Список изменений

2024 год

Примечания к релизу
Настройки контроля приложений и проверки трафика системой предотвращения вторжений с этой версии перенесены в профили безопасности, которые применяются в правилах файрвола. Проверьте настройки фильтрации трафика после обновления.
Рекомендуемые системные требования повышены до 4-х процессорных ядер.

Безопасность

профили контроля приложений и предотвращения вторжений в правилах файрвола;
предварительная фильтрация в файрволе с возможностью проверки TCP-флагов (syn, ack, fin, rst, urg, psh) и размера пакетов;
возможность фильтрации по HTTP-методам (get, post, put, delete, head, options, patch, trace) и MIME-типам;
морфологический анализ в контент-фильтре;
интеграция с песочницей по ICAP;
улучшенная устойчивость веб-интерфейса и SSH от DoS-атак;
улучшенная ролевая модель администрирования (добавлены роли Администратор информационной безопасности, Администратор файрвола, Администратор настройки доступов);
профили безопасности WAF для опубликованных веб-приложений (включая наборы сигнатур, белые и черные списки по источникам (в т.ч. GeoIP), исключения);
возможность указания порта источника в файрволе;
авторизация администраторов через RADIUS, группы безопасности Active Directory и ALD Pro;
загрузка собственных сигнатур в систему предотвращения вторжений;
обновление ядра Linux (до версии 6.8) и ключевых используемых пакетов.

Сетевая функциональность

инструмент проверки прохождения трафика через МЭ;
расширенная функциональность VCE;
зеркалирование портов SPAN;
исключение адресов из маршрутов передаваемых VPN-пользователям;
loopback-интерфейс;
оптимизация производительности обработки трафика.

Ideco Client

поддержка VPN для клиента MacOS;
авторизация устройств по сертификату (Device VPN);
возможность добавления DNS-суффикса подключения при подключении по VPN;
возможность создания туннеля при подключении из локальной сети;
Ideco Client для Alt Linux, Astra Linux, Red OS, Fedora, Debian, Ubuntu.

Разное

удалена возможность авторизации пользователей по PPPoE;
удален антивирус для веб-трафика ClamAV;
для использования кластера требуется отдельная лицензия на модуль;
возможность загрузить оффлайн-лицензию из файла;
загрузка обновлений баз данных фильтрации и NGFW оффлайн;
в мониторинг добавлена возможность просмотра текущих сессий администраторов;
в отчеты добавлен отчет по авторизациям администраторов;
компактный веб-интерфейс.

Примечания к релизу
Если вы используете Центральную Консоль управления Ideco NGFW версии 17.1, то при обновлении NGFW до версии 17.5 правила файрвола перестанут синхронизироваться с ЦК (старые полученные правила будут работать). Необходимо обновить ЦК до версии Ideco CC 17.6, для возможности полноценной работы с Ideco NGFW 17.5.

Безопасность

roundcube, использующийся для доступа к почте через веб-интерфейс, обновлен до версии 1.6.7 (с исправлением уязвимостей CVE-2024-42009, CVE-2024-42008, CVE-2024-42010).

Исправления и изменения

в правила файрвола добавлена возможность назначения профилей приложений, данные правила заработают после обновления на 18-ую версию и сделаны для переноса настроек на новую версию (старые правила контроля приложений при обновлении до 18-ой версии будут удалены);
добавлена возможность полностью отключить автоматические обновления на новые версии;
оптимизирован резолвинг DNS-запросов;
исправлена работа с пользователями в правилах при быстром восстановлении из бэкапов;
исправлена отправка логов по syslog если сообщения в логах очень длинное;
обновлен ключ антивируса Касперского для веб-трафика (будет работать до июля 2025 года);
время синхронизации нод кластера теперь указывается в часовом поясе сервера;
исправлено отключение сортировки спама в режиме почтового релея, сейчас спам будет поступать на почтовый сервер с пометкой в теме письма;
косметические исправления веб-интерфейса.

