fortigate v4.0 mr2 3 (build 303)...

平成 23年 2月吉日

シーティーシー・エスピー株式会社

事業本部プロダクト推進チーム

FortiGate v4.0 MR2 パッチビルド 3 (build 303) リリースのお知らせ

拝啓

貴社ますますご隆盛のこととお喜び申し上げます。平素は格別のご高配を賜り、厚くお礼申し上げます。

FortiGateの最新ソフトウェアの FortiGate v4.0 MR 2 (Maintenance Release 3) がリリースされましたので、ご案内

いたします。

FortiGate v4.0 MR 2 パッチビルド 3 (build 303) は、現行の FoｒtiGate v3.0 MR7 (build 752) のメジャーバージョン

アップおよび、FortiGate v4.0 MR1 パッチビルド 6 (build 205)のマイナーバージョンアップとなります。拡張された機能

と修正された不具合に関しましてはリリースノートに詳しく記載されていますのでアップグレードの実行前にご一読頂

きますようお願いいたします。

敬具

記

◇ アップグレードの対象

下記バージョンの FortiGate をご利用のお客様

FortiGate v4.0 MR 1 (build 205)

※FortiGate v4.0 MR 1 (build 194) 以前のバージョン(v3.0すべてのバージョンを含む)がインストールされ

ている場合は、一度 FortiGate v4.0 MR 1 (build 205) へアップグレードする必要がございます。

◇ FortiGate v4.0 MR 2 (build 303) の対応機種

FortiGate 50B, 51B, 60B, 80C, 82C, 100A, 110C, 111C,

200A, 200B, 224B, 300A, 310B, 311B, 400A, 500A, 620B, 800, 800F,

1000A, 1000A-FA2, 1240B, 3016B, 3600, 3600A, 3810A, 5001, 5001-FA2, 5001A, 5005-FA2

注)FortiGate 50, 50A, 60, 100, 200, 300, 400, 500, 1000, 3000 は未対応です。

注)FortiGate が FortiAnalyzer もしくは FortiManager と連携している場合、FortiAnalyzer、FortiManager もあわせて

v4.0 MR2にアップグレードする必要があります。現在、リリースするための動作確認中のため、アップグレードにつき

ましてはお待ちいただけますようお願いいたします。

以上

【添付資料】

【添付資料 1】 v4.0 MR2 からの新機能について ...................................................................................... 2

【添付資料 2】 v4.0 からの新機能について ................................................................................................ 4

【添付資料 3】 v4.0 MR1 からのアップグレードの際に引き継がれない項目 ........................................... 7

【添付資料 4】 v3.0 からのアップグレードの際に引き継がれない項目 ..................................................... 8

【添付資料 5】 v4.0 MR2 で修正された主な不具合 ................................................................................... 9

【添付資料 6】 v4.0 MR2 の既知の主な不具合 ........................................................................................ 13

【添付資料 7】ソフトウェアサポート終了日 ........................................................................................... 15

問合せ先 E-Mail: [email protected]

2

【添付資料 1】 v4.0 MR2 からの新機能について

項目概要

WebUI メニューの刷新ブラウザを利用したインタフェース(WebUI)にて、大幅に変更されました。

HA管理用ポート v4.0 MR1 までの冗長化構成では、インタフェース設定が同期されるため、

Master 側のみに管理アクセス(HTTP/HTTPS/TELNET/SSH/PING/SNMP)

が可能でしたが、v4.0 MR2からは同期されないHA管理用インタフェースを設

けることができるようになりましたので、Subordinate 側にも直接管理アクセス

を行えるようになりました。

(SNMPは Master側を経由して取得する必要がございます)

