一、版本信息 核心代号 | | | | | | | | | | | 1、Portal认证支持CHAP 2、自定义IP地理位置库 3、iWAN服务端分配IPv6地址 4、IP群组流量监控 5、QUIC增强识别 6、增加FPGA网卡驱动 | | 1、TLS处理优化 2、共享限速区分IPv4和IPv6 3、本地账号扩容 4、PPPOE代拨错误日志 5、iWAN服务IP分配 6、MAC认证 7、日志发送 a)增加WAN线路流量日志; b)IP流量日志增加用户名字段; c)日志发送支持例外IP群组; 8、CGNAT动态分配 9、Radius用户名分割 10、NAT优化 11、DHCP服务 12、WEB认证指定认证IP | | | | 1、解决在线用户进入IP档案--连接信息页面,点击策略路由的序号,跳转的界面无任何信息的问题 | | | 1、解决iWAN服务端采用免认证,客户端拨入引发异常的问题 | | | 1、解决编辑流量控制策略时,编辑“外网地址”显示的是编辑“内网地址”的问题 | | 1、解决全局连接参数如果为0,不会写入配置文件的问题; | | | 1、解决网桥网关混合模式部署时,网桥下用户无法自动获取IP的问题 2、解决WAN线路接口档案中TOP应用不能正确显示自定义协议名称的问题 3、解决DHCP WAN线路配满时,偶数线路无法获取IP地址的问题 4、解决DHCPv6 WAN心跳服务地址无法保存的问题 5、解决批量编辑修改线路参数提交后,没有显示修改数量条数的问题 | | | | 1、解决IPv6 NAT配置SNAT地址之后,可能引起崩溃的问题 2、解决NAT可能偶发崩溃的问题 | | | | | 1、解决搜索dynip类型成员时,无法查询到的问题 | | | | | 1、优化流量控制策略组拖动 2、优化分页搜索 3、优化流量统计页面 4、菜单页面调整 | | |
二、新增功能 2.1. PORTAL认证支持CHAP CHAP(ChallengeHandshake Authentication Protocol,挑战握手认证协议)应用在Portal认证时,完整数据交互过程如下图所示,相对于PAP增加challenge的请求和响应,并且在radius流程中,密码的校验与challenge有关,不再和密钥相关联,已达到用户密码加密,防止重放攻击等安全性提升目的。 【说明:Panabit作为BAS,无需配置,自动适配PAP和CHAP。】
2.2. 自定义IP地理位置
1、IP地理位置信息 如下图所示,Panabit支持在会话信息中查看用户访问的目标IP对应的地理位置和运营商信息,方便排查是否有跨运营商访问的情况。 配置方法: ① IP地址位置库获取 ②导入 【对象管理】>【IP地理位置】>【系统库】选择下载文件导入。
2、自定义IP地理位置 在典型如数据中心场景下,自用服务器选用IP地址可能出现与默认库中的IP冲突的情况,因此,增加自定义IP地理位置功能用于自定义IP地理位置。
配置方法: ①添加 【对象管理】>【IP地理位置】>【自定义】>【添加】。 ②导入 【对象管理】>【IP地理位置】>【自定义】>【导入】。 导入文件内容格式要求:IP地址,位置描述 【说明:位置描述为中文时,需使用GB2312编码格式】
2.3. iWAN服务端分配IPv6地址 通常在进行IPv6网络建设中,当用户端需要使用IPv6时,从用户端到出口网关用户流量经过的所有中间设备都要进行IPv6支持的设备改造,带来高昂的升级改造成本。 鉴于Panabit自研高速SD-WAN隧道的高带宽、高稳定性、快速连接、多样化终端接入方式等特点,于用户客户端电脑部署使用【Panabit iWAN客户端】软件,通过iWAN隧道连接到出口位置的Panabit网关,即实现不改变内网设备的基础上实现内网IPv6改造,充分利旧,大幅降低IPv6升级改造的成本。 【说明:当前仅Windows iWAN客户端支持对IPv6分配地址的获取和使用】
