Известные ошибки и планируемые изменения

В решении Kaspersky NGFW присутствуют следующие ограничения и известные ошибки:

• [8738990] Невозможно задать разные описания сетевых интерфейсов для основного и резервного узлов. При использовании Kaspersky NGFW в режиме кластера значение поля Описание автоматически копируется с основного узла на резервный узел.
• После создания новые правила фильтрации в разделе Сетевой экран отображаются только при ручном обновлении страницы.
• [8828149] [KX-3500] Процесс DHCP Relay не запускается, если он настроен одновременно с интерфейсами одним коммитом. Перед настройкой DHCP Relay необходимо отдельно применить параметры связанных интерфейсов.
• [8836203] [Интеграция с KATA] Чтобы настроить подключение к KATA в Kaspersky Symphony XDR, в командной строке выполните следующие действия:
  1. Сгенерируйте сертификаты:

     openssl req -x509 -newkey rsa:2048 -keyout ./client.key -out ./client.crt -days 365 -nodes -subj "/C=RU/ST=MSK/L=Moscow/O=Company Name/OU=Org/CN=www.example.com"

  2. Сгенерируйте открытый ключ:

     openssl x509 -pubkey < server.crt > server.pubkey

  3. Загрузите полученные клиентский сертификат, клиентский и публичный ключи на устройство c Kaspersky NGFW.
  4. Получите sensor-id:

     knsh show config running json

  5. Запишите полученный sensor-id.
  6. Введите тестовый запрос KATA в командной строке:

     ip vrf exec Management curl --request GET "https://<IP-address>:443/kata/scanner/v1/sensors/<sensorId>/scans/state?sensorInstanceId=instance1&state=detect,not detected,error,timeout" \

     --insecure \

     --pinnedpubkey ./server.pubkey \

     --cert ./client.crt \

     --key ./client.key \

     --verbose

• [8841427] [Интеграция с XDR] Ошибка транзакции при смене с протокола Статический IPv4-адрес для L3-зоны на протокол Отсутствует для L2-зоны. Смена типа зоны и протокола в рамках одной транзакции приводит к сбою. Мы рекомендуем выполнять это действие поэтапно: сначала изменить зону, затем протокол.
• [8845901] [Интеграция с XDR] Невозможно перенести сетевой интерфейс из виртуальной таблицы маршрутизации Main в Management.
• [8846487] [Интеграция с XDR] Отсутствует проверка длины имени при создании или изменении Зоны безопасности. Если задать имя, не соответствующее допустимому диапазону 1–11 символов, то это приведет к сбою оркестратора.
• [8846586] При изменении интерфейса синхронизации в параметрах кластера изменения не применяются к узлам. Требуется вручную настроить интерфейс синхронизации на каждом узле.
• [8849666] [8789240] Возможна неправильная работа динамического режима агрегирования каналов в режиме LACP. Агрегированный интерфейс может перейти в статус Не работает и прекратить передачу трафика.
• [8856111] Перед объединением основного и резервного узлов в кластер необходимо указать одинаковые пути к сертификату для подключения к службе идентификации пользователей.

• [8566491] Отсутствует обратная совместимость политики на устройстве и веб-плагине Kaspersky NGFW.
• [8600660] MAC-адрес BVI-интерфейса не меняется после перезагрузки, если не задать его явно.
• [8601057] При импорте политики в Kaspersky Symphony XDR не переносится закрытый ключ, добавленный в параметрах расшифровки. При экспорте политики с Kaspersky NGFW, настроенного на XDR-1, и последующем импорте на Kaspersky NGFW, подключенный к XDR-2, закрытый ключ необходимо загрузить вручную.
• [8645323] Обновление информации о Сервере Kaspersky Security Center может занимать до пяти минут. Рекомендуется дождаться завершения процесса обновления информации либо проверить сетевое соединение между Kaspersky NGFW и Сервером.
• [8707271] Отсутствуют шаблоны по умолчанию для Kaspersky NGFW. Рекомендуется создать шаблоны вручную при первоначальной настройке.
• [8711512] Отсутствует проверка серверного сертификата при использовании HTTPS и не выводятся соответствующие ошибки в журнале. Для правильной работы HTTPS необходимо настроить DNS-серверы на интерфейсе mgmt/port1.
• [8739198] Резервный узел может быть недоступен для конфигурирования как в пассивном режиме, так и при автоматическом переходе в активный режим. Чтобы получить возможность настраивать Kaspersky NGFW на резервном узле до восстановления основного узла:
  1. Изолируйте основной узел от всех физических интерфейсов и сетей.
  2. Подключитесь к резервному узлу через командную строку.
  3. Последовательно выполните команды в командной строке:

     no failover enable

     commit

  Резервный узел перейдет в одиночный режим работы, и интерфейс конфигурации будет разблокирован.

• [8742406] Команда сброса конфигурации к заводскому состоянию config reset применяется только к основному узлу. Чтобы сбросить конфигурацию к заводскому состоянию:
  1. Последовательно введите команды в командной строке:

     no failover enable

     commit

     Резервный узел перейдет в одиночный режим работы.