プロテクションプロファイルの細分化 UTM 機能を定義するプロテクションプロファイルが、UTM 機能別で作成でき

るようになりました。また、ファイアウォールポリシでの適用方法も合わせて

UTM機能別に設定できるようになりました。

3

アンチウィルスのスキャン方式の追

加

レギュラスキャン/拡張スキャンの他に、一部の機種でエクストリームスキャ

ン/フローベーススキャン方式が追加されました。

フローベーススキャンは、今までのスキャン方式(プロキシベース)とは違い、

パケットベースで行う手法です。利用される場合は、以下記述するメリット/デ

メリットについて必ずご一読願います。

メリット

・高パフォーマンス

・スキャンサイズの制限無し

デメリット

・スキャン対象ファイルを再構築しないため、セキュリティとのトレードオフ

・HTTPのアップロード(POST)に対応していない

・ZIP等の圧縮ファイルに対応していない

・SSL インスペクションに対応していない

・ウィルス発見時に、代替メッセージがない

・SMTP/POP3/IMAP では、ウィルスを検知した時点で切断されるため、MUA

によっては送受信が終わらなくなる

→メールプロトコル(SMTP/POP3/IMAP)の利用は非推奨です。

エクストリームスキャン/フローベーススキャンの対応機種は、以下のとおり

です。

レギュラ拡張エクストリームフローベース

FortiGate-50B ○ ○ × ×


FortiGate-60C ○ ○ × ○

FortiGate-80C ○ ○ × ○

FortiGate-100A ○ × × ×

FortiGate-110C/111C ○ ○ × ×



FortiGate-200B ○ ○ × ○


FortiGate-310B/311B ○ ○ × ×



FortiGate-620B ○ ○ ○ ○

FortiGate-800/800F ○ × × ×

FortiGate-1000A/FA2 ○ ○ × ×




FortiGate-3600A ○ ○ × ×

FortiGate-3810A ○ ○ × ×

FortiGate-3950B/3951B ○ ○ ○ ○

NATテーブル機能 IP マスカレード機能(NAT)を行う場合は、ポリシベースで行っていましたが、

NATテーブルを利用できるように拡張されました。

4

【添付資料 2】 v4.0からの新機能について

項目概要

WebUI メニューの変更 UTM対象の項目(AV, IPS, WF, AS, アプリケーション制御、データ漏洩防止)

が、新しく作成された "UTM" メニュー配下に表示されます。

情報漏洩防止機能 HTTP(S), FTP, SMTP(S), POP(S), IMAP(S)について、特定の文字列を発見

し、ブロックできるようになりました。

※(S)については、SSL インスペクションが可能な機種限定です。

アプリケーションコントロール機能 YOUTUBEやニコニコ動画など、レイヤ 7に当たるアプリケーションを識別し、

制御できるようになりました。

SSL インスペクション機能 [SSL インスペクション機能が可能な機種 : 80C, 82C, 110C, 111C, 200B,

310B, 311B, 620B, 1240B, 3016B, 3600A, 3810A]

HTTPS, SMTPS, POPS, IMAPSの 4種類のプロトコルについて、アンチウィル

スや、アンチスパムなどが可能になりました。

WAN最適化 [ASM-S08 Module または、FortiGate Storage Modules (FSMs)が搭載

されているモデル限定]

キャッシュや、プロトコルの最適化を行うことにより、WAN 最適化機能ができ

るようになりました。

DoS policies for applying IPS

sensors

DoSセンサ機能が、IPによる制御から、IPとインタフェースによる制御に拡張

されました。

One-arm IDS (sniffer mode) ワンアームによる、IDS機能が利用できるようになりました。

IPS Packet Logging ハードディスク搭載モデルのみ利用可能な IPS 検知時のパケットログ取得機

能が、FortiAnalyzer と連携時にも利用できるように拡張されました。

"Any" interface for firewall policies ファイアウォールポリシ作成時に、インタフェースを指定しない、"Any" インタ

フェース機能が利用できるようになりました。

Global view of firewall policies ファイアウォールポリシの表示が、インタフェースごとに表示をするか、一覧と

して表示させるかを選択できるようになりました。

Identity-based firewall policies ファイアウォール認証など、ファイアウォールポリシ 1個に対し、ユーザごとに

サービスやスケジュール、プロテクションプロファイルなどを選択できるように

なりました。

Traffic shaping enhancements トラフィックシェーピングの機能が、ファイアウォールポリシとは別になり、トラ

フィックシェーピング用のプロファイルを作成する方式に変更になりました。

P2P 制御のが、プロテクションプロファイルからアプリケーション制御機能に

移動しました。

Firewall load balancing virtual IP

changes

サーバロードバランス機能が利用できるようになりました。

Per-firewall policy session TTL セッションTTL機能がTCP全体や、ポート単位だけでなく、ポリシ毎に設定が

出来るようになりました。

Gratuitous ARP for virtual IPs ヴァーチャル IP 機能を利用した際、Gratuitous ARP を出力できるようになり

ました。(初期値 0で無効となり、秒単位で設定可能)