Исправления и изменения

увеличено число почтовых адресов в правилах переадресации до 1200 адресов (ранее было 100);
исправлена работа сайтов jitsi.org и asana.com при включенной расшифровке HTTPS-трафика;
исправлены ошибки в журналах запуска logrotate;
улучшена блокировка отправки информации в vk.com при включенной блокировке активности в соц.сетях в контент-фильтре;
косметические исправления веб-интерфейса;
исправлена работы VCE на Hyper-V с использованием VLAN-интерфейсов;
исправлено удаление переименованных протоколов в "Контроле приложений" при обновлении с 16-ой версии;
улучшена синхронизация вложенных групп безопасности Active Directory / ALD Pro;
исправлено обновление с 16-ой версии с просроченными SSL-сертификатами;
исправлена работа с правилами из Центральной консоли после мгновенного восстановления из бекапов;
исправлена синхронизация бекапов в режиме кластера;
исправлена излишняя частота перевыпуска сертификатов Lets Encrypt;
исправлены разрывы соединения Ideco Client с включенными HIP-профилями;
исправлено определение данных о HIP-устройстве при восстановлении из мгновенного бекапа;
удалена интеграция с Next DNS, рекомендуем использовать интеграцию с SkyDNS для фильтрации DNS-трафика;
добавлены дополнительные операторы фильтрации ("содержит", "не содержит", "равен", "не равен") в таблицы журналов и авторизации пользователей;
добавлено предупреждение о необходимости лицензирования кластеризации с 18-ой версии (в текущих коммерческих лицензиях данная возможность будет оставлена в рамках их действия);
добавлена возможность работы интеграции с ALD Pro версии 2.3;
исправлена защита от подбора паролей в личный кабинет пользователя;
исправлена возможная потеря части статического ответа при интеграции по ICAP с внешними системами;
"температура процессора" в графиках загруженности и панели мониторинга переименована в "температура", т.к. включает в себя все температурные датчики системы;
исправлено создание GRE-туннелей между Ideco NGFW и Cisco.

Новые возможности

виртуальные контексты VCE (аналог VSX, VDOM, позволяет создавать виртуальные Ideco NGFW на одном сервере с независимыми друг от друга сетью, управлением и политиками безопасности);
режим кластера с синхронизацией сессий;
аутентификация VPN-пользователей через RADIUS-сервер;
GRE over IPSec, GRE-туннели;
ZTNA - проверка клиентом домена, антивируса, версии ОС, наличия пакетов обновлений и др. Использование профилей устройств в политиках файрвола;
Ideco Client авторизации для MacOS (без удаленного подключения по VPN);
время окончания действий правил файрвола;
время действия правил контент-фильтра;
добавлен формат CEF и выбор TCP/UDP для интеграции с внешними сервисами (SIEM и др.) по syslog;
восстановление бекапа конфигурации возможно без перезагрузки сервера;
возможность выдавать IP-адреса из разных подсетей разным группам VPN-пользователей;
в DHCP-сервер добавлена возможность автоматической раздачи настроек прокси-сервера клиентам (WPAD);
в отчеты добавлен журнал работы веб-антивируса;
имя сервера добавлено в названия бэкапов, передается по syslog и SNMP;
возможность управления доступом группам пользователей в личный кабинет;
возможность выбора OU при интеграции с Active Directory из которых будут выбраны пользователи и группы (рекомендуется использовать при очень большом количестве объектов в Active Directory);
экономичный режим работы процессора (настраивается в Управление сервером - Дополнительно).

Обновления

платформа на ядре Linux 6.7.9;
обновленная версия системы предотвращения вторжений;
обновлен модуль контроля приложений, улучшено определение приложений (добавлены новые приложения: ELECTRONICARTS, HL7, IEEE_C37118, MONERO, CEPH, DOTA2, RADMIN, TENCENTGAMES, OPENFLOW).

Исправления и изменения

информация о IPSec-туннелях на дашборде и в мониторинге (загрузка канала, потеря пакетов, джиттер);
добавлена разавторизация администраторов из веб-интерфейса через 8 часов не активности;
тонкие настройки WCCP;
изменены настройки публикации внутренних сервисов NGFW (личный кабинет, веб-интерфейс почты) в обратном прокси-сервере;
добавлена поддержка встроенных графических контроллеров процессоров Intel 13-го поколения;
добавлена информация о времени синхронизации нод в кластере;
многочисленные улучшения веб-интерфейса.

Примечание к релизу
Если вы используете встроенный веб-интерфейс почты в Ideco NGFW, необходимо проверить доступ к нему после обновления. Из-за изменения типа публикации ресурса в обратном прокси-сервере (новый тип "внутренние сервисы") в некоторых случаях потребуется перенастройка публикации.
Централизованное управление версией возможно только через Ideco Center 17-ой версии. Если вы используете Ideco CC 16, обновление политик фильтрации с нее будет невозможно (возможен только доступ в веб-интерфейс)

Безопасность

обновлен модуль системы предотвращения вторжений с исправлением критических уязвимостей (CVE-2024-23839, CVE-2024-23836, CVE-2024-23837);
исправлена утечка памяти в модуле WAF при большой нагрузке;
усилены правила защиты от брутфорса VPN-сервера (блокировка при 5 попытках подбора паролей в течении 10 минут на 40 минут, ранее было при 8 неуспешных попытках);
устранена уязвимость типа «межсайтовый скриптинг» (XSS) на веб-странице двухфакторной аутентификации.

