtpro.yamaha.co.jp/RT/docs/ipsec/ipsec-auto-route-add.html 外部仕様書をよくご確認のうえ、ご利用ください。 [9] BGPで、MD5認証機能に対応した。 ○BGP で使用する TCP MD5認証の事前共有鍵の設定 [書式] bgp neighbor pre-shared-key NEIGHBOR_ID text TEXT_KEY no bgp neighbor pre-shared-key NEIGHBOR_ID [text TEXT_KEY] [設定値及び初期値] ・NEIGHBOR_ID [設定値] : 近隣ルーターの番号 (1...2147483647) [初期値] : - ・TEXT_KEY [設定値] : ASCII文字列で表した鍵 (80文字以内) [初期値] : - [説明] BGP で使用する TCP MD5認証の事前共有鍵を設定する。設定した事前共有鍵が一 致するピア間のみ、BGPのコネクションが成立する。 [ノート] vRX VMware ESXi 版は Rev.20.01.03 以降で使用可能。 ★ [10] IPv6の経路情報に変化があった時にログに記録するか否かを設定するコマンドを追 加した。 ○IPv6の経路情報に変化があった時にログに記録するか否かの設定 [書式] ipv6 route change log LOG no ipv6 route change log [LOG] [設定値及び初期値] ・LOG [設定値] : on : IPv6経路の変化をログに記録する off: IPv6経路の変化をログに記録しない [初期値] : off [説明] IPv6の経路情報に変化があった時にそれをログに記録するか否かを設定する。 ログはINFOレベルで記録される。 [11] ipsec ike durationコマンドで、古くなったSAの寿命を強制的に短縮する時間を設 定できるようにした。 ○SA の寿命の設定 [書式] ipsec ike duration SA GATEWAY_ID SECOND [KBYTES] [rekey REKEY] [forced-reduction=DEL_TIME] ★ no ipsec ike duration SA GATEWAY_ID [SECOND [KBYTES] [rekey REKEY] [forced-reduction=DEL_TIME]] ★ [設定値及び初期値] ・SA [設定値] : --------------------------------------------------- 設定値 説明 --------------------------------------------------- ipsec-sa (もしくは child-sa) IPsec SA (CHILD SA) isakmp-sa (もしくは ike-sa) ISAKMP SA (IKE SA) --------------------------------------------------- [初期値] : - ・GATEWAY_ID [設定値] : セキュリティー・ゲートウェイの識別子 [初期値] : - ・SECOND [設定値] : 秒数(300..691200) [初期値] : 28800 ・KBYTES [設定値] : キロ単位のバイト数(100..100000) ・REKEY : SAを更新するタイミング [設定値] : ------------------------------------------------------------------ 設定値 説明 ------------------------------------------------------------------ 70% - 90% パーセント off 更新しない(SAパラメーターでisakmp-sa (ike-sa) を指定し たときのみ設定可能) ------------------------------------------------------------------ [初期値] : 75% ・DEL_TIME [設定値] : 古くなったSAの寿命を強制的に短縮する時間(1..691200) ★ [初期値] : - [説明] 各 SA の寿命を設定する。 KBYTES パラメーターを指定した場合には、 SECOND パラメーターで指定した時 間が経過するか、指定したバイト数のデータを処理した後に SA は消滅する。 KBYTES パラメーターは SA パラメーターとして ipsec-sa (child-sa) を指定 したときのみ有効である。SA の更新は KBYTES パラメーターに設定したバイト数 の75%を処理したタイミングで行われる。また、IPsec SA (CHILD SA) が更新さ れたとき古くなった既存の IPsec SA (CHILD SA) の寿命が 30 秒以上である場 合は、寿命が 30 秒に短縮される。 REKEY パラメーターは SA を更新するタイミングを決定する。例えば、 SECOND パラメーターで 20000 を指定し、 REKEY パラメーターで75%を指定した場合に は、SA を生成してから 15000 秒経過したときに新しい SA を生成する。 REKEY パラメーターは SECOND パラメーターに対する比率を表すもので、 KBYTES パ ラメーターの値とは関係がない。 SA パラメーターで isakmp-sa(ike-sa) を指定したときに限り、REKEY パラメー ターで 'off' を設定できる。このとき、 IPsec SA (CHILD SA) を作る必要が ない限り、ISAKMP SA (IKE SA) の更新を保留するので、 ISAKMP SA (IKE SA) の生成を最小限に抑えることができる。 その他、動作するIKEのバージョンによって異なる、本コマンドの影響、注意点 については以下の通り。 ・IKEv1 始動側として働く場合に、このコマンドで設定した寿命値が提案される。 応答側として働く場合は、このコマンドの設定に関係なく相手側から提案 された寿命値に合わせる。 また、 ISAKMP SA に対する REKEY パラメーターを off に設定した場合、 その効果を得るためには、次の2点に注意して設定する必要がある。 1. IPsec SAよりも ISAKMP SA の寿命を短く設定する。 2. ダングリングSAを許可する。すなわち、ipsec ike restrict-dangling-sa コマンドの設定を off にする。 ・IKEv2 IKEv2 では SA 寿命値は折衝されず、各セキュリティー・ゲートウェイが 独立して管理するものとなっている。従って、確立された SA には、常に このコマンドで設定した寿命値がセットされる。ただし、相手側セキュリ ティー・ゲートウェイの方が SA 更新のタイミングが早ければ、 SA はそ の分早く更新されることになる。 forced-reduction オプションに時間を指定すると、SA を更新した際に古くなっ た既存の SA の寿命を強制的に設定値に変更し、消滅までの時間を早めること ができる。ただし、IPsec SA (CHILD SA) で KBYTES パラメーターにバイト寿 命値を指定している場合は、DEL_TIME パラメーターで 31 秒以上の値を設定し ていても、短縮される値は30 秒となる。また、IKEv1 では寿命が設定値よりも 短い場合は変更しない。 ★ ISAKMP SA (IKE SA) の寿命が IPsec SA (CHILD SA) の寿命より先に尽きた場 合は、ISAKMP SA (IKE SA) の寿命値を IPsec SA (CHILD SA) の寿命値に合わ せる。 なお、このコマンドを設定しても、すでに存在するSAの寿命値は変化せず、新 しく作られる SA にのみ、新しい寿命値が適用される。 [ノート] forced-reduction オプションは以下の機種およびリビジョンで使用可能。 vRX VMware ESXi版 は Rev.20.00.03以降。 [12] bgp export filterコマンドのpreferenceオプションが比較するBGP経路の種別を変 更するコマンドを追加した。 ○BGPで受信した経路に対するbgp export filterのpreferenceオプションを使用し た経路選択プロセスの動作を設定 ★ [書式] bgp export route selection rule RULE no bgp export route selection rule [RULE] [設定値及び初期値] ・RULE [設定値] : ebgp-only, all --------------------------------------------------- 設定値 説明 --------------------------------------------------- ebgp-only eBGPで受信した同じ宛先の経路を比較 対象とする。 all 全てのBGPで受信した同じ宛先の経路を 比較対象とする。 --------------------------------------------------- [初期値] : ebgp-only [説明] BGP で同じ宛先の経路を複数の相手から受信した際、一方を選択するための優 先度による比較対象を設定する。 本コマンドの設定により bgp export filter コマンドの preference で比較す る経路の種別が変更される。 rule に ebgp-only を設定した場合、EBGP で受信した経路に対してのみ preference による比較が働く。rule に all を設定した場合、全ての BGP で 受信した経路に対して preference による比較が働く。このため、IBGP で受信 した経路に対しても、preference による比較が働く。これにより、IBGP で受 信した経路の優先度を EBGP で受信した経路よりも高くすることが可能になる。 IBGP のみを使用した構成では、本コマンドの設定によって選択される経路が変 わることはない。 同じ近隣ルーター番号をもつ近隣ルータから複数の同一宛先経路を受信する場 合、本コマンドによって規則を変更した経路選択の優先度に差を設けることは できない。この場合、EBGP であれば med を、IBGP であれば Local Preference を使用して経路の優先度を設定できる。 本コマンドに対応していないリビジョンでは、RULE が ebgp-only のときの動 作をする。 [ノート] 本コマンドで動作を設定可能な経路選択プロセスは以下の URL を参照してくだ さい。 https://www.rtpro.yamaha.co.jp/RT/docs/bgp/index.html#rt_select EBGPとIBGP間で同じ宛先の経路を受信する環境下で特定の経路を優先するよう 制御したい場合、本コマンドを設定することで実現できる。 vRX VMware ESXi 版は、Rev.20.01.03 以降で使用可能 [13] NATのポートセービングIPマスカレード機能で、UDPパケットに対応した。 ○NAT 機能の動作タイプの設定 [書式] nat descriptor backward-compatibility TYPE no nat descriptor backward-compatibility [TYPE] [設定値及び初期値] ・TYPE [設定値] : ------------------------------------------------------------------- 設定値 説明 ------------------------------------------------------------------- 1 ポートセービング IP マスカレード機能を無効にする 2 TCP パケットに対してポートセービング IP マスカレード機能を 有効にする 3 TCP パケットおよび UDP パケットに対してポートセービング IP マスカレード機能を有効にする ★ ------------------------------------------------------------------- [初期値] : 1 (RTX5000、RTX3500) 2 (上記以外) [説明] NAT 機能全体の動作タイプを設定する。 RTX5000 / RTX3500 Rev.14.00.32 以降、および、Rev.14.01 系以降の機種では、 ポートセービング IP マスカレード機能に対応しており、IP マスカレードにお いて同一のポート番号を使用して複数の接続先とのセッションを確立できる。 また、TYPE パラメーターに 3 を設定した場合は、TCP パケットおよび UDP パ ケットの両方をポートセービング IP マスカレード機能の対象にできる。 本コマンドでtype パラメーターを 1 に設定した場合の NAT 機能の動作は、 Rev.14 系以前の、本コマンドを搭載していない機種及びファームウェアにおけ る NAT 機能の動作と同等となる。 TYPE パラメーターを 2 または 3 に設定し て動作させた場合に問題が生じる場合は、TYPEパラメーターを 1 にして NAT 機能を使用する必要がある。 [ノート] 本コマンドによる設定の変更を反映するには、ルーターの再起動が必要となる。 TYPE パラメーター 3 は、Rev.15.04 系以前、vRX Amazon EC2版 Rev.19.00.08 以前、vRX VMware ESXi版 Rev.19.01.09 以前、vRX さくらのクラウド版 Rev.19.02.10 以前、RTX1300 Rev.23.00.16 以前、RTX3510 Rev.23.01.03 以前、 および、RTX840 Rev.23.02.02 以前では指定不可能。 [14] RFC3021に対応した。 この変更により、/31のネットマスクを設定したIPv4アドレスが使用可能になる。 ○IP アドレスの設定 [書式] ip INTERFACE address IP_ADDRESS/MASK [broadcast BROADCAST_IP] ip INTERFACE address DHCP ip WAN address PDP ip pp address IP_ADDRESS[/MASK] ip LOOPBACK address IP_ADDRESS[/MASK] ip BRIDGE_INTERFACE address IP_ADDRESS/MASK [broadcast BROADCAST_IP] ip BRIDGE_INTERFACE address DHCP [autoip=SWITCH] no ip INTERFACE address [IP_ADDRESS/MASK [broadcast BROADCAST_IP]] no ip INTERFACE address [DHCP] no ip WAN address [PDP] no ip pp address [IP_ADDRESS[/MASK]] no ip LOOPBACK address [IP_ADDRESS[/MASK]] no ip BRIDGE_INTERFACE address [IP_ADDRESS/MASK [broadcast BROADCAST_IP]] no ip BRIDGE_INTERFACE address [DHCP] [設定値及び初期値] ・INTERFACE [設定値] : LAN インターフェース名、ONU インターフェース名 [初期値] : - ・WAN [設定値] : WAN インターフェース名 [初期値] : - ・LOOPBACK [設定値] : LOOPBACK インターフェース名 [初期値] : - ・BRIDGE_INTERFACE [設定値] : ブリッジインターフェース名 [初期値] : - ・IP_ADDRESS [設定値] : IP アドレス xxx.xxx.xxx.xxx(xxx は十進数 ) [初期値] : - ・DHCP : DHCP クライアントとして IP アドレスを取得することを示すキーワー ド [初期値] : - ・PDP : 内蔵無線 WAN モジュールから IP アドレスを取得することを示すキー ワード [初期値] : - ・MASK [設定値] : ・xxx.xxx.xxx.xxx(xxx は十進数 ) ・0x に続く十六進数 ・マスクビット数 [初期値] : - ・BROADCAST_IP [設定値] : ブロードキャスト IP アドレス [初期値] : - ・SWITCH [設定値] : ------------------------------------------------------ 設定値 説明 ------------------------------------------------------ on : AutoIP 機能を使う off : AutoIP 機能を使わない ------------------------------------------------------ [初期値] : off [説明] インターフェースの IP アドレスとネットマスクを設定する。“BROADCAST BROADCAST_IP" を指定すると、ブロードキャストアドレスを指定できる。省略した場合には、 RFC3021 に対応している機種ではネットマスクのマスクビット数が 31 ビット ならリミテッドブロードキャストアドレスが、それ以外ならディレクティッド ブロードキャストアドレスが使われる。 ★ DHCP を指定すると、設定直後に DHCP クライアントとして IP アドレスを取得 する。また DHCP を指定している場合にno ip interface address を入力する と、取得していた IP アドレスの開放メッセージを DHCP サーバーに送る。 [ノート] LAN インタフェースに IP アドレスを設定していない場合には、RARP により IP アドレスを得ようとする。 PP インタフェースに IP アドレスを設定していない場合には、そのインタフェー スは unnumbered として動作する。 DHCP クライアントとして動作させた場合に取得したクライアント ID は、 show status dhcpc コマンドで確認することができる。 工場出荷状態およびcold start コマンド実行後の本コマンドの設定値について は「1.x 工場出荷設定値について」を参照してください。 以下の機種は RFC3021 に対応している。 ★ - vRX VMware ESXi版 Rev.20.01.03 以降 ★ [15] IPヘッダーおよびIPv6ヘッダーのDSフィールドを書き換えるコマンドを追加した。 ○IPパケットのDSフィールドの書き換えの設定 [書式] ip dscp supersede ID DSCP FILTER_NUM [FILTER_NUM_LIST] no ip dscp supersede ID [DSCP] [設定値及び初期値] ・ID [設定値] : 識別番号 (1..65535) [初期値] : - ・DSCP [設定値] : ・書き換えるDSCP値 (0..63) ・以下のニーモニックが利用できる ・cs1/cs2/cs3/cs4/cs5/cs6/cs7/af11/af12/af13/af21/af22/af23/ af31/af32/af33/af41/af42/af43/ef [初期値] : - ・FILTER_NUM [設定値] : 静的フィルターの番号 (1..21474836) [初期値] : - ・FILTER_NUM_LIST [設定値] : 静的フィルターの番号 (1..21474836) の並び [初期値] : - [説明] IP パケットを中継する場合に DS フィールドを指定した値に書き換える。 識別番号順にリストをチェックし、filter_num リストのフィルターを順次適用 していく。そして、最初にマッチした IP フィルターが pass、pass-log、 pass-nolog、restrict、restrict-log、restrict-nolog のいずれかであれば DS フィールドが書き換えられる。 reject、reject-log または reject-nolog である場合は書き換えずに処理を終 わる。 ip tos supersede コマンドの設定と本コマンドの設定で条件が同じ場合、 本コマンドの設定が優先される。 [ノート] vRX Amazon ESXi版 は Rev.20.01.03以降で使用可能。 ○IPv6パケットのDSフィールドの書き換えの設定 [書式] ipv6 dscp supersede ID DSCP FILTER_NUM [FILTER_NUM_LIST] no ipv6 dscp supersede ID [DSCP] [設定値及び初期値] ・ID [設定値] : 識別番号 (1..65535) [初期値] : - ・DSCP [設定値] : ・書き換えるDSCP値 (0..63) ・以下のニーモニックが利用できる ・cs1/cs2/cs3/cs4/cs5/cs6/cs7/af11/af12/af13/af21/af22/af23/ af31/af32/af33/af41/af42/af43/ef [初期値] : - ・FILTER_NUM [設定値] : 静的フィルターの番号 (1..21474836) [初期値] : - ・FILTER_NUM_LIST [設定値] : 静的フィルターの番号 (1..21474836) の並び [初期値] : - [説明] IPv6 パケットを中継する場合に DS フィールドを指定した値に書き換える。 識別番号順にリストをチェックし、filter_num リストのフィルターを順次適用 していく。そして、最初にマッチした IPv6 フィルターが pass、pass-log、 pass-nolog、restrict、restrict-log、restrict-nolog のいずれかであれば DS フィールドが書き換えられる。 reject、reject-log または reject-nolog である場合は書き換えずに処理を終 わる。 [ノート] vRX Amazon ESXi版 は Rev.20.01.03以降で使用可能。 [16] RFC3164およびRFC5424形式のSYSLOGヘッダーに対応した。 ○SYSLOGパケットの形式の設定 [書式] syslog format type TYPE no syslog format type [TYPE] [設定値及び初期値] ・TYPE [設定値]： ------------------------------------------------------ 設定値 説明 ------------------------------------------------------ rfc3164 RFC3164 形式の SYSLOG パケットを送信する rfc5424 RFC5424 形式の SYSLOG パケットを送信する yamaha 従来形式 (PRI+MSG) の SYSLOG パケットを送信する ------------------------------------------------------ [初期値]：yamaha [説明] 本機が送信する SYSLOG パケットの形式を設定する。 