  2. Введите команду в командой строке:

     config reset

     Конфигурация резервного узла будет сброшена до заводского состояния.

• [8781054] После изменения сетевого шаблона параметры устройства обновляются только после открытия и закрытия сетевого шаблона.
• [8787778] После подключения Kaspersky NGFW к Kaspersky Symphony XDR и оркестратору возникают ошибки подключения. Необходимо проверить параметры подключения, описанные в разделе Настройка подключения к оркестратору.
• [8787790] Настройки mgmt-интерфейса и параметры перезаписываются после подключения к оркестратору. Необходимо проверить параметры подключения, описанные в разделе Настройка подключения к оркестратору.
• [8787793] При настройке подключения к оркестратору параметры сертификата и VRF остаются на устройстве без изменений.
• [8794972] При вводе некорректных параметров NAT невозможно отменить изменения в правиле до выполнения commit. Удалите правило и создайте заново.
• [8795292] [Интеграция с XDR] Ограничение имени зоны. Имя зоны должно содержать от 1 до 11 символов. При нарушении ограничения длины имени зоны могут возникать ошибки на стороне оркестратора.
• [8803155] При отказе транзакции, связанной с назначением зон, повторное назначение зон невозможно без повторной синхронизации устройства с оркестратором.
• [8803575] Невозможно создать кластер. Для создания кластера все устройства должны находиться в статусе Зарегистрировано. Устройство переходит в статус Зарегистрировано после подключения к оркестратору.
• [8803910] [Интеграция с XDR] После перезагрузки устройства с Kaspersky NGFW политика безопасности может применяться с задержкой. Время применения зависит от сетевых условий, таких как NAT и состояния подключения к Kaspersky Security Center.
• [8804054] Устройство невозможно добавить в кластер до регистрации. Для добавления в кластер устройство должно быть в статусе Зарегистрировано. Устройство должно быть подключено и распознано оркестратором.
• [8813974] Порты 5–8 на платформе KX-100 не переходят в статус Не работает при отключении. Административное отключение портов 5–8 на платформе KX-100 не переводит физические соединения в статус Не работает. При этом продвижение трафика по портам прекращается корректно.
• [8814134] После изменения адреса Сервера Kaspersky Security Center обновление информации на устройстве Kaspersky NGFW может занять несколько минут.
• [8815804] Добавление, удаление, экспорт и импорт политик доступны только в разделе Политики и профили политик. Для работы с содержимым политик используйте раздел Приложения и сервисы.
• [8819691] [Интеграция с XDR] Устройство может оставаться в статусе Ожидание. Для восстановления работы перезапустите knbe-agent на устройстве.
• [8825674] В оркестраторе отображаются некорректные символы из-за нарушения кодировки имен пользователей и групп пользователей, содержащих символы на кириллице. Для пользователей и групп пользователей используйте латинский алфавит.
• [8828824] В текущей версии Kaspersky NGFW существуют ограничения, связанные со способом указания VRF при настройке BGP в сетевом шаблоне и на уровне устройства:
  • Если в карточке устройства создан экземпляр BGP с указанием VRF, то в шаблоне, с которого это устройство получает параметры, невозможно создать записи BGP с тем же VRF.
  • Если в шаблоне создан экземпляр BGP с указанием VRF, то в карточке устройства невозможно создать записи BGP с тем же VRF.

  Это ограничение действует на уровне логики конфигурации и направлено на предотвращение конфликтов между шаблонной и локальной конфигурацией.

  Мы рекомендуем придерживаться одного способа конфигурирования для конкретного VRF:

  • На уровне шаблона.
  • На уровне конкретного устройства.
• [8828840] В текущей версии уникальность поля Порядковый номер проверяется глобально среди списков префиксов, а не в пределах одного списка.
• [8829088] Повышенная частота записи журнала Failed to delete neighbor в режиме кластеризации. На работу функциональности не влияет.
• [8833361] Невозможно использовать имя VRF, состоящее только из цифр. Для правильной работы имя VRF должно содержать хотя бы одну букву.
• [8840402] Кнопка Обновить в разделе Менеджер сессий не обновляет список сессий. Для обновления списка сессий нажмите на кнопку Выполнить запрос.
• [8792976] Не работает расшифровка для сертификата, подписанного сторонним центром сертификации. Чтобы сделать проверку SSL-сертификата сервера, выданного сторонним центром сертификации и добавить корневой сертификат:
  1. Скопируйте файл сертификата в формате PEM на устройство Kaspersky NGFW (например, в директорию /root/).
  2. Подключитесь к Kaspersky NGFW через командную строку и последовательно введите команды:

     knsh

     tls trusted trusted-certificates my_root_ca

     load /root/my_root_ca.pem

     exit

     commit

  Сертификат будет добавлен в список доверенных.

• [8803804] После выполнения сценария с ответом (например, применение политик безопасности) на вкладке Политика может отображаться устаревшее состояние. Мы рекомендуем вручную обновить вкладку Политика в веб-интерфейсе.
• [8922394] Если в разделе Интерфейсы не задано значение поля Скорость, то сетевой интерфейс не может быть добавлен в агрегированный интерфейс. Поле Скорость не должно быть пустым.