Исправления и изменения

исправлена валидация доменов в списке правил почтового релея (увеличена возможная длина доменов);
исправлены исходящие IPSec-соединения по нескольким IP-адресам;
повышена стабильность IPSec-подключений при переключении каналов;
оптимизирована производительность обработки веб-трафика;
исправлено обновление базы контент-фильтра (иногда БД могла не оптимизироваться после обновления);
добавлены указания DNS-суффиксов домена в powershell-скрипты создания клиентских подключений;
исправлена обработка доменов ALD Pro при входе в домен;
исправлена публикация веб-почты через обратный прокси-сервер при обращении по IP из локальной сети;
исправлена работа модулей обработки трафика при более чем 64 ядер CPU;
исправлена работа Discord при расшифровке HTTPS-трафика;
исправлена блокировка загрузки исполняемых файлов с некоторых ресурсов;
в категорию "файлы" контент-фильтра добавлены расширения файлов ПО "Мой офис" (xodt,xods,xodp,xott,xots).

2023 год

Новые возможности

новая платформа на основе ядра Linux 6.3;
Zone Based Firewall (зоны в правилах файрвола, включая IPSec и клиентские VPN-подключения);
авторизация пользователей терминальных серверов на прокси-сервере;
интеграция с Astra ALD Pro (включая авторизацию пользователей);
защита от DoS для опубликованных веб-ресурсов (в обратном прокси-сервере);
журнал веб-доступа в отчетах по трафику;
улучшенная настройка VPN-авторизации пользователей (включая 2FA);
возможность выдавать произвольный шлюз по DHCP и любые опции;
возможность создания маршрутов для IPSec-подключений;
возможность настройки BGP соседства в IPSec-подключениях;
использование всего дискового пространства;
авторизация пользователей доверенных доменов Active Directory;
возможность включить/выключить модуль подсчета квот трафика;
существенно увеличена производительность модулей глубокого анализа трафика;
добавлена поддержка протоколов АСУ ТП модулем "Контроль приложений" (EtherSIO, FINS, HART-IP, Modbus, OPC-UA, UMAS).

Исправления и изменения

продукт переименован в Ideco NGFW (лицензия на Ideco UTM действительна для Ideco NGFW);
удалена возможность создания IPSec-подключений между “филиалом и главным офисом” (все подключения осуществляются через “устройства”, настройки из старых версий будут перенесены автоматически при обновлении);
Ideco Agent переименован в Ideco Client;
убран раздел “Мониторинг - VPN пользователи” (информацию о VPN-пользователях можно посмотреть в разделе “Мониторинг - Авторизованные пользователи”, в т.ч. с использованием быстрого фильтра);
существенно ускорено обновление системы.

Новые возможности

обновленная платформа на базе ядра Linux 6.1.18;
возможность использования расширенной базы правил предотвращения вторжений от Лаборатории Касперского (требует дополнительного лицензирования);
балансировка трафика на несколько серверов обратным прокси-сервером;
IGMP Proxy (пропуск мультикаст-трафика);
вход в домен ALD Pro;
интеграция с Samba DC (в т.ч. BaseALT Linux);
аудит действий администраторов;
WCCP L2/L3;
интеграция с сервисом "Мультифактор" для 2FA;
перехват NTP-запросов к внешним серверам (в настройках NTP-сервера);
выгрузка отчетов из раздела "Трафик" в формате csv;
в Контроль приложений добавлены протоколы: ADS_Analytic (рекламные трекеры), AdultContent (сервисы распространения порно-контента), SRTP. Улучшено определение приложений.

Исправления и изменения

удален "старый" VPN_агент и агент авторизации (нужно перейти на использование нового агента для авторизации пользователей локальной сети и VPN);
ускорена обработка трафика DPI-модулями в многоядерных конфигурациях;
журналы и настройки syslog перенесены в раздел "Отчеты и журналы";
добавлено количество сессий в виджете top5 в главном дашборде;
обновлен модуль системы предотвращения вторжений.