Changes to content archiving コンテンツアーカイブの項目が、情報漏洩防止機能に移動しました。

Customizable web-based manager

pages

WebUI の表示を自由に変更できるようになりました。(変更は super_admin ユ

ーザに限る)

5

Configurable VDOM and global

resource limits

VDOM 機能を利用した際に、下記項目に制限値を設けることができるように

なりました。(筐体全体に対してや、VDOMごとに設定が可能)

セッション数

Ipsec P1

Ipsec P2

FW Policy数

Protection Profile数

FW address数

FW group数

FW service custom数

FW service Group数

FW on time Schedule数

FW recurring schedule数

Local User数

Local Group数

SSLセッション数（ポータルにログインできる数）

User authentication monitor ファイアウォール認証や、SSL-VPN など、FortiGate を媒介とした認証を行っ

たログイン中のユーザをモニタできるようになりました。

Adding non-standard ports for

firewall authentication

ファイアウォール認証時に利用できるポート番号を自由に追加変更すること

ができるようになりました。

(HTTP を TCP/80だけでなく、TCP/8080で認証するなど)

SNMP upgraded to v3.0 SNMPv3がサポートされました。

Customizable SSL VPN web portals SSL-VPN のユーザのログイン後の画面(ポータル)を自由にカスタマイズでき

るようになりました。

Web filtering HTTP POST traffic

(blocking or comforting HTTP post

traffic)

HTTP の PUT 動作に対しブロックや、コンフォート機能が利用できるように拡

張されました。

Per-VDOM replacement messages VDOM ごとに、アンチウィルスなどで表示される警告メッセージが設定できる

ように拡張されました。

Usage page shows application,

policy, and DLP archive usage

アプリケーション制御機能を利用した際に、簡易的なレポートが表示できるよ

うになりました。

Alert Message Console

enhancements

トップ画面 (system >> status) に表示されるアラートメッセージの表示トピッ

クスが各項目表示/非表示にできるようになりました。

アラートメッセージを個別に削除が可能なようになりました。

SSL VPN enhancements SSL-VPN のログインに利用する ID・パスを利用して、シングルサインオンが

可能になりました。

SSL-VPNにログイン後、割り振られる IPアドレスの設定が、ファイアウォール

アドレスオブジェクトから複数選択可能になりました。

SSL-VPN のトンネルモードを利用する際は、ActiveX をインストールするの

ではなく、SSL-VPN Client をインストールするように仕様が変更になりまし

た。(今後仕様が変更される可能性があります。)

Interface status detection for

gateway load balancing

ping サーバ機能を利用する際、"ping" の他に、tcp/udp がを選択できるよう

に拡張されました。各機能それぞれを利用の有無を選択することができるよ

うになりました。

HTTP basic authentication in

firewall policies

ファイアウォール認証で、利用可能なプロトコル(HTTP/TELNET/FTP)に、

HTTPのベーシック認証が利用できるように拡張されました。

VDOM dashboard WebUI のトップページに表示されるダッシュボードの CLI コンソールにログイ

ンする際、現在ログインしている VDOM としてログインされるように仕様が変

更されました。

6

IPsec protocol improvements IKEv2サポートがサポートされました。

DH Grup 14がサポートされました。

SHA256がサポートされました。

Integral basic DNS server DNSサーバ機能がサポートされました。

FortiGate 内部にて名前解決できない場合は、FortiGate 自身が利用する

DNSサーバに対しリクエストの有無を選択できるようになりました。

Per-VDOM DNS configuration VDOMごとに DNS クライアントを設定できるようになりました。

Password policy 管理者パスワードに、以下を指定できるようになりました。

大文字利用

小文字利用

英数字

非英数字

最低必要文字数

有効期限

Traffic shaping enhancements 「Shared」と「Per IP」の 2つの QoSが指定できるようになりました。「Shared」

は Policy を使用する全ての通信で帯域を共有し、「Per IP」は IP単位に帯域

を配分します。

Logging enhancements FortiGate に CLI で SQL 文を使った設定を入れ込む事で、TOP 画面に

FortiAnalyzerのようなグラフを出力できるようになりました。

Antivirus changes アンチウィルスを行う際のデータベースの選択が、通常データベース/拡張デ

ータベースを一括で選択できるように拡張されました。

(UTM >> アンチウィルス >> ウィルスデータベース)

