Panabit核心代号“唐r7p9”版本发布

cqh123

一. 新增功能

1.1. VRRP主备切换

1.1.1 功能概述

Panabit TANG r7p9迭代优化原有VRRP设置功能模块，整合VRRP主备切换APP的日志与联动能力，新增独立链路监测能力并重构优先级管控逻辑与前端配置页面，对传统固定优先级 VRRP架构进行升级改造。

与链路健康探测逻辑配套，新版VRRP围绕端口监测、双参数分级优先级、整机待机联动、IPv4/IPv6双栈状态联动切换实现一体化管控。系统依托链路探测功能实时校验绑定链路状态，依据预设逻辑自动切换生效优先级，联动整机待机断流、免费ARP/NA报文下发逻辑，完善事件日志，从而提升故障切换稳定性、双栈协同能力与运维溯源效率。

1.1.2 背景需求

随着组网架构多样化，一主一备、多组负载均衡等场景广泛落地，旧版VRRP部署存在以下问题：

• 故障触发条件分散：VRRP线路与整机故障/单点链路异常无明显联动，用户反馈使用困难；
• 优先级配置固化：旧版仅支持单一定值优先级，无独立故障降级参数，无法自定义故障优先级数值；
• 配置界面不合理：原有VRRP页面布局不直观，监测、优先级配置分散，无独立的端口监测管理面板；
• 切换报文异常：设备主备切换后IPv4接口缺失发送免费ARP报文能力，IPv6接口发送错误NS报文而非标准免费 NA 报文，双栈切换报文不符合协议规范；
• 双栈状态隔离：IPv4与IPv6 VRRP运行状态相互独立，无法实现一方状态变化联动另一方同步切换；
• 故障排查烦琐：链路异常、优先级变更日志分散，缺少统一过滤查询入口。
  

1.1.3 新增功能介绍

Panabit TANG r7p9的VRRP从配置界面、链路监测、优先级、日志报文、业务联动五个维度进行了升级优化。

1.全类型链路监测管控

所有监测与优先级变更统一在VRRP线路接口上配置，同时支持：

• 多类资源接入监测清单：物理网卡、WAN/LAN 线路、WAN 线路群组、链路聚合组；
• 两种监测判定逻辑：全部监测链路故障才变更优先级、任意一条监测链路故障即变更优先级；
• 配套floweye运维管理命令：添加、删除、查看当前线路绑定的监测链路。
  

2.双参数优先级配置，兼容存量配置

每条VRRP线路拆分两套优先级参数：

• 默认优先级：正常链路状态下固定使用，即原配置主备优先级；
• 故障降级优先级：链路异常时启用（参数默认值为 0，默认不生效）保障历史配置无缝兼容；
• 链路监测异常时，线路自动切换使用故障降级优先级；链路全部恢复后，自动切回默认优先级；
• 支持通过系统指令查看线路当前实际生效优先级。
  

3.全新交互UI页面优化

• 全新改版VRRP配置页面，旧版配置界面默认隐藏，仅存量历史配置场景自动展示；
• 在线路详情档案的参数设置区域新增端口监测配置表格，在线可视化管理监测链路；
• 监测事件日志统一并入原有线路日志，系统按照时间先后自动排序。
  

4.协议报文优化整改

• 补齐IPv4报文能力：设备解除待机状态后，静态线路、DHCP线路、LAN内网接口自动发送 IPv4免费ARP报文；
• 优化IPv6切换报文：设备切换为备用角色后发送标准免费NA报文，废弃原有NS报文发送逻辑；
• 针对单条目无法同时跟踪 IPv4+IPv6 链路的历史问题，由配套脚本完成适配处理。
  

说明：IPv6报文遵循规范：源地址为VRRP虚拟IPv6地址、目的地址为全节点组播ff02::1、非请求标记位置0、报文携带VRRP虚拟MAC地址。

5.标准化日志查询

• 所有链路监测、优先级变动事件统一生成专项日志，可通过过滤指令快速筛选相关记录；
• 日志固定格式：记录时间、关联VRRP线路名称、具体事件内容，方便故障定位复盘。
  