配置方法: 在【虚拟专网】>>【iWAN服务】>>【服务列表】中添加/修改iWAN服务。新增IPv6选项开关,开启后即可为Windows客户端分配IPv6地址和DNS。 Windows客户端下载地址:https://download.panabit.com:9443/ecool.php Windows客户端配置方式:打开Windows客户端,点击【设置】>【IPv6设置】,勾选【仅路由IPv6】。【IPv6地址】、【IPv6网关】、【IPv6DNS】不填写则使用iWAN服务端自动分配的地址。
2.4.IP群组流量监控 典型如多分支互联场景中,当需要统计和监控各分支的流量和应用使用情况时,在过往版本中使用【虚拟链路】功能来完成。虚拟链路可以使用IP和网卡接口作为条件定义一条虚拟链路,从而实现流量统计和监控。但是只能最大支持4条的虚拟链路,在分支较多的场景下无法满足使用。 因此,新增IP群组链路功能。该功能以IP群组和接口为条件定义链路,完成流量统计。每条链路跟随一组IP群组,最大可支持IP群组的最大个数,是虚拟链路的PLus版本。为兼容之前使用虚拟链路的用户,虚拟链路继续保留。
配置方法: 在【系统概况】>>【虚拟链路】>>【IP群组链路】>>【添加】根据IP群组和网卡为条件作为
点击 ![](http://data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAACgAAAAiCAMAAAAau2s5AAAAAXNSR0IArs4c6QAAAARnQU1BAACxjwv8YQUAAAJzUExURf////7+//39/v///fv5/f36/v///v7v97PG9Lra+/j////8/fTX8nme7oLF+Oz////4/ODD8GyV7nbE+N/9//v0+MSy72mS7XS/99H0/////PLt9KKp8Iif7o3C9rzo//7////4+uXY8Xiu86ay8KfC86Xc/f3+//3t+dTB8Hi89sTF8qvA8Y7U+vv+//Lk9r2z8aDP+eTY9aO+8X/M+Pr+////+9/a86Cq87zj/fjr9qO88H/E9/T9//z9/vz9///5+cvM8H+u9NDv/f/796+88Im69uf9///6+dbc9sfb+v/q97q/8HO99eD2/v//+L+/8Jey9dj9///o9amz7mar8q7h+/v////d9bS18YvQ+uz7/v//+c/F8KSw9Mv4//r//vbT86Gt7Vmj8Huz9Mzp/Pn+/fj0/OPl+tHk+9Dk+9Hk97e78Jiu87Pm//X+/93N8q2y9Lzr//T8+9fB8azA86zP9aau74+99LfV9tTe9s3a9s7d+Nzv/fb8/+na9KOq72ak8GOk8Gal8Fqb74C89tf7/+rV9LK286rd/e7x9rGz8KHG+On7/Orc8piv8Ham8Xir8Xao8Hqv8p3S+uX1/vfy++Di+svg+srg+svh+srh+9vv/fne9ri98ZbO+Ofa846z8ZjP+f/7/OXp+9Tj+9Hj+9Lj+tPl+97w/f/l973D8XzA9dDD8I6886fd+//s98LJ8Wez8q2u76XJ98fw/v/z+MrN8GOl74Ge8LLY+ub////8+dbR8GyZ7lmg8bjj+/3/////+uDZ8YKY716v9Mbs/Obc8pue74HD+db0/vLp9s3F9MTi/ez7///+/gAAALAjfScAAADRdFJOU/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////8AE0oM8AAAAAlwSFlzAAAXEQAAFxEByibzPwAAAQxJREFUOE/tkzFrwzAQhW8THooxBDoEr0VoyuAtk7H0EwTGi4esHkqHQDHZDMEZJMhibQHvNaTavWjpz6oColDayJpLv+mdJB7vuBP8Y8EscmqBcs5iJ/0kM1k56QVtHt+DHq51WoWERIZr9uQKHzghV1YFdCM2o9hmrvBhZIS3xDoumNL8XACbYsDG3xFqyIo2sgakee8zLXUV01zXcJSd9f4VPCjVNrIHeNYvccL2etq3uTqc3P0XRs6cd7fxHVm/1mMs5Nky/hgTHoq2VQerymYU6QXgpAZV3A7uUTYkn2yERdCV68udTr6B8l36GrJB1Mxd0JZT87CrnfYjPrKQiHZ536Kwb/PnAfgEkkRFXKSPA4cAAAAASUVORK5CYII=) 按钮,可以查看该IP群组下的实时应用流量
点击应用名称,可以查看应用下的内网用户IP
2.5. QUIC增强识别 QUIC(Quick UDPInternet Connections,快速UDP互联网连接),由谷歌在2013年提出的一种基于UDP的全新低延时互联网传输协议。该协议常用于HTTP Over QUIC、游戏、流媒体和VOIP服务等,已成为Google服务网络通信的默认协议。 QUIC基于UDP协议,通过减少TCP三次握手、TLS握手,改进拥塞控制,避免对头阻塞的多路复用,前向冗余纠错等技术,实现大大减少连接建立期间的开销。
QUIC默认使用TLS1.3作为全链路安全,本次更新对QUIC流量进行了解密,可以将QUIC中的域名信息识别出来,关联到对应的会话,并且能实现域名路由。
配置方法: 【应用识别】>【引擎参数】>【QUIC解密】设置为【开启】即可。
2.6. 增加FPGA智能网卡驱动 增加对Panabit 16千M口(8光+8电)智能网卡支持。相比传统的网卡,智能网卡具备更高的性能和端口密度。
三、功能优化 3.1. TLS处理优化 当前一些浏览器(如:Chrome等)新版本使用了TLS新的特性,在访问TLS资源时,增加了Key share参数,该参数通常比较大(典型的通常超过1000字节),由此,导致SNI(Server Name Indication,服务器名称指示)出现在第二个报文。这个变化会影响各个模块对TLS处理的预期效果。识别在TANG R6 的版本已经解决。在这个版本中对以下相关模块功能进行优化。 模块 | | | | | 实现SNI跨数据包后的HTTPS重定向(需搭配WEB认证2.0APP) |
3.2.共享限速 应用背景 对于同时拥有IPv4和IPv6出口的用户,在过往的版本中,共享限速功能将用户账号对应的IP全部用于统一计算。在IPv4和IPv6的出口带宽独立的场景下,为精细化管理,提高带宽利用率和用户体验,共享限速功能支持对内网用户同一账户下针对IPv4/IPv6进行区分限速。 配置方法: 【对象管理】>【账号管理】>【用户组】修改或添加用户组 增加V4 账号带宽限制和V6账号带宽限制,当V6账号带宽限制值是0时,V4和V6的用户共享1个限速。当V6账号带宽限制值不等于0时,V4和V6用户分别共享对应的限速值。 应用白名单配置方法 配置命令 | | floweye rateobj config bypass_app=null|appname, | |
3.3.本地账号扩容 过往版本中,Panabit支持的本地账号最大为10K,在一些大型企业使用场景中,由于巨大的用户账户数,因此,在Panabit配置文件【/etc/PG.conf】中增加【ACCT_POOLSZ】参数,用于指定本地账号最大可支持的数量。 参数 | | | number为10进制数值,最大本地账号数量,默认为10240 |
【注意: /etc/PG.conf为PanaOS系统配置文件,修订后需重启PanaOS生效。】
3.4. PPPoE代拨错误日志 在PPPoE代拨场景中,用户账号在拨号过程中时常会出现意外拨不上的情况,因此,增加拨号错误的日志,便于运维人员可以通过相关日志定位问题。 配置命令 | | floweye ippxy config debug=1 | | | |
