SonicOS Enhanced Release Notes

Transcription

1 SonicOS 目次 目次... 1 プラットフォームの互換性... 1 ご使用の前に... 1 拡張された機能... 3 確認されている問題点... 4 修正された問題点... 5 日本語版特有の問題点... 7 SonicOS Enhanced イメージのアップグレード手順... 8 関連技術文書 プラットフォームの互換性 SonicOS Enhanced o+ ファームウェアは 下記の SonicWALL ネットワークセキュリティ装置 (NSA) をサポートします SonicWALL NSA 2400 SonicWALL NSA 3500 SonicWALL NSA 4500 SonicWALL NSA E5500 SonicWALL NSA E6500 SonicWALL NSA E7500 本リリースでは 下記のウェブブラウザをサポートしています マイクロソフトインターネットエクスプローラ 6.0 以降 Mozilla Firefox 2.0 以降 ネットスケープ 9.0 以降 Opera ウィンドウズ 9.10 以降 Safari (MacOS 版 ) 2.0 以降 ご使用の前に 最新版をご利用ください SonicWALL セキュリティ装置を実運用環境に配備する前に 常に最新のファームウェアにアップグレードすることを推奨します 最新のファームウェアとリリースノートは から入手できます ( の利用には ユーザ登録が必要です ) ファームウェアのアップロード手順については 本リリースノート後半の SonicOS Enhanced イメージのアップグレード手順 セクションを参照してください 1

2 ブラウザに強力な SSL と TLS 暗号化が必要です SonicWALL 内部ウェブサーバが HTTPS 管理セッションのネゴシエート時に SSL バージョン 3.0 と強力な暗号化 (128 ビット以上 ) の TLS だけをサポートするようになりました SSL3.0 より前のバージョンと弱い暗号化 (128 ビットより小さい共通鍵暗号化 ) はサポートされません この強化されたレベルの HTTPS セキュリティにより 潜在的な SSLv2 のロールバック脆弱性が保護されるとともに 決済用カード業界 (PCI) やその他のセキュリティ及びリスクマネジメントの標準規約に準拠することができます ヒント Mozilla Firefox 2.0 及びマイクロソフト Internet Explorer 7.0 の標準設定では SSL3.0 と TLS が有効 SSL2. 0 は無効と設定されています SonicWALL では これらの新しいウェブブラウザのバージョンを使用するよう推奨します もしこれ以前のバージョンでこれらのブラウザを使用している場合は SSL3.0 と TLS を有効 SSL2.0 を無効に設定したほうが良いでしょう Internet Explorer の場合は ツール > インターネットオプション のダイアログで 詳細設定 タブを選択し 設定メニューをセキュリティの項までスクロールしてください Firefox の場合は ツール > オプション のダイアログで 詳細 タブを選択し さらに 暗号化 タブを選択します 2

3 拡張された機能 SonicOS Enhanced o+ には 以下の拡張が含まれます レイヤ 2 ブリッジモードのインターフェースペアに対するステートフル検査の無効化 この機能は レイヤ 2 ブリッジペアを通して送信されるすべてのパケットに対するステートフル検査を抑制します この機能は 接続キャッシュエントリがタイムアウトして そしてまた そのエントリがブリッジペアを通した TCP 接続で関連付けられている場合に限り リセットパケットが両方の終点に送信されることを防ぎます 引き続き 基本的な非ステートフルパケット健全確認は行われます これはフレームの一貫性チェック IP と TCP/UDP/I CMP の長さ IP 断片オフセット チェックサム有効性 ( 既存の設定制御で有効になっている場合 ) および TCP フラグ組み合わせ ( 単一のパケットの中の ) の有効性確認を含んでいます 3