6.待机联动规则补充

整机待机触发逻辑沿用原有设计，备用设备切换至备机角色后自动切断全部内外网流量；

单设备多条VRRP线路绑定待机联动。

说明：多VRRP分组负载均衡场景禁止开启待机联动；一主一备组网环境中，两端设备的监测链路配置尽量保持一致，规避非预期切换。

1.1.4 配置方法

1、创建VRRP线路

【网络设置】>>【VRRP】>>【VRRP】>>【+添加】VRRP线路，线路类型有VRRP-IPv4和VRRP-IPv6两种类型：

说明：主备VRRP线路的VRRP ID需保持一致，主机优先级略高于备机。VRRP抢占建议开启，故障发生时设备主备自动切换。

2、配置子页面

【网络设置】>>【VRRP】>>【VRRP】>>点击线路名称即可弹出详细配置子页面：

3、端口监测功能

【网络设置】>>【VRRP】>>【VRRP】>>点击线路名称>>【端口监测】>>【+添加】端口进行监测：

该功能用于主动探测指定线路、网卡的通信状态，当发现线路状态异常时主动调整优先级，触发主备切换，保证网络正常。该功能默认关闭，可选择两种模式：

• 监测的全部线路断开变更优先级；
• 监测的某条线路断开变更优先级。
  

该功能需要开启监测设置优先级的同时添加监测线路才会生效。

4、监测日志

当线路配置端口监测并启用时，监测线路的状态变化和监测条件不满足/满足时触发的优先级变更均会记录为日志：

5、当前状态

【网络设置】>>【VRRP】     >>【VRRP】>>点击线路名称>>【当前状态】>>查看VRRP线路当前状态：

• vrrp_priority（抢占优先级）：这是线路最初设置的优先级，也是线路的默认优先级；
• vrrp_curpriority（当前优先级）：这是线路当前的优先级，初始值为vrrp_priority，当端口监测满足触发条件时值会变更为vrrp_monitor_priority，条件不满足时又变更回vrrp_priority；
• vrrp_monitor_priority（监测失败优先级）：端口监测页面配置的优先级。
  

6、待机联动

【网络设置】>>【VRRP】>>【VRRP】>>【待机联动设置】>>选择一条VRRP线路做待机联动：

• 默认为无联动接口；
• 当指定的待机联动线路状态为Backup时，设备的所有LAN/WAN线路的流入流出会被切断，进入待机状态。
  

当配置线路进行联动时会有“！”作为提示，该图标用于提醒该线路已配置待机联动，线路状态及相关配置需要重点注意，而非表示有异常情况产生：

说明：在配置多VRRP组做多设备负载均衡时，不应开启待机联动。

在使用待机联动时，如果同时存在多条VRRP线路，且设备之间做主备模式，多条VRRP线路的端口监测页面添加的接口应该尽量保持一致，避免不在预期的状态切换。

1.2. IPv6代理访问（IPv6转IPv4）优化

1.2.1 功能概述

Panabit TANG r7p9优化IPv6转IPv4代理转发模块，新增支持内网IPv6地址访问无IPv6解析的地址/域名。

基于DNS代理机制实现无AAAA记录域名自动代为查询A记录并封装IPv6格式DNS应答，新增域名白名单管控与指定IPv6前缀静态NAT转换能力，配套强制6to4转换开关。

系统根据DNS解析结果区分普通代理与强制转换两种工作模式，依靠自定义IPv6前缀完成目的地址NAT剥离，实现纯IPv6内网环境正常访问外网IPv4站点。

1.2.2背景需求

政企、园区全IPv6内网组网逐步普及，大量外网站点仅部署IPv4服务，网关无6to4代理能力存在诸多痛点：

• 纯IPv6内网无法访问无AAAA解析的IPv4站点，业务访问阻断；
• 缺乏域名强制转换策略，部分异常IPv6站点无法灵活切至IPv4链路访问；
  

1.2.3 新增功能介绍

Panabit TANG r7p9 优化DNS代理逻辑，新增IPv6代理访问功能：

1. DNS代理解析逻辑优化

依托DNS代理作为转换实现载体，直连IP报文不纳入处理范围，解析规则如下：

• 收到客户端AAAA查询，DNS应答无AAAA记录（不存在域名、仅返回A记录、无应答字段）时，网关主动发起A记录查询；
  

• 获取IPv4的A地址后，封装携带自定义IPv6前缀的AAAA应答回传给内网客户端。
  

2.自定义IPv6前缀静态NAT转发

• DNS下发的虚拟IPv6地址由指定前缀 + 原始IPv4地址拼接生成；
  

• NAT转发阶段识别目的IP前缀，自动剔除前缀提取原生IPv4地址完成目的地址替换，实现静态6to4转发。
  

3.域名白名单 + 强制转换管控

• 配置域名白名单，针对IPv6源站异常、解析故障的域名，开启强制转换策略；
• 强制模式下，原本可正常IPv6直达的域名全部改为6转4链路访问，报文目的IP统一携带配置IPv6前缀。
  

4.多模式访问效果

• 未配置6转4：无IPv6解析的外网站点，内网纯IPv6终端无法访问；
• 常规代理配置：无AAAA站点正常连通，报文目的IP使用预设IPv6前缀；
• 开启强制转换：原生支持IPv6的域名强制走6to4，报文同样携带指定IPv6目的前缀。
  

5.配置持久化

所有代理规则、前缀参数、白名单、强制转换配置保存后落地生效，设备重启配置自动加载，参数不丢失。

1.2.4 配置方法

【网络设置】>>【路由/NAT】>>【IPv6/v4转换】>>【参数设置】中，选择开启V6/V4转换：

以下是参数说明：

• V6/V4转换：启用IPv6转IPv4地址转换，默认关闭。
• IPv4WAN线路：6转4后的真实IPv4流量，会从该选定WAN线路转发至互联网；必须选择已正常上线的IPv4 WAN线路，否则转换后流量无法出站。
• DNS解析线路：Panabit代理解析域名（补查A记录）时，通过本条线路访问上游DNS服务器；一般选择IPv4可用的WAN线路，保障DNS请求可达。
• 默认DNS：当终端请求域名、原DNS应答无AAAA记录时，Panabit会向此处填写的DNS服务器主动查询A记录。可填写公共DNS、运营商DNS或内网DNS。
• IPv6前缀：Panabit给内网IPv6终端返回的伪IPv6地址格式：本前缀+目标真实IPv4地址（十六进制编码后缀）
  