※VDOMごとに設定することができます。

※個別でデータベースの選択を行う際は、CLIから行います。

Web filtering combined

block/exempt list

ウェブフィルタ機能のBlockリストと exemptリストが、URLリストとして、統合さ

れました。

※exemptが優先されます。

Safe search Google などで利用されるセーフサーチ機能を、FortiGate 側で強制的に有効

にできるようになりました。

Schedule groups ファイアウォールスケジュールオブジェクトを、グループ化できるように拡張さ

れました。

7

【添付資料 3】 v4.0 MR1 からのアップグレードの際に引き継がれない項目

項目概要

トラフィックシェーピング v4.0 MR1 から利用出来るようになった、トラフィックシェーピング(Per-IP)で

利用できていた、IP アドレスによる制御機能が利用できなくなりました。制御

したい IP やネットワークアドレスでの制御については、ファイアウォールポリ

シを細分化(アドレスオブジェクト関連の再設定)を行い、対応します。

トラフィックシェーピング(シェアード/Per-IP)の "クオータとアカウンティング"

の機能が v4.0MR2 からは機能が削除されたため、利用できなくなりました。

管理画面今まで利用可能であった管理画面内のメニューレイアウトのカスタマイズ機

能が削除されたため、利用できなくなりました。

アップグレード前に設定していたカスタマイズ内容の一部は引継がれます。

※詳しい再設定手順につきましては、別途アップグレードガイドをご参照ください。

※利用している機能について、設定情報を事前にご確認ください。

8

【添付資料 4】 v3.0からのアップグレードの際に引き継がれない項目

項目概要

router access-list "config router access-list" に関して、アップグレードを行うと設定が失われ

る可能性があります。

FDS Push-update "config system autoupdate push-update" にあるアドレスとポート設定に関

して、アップグレードを行うと設定が失われる可能性があります。

Content Archive Summary The content archive summary設定に関して、アップグレードを行うと設定が

失われる可能性があります。機能は情報漏洩防止機能へ移動しました。

SSL-VPN ブックマーク SSL VPNブックマークに関して、アップグレードを行うと設定が失われます。

Web Filter 除外リスト FortiOS v4.0では Web Contentブロックリストと除外リストが 1つに統合され

既存のリストは失われます。

IPS DoS センサ FortiOSv3.0の IPS Dosセンサは拡張された FortiOSv4.0の IPS Dosポリシ

に変換ができません。IPS Dos センサに関して、アップグレードを行うと設定

が失われます。機能はファイアウォールポリシに移動しました。

アンチウィルスサービスのデフォルト

ではないポート利用

デフォルトでないポートのアンチウィルススキャン設定に関して、アップグレー

ドを行うと設定が失われます。また、HTTPS/NNTP の初期スキャンポート情

報が引き継がれません。スキャンポートの設定はプロテクションプロファイル

に移動しました。

HTTPS/NNTPのスキャンポート HTTPS及び NNTPのスキャンポート(TCP/443, TCP119)の設定が、アップグ

レード時に引き継がれず失われます。

Allow split tunnel Allow split tunnel の設定が引き継がれずに失われます。機能は SSL-VPN

用ポータルに移動しました。

※詳しい再設定手順につきましては、別途アップグレードガイドをご参照ください。

※利用している機能について、設定情報を事前にご確認ください。

9

【添付資料 5】 v4.0 MR2 で修正された主な不具合

1. アンチウィルス

内容ファイルフィルタに関するオブジェクトを、約 70 以上記述すると、

アンチウィルスに関するプロセスがクラッシュする可能性がある

対象機種全ての機種

回避方法ファイルフィルタに関するオブジェクト数を、50 以下に抑える

修正 v4.0 にて修正

2. Email フィルタ

内容ユーザ環境で、FortiGuard Email フィルタの URL チェックを有効

にすると、該当検査が行われる SMTP、POP3 の通信にて、メール

の配送遅延が発生する


回避方法なし

修正 v4.0 にて修正

3. ログ

内容 FG311B において"Log disk failure is imminent, logs should be

backed up"というメッセージが１時間おきに出力されている。"diag