3.5. iWAN服务IP分配 在做SD-WAN组网时,通常会给账号绑定一个固定IP,方便服务端和客户端直接写路由策略。 当同个账号多次拨入时,IP分配的优化为,第一个拨入的会分配绑定的IP,后拨入的会从地址池里分配IP,如果地址池没有可分配的IP,则拨入失败。
3.6. MAC认证 为了避免某个IP反复进行MAC认证,对MAC认证进行如下优化: 1)去掉TTL参数,由retry(认证次数)和interval(认证间隔)控制认证时间和周期, 2)在用户管理模块增加remacauth参数来控制MAC免认证强制下线后,是否再发起MAC免认证; 3)为了避免在跨三层环境下做MAC认证时出现过多的无效的认证,IP上线10S后开始MAC认证请求; 配置命令 | | floweye macauth config retry=n interval=m | | floweye ipobj config remacauth=0|1, | 1表示MAC认证强制下线后,再次发起免认证,默认值为0 |
3.7. 日志发送 Panabit发送给PanaLog日志优化如下: ① 增加WAN线路流量日志 ② IP流量日志增加用户名字段 ③ 日志发送黑名单 出于安全考虑,不希望某些终端上网日志被记录,需要在发送日志的时候排除一些IP时使用如下命令。 配置命令 | | floweye logger config blackip=N | N为IP群组ID,0表示取消黑名单。除了流量日志,其它日志都不记录 | ④优化cgnat日志,将其与会话日志格式保持一致
3.8. CGNAT动态分配 CGNAT(Carrier-GradeNAT,运营商级NAT),是一种网络地址转换(NAT)技术,通常由互联网服务提供商(ISP)在其网络中实施。 在CGNAT设备上,会对数据包的源IP地址和端口进行修改,将其转换为一个公共IP地址和端口,然后将数据包转发到互联网上。并且每个私有IP地址的数据包都使用不同的源端口号来区分。 之前版本的动态CGNAT只能配置1个服务,这样无法适应多条WAN上做CGNAT的场景。因此更新了CGNAT,支持多个服务,每条策略路由可以匹配不同的CGNAT服务,以适应多WAN口场景下的CGNAT。 配置方法: 【网络配置】>【路由/NAT】>【CGNAT】动态分配中可配置4个CGNAT对象,配置好NAT地址和端口后,在策略路由里调用对应的CGNAT对象。
3.9. Radius用户名分割 某些radius服务器推送的用户认证报文中,用户名信息带有“\”符号,通常用于表示是将域信息和用户名分隔开。因此在遇到用户名带有“\”时,将“\”前面部分剥离掉。
3.10. NAT优化 对NAT模块做了全面优化,大幅度提升NAT会话新建性能。同时针对UDP协议的分流做了大的改进。对于非首包识别的UDP会话,也能在后续报文中识别成功后正常分流。 配置方法: 【应用识别】>【引擎参数】>【UDP增强代理】设置为【开启】
3.11. DHCP服务 DHCP服务新增QinQ条件匹配,VLAN条件可设置N个VLAN条件满足QinQ条件时,才会响应DHCP服务发现报文。 配置方法: 【网络管理】>>【DHCP服务】>【服务列表】,选择需要开启DHCP服务的lan线路,配置VLAN,格式为外层VLAN/内层VLAN,内外层vlan用/分割,最多支持200组vlan配置。 当使用另一台PA来获取地址时,需正确配置内外层VLAN。
3.12. WEB认证 增加认证IP功能,即只对群组内的IP做认证。认证IP和免认证IP组合情况下,是否需要认证如下表所示,其中,【√】表示命中IP群组,【×】表示未命中IP群组,【-】表示未启用。
四、界面优化 4.1. 优化策略组拖动 为了避免在【行为管理】>【流量控制】>【策略组】直接进行排序拖动时,达不到预期效果。优化拖动规则如下: ① 策略组从下往上拖动,被拖动的策略组停留在拖动后的位置,建议用这个方式进行策略组的拖动; ② 策略组从上往下拖动,拖动到所有策略组最底部,被拖动的策略组停留在最底部; ③ 策略组从上往下拖动,拖动到策略组中间任何位置,被拖动的策略组停留在拖动后的前一个位置;
