Changelog Ideco UTM

Список изменений Ideco UTM

2023 год

Обязательно ознакомьтесь с примечаниями к релизу при обновлении с версий 14.х.

Новые возможности

раздача NTP-сервера по DHCP (NTP-сервер на Ideco UTM должен быть включен);
опции TFTP (PXE Boot), DNS-суффикс в DHCP-сервере;
возможность просмотра оставшейся квоты трафика в личном кабинете пользователя;
добавлена возможность управлять метрикой маршрута в OSPF;
добавлена передача VPN-сетей Ideco UTM в OSPF;
добавлена колонка "Пользователь" в монитор трафика;
добавлена настройка сохранения пароля в Ideco агент.

Исправления и изменения

исправлен DNAT с не основного внешнего интерфейса;
исправлена ошибка авторизации по VPN для пользователей Active Directory;
исправлена валидация масок для URL/доменов в собственных категориях контент-фильтра;
обновлен список MIME-типов файлов в контент-фильтре;
добавлена колонка «пользователь» в мониторе трафика;
исправлено подключение по VPN с помощью Ideco агента при большом количестве маршрутов в системе;
в отчетность по трафику ("Список адресов") добавлены столбцы "Дата и время", "URL", "Общий трафик", "Входящий трафик", "Исходящий трафик";
исправлен запуск "Контроля приложений" на некоторых сетевых картах;
многочисленные небольшие улучшения веб-интерфейса;
исправлено создание PTR-зон в DNS для локальных сетей;
исправления небольших ошибок.

2022 год

2021 год

2020 год

Обновиться с версии 7.9.9 можно с помощью сохранения и восстановления архива конфигурации. Внимательно ознакомьтесь с примечаниями к релизу.

Новые возможности

Новая платформа, на основе ядра Linux 5.4.17. Обновлены все системные пакеты.
Новый веб-интерфейс администрирования.
Новая реализация балансировки и резервирования каналов.
Маршрутизация веб-трафика согласно пользовательским маршрутам (по источнику и назначению, где источником может быть пользователь или группа).
Новые правила файрвола применяются автоматически, без необходимости разрыва текущих соединений.
Правила файрвола применяются и к веб-трафику (80 и 443 портам).
Терминал доступа в веб-интерфейсе (с возможностью выполнения сетевой диагностики командами ping, mtr, host, tcpdump, просмотра логов и др.).
Объекты IP-адреса, сети и др. можно использовать в правилах контент-фильтра, контроля приложений и ограничения полосы пропускания.
Улучшена возможность публикации Outlook Web Access.
Обновлены модули: системы предотвращения вторжений, WAF, прокси-сервера.

Безопасность

Ядро, системные пакеты и используемые компоненты обновлены до последних версий включающих патчи безопасности.
При сбоях в работе важных компонентов и невозможности продолжения их работы, система автоматически блокирует весь транзитный трафик, что повышает устойчивость к DoS-атакам.

Исправления и изменения

Веб-интерфейс администрирования теперь работает на порту 8443.
Обязательна поддержка UEFI сервером и команд SSE 4.2 процессором.
Добавлена поддержка 2-го поколения виртуальных машин Hyper-V.
Настройки DHCP перенесены из настроек интерфейсов в раздел Сервисы - DHCP-сервер.
Управление сертификатами вынесено в отдельный раздел: Сервисы - Сертификаты.