Новые возможности

просмотр журналов системы в веб-интерфейсе (Мониторинг - Журналы);
DHCP relay;
настройка времени аренды адреса для DHCP-сервера;
DDNS (интеграция с сервисом nic.ru);
новая версия модуля контроля приложений (улучшено определение протоколов, новые протоколы сервисов VK и Яндекс);
двухфакторная аутентификация VPN-пользователей по SMS и TOTP;
в доверенные добавлен сертификат Минцифры.

Безопасность

обновлен антивирус ClamAV до версии 0.103.8 (включающей исправление CVE-2023-20032).

Исправления и изменения

исправлены ошибки в Мониторе трафика;
увеличено максимальное количество установившихся соединений на серверах с большим количеством оперативной памяти;
исправлен приоритет правила перенаправления в контент-фильтре;
исправлены ошибки связанные с кэшем браузера при обновлении с прошлых версий;
исправлено удаление кэша авторизаций по логам безопасности контроллеров домена при отключении данной функции;
исправлена валидация URL в пользовательских категориях контент-фильтра;
оптимизирована работа с группами безопасности Active Directory при их большом количестве;
исправлено сохранение настроек антиспама Касперского после обновления Ideco UTM;
оптимизирована нагрузка на процессор при большом количестве установленных соединений;
исправлены некоторые ошибки;
небольшие доработки веб-интерфейса.

Обязательно ознакомьтесь с примечаниями к релизу при обновлении с версий 13.х.

Новые возможности

раздача NTP-сервера по DHCP (NTP-сервер на Ideco UTM должен быть включен);
изменена логика создания IPsec-подключения: IPSec-подключения создаются через внешние адреса всех настроенных провайдеров;
опции TFTP (PXE Boot), DNS-суффикс в DHCP-сервере;
возможность просмотра оставшейся квоты трафика в личном кабинете пользователя;
добавлена возможность управлять метрикой маршрута в OSPF;
добавлена передача VPN-сетей Ideco UTM в OSPF;
добавлена колонка "Пользователь" в монитор трафика;
добавлена настройка сохранения пароля в Ideco агент.

Исправления и изменения

исправлен DNAT с не основного внешнего интерфейса;
исправлена ошибка авторизации по VPN для пользователей Active Directory;
исправлена валидация масок для URL/доменов в собственных категориях контент-фильтра;
обновлен список MIME-типов файлов в контент-фильтре;
добавлена колонка "пользователь" в мониторе трафика;
исправлено подключение по VPN с помощью Ideco агента при большом количестве маршрутов в системе;
в отчетность по трафику ("Список адресов") добавлены столбцы "Дата и время", "URL", "Общий трафик", "Входящий трафик", "Исходящий трафик";
исправлен запуск "Контроля приложений" на некоторых сетевых картах;
многочисленные небольшие улучшения веб-интерфейса;
исправлено создание PTR-зон в DNS для локальных сетей;
исправления небольших ошибок.

2022 год

2021 год

2020 год

Обновиться с версии 7.9.9 можно с помощью сохранения и восстановления архива конфигурации. Внимательно ознакомьтесь с примечаниями к релизу.

Новые возможности

Новая платформа, на основе ядра Linux 5.4.17. Обновлены все системные пакеты.
Новый веб-интерфейс администрирования.
Новая реализация балансировки и резервирования каналов.
Маршрутизация веб-трафика согласно пользовательским маршрутам (по источнику и назначению, где источником может быть пользователь или группа).
Новые правила файрвола применяются автоматически, без необходимости разрыва текущих соединений.
Правила файрвола применяются и к веб-трафику (80 и 443 портам).
Терминал доступа в веб-интерфейсе (с возможностью выполнения сетевой диагностики командами ping, mtr, host, tcpdump, просмотра логов и др.).
Объекты IP-адреса, сети и др. можно использовать в правилах контент-фильтра, контроля приложений и ограничения полосы пропускания.
Улучшена возможность публикации Outlook Web Access.
Обновлены модули: системы предотвращения вторжений, WAF, прокси-сервера.

Безопасность

Ядро, системные пакеты и используемые компоненты обновлены до последних версий включающих патчи безопасности.
При сбоях в работе важных компонентов и невозможности продолжения их работы, система автоматически блокирует весь транзитный трафик, что повышает устойчивость к DoS-атакам.

Исправления и изменения

Веб-интерфейс администрирования теперь работает на порту 8443.
Обязательна поддержка UEFI сервером и команд SSE 4.2 процессором.
Добавлена поддержка 2-го поколения виртуальных машин Hyper-V.
Настройки DHCP перенесены из настроек интерфейсов в раздел "Сервисы - DHCP-сервер".
Управление сертификатами вынесено в отдельный раздел "Сервисы - Сертификаты".