4.2. 优化分页页面查询 在分页显示的页面中,在任何分页页面查询,都能显示出查询内容。
4.3. 优化流量统计页面 流量统计用户排名自动刷新间隔太短,无法进行排名查看,提供刷新控制选项,并且流量统计流量趋势图增加最大流量、最小流量、平均流量。
4.4. 菜单页面调整
去除【网络设置】>【CGNAT】菜单,合并至【网络设置】>【路由/NAT】
去除【网络设置】>【DHCP中继】菜单,合并至【网络设置】>【DHCP服务】 新增【虚拟专网】>【iWAN用户】菜单;
五、BUG修复 一级分类 | | | | | | | 1、解决在线用户进入IP档案--连接信息页面,点击策略路由的序号,跳转的界面无任何信息的问题 | | | | 1、解决iWAN服务端采用免认证,客户端拨入引发异常的问题 | | | | 1、解决编辑流量控制策略时,编辑“外网地址”显示的是编辑“内网地址”的问题 | | | 1、解决全局连接参数如果为0,不会写入配置文件的问题; | | | | 1、解决网桥网关混合模式部署时,网桥下用户无法自动获取IP的问题 2、解决WAN线路接口档案中TOP应用不能正确显示自定义协议名称的问题 3、解决DHCP WAN线路配满时,偶数线路无法获取IP地址的问题 4、解决DHCPv6 WAN心跳服务地址无法保存的问题 5、解决批量编辑修改线路参数提交后,没有显示修改数量条数的问题
6、解决IPSEC客户端与H3C对接失败的问题 | | | | | | 1、解决IPv6 NAT配置SNAT地址之后,可能引起崩溃的问题 2、解决NAT可能偶发崩溃的问题 | | | | | | | 1、解决搜索dynip类型成员时,无法查询到的问题 | | | | |
六、应用识别
6.1.新增应用
6.2.更新应用
七、下载地址:
标准版:
FreeBSD:
PanabitFREE_TANGr6p1_20240628_FreeBSD9.tar.gz
(4.42 MB, 下载次数: 126)
Linux:
PanabitFREE_TANGr6p1_20240628_Linux3.tar.gz
(4.81 MB, 下载次数: 94)
网吧版:
FreeBSD:
PanabitWB_TANGr6p1_20240628_FreeBSD9.tar.gz
(4.57 MB, 下载次数: 45)
Linux:
PanabitWB_TANGr6p1_20240628_Linux3.tar.gz
(5.05 MB, 下载次数: 44)
ARM:
PanabitWB_TANGr6p1_20240628_arm64.tar.gz
(4.85 MB, 下载次数: 31)
SMB版:
FreeBSD:
PanabitSMB_TANGr6p1_20240628_FreeBSD9.tar.gz
(4.54 MB, 下载次数: 28)
Linux:
PanabitSMB_TANGr6p1_20240628_Linux3.tar.gz
(4.95 MB, 下载次数: 27)
专业版:
FreeBSD:
PanabitOEM_TANGr6p1_20240628_FreeBSD9.tar.gz
(4.66 MB, 下载次数: 123)
Linux:
PanabitOEM_TANGr6p1_20240628_Linux3.tar.gz
(5.37 MB, 下载次数: 103)
ARM:
PanabitOEM_TANGr6p1_20240628_arm64.tar.gz
(4.87 MB, 下载次数: 70)
流媒体版:
Linux:
PanabitMGW_TANGr6p1_20240628_Linux3.tar.gz
(5.05 MB, 下载次数: 24)
ARM:
PanabitMGW_TANGr6p1_20240628_arm64.tar.gz
(4.91 MB, 下载次数: 27)
|