Исправления и изменения

Добавлен IPSec IKEv2 для пользовательских подключений с автоматически выписываемым сертификатом Let’s Encrypt.
Добавлена возможность публикации веб-интерфейса администрирования Ideco UTM и личного кабинета пользователей в Интернет с помощью обратного прокси-сервера.
Добавлены автоматически генерируемые PowerShell-скрипты для создания пользовательских подключений по VPN (L2TP/IPSec и SSTP) в Windows 8.1 и 10.
Администратор может скачать их из веб-интерфейса. Пользователи с разрешенным подключением по VPN из Интернета - в личном кабинете, доступном по DNS-имени сервера Ideco UTM в браузере.
Сертификаты для SSTP теперь автоматически будут получены в Let’s Encrypt. Не будет необходимости установки корневого сертификата UTM на компьютеры пользователей.
Добавлена консоль мониторинга текущих VPN-сессий и пользователей с разрешенным VPN из Интернета в раздел "Мониторинг".
Добавлены графики количества подключений по всем типам VPN в "Мониторинг" -> "Графики загруженности" -> "VPN".
Добавлена возможность указания резервного адреса главного офиса для IPSec site-to-site подключений.
Добавлены правила защиты VPN-сервера и веб-интерфейса "GeoIP защита от удаленных подключений" в систему предотвращения вторжений.
Добавлена капча для защиты веб-интерфейса при авторизации пользователей или администраторов из Интернета.
В файрвол добавлена кнопка разрыва текущих сессий. Сессии больше не разываются принудительно при создании или редактировании текущих правил.
Настройки подключения пользователей по IPSec перенесены из раздела "IPSec" в раздел "Авторизация пользователей.
Улучшена работа PPTP и SSTP при большой нагрузке на сервер.

2019 год

Примечания к релизу

При обновлении с версий 7.8.х необходимо вручную перенастроить правила файрвола. При миграции правил все правила, кроме DNAT будут отключены, а некоторые правила нужно будет создать заново вручную либо включить. Из-за изменения логики работы файрвола (слияние "пользовательского" и "системного" файрволов - автоматическая миграция правил "один-в-один" невозможна).
Если вы используете почтовый сервер в Ideco UTM, перед обновлением перенесите, пожалуйста, почтовые ящики на внешний жесткий диск (в разделе Сервисы- Почтовый сервер - Доставка - Накопитель для хранения почты). Или обратитесь для переноса за помощью в техническую поддержку.
Если вы используете квоты трафика, их необходимо будет перенастроить согласно инструкции. Обратите внимания, что в новой версии при превышении квоты трафик автоматически не блокируется, необходимо создавать запрещающие правила для объекта "Превышена квота".
Если необходимо - используете статические привязки IP-адресов для VPN-пользователей (в разделе Сервисы -> Авторизация пользователей -> Фиксированные IP-адреса в VPN). Ранее созданные пулы IP-адресов в "Профилях" с этой версии работать не будут.
Дополнительных администраторов сервера с этой версии нужно создавать на вкладке "Правила доступа" - "Администраторы". Технические администраторы, настроеные в прошлых версиях, не смогут зайти в веб-интерфейс под своими старыми учетными данными.

Новые возможности

Новый файервол. Объединены функции "пользовательского" и "системного" файервола.
Добавлен редактор "Объектов": IP-адресов, диапазонов IP-адресов, сетей, доменов, портов, временных промежутков.
Созданные объекты можно использовать в правилах файервола, а в будущем и других модулей фильтрации трафика.
Для пользователей, квота по трафику для которых превысила заданное администратором значение, возможно создавать правила фильтрации трафика по данному признаку (разрешать или запрещать трафик правилами, ограничивать ширину интернет-канала).
SSL VPN (SSTP) для client-to-site VPN (поддерживается ОС Windows).
Несколько администраторов сервера с возможностью их одновременной работы в веб-интерфейсе.
Добавлена поддержка 4G USB-модемов (Huawei E8372 и других).
Добавлена возможность фиксированной привязки IP-адреса для авторизаций по VPN (PPTP, L2TP/IPsec, SSTP).
Новая версия модуля контроля приложений. Добавлена поддержка протоколов: TikTok, WhatsApp Video, DNSoverHTTPS, DTLS (i.e. TLS over UDP), WireGuard VPN, Zoom.us.

Безопасность

Обновлены ядро операционной системы и все используемые системные пакеты до версий, включающих исправления безопасности.
Система предотвращения вторжений сейчас инспектирует абсолютно весь трафик на внешних интерфейсах.
Обновлен антивирус ClamAV до версии 0.102, включающей обновления безопасности.
Добавлена группа правил "DNS поверх HTTPS" блокирующая возможность обхода DNS-фильтрации через DNSoverHTTPS (DoH) в современных браузерах и стороннем ПО.

