http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.07.00/relnote_07_00_26.txt Revision : 07.00.26 Release : May 2003, ヤマハ株式会社 RTX1000/RTX2000 Rev.7.00.26 リリースノート ========================================================================== ○ Rev.7.00.19からの変更点 ========================================================================== ■機能追加 [1] PP ANONYMOUSで着信した時に、相手のユーザ名をSNMPトラップ送信するよ うにした。送信するのはプライベートMIBとなる。プライベートMIBについ ては、以下のURLを参照のこと。 http://www.rtpro.yamaha.co.jp/RT/docs/mib/ ■仕様変更 [1] RTX1000で、起動時に起動用ソフトのバージョン番号をシリアルコンソー ルに表示するようにした。起動後にバージョンを確認する方法は用意され ていない。 [2] IPマスカレードではなく、NATを利用している時にNATされたパケットに対 するICMP エラーを正しく変換できるようにした。 [3] ping、tracerouteコマンドで、引数としてホスト名ではなくIPアドレスを 指定された時には、結果を出力する時にもDNSの逆引きを行なわないよう にした。DNSの結果を待つ時間が無くなるため、出力が速くなる。 [4] snmp trap hostコマンドで、複数のホストをトラップ送信先として設定で きるようにした。また、ホスト毎にコミュニティ文字列を変更できるよう にした。 [入力形式] snmp trap host IP-ADDR [COMMUNITY] no snmp trap host IP-ADDR [COMMUNITY] [パラメータ] IP-ADDR ... トラップ送信先のホストのIPアドレス COMMUNITY ... コミュニティ文字列 [説明] SNMPトラップを送信するホストを指定する。コマンドを複数設定する ことで、複数のホストを同時に指定できる。トラップ送信時のコミュ ニティ文字列にはこのコマンドの設定値が用いられるが、省略されて いる場合にはsnmp trap communityコマンドの設定値が用いられる。 [5] rip use onでない場合には、show ip rip tableコマンドでRIPテーブルを 表示しないようにした。 [6] コマンドとして入力できる1行の文字数を4095文字に、引数の数を1024個 (コマンド自体の単語も含む)に拡張した。 [7] show configコマンドでの表示で、以下の変更を行なった。 - ip routeコマンドがネットワークアドレス順に表示されるようにした。 - PP毎、トンネル毎の設定の表示を字下げして表示するようにした。 - IPsecトンネルの設定で、SAポリシー、セキュリティゲートウェイの設 定を関連するトンネル毎の設定の中で表示するようにした。 [8] dns server selectコマンドで、DNSサーバとしてIPアドレスを設定する場 合に、省略可能なパラメータとしてセカンダリサーバのIPアドレスも入力 できるようにした。問い合わせ時には、、プライマリサーバで解決できな ければ続いてセカンダリサーバに問い合わせを行う。 [入力形式] dns server select ID SERVER [SERVER] [TYPE] query [ORIGINAL-SENDER] [restrict pp CONNECTION-PP] [9] schedule atコマンドで指定したコマンドが実行時に失敗した時には、エ ラー内容をsyslogに出力するようにした。 [10] 自分宛のパケットに対するICMPエラーの始点IPアドレスに、受信したパ ケットの終点IPアドレスを使うように変更した。従来はICMPエラーパケッ トを送出するインタフェースのIPアドレスを利用していた。 なお、自分宛ではないパケットに対するICMPエラーの始点IPアドレスは、 ICMPエラーパケットを送出するインタフェースのIPアドレスを利用するこ とに変更はない。 ■バグ修正 [1] 以下のバグを修正した。 - ip pp remote address poolコマンドで、連続していないIPアドレスが ハイフン付きで連続しているようにshow configコマンドで表示される - ipsec ike always-onコマンドで引数の数が足りなくてもエラーとなら ない - ipsec ike pre-shared-keyコマンドで、間違った入力をエラーにできな いことがある - ipsec ike pre-shared-keyコマンドで、事前共有鍵の文字列に「#」文 字が含まれていると、その文字以降が保存できずに無視される - nat descriptor timerコマンドで、PROTOCOLオプションにtcpかudpを指 定し、PORTオプションを指定しないときに、この設定を保存できない - ip lan/pp rip filterコマンドで指定できるフィルタの数を100に増や した - ip tunnel secure filterコマンドでフィルタセットの名前を指定した ときに、show configコマンドで設定が正しく表示されず、設定を保存 できない - ipv6 addressとipv6 filterコマンドで、長いプレフィクスを入力する とリブートする - ip routeコマンドで、間違ってゲートウェイのIPアドレスがルータに直 結していないセグメントのIPアドレスになっているような設定を保存し、 再起動すると起動直後にリブートを繰り返して起動できなくなることが ある - RTX2000で、telnetd hostコマンドでIPアドレスの範囲指定を行なった 時、範囲が正しく解釈されない [2] dhcp scope optionコマンドで、path_mtu_plateau_tableオプションと 128〜254番のオプションが設定できないバグを修正した。 path_mtu_plateau_tableオプションの値は、65535以下の数値をコンマ(,) で列挙する形で指定する。 例: dhcp scope option 1 path_mtu_plateau_table=1280,1500 128〜254番のオプションはバイナリ形式として、16進2桁の数値をコンマ (,)で列挙する形で指定する。 例: dhcp scope option 1 128=33,55,aa,ff [3] TELNETでログインしている時に、そこから他のホストへtelnetコマンド により接続した状態で、telnetコマンドにより接続したホストから大量に 出力があると、telnetコマンドを実行しているRTの動作が不安定になるバ グを修正した。 [4] console info onの設定になっている場合、TELNETでパスワード入力中の 状態でもログが表示されてしまうのを修正した。ログインパスワードを知 らなくても、ログを読むことができてしまう。 [5] TELNETでルータにログインしている時に、大量の表示を出力すると、 TELNET接続が停止することがあるバグを修正した。 [6] TELNETクライアントで、最大64回しかTELNETでの接続ができないバグを 修正した。 [7] TELNETクライアントで、存在しないIPアドレスにtelnetした場合など、接 続中で止まってしまった時、通常は60〜90秒でタイムアウトするが、その 前にログインタイマのタイムアウトが来てしまった場合に、ログインタイ マが無視されるバグを修正した。 また、上のような場合でtelnetクライアントが接続待ちの状態の時には、 telnetコマンドで指定したアボートキー(デフォルトは^])以外にも、^C でも中断できるようにした。 [8] ipsec sa policyコマンドやipsec ike local/remote idコマンドでIDとし て0.0.0.0を設定したとき、IDの種別として、ID_IPV4_ADDR(1)ではなく、 ID_IPV4_ADDR_SUBNET(4)を送信するようにした。 [9] ipsec ike xauth mynameコマンドで16文字を超える名前を設定すると、 XAUTHの要求を受けたときにリブートするバグを修正した。 [10] IPsecで不特定のトンネルインタフェースで通信できなくなることがある のを修正した。トンネルインタフェースが多いほど発生する頻度は高く、 64以上になると必ずこの問題が発生する。 [11] IKEキープアライブでICMPを使うときに障害を誤検出してごく短時間トン ネルがダウンすることがあるバグを修正した。拠点数が多いほど発生する 可能性が高い。 [12] IPsecで、ESPのカプセル化(ESP over UDP)を設定しているときに、IKEキー プアライブ機能が動作しないバグを修正した。 [13] IKEで、AHのSAを作成するときに認証アルゴリズムの属性を通知しないバ グを修正した。ヤマハルータ間の接続では問題はないが、RFC2407に違反 しているため、他社製品と接続できないことがある。 [14] IKEキープアライブ機能で、セキュリティゲートウェイの識別子とトンネ ルインタフェースの番号が一致していないときにトンネルインタフェース の障害を検出できないバグを修正した。具体的な現象としては、トンネル バックアップ機能で、バックアップに切り替わらないという問題になる。 両者の番号を揃えて設定することで回避できる。 [15] IKEで寿命の満了したSAが消えるときに、新しいSAが存在するにもかかわ らず一瞬だけトンネルがダウンすることがあるのを修正した。 [16] IKEの鍵交換が集中したときにルータの動作が不安定になり、ハングアッ プやリブートが発生するバグを修正した。 [17] IPsecで、AHのトンネルモードで通信できないバグを修正した。 [18] IPsecの設定をしていないときに、PPTPで使用するトンネルインタフェー スが起動すると、restart IKE phaseというIPsecに関係するsyslogを出力 するバグを修正した。表示だけの問題で動作に影響はない。Rev.7.00.15 でエンバグしている。 [19] IKEでSAを更新するタイミングによって、IKEキープアライブでトンネル の障害を検出できなくなることがあるのを修正した。 [20] OSPFで、MD5認証のシーケンス番号として同じ値を複数送信してしまうこ とがあるのを修正した。 [21] 静的経路をOSPFで広告する設定の時に、hide指定した静的経路が無効な 時でも広告してしまう時があるバグを修正した。 [22] ISDNであるPP向きの静的経路をOSPFで広告する設定の時に、ISDNが一度 接続してその後切断されると、hide指定されていない静的経路でもOSPFで 広告されなくなってしまうバグを修正した。 [23] OSPFで、同じ外部経路の削除と追加が連続して起こった時に、外部経路 の追加が正しく処理されずに経路を他のルータに広告できないことがある バグを修正した。 [24] OSPFで、外部経路を削除する処理の中でまれに不正なメモリアクセスが 発生し、リブートなど動作が不安定になることがあるバグを修正した。 [25] LANバックアップの設定で、バックアップ状態にある時にバックアップ用 ゲートウェイからのRIP情報を受けられなくなるバグを修正した。 [26] tunnel backupコマンドでLANインタフェース上のホストをバックアップ先 に指定するという設定でバックアップ状態に入ると、そのLANインタフェー スから受信したパケットは、送信元がバックアップ用のホストかどうかに 関わらずすべてバックアップされたパケットとして取り扱われるバグを修 正した。LANインタフェース上でRIPなどの動的経路制御を利用していると、 動的経路制御のパケットが受信できなくなることがある。 [27] トンネルバックアップでトンネルインタフェースを別のトンネルインタ フェースにバックアップするときに、IKEキープアライブを設定している にもかかわらず、トラヒックが発生するまでSAを生成しないことがあるの を修正した。 [28] フィルタ型ルーティングで、以下の条件を満たすパケットが発生すると、 ハングアップするバグをした。 1. 終点アドレスを比較して候補となる経路がある。 2. その経路に指定されたフィルタの比較で該当するゲートウェイがない。 3. その経路の他に候補となる経路がない。 例えば、次のような設定で、終点アドレスが192.168.0.1、始点アドレス が192.168.3.1というパケットが発生すると、上記の条件を満たし、ハン グアップする。 ip route 192.168.0.0/24 gateway pp 1 filter 1 gateway pp 2 filter 2 ip filter 1 pass 192.168.1.0/24 * * * * ip filter 2 pass 192.168.2.0/24 * * * * [29] 以下の条件の時に、VRRPの状態不一致が発生し通信できなくなるバグを修 正した。 ・2台のルータでVRRPを組んでいる。 ・VRRPのシャットダウントリガは何も指定していない。 ・それぞれのルータのWAN側(具体的なインタフェースはLAN、PP、TUNNEL のいずれでも構わない)では、lan/pp/tunnel backupコマンドによりバッ クアップ先を他方のVRRPルータに指定している。 ・VRRPとしてバックアップルータになっている方のルータで、WAN側イン タフェースでのバックアップ条件が成立し、WAN側がバックアップ状態 になる。 このようになると、VRRPとしてバックアップルータになっている方のルー タがバグによりマスターに状態遷移してしまう。しかし、元々マスターで あった方のルータもやはりマスターであり続けてしまうため、VRRPとして 状態不一致になり、通信できなくなる。 [30] show ip routeコマンドの表示と異なる経路が発生して、IPパケットを正 しくルーティングしないことがあるのを修正した。Rev.7.00.19でエンバ グ。 [31] 不正アクセス検知機能で、SYN FloodingとPort Scanが同時に発生したと きに正しく検知できないバグを修正した。 [32] 不正アクセス検知機能でFTPとSMTPの攻撃を検知できないことがあるのを 修正した。 [33] 動的フィルタでFTP、SMTP、netmeetingのいずれかを設定しているときに、 4096バイト以上のデータを持つTCPパケットを受信すると、ルータの動作 が不安定になるバグを修正した。 [34] 動的フィルタでTCPアプリケーションを処理するときに、TCPヘッダの offsetフィールドの値が正しくないIPパケットを受信するとルータの動作 が不安定になる可能性があるのを修正した。 [35] 65512バイトを超えるサイズのIPパケットの送受信ができないバグを修正 した。 [36] DHCPサーバ機能で、リース期間のタイマがDHCPサーバの設定をしただけ では動作せず、再起動しないと正しく動作しないバグを修正した。 [37] DHCPクライアント機能で、DHCPクライアントとしての設定を行なっただ けでは動作せず、再起動しないと正しく動作しないバグを修正した。 [38] TFTPでサイズの大きな設定ファイルを送り込むと、途中までの内容しか 設定されないことがあるバグを修正した。 [39] ip/ipv6 INTERFACE tcp mss limitコマンドで、設定が'auto'の場合にMSS の計算を間違えるバグを修正した。 [40] ISDNで接続中の内蔵時計の時刻合わせによって接続終了時刻が接続開始時 刻より過去になった場合、接続時間の計算が正しく行われないバグを修正 した。このような場合は接続時間を0秒とするようにした。 [41] ISDNで通信中でトラフィックがある時に、disconnectコマンドで強制的 に回線を切断するとルータが再起動してしまうことがあるバグを修正した。 [42] ISDNで、空きチャネルがないためにMPの発呼に失敗すると、その後、回 線を切断するまでMPに移行しなくなるバグを修正した。 [43] ISDNやPPTPのRASとして動作する時に、DNSサーバのアドレスをPPPで通知 できないことがあるバグを修正した。 [44] RTX1000で、ハードウェアによる乱数生成がうまくいかないケースがある ため、一時的にソフトウェアで乱数を生成するようにした。 [45] RTX1000で、LAN3のリンク状態が正しく認識できないことがあるバグを修 正した。 [46] RTX2000で、IPsecの接続相手がRT以外の機種の場合で、その接続相手から 2500バイト程度の大きさのpingをかけられるとリブートやハングアップな ど、動作が不安定になることがあるバグを修正した。 [47] RTX2000で、経路の追加と削除が繰り返されると、通信できなくなること があるバグを修正した。 [48] RTX2000で、VRRPの状態がバックアップである間に、何らかの通信などに よりマスターに対するARPテーブルが生成され、それが残っている間に VRRPがマスターに切り替わると、マスター宛のパケットに応答できなくな るバグを修正した。 [49] RTX2000で、IPマスカレードでのPPTPパススルーが正しく動作していない バグを修正した。 [50] RTX2000で、フィルタを適用したLANインタフェースで、通過できるはず のESPパケットを通せないバグを修正した。 [51] RTX2000で、すでにRTX2000上に存在するARPエントリのMACアドレスが書 き換えられた場合に、そのARPエントリのIPアドレスとの通信ができなく なるバグを修正した。 [52] RTX2000で、使えないはずのinterface reset ppコマンドを入力するとそ の時点でコンソールがハングアップしてしまうバグを修正した。 [53] RTX2000で、PPPoEのPPインタフェースに対して、show status ppコマン ドで入出力データ数が正しくカウントされないバグを修正した。 [54] RTX2000で、SNMPの入力データサイズ(ifInOctets)とshow statusコマン ドでの表示が一致していないバグを修正した。 [55] RTX2000で、ネットマスク長が17以上の経路と、それを含むネットマスク 長16以下の経路の2つが設定されている場合に、ネットマスク長が長い方 の経路へルーティングされるべきパケットが短い方の経路にルーティング されてしまうことがあるバグを修正した。 [56] RTX2000で、PPPoEから受信した、IPsecのかかっていない通常のパケット を、IPsec トンネルにルーティングすると、転送するパケットの中身がデー タ化けを起こすバグを修正した。 [57] RTX2000で、IPsecトンネルのESPパケットに6バイト程度のパディングが つくことがあるのを修正した。 [58] RTX2000で、IPsecトンネルから受信したパケットのTTLが0になった時に、 正しくICMPエラーを返せないバグを修正した。IPsecトンネル経由の tracerouteを調べる時に表示がおかしくなることがある。 [59] RTX1000で、LANインタフェースに何も異常がないにも関わらずインタフェー スがリセットされ、いったんリンクダウンしたり、速度自動検出が行われ たりするバグを修正した。この現象が発生した時には、ログに"Detect Tx lock"というメッセージが記録される。 [60] RTX2000で、IPsecトンネル経由で負荷をかけるとESPのシーケンス番号が 重複して、パケットロスが発生することがあるバグを修正した。 [61] PPTP用のPPにNATを適用すると、そのPP経由での通信ができなくなるバグ を修正した。