タイムスタンプは自動的に設定され、ホスト名は syslog header hostname コ マンドで設定している名前が使用される。 vRX はホスト名の初期値が "vRX" であるため、syslog format hostname コマン ドでそれぞれ異なるホスト名を設定することを推奨する。 RFC3164 形式は次の要素で構成された形式となる。 ---------------------------------------------- 要素 内容 ---------------------------------------------- PRI Facility+Severities TIMESTAMP "Mmm dd hh:mm:ss" 形式のタイムスタンプ HOSTNAME ホスト名 (1..63文字) MSG SYSLOG メッセージ (最大半角231文字) ---------------------------------------------- RFC5424 形式は次の要素で構成された形式となる。 --------------------------------------------------- 要素 内容 --------------------------------------------------- PRI Facility+Severities VERSION "1" で固定 TIMESTAMP "yyyy-mm-ddThh:mm:ss±offset" 形式のタイムスタンプ HOSTNAME ホスト名 (1..63文字) APP-NAME "-" で固定 PROCID "-" で固定 MSGID "-" で固定 STRUCTURED-DATA "-" で固定 MSG SYSLOG メッセージ (最大半角231文字) --------------------------------------------------- yamaha 形式は次の要素で構成された形式となる。 ---------------------------------------- 要素 内容 ---------------------------------------- PRI Facility+Severities MSG SYSLOG メッセージ (最大半角231文字) ---------------------------------------- ○RFC形式の SYSLOG ヘッダーのホスト名の設定 [書式] syslog format hostname text NAME no syslog format hostname [text [NAME]] [設定値及び初期値] ・NAME [設定値]：ホスト名 (半角 1...63 文字) [初期値]："機種名-シリアル番号" [説明] 本機が送信するSYSLOG ヘッダーのホスト名を設定する。 syslog format type コマンドが rfc3164 または rfc5424 に設定されてい るとき、本コマンドで設定した値が使用される。 NAME パラメーターにはアルファベット、数字、ハイフンのみが使用できる。 複数の vRX が RFC形式の SYSLOG を送信する場合、本コマンドでそれぞれ異な るホスト名を設定することを推奨する。 [17] 省電力制御機能の設定コマンドを追加した。 ○省電力制御機能を使用するか否かの設定 [書式] system power-saving use SW no system power-saving use [SW] [設定値及び初期値] ・SW [設定値]： ------------------------------------------------------ 設定値 説明 ------------------------------------------------------ on 使用する off 使用しない ------------------------------------------------------ [初期値]：on [説明] 省電力制御機能を使用するか否かを設定する。 「使用する」に設定すると、以下の制御が有効になる。 - 無受信時スリープ制御 - インターフェースに到着するトラフィックが途切れた際にパケット受信に 関するソフトウェア処理を休止させることで、CPUの使用を抑制する。 制御の効果を得るためには、CPUスケジューリング方式として「ロードバ ランス」以外の方式を選択する必要がある。 ○無受信時スリープ制御を特定のインターフェースに適用するか否かの設定 [書式] system power-saving rx-idle-sleep INTERFACE SW no system power-saving rx-idle-sleep INTERFACE [SW] [設定値及び初期値] ・INTERFACE [設定値]：LANインターフェース名 ・SW [設定値]： ------------------------------------------------------ 設定値 説明 ------------------------------------------------------ on 適用する off 適用しない ------------------------------------------------------ [初期値]：on [説明] 省電力制御機能の無受信時スリープ制御を特定のインターフェースに適用する か否かを設定する。 制御を適用するLANインターフェースと適用しないLANインターフェースを混在 させる場合は、それぞれの受信処理が別々のCPUコアで実施されるようにCPUス ケジューリング機能を設定する必要がある。 [ノート] 無受信時スリープ制御の概要についてはsystem power-saving useコマンドのリ ファレンスを参照のこと。 [18] コマンドラインから以下を設定したとき、再起動を促す注意喚起メッセージを表示 するようにした。 - パケットバッファーの設定 - NATの動作タイプの変更 [19] コマンドラインからOSPF、BGPを設定したとき、configure refreshコマンドの実行 を促す注意喚起メッセージを表示するようにした。 [20] シリアルポート経由でコンソールにアクセスできるようにした。 ○シリアルポートのボーレートの設定 [書式] set-serial-baudrate RATE [設定値及び初期値] ・RATE [設定値] : ボーレート (9600 / 19200 / 38400 / 57600 / 115200) [初期値] : ・115200 (vRX Amazon EC2 版) ・9600 (vRX VMware ESXi 版) [説明] シリアルポートのボーレートを設定する。 [ノート] vRX Amazon EC2 版 は Rev.20.00.03 以降で使用可能。 vRX VMware ESXi 版 は Rev.20.01.03 以降で使用可能。 [21] 本機にアクセスするときのセキュリティーを強化した。 (1) ログイン時のユーザー認証を必須にした。 - 無名ユーザーが廃止されるため、login passwordコマンドは使用できなくな る - パスワード認証または公開鍵認証（SSH、SFTPのみ）を必須にした (2) 工場出荷状態で利用できる初期管理ユーザー (ユーザー名：ec2-user、パスワー ド：admin ) を新設した。 初期パスワードによるログインはシリアルコンソール、およびLAN1が属するIP セグメントからのみ可能。 (3) ログインに3回連続で失敗したとき、1分間ログインできなくなるようにした。 (4) 非常用パスワードを廃止した。 [22] IPsecで、SHA384、およびSHA512に対応した。 ○IKE が用いるハッシュアルゴリズムの設定 [書式] ipsec ike hash GATEWAY_ID ALGORITHM no ipsec ike hash GATEWAY_ID [ALGORITHM] [設定値及び初期値] ・GATEWAY_ID [設定値] : セキュリティ・ゲートウェイの識別子 [初期値] : - ・ALGORITHM [設定値] : -------+--------- 設定値 | 説明 -------+--------- md5 | MD5 -------+--------- sha | SHA-1 -------+--------- sha256 | SHA-256 -------+--------- sha384 | SHA-384 ★ -------+--------- sha512 | SHA-512 ★ -------+--------- [初期値] : sha [説明] IKE が用いるハッシュアルゴリズムを設定する。 始動側として働く場合に、本コマンドで設定されたアルゴリズムを提案する。 応答側として働く場合は本コマンドの設定に関係なく、サポートされている任 意のアルゴリズムを用いることができる。 ただし、IKEv1 で ipsec ike negotiate-strictly コマンドが on の場合は、 応答側であっても設定したアルゴリズムしか利用できない。 [ノート] IKEv2 では、IKEv1のハッシュアルゴリズムに相当する折衝パラメーターとして、 認証アルゴリズム (Integrity Algorithm) と PRF(Puseudo-Random Function) がある。 IKEv2 で ipsec ike proposal-limitation コマンドが on に設定されていると き、本コマンドで設定されたアルゴリズムを提案する。 ipsec ike proposal-limitation コマンドが off に設定されているときは、本 コマンドの設定にかかわらず、サポートするすべてのアルゴリズムを同時に提 案し、相手側セキュリティ・ゲートウェイに選択させる。また応答側として働 く場合は、提案されたものからより安全なアルゴリズムを選択する。 IKEv2 でサポート可能な認証アルゴリズム及び応答時の選択の優先順位は以下 の通り。 HMAC-SHA2-512-256 ＞ HMAC-SHA2-384-192 ＞ HMAC-SHA2-256-128 ＞ HMAC-SHA-1-96 ＞ HMAC-MD5-96 ★ また、 IKEv2 でサポート可能な PRF 、及び応答選択時の優先順位は以下の通 り。 HMAC-SHA2-512 ＞ HMAC-SHA2-384 ＞ HMAC-SHA2-256 ＞ HMAC-SHA-1 ＞ HMAC-MD5 ★ ○SA のポリシーの定義 [書式] ipsec sa policy POLICY_ID GATEWAY_ID ah [AH_ALGORITHM] [local-id=LOCAL-ID] [remote-id=REMOTE-ID] [anti-replay-check=CHECK] ipsec sa policy POLICY_ID GATEWAY_ID esp [ESP_ALGORITHM] [AH_ALGORITHM] [anti-replay-check=CHECK] no ipsec sa policy POLICY_ID [GATEWAY_ID] [設定値及び初期値] ・POLICY_ID [設定値] : ポリシーID(1..2147483647) [初期値] : - ・GATEWAY_ID [設定値] : セキュリティ・ゲートウェイの識別子 [初期値] : - ・ah : 認証ヘッダ (Authentication Header) プロトコルを示すキーワード [初期値] : - ・esp : 暗号ペイロード (Encapsulating Security Payload) プロトコルを示 すキーワード [初期値] : - ・AH_ALGORITHM : 認証アルゴリズム [設定値] : ------------+-------------- 設定値 | 説明 ------------+-------------- md5-hmac | HMAC-MD5 ------------+-------------- sha-hmac | HMAC-SHA-1 ------------+-------------- sha256-hmac | HMAC-SHA2-256 ------------+-------------- sha384-hmac | HMAC-SHA2-384 ★ ------------+-------------- sha512-hmac | HMAC-SHA2-512 ★ ------------+-------------- [初期値] : sha-hmac ( AHプロトコルの場合 ) - ( ESPプロトコルの場合 ) ・ESP_ALGORITHM : 暗号アルゴリズム [設定値] : -----------+------------ 設定値 | 説明 -----------+------------ 3des-cbc | 3DES-CBC -----------+------------ des-cbc | DES-CBC -----------+------------ aes-cbc | AES128-CBC -----------+------------ aes256-cbc | AES256-CBC -----------+------------ [初期値] : aes-cbc ・LOCAL-ID [設定値] : 自分側のプライベートネットワーク [初期値] : - ・REMOTE-ID [設定値] : 相手側のプライベートネットワーク [初期値] : - ・CHECK [設定値] : -------+------------------------------------ 設定値 | 説明 -------+------------------------------------ on | シーケンス番号のチェックを行う -------+------------------------------------ off | シーケンス番号のチェックを行わない -------+------------------------------------ [初期値] : on [説明] SA のポリシーを定義する。 この定義はトンネルモードおよびトランスポートモードの設定に必要である。 この定義は複数のトンネルモードおよびトランスポートモードで使用できる。 LOCAL-ID、REMOTE-ID には、カプセル化したいパケットの始点／終点アドレス の範囲をネットワークアドレスで記述する。これにより、1 つのセキュリティ・ ゲートウェイに対して、複数の IPsec SA を生成し、IP パケットの内容に応じ て SA を使い分けることができるようになる。 CHECK=on の場合、受信パケット毎にシーケンス番号の重複や番号順のチェック を行い、エラーとなるパケットは破棄する。 破棄する際には debug レベルで [IPSEC] sequence difference [IPSEC] sequence number is wrong といったログが記録される。 相手側が、トンネルインタフェースでの優先/帯域制御を行っている場合、シー ケンス番号の順序が入れ替わってパケットを受信することがある。 その場合、実際にはエラーではないのに上のログが表示され、パケットが破棄 されることがあるので、そのような場合には設定を off にするとよい。 IKEv2 では、ipsec ike proposal-limitation コマンドが on に設定されてい るとき、本コマンドの AH_ALGORITHM、および ESP_ALGORITHM パラメーターで 設定されたアルゴリズムを提案する。 ipsec ike proposal-limitation コマンドが off に設定されているときは、本 コマンドの設定にかかわらず、サポートするすべてのアルゴリズムを同時に提 案し、相手側セキュリティ・ゲートウェイに選択させる。 また応答側として働く場合は受け取った提案から以下の優先順位でアルゴリズ ムを選択する。 ・認証アルゴリズム HMAC-SHA2-512 > HMAC-SHA2-384 > HMAC-SHA2-256 > HMAC-SHA-1 ＞ HMAC-MD5 ★ ・暗号アルゴリズム AES256-CBC ＞ AES192-CBC ＞ AES128-CBC ＞ 3DES-CBC ＞ DES-CBC ※IKEv2でのみAES192-CBCをサポートする。ただし、コマンドでAES192-CBCを 選択することはできない。 また、IKEv2 では LOCAL-ID、REMOTE-ID パラメーターに関しても効力を持たな い。 [ノート] 双方で設定する LOCAL-ID と REMOTE-ID は一致している必要がある。 [23] 以下のコマンドで、ルーター広告で配布するRDNSSオプションに任意のDNSサーバー アドレスを指定できるようにした。 - ipv6 nd ra-rdnss - ipv6 rtadv send ○ルーター広告で配布するRDNSSオプション の定義 [書式] ipv6 nd ra-rdnss RDNSS_ID DNS_IPV6_ADDRESS [DNS_IPV6_ADDRESS...] [OPTION=VALUE] no ipv6 nd ra-rdnss RDNSS_ID [...] [設定値及び初期値] ・RDNSS_ID [設定値] : RDNSSオプション番号（1..21474836） [初期値] : - ・DNS_IPV6_ADDRESS [設定値] : ------------------------------------------------------ 設定値 説明 ------------------------------------------------------ dhcpv6 DHCPv6で通知されたDNSサーバーのIPv6アドレス ipv6_address 任意のDNSサーバーのIPv6アドレス ------------------------------------------------------ [初期値] : - ・OPTION=VALUE : NAME=VALUE の列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- lifetime 秒数、infinity DNSサーバーの有効時間 (0..4294967294 秒) infinity はDNSサーバーを無期限で使用 できることを示す。 ----------------------------------------------------------------- [初期値] : ・lifetime = ipv6 rtadv sendコマンドのルーター広告を送信する 最大間隔（max-rtr-adv-interval）の3倍 [説明] ルーター広告で配布するRDNSSオプションを定義する。実際に広告するためには、 ipv6 rtadv send コマンドの RDNSSオプションの設定が必要である。 DNS_IPV6_ADDRESS は最大3つまで指定可能。 ○ルーター広告の送信の制御 [書式] ipv6 INTERFACE rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] ipv6 pp rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] no ipv6 INTERACE rtadv send [...] no ipv6 pp rtadv send [...] [設定値及び初期値] ・INTERFACE [設定値] : LAN インタフェース名 [初期値] : - ・PREFIX_ID [設定値] : プレフィックス番号 [初期値] : - ・OPTION=VALUE : NAME=VALUE の列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- m_flag on、off managed address configuration フラグ。 ルーター広告による自動 設定とは別に、DHCP6 に 代表されるルーター広告 以外の手段によるアドレス 自動設定をホストに許可 させるか否かの設定。 o_flag on、off other stateful configuration フラグ。 ルーター広告以外の手段 により IPv6 アドレス以外 のオプション情報をホスト に自動的に取得させるか 否かの設定。 max-rtr-adv-interval 秒数 ルーター広告を送信する 最大間隔 (4-1,800 秒 ) min-rtr-adv-interval 秒数 ルーター広告を送信する 最小間隔 (3-1,350 秒 ) adv-default-lifetime 秒数 ルーター広告によって設定 される端末のデフォルト 経路の有効時間 (0-9,000 秒 ) adv-reachable-time ミリ秒数 ルーター広告を受信した 端末が、ノード間で確認 した到達性の有効時間 (0-3,600,000 ミリ秒 ) adv-retrans-time ミリ秒数 ルーター広告を再送する 間隔 (0-4,294,967,295 ミ リ秒 ) adv-cur-hop-limit ホップ数 ルーター広告の限界ホップ 数(0-255) mtu auto、off、バイト数 ルーター広告に MTU オプションを含めるか否か と、含める場合の値の設定。 auto の場合はインタフェー スの MTU を採用する。 rdnss rdnss、off、dhcpv6、 ルーター広告に RDNSS RDNSSオプション番号★ オプションを含めるか否か と、含める場合の値の設定。 rdnss の場合はRAの RDNSSオプションで割り 当てられたサーバー群を 通知する。 ----------------------------------------------------------------- [初期値] : ・m_flag = off ・o_flag = off ・max-rtr-adv-interval = 600 ・min-rtr-adv-interval = 200 ・adv-default-lifetime = 1800 ・adv-reachable-time = 0 ・adv-retrans-time = 0 ・adv-cur-hop-limit = 64 ・mtu = auto ・rdnss = rdnss [説明] インタフェースごとにルーター広告の送信を制御する。送信されるプレフィッ クスとして、ipv6 prefix コマンドで設定されたものが用いられる。 また、オプションとして m_flag および o_flag を利用して、管理するホスト がルーター広告以外の自動設定情報をどのように解釈するかを設定することが できる。オプションでは、送信するルーター広告の送信間隔や、ルーター広告 に含まれる情報の設定を行うこともできる。 [24] IPv6の経路情報に変化があった時にメールで通知するか否かをmail notifyコマン ドのオプションで設定できるようにした。 ○メール通知のトリガーの設定 [書式] mail notify ID TEMPLATE_ID trigger backup IF_B [[RANGE_B] IF_B ...] mail notify ID TEMPLATE_ID trigger route ROUTE [ROUTE ...] mail notify ID TEMPLATE_ID trigger route6 ROUTE6 [ROUTE6 ...] ★ mail notify ID TEMPLATE_ID trigger filter ethernet IF_F DIR_F [IF_f DIR_F ...] mail notify ID TEMPLATE_ID trigger status TYPE [TYPE ...] mail notify ID TEMPLATE_ID trigger intrusion IF_I [RANGE_I] DIR_I [IF_I [RANGE_I] DIR_I ...] mail notify ID TEMPLATE_ID trigger lan-map no mail notify ID [...] [設定値及び初期値] ・ID [設定値] : 設定番号(1..10) [初期値] : - ・TEMPLATE_ID [設定値] : テンプレートID(1..10) [初期値] : - ・IF_B : メール通知を行うバックアップ対象のインターフェース [設定値] : ---------------------------- 設定値 説明 ---------------------------- pp PPバックアップ lanN LANバックアップ tunnel TUNNELバックアップ ---------------------------- [初期値] : - ・RANGE_B [設定値] : インターフェース番号および範囲指定 pp,tunnelのみ(*,xx-yy,zz etc) [初期値] : - ・ROUTE [設定値] : ネットマスク付きの経路 default [初期値] : - ・ROUTE6 ★ [設定値] : プレフィックス長付きの経路 default [初期値] : - ・IF_F [設定値] : メール通知を行うイーサネットフィルタの設定されたLANインター フェース [初期値] : - ・DIR_F : フィルタ設定の方向 [設定値] : ------------------ 設定値 説明 ------------------ in 受信方向 out 送信方向 ------------------ [初期値] : - ・TYPE : メール通知で通知する情報 [設定値] : -------------------------------------- 設定値 説明 -------------------------------------- all 全ての内容 interface インターフェースの情報 routing ルーティングの情報 vpn VPN の情報 nat NAT の情報 firewall ファイアウォールの情報 config-log 設定情報とログ -------------------------------------- [初期値] : - ・IF_I : 不正アクセス検知設定のインターフェース [設定値] : -------------------------------------- 設定値 説明 -------------------------------------- pp PPインターフェース lanN(N,M,N/M) LANインターフェース wan1 WANインターフェース tunnel TUNNELインターフェース * 全てのインターフェース -------------------------------------- [初期値] : - ・RANGE_I [設定値] : インターフェース番号および範囲指定 lan(*,x) pp,tunnel(*,x,xx-yy,zz etc) [初期値] : - ・DIR_I : 不正アクセス検知設定の方向 [設定値] : ---------------------------- 設定値 説明 ---------------------------- in 受信方向 out 送信方向 in/out 受信/送信方向 ---------------------------- [初期値] : - [説明] メール通知の行うトリガー動作の設定を行う。バックアップ、経路変更、イー サネットフィルターのログ表示、mail notify status execコマンド実行時、お よび不正アクセス検知時をトリガーとして指定できる。 バックアップおよび経路については以下で設定されたものが対象となる。 -------------------------------+------------------------------ PPバックアップ | pp backupコマンド LANバックアップ | lan backupコマンド TUNNELバックアップ | tunnel backupコマンド 経路に対するバックアップ(IPv4) | ip routeコマンド 経路に対するバックアップ(IPv6) | ipv6 routeコマンド ★ -------------------------------+------------------------------ イーサネットフィルタについてはログ表示されるものが対象となる。 イーサネットフィルタ....... pass-log,reject-logパラメーターの定義 内部状態を通知する場合は、mail notify status execコマンドを実行する必要 がある。 不正アクセス検知についてはip interface intrusion detectionコマンドの設 定により検出されたものが通知対象となる。 LANマップによる異常検知についてはswitch control use interfaceコマンドが 設定されたLANインターフェースが対象となる。 スナップショット機能による異常を含める場合は lan-map snapshot use interfaceコマンドを設定する必要がある。 また、一つのテンプレートIDに所属するメール通知設定はまとめて処理される。 [25] ipv6 routeコマンドで、ゲートウェイにRAにて決定されるデフォルトゲートウェイ の指定を追加した。 ○IPv6 の経路情報の追加 [書式] ipv6 route NETWORK gateway GATEWAY [PARAMETER] [gateway GATEWAY [PARAMETER]] no ipv6 route NETWORK [gateway...] [設定値及び初期値] ・NETWORK [設定値] ----------------------------------------------------------------- 設定値 説明 ----------------------------------------------------------------- IPv6 アドレス/プレフィックス長 送り先のホスト default デフォルト経路 ----------------------------------------------------------------- [初期値] : - ・GATEWAY : ゲートウェイ [設定値] : ・IP アドレス % スコープ識別子 ・pp peer_num [dlci=dlci] : PP インタフェースへの経路。"dlci=dlci" が指定された場合は、フレームリレーの DLCI への経路 ・peer_num ・相手先情報番号 ・anonymous ・pp anonymous name=name ----------------------------------------------------------- 設定値 説明 ----------------------------------------------------------- name PAP/CHAP による名前 ----------------------------------------------------------- ・dhcp interface ----------------------------------------------------------- 設定値 説明 ----------------------------------------------------------- interface DHCP にて与えられるデフォルトゲートウェイを使う場 合の、DHCP クライアントとして動作する LAN インタフェー ス名、ブリッジインタフェース名(送り先がDefaultの時 のみ有効) ----------------------------------------------------------- ・ra interface ・・・★ ----------------------------------------------------------- 設定値 説明 ----------------------------------------------------------- interface RA にて決定されるデフォルトゲートウェイを使う場合 の、RAクライアントとして動作する LAN インタフェー ス名、ブリッジインタフェース名(送り先がDefaultの時 のみ有効) ・tunnel tunnel_num : トンネルインタフェースへの経路 ・LOOPBACK インタフェース名、NULL インタフェース名 [初期値] : - ・PARAMETER : 以下のパラメータを空白で区切り複数設定可能 [設定値] ----------------------------------------------------------------- 設定値 説明 ----------------------------------------------------------------- metric メトリックの指定 metric ・metric ・メトリック値 (1..15) ・省略時は 1 hide 出力インタフェースが LAN インタフェース、または PP インタフェー ス、TUNNEL インタフェースの場合のみ有効なオプションで、回線 が接続されている場合だけ経路が有効になることを意味する [初期値] : - [説明] IPv6 の経路情報を追加する。LAN インタフェースが複数ある機種ではスコープ 識別子でインタフェースを指定する必要がある。インタフェースに対応するス コープ識別子はshow ipv6 address コマンドで表示される。 LAN インタフェースがひとつである機種に関しては、スコープ識別子が省略さ れると LAN1 が指定されたものとして扱う。 なお LOOPBACK インタフェース、NULL インタフェースは常にアップ状態なので、 hide オプションは指定はできるものの意味はない。 [ノート] PP インタフェースの dlci= オプションは、RTX5000、RTX3500 で指定可能。 ra interface は、vRX Amazon EC2 版 Rev.19.00.08 以前、 vRX VMware ESXi 版 Rev.19.01.09 以前、RTX5000、RTX3500、 RTX1300 Rev.23.00.04 以前、RTX1220 Rev.15.04.04 以前、 RTX1210、および RTX830 Rev.15.02.26 以前では指定不可能。 ブリッジインタフェースは、vRX Amazon EC2 版、および RTX5000 / RTX3500 Rev.14.00.11 以前では指定不可能。 [26] IPv6 RAプロキシ機能で、DNSSLオプションに対応した。 ○ルーター広告で配布するDNSSLオプションの定義 [書式] ipv6 nd ra-dnssl DNSSL_ID DOMAIN_NAME [DOMAIN_NAME...] [OPTION=VALUE] no ipv6 nd ra-dnssl DNSSL_ID [...] [設定値及び初期値] ・DNSSL_ID [設定値] : DNSSLオプション番号（1..21474836） [初期値] : - ・DOMAIN_NAME [設定値] : 設定値 説明 DOMAIN_NAME DNSSLオプションで通知するドメイン名 [初期値] : - ・OPTION=VALUE : NAME=VALUE の列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- lifetime 秒数、infinity DNSサーバーの有効時間 (0..4294967294 秒 ) infinity はDNSサーバーを無期限で使用でき ることを示す。 ----------------------------------------------------------------- [初期値] : lifetime = ipv6 interface rtadv sendコマンドのルーター広 告を送信する最大間隔（max-rtr-adv-interval）の３倍 [説明] ルーター広告で配布するDNSSLオプションを定義する。実際に広告するためには、 ipv6 interface rtadv send コマンドの dnsslオプションの設定が必要である。 DOMAIN_NAME は最大3つまで指定可能。 ○ルーター広告の送信の制御 [書式] ipv6 INTERFACE rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] ipv6 pp rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] no ipv6 INTERACE rtadv send [...] no ipv6 pp rtadv send [...] [設定値及び初期値] ・INTERFACE [設定値] : LAN インタフェース名 [初期値] : - ・PREFIX_ID [設定値] : プレフィックス番号 [初期値] : - ・OPTION=VALUE : NAME=VALUE の列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- m_flag on、off managed address configuration フラグ。ルーター広告によ る自動設定とは別に、DHCP6 に代表されるルーター広告 以外の手段によるアドレス 自動設定をホストに許可さ せるか否かの設定。 o_flag on、off other stateful configuration フラグ。ルーター広告以外 の手段により IPv6 アドレ ス以外のオプション情報を ホストに自動的に取得させ るか否かの設定。 max-rtr-adv-interval 秒数 ルーター広告を送信する最 大間隔 (4-1,800 秒 ) min-rtr-adv-interval 秒数 ルーター広告を送信する最 小間隔 (3-1,350 秒 ) adv-default-lifetime 秒数 ルーター広告によって設定 される端末のデフォルト経 路の有効時間 (0-9,000 秒) adv-reachable-time ミリ秒数 ルーター広告を受信した端 末が、ノード間で確認した 到達性の有効時間 (0-3,600,000 ミリ秒 ) adv-retrans-time ミリ秒数 ルーター広告を再送する間 隔 (0-4,294,967,295 ミリ秒 ) adv-cur-hop-limit ホップ数 ルーター広告の限界ホップ数 (0-255) mtu auto、off、バイト数 ルーター広告に MTU オプ ションを含めるか否かと、 含める場合の値の設定。auto の場合はインタフェースの MTU を採用する。 rdnss rdnss、off、dhcpv6、 ルーター広告に RDNSS オ RDNSSオプション番号 プションを含めるか否か と、含める場合の値の設 定。rdnss の場合はRAの RDNSSオプションで割り当 てられたサーバー群を通 知する。 dnssl dnssl、off、 ルーター広告に DNSSL オ DNSSLオプション番号 プションを含めるか否か と、含める場合の値の設 定。dnssl の場合はRAの DNSSLオプションで割り当 てられたサーバー群を通 知する。・・・★ ----------------------------------------------------------------- [初期値] : ・m_flag = off ・o_flag = off ・max-rtr-adv-interval = 600 ・min-rtr-adv-interval = 200 ・adv-default-lifetime = 1800 ・adv-reachable-time = 0 ・adv-retrans-time = 0 ・adv-cur-hop-limit = 64 ・mtu = auto ・rdnss = rdnss ・dnssl = dnssl ・・・★ [説明] インタフェースごとにルーター広告の送信を制御する。送信されるプレフィッ クスとして、ipv6 prefix コマンドで設定されたものが用いられる。 また、オプションとして m_flag および o_flag を利用して、管理するホスト がルーター広告以外の自動設定情報をどのように解釈するかを設定することが できる。 オプションでは、送信するルーター広告の送信間隔や、ルーター広告に含まれ る情報の設定を行うこともできる。 [27] IPv6 RAプロキシ機能で、経路情報オプションに対応した。 ○ルーター広告で配布する経路情報オプションの定義 [書式] ipv6 nd ra-route-info ROUTE_INFO_ID PREFIX/PREFIX_LEN [OPTION=VALUE] no ipv6 nd ra-route-info ROUTE_INFO_ID [...] [設定値及び初期値] ・ROUTE_INFO_ID [設定値] : 経路情報オプション番号（1..21474836） [初期値] : - ・PREFIX [設定値] : プレフィックス [初期値] : - ・PREFIX_LEN [設定値] : プレフィックス長 [初期値] : - ・OPTION=VALUE : NAME=VALUE の列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- prf_flag high、medium、low Route Preferenceフラグ。経路の優先度 を示す設定。 lifetime 秒数、infinity 経路情報の有効時間 (0..4294967294 秒 ) infinity は経路情報を無期限で使用で きることを示す。 ----------------------------------------------------------------- [初期値] : ・prf_flag = medium ・lifetime = ipv6 interface rtadv sendコマンドのルーター広告を送 信する最大間隔（max-rtr-adv-interval）の３倍 [説明] ルーター広告で配布する経路情報オプションを定義する。実際に広告するため には、ipv6 interface rtadv send コマンドの route-infoオプションの設定が 必要である。 ○ルーター広告の送信の制御 [書式] ipv6 INTERFACE rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] ipv6 pp rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] no ipv6 INTERACE rtadv send [...] no ipv6 pp rtadv send [...] [設定値及び初期値] ・INTERFACE [設定値] : LAN インタフェース名 [初期値] : - ・PREFIX_ID [設定値] : プレフィックス番号 [初期値] : - ・OPTION=VALUE : NAME=VALUE の列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ------------------------------------------------------------- m_flag on、off managed address configuration フラグ。ルーター広告に よる自動設定とは別に、 DHCP6 に代表されるルー ター広告以外の手段によ るアドレス自動設定をホ ストに許可させるか否か の設定。 o_flag on、off other stateful configuration フラグ。ルーター広告以 外の手段により IPv6 ア ドレス以外のオプション 情報をホストに自動的に 取得させるか否かの設定。 max-rtr-adv-interval 秒数 ルーター広告を送信する 最大間隔 (4-1,800 秒 ) min-rtr-adv-interval 秒数 ルーター広告を送信する 最小間隔 (3-1,350 秒 ) adv-default-lifetime 秒数 ルーター広告によって設 定される端末のデフォル ト経路の有効時間 (0-9,000 秒 ) adv-reachable-time ミリ秒数 ルーター広告を受信した 端末が、ノード間で確認 した到達性の有効時間 (0-3,600,000 ミリ秒 ) adv-retrans-time ミリ秒数 ルーター広告を再送する 間隔 (0-4,294,967,295 ミリ秒 ) adv-cur-hop-limit ホップ数 ルーター広告の限界ホッ プ数 (0-255) mtu auto、off、バイト数 ルーター広告に MTU オ プションを含めるか否か と、含める場合の値の設 定。auto の場合はイン タフェースの MTU を採 用する。 route-info route-info、off、 ルーター広告に経路情報 経路情報オプション番号 オプションを含めるか否 かと、含める場合の値の 設定。route-infoの場合 はRAの経路情報オプション で割り当てられた経路情 報を通知する。 ★ rdnss rdnss、off、dhcpv6、 ルーター広告に RDNSS RDNSSオプション番号 オプションを含めるか否 かと、含める場合の値の 設定。rdnss の場合はRA のRDNSSオプションで割 り当てられたサーバー群 を通知する。 dnssl dnssl、off、 ルーター広告に DNSSL DNSSLオプション番号 オプションを含めるか否 かと、含める場合の値の 設定。dnssl の場合はRA のDNSSLオプションで割 り当てられたサーバー群 を通知する。 ----------------------------------------------------------------- [初期値] : ・m_flag = off ・o_flag = off ・max-rtr-adv-interval = 600 ・min-rtr-adv-interval = 200 ・adv-default-lifetime = 1800 ・adv-reachable-time = 0 ・adv-retrans-time = 0 ・adv-cur-hop-limit = 64 ・mtu = auto ・route-info = route-info ★ ・rdnss = rdnss ・dnssl = dnssl [説明] インタフェースごとにルーター広告の送信を制御する。送信されるプレフィッ クスとして、ipv6 prefix コマンドで設定されたものが用いられる。 また、オプションとして m_flag および o_flag を利用して、管理するホスト がルーター広告以外の自動設定情報をどのように解釈するかを設定することが できる。 オプションでは、送信するルーター広告の送信間隔や、ルーター広告に含まれ る情報の設定を行うこともできる。 [28] 動的フィルターによって管理されているコネクションのピーク値を表示、およびク リアするコマンドを追加した。 ○動的フィルターによって管理されているIPv4コネクションのピーク値を表示 [書式] show ip connection peak [説明] 動的なフィルターによって管理されているIPv4コネクションのピーク値を表示 する。 ピーク値は以下の操作でクリアされる。 - ルーターを再起動したとき - IPフィルターの設定を変更したとき - Web GUI に対応している機種の場合、ダッシュボードの[Live]-[動的フィル ターセッション数]ガジェットで「ピーク値のクリア」を実行したとき - clear ip connection peakコマンドを実行したとき ○動的フィルターによって管理されているIPv6コネクションのピーク値を表示 [書式] show ipv6 connection peak [説明] 動的なフィルターによって管理されているIPv6コネクションのピーク値を表示 する。 ピーク値は以下の操作でクリアされる。 - ルーターを再起動したとき - IPv6フィルターの設定を変更したとき - Web GUI に対応している機種の場合、ダッシュボードの[Live]-[動的フィル ターセッション数]ガジェットで「ピーク値のクリア」を実行したとき - clear ipv6 connection peakコマンドを実行したとき ○動的フィルターによって管理されているIPv4コネクションのピーク値をクリア [書式] clear ip connection peak [説明] 動的なフィルターによって管理されているIPv4コネクションのピーク値をクリ アする。 ○動的フィルターによって管理されているIPv6コネクションのピーク値をクリア [書式] clear ipv6 connection peak [説明] 動的なフィルターによって管理されているIPv6コネクションのピーク値をクリ アする。 [29] IPマスカレードで管理しているセッションのピーク値を表示、およびクリアするコ マンドを追加した。 ○IPマスカレードで管理しているセッションのピーク値を表示 [書式] show nat descriptor masquerade session peak [NAT_DESCRIPTOR] [設定値及び初期値] ・NAT_DESCRIPTOR [設定値] : ・NAT ディスクリプタ番号 (1..2147483647) ・NAT_DESCRIPTOR 省略時はすべての NAT ディスクリプタについて表示 する。 [初期値] : - [説明] IP マスカレードで管理しているセッションがピークを記録したときのセッション 数と時刻を表示する。また、ピークを記録したときにセッション数の多かった ホストを上位 5 件表示する。 ピーク値は以下の操作でクリアされる。 - ルーターを再起動したとき - NAT ディスクリプターの設定を変更したとき - clear nat descriptor masquerade session peak コマンドを実行したとき - Web GUI に対応している機種の場合、ダッシュボードの [Live]-[NATセッション 数] ガジェットで「ピーク値のクリア」を実行したとき [ノート] 静的 IP マスカレードエントリから派生して生成された IP マスカレードエン トリは表示されない。 本コマンドは、nat descriptor backward-compatibility コマンドで、TYPE パ ラメータを 2 または 3 に設定した場合のみ使用可能である。 ○IPマスカレードで管理しているセッションのピーク値をクリア [書式] clear nat descriptor masquerade session peak [NAT_DESCRIPTOR] [設定値及び初期値] ・NAT_DESCRIPTOR [設定値] : ・NAT ディスクリプタ番号 (1..2147483647) ・NAT_DESCRIPTOR 省略時はすべての NAT ディスクリプタをクリアする。 [初期値] : - [説明] IP マスカレードで管理しているセッションのピーク値をクリアする。 [ノート] 本コマンドは、nat descriptor backward-compatibility コマンドで、TYPE パ ラメータを 2 または 3 に設定した場合のみ使用可能である。 ■仕様変更 [1] リビジョン番号をRev.19系からRev.20系に変更した。 [2] 利用規約を改定した。 改定履歴は、仮想ルーター vRX 技術資料の「利用規約」を参照してください。 https://www.rtpro.yamaha.co.jp/RT/docs/vrx/index.html#agreement [3] IPIPトンネルで、L2TP/IPsecおよびL2TPv3に対応した。 ただし、IPv6 IPoE + IPv4 over IPv6 接続のサービスでは、契約形態により制限が あるため、以下の技術資料をご確認のうえ、ご利用ください。 https://www.rtpro.yamaha.co.jp/RT/docs/ipoe_46/available_ipoe_46.html [4] IPv6 IPsecトンネルの通信負荷に対するトンネル接続維持能力を向上させた。IPv6 IPsecトンネルで、接続する対向機器数が多い場合に効果が期待できる。 [5] IPv6の処理性能を改善した。 [6] FQDNフィルター機能の処理性能を改善した。 [7] vRXファイルシステムで、NFSによる外部ストレージをマウントするときにSunRPCポー トを開放するようにした。 また、NFSによってマウントされた外部ストレージがすべてアンマウントされたとき にはSunRPCポートを閉じるようにした。 [8] MTUが1280未満のICMPv6 Packet-Too-Bigメッセージを受信したとき、IPv6フラグメン トヘッダーを付けずに応答するようにした。 [9] SNMPで、「SNMPのインターフェース番号」と「vRXのインターフェース」との対応を 変更した。 詳細は、以下のFAQをご確認ください。 https://www.rtpro.yamaha.co.jp/RT/FAQ/SNMP/interface-number.html [10] パケット処理能力に余裕がある場合に、CPUコア0以外をスリープ状態に移行させる 機能を有効化した。 [11] SNMPのifTable、および、yrIfClassTableで、PP AnonymusのQoS向けのMIB変数を取 得できないようにした。 [12] Luaスクリプト機能で、rt.httprequest関数のHTTPリクエスト設定テーブルのurlフィー ルドの最大文字数を半角255文字から半角2048文字に変更した。 [13] メモリー使用量を削減した。 [14] 起動処理を高速化した。 [15] 経路情報を削除するときの処理負荷を軽減した。 [16] 以下の環境で、1Gbps以下の基本ライセンスを適用またはQoSを有効化した状態にお ける無通信時のCPU使用量を削減した。 - 仮想CPUコアを2個、仮想ネットワークアダプターを2個以上搭載 - 仮想CPUコアを3個、仮想ネットワークアダプターを3個以上搭載 [17] コンパクトモード時のIKEパケットキュー長の設定範囲を1,000以上4,000以下から 6,000以上24,000以下に変更した。 また、初期値を2,000から12,000に変更した。 [18] コンパクトモード時のIKE XAUTH, EAP-MD5認証に使用するユーザーおよびユーザー グループの最大設定可能数を1,000から6,000に拡大した。 [19] コンパクトモード時のVPN最大設定可能数とIPキープアライブ最大設定可能数を1,000 から6,000に拡大した。 なお、動作保証対象の最大設定数はいずれも1,000に据え置く。 [20] コンパクトモード時のフローテーブル最大エントリー数の設定上限を131,072から 1,000,000に拡大した。 [21] コンパクトモードでの動作に必要な仮想RAMサイズを4GBから2GBに引き下げた。 ただし、4GB未満の場合は動作保証対象のVPN最大設定可能数が100となる。 [22] 再起動またはシャットダウン中であることを示すメッセージを、ログイン状態の各 種コンソールに加え、ログアウト状態のシリアルコンソールおよび仮想マシンコン ソールにも出力するようにした。 [23] 有効期間外の基本ライセンスがインポートされているとき、以下のSYSLOGをライセン スの状態が反映されるタイミングにINFOレベルで出力するようにした。 ただし、有効期間内の基本ライセンスがインポートされている場合は出力しない。 - 有効期間前のライセンス：failed validation of license (before valid period) [品番] - 有効期間切れのライセンス：failed validation of license (expired) [品番] [24] 仮想マシンコンソールへのログイン・ログアウト時に出力されるSYSLOGに含まれる コンソール名称を"Serial"から"VM console"に変更した。 [25] 起動時にコンソールに表示される製品情報からイーサネットアドレスを削除した。 [26] OVAファイルをVMware ESXiへデプロイする際に選択する「デプロイタイプ」に以下 を追加した。 - 見出しにRAM容量を記載 - 新タイプ「RAM 2GB, CPU 2コア」を追加 [27] CONFIG保存中に再起動またはシャットダウンを行う際に、CONFIGが破損する可能性 を低減した。 [28] Hugeグループのパケットバッファのサイズを最適化した。 [29] 動的フィルター機能の処理性能を改善した。 [30] IPv6 RAプロキシ機能で、RDNSSオプションに対応した。 ○ルーター広告の送信の制御 [書式] ipv6 INTERFACE rtadv send PREFIX_ID [PREFIX_ID...] [OPTION＝VALUE...] ipv6 pp rtadv send PREFIX_ID [PREFIX_ID...] [OPTION＝VALUE...] no ipv6 INTERFACE rtadv send [...] no ipv6 pp rtadv send [...] [設定値及び初期値] ・INTERFACE [設定値] : LANインタフェース名 [初期値] : - ・PREFIX_ID [設定値] : プレフィックス番号 [初期値] : - ・OPTION＝VALUE : NAME=VALUEの列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- m_flag on、off managed address configurationフラグ。 ルーター広告による自動設定 とは別に、DHCP6に代表され るルーター広告以外の手段に よるアドレス自動設定をホス トに許可させるか否かの設定。 o_flag on、off other stateful configurationフラグ。 ルーター広告以外の手段によ りIPv6アドレス以外のオプショ ン情報をホストに自動的に取 得させるか否かの設定。 max-rtr-adv-interval 秒数 ルーター広告を送信する最大 間隔 (4-1,800秒) min-rtr-adv-interval 秒数 ルーター広告を送信する最小 間隔 (3-1,350秒) adv-default-lifetime 秒数 ルーター広告によって設定さ れる端末のデフォルト経路の 有効時間 (0-9,000秒) adv-reachable-time ミリ秒数 ルーター広告を受信した端末 が、ノード間で確認した到達 性の有効時間 (0-3,600,000 ミリ秒) adv-retrans-time ミリ秒数 ルーター広告を再送する間隔 (0-4,294,967,295ミリ秒) adv-cur-hop-limit ホップ数 ルーター広告の限界ホップ数 (0-255) mtu auto、off、バイト数 ルーター広告にMTUオプショ ンを含めるか否かと、含める 場合の値の設定。 autoの場合はインタフェース のMTUを採用する。 rdnss rdnss、off、dhcpv6 ルーター広告にRDNSSオプショ ンを含めるか否かと、含める 場合の値の設定。 rdnssの場合はRAのRDNSSオプ ションで割り当てられたサー バー群を通知する。 ★ ------------------------------------------------------------------ [初期値] : ・m_flag = off ・o_flag = off ・max-rtr-adv-interval = 600 ・min-rtr-adv-interval = 200 ・adv-default-lifetime = 1800 ・adv-reachable-time = 0 ・adv-retrans-time = 0 ・adv-cur-hop-limit = 64 ・mtu = auto ・rdnss = rdnss ★ [説明] インタフェースごとにルーター広告の送信を制御する。送信されるプレフィッ クスとして、ipv6 prefixコマンドで設定されたものが用いられる。 また、オプションとしてm_flagおよびo_flagを利用して、管理するホストがルー ター広告以外の自動設定情報をどのように解釈するかを設定することができる。 オプションでは、送信するルーター広告の送信間隔や、ルーター広告に含まれ る情報の設定を行うこともできる。 [31] ipsec ike keepalive useコマンドで、send-only-new-saオプションにautoを指定 できるようにした。また、当オプションの初期値をoffからautoに変更した。 ○IKE キープアライブ機能の設定 [書式] ipsec ike keepalive use GATEWAY_ID SWITCH [down=disconnect] [send-only-new-sa=SEND] ipsec ike keepalive use GATEWAY_ID SWITCH heartbeat [INTERVAL COUNT [UPWAIT]] [down=disconnect] [send-only-new-sa=SEND] ipsec ike keepalive use GATEWAY_ID SWITCH icmp-echo IP_ADDRESS [length=LENGTH] [INTERVAL COUNT [UPWAIT]] [down=disconnect] ipsec ike keepalive use GATEWAY_ID SWITCH dpd [INTERVAL COUNT [UPWAIT]] ipsec ike keepalive use GATEWAY_ID SWITCH rfc4306 [INTERVAL COUNT [UPWAIT]] no ipsec ike keepalive use GATEWAY_ID [SWITCH ....] [設定値及び初期値] ・GATEWAY_ID [設定値] : セキュリティ・ゲートウェイの識別子 [初期値] : - ・SWITCH : キープアライブの動作 [設定値] : --------------------------------------------------- 設定 説明 --------------------------------------------------- on キープアライブを使用する off キープアライブを使用しない auto 対向のルーターがキープアライブを送信するときに限って送信する (heartbeat 、 rfc4306 でのみ有効 ) --------------------------------------------------- [初期値] : auto ・IP_ADDRESS [設定値] : ping を送信する宛先の IP アドレス (IPv4/IPv6) [初期値] : - ・LENGTH [設定値] : ICMP echo のデータ部の長さ (64..1500) [初期値] : 64 ・INTERVAL [設定値] : キープアライブパケットの送信間隔秒数 (1..600) [初期値] : 10 ・COUNT [設定値] : キープアライブパケットが届かないときに障害とみなすまでの 試行回数 (1..50) [初期値] : 6 ・UPWAIT [設定値] : IPsec SA が生成されてから実際にトンネルインタフェースを有 効にするまでの時間 (0..1000000) [初期値] : 0 ・SEND [設定値] : ----------------------------------------------------------------- 設定 説明 ----------------------------------------------------------------- on 新旧の SA が混在する場合、新しい SA のみに対してキープアライ ブパケットを送信する off 新旧の SA が混在する場合、新旧 SA の両方に対してキープアライ ブパケットを送信する auto★ 新旧の SA が混在する場合、対向からの古い SA に対するキープア ライブパケットを受信した場合のみ新旧 SA の両方に対してキープ アライブパケットを送信し、そうでない場合は新しい SA のみに対 してキープアライブパケットを送信する ----------------------------------------------------------------- [初期値] : auto ★ [説明] IKE キープアライブの動作を設定する。 本コマンドは、動作するIKEのバージョンによって以下のように動作が異なる。 - IKEv1 キープアライブの方式としては、heartbeat、ICMP Echo、DPD(RFC3706) の 3 種類から選ぶことができる。第 1 書式は自動的に heartbeat 書式となる。 heartbeat 書式を利用するには第 1 、第 2 書式を使用する。 heartbeat 方 式において SWITCH パラメータが auto に設定されている場合は、相手から heartbeat パケットを受信したときだけ heartbeat パケットを送信する。従っ て、双方の設定が auto になっているときには、 IKE キープアライブは動作 しない。 ICMP Echo を利用するときには第 3 書式を使用し、送信先の IP アドレスを 設定する。オプションとして、 ICMP Echo のデータ部の長さを指定すること ができる。この方式では、SWITCH パラメータが auto でも on の場合と同様 に動作する。 DPD を利用するときには第 4 書式を使用する。この方式では SWITCH パラメー タが auto でも on の場合と同様に動作する。 その他、 IKEv1 で対応していない方式 ( 書式 ) が設定されている場合は、 代替方式として heartbeat で動作する。このとき、 SWITCH 、 COUNT 、 INTERVAL 、 UPWAIT パラメータは設定内容が反映される。 - IKEv2 キープアライブの方式として、RFC4306(IKEv2 標準 ) 、 ICMP Echo の 2 種 類から選ぶことができる。第 1 書式は自動的に RFC4306 方式となる。 SWITCH パラメータが auto の場合には、 RFC4306 方式のキープアライブパ ケットを受信したときだけ応答パケットを送信する。なお、 IKEv2 ではこの 方式のキープアライブパケットには必ず応答しなければならないため、 SWITCH パラメータが auto でも off の場合でも同様に動作する。 ICMP Echo を利用するときには第 3 書式を使用し、送信先のIPアドレスを設 定する。 オプションとして、ICMP Echo のデータ部の長さを指定することが できる。この方式では、SWITCH パラメータが auto でも on の場合と同様に 動作する。 その他、 IKEv2 で対応していない方式 ( 書式 ) が設定されている場合は、 代替方式として RFC4306 で動作する。このとき、 SWITCH 、 COUNT 、 INTERVAL 、 UPWAIT パラメータは設定内容が反映される。 [ノート] 相手先が PP インタフェースの先にある場合、down オプションを指定すること ができる。down オプションを指定すると、キープアライブダウン検出時と IKE の再送回数満了時に PP インタフェースの切断を行うことができる。網側の状 態などで PP インタフェースの再接続によりトンネル確立状態の改善を望める 場合に利用することができる。 キープアライブの方式として heartbeat を使用する場合、send-only-new-sa オプションを指定することができる。send-only-new-sa オプションに on を設 定すると、鍵交換後の新旧のSAが混在するときに新しい SA のみに対してキー プアライブパケットを送信するようになり、鍵交換時の負荷を軽減することが できる。auto を設定すると、対向からの古い SA に対するキープアライブパケッ トを受信した場合のみこちらからも古い SA に対してキープアライブパケット を送信し、そうでない場合は on を設定したときと同様に動作する。★ send-only-new-sa オプションに対応していないヤマハルーターとトンネルを構 築する場合は、send-only-new-sa オプションを on に設定しているとトンネル がダウンするため、auto または off に設定しておかなければならない。 LENGTH パラメータで指定するのは ICMP データ部分の長さであり、IP パケッ ト全体の長さではない。 同じ相手に対して、複数の方法を併用することはできない。 また auto の指定は、vRXのRev.19.00.08 以前、Rev.19.01.09以前、RTX5000、 RTX3500、RTX1220、RTX1210、および RTX830 では不可能。 [32] 以下のselectコマンドがエラーとなったとき、プロンプトがselectコマンドの対象 を選択していない状態 (none) に遷移するようにした。 - pp select - tunnel select [33] ipv6 rtadv sendコマンドにprf_flagオプションを追加した。 ○ルーター広告の送信の制御 [書式] ipv6 INTERFACE rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] ipv6 pp rtadv send PREFIX_ID [PREFIX_ID...] [OPTION=VALUE...] no ipv6 INTERFACE rtadv send [...] no ipv6 pp rtadv send [...] [設定値及び初期値] ・INTERFACE [設定値] : LANインターフェース名 [初期値] : - ・PREFIX_ID [設定値] : プレフィックス番号 [初期値] : - ・OPTION=VALUE : NAME=VALUEの列 [設定値] : ----------------------------------------------------------------- NAME VALUE 説明 ----------------------------------------------------------------- m_flag on、off managed address configurationフラグ。 ルーター広告による自動設定 とは別に、DHCP6に代表され るルーター広告以外の手段に よるアドレス自動設定をホス トに許可させるか否かの設定。 o_flag on、off other stateful configurationフラグ。 ルーター広告以外の手段によ りIPv6アドレス以外のオプショ ン情報をホストに自動的に取 得させるか否かの設定。 prf_flag high、medium、low Default Router Preference フラグ。ルーター広告の優先 度を示す設定。 ★ max-rtr-adv-interval 秒数 ルーター広告を送信する最大 間隔 (4-1,800秒) min-rtr-adv-interval 秒数 ルーター広告を送信する最小 間隔 (3-1,350秒) adv-default-lifetime 秒数 ルーター広告によって設定さ れる端末のデフォルト経路の 有効時間 (0-9,000秒) adv-reachable-time ミリ秒数 ルーター広告を受信した端末 が、ノード間で確認した到達 性の有効時間 (0-3,600,000 ミリ秒) adv-retrans-time ミリ秒数 ルーター広告を再送する間隔 (0-4,294,967,295ミリ秒) adv-cur-hop-limit ホップ数 ルーター広告の限界ホップ数 (0-255) mtu auto、off、バイト数 ルーター広告にMTUオプショ ンを含めるか否かと、含める 場合の値の設定。 autoの場合はインターフェー スのMTUを採用する。 rdnss rdnss、off、dhcpv6 ルーター広告にRDNSSオプショ ンを含めるか否かと、含める 場合の値の設定。 rdnssの場合はRAのRDNSSオプ ションで割り当てられたサー バー群を通知する。 ------------------------------------------------------------------ [初期値] : ・m_flag = off ・o_flag = off ・prf_flag = medium ★ ・max-rtr-adv-interval = 600 ・min-rtr-adv-interval = 200 ・adv-default-lifetime = 1800 ・adv-reachable-time = 0 ・adv-retrans-time = 0 ・adv-cur-hop-limit = 64 ・mtu = auto ・rdnss = rdnss [説明] インターフェースごとにルーター広告の送信を制御する。送信されるプレフィッ クスとして、ipv6 prefixコマンドで設定されたものが用いられる。 また、オプションとしてm_flagおよびo_flagを利用して、管理するホストがルー ター広告以外の自動設定情報をどのように解釈するかを設定することができる。 オプションでは、送信するルーター広告の送信間隔や、ルーター広告に含まれ る情報の設定を行うこともできる。 [34] ipsec ike local idコマンド、およびipsec ike remote idコマンドを設定したと き、SAの削除およびIKEの初期化を行うようにした。 [35] ip flow timerコマンドで、FIN/RSTビットのセットされたTCPパケットの寿命の初 期値を5秒に変更した。 ○フローテーブルの各エントリの寿命を設定する [書式] ip flow timer PROTOCOL TIME no ip flow timer PROTOCOL [TIME] [設定値及び初期値] ・PROTOCOL [設定値] ------------------------------------------------------ 設定値 説明 ------------------------------------------------------ tcp TCP パケット udp UDP パケット icmp ICMP パケット slow FIN/RST ビットのセットされた TCP パケット ------------------------------------------------------ [初期値] ・tcp = 900 ・udp = 30 ・icmp = 30 ・slow = 5 (RTX830 Rev.15.02.27 以降、RTX1300 Rev.23.00.05 以降、 vRX (EC2) Rev.20.00.03以降, vRX (ESXi) Rev.20.01.03以降)★ 30 (上記以外)★ ・time [設定値] : 秒数 (1..21474836) [初期値] : - [説明] フローテーブルの各エントリの寿命をプロトコル毎に設定する。 FIN/RSTの通過したエントリには 'slow' が適用される。 NATや動的フィルターを使用している場合には、それらのエントリの寿命が適用 される。 [36] tunnel templateコマンドを実行したときの処理時間を短縮した。また、 tunnel templateコマンド実行時に進捗状況を示すメッセージを出力するようにし た。 [37] 以下のコマンドで、仮想マシンコンソールの接続種別を"serial"から"vm-console" に変更した。 - disconnect user - show status user - user attribute user attributeコマンドでconnection属性を設定していた場合、リビジョンアップ 後に connection属性に"vm-console" を追加しない限り仮想マシンコンソールから の接続ができなくなりますのでご注意ください。 ○他のユーザの接続の強制切断 [書式] disconnect user USER [/CONNECTION[no]] disconnect user [USER]/CONNECTION[no] [設定値及び初期値] ・USER [設定値] : ユーザ名 [初期値] : - ・CONNECTION : 接続種別 [設定値] : ------------------------------------------------------------------ 設定値 説明 ------------------------------------------------------------------ telnet TELNET による接続 serial シリアルコンソールからの接続 vm-console 仮想マシンコンソールからの接続 ★ remote リモートセットアップによる接続 ssh SSH による接続 sftp SFTP による接続 ------------------------------------------------------------------ [初期値] : - ・no [設定値] : 接続番号 [初期値] : - [説明] 他ユーザの接続を切断する。 show status user コマンドで表示された接続状況からパラメータを指定する。 無名ユーザを切断する場合は、第 2 書式で user を省略した形で指定する。 パラメータを省略した場合は、指定したパラメータと一致するすべての接続を 切断する。 [ノート] 自分自身のセッションを切断することはできない。 CONNECTION パラメータの 'vm-console' は vRX VMware ESXi 版 Rev.20.01.03 以降で指定可能。 ★ ○ユーザーの属性を設定 [書式] user attribute [USER] ATTRIBUTE=VALUE [ATTRIBUTE=VALUE...] no user attribute [USER...] [設定値及び初期値] ・USER [設定値] : ------------------------------------------------------------------ 設定値 説明 ------------------------------------------------------------------ ユーザー名 登録されているユーザー名 *radius RADIUS 認証でログインするすべてのユーザー * すべてのユーザー ------------------------------------------------------------------ [初期値] : - ・ATTRIBUTE=VALUE : ユーザー属性 [設定値] : ・administrator : 管理者モードを使えるかどうかを示す属性 --------------------------------------------------------- 設定値 説明 --------------------------------------------------------- on administrator コマンドにより管理ユーザーに昇格すること ができる。また管理者パスワードを用いて SFTP 接続を行う ことができる。 off administrator コマンドにより管理ユーザーに昇格すること ができない。また管理者パスワードを用いて SFTP 接続を行 うことができない。 --------------------------------------------------------- ・connection : ルーターへのアクセス方法を示す属性 --------------------------------------------------------- 設定値 説明 --------------------------------------------------------- off すべての接続を禁止する。 all すべての接続を許可する。 serial シリアルコンソールからの接続を許可する。 vm-console 仮想マシンコンソールからの接続を許可する。 ★ telnet TELNET による接続を許可する。 ssh SSH による接続を許可する。 sftp SFTP による接続を許可する。 --------------------------------------------------------- ・host : ルーターへのアクセスホストを指定する属性 --------------------------------------------------------- 設定値 説明 --------------------------------------------------------- IP アドレス 指定したホストからの接続を許可する。 any すべてのホストからの接続を許可する。 インタフェース名 指定したインタフェースからの接続を許可する。 --------------------------------------------------------- ・multi-session : 複数接続を許可するかどうかを示す属性 --------------------------------------------------------- 設定値 説明 --------------------------------------------------------- on 同一ユーザー名による TELNET、SSH での複数接続を許可する。 off 同一ユーザー名による TELNET、SSH での複数接続を禁止する。 --------------------------------------------------------- ・login-timer : ログインタイマーの指定 --------------------------------------------------------- 設定値 説明 --------------------------------------------------------- 120..21474836 キー入力がない場合に自動的にログアウトするま での秒数。 clear ログインタイマーを設定しない。 --------------------------------------------------------- [初期値] : administrator=on connection=all ★ host=any multi-session=on login-timer=300 [説明] ユーザーの属性を設定する。 USERを省略した場合は、無名ユーザーの属性を設定する。 USERに *radius を指定した場合は、RADIUS 認証でログインするすべてのユー ザーの属性を設定する。 USERにアスタリスク (*) を指定した場合は、すべてのユーザーに対して設定を 有効にする。ただし、ユーザー名を指定した設定がされている場合は、その設 定が優先される。 すでに管理ユーザーに昇格しているユーザーに対して、このコマンドで administrator 属性をoffに変更しても、そのユーザーは exit コマンドにより 一般ユーザーに降格するか、あるいはログアウトするまでは管理ユーザーで居 続けることができる。 connection 属性では、off、all 以外の値はコンマ (,) でつないで複数指定す ることができる。 すでに接続しているユーザーに対して、このコマンドで connection 属性また は host 属性により接続を禁止しても、そのユーザーは切断するまでは接続を 維持し続けることができる。 host 属性では、TELNET、SSH 及び SFTP で接続できるホストを設定する。指定 できる IP アドレスは、1 個の IP アドレスまたは間にハイフン (-) をはさん だ IP アドレス (範囲指定)、およびこれらをコンマ (,) でつないだものであ る。 multi-session 属性では、TELNET、SSH での複数接続の可否を設定する。この 属性を off に変更しても、SSHと TELNET など、接続方法が異なる場合は同じ ユーザー名で接続することができる。 すでに複数の接続があるユーザーに対して、このコマンドで multi-session 属 性を off に変更しても、そのユーザーは切断するまでは接続を維持し続けるこ とができる。 無名ユーザーに対してはパスワード認証による SSH、SFTP による接続を許可す ることができない。公開鍵認証を使用する場合は SSH、SFTP による接続を許可 することができる。 無名ユーザーに対しては TELNET での複数接続はできない。 TELNET、SSH、SFTP で接続した場合、login-timer 属性の値が clear に設定さ れていても、タイマ値は 300 秒として扱う。 login timer コマンドの設定値よりも、本コマンドの login-timer 属性の設定 値が優先される。 [ノート] 本コマンドにより、すべてのユーザーの接続を禁止する、またはすべてのユー ザーが管理ユーザーに昇格できないといった設定を行った場合、ルーターの設 定変更や状態確認などができなくなるので注意する必要がある。 connection 属性の 'vm-console' は vRX VMware ESXi 版 Rev.20.01.03 以降で指定可能。 ★ [38] show environmentコマンドで、各コアのCPU使用率を常に表示するようにした。 これに伴い、detailオプションを廃止した。 また、show techinfoコマンドで、show environmentコマンドをdetailオプション 無しで出力するようにした。 [39] show status licenseコマンドで、vrxオプションを指定したとき、ユーザーIDとイン スタンスIDを基本ライセンスの下に表示するように変更した。また、オプションラ イセンスは基本ライセンスの一部として表示するように変更した。 [40] show status licenseコマンドで、表示される表の幅を55文字から78文字に変更し た。 [41] import vrx license fileコマンドで、vrx userコマンドが未設定の場合に実行し たときに表示されるエラーメッセージの内容を変更した。 - 変更前：「ユーザーIDとパスワードが設定されていません。/User ID and password are not set.」 - 変更後：「インポートできるライセンスがありません。/No license that can be imported.」 [42] show status license vrxコマンドで、適用するライセンスが無いときに「ライセン スがありません。」または「No license.」と表示するように変更した。 [43] SSHサーバー機能で、セキュリティー強化のためsshd auth methodコマンドの初期 値をallからpublickeyに変更した。 明示的に設定を行わない限り、SSHサーバーのパスワード認証機能は使用できなく なる。 ○SSH サーバーで利用可能な認証方式の設定 [書式] sshd auth method ALL sshd auth method METHOD [METHOD] no sshd auth method [...] [設定値及び初期値] ・ALL：パスワード認証、および、公開鍵認証を受け入れる ・METHOD [設定値]： | 設定値 | 説明 | | --------- | -------------------------- | | password | パスワード認証を受け入れる | | publickey | 公開鍵認証を受け入れる | [初期値]：publickey★ [説明] SSH サーバーで利用可能な認証方式を設定する。 パスワード認証より公開鍵認証が安全な認証方式である。 [ノート] 以下のリビジョンでは初期値が all となる。 vRX Amazon EC2 版 Rev.19.00.08 以前 vRX VMware ESXi 版 Rev.19.01.09 以前 [44] デプロイ時実行コマンドとして以下のコマンドを実行できるようにした。 - bgp default med - bgp export route selection rule - dhcp relay srcport - ip dscp supersede - ipsec ike auto received-id-route-add - ipv6 dscp supersede - ipv6 INTERFACE neighbor cache max entry - ipv6 reassembly hold-time - rip advertise mode - sshd auth method - sshd authorized-keys filename [45] show status packet-bufferコマンドの出力フォーマットを変更した。 表示例： \# show status packet-buffer large large group: 2048 bytes length parameters: max-buffer=40000 39491 buffers in free list 509 buffers are allocated allocation history: failures excluding on LAN interface: 0 [46] show nat descriptor addressコマンドの表示内容を変更した。 - 外側アドレスの昇順で表示するようにした。 - 重複するアドレス設定について、適用される変換ルールのみ表示するようにした。 - 静的NATエントリーをネットワークアドレスごとに集約して表示するようにした。 - サブネットマスク長が24ビット以下のとき - xxx.xxx.xxx.xxx/XX (XXはネットマスク長) - サブネットマスク長が24ビットより長いとき、またはネットワークアドレスに 一致しないとき - xxx.xxx.xxx.xxx-zzz (zzzは終端のアドレス) [47] nat descriptor staticコマンドで、重複するアドレス設定を許容し、重複したア ドレスの場合は若い識別番号の設定を使用するように変更した。 [48] show copyrightコマンドの書式を変更した。 ○サードパーティー製ソフトウェアの著作権情報を表示 [書式] show copyright [DETAIL] show copyright detail [SOFTWARE] show copyright [DETAIL [LICENSE [VERSION]] [設定値及び初期値] ・SOFTWARE [設定値]：表示対象とするソフトウェア名 [初期値]：- ・LICENSE [設定値]：ライセンス条文表示するライセンス名 [初期値]：- ・VERSION [設定値]：ライセンスのバージョン番号 [初期値]：- [説明] 搭載されているサードパーティー製ソフトウェアの著作権情報を表示する。 detail オプションを指定すると、ライセンス条文を合わせて表示する。 vRX シリーズ で一部ソフトウェアの著作権情報およびライセンス条文を表示す るには、software パラメーターを指定する必要がある。対象のソフトウェア名 は show copyright detail を実行すると表示される。 [ノート] vRX シリーズ でサードパーティー製ソフトウェアに適用される一般的なライセン スの条文を表示するには、show copyright common-license を使用する。ただ し、vRX Amazon EC2 版 Rev.19.00.01、Rev.19.00.08 は本コマンドの第 3 書 式で確認する。★ 第 1 書式は、 RTX5000、RTX3510、RTX3500、RTX1300、RTX1220、RTX1210、お よび RTX830 で使用可能。 ★ 第 2 書式は、 vRX VMware ESXi 版 Rev.20.01.03以降、vRX さくらのクラウド 版 Rev.20.02.03以降、vRX Amazon EC2 版 Rev.20.00.03以降で使用可能。 ★ 第 3 書式は、vRX Amazon EC2 版 Rev.19.00.01、Rev.19.00.08で使用可能。★ [49] ip keepaliveコマンドで、logオプションがonのとき、SYSLOGに出力される ip keepaliveコマンドの識別番号の表示を3桁から4桁に変更した。 [50] show environmentコマンドで、イーサネットアドレスの出力書式を変更した。 [51] show configコマンドを実行したとき、イーサネットアドレスが二重に表示されな いようにした。 [52] 以下のコマンドで、対象インターフェースのMTUを表示するようにした。 - show status lan - show status pp - show status tunnel [53] show status bridgeコマンドで、ブリッジインターフェースに収容されたLANイン ターフェースのMTUを表示するようにした。 [54] LANインターフェース名を指定する各種コマンドにおいて、仮想NICを装着していな いLANインターフェースを指定できるようにした。 [55] show status ipv6 dhcpコマンドで、Infomation-Requestに対するReply内の以下の 情報を表示するように変更した。 - DNS server - Domain name [56] show config listコマンドを実行したとき、内蔵フラッシュROM使用状況（項目名: Sects） を出力しないようにした。 変更前は常に "000/000" と出力していた。 [57] 以下のコマンドで、宛先が0.0.0.0かつネットマスクが0でない経路を入力できるよ うにした。 - bgp force-to-advertise - ip INTERFACE rip force-to-advertise - ip route [58] sip useコマンドで、設定をonからoffに変更したときに再起動を促す警告メッセー ジを表示するようにした。 [59] show ip/ipv6 connectionコマンドの表示内容を変更した。 - ルーター全体のコネクション数と現在時刻を表示するようにした - detailキーワードを指定した場合、インターフェースごとにコネクション数を表 示するようにした - summaryキーワードを指定した場合、ルーター全体のコネクションが1つも存在し ないときはインターフェースごとにコネクション数を表示しないようにした [60] nslookupコマンドにオプションを追加した。 - SERVER - EDNS - TYPE - CACHE ○nslookup [書式] nslookup HOST [server=SERVER [edns=EDNS]] [type=TYPE] [cache=CACHE] [設定値及び初期値] ・HOST [設定値] : IPv4 アドレス IPv6 アドレス ホスト名 [初期値] : - ・SERVER ★ [設定値] : 名前解決に使用する DNS サーバーの IPv4 アドレス、IPv6 ア ドレス [初期値] : - ・EDNS ★ [設定値] : ------------------------------------------------------------------- 設定値 説明 ------------------------------------------------------------------- on 対象の DNS サーバーへの通信を EDNS で行う off 対象の DNS サーバーへの通信を DNS で行う ------------------------------------------------------------------- [初期値] :off ・TYPE ★ [設定値] : ------------------------------------------------------------------- 設定値 説明 ------------------------------------------------------------------- A IPv4 アドレスを取得する AAAA IPv6 アドレスを取得する A+AAAA IPv4 アドレスと IPv6 アドレスを取得する PTR IP アドレスからドメイン名を取得する auto HOST の設定値に応じて動作する ------------------------------------------------------------------- [初期値] : auto ・CACHE ★ [設定値] : ------------------------------------------------------------------- 設定値 説明 ------------------------------------------------------------------- on DNS キャッシュを優先して名前解決を行う off DNS キャッシュを無視して名前解決を行う ------------------------------------------------------------------- [初期値] : on [説明] DNS による名前解決を行う。 TYPE を auto に設定したときは、HOST の設定値が IPv4 アドレスまたは IPv6 アドレスのときは A および AAAA を取得し、FQDN のときは PTR を取得する。 CACHE を on に設定したときであっても、dns cache use が off なら DNS キャッ シュを使用しない。 [ノート] AAAAレコードとIPv6アドレスのPTRレコードは、以下の機種およびリビジョンで 使用不可能。 RTX830 Rev.15.02.08以前 RTX1210 Rev.14.01.32以前 RTX5000 / RTX3500 Rev.14.00.25以前 SERVERオプション、EDNSオプション、TYPEオプションおよびCACHEオプションは 以下の機種およびリビジョンで使用不可能。 RTX830 Rev.15.02.33以前 RTX1210 Rev.14.01.42以前 RTX1220 Rev.15.04.07以前 RTX1300 Rev.23.00.16以前 RTX3510 Rev.23.01.03以前 RTX5000 / RTX3500 Rev.14.00.34以前 [61] show nat descriptor addressコマンドおよびshow nat descriptor interface address コマンドで、IPマスカレードテーブルの表示内容を以下のように変更した。 - コマンドの実行時刻を表示するようにした - セッション数を表示する項目のタイトルや位置を変更した - セッションが存在しない場合でもセッション数を表示するようにした [62] ip keepaliveコマンドで、以下を変更した。 - gatewayパラメーターにFQDNを指定できるようにした。 - logオプションによるログメッセージの内容を指定できるようにした。 ○ネットワーク監視機能の設定 [書式] ip keepalive NUM KIND INTERVAL COUNT GATEWAY [GATEWAY ...] [OPTION=VALUE ...] no ip keepalive NUM [設定値及び初期値] ・NUM : 監視設定の識別番号 [設定値] : ---------------------------------------------------------------- 設定値 説明 ---------------------------------------------------------------- 1..6000 vRX Amazon EC2 版 通常モード、vRX VMware ESXi 版 通常モー ド、vRX さくらのクラウド版 で設定可能 1...3000 RTX5000、RTX3510 で設定可能 1...1000 vRX Amazon EC2 版 コンパクトモード、vRX VMware ESXi 版 コン パクトモード、RTX3500 で設定可能 1..100 上記以外の機種で設定可能 ---------------------------------------------------------------- [初期値] : - ・kind : 監視方式 [設定値] : ----------------------------- 設定値 説明 ----------------------------- icmp-echo ICMP Echo を使用する ----------------------------- [初期値] : - ・interval [設定値] : キープアライブの送信間隔秒数 (1..65535) [初期値] : - ・count [設定値] : 到達性がないと判断するまでに送信する回数(3..100) [初期値] : - ・gateway : 複数指定可 (10 個以内 ) [設定値] : ・IP アドレス xxx.xxx.xxx.xxx (xxx は十進数 ) ・dhcp interface RTX5000 と RTX3500 は Rev.14.00.29 以降で指定可 -------------------------------------------------------------- 設定値 説明 -------------------------------------------------------------- interface DHCP にて与えられるデフォルトゲートウェイを使う場合の、 DHCP クライアントとして動作する LAN インタフェース名ま たは WAN インタフェース名 -------------------------------------------------------------- ・FQDN・・・★ ドメイン名を含んだホスト名 [初期値] : - ・option=value 列 [設定値] : ------------------------------------------------------------------- option value 説明 ------------------------------------------------------------------- log on 状態変化、到達性の変化、ICMP Echo 送受信の SYSLOG を出力する・・・★ 3 状態変化、到達性の変化、ICMP Echo 送受信の SYSLOG を出力する・・・★ 2 状態変化、到達性の変化の SYSLOG を出力する・・・★ 1 状態変化の SYSLOG を出力する・・・★ off SYSLOG を出力しない upwait 秒数 到達性があると判断するまでの待機時間 (1..1000000) downwait 秒数 到達性がないと判断するまでの待機時間 (1..1000000) length バイト ICMP Echo パケットの長さ (64-1500) local-address IP アドレス 始点 IP アドレス ipsec-refresh セキュリティ・ゲートウェイの DOWN→UP または UP→DOWN に状態が変化した場合に、指定のセキュリティ・ゲート 識別子 (gateway_id) ウェイに属する SA を強制的に更新 ( 複数指定する場合はカンマで区切る ) ipsec-refresh-up セキュリティ・ゲートウェイの DOWN→UP に状態が変化した場合のみ、指定のセキュリティ・ゲートウェイに属す 識別子 (gateway_id) る SA を強制的に更新 ( 複数指定する場合はカンマで区切る ) ipsec-refresh-down セキュリティ・ゲートウェイの UP→DOWN に状態が変化した場合のみ、指定のセキュリティ・ゲートウェイに属す 識別子 (gateway_id) る SA を強制的に更新 ( 複数指定する場合はカンマで区切る ) gateway-selection-rule head ICMP Echo パケットを送信する際、該当する経路に複数のゲートウェイが指定さ れていても、必ず最初に指定されたゲートウェイへ送出する normal ICMP Echo パケットを送信する際、該当する経路に複数のゲートウェイが指定さ れていたら、通常の規則に従い送出ゲートウェイを選択する ------------------------------------------------------------------- [初期値] : ・log=off ・upwait=5 ・downwait=5 ・length=64 ・gateway-selection-rule=head [説明] 指定したゲートウェイに対して ICMP Echo を送信し、その返事を受信できるか どうかを判定する。 [63] show copyrightコマンドで、detailオプションを指定して実行したときに表示され るRTproのURLの表記を「http:」から「https:」へ変更した。 [64] dns cache max entryコマンドで、最大エントリー数の上限を1024から8192に変更 した。 ○DNS キャッシュの最大エントリ数の設定 [書式] dns cache max entry NUM no dns cache max entry [NUM] [設定値及び初期値] ・NUM [設定値] : 最大エントリ数 (1...8192)・・・★ [初期値] : 256 [説明] DNS キャッシュの最大エントリ数を設定する。 設定した数だけ、ルーター内部に DNS キャッシュとして上位 DNS サーバーか らの返答を保持できる。設定した数を超えた場合、返答が返ってきた順で古い ものから破棄される。 上位 DNS サーバーから得られた返答には複数の RR レコードが含まれているが、 DNS キャッシュの保持時間は、それらの RR レコードの TTL のうちもっとも短 い時間になる。また、まったく RR レコードが存在しない場合には、60 秒とな る。返答が得られてから保持時間を経過したエントリは、DNS キャッシュから 削除される。 [65] show nat descriptor masquerade session summaryコマンドの出力書式を変更した。 また、セッション数がピーク値を記録した日時も出力するようにした。 [66] cold startコマンドを実行したとき、vrx userコマンドが設定されている場合にラ イセンスを保持するか削除するかを確認するようにした。 [67] ip pp remote address poolコマンドで、dhcpを指定したときに、割り当てを行う LANインターフェースまたはDHCPスコープ番号を設定できるようにした。 ○リモート IP アドレスプールの設定 [書式] ip pp remote address pool IP_ADDRESS [IP_ADDRESS...] ip pp remote address pool IP_ADDRESS-IP_ADDRESS ip pp remote address pool dhcp [INTERFACE [TYPE]] ★ ip pp remote address pool dhcp scope SCOPE_NUM ★ ip pp remote address pool dhcpc [INTERFACE] no ip pp remote address pool [設定値及び初期値] ・IP_ADDRESS [設定値] : anonymous のためにプールする IP アドレス [初期値] : - ・IP_ADDRESS-IP_ADDRESS [設定値] : IP アドレスの範囲 [初期値] : - ・dhcp : 自分自身の DHCP サーバー機能を利用することを示すキーワード [初期値] : - ・dhcpc : DHCP クライアントを利用することを示すキーワード [初期値] : - ・INTERFACE ★ [設定値] : LAN インタフェース名 省略時は lan1 [初期値] : ・TYPE ★ [設定値] : -------------------------------------------------------------- 設定値 説明 -------------------------------------------------------------- primary ip INTERFACE address に設定されている IP アドレスと同じネッ トワークから割り当てる secondary ip INTERFACE secondary address に設定されている IP アドレ スと同じネットワークから割り当てる 省略 自動選択 -------------------------------------------------------------- [初期値] : ・SCOPE_NUM ★ [設定値] : スコープ番号 [初期値] : [説明] anonymous で相手に割り当てるための IP アドレスプールを設定する。PP とし て anonymous が選択された場合のみ有効である。 dhcp を設定した場合は、自分自身が DHCP サーバーとして動作している必要が ある。自分で管理している DHCP スコープの中から、INTERFACE で指定した LAN インターフェースの TYPE で指定した IP アドレスと同じネットワークの IP アドレスを割り当てる。TYPE を省略した場合にはプライマリアドレスから 割り当てを行い、失敗した場合にセカンダリアドレスから割り当てを行う。 ★ dhcp scope を設定した場合は、SCOPE_NUM で設定したスコープ番号の DHCP ス コープ から IP アドレスを割り当てる。 ★ dhcpc を設定した場合は、INTERFACE で指定した LAN インタフェースが DHCP クライアントとして IP アドレス情報のみを取得し、そのアドレスを割り当て る。取得できなかった場合は、0.0.0.0 を割り当てる。 [ノート] ip_address として設定できる数は下記の通り。 --------------------------------------- 機種 リビジョン 最大設定可能数 --------------------------------------- vRX シリーズ すべてのリビジョン 1040 RTX5000 すべてのリビジョン 3104 RTX3510 すべてのリビジョン 1104 RTX3500 すべてのリビジョン 1104 RTX1300 すべてのリビジョン 101 RTX1220 すべてのリビジョン 101 RTX1210 すべてのリビジョン 103 RTX840 すべてのリビジョン 32 RTX830 すべてのリビジョン 32 --------------------------------------- 第 3、第 4 書式は vRX VMware ESXi版 Rev.20.01.03 以降で使用可能。 ★ [68] IPv4 TCP/UDP通信で、hugeグループのパケットバッファを使用しないようにした。 これに伴いhugeグループのパケットバッファの最大割り当て数に指定できる値を 532固定から20以上80以下に変更し、デフォルト値を20にした。 ○パケットバッファのパラメータを変更する [書式] system packet-buffer GROUP PARAMETER=VALUE [PARAMETER=VALUE ...] no system packet-buffer GROUP [PARAMETER=VALUE ...] [設定値及び初期値] ・GROUP : パケットバッファのグループを指定する。 [設定値] : グループ名 ( small, middle, large, huge ) [初期値] : - ・PARAMETER : 変更するパラメータを指定する。 [設定値] : |設定値 |説明 | |----------|--------------------------------| |max-buffer|パケットバッファの最大割り当て数| [初期値] : - ・VALUE [設定値] : 変更する値を指定する。 [初期値] : | GROUP | max-buffer | |---------|------------| | small | 45000 | | middle | 120000 | | large | 180000 | | huge | 20 ★ | [説明] パケットバッファの管理パラメータを変更する。 パラメータにはVALUEの最小値から最大値の値を整数で指定できる。 | GROUP | max-buffer | |--------|----------------| | small | 45000..75000 | | middle | 120000..200000 | | large | 180000..300000 | | huge | 20..80 ★ | [ノート] 本コマンドによる設定の変更を反映するには、ルーターの再起動が必要となる。 ■バグ修正 [1] IKEv2でPKI証明書を利用した認証を行うとき、ペイロードの不一致により接続でき ない場合にリブートすることがあるバグを修正した。 [2] リモートアクセスVPN接続機能VPN機能で、クライアント側のIPアドレスをDHCPで割 り当てる設定のとき、dhcp scope bindコマンドで割り当てるIPアドレスを指定しな い設定があると、リブートするバグを修正した。 [3] IPsec SAの生成と削除を繰り返した場合にリブートする可能性を排除した。 [4] 起動した直後にコンソールから以下のコマンドを実行するとリブートすることがあ るバグを修正した。 - clear dns cache - dns cache use off - dns cache max entry - tunnel endpoint nameコマンドでFQDNを指定したIPIPトンネルインターフェース に対して - no tunel encapsulation - no tunnel endpoint name [5] マルチポイントトンネル機能でOSPFによる経路交換を行っているとき、トンネルの アップダウンにより動的にインターフェースの追加・削除が行われると、その後リ ブートすることがある可能性を排除した。 ただし実機上でこの現象が発現することは確認できていない。 [6] ファストパスで、L2TPv3-raw over IPIPの通信をしたとき、リブートすることがあ るバグを修正した。 [7] IKEv2を使用してIPsecトンネルを確立している場合、SAの更新処理が行われるとき にリブートやハングアップが発生することがあるバグを修正した。 [8] IPv6機能で、複数のインターフェースにipv6 rtadv sendコマンドを設定し、RAでプ レフィックスの更新通知を受信するとリブートする可能性があるバグを修正した。 [9] VRRPで、シャットダウントリガーによりマスタールーターが切り替わるとリブート することがあるバグを修正した。 [10] L2TP/IPsec接続で、大量のクライアントを一斉に接続するとリブートすることがあ るバグを修正した。 [11] 以下を繰り返し実行すると、リブートすることがあるバグを修正した。 - luaコマンドによるluaスクリプトの実行 - luacコマンドによるluaコンパイラの実行 - 基本ライセンス10Gbpsのインポートと削除 - 基本ライセンス10Gbpsが適用された状態でQoSの設定追加と削除 - schedule atコマンド経由でのwol sendコマンド実行 [12] マルチポイントトンネルで、IPv6パケットを送受信するとリブートするバグを修正 した。 [13] SNMPで、リブートすることがあるバグを修正した。 [14] L2TPv3で、l2tp remote end-idコマンドに対向と異なるend-idを設定したとき、リ ブートすることがあるバグを修正した。 [15] BGP機能を使用しているとき、近隣ルーター宛ての経路とBGPで受信した経路より優 先度の高い経路を同時に削除するとリブートすることがあるバグを修正した。 [16] SNMPで、SYNTAXがOCTET STRINGのMIBオブジェクトの値を取得すると、取得に失敗 したりリブートしたりすることがあるバグを修正した。 [17] Luaスクリプト機能で、ライブラリ関数rt.socket.dns.tohostname()を実行すると、 リブートしたりハングアップしたりすることがあるバグを修正した。 [18] IPUDPを使用したデータコネクト拠点間接続で、データコネクトの切断時にファス トパスのフローがあるとリブートすることがあるバグを修正した。 [19] NGN網接続機能で、リナンバリング時にリブートすることがあるバグを修正した。 ルーター広告を送信するインターフェースが多い場合に発生する。 [20] ルーター稼働中にごく稀にリブートすることがあるバグを修正した。 [21] SYSLOG送信機能で、SYSLOGパケットの送出インターフェースがダウンしているとき にSYSLOGパケットの送信が発生するとリブートする可能性を排除した。 [22] VPN機能で、対向から通常の通信では発生しない異常なパケットを受信したとき、 リブートすることがあるバグを修正した。 また、このようなパケットを受信したときには、以下のデバッグレベルのログを出 力しパケットを破棄するようにした。 - Packet dropped on インターフェース (duplicate tunnel encapsulation) - Packet dropped on インターフェース (multiple tunnel encapsulation) [23] SFTPサーバー機能で、一部のSFTPクライアントから接続されたときにリブートまた はハングアップするバグを修正した。 [24] IPsec機能で、既に設定されているipsec transportコマンドを変更または上書きす るとリブートすることがあるバグを修正した。 [25] Luaスクリプト機能で、検索文字列に正規表現オブジェクトを指定したrt.syslogwatch の実行中に、瞬間的に大量のSYSLOGが出力されるとリブートすることがあるバグを 修正した。 なお、rt.syslogwatchにおいて未処理のSYSLOGが10万行を超えた場合、超過分の SYSLOGは処理対象から除外され、該当するSYSLOGの末尾には 「(missed in rt.syslogwatch)」というメッセージが付加される。 [26] ルーターの再起動またはシャットダウンを行うとき、lan shutdownコマンドを設定 したLANインターフェースがある状態で起動した場合にリブートするバグを修正した。 [27] IPsecで、SAの寿命満了によるSA削除とコマンド実行によるSA削除のタイミングが 重なったときにリブートすることがあるバグを修正した。 [28] show status userコマンド実行時および通知メール送信時にリブートする可能性を 排除した。 [29] lan shutdownコマンドを設定した状態で起動し、no lan shutdownコマンドを実行 しないままclear status lanコマンドを実行するとリブートするバグを修正した。 [30] ngn typeコマンドをnttに設定したインターフェースで、不正な長さを指定した Classless Static Route Optionを持つDHCP ACKを受信したとき、リブートするこ とがあるバグを修正した。 [31] ipv6 routeコマンドで、不正なIPv6アドレスを設定したとき、リブートすることが あるバグを修正した。 [32] console characterコマンドをja.utf8に設定しているときに、コンソール上でシフ トJISで対応していない文字コードを入力するとリブートするバグを修正した。 [33] queue class filterコマンドで、正しくない書式で設定しようとするとリブートす ることがあるバグを修正した。 [34] 以下のタイミングでメモリーリークが発生するバグを修正した。 - ip filter dynamicコマンドで始点、または終点アドレスにFQDNを設定したとき - ip filterコマンド、ip filter dynamicコマンドで始点、または終点アドレスに FQDNを設定し、アドレス以外のパラメーターでエラーになったとき - queue class filterコマンドで始点、または終点アドレスにFQDNを設定したとき - queue class filterコマンドで始点、または終点アドレスにFQDNを設定し、アド レス以外のパラメーターでエラーになったとき [35] mail notifyコマンドで、trigger routeキーワードを指定したときにメモリーリー クが発生することがあるバグを修正した。 [36] ipsec transportコマンドを上書き設定するとメモリーリークが発生するバグを修 正した。 [37] Luaスクリプトやwol sendコマンドの実行を繰り返すと、メモリーリークが発生す るバグを修正した。 [38] IKEv2のIPsecトンネルにおいて、ipsec ike keepalive useコマンドでICMP Echo以 外のキープアライブ方式を設定している場合、IKE SAの更新処理が行われる度にメ モリーリークが発生するバグを修正した。 [39] メモリー使用率が100%に近い状態で、以下の場合にメモリーリークが発生するバグ を修正した。 - 以下のコマンドを実行したとき - show config - show config N - show config pp - show config tunnel - show ip secure filter - show ipv6 secure filter - show config difference - rollback timer - rollback timerコマンドでタイムアウトが発生したとき - loadコマンドのrollback-timerオプションでタイムアウトが発生したとき [40] VPNオプションライセンスがインポートされている状態でclear vrx licenseコマン ドを実行したとき、メモリーリークが発生するバグを修正した。 [41] ステートレスDHCPv6クライアントまたはDHCPv6-PDクライアント機能で、 SIP Servers IPv6 Address Listオプションが設定されたメッセージを受信したと き、メモリーリークが発生するバグを修正した。 [42] SSHクライアント機能で、sshコマンドを実行するときにメモリーリークが発生する バグを修正した。 [43] telnetコマンドで、接続に失敗するとメモリーリークが発生するバグを修正した。 [44] DHCPサーバー機能で、DHCP DISCOVERを一度に大量に受信したとき、ハングアップ することがあるバグを修正した。 [45] 再起動およびシャットダウン時にハングアップする可能性を軽減した。 [46] マルチポイントトンネルインターフェースのアドレスがゲートウェイに指定されて いる静的経路が、対象のトンネルの切断時に消失し、トンネルが再確立しても復元 せずに当該経路の通信ができなくなるバグを修正した。 [47] IPマスカレード機能で、PPTPで使用されるGREパケットはIPヘッダー部の書き換え と共にGREヘッダー部を書き換えるが、PPTPの通信パケットとは認識されないGREパ ケットのGREヘッダー部を不当に書き換えることがあるバグを修正した。 [48] IKEv2のレスポンダーとして動作しているとき、イニシエーターからのIKE_SA_INIT を2回以上受信すると、IKE_AUTH以降の処理で不正な値のresponderSPIを送信して 接続できないことがあるバグを修正した。 [49] IPマスカレード機能で、UPnPのポートマッピングのリクエストまたはFTPのPASV/PORT コマンドに応じたNATエントリーの作成および削除が行われると、以後TCP以外のセッ ションまたはFTPセッションで正常に通信ができなくなることがあるバグを修正し た。 ただし、nat descriptor backward-compatibilityコマンドが1に設定されていると きは本バグは発現しない。 [50] IPマスカレード機能で、PPTPの通信パケットとは認識されないGREパケットにポー ト番号が割り当てられることがあるバグを修正した。 [51] IKEv2のレスポンダーとして動作しているとき、イニシエーターからIDr無しの IKE_AUTHを受信した場合に認証エラーとなり、IKEv2の接続ができないことがある バグを修正した。 [52] メール通知機能で、SMTP認証を有効にしたとき一部のメールサーバーに対してメー ルを送信できないバグを修正した。 [53] 動的フィルター機能で、ファストパスが有効かつNATまたはIPマスカレードが適用 される通信において、動的フィルターセッションの削除に連動して、対応するファ ストパスのフローが削除されないバグを修正した。 [54] 動的フィルター機能で、ファストパスが有効かつNATまたはIPマスカレードが適用 される通信において、動的フィルターセッションの戻り方向の通信が発生している にもかかわらず、当該セッションがタイムアウトで削除されることがあるバグを修 正した。 [55] 動的フィルター機能で、拡張パッシブモード(EPSV)で動作するFTP通信のパケット を正常に通過させられないことがあるバグを修正した。 [56] RAプロキシー配下のLANインターフェースで、RA受信により生成したIPv6アドレス が、暫定IPv6アドレスのままになることがあるバグを修正した。 [57] RAプロキシーで、RAによるプレフィックスのpreferred lifetimeが残り60秒になっ たとき、RSを送出するようにした。 [58] RAプロキシーで、IPv6 IPoE接続中のルーターを外してその回線に別のルーターを 繋ぎ変えたとき、別のルーターですぐにIPv6 IPoE接続ができないバグを修正した。 [59] 複数のルーティングプロトコルから同一の経路を受信しているとき、OSPFの優先度 が最も高く設定されていると、他のルーティングプロトコル由来の経路をbgpimport コマンドの設定どおりにBGPに取り込むことができないことがあるバグを修正した。 [60] 複数のルーティングプロトコルから同一の経路を受信しているとき、bgp exportコ マンドでルーティングテーブルに取り込まない設定になっている BGP 由来の経路 がshow ip route detailコマンドの結果に表示されることがあるバグを修正した。 [61] ファストパスで、ip tos supersedeコマンドの設定値によるtosフィールドの書き 換えが行われない事があるバグを修正した。 [62] ファストパスで、PPインターフェースへ送信するIPv4パケットを処理すると、PPイン ターフェースで送信パケットの数がカウントされないバグを修正した。 [63] ファストパスで、トンネルインターフェースで受信した異なるトンネルインターフェー スへ転送するパケットを処理したとき、受信パケットの数やサイズがカウントされ ないバグを修正した。 [64] ファストパスで、トンネルインターフェースで受信した異なるトンネルインターフェー スへ転送するパケットを処理したとき、受信パケットの数やサイズがカウントされ ないバグを修正した。 [65] ファストパスで、IPIP(IPv6 over IPv4/IPv6)トンネル上に、IPsec、L2TPv3、 L2TPv3/IPsecのいずれかのトンネルを使用している構成でパケットを処理すると、 IPIPトンネルインターフェースの以下のMIB変数がカウントされないバグを修正し た。 - ifInUcastPkts - ifHCInUcastPkts - ifInOctets - ifHCInOctets [66] ファストパスで、トンネルインターフェースで受信したIPv4パケットをL2TP/IPsec が設定されたトンネルインターフェースへ転送したとき、show status tunnelコマン ドで表示される受信パケットの数やサイズがカウントされないバグを修正した。 [67] ノーマルパスで、ESPパケットの認証に失敗したときにsyslogメッセージ 「digest is wrong」が出力されないバグを修正した。 [68] FQDNフィルター機能で、FQDNを完全一致条件で指定しても後方一致条件で判定され ることがあるバグを修正した。 [69] データコネクトリモートセットアップ機能で、接続が1分で切れることがあるバグ を修正した。 [70] L2TPv3を用いたL2VPNで接続先をドメイン名で指定しているとき、接続処理の開始 後にドメイン名のIPアドレスが変更されると接続できないバグを修正した。 [71] IPv6 IPsecトンネルで、蓄積可能なIKEパケットのキュー長が、ipsec ike queue length コマンドの設定値の1/3になっているバグを修正した。 [72] ルーター起動時に、不正なタイムスタンプのSYSLOGが出力されるバグを修正した。 [73] 動的フィルターで、PINGとPING6のセッション終了時に出力されるSYSLOGのIDが0と 表示されるバグを修正した。 [74] トリガによるメール通知機能で、SMTPSを指定するとメール通知に失敗することが あるバグを修正した。 [75] PPPoE接続中に以下の手段で設定変更をしたとき、設定変更後にPPPoE接続できなく なるバグを修正した。 - clear configurationコマンドを含むCONFIGをTFTPでPUTする - loadコマンドを実行する [76] 複数のコンソールで、外部ストレージのマウントやアンマウント、ファイルアクセ スなどを行うと、各操作が正しく処理されないことがあるバグを修正した。 [77] IPv6で、フラグメントされた近隣探索パケットを受信したとき、破棄せずに処理し ていたバグを修正した。 [78] IPv6で、上位層ヘッダーがないフラグメントパケットを受信したときの以下のバグ を修正した。 - 該当パケットを破棄しない - ICMPv6 Parameter Problemパケットを返信しない [79] ルーター宛のIPv4フラグメントパケットの一部を一定時間内に受信できなかったと き、ICMP Time Exceededパケットを送信しないバグを修正した。 [80] SSHサーバー機能で、通信終了時の終了ステータスとして常に1を送信するバグを修 正した。 [81] マルチポイントトンネル機能で、接続済みトンネルのSAポリシー定義(ipsec sa policyコマンド) を再設定すると、トンネルが二重に接続され、トンネル通信ができなくなるバグを 修正した。 [82] IPv6で、ICMPv6 Time Exceededパケットを送信しないことがあるバグを修正した。 [83] DHCPv6のIRに対するReplyにReconfigure Acceptオプションが付与されていた場合、 Replyを処理しないバグを修正した。 [84] OSPFまたはBGP機能を使用しているときに以下のコマンドを実行すると、処理に時 間がかかることがあるバグを修正した。 - show ip route detail - show ip route summary detail [85] OSPFとBGPで、自分側アドレスが設定されており相手側アドレスが設定されていな いトンネルインターフェースをゲートウェイとする経路を広告できないバグを修正 した。 [86] BGPで、IBGP経路広告に含まれるMEDの情報がshow status bgp neighbor advertised-routes コマンドで表示されないバグを修正した。 [87] OSPFおよびBGPで、宛先が0.0.0.0かつネットマスクが0ではない経路の広告がデフォ ルト経路として取り込まれるバグを修正した。 [88] OSPFおよびBGPで、以下の条件をすべて満たすとき、削除された経路がルーティン グテーブルに残ることがあるバグを修正した。 - OSPFまたはBGPから同じ宛先の経路を複数導入している - 上記経路と同じ宛先の経路を静的経路で設定している - OSPFまたはBGP経路の優先度が静的経路より高い - 優先度が最も高い経路と次に高い経路が同時に削除される [89] マルチポイントトンネルで、トンネルの切断後にクライアントが再接続処理を開始 しないことがあるバグを修正した。 [90] IPv6機能で、DHCPv6のIRに対するReplyを連続で受信したとき、DNSサーバー情報が 取得できないバグを修正した。 [91] QoSで、以下のバグを修正した。 - show status qosコマンドのクラスごとの使用帯域とピーク値が、実際の値より 大きく表示されることがある。 - Dynamic Class Control（DCC）機能で、設定した閾値を下回る帯域で通信してい るホストが、DCCによりフロー制御されることがある。 [92] SNMPで、SERIALポートからのログイン情報を表す以下の MIB 変数が SFTP からの ログアウトを契機に不当に変更されるバグを修正した。 - yrfLoginSerial - yrfLoginStatus - yrfLoginUser [93] IKEv2で、パケットのロスや遅延が発生しているとき、受信したIKEメッセージが認 証エラーになることがあるバグを修正した。 [94] IPsec IKEv1メインモードで、トンネルアップした約30秒後にトンネルダウンする ことがあるバグを修正した。 [95] SNMPで、使用できないLANインターフェースのifAdminStatusの値がUpを示す1になっ ているバグを修正した。 [96] L2TPv3で、拠点間接続にIPv6アドレスを使用したとき、WAN側のパケットをIPv4の パケットとしてカウントしてしまうバグを修正した。 [97] ブリッジインターフェース、LOOPBACKインターフェース、NULLインターフェースに 適用されたIPフィルターが動作しないことがあるバグを修正した。 [98] フィルター型ルーティングまたはパケット転送フィルターを使用しているときに発 生する以下のバグを修正した。 - Luaスクリプトを使用してHTTPで通信できないことがある - RADIUS認証に失敗することがある - SNMPトラップのパケットにルーターのエージェントアドレスが設定されないこと がある [99] ファイルシステム機能で、SMBプロトコルでマウントした外部ストレージ上のファ イルを正常に操作できないことがあるバグを修正した。 Rev.19.01.06で発生する。 [100] シリアルコンソールおよび仮想マシンコンソールでTELNETクライアントを動作さ せるとき、TELNETサーバーからのデータ受信および受信結果のコンソールへの描 画が遅延することがあるバグを修正した。 [101] 生存通知2の認証に失敗したとき、不正なsyslogメッセージが出力されるバグを修 正した。 - 誤：Format is wrong - 正：Digest is wrong [102] IPv4フラグメントパケットを経路情報に従って転送した後、同じ送信元アドレス でIPヘッダーのIDが同じパケットを受信したときに経路情報を無視して先のIPv4 フラグメントパケットと同じ経路に送信することがあるバグを修正した。 [103] IKEv2で、Configurationペイロードを対向の機器から受信したときに拠点間接続 が行えないことがあるバグを修正した。 [104] SFTPサーバー機能で、Put結果を示すSYSLOGメッセージが正しく表示されないバグ を修正した。 [105] 上限速度が10Gbpsの基本ライセンスが適用されている状態で起動した場合、QoSを 有効化したLANインターフェースで送信オーバーフローが発生するバグを修正した。 [106] pp anonymous接続で、同時に複数接続したときに2番目以降の接続でパケット転送 フィルターが動作しないバグを修正した。 [107] RIPv2で、過去に受信した経路と宛先やメトリックが同じでネクストホップが異な る経路を同じ広告元から受信したとき、該当経路のゲートウェイが新しく受信し た経路のネクストホップに更新されないバグを修正した。 [108] 以下のパケットをブリッジインターフェース経由で転送すると、IPv4パケットと してカウントされるバグを修正した。 - IPv6でファストパス対象外のパケット - IPプロトコル以外のパケット(ARPなど) [109] Luaスクリプト機能で以下のライブラリ関数を使用すると、ルーターの動作が不安 定になる可能性を排除した。 - rt.socket.dns.tohostname - rt.socket.dns.toip - TCPオブジェクト (rt.socket.tcp) - connect - bind - UDPオブジェクト (rt.socket.udp) - setpeername - setsockname [110] ARP要求を受信したとき、そのARP要求の宛先IPアドレスが受信インターフェース と異なるインターフェースのIPアドレスだった場合に、ProxyARPが無効であって もARP応答してしまうバグを修正した。 [111] データコネクト拠点間接続機能でNGN回線を利用したとき、DHCP更新時に情報に変 更が無いにもかかわらず経路情報が上書きされ、通信が切断することがあるバグ を修正した。 [112] SNMPで、SNMPトラップのtimestampフィールドの値がBasic Encoding Ruleに従っ ていないバグを修正した。 このため、特定のSNMPマネージャーでは表示が不正になることがあった。 [113] RIPv2で、宛先が0.0.0.0かつネットマスクが0ではない経路の広告がデフォルト経 路として取り込まれるバグを修正した。 [114] ブリッジインターフェースで、ブリッジインターフェースに収容するとそのLANイン ターフェースにプロミスキャスモードが設定されるが、収容から外しても解除さ れないバグを修正した。 [115] SNMPで、PPインターフェースから送信したブロードキャストのパケットが、ユニ キャストのパケットとしてカウントされるバグを修正した。 具体的には、ifOutNUcastPkts、ifOutMulticastPkts、ifHCOutMulticastPktsでは なく、ifOutUcastPkts、ifHCOutUcastPktsとしてカウントされる。 [116] Luaスクリプト機能で、フォーマット指定子"%Z"を指定してライブラリ関数os.date() を実行したとき、正しいタイムゾーンを取得できないバグを修正した。 [117] L2TPv3/IPsecで、以下の条件をすべて満たす場合に接続できないバグを修正した。 - トンネルの端点がIPv6アドレスである - トンネル番号が「1」以外に設定されている - ファストパスが有効になっている - IPsecがアグレッシブモードで設定されている [118] PPPoE、L2TP、PPTP、またはモバイル接続（モデム方式）で、以下の条件をすべて 満たすとき認証エラーになるバグを修正した。 - 認証プロトコルがMS-CHAPまたはMS-CHAPv2である - パスワードが33文字以上である [119] L2TP/IPsec接続で、ノーマルパス時にPPインターフェースのMTUに従ってパケット がフラグメントされてしまうバグを修正した。 ○インタフェースの MTU の設定 [書式] ip INTERFACE mtu MTU0 ip pp mtu MTU1 ip tunnel mtu MTU2 no ip INTERFACE mtu [MTU0] no ip pp mtu [MTU1] no ip tunnel mtu [MTU2] [設定値及び初期値] ・INTERFACE [設定値]： ・LANインタフェース名 ・WANインタフェース名 ・vRX シリーズ、RTX5000、および RTX3500 では指定不可能 [初期値]：- ・MTU0,MTU1,MTU2 [設定値]：MTU の値 (64..1500；RTX5000、RTX3500 の LANインタフェース は 64..9578、RTX3510、RTX1300 の LAN インターフェースは 64..10218) [初期値]： ・MTU0=1500 ・MTU1=1500 ・MTU2=1280 [説明] 各インタフェースの MTU の値を設定する。 [ノート] 実際にはこの設定が適用されるのは IP パケットだけである。他のプロトコル には適用されず、それらではデフォルトのまま 1500 の MTU となる。 L2TP接続ではトンネルインターフェースやPPインターフェースのMTU設定は無 視してカプセル化し、送信する物理インターフェースのMTU設定に従ってカプ セル化後のパケットをフラグメントする。★ ○IPv6 インタフェースのリンク MTU の設定 [書式] ipv6 INTERFACE mtu MTU0 ipv6 pp mtu MTU1 ipv6 tunnel mtu MTU2 no ipv6 INTERFACE mtu [MTU0] no ipv6 pp mtu [MTU1] no ipv6 tunnel mtu [MTU2] [設定値及び初期値] ・INTERFACE [設定値]： ・LANインタフェース名 [初期値]：- ・MTU0,MTU1,MTU2 [設定値]：MTU の値 (1280..1500；RTX5000、RTX3500 の LAN インタフェー スは 1280..9578、RTX3510、RTX1300 の LAN インターフェース は1280..10218) [初期値]： ・MTU0=1500 ・MTU1=1500 ・MTU2=1280 [説明] IPv6 インタフェースの MTU の値を設定する。 [ノート] ipv6 tunnel mtu コマンドは RTX5000 / RTX3500 Rev.14.00.29 以降、 RTX1210 Rev.14.01.34 以降、RTX830 Rev.15.02.10 以降、および Rev.15.04 系以降で使用可能。 L2TP接続ではトンネルインターフェースやPPインターフェースのMTU設定は無 視してカプセル化し、送信する物理インターフェースのMTU設定に従ってカプ セル化後のパケットをフラグメントする。★ [120] DHCPサーバー機能で、DHCP Request受信時に予約アドレスを割り当てられなかっ た場合にデバッグログに不正なIPアドレスを出力するバグを修正した。 [121] DHCPサーバー機能で、DHCP予約アドレスを範囲指定かつOUI(ベンダーID)設定にし たときに、複数のDHCP要求を同時に受信するとIPアドレスを割り当てられないこ とがあるバグを修正した。 [122] DHCPサーバー機能で、DHCPスコープ内で除外IPアドレスとしたIPアドレスに対し てDHCP DECLINEを受信した後に、除外IPアドレスでなくなってしまうバグを修正 した。 [123] DHCPv6機能で、リレーエージェントからのパケットを受信したときに、不正な内 容のログが出力されるバグを修正した。 [124] QoSのクラス分けフィルターで、以下のバグを修正した。 - IPv4の全パケットを対象とするフィルターがあると、それより後に評価される 全てのIPv6のフィルターが無視される - IPv6の全パケットを対象とするフィルターがあると、それより後に評価される 全てのIPv4のフィルターが無視される [125] RIPv2で、過去に受信した経路と宛先が同じでメトリックとネクストホップが異な る経路を同じ広告元から受信したとき、show ip rip tableコマンドのゲートウェ イが新しく受信した経路のネクストホップに更新されないバグを修正した。 [126] OSPFおよびBGP機能で、外部経路(OSPFおよびBGPの経路を除く)を広告していると き、両方の機能を無効にして外部経路を削除(hidden状態への移行も該当)した後 にどちらかの機能を有効にすると、その有効にした機能で削除した経路が広告さ れてしまうバグを修正した。 [127] PPインターフェースで、NATを適用していない状態かつIPCPによりIPアドレスが割 り当てられている場合に、PPインターフェースのIPアドレス宛のTCP/UDP通信がで きないバグを修正した。 [128] L2TP/IPsecで、NATを適用したインターフェースから受信したパケットをL2TP/IPsec トンネルへ転送するときにファストパスで処理できないバグを修正した。 [129] IPsec機能で、IPv6アドレスかつAHプロトコルを使用するときに通信できないバグ を修正した。 [130] IPsec機能で、NATトラバーサルを利用したインターネット接続をしているとき、 CPU使用率が高騰することがあるバグを修正した。 [131] IPIPトンネルで、IPv6アドレスをエンドポイントに設定したトンネルで最初にIPv4 パケットを受信したときに、不正なIPv4ファストパスフローができるバグを修正した。 [132] 以下のトンネル機能を使ったファストパス通信で、ルーターの上位に存在する2台 で冗長化されたFWが切り替わった時に、トンネルインターフェースを経由した通 信が継続できないバグを修正した。 - IPsec - L2TP/IPsec - L2TPv3 [133] 以下のパケットをLANインターフェースから送信すると、show ipv6 addressコマン ドの出力に含まれる送信オクテット数が不正に増加するバグを修正した。 - ARPパケット - Wake on LANパケット (wol sendコマンドでethernetキーワードを指定して送信 した場合に限る) [134] no ipsec tunnelコマンドで、policy_idオプションに整数以外が指定できるバグ を修正した。 これにより、ipsec tunnelコマンドが意図せず削除されトンネルがダウンするこ とがなくなる。 [135] ospf export from ospfコマンドが設定されているとき、BGPで受信した経路が bgpexportコマンドの設定どおりにルーティングテーブルに取り込まれないことが あるバグを修正した。 [136] 以下のコマンドで、始点/終点アドレスにハイフンを含むFQDNを設定すると、正し く設定されないバグを修正した。 - ip filter - ip filter dynamic - tcp log [137] 以下のコマンドで、IPIPトンネルのトンネル端点にホスト名を指定している場合、 トンネル切断時に無関係なDNSキャッシュが削除されるバグを修正した。 - tunnel endpoint local address - tunnel endpoint name - tunnel endpoint remote address [138] remote setup acceptコマンドで、tel_numパラメーターに不正な値を入力したと き、当該コマンドが削除されるバグを修正した。 [139] 大量のdhcp scopeコマンドを設定して起動すると、dhcp scopeコマンドが削除で きないことがあるバグを修正した。 [140] 以下のコマンドが入力できるバグを修正した。 - ppp bacp maxconfigure - ppp bacp maxfailure - ppp bacp maxterminate - ppp bacp restart - ppp bap maxretry - ppp bap restart [141] ip reassembly hold-timeコマンドを設定したとき、MIB変数ipReasmTimeoutに反 映されないバグを修正した。 [142] dhcp scopeコマンドで、既存のコマンドと重複するスコープを設定したとき、エ ラーと表示するが有効な設定として動作してしまうことがあるバグを修正した。 [143] wol sendコマンドを実行したとき、Wake On Lanパケットがディレクテッドブロー ドキャストアドレスではなくリミテッドブロードキャストアドレスへ送信されて しまうバグを修正した。 [144] 以下のコマンドで、実行時に表示されるメッセージの誤記を修正した。 - clear vrx license - import vrx license file - import vrx license key - vrx license update schedule [145] dhcp manual leaseコマンドでリース情報を追加したとき、不正なリース情報が設 定されてしまうバグを修正した。 [146] bgp neighborコマンドで、gatewayパラメーターにPPインターフェースまたは TUNNELインターフェースを指定しているとき、当該インターフェースが一旦リン クダウンすると、再度リンクアップしてもネイバー関係を確立できなくなること があるバグを修正した。 [147] 以下のコマンドで、ユーザー名に空の文字列が設定できてしまうバグを修正した。 - login user - user attribute - import sshd authorized-keys - show sshd authorized-keys - sshd authorized-keys filename [148] コマンドヘルプで、表示する文字列が不当に改行されることがあるバグを修正し た。 [149] bgp export filterコマンドで、preferenceパラメーターによる経路選択が正常に 動作しないことがあるバグを修正した。 [150] tunnel templateコマンドで以下のコマンドが展開されないバグを修正した。 - ipsec ike backward-compatibility - ipsec ike mode-cfg method - ipsec ike negotiation receive [151] 以下のコマンドで、不正なオプションを設定することができるバグを修正した。 - dns sever - dns sever dhcp - dns sever pp - dns sever select [152] ip INTERFACE intrusion detectionコマンドで、オプションに不正な文字列を指 定した時、エラーが表示されないバグを修正した。 [153] ip routeコマンドで、フィルター型ルーティングの設定をしたとき、不適切なエ ラーメッセージが表示されることがあるバグを修正した。 [154] lan shutdownコマンドを実行したとき、以下のshow status lanのカウンター、お よびMIB変数が正しくカウントされないことがあるバグを修正した。 - show status lanのカウンター - 送信パケット - 送信オクテット - 送信オーバーフロー - 受信オーバーフロー - 受信CRCエラー - MIB 変数 - ifOutOctets - ifOutDiscards - ifInDiscards - ifInErrors [155] queue INTERFACE class propertyコマンドのBANDWIDTHパラメーターで、保証帯域 と上限帯域の速度を数値とパーセンテージの組み合わせで設定できるバグを修正 した。 [156] no ipv6 nd ra-rdnssコマンドで、登録されていないRDNSSオプション番号を指定 したとき、エラーにならないバグを修正した。 [157] nat descriptor staticコマンドで、ネットマスクを設定したときにそのネットワー クの先頭以外のアドレスが設定されていると、変換範囲が後ろにスライドしてし まうバグを修正した。 [158] ip pp remote addressコマンドで、IPアドレスを2つ以上設定したときにエラーに ならないバグを修正した。 [159] dns server selectコマンドの以下のバグを修正した。 - 以下のパラメーターで0.0.0.0および::0が指定できる - プライマリーDNSサーバーのIPアドレス - セカンダリーDNSサーバーのIPアドレス - peer_numパラメーターで指定した接続相手からDNSサーバーを獲得できなかっ たときに使うDNSサーバーのIPアドレス - 以下のパラメーターで0.0.0.0が指定できる - DNSレコードタイプにptrを指定したときのDNS問い合わせの内容 [160] import vrx license keyコマンドで、インポート済みの基本ライセンスに紐づい ていないVPNトライアルライセンスをインポートするとき、不適切なエラーメッセー ジが表示されるバグを修正した。 誤)エラー: 有効期限切れのライセンスです。 正)エラー: インポートが許可されていないライセンスです。 [161] ip keepaliveコマンドで、識別番号を1,000以上で登録したときに発生する以下の バグを修正した。 - ip keepaliveコマンドで、logオプションがonのときにSYSLOGに出力されるログ の表示が1桁後ろにずれてしまう - show status ip keepaliveコマンドの表示が1桁後ろにずれてしまう [162] lan typeコマンドで、MTUに1280未満を設定したとき、IPv6のMTUに1280未満が適 用されてしまうバグを修正した。 この修正により、lan typeコマンドでMTUに1280未満を設定したとき、ipv6 INTERFACE mtu コマンドの設定値に関わらず、IPv6のMTUには1280が適用される。 [163] dns hostコマンドで、設定値に以下のキーワードを指定しているとき、IPv6のDNS パケットを受信するとパケットの送受信ができなくなることがあるバグを修正し た。 - bridge1 - lan - lanN [164] 以下のコマンドや経路変更時のログで、宛先が0.0.0.0かつネットマスクが0でな い経路が「default」と表示されるバグを修正した。 - show ip route - show ip rip table - show status bgp neighbor [165] ngn typeコマンドが未設定のとき、DHCPv6-PDクライアントとしてルーターが送信 するSolicitメッセージに不正なIA Prefixオプションが付与されるバグを修正し た。 [166] no nat descriptor backward-compatibilityコマンドでNAT機能の動作タイプが変 化すると、再起動により設定が有効になる前に、以下のコマンドで表示される動 作タイプが変化後の値になってしまうバグを修正した。 - show nat descriptor address - show nat descriptor interface address - show nat descriptor interface address pp - show nat descriptor interface address tunnel - show nat descriptor interface bind - show nat descriptor interface bind pp - show nat descriptor interface bind tunnel - show nat descriptor masquerade port summary - show nat descriptor masquerade session statistics - show nat descriptor masquerade session summary [167] show arpコマンドのカウント数が不正な値になることがあるバグを修正した。 [168] show configコマンドで、ipv6 prefixコマンドのオプションの表示順が正しくな いバグを修正した。 [169] show status ipv6 dhcpコマンドで、Information-Requestに対するReplyの応答状 態を示す「state : reply」が複数行表示されてしまうことがあるバグを修正した。 [170] show status ipv6 dhcpコマンドで、実行時に表示される項目名の誤記を修正した。 [171] show environmentコマンドを実行したとき、セキュリティークラスにSSHパラメー ターが表示されないバグを修正した。 [172] 以下のコマンドで、未指定アドレス(0.0.0.0や::)、またはリミテッドブロードキャ ストアドレス(255.255.255.255)を設定してもエラーにならないバグを修正した。 - dns host - httpd host - sftpd host - sntpd host - sshd host - telnetd host - tftp host [173] TUNNEL2インターフェース以降のTUNNELインターフェースに対して以下のコマンド を設定したとき、ルーターを再起動しないとコマンドの設定が反映されないバグ を修正した。 - ip tunnel mtu - no ip tunnel mtu [174] PP2インターフェース以降のPPインタフェースに対して以下のコマンドを設定した とき、ルーターを再起動しないとコマンドの設定が反映されないバグを修正した。 - ip pp mtu - no ip pp mtu [175] dhcp scope optionコマンドで、valueに255バイトを超える値を設定してもエラー にならないバグを修正した。 [176] dhcp scope optionコマンドで、オプション番号128を示すニーモニックがtftp_server_ip_address ではなくtfpt_serverとなっていたバグを修正した。 [177] dns server selectコマンドで、DNSサーバーの設定をIPアドレスで指定し、edns オプションを設定してもDNSキャッシュに拡張情報が反映されないバグを修正した。 [178] clear log savedコマンドを実行したとき、リブート直前に退避したログだけでは なくshow logで表示されるログが消去されるバグを修正した。 [179] 以下のコマンドのコマンドヘルプの誤記を修正した。 - bgp aggregate filter - bgp export filter - bgp import filter - clear nat descriptor dynamic - clear nat descriptor masquerade session statistics - date - dhcp scope - ip filter dynamic - ip INTERFACE nat descriptor - ip INTERFACE rip send - ip pp rip send - ip tunnel rip send - ipv6 INTERFACE rtadv send - ipv6 nd ra-rdnss - ipv6 prefix - nat descriptor address inner - nat descriptor address outer - nat descriptor ftp port - nat descriptor masquerade incoming - nat descriptor masquerade port range - nat descriptor masquerade unconvertible port - nat descriptor masquerade rlogin - nat descriptor masquerade session limit - nat descriptor masquerade session limit total - nat descriptor masquerade static - nat descriptor static - nat descriptor sip - nat descriptor timer - nat descriptor type - nat46 ipv6 prefix - nat46 static - ospf export filter - ospf import filter - queue INTERFACE default class - schedule at - show ip connection - show ipv6 connection - show nat descriptor address - show nat descriptor masquerade port - show nat descriptor masquerade session - show nat descriptor masquerade session statistics -------------------------------------------------------------------------------- ■更新履歴 Jul. 2026, Rev.20.01.03 リリース 以上