Changements de comportement

Cette section liste les changements de comportements automatiques liés à la mise à jour de votre firewall SNS en version 4.8.4 depuis la dernière version 4.3 LTSB disponible.

Au besoin, nous vous invitons également à consulter les Changements de comportement de la version SNS 4.3 introduits depuis la dernière version 3.7.x LTSB disponible.

Changements introduits en version 4.8.3 EA

En savoir plus

• Firewalls équipés d'un TPM - Après une mise à jour en version SNS 4.8.3, les secrets stockés dans le TPM nécessitent d'être scellés avec les nouvelles caractéristiques techniques du système à l'aide de la commande CLI / Serverd :
  SYSTEM TPM PCRSEAL tpmpassword=<TPMpassword>
  Notez que dans le cas d'un cluster, cette action doit être réalisée pour les deux membres du cluster depuis le firewall actif en ajoutant le paramètre "serial=passive" pour sceller les secrets du firewall passif depuis le firewall actif.
  Pour plus d'informations sur le module TPM, reportez-vous à la section Trusted Platform Module du manuel utilisateur SNS.

• Services Web dans le filtrage - L'utilisation dans une règle de filtrage d'un service web personnalisé dont le nom comporte exactement 20 caractères rend cette règle de filtrage inopérante. Cette situation entraîne l'affichage d'un message d'avertissement dans le widget Messages du Tableau de bord. Ce message précise la politique de filtrage et le numéro de règle concernés.
  Pour corriger la situation, vous devez :

  • Mettre en conformité (moins de 20 caractères) le nom du service Web dans le fichier d'import CSV initialement utilisé,
  • Réimporter ce fichier dans le module Objets > Services Web > onglet Import de services personnalisés,
  • Modifier la règle de filtrage pour utiliser le nouveau nom du service Web.

• La configuration d'usine d'un firewall en version SNS 4.8.3 EA ou supérieure autorise de nouveau par défaut le retour à une version inférieure de firmware.

• Filtrage URL / SSL - La base d'URL embarquée est obsolète et est amenée à être supprimée dans une prochaine version de firmware SNS. Pour continuer d'utiliser du filtrage URL / SSL, vous pouvez : 
  • Configurer une base d'URL alternative, comme la base du Rectorat de Toulouse, en suivant la méthode décrite dans la base de connaissances Stormshield (authentification requise),
    
  • Souscrire à l'option Extended Web Control.
• VPN Serveur PPTP - La fonctionnalité Serveur PPTP est obsolète et est amenée à être supprimée dans une prochaine version de firmware SNS.
• Protocole SCEP (enregistrement de certificats) - Les algorithmes de hachage md2, mdc-2, md4, md5, rmd160, et l'algorithme de chiffrement des-ede3-cbc sont obsolètes. Ils sont amenés à être supprimés dans une prochaine version de firmware SNS.

Changements introduits en version 4.8.1 EA

En savoir plus

• Un firewall en version SNS 4.8.1 EA refuse un retour à une version inférieure à SNS 4.7.3 ou SNS 4.3.24 LTSB.

• Firewalls équipés d'un TPM - Après une mise à jour en version SNS 4.8, les secrets stockés dans le TPM nécessitent d'être scellés avec les nouvelles caractéristiques techniques du système à l'aide de la commande CLI / Serverd :

  SYSTEM TPM PCRSEAL tpmpassword=<TPMpassword>

  Notez que dans le cas d'un cluster, cette action doit être réalisée pour les deux membres du cluster depuis le firewall actif en ajoutant le paramètre "serial=passive" pour sceller les secrets du firewall passif depuis le firewall actif.

  Pour plus d'informations sur le module TPM, reportez-vous à la section Trusted Platform Module du manuel utilisateur SNS.

• Agent SNMPv3 - L'algorithme d'authentification MD5 et les algorithmes de chiffrement DES et SHA1 utilisés par l'Agent SNMPv3 sont obsolètes et seront supprimés dans une prochaine version de firmware SNS.

• Annuaire LDAP interne - Les algorithmes de hachage des mots de passe MD5, SMD5, SHA, SSHA, SHA256, SHA384 et SHA512 utilisés par l'annuaire LDAP interne sont obsolètes et seront supprimés dans une prochaine version de firmware SNS.

• VPN SSL Portail - La fonctionnalité VPN SSL Portail est obsolète et est amenée à être supprimée dans une prochaine version de firmware SNS.

• Routage Dynamique BIRD

  • La version 1 du moteur de routage dynamique BIRD est à présent considérée comme obsolète. La version 2 du moteur de routage dynamique BIRD est désormais disponible,

  • Dans le cas où votre parc de firewalls SNS est géré par un serveur SMC, il n'est pas possible de gérer le routage dynamique de vos firewalls en versions 4.8.1 EA et supérieures depuis une version de SMC inférieure à la 3.6.

• Agent SNMP - La valeur attribuée au champ sysname présenté par l'agent SNMP respecte désormais un nouvel ordre.