Исправления и изменения

Обновлены драйвера для сетевых карт Intel. Добавлена поддержка карт I219-LM, I219-V.
Улучшен интерфейс дерева пользователей.
Ошибки прокси-сервера брендированы.
При превышении количества авторизованных пользователем устройств (три устройства), следующее устройство авторизуется, вместо одного из ранее авторизованных.
Профили переименованы в Квоты.
Улучшена работа модуля интеграции с Active Directory.
Ускорена обработка трафика модулем системы предотвращения вторжений.
Убраны "пулы IP-адресов", использующиеся для назначения IP-адресов пользователям (для VPN появилась возможность статической привязки IP).
Убрана возможность управления сервером из Центральной консоли Ideco.
Убрана возможность использования файла ics_tune.sh.
Убрана "корзина" в дереве пользователей.
Исправлены некоторые ошибки.
Косметические исправления веб-интерфейса.

2018 год

Примечания к релизу

Обновление до версии возможно только с помощью автоматических обновлений.
Настройки контентной фильтрации для пользователей после обновления будут удалены (сохранится только черный и белый список), необходимо их настроить (некоторые категории сайтов будут заблокированы предустановленными правилами). В качестве базы фильтрации с этой версии останется только расширенный контент-фильтр.
При подключении удаленных пользователей по VPN IP-адреса с данной версии назначаются автоматически из назначенного пользователю пула IP-адресов.
Резервирование и балансировку каналов необходимо настроить заново после обновления по инструкции.
В настройках DNS-сервера убрана возможность создания Slave-зон.

Новые возможности

Новый модуль контентной фильтрации (отдельный интерфейс для правил, включающий расшифровку HTTPS-трафика, ускорена работа).
Новый модуль авторизации пользователей. Возможность авторизовать под одним пользователем до 3-х устройств, включая подключения по VPN.
Новый модуль резервного копирования конфигурации. Настройки всех модулей сохраняются в бэкапах.
Новая система резервирования и балансировки каналов. Переключение канала на резервный в течение 2-х минут. Одновременная работа балансировки и резервирования.

Безопасность

Обновлены ядро операционной системы и все используемые системные пакеты до версий, включающих исправления безопасности.
Обновлен модуль системы предотвращения вторжений.

Почтовый сервер

Параметр "Принимать почту от SMTP-серверов по шифрованному соединению удален". При возможности всегда используется шифрование.

Исправления и изменения

Временно убран пользовательский файрвол (он будет возвращен в версии 7.8.1).
Настройки DHCP-сервера перенесены в настройки локальных интерфейсов.
Новые графики загруженности сервера и сети.
Значительно ускорена авторизация пользователей.
Добавлена поддержка любых языков для логинов пользователей.
Ускорена загрузка сервера.
Улучшена работа контроля приложений и ограничения скорости на гипервизорах.

Примечание к релизу

Обновление с диска до данной версии возможно только с версий 7.5.0 и более поздних.
Непосредственно после обновления почтовый сервер может не работать - потребуется какое-то время для конвертации почтовых сообщений в новый формат (до нескольких часов, в зависимости от объема почты).

Новые возможности

Улучшенный модуль управления полосой пропускания: совместная работа с Контролем приложений, поддержка VLAN, поддержка большего количества сетевых карт.
Новая структура веб-интерфейса администрирования.
Новая версия антиспама Касперского с функцией машинного обучения и искусственного интеллекта.

Безопасность

Обновлены ядро Linux и все используемые системные пакеты до версий, включающих исправления безопасности.
Обновлен антивирус ClamAV до версии 0.100.1, система предотвращения вторжений Suricata до версии 4.0.5, модуль защиты от подбора паролей fail2ban до версии 0.10.3.1.
Исправлены потенциальные проблемы безопасности модулей обнаруженные с помощью автоматических анализаторов кода.

Почтовый сервер

Улучшен веб-интерфейс настроек почтового сервера.
Модуль Courier заменен на Dovecot.
Убрана возможность отправки почты через ящики службы безопасности.
Включена возможность работы POP3 по SSL. Но рекомендуется по-возможности использовать шифрование STARTTLS.
Не шифрованные подключения по POP3 и IMAP к локальному интерфейсу больше невозможны, необходимо настроить шифрование в почтовых клиентах.