4 確認されている問題点 以下は SonicOS Enhanced o+で確認されている問題点です 高可用性 HA ペアの主格装置にフェイルバックした後に 既存の IKE SA が予備装置と同期されません IKEv1 ポリシーが HA ペア上および対岸の装置上で設定されていて ステートフル同期と優先モードが有効のときに フェイルオーバーとフェイルバックが起こった場合に発生し その後 IKE SA が予備装置と同期されなくなります 最初のフェイルオーバー後には IKE SA と IPSec SA の両方が HA 装置間で同期されています 侵入防御 Xunlei のピアツーピアトラフィックが SonicW ALL 侵入防御サービスで遮断されません SonicWALL 侵入防御サービスが IPS が無効のゾーンに対する攻撃トラフィックを遮断します Xunlei ソフトウェアが HTTP プロトコル上でのファイルのダウンロードに使用される場合に発生します 対象のプロトコルに対して 他のゾーン上で検出と防御が有効の場合に発生します ネットワーク PPPoE 接続がリセットされます クライアントが PPTP サーバに接続する場合に発生します WAN から DMZ へのネットワークトラフィックが 正しいファイアウォールルールに反して許可されません 関連するインターフェースが物理的に切断された後でも ネットワーク > ルートポリシーテーブルにルーティングエントリがアクティブとして残ることがあります ネットワーク > ウェブプロキシページの 自動プロキシ転送 ( ウェブのみ ) 機能が WLAN と D MZ ユーザに対して失敗します 拒否ポリシーでスケジュールが正しく動作しません 特定のファームウェアバージョンでのみ WAN 側で VLA N が Metro Ethernet Connection で使用するために設定されている場合に発生します LAN ゾーンのインターフェースが切断された場合に発生します WAN インターフェースに対しては発生しません 応急 : 対象のインターフェースが選択された際にルートを無効にします WLAN または DMZ ゾーンに対して コンテンツフィルタを執行する が無効の場合に発生します L2 ブリッジモードで動作するようにリバースプロキシが設定されている場合に発生します VPN 4

5 パケットの送信元 IP アドレスと GIADDR フィールドが変更されます サイト間 VPN を越えて DHCP が利用されている場合に発生します ワイヤレス 3 番目のファイアウォールへの GVC 接続を起動することによりユーザが WifiSec セキュリティを回避できます 修正された問題点 WLAN ゾーンで WifiSec が執行されていて 3 番目のファイアウォールが GVC ユーザに対して ルートオール VPN ポリシーを持つ場合に発生します 以下は SonicOS Enhanced o+ で修正された問題点です アンチウィルス クライアントアンチウィルスの執行により インターネットアクセスが遮断されるが リダイレクト先として予定されたウェブページが表示されないことがあります 必要なアンチウィルスソフトウェアを持たないクライアントコンピュータが SonicWALL の WLAN ゾーンに接続してインターネットへのアクセスを試行した際に発生します アプリケーションファイアウォール 電子メールが WAN ゾーンから LAN ゾーンに向けて正しく送信されません 電子メールバナーの追加動作が テキストではなく電子メールを遮断した場合に発生します 証明書 システム > 管理 > ウェブ管理設定 > 証明書の選択 ドロップリストで インポートした SSL 証明書が選択できません SSL 証明書がインポートできたとしても 確認済みとして表示されないために選択できません 確認が失敗するのは 発行された CA がすでにビルトイン証明書のリストにあるためです このリストは SSL 確認のみに使用され インポートした証明書の確認には使用されません 中間またはルート CA 証明書は インポートした SSL 証明書がビルトイン証明書であることを確認する必要があります これは インポートした証明書リスト内に CA 証明書として再度インポートする必要があります これは以前は許可されませんでした

6 GMS 予期しない Syslog サーバが作成されます GMS 管理が無効にされた後に SonicWALL が再起動された場合に発生します 侵入防御 SonicWALL 侵入防御サービスが MSN クライアントを遮断しません MSN クライアント 2009 を使用した場合に発生します ログ ログ機能が無効にされた後もログの生成が続きます ファイアウォール > アクセスルール ページで ログを有効にする 機能を手動で無効にした場合に発生します VPN 2 台の SonicWALL 装置の VPN ポリシーのフェーズ 2 DH グループが不一致しているにも関わらず VPN トンネルのネゴシエートに成功します 1 台目の装置上の VPN ポリシーがフェーズ 2 DH グループ 1 を使用し もう 1 台の装置上の VPN ポリシーがフェーズ 2 DH グループ 2 を使用している場合に発生します SonicWALL NSA 装置の LAN 側からのトラフィックが破棄されます ホスト群へのリモートアクセスが一方向の VPN トラフィックの流れで利用できなくなります SonicWALL NSA シリーズの装置と 複数の WAN インターフェースが設定された SonicWALL TZ シリーズの装置の間でサイト間 VPN トンネルがある 特定のネットワーク状態下で発生します フェイルオーバー後に主格 WAN にフェイルバックした後に SonicWALL NSA シリーズの装置のネットワーク背後にあるホストが SonicWALL TZ シリーズのネットワーク上にあるホストに到達できません クライアントが SonicWALL PRO 2040 LAN ネットワークから SonicWALL NSA ネットワーク内のホストへアクセスを試みた場合に発生します