sys logdisk smart"コマンドを実行すると、すべてにおいて、Disk1

が"Unable to read SMART attributes"となっている

対象機種 FortiGate311, FortiGate82C

回避方法なし

修正 v4.0 MR1 build205 にて修正

4. ログ

内容 false alarm ログが大量に発生する

対象機種すべての機種

回避方法なし


10

5. OSアップグレード

内容 HA 構成で Uninterruptable upgrade(OS4.0MR1P3 から

OS4.0MR1P6)を行なうと、サブオーディネート側は正常にアップグ

レードできるが、Master 側はアップグレードできず、デュアルアク

ティブになる

対象機種 FortiGate 1240B

回避方法なし


6. HA構成

内容 Subordinate 機へコンソール接続すると”

*_ha_slave_receive_return_msg,ha_config.c:1421, Synchronize

file /etc/fc_fasl.dat failed!”というメッセージが数分間隔で出力され

る


回避方法なし

修正 v4.0 MR2 にて修正

7. シグネチャアップデート

内容 FortiManager400A v4.0 MR2 Patch3(build374)で管理している

FortiGate400A v3.0 MR7 を、v4.0 MR2 Patch(build291)にアップグ

レード後、一度 Factory reset し再設定すると、この機器から

FortiManager 経由でのシグネチャアップデートがエラーとなる

対象機種 FGTXXXA（例 FGT100A,FGT200A,FGT400A,FGT1000A 等）の古

いモデル

回避方法なし


11

8. IPSエンジン

内容 JVN（Japan Vulnerability Notes）から報告された内容で、侵入検知シス

テム（IDS)および侵入防止システム（IPS）が提供する機能を回避する複

数の手法が報告された


回避方法 Ver4.0 MR2 にバージョンアップ後、個別提供されている IPS エンジン：

1.00172 へアップデートする

※サポートサイトより "Version 4.0 MR 2 [build303]" にアクセスし、

IPS シグネチャパッケージをダウンロード後、適用してください。

http://www.ctcsp-support.jp/fortigate/support/4.0_mr2_b303/index.html

ログインには ID/PASS が必要です。不明な場合は、サポートにお問い合

わせください。

※本シグネチャパッケージ内に含まれる IPS エンジンは、スペシャルビル

ド扱いとなります。通常のサポートを受けることは可能ですが、修正され

た動作以外についての通常動作は未検証という点をあらかじめご留意く

ださい。

修正 v4.0 MR2 に適用可能な IPS エンジン：1.00172 にて修正

9. HA構成

内容 Subordinate 側のコンソールから” cp210x.c: cp2101_open - failed

resubmitting read urb, error -22”というメッセージが表示される


回避方法なし


10. HA構成

内容 HA 構成で、モニタインタフェイスを Port1 に設定すると、リンクダ

ウンしても Failover しない

対象機種 FortiGate 1240B

回避方法なし


11. SSL-VPN

内容 SSL-VPN 機能の WEB アプリケーションにて、SMB/CIFS 機能を利

用する際に、権限のないフォルダに 1 度アクセスを行うと、以降権

限のあるフォルダにもアクセスができなくなる可能性がある


回避方法一度ログアウトを行う

備考 v4.0 MR2 にて修正

12

12. SSL-VPN

内容日本語表示で、SSL-VPN のポータルサイトの編集し、再度ポータル

サイトを編集しようとすると、ポータルサイトの編集画面のみアクセ

スが出来なくなる可能性がある


回避方法英語表示にする


13. HA

内容システム稼動後 497 日を経過するタイミングで、FortiOS カーネル

内の処理に時間がかかり、HA の制御プロセスの起動に遅延が生じる

ことによりハードビートパケットが約 40 秒程度停止する事象が発生

する


回避方法 497 日経過する前に再起動を行う


14. HA

内容システムの稼動後 248 日を越えると、HA のプライマリ側モニタポー

トでリンクダウンが発生した際に検知が出来なくなる事象が発生す

る


回避方法 248 日経過する前に再起動を行う


15. DISK

内容ログの Overwrite 処理では、ハードディスクの使用率を 1 分毎に監

視し、full-final-warningu-threshold で設定した値(デフォルト 95%)