（1）Panabit收到带该前缀的IPv6报文时，识别为6转4流量，自动剥离前缀、还原出原始IPv4地址，再做NAT转发。

（2）全网需唯一，不可和现有内网/外网IPv6网段冲突。

• 强制转换网站：用于域名强制走6转4，解决部分域名IPv6服务异常问题。
  

未指定：无AAAA记录的域名自动6转4，有正常AAAA记录的域名，优先原生IPv6访问；

指定域名群组：绑定提前创建好的域名群组，组内所有域名强制启用6转4。

相关指令

名称	命令参数	备注
开启DNAT64代理	floweye dnat64 config enable=1 pxy=v4WAN线路ID prefix=V6地址前缀	绑定出网IPv4线路，配置自定义IPv6前缀（用来拼接虚拟目的IPv6、NAT剥离地址）
绑定上游DNS	floweye dnat64 configdns pxy=v4WAN线路ID svr=DNS服务器地址	由网关代查A记录，支撑DNS代理6转4解析
查看域名和解析IP的关联信息	floweye dnat64 debug
群组域名强制6转4	floweye dnat64 configdns forcev4grp=<dgid|dgname>	支持绑定域名群组强制全量6转4，群组内域名无视原生IPv6解析，统一拼接前缀走6转4

二. 功能优化

2.1. 共享检测优化

2.1.1 功能概述

Panabit TANG r7p9优化设备共享控制整体能力，新增两大核心优化功能：

• 新增模糊识别能力，基于流量特征识别技术检测IP后端终端数量，大幅提升共享检测效率；
• 新增支持IP、账号两类管控对象，可分别针对IP、账号配置流控策略与信任豁免规则。
  

2.1.2 场景与解决方案

旧版共享检测仅支持精准硬件信息识别，在多终端、高并发的复杂网络环境下，大批量终端共享筛查耗时久、响应慢；同时旧版共享阻断、信任管控维度单一，无法区分IP与账号管控对象，难以适配不同场景的精细化管控需求。

对此，r7p9针对性迭代优化，新增通用流量特征模糊识别模型，无需精准区分终端类型即可快速统计终端数量，有效提升全网共享检测效率；同时将管控对象扩容，支持分别配置IP、账号的流量冻结阻断策略与信任列表规则，适配不同组网下的共享管控场景，实现网络共享行为更高效、更精细化的管控，兼顾运维效率与业务适配性。

2.1.3配置方法

1、模糊识别

【行为管理】>>【共享检测】>>【参数配置】>>开启【模糊识别】：

该模式下检测出来的终端不区分终端类型：

说明：

当开启模糊识别时：模糊终端或者移动终端数量和PC终端数量之和任一数值先达到预设终端数值时，便认为此IP存在共享；

未开启模糊识别时：移动终端数量和PC终端数量之和达到预设终端数值时，便认为此IP存在共享。

2、流量阻断模式选择

【行为管理】>>【共享检测】>>【参数配置】>>选择【冻结对象】，并开启【IP流量阻断】：

分为两种阻断模式：

1）冻结IP：当检测到IP下面终端数量大于等于配置项设置的【当终端数量】一栏数量时，此时当前IP所有流量都被阻断。

2）冻结账号：冻结账号的前提是Panabit上能够获取到IP对应的账号信息，当检测到账号下面终端数量大于等于配置项设置的【当终端数量】一栏的数值时，此时账号下所有的IP均被阻断。

3、信任列表对象选择

【行为管理】>>【共享检测】>>【信任列表】>>【+添加信任对象】，可选择对象为IP或账号：

4、针对共享用户弹窗提醒

弹窗提醒支持两种模式，一种是NAT/DNAT方式，另外一种是HTTP管控方式。

方式一：通过策略路由实现弹窗，不能开启IP流量阻断

配置步骤如下：

①　【行为管理】>>【共享检测】>>【参数配置】>>关闭【IP流量阻断】，选择【仅统计移动终端】：

说明：

当终端数量应≥2；

当终端数量=1时适用于只允许PC，不允许手机接入的场景。

②　【网络设置】>>【路由/NAT】>>【IPv4】下添加两条策略，一条共享用户的DNS流量正常NAT出网的策略，一条共享用户的其它流量DNAT到Portal的策略，默认出网策略不变：