Changements introduits en version 4.7.7

• Analyse Sandboxing - Seuls les fichiers classifiés dans l'une des catégories Archive, Document bureautique, Exécutable, PDF et Java sont désormais soumis à l'analyse Sandboxing afin de limiter la charge du service. Les fichiers classifiés dans Autre ou Inconnu ne sont plus envoyés pour analyse.

Changements introduits en version 4.7.5

• Agent SNMP - La valeur retournée par l'OID 1.3.6.1.2.1.1.7 est désormais 76, ce qui correspond à un équipement offrant des services sur les couches OSI 3, 4 et 7. Auparavant, la valeur retournée était 72.

Changements introduits en version 4.7.3

• SN1100 - Le nombre maximal de tunnels IPsec acceptés par un firewall SN1100 était trop élevé. Il a été diminué pour correspondre aux données annoncées.

Changements introduits en version 4.7.2 EA

En savoir plus

• Routage - Les objets de type loopback utilisés en passerelle par défaut sont automatiquement remplacés par l'objet blackhole lors de la mise à jour du firewall en version SNS 4.7.2 EA ou supérieure.
• Protocoles Oscar et Gnutella - Les protocoles Oscar et Gnutella sont désormais considérés comme obsolètes. L'analyse de ces protocoles est automatiquement désactivée lors de la mise à jour du firewall en version SNS 4.7.2 EA.

Changements introduits en version 4.7.1 EA

En savoir plus

• IPsec DR - Le référentiel IPsec DR de l'ANSSI demande de remplacer l'algorithme utilisé dans la génération des Certificate Request Payload par le SHA2 (anciennement SHA1). Les versions SNS 4.7 et supérieures respectent cette recommandation.
  Si le mode IPsec DR est activé sur un firewall SNS en version 4.7, la négociation de tunnels VPN est possible uniquement avec des correspondants respectant cette recommandation.

• Client VPN Exclusive (avec mode DR) - Il est nécessaire d'utiliser le client VPN Exclusive 7.4 ou supérieur pour établir des tunnels IPsec en mode DR avec des firewalls en version SNS 4.7 et supérieure.

• Firewalls équipés d'un TPM - Après une mise à jour en version SNS 4.7, les secrets stockés dans le TPM nécessitent d'être scellés avec les nouvelles caractéristiques techniques du système à l'aide de la commande CLI / Serverd :

  SYSTEM TPM PCRSEAL tpmpassword=<TPMpassword>

  Notez que dans le cas d'un cluster, cette action doit être réalisée pour les deux membres du cluster depuis le firewall actif (en ajoutant le paramètre "serial=passive" pour sceller les secrets du firewall passif depuis le firewall actif).

  Pour plus d'informations sur le module TPM, reportez-vous à la section Trusted Platform Module du manuel utilisateur SNS.

• Classification d'URL Extended Web Control (EWC) - La base d'URL utilisée est désormais celle du fournisseur Bitdefender.
  
  

  Pour mettre en place une politique de filtrage d'URL / filtrage SSL, il est recommandé de travailler en mode "liste noire", c'est-à-dire de positionner explicitement les catégories d'URL à interdire dans des règles de filtrage d'URL / filtrage SSL avec l'action bloquer. Ces règles sont à placer au-dessus de la règle autorisant toutes les autres catégories.

   

  Dans le cadre de la mise à jour en version SNS 4.7.1 ou supérieure d'un firewall utilisant une politique de filtrage d'URL / filtrage SSL en mode "liste blanche" (règles de filtrage autorisant explicitement certaines catégories et placées au-dessus de la règle bloquant toutes les autres catégories), il est fortement recommandé d'ajouter une règle autorisant les catégories d'URL misc (Divers), unknown (Inconnu), computersandsoftware (Sites de téléchargement de logiciels) et hosting (Hébergement de sites Web) pour éviter un risque de dégradation de l’expérience utilisateur. Cette règle est à placer au-dessus de la règle bloquant toutes les autres catégories.
  
  Pour plus d'informations sur la migration d'une politique de filtrage d'URL / filtrage SSL lors de la mise à jour du firewall en version SNS 4.7 ou supérieure, veuillez consulter la Note Technique Migrer une politique de sécurité vers la nouvelle base d'URL EWC.
  

  IMPORTANT
  Il est impératif de contrôler minutieusement toute politique de filtrage d'URL / filtrage SSL mise à jour suite au passage du firewall en version SNS 4.7.1.
  

   

• Remise en configuration d'usine - La remise en configuration d'usine (defaultconfig) d'un firewall supprime désormais par défaut tous les fichiers de configuration personnalisée ajoutés par l'administrateur. Si vous ne souhaitez pas les supprimer, utilisez la commande defaultconfig -T.
• Synchronisation des adresses MAC (HA) - Pour les machines virtuelles (EVA) déployées en version 4.7 ou supérieure et configurées en haute disponibilité (HA), la synchronisation des adresses MAC lors d'une bascule du cluster est à présent désactivée par défaut.