に達している場合に 1 つ削除するが、オプションモジュール

(ASM-S08)に関して、1 日 1 回の監視となってしまう事象が発生する

対象機種 ASM-S08 搭載機器すべて

回避方法ログを退避し、ローテーションのタイミングで削除する

または、full-final-warning-threahold の値を低くする

※値を低く設定した場合においても 1 日のログ量が多い場合には枯

渇する可能性があります。


13

【添付資料 6】 v4.0 MR2 の既知の主な不具合

1. SSLインスペクション

内容 SSL インスペクション(HTTPS, SMTPS, POPS, IMAPS)にて、アン

チウィルスを行う際、ブラウザや MTA によって動作しない可能性が

ある

対象機種 [SSL インスペクション機能が可能な機種: 80C, 82C, 110C, 111C,

200B, 310B, 311B, 620B, 1240B, 3016B, 3600A, 3810A]

回避方法 CLI にて、下記の設定を追加する

------------------------------

config firewall ssl setting

set ssl-send-empty-frags disable

end

------------------------------

備考 0 バイトの暗号化に対応していないクライアントソフト側の問題の

ため、修正予定はありません

2. プロテクションプロファイル

内容 Proxy を利用した環境で HTTPS に対する監視サービスポートにプ

ロキシポートを設定すると、WEB サイトの閲覧ができなくなる


回避方法 HTTPS にプロキシポートを追加せずに、HTTP に追加する

備考今後のファームウェアにて修正予定

3. 情報漏洩防止機能

内容 PDF ファイルの検知や、2byte 文字の検知が行われない可能性があ

る


回避方法なし


4. トポロジビューア

内容トポロジビューアが表示できない可能性がある


回避方法なし


14

5. ログ

内容ブラウザの表示を日本語にし、かつ Email フィルタログを利用して

いる場合、デバイスの切り替え(例：ハードディスクログからメモリ

ログなど)ができなくなる可能性がある


回避方法ブラウザ表示を英語にする


6. VDOM

内容 HA 構成で VDOM を利用している場合、Master 側で変更した設定

内容が Subordinate 側に反映されていない事がある。


回避方法なし


7. IPSモジュール

内容 IPS モジュールを利用時に IPS オフロード性能が十分にでない

対象機種 FortiGate-1240B, FortiGate-3016B

FortiGate-3810A, FortiGate-3950B/3951B,

FortiGate-5001A,

上記モデルかつ下記 IPS モジュールを利用時

FMC-XG2, ASM-CE4, ADM-XE2, ADM-FE8

回避方法なし


8. NTP

内容 HA 状態かつ、NTP にて時刻同期設定を行っている場合、

Subordinate 側に時刻同期がに失敗した旨のログが記録される

※本現象によるシステムへの影響はございません。


回避方法なし


15

【添付資料 7】ソフトウェアサポート終了日

◇ ソフトウェア（MRを含む）の Fortinet社 GA リリース日から 36 ヶ月間サポートいたします。

現在弊社がリリースしておりますソフトウェアのサポート終了日は以下の通りです。

製品バージョン GA リリース日サポート終了日

FortiGate v3.0 MR3 2006年 10月 2日 2009年 10月 2日

v3.0 MR4 2006年 12月 29日 2009年 12月 29日

v3.0 MR5 2007年 7月 3日 2010年 7月 3日

v3.0 MR6 2008年 2月 4日 2011年 2月 4日

v3.0 MR7 2008年 7月 18日 2011年 7月 18日

v4.0 MR1 2009年 8月 24日 2012年 8月 24日

v4.0 MR2 2010年 4月 1日 2013年 4月 1日

以上

fortigate v4.0 mr2 3 (build 303)...

Documents