说明：

Portal需自己搭建。

共享用户呈现出来的提示页面如下所示：

方式二：通过HTTP管控实现弹窗（只能实现访问HTTP网站跳转）

配置步骤如下：

①　【行为管理】>>【共享检测】>>【参数配置】>>开启【IP流量阻断】：

②　【行为管理】>>【HTTP管控】>>【策略管理】下创建策略组，并在【策略调度】下修改默认策略组为该策略组完成调度：

③　【行为管理】>>【HTTP管控】>>【策略管理】>>指定策略组中添加HTTP管控策略：

共享用户呈现出来的提示页面如下所示：

5、针对共享用户限速

【行为管理】>>【流量控制】>>【+添加策略组】先添加策略组，然后在策略组里添加流量控制策略，配置基于共享用户的限速策略：

2.2. 无线优化

2.2.1 功能概述

Panabit TANG r7p9扩展无线加密与防护配置能力：

• SSID配置界面新增802.1X加密方式选型，将无线802.1X认证配置收拢至Panabit统一管理。
• 新增无线入侵防御能力，支持非法SSID扫描上报与无线反制阻断两种工作模式，实现对周边违规无线信号的探测告警与终端接入阻断防护，满足无线安全管控审计要求。
  

2.2.2  场景与解决方案

旧版无线SAC存在运维繁琐与安全缺失问题，802.1X 认证需逐台AP配置，无法统一策略、不适合规模化部署，且设备无无线射频入侵检测能力，私接热点、非法伪 AP 无法管控，存在内网安全隐患。

对此，Panabit T    ANG r7p9 优化无线整体能力：支持网关统一配置802.1X认证策略并全网AP同步下发，对接Radius实现有线无线统一身份准入，简化批量运维，适配大规模无线组网部署。同时上线双模式无线入侵防御，支持非法SSID全网扫描、日志告警摸排；支持无线反制链路层阻断，强制下线非法接入终端、拦截违规无线接入，有效防范私接WiFi、钓鱼AP风险，提升无线网络整体安全性与合规运维能力。

2.2.3  配置方法

【无线AC】>>【SSID管理】>>【+添加SSID】>>选择加密模式为802.1X进行配置：

【无线AC】>>【无线入侵防御】>>【+添加任务】>>选择【开始扫描】开启非法SSID扫描模式，选择【开始反制】开启无线反制模式：

2.3. 服务器负载部分服务器数量最大支持4096

2.3.1 功能概述

Panabit TANG r7p9优化服务器负载模块，原服务器数量最大支持100，现扩容至4096。

2.3.2 场景与解决方案

旧版服务器负载模块接入服务器数量上限为100，无法满足大中型IDC、政企多分支机房、集群业务多节点部署等场景大批量后端服务器接入需求。

对此，r7p9优化服务器数量最大支持扩容至4096，兼容原有存量服务器配置数据，实现大批量业务服务器统一接入调度配置。

WEB界面输入指令floweyebootenv set name=SERVER_POOLSZ val=4096扩充服务器支持数量：

说明：配置重启PanaOS后生效。

相关指令：

名称	命令参数	备注
查看当前支持的最大服务器数量	floweye server stat | grep server_poolsz

2.4. 天翼APP认证关联

2.4.1 功能概述

Panabit TANG r7p9优化嗅探对接模块，对天翼探测APP账号关联进行更新，满足认证对接要求。

2.4.2 场景与解决方案

旧版认证服务器更换后报文格式改变，造成Panabit与天翼APP无法对接。r7p9对此进行重新适配，满足用户需求。

2.4.3 配置方法

WEB界面输入指令floweyezsteduapp config enable=1开启探测功能：

2.5. 服务器名称最大支持31个中文字符

2.5.1 功能概述

Panabit TANG r7p9优化服务器字符显示，原服务器名称最大支持7个中文，现扩容至31个。

2.5.2 场景与解决方案

旧版服务器名称中文字符上限为7，无法满足填写完整业务标识、机房点位、项目备注信息，只能简写命名，易出现服务器名称重名、业务归属辨识度低的问题，日常运维检索、故障定位效率偏低。

对此，Panabit TANG r7p9 优化服务器名称字符显示规则，兼容存量已配置短名称数据，服务器中文名称最大字符扩容至31个，方便精细化归类管理大批量负载服务器。

2.6. 安全组支持floweye配置

2.6.1 功能概述

Panabit TANG r7p9优化安全组配置管理功能，新增floweye指令模块实现安全组自主增删改查，兼容原有AD域同步，支持用户绑定多安全组。

2.6.2 场景与解决方案

旧版安全组仅支持AD域同步配置，无法本地自主维护。r7p9新增floweye独立配置安全组能力并兼容原有AD同步，优化分组绑定规则。在精细化用户权限管控场景下，可通过floweye自主维护安全组，依托安全组定义角色、属性，支持单个用户关联多安全组，实现多维度权限灵活管控。

2.6.3 配置方法

相关指令：

名称	命令参数	备注
添加安全组	floweye pppoeacct config sgadd=sgname
删除安全组	floweye pppoeacct config sgrmv=sgname
查看安全组ID	floweye pppoeippool list parent=sg
将账号添加到安全组里	floweye pppoeacct config sgmap=account-name,  sgid1,sgid2,......
将账号从安全组删除	floweye pppoeacct config sgunmap=account-name,  sgid1,sgid2,......

