Известные ошибки и планируемые изменения

В решении Kaspersky NGFW присутствуют следующие ограничения и известные ошибки:

Известные ошибки и ограничения аппаратных платформ для релиза 1.3.0

• [8600660] MAC-адрес BVI-интерфейса не меняется после перезагрузки, если не задать его явно.
• [8813974] [KX-100] Порты 5–8 на платформе KX-100 не переходят в статус Не работает при отключении. Административное отключение портов 5–8 на платформе KX-100 не переводит физические соединения в статус Не работает. При этом продвижение трафика по портам прекращается корректно.
• [9365517] Правила расшифровки применяются ко всему трафику.
• [9568902] nftables не пропускает пакеты от DHCP-сервера при включенном функционале DHCP Relay.
• [9636178] [KX-100-KA1] Если подключен неподдерживаемый SFP-модуль, не активируется порт 8.
• [9656873] [KX-100-KA1] Если DAC-кабель подключен после загрузки устройства, не активируются 10 Гбит интерфейсы на портах 7 и 8 без перезагрузки.

Известные ошибки и ограничения программного обеспечения для релиза 1.3.0

• [8645323] Обновление информации о Сервере Kaspersky Security Center может занимать до пяти минут. Рекомендуется дождаться завершения процесса обновления информации либо проверить сетевое соединение между Kaspersky NGFW и Сервером.
• [8706144] [XDR] Не отображается список частных IP-адресов в блоке Observables алерта или инцидента в Kaspersky Symphony XDR.

  В качестве обходного решения предлагается выполнить на Kaspersky Symphony XDR следующие команды:

  k0s kubectl -n irp set env deploy/incident -c incident OSMP_FILTER_PRIVATE_IPS_DISABLED=true

  k0s kubectl -n irp set env deploy/transformer -c transformer OSMP_FILTER_PRIVATE_IPS_DISABLED=true

• [8742406] [Отказоустойчивый кластер] Команда сброса конфигурации к заводскому состоянию config reset применяется только к основному узлу. Чтобы сбросить конфигурацию к заводскому состоянию:
  1. Для основного узла последовательно введите команды в командной строке:

     config reset

     system reboot

  2. Для резервного узла:
     • Если у резервного узла нет активного соседа, последовательно введите команды в командной строке:

       config reset

       system reboot

     • Если у резервного узла есть активный сосед, последовательно введите команды в командной строке:

       no failover enable

       commit

       config reset

       system reboot

  Конфигурация будет сброшена до заводского состояния.

• [8814134] После изменения адреса Сервера Kaspersky Security Center обновление информации на устройстве Kaspersky NGFW может занять несколько минут.
• [8825674] В оркестраторе отображаются некорректные символы из-за нарушения кодировки имен пользователей и групп пользователей, содержащих символы на кириллице. Для пользователей и групп пользователей используйте латинский алфавит.
• [8828824] В текущей версии Kaspersky NGFW существуют ограничения, связанные со способом указания VRF при настройке BGP в сетевом шаблоне и на уровне устройства:
  • Если в карточке устройства создан экземпляр BGP с указанием VRF, то в шаблоне, с которого это устройство получает параметры, невозможно создать записи BGP с тем же VRF.
  • Если в шаблоне создан экземпляр BGP с указанием VRF, то в карточке устройства невозможно создать записи BGP с тем же VRF.

  Это ограничение действует на уровне логики конфигурации и направлено на предотвращение конфликтов между шаблонной и локальной конфигурацией.

  Мы рекомендуем придерживаться одного способа конфигурирования для конкретного VRF:

  • На уровне шаблона.
  • На уровне конкретного устройства.
• [9042108] Невозможно задать пользовательский DNS-сервер, если для интерфейса включен DHCP-клиент. Для пользовательского DNS-сервера используйте статический IP-адрес на интерфейсе.
• [9064830] В настройках интерфейсов невозможно добавить новую подсеть и удалить старую за одну операцию. Например, вы не можете поменять IP-адреса на двух интерфейсах местами.

  В качестве решения можно временно в одном из интерфейсов установить в поле Протокол значение Отсутствует.

• [9203484] Blackhole-маршрут, созданный при помощи включения переключателя Использовать blackhole-маршрут при создании или редактировании VRF в свойствах шаблона или устройства, невозможно изменить или удалить в разделе Статические маршруты.
• [9554073] Если при активации Kaspersky NGFW с помощью кода активации используется прокси-сервер, активация может завершиться ошибкой недоступности сервера активации.

  В качестве решения можно отключить прокси-сервер на время активации или активировать решение с помощью файла ключа.

• [9662250] Если включены механизмы IDPS, Антивирус и Защита DNS-трафика, то в некоторых случаях в KUMA могут передаваться ошибки AV Engine Error.
• [9946883] [FE] Если в Open Single Management Platform страница Kaspersky NGFW выбрана в качестве домашней, то при входе в Open Single Management Platform загружается пустая страница.
• [9990581] Если у узла кластера сменить MAC-адрес и затем указать в свойствах устройства новый MAC-адрес в качестве DPID, то устройство перестает подключаться к оркестратору (отображается статус подключения к оркестратору Не работает).
• [10064775] В разделе Менеджер сессий не работает кнопка Показать иерархию.

  В качестве решения можно переключить группу администрирования в разделе Активы (Устройства) → Политики и профили политик.

• [10110125] Отображается ошибка, если с виджета [OOTB] NGFW Aggregated Dashboards в KUMA перейти по ссылке с действием.

  В качестве обходного решения можно в настройках виждета на вкладке Action отключить действие Drill down to events.

• [10202023] Непредсказуемое поведение кнопки "назад" в браузере. При открытии выпадающего меню или боковой панели оно работает независимо от навигации по страницам. Если использовать кнопки навигации в браузере, страница изменится, но открытое меню не закроется автоматически, а останется поверх нового экрана. Это может привести к ошибкам отображения и некорректной работе функций.

  Чтобы избежать проблем, перед переходом на другую страницу с помощью элементов навигации всегда нужно закрывать открытые меню вручную.

• [10202398] [Отказоустойчивый кластер] Не выполняется переключение кластера. Если используется режим отсылки GARP и создано много интерфейсов, по которым их нужно слать, то возможны ситуации, когда будут теряться keepalive-сообщения между узлами (узел, который будет отсылать GARP-сообщения, может стать "невидимым" для соседнего узла, что может привести к переходу активной роли на соседний узел, но после отсылки GARP-сообщений произойдет распад кластера (англ. Split-brain).

  Чтобы избежать этого, нужно увеличить keepalive interval и dead_count в настройках кластера или отказаться от использования GARP и использовать VMAC.

• [10442722] [KX-100-KA1] [Отказоустойчивый кластер] Если на устройстве настроить агрегированный интерфейс плоскости передачи данных и после этого добавить устройство в качестве резервного узла в кластер, то VMAC на агрегированном интерфейсе могут отличаться между основным и резервным узлами из-за разного порядка интерфейсов, входящих в агрегированный интерфейс.

  Чтобы порядок составных интерфейсов и VMAC агрегированного интерфейса стали корректными, необходимо перезагрузить резервный узел после сбора кластера.