• Durcissement du système - Le durcissement du système en version SNS 4.7 rend inutilisable la partition de secours du firewall en version SNS 4.3.23 LTSB ou inférieure après un passage direct en version SNS 4.7. Il est recommandé de mettre à jour le firewall en version SNS 4.3.24 LTSB ou supérieure avant de le mettre à jour en version SNS 4.7.

Changements introduits en version 4.6.9

En savoir plus

• Connexions SSH au firewall - Sur un firewall en configuration d'usine et en version SNS 4.6.9 ou supérieure, les algorithmes de chiffrement ssh-rsa, hmac-sha2-256 et hmac-sha2-512 ne sont plus autorisés pour les connexions SSH à destination du firewall.

Changements introduits en version 4.6.8

En savoir plus

• Routage dynamique BIRD - Dans les configurations utilisant le protocole BGP avec de l'authentification, il est nécessaire d'utiliser la directive "source address <ip>;" pour que les sessions BGP continuent de s'établir après la mise à jour du firewall SNS.

Changements introduits en version 4.6.3

En savoir plus

• Protocoles basés sur SSL / TLS - Pour des raisons de sécurité, les suites de chiffrement utilisant un échange de clés basées sur les méthodes Diffie-Hellman (suites basées sur DHE) ont été supprimées. Seules les suites basées sur ECDHE sont disponibles sur les firewalls SNS.
  Cette modification peut impacter les connexions émises depuis ou vers le firewall pour les différents protocoles sécurisés par SSL (HTTPS, SSH, LDAPS, SMTPS...) ainsi que les connexions SSL réalisées au travers du proxy du firewall. Elle peut potentiellement rendre incompatibles avec les firewalls SNS les anciens logiciels clients et services / machines externes utilisant ces protocoles.
  
  Les suites de chiffrement basées sur ECDHE et disponibles sur les firewalls SNS sont les suivantes :
  
  • TLS_AES_128_GCM_SHA256,
  • TLS_CHACHA20_POLY1305_SHA256,
  • TLS_AES_256_GCM_SHA384,
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
  • TLS_EMPTY_RENEGOTIATION_INFO_SCSV.

Changements introduits en version 4.5.3

En savoir plus

• Durcissement du système d'exploitation - Les éditeurs de texte vim et joe ont été supprimés du système au profit de l'éditeur vi.
• Qualité de service (QoS) - Le champ Traitement en cas de saturation, permettant de sélectionner l'algorithme de traitement des congestions de paquets (TailDrop ou BLUE) dans les files d'attente, a été supprimé du paramétrage de la QoS. L'algorithme utilisé par défaut est désormais TailDrop et est exclusivement modifiable à l'aide de la commande CLI / Serverd CONFIG OBJECT QOS DROP.
• IPsec mode DR - Lors de la première activation du mode DR, le groupe Diffie-Hellman DH28 est désormais proposé comme groupe par défaut pour les profils IKE DR et IPsec DR.

Changements introduits en version 4.5.2

En savoir plus

• Qualité de service (QoS) - La définition de files d'attente en pourcentage de bande passante est obsolète. Après la mise à jour en version 4.5.2 ou supérieure d'un firewall SNS dont la configuration de QoS utilisait une file d'attente définie par un pourcentage de bande passante, ce pourcentage est automatiquement transformé en valeur absolue de bande passante équivalente.

Changements introduits en version 4.5.1

En savoir plus

• VPN SSL - La version SNS 4.5 est exclusivement compatible avec le client VPN SSL 3.1 ou le client OpenVPN 2.5 (ou supérieur). Il est nécessaire de mettre à jour le client VPN SSL (ou OpenVPN) sur les postes clients avant de mettre à jour le firewall en version SNS 4.5. Il sera également nécessaire de mettre à jour la configuration (disponible sur le portail captif) des clients OpenVPN suite à la mise à jour du firewall en version 4.5.
• QoS - La définition de files d'attente en pourcentage de bande passante est obsolète. Après la mise à jour en version SNS 4.5 d'un firewall dont la configuration de QoS utilisait une file d'attente définie par un pourcentage de bande passante, un message d'avertissement est affiché dans la grille des files d'attente afin d'inviter l'administrateur à modifier la configuration de cette file.
• Kerberos - L'authentification Kerberos est désormais basée par défaut sur le protocole TCP (objet kerberos_tcp - port 88/TCP).

Changements introduits en version 4.4.1

En savoir plus

• Catégories de réputation - Les catégories de réputation Exchange Online, Microsoft Authentication, Office 365, Office Online, SharePoint Online et Skype for business, présentes dans les versions antérieures à SNS 4.4.1, ne sont plus disponibles. Les règles de filtrage les utilisant deviennent inopérantes jusqu'au remplacement de ces catégories par les services Web introduits en version SNS 4.4.1.

• Mode furtif (stealth mode) - En configuration d'usine, un firewall SNS est désormais en mode furtif par défaut. Notez que la désactivation du mode furtif (stealth mode) impacte les performances de traitement des paquets. En effet, pour être en mesure de répondre à un message d'erreur ICMP, le firewall doit garder une trace de chacun des paquets. Le mode furtif permet donc au firewall de faire l'économie de toutes ces traces de paquets.