2.7. 攻击防护的高级配置策略支持Cookie

2.7.1 功能概述

Panabit TANG r7p9优化UniSASE攻击防护高级配置，floweye新增Cookie作为策略唯一标识机制，支持通过策略ID、Cookie双条件查询策略，配置持久化保存。

2.7.2 场景与解决方案

旧版UniSASE攻击防护无Cookie唯一标识能力，r7p9新增Cookie标识机制：UI创建策略不带Cookie，floweye命令创建可携带Cookie；策略支持ID、Cookie两种检索方式，UI常规增删改查不受影响，配置即时落地、设备重启不丢失。

说明：平台仅提供标识能力，Cookie唯一性由对接业务方自行维护。

2.7.3 配置方法

相关指令：

名称	命令参数	备注
攻击防护的高级配置策略支持Cookie	floweye ddos add id= cookie=
以id形式查询到该条策略	floweye ddos get id=
以cookie形式查询到该条策略	floweye ddos get cookie=

2.8. 威胁情报微信告警优化

2.8.1 功能概述

Panabit TANG r7p9优化威胁情报微信告警功能，补齐告警情报类型展示字段，新增告警阈值配置、情报类型白名单开关，支持按IP总威胁量/单类情报数量触发微信推送。

2.8.2 场景与解决方案

旧版威胁情报微信告警缺少情报类型说明，且无告警阈值、情报类型筛选配置，海量威胁命中易造成消息骚扰。

r7p9对此进行优化：

• 微信收到的告警消息携带命中情报类型；
• 支持自定义阈值，按单情报类型计数超限触发微信告警（0表示不告警）：
  

• 支持按需勾选指定情报类型启用告警，达到阈值后推送对应微信提醒：
  

2.9. 域名群组配置特殊字符优化

2.9.1 功能概述

Panabit TANG r7p9优化域名群组名校验，限制群组名称不能包含%*|;,/:"<>?等符号。

2.9.2 场景与解决方案

旧版域名群组名称录入英文逗号无拦截，配置后导出文件报错。

r7p9优化字符规则：

• 创建群组时名称含英文逗号直接拦截禁止新建：
  

• 中文逗号、其余特殊符号允许创建，域名录入完成后群组数据正常导出：
  

2.10. Radius支持NAS-PORT-ID

2.10.1 功能概述

Panabit TANG r7p9优化Radius对接能力，新增基于PPPoE报文Circuit-ID拼装Trunk、QinQ数据生成Radius 87号属性功能，并配套开关控制属性下发。

2.10.2 场景与解决方案

对接场景要求设备依托PPPoE携带的Circuit-ID，附加Trunk与QinQ链路标识，组合封装为Radius87号属性上传AAA。旧版不支持自动拼装生成87号属性字段。

新版本新增开关管控逻辑：关闭monitor_circuit，Radius 报文不带 87 属性：

开启monitor_circuit后自动整合Circuit-ID+Trunk+QinQ内容填充至87号属性并随 Radius报文上送，配置保存后设备重启不失效：

相关指令：

名称	命令参数	备注
开启monitor_circuit	floweye pppoesvr monitor_circuit=1

2.11. LAN口多VLAN支持

2.11.1 功能概述

Panabit TANG r7p9 优化路由模块，新增命令行实现LAN口批量绑定、移除、查询多VLAN；同时优化ARP请求发送逻辑，依据IP对象关联的VLAN信息精准转发报文，减少广播冗余，IPv4/IPv6双栈均适配，配置持久化，重启不丢失。

2.11.2 场景与解决方案

为满足LAN口多VLAN组网需求，版本迭代路由管理能力并优化ARP广播机制，具体实现如下：

• 新增 VLAN 管理命令
  

通过floweye指令管控LAN口与VLAN关联关系；使用命令行管理时，LAN线路Web界面不可配置VLAN。

• 智能 ARP 广播优化
  

WAN侧主动访问LAN网段时，系统会查询IP对象的VLAN跟踪信息：

（1）IP无绑定VLAN，将在 LAN全部VLAN内广播ARP；

（2）IP已记录内外层VLAN标签，则仅在对应VLAN发送ARP，有效降低无效广播。

可通过floweye命令查询IP关联的VLAN数据，该逻辑同步支持IPv6。

• 配置与联动规则
  

删除LAN线路时，其绑定的VLAN关联信息同步清除；所有配置保存后永久生效。

2.11.3 配置方法

相关指令：

名称	命令参数	备注
将LAN口加入到VLAN	floweye rtentry add rtifvlan=5,10-20
将LAN口从VLAN里删除	floweye rtentry remove rtifvlan=5,10-20
可以查看当前LAN口和VLAN的关系列表	floweye rtentry debug
使用命令获取IP对象跟踪到的VLAN信息	floweye ipobj get x.x.x.x | grep vlan