Антиспам Лаборатории Касперского

Обновлен до версии 8.0.3.30
Усовершенствована технология эвристического анализа: использует машинное обучение с элементами искусственного интеллекта.
Расширена функция модуля Анти-Спам: добавлена защита от уязвимостей Business Email Compromise Detection (BEC). Если в электронном письме обнаружены уязвимости данного типа, в заголовок добавляется метка «bec_detected» и сообщение считается спамом.
Расширена функция модуля Анти-Фишинг: добавлена DMARC-проверка подлинности отправителей сообщений для исключения ложных срабатываний при проверке на фишинг.

Исправления и изменения

Новое имя продукта - Ideco UTM.
Улучшена производительность системы и модулей обработки трафика.
Ускорена загрузка сервера.
Улучшена интеграция с Active Directory (вход в домен, импорт пользователей из групп безопасности, работа с устаревшими версиями Windows Server, автоматическое создание обратных forward-зон в DNS).
Косметические исправления и улучшения веб-интерфейса.
Обновлены драйвера для сетевых карт Intel.

Примечания к релизу

При обновлении с версий 7.3 и ниже, авторизация пользователей через Active Directory будет возможна спустя 10 минут после первой загрузки сервера, т.к. они будут пересинхронизированы с контроллером домена.

Новые возможности

Новая версия антиспама Касперского.
Ускоренная работа отчетов по веб-трафику.

Безопасность

Обновлено используемое ядро Linux, системные и прикладные пакеты.
Обновлен антивирус ClamAV до версии, включающей исправления безопасности.

Почтовый сервер

Добавлена возможность ведения черного списка для почтового сервера.
Убрана возможность управления почтовой очередью из локального меню (сейчас эта возможность доступна в веб-интерфейсе).

Исправления и изменения

Добавлена поддержка Windows 2003 для NTLM-авторизации.
Обновлены драйверы для сетевых карт Intel.
В процесс установки Ideco ICS добавлена возможность задать дату и время на сервере.
Убрана возможность выключать встроенный прокси-сервер и прозрачный режим его работы.
Существенно ускорена работа с БД пользователей.
Исправлено копирование бекапов по SMB-протоколу на некоторые версии Windows.
Косметические исправления веб-интерфейса.
При старте сервера, система берет время из BIOS как UTC. Ранее системой время из BIOS бралось как локальное.

Примечания к релизу

Прекращена поддержка интеграции с Active Directory 2003-ей версии и более ранних (в них не работает NTLM-авторизация пользователей, поддержка будет возвращена в версии 7.5.0).

Новые возможности

Добавлена возможность блокировки майнинга криптовалют.
Добавлена поддержка нескольких доменов Active Directory для интеграции.
На 30% ускорена обработка веб-трафика.
Добавлена возможность отправки логов на удаленный сервер (например, SIEM) по syslog.

Безопасность

Обновлено используемое ядро Linux, системные и прикладные пакеты.
Обновлена система предотвращения вторжений.
Обновлен модуль контроля приложений, добавлены протоколы: YouTubeUpload, ICQ, AppleStore, PlayStore и другие. Улучшена блокировка TOR.
Правила по блокировке Opera VPN перенесены в группу "Анонимайзеры" системы предотвращения вторжений.
Существенно уменьшено количество ложных срабатываний правил предотвращения вторжений.

Почтовый сервер

Обновлен веб-интерфейс почтового сервера до версии, включающей последние исправления безопасности.
В веб-интерфейс добавлено управление почтовой очередью сервера.
Повышена защита почтового сервера от DoS-атак.

Исправления и изменения

Обновлены базы стандартного контент-фильтра.
Ускорен процесс установки.
Оптимизирован подсчет сетевого трафика.
Ускорена загрузка сервера.
Прокси-сервер при прямых подключениях по умолчанию проксирует трафик по всем портам.
Увеличен размер кэш прокси-сервера в оперативной памяти при большом (более 16 Гб) объеме оперативной памяти.
Убрана возможность выключения автоматических обновлений (можно откладывать их на срок до 6 месяцев).
Добавлена возможность Single Sign-On авторизации через Active Directory при заходе на HTTPS-сайты.
Оптимизировано потребление ресурсов модулем контроля приложений.
Улучшена авторизация по IP-адресу при прямых подключениях к прокси (убрана необходимость включения флажка "Постоянно авторизован".
Добавлена возможность захода в веб-интерфейс Ideco ICS неавторизованным пользователям при прямых подключениях к прокси-серверу.
Косметические исправления веб-интерфейса.