7 日本語版特有の問題点 以下は SonicOS Enhanced o+ で確認されている日本語版特有の問題点です 本リリースのファームウェアは 工場出荷時の設定で起動してから一度も英語表示の管理画面に切替えていない 5.x ファームウェアからのみ 設定を引き継いだアップグレード およびエクスポートした設定ファイルのインポートに対応しています それ以外の状況での設定の引き継ぎとインポートにはまだ対応していません 今後のパッチリリースで対応する予定です - LDAP サーバからのユーザグループのインポートに失敗します LDAP 設定ウィンドウで ユーザグループのインポート を選択し ユーザグループの一覧からグループを選んで保存する際に発生します ヘルプボタンの選択時に SonicOS 5.0 のヘルプが表示されます 管理画面やメッセージに 英語で表示される箇所があります 今後の更新で 5.1 ヘルプに対応する予定です

8 SonicOS Enhanced イメージのアップグレード手順 以下の手順は 既存の SonicOS Enhanced イメージを新しいバージョンへアップグレードする方法について説明しています 最新版 SonicOS Enhanced イメージの取得... 8 設定情報のバックアップコピーの保存... 8 SonicOS Enhanced 4.0 から SonicOS Enhanced 5.1 への設定のインポート... 8 現在の設定を使用した SonicOS Enhanced イメージのアップグレード... 9 工場出荷時の設定を使用した SonicOS Enhanced イメージのアップグレード... 9 セーフモードを使用したファームウェアのアップグレード 最新版 SonicOS Enhanced イメージの取得 SonicWALL セキュリティ装置の新しい SonicOS Enhanced ファームウェアイメージを入手するには 以下の手順に従います 1. mysonicwall アカウントを用いて に接続します 2. 新しい SonicOS Enhanced イメージファイルを管理ステーションへコピーします LAN インターフェースまたは WAN インターフェースへの管理アクセスを設定している場合 SonicWALL セキュリティ装置上の SonicOS Enhanced イメージをリモートで更新することができます 設定情報のバックアップコピーの保存 アップグレード処理を開始する前に SonicWALL セキュリティ装置の設定情報のシステムバックアップを作成します バックアップ機能は SonicWALL セキュリティ装置上の現在の設定情報のコピーを保存し 以前の設定状態へ戻るために必要となるすべての既存の設定情報を保護します SonicWALL セキュリティ装置の現在の設定状態を保存するためにバックアップ機能を使用することに加えて 設定情報ファイルを管理ステーションのローカルハードディスクへエクスポートすることができます このファイルは 設定情報の外部バックアップとして利用でき SonicWALL セキュリティ装置へインポートすることができます 設定情報のバックアップの保存 および ファイルを管理ステーションへエクスポートするには 以下の手順に従います 1. システム > 設定 ページの バックアップの作成 ボタンを選択します システムバックアップエントリが ファームウェアの管理 テーブルに表示されます 2. 設定情報ファイルをローカルマシンに保存するには 設定のエクスポート ボタンを選択します ポップアップウィンドウに セーブされたファイル名が表示されます SonicOS Enhanced 4.0 から SonicOS Enhanced 5.1 への設定のインポート SonicOS Enhanced 4.0 以降で動作している SonicWALL PRO 装置のほとんどの機種から SonicOS Enhanced 5. 1 で動作している SonicWALL NSA 装置に設定をインポートできます 以下の機種からのインポートがサポートされます SonicWALL PRO 2040 SonicWALL PRO 3060 SonicWALL PRO

9 SonicWALL PRO 4100 SonicWALL PRO 5060 備考 SonicOS Standard で動作している装置からの設定のインポートはサポートされません SonicOS Enhanced 4.0 以降で動作している装置から設定をインポートするには 以下の手順に従います 1. 対象の ( 設定をインポートする ) SonicWALL セキュリティ装置が正しく登録され ライセンスされているかを確認します 2. 既存の ( 設定をエクスポートする ) 装置で高可用性 (HA) が有効の場合は HA を無効にします 3. 既存の装置が SonicWALL PRO 4100 の場合は ネットワーク > インターフェース 画面に移動して 次のインターフェースのゾーンを 未定義 に設定します システムが SonicWALL NSA E7500 E6500 E5500 の場合は X8 と X9 システムが SonicWALL NSA の場合は X6 X7 X8 と X9 これは SonicWALL PRO 4100 装置が 10 インターフェース持つのに対して NSA E-Class 装置が 8 インターフェース NSA 4500/3500 装置が 6 インターフェースしか持たないために必要な手順です 影響のあるインターフェースに関連する設定は アップグレード後に維持されません 4. 既存の装置から 設定ファイルをエクスポートします 5. 対象の装置に 設定ファイルをインポートします 6. もし既存の環境で HA が有効だった場合は 以下を実行します 新しい HA ペアの指定の HA ポート間をケーブルで接続します 管理インターフェースで HA を有効にして 予備 SonicWALL の シリアル番号 フィールドに新しい予備装置のシリアル番号を入力します SonicOS Enhanced 4.0 以前のバージョンで動作する SonicWALL 装置から設定をインポートする場合には SonicWA LL Customer Support Technical Assistance Center (TAC) に連絡してください SonicWALL TAC は 設定ファイルを SonicWALL Enhanced 4.0 バージョンに変換する支援を行います 現在の設定を使用した SonicOS Enhanced イメージのアップグレード SonicWALL 装置に新しいファームウェアをアップロードして 現在の設定を使用して起動するには 以下の手順に従います 1. mysonicwall より SonicOS Enhanced イメージファイルをダウンロードし ローカルコンピュータ上に保存します 2. システム > 設定 ページより ファームウェアのアップロード を選択します 3. ローカルに保存しておいた SonicOS Enhanced イメージファイルを選択し アップロード ボタンを選択します 4. システム > 設定 ページから アップロードされたファームウェア エントリの起動アイコンを選択します 5. 確認のダイアログボックスが表示されます OK を選択して継続します SonicWALL は再起動してログイン画面が表示されます 6. ユーザ名とパスワードを入力します 新しい SonicOS Enhanced イメージのバージョンは システム > 設定 ページで確認できます 工場出荷時の設定を使用した SonicOS Enhanced イメージのアップグレード 以下の手順を実行して SonicWALL 装置に新しいファームウェアをアップロードして 既定の設定で起動します 9