2.12. 自定义威胁情报增加环境变量描述情报类型

2.12.1 功能概述

Panabit TANG r7p9 支持通过环境变量自定义威胁情报类型名称，用户可按需修改自定义情报的展示名称，区分官方情报类型，配置可灵活切换、恢复。

2.12.2 场景与解决方案

原有自定义威胁情报仅固定展示为IP情报、域名情报，无法根据业务场景自定义名称。新版本新增环境变量实现名称自定义：

• 未配置该环境变量时，自定义威胁情报默认显示为IP情报、域名情报；
• 在/etc/PG.conf中配置变量并重启服务后，情报类型替换为自定义名称，支持中英文；
• 版本降级将恢复默认名称，重新升级后自动沿用自定义名称；删除对应环境变量并重启，页面展示恢复至默认状态。
  

2.13. IP代拨模块和深澜对接客户端下线定制DM消息

2.13.1 功能概述

Panabit TANG r7p9 优化IP代拨对接能力，通过新增参数区分下线报文类型，适配深澜对接需求，可按需发送普通下线报文、代拨计费报文及携带下线原因的DM报文，配置重启后保持有效。

2.13.2 场景与解决方案

为满足与深澜系统对接的下线报文交互需求，IP代拨模块扩展offline_notify参数能力，不同参数值对应不同报文逻辑：

• 参数为0（默认）
  

用户下线仅向Radius发送普通下线报文，报文内账号为认证账号，不额外发送代拨相关报文。

• 参数为1
  

用户下线除普通下线报文外，额外向代拨AAA发送计费停止报文，报文携带代拨账号信息。

• 参数为2
  

用户下线同步发送普通下线报文与DM报文，DM报文携带代拨账号，并区分四类下线原因：手动踢线标注、运营商踢线标注、IP老化下线标注、AAA踢线标注。

• 所有参数配置即时生效，设备重启后配置不丢失。
  

2.14. GREWAN线路支持对端地址使用域名

2.14.1 功能概述

Panabit TANG r7p9新增支持GREWAN线路对端地址使用域名配置。

2.14.2 场景与解决方案

旧版GREWAN线路配置仅支持填写IP地址作为对端地址，在运营商线路动态IP、多链路动态切换、分支机构动态入网等场景下，IP变更后需手动修改线路配置，配置维护繁琐、适配性差，无法满足灵活组网的业务需求。

对此，r7p9优化GREWAN线路配置规则，支持对端地址直接使用域名配置，兼容原有IP地址配置方式。可通过域名动态解析适配对端地址变更场景，简化广域网线路运维配置，提升GREWAN组网的灵活性和适配性。

2.14.3 配置方法

【网络设置】>>【LAN/WAN】>>【WAN线路】>>【+添加】GREWAN类型线路时，对端地址可填写为域名格式：

2.15. AX150/AX6088C/PX7C/PX30C背板网卡支持巨帧

2.15.1 功能概述

Panabit TANG r7p9优化AX150/AX6088C/PX7C/PX30C背板网卡能力，支持巨帧（MTU=9000 字节）传输。

2.15.2 场景与解决方案

旧版AX150/AX6088C/PX7C/PX30C背板网卡仅支持标准1500字节MTU，在大文件传输、存储集群、数据库同步、高密度吞吐等场景下，小包数量多、CPU占用高、转发效率低，无法满足高速内网与大容量业务的性能需求。

对此，r7p9优化AX150/AX6088C/PX7C/PX30C背板网卡驱动与转发逻辑，原生支持9000字节巨帧；启用后可减少报文数量、降低CPU负载、提升吞吐量与转发时延，适配大中型IDC、政企内网、存储与数据库集群等高性能业务场景。

2.16. 短信验证码支持8位大小写字母和数字组合

2.16.1 功能概述

Panabit TANG r7p9升级短信验证码规则，支持验证码采用大小写字母+数字混合组合，长度支持8位，提升Portal登录认证安全等级。

2.16.2 场景与解决方案

旧版短信验证码仅支持纯数字形式，字符类型单一、组合范围小，容易被暴力枚举破解，无法满足高安全等级上网准入场景的防护需求。

对此，r7p9重构验证码生成逻辑，兼容原有纯数字配置，新增大小写字母+数字混合格式，长度扩展至8位，大幅降低破解风险，强化短信认证环节安全防护，适配政企内网、银行等高标准准入管控场景。

2.16.3 配置方法

• WEB界面输入指令floweye pppoeacct config smstoken_onlynumber=0开启短信验证码支持8位大小写字母和数字组合；
• WEB界面输入指令floweye pppoeacct config smstoken=手机号码 发送8位大小写字母和数字组合验证码；
• WEB界面输入指令floweye pppoeacct stat | grep smstoken_onlynumber来查看是否开启8位大小写字母和数字组合认证：
  

2.17. DPI引擎新增TLSVPN流量识别控制开关

2.17.1 功能概述

Panabit TANG r7p9优化DPI流量识别引擎，新增TLSVPN流量识别控制开关，完善加密隧道类应用识别能力。

2.17.2 场景与解决方案

旧版DPI引擎无法单独控制TLSVPN流量识别功能，无法根据现场业务需求灵活启停加密隧道检测。部分网络环境存在通过加密隧道类工具绕过内网访问管控的行为，原有引擎缺少专项识别能力，难以对这类加密隧道流量做统一审计与管控。

对此，r7p9新增独立的TLSVPN识别管控配置项，默认不启用该识别能力，管理人员可在页面自主开启识别功能。启用后设备能够精准识别内网TLSVPN隧道流量，支撑流量审计、访问管控等安全策略落地，兼顾设备转发性能与加密流量识别审计两类使用场景。

2.17.3 配置方法

【应用识别】>>【引擎参数】>>【引擎参数】>>开启【敏感隧道检测】：

相关指令：

名称	命令参数	备注
TLSVPN流量识别控制开关	floweye dpi config track_tlsvpn=0|1	0：关闭；1：开启

2.18. DPI引擎新增自定义端口优先级

2.18.1 功能概述

Panabit TANG r7p9对DPI引擎识别优先级逻辑进行优化升级，新增自定义端口规则优先生效模式，实现端口规则与DPI识别优先级的灵活切换。

2.18.2 场景与解决方案

旧版DPI引擎固定以应用特征识别结果为最终判定依据，自定义端口规则优先级较低。针对部分业务需要强制按照自定义端口进行应用归类、策略匹配的特殊场景，原有识别逻辑无法适配。对此，r7p9优化DPI引擎识别优先级机制，支持灵活调整识别优先级，可开启端口自定义优先模式，提升网络业务识别的灵活性和适配性。

2.18.3 配置方法

WEB界面输入指令floweyedpi config custom_first=1开启端口自定义优先于DPI识别：

三. 界面优化

3.1. 安全组相关功能页面新增UI

在【系统概况】>>【在线用户】>>【所有用户】的组织架构页面，增加安全组的显示与过滤：

在【对象管理】>>【账号管理】>>【账号管理】页面新增【安全组】的显示与过滤：

3.2. IP/MAC绑定页面优化

在【对象管理】>>【账号管理】>>【组织架构】页面新增【IP/MAC备注】的显示：

【行为管理】>>【IP/MAC绑定】页面调整到【网络设置】>>【IP/MAC绑定】：

3.3. 策略路由组页面优化

【网络设置】>>【路由/NAT】>>【IPv4】策略组禁用时，新增二次确认提示：

【网络设置】>>【路由/NAT】>>【IPv4】默认策略组禁止编辑：

3.4. iWAN账号组页面优化

【对象管理】>>【用户组】>>选择用户组进行编辑时，过期账号相关功能只针对PPPoE接入方式：

• 【禁止登录】状态下，过期iWAN账号无法登录：
  

• 【允许登录，禁止上网】状态下，iWAN能拨通但无法上网：
  

• 【允许登录及上网】状态下，iWAN账号能正常登录且上网；
  

3.5. UNISASE UI隐藏

Panabit TANG r7p9 新增UNISASE环境变量，适配对接需求，开启后自动隐藏iwan-sr 线路部分配置项及旧流控策略页面，实现界面权限差异化管控。

针对专属对接场景的页面精简需求，版本新增环境变量控制页面显示逻辑：

• 未配置 UNISASE=1 时，iwan-sr 线路所有配置页面完整，增、删、改操作均可正常执行。
  

• 在/etc/PG.conf中添加 UNISASE=1并重启系统后，触发页面隐藏规则：
  

iwan-sr创建页面缺失必要参数、无法正常新建；

编辑页面隐藏 SRPXY 参数与高级配置项，同时默认屏蔽旧流控策略页面。

四. BUG修复

序号	问题描述	解决进度
1	连接数控制和HTTP管控页面导入配置出错	已修复
2	数据通道中包含deny时，流控控制策略调用之后显示异常	已修复
3	域名跟踪单个删除活跃IP失败	已修复
4	流量趋势图点击弹出是连接数趋势图	已修复
5	策略路由筛选显示异常	已修复
6	未开启IPSec模块会也丢弃异常IPSec报文	已修复
7	流控筛选显示异常	已修复
8	SSID模板WPA3参数异常	已修复
9	从外到内的会话，产生的会话日志携带的MAC信息全为0	已修复
10	Radius 168多个IPv6地址匹配异常	已修复
11	重启PanaOS后重复加载同名安全组	已修复
12	威胁情报不匹配http数据	已修复
13	修复策略DNAT，IP为域名时显示不对的问题	已修复
14	IPv6群组无法被流控策略匹配	已修复
15	WAN线路实时流量超4G时统计异常	已修复
16	安全策略匹配异常	已修复
17	IPv6策略路由状态异常	已修复
18	SR报文保活解决SR状态down的问题	已修复
19	vMGT配置异常	已修复
20	PanaOS重启vMGT工作异常	已修复
21	重启设备未自动和NTP服务器对时	已修复
22	SRX界面问题	已修复
23	AX50-SRX300安全路由器缺失页面文件	已修复
24	AX120接口tx hang未reset	已修复
25	安全策略策略组生效时间异常，导致策略不匹配	已修复
26	策略路由的策略组中编辑某条策略的策略ID与其他策略ID重复也能提交成功	已修复
27	显示了SR国密的UI	已修复
28	使用互联网关类型线路，对接IPsec后，路由不通	已修复
29	授权升级许可开始时间在特征库版本发布时间之后，无法升级特征库	已修复
30	连接数控制策略，内网IP未达到策略的连接数，也被控制了。	已修复