10 1. mysonicwall より SonicOS Enhanced イメージファイルをダウンロードし ローカルコンピュータ上に保存します 2. システム > 設定 ページより バックアップの作成 を選択します 3. ファームウェアのアップロード を選択します 4. ローカルに保存しておいた SonicOS Enhanced イメージファイルを選択し アップロード ボタンを選択します 5. システム > 設定 ページから アップロードされたファームウェア ( 工場出荷時の設定 ) エントリの起動アイコンを選択します 6. 確認のダイアログボックスが表示されます OK を選択して継続します SonicWALL は再起動してログイン画面が表示されます 7. 既定のユーザ名とパスワード (admin/password) を入力して SonicWALL 管理インターフェースにアクセスします セーフモードを使用したファームウェアのアップグレード SonicWALL セキュリティ装置の管理インターフェースへ接続できない場合 セーフモードで SonicWALL セキュリティ装置を再起動することができます セーフモード機能は システム > 設定 ページと同じ設定が利用可能な簡素化された管理インターフェースを使用して 不確かな設定状態から素早く復旧することを可能にします セーフモードを用いて SonicWALL セキュリティ装置のファームウェアをアップグレードするには 以下の手順に従います 1. SonicWALL 装置の X0 ポートへ管理ステーションを接続し 管理ステーションの IP アドレスを / 24 のサブネット上のアドレス 例えば に設定します 2. 装置をセーフモードで再起動するには 次のどちらかを行います 先の尖った細い ( まっすぐにしたクリップや爪楊枝のような ) 物を使用して セキュリティ装置前面のリセットボタンを 1 秒間押し続けます リセットボタンは USB ポート脇にある小さな穴です フロントベゼルの LCD 制御を用いて装置をセーフモードに設定します 選択すると LCD は確認表示になるので Y を選択してから Right ボタンを押します SonicWALL セキュリティ装置はセーフモードに変更されます SonicWALL セキュリティ装置がセーフモードで再起動されると Test ライトが点滅します 3. ウェブブラウザで にアクセスします セーフモード管理インターフェースが表示されます 4. セキュリティ装置の設定に変更を加えた場合は 次回起動時にバックアップを作成する を選択し 現在の設定のバックアップコピーを作成します 設定は 装置の再起動時に保存されます 5. ファームウェアのアップロード を選択し ローカルに保存しておいた SonicOS Enhanced イメージファイルを選択し アップロード ボタンを選択します 6. 次の起動アイコンのうちのどちらかを選択します アップロードされたファームウェア 更新! このオプションを選択すると 装置は現在の設定で再起動します アップロードされたファームウェア ( 工場出荷時の設定 ) 更新! このオプションを選択すると 装置は工場出荷時の設定で再起動します 7. 確認のダイアログボックスが表示されます OK を選択して継続します 8. ファームウェアが正しく起動した後に ログイン画面が表示されます 工場出荷時の設定で起動した場合には 既定のユーザ名とパスワード (admin/password) を入力して SonicWALL 管理インターフェースにアクセスします 10

11 関連技術文書 SonicWALL ユーザガイド 参照ドキュメントは SonicWALL 技術文書オンラインライブラリで公開しています 基本的及び応用的な配置例は このウェブサイトで公開されている SonicOS ガイドまたは SonicOS テックノートを参照してください ドキュメントバージョン 2009 年 2 月 16 日 11