五. DPI特征库更新

5.1. 新增应用

1	CoPaw	26	渣打银行	51	小红书直播
2	LobsterAI	27	中银香港	52	光鸭云盘上传
3	Longcat	28	众安银行	53	光鸭云盘下载
4	快手万擎	29	平安银行	54	midjourney
5	纳米AI	30	QQ邮箱的上传下载	55	gemini
6	WindClaw	31	网易邮箱的上传下载	56	lovart
7	BoClaw	32	189邮箱的上传	57	hashkey
8	redclaw	33	16对战平台	58	metamask
9	元气AI	34	星绘AI	59	Grok
10	夏时国际加速	35	秘塔AI	60	商量AI
11	企查查	36	新片场	61	WPS灵犀
12	JVSclaw	37	柚次元	62	蓝莓加速
13	星流	38	百战直播	63	东梨短剧
14	百小应	39	Figma	64	无界
15	STRATUM	40	企鹅体育	65	爱思助手
16	荣耀应用商店	41	新华网视频	66	联想应用商店下载
17	中兴应用商店	42	网易小蜜蜂	67	网易yeah邮箱上传下载
18	三角洲行动	43	抱抱直播	68	Grammarly
19	梦境护卫队	44	小红书上传	69	Notion
20	王者荣耀世界	45	华为商城视频	70	魅玩游戏中心
21	蚂蚁电竞	46	新浪邮箱上传	71	Riot下载
22	联通云盘上传	47	新浪邮箱下载	72	皮皮虾
23	联通云盘下载	48	沃邮箱	73	虎跃加速器
24	花旗银行	49	机战	74	知乎
25	汇丰银行	50	KOOK	75	知乎视频
76	Mercari	86	Llama	96	Cash
77	NetShort	87	Lark	97	Magic Tiles 3
78	DOH应用	88	lark文件传输	98	Etsy
79	Disney视频	89	lark视频会议	99	Tripadvisor
80	fomi	90	亿点云	100	IMDB
81	一云梯机场	91	咪咕悦看	101	BofA
82	AutoClaw	92	锦书在线	102	StarMaker
83	OneClaw	93	火山引擎CDN	103	trivago
84	DuClaw	94	Flightradar24
85	Dumate	95	DoorDash

5.2. 更新应用

1	QClaw	15	番茄畅听/小说	29	迅游加速
2	EasyClaw	16	豌豆荚	30	泡泡加速
3	火山方舟	17	QQIP查询	31	FTP
4	通义千问	18	QQ闪传	32	快直播
5	文心一言	19	900查	33	ikuuu
6	Sharepoint	20	即梦AI	34	天堂
7	5E对战平台下载	21	暴雪补丁下载	35	蓝奏云
8	人人影视	22	lobsterai	36	aladdin云
9	139邮箱	23	元宝	37	穿越火线
10	飞书文件传输	24	三角洲行动	38	大智慧
11	钉钉文件传输	25	文心一言PC版	39	兰博电竞
12	Claude	26	英雄联盟手游	40	快手视频发布
13	穿越火线	27	KK对战平台	41	ORACLE
14	梦幻诛仙	28	韩剧TV	42	googlemail下载

六、下载地址
标准版：
Linux: PanabitFREE_TANGr7p9_20260622_Linux3.tar.gz (5.76 MB, 下载次数: 23)

6 天前 上传

点击文件名下载附件

网吧版：
FreeBSD： PanabitWB_TANGr7p9_20260622_FreeBSD9.tar.gz (5.28 MB, 下载次数: 22)

6 天前 上传

点击文件名下载附件

Linux: PanabitWB_TANGr7p9_20260622_Linux3.tar.gz (5.77 MB, 下载次数: 20)

6 天前 上传

点击文件名下载附件

ARM: PanabitWB_TANGr7p9_20260622_arm64.tar.gz (5.49 MB, 下载次数: 4)

6 天前 上传

点击文件名下载附件

SMB版：
Linux: PanabitSMB_TANGr7p9_20260622_Linux3.tar.gz (5.67 MB, 下载次数: 11)

6 天前 上传

点击文件名下载附件

专业版：
FreeBSD:   PanabitOEM_TANGr7p9_20260622_FreeBSD9.tar.gz (5.42 MB, 下载次数: 11)

6 天前 上传

点击文件名下载附件

Linux:   PanabitOEM_TANGr7p9_20260622_Linux3.tar.gz (6.38 MB, 下载次数: 18)

6 天前 上传

点击文件名下载附件

ARM:   PanabitOEM_TANGr7p9_20260622_arm64.tar.gz (5.76 MB, 下载次数: 15)

6 天前 上传

点击文件名下载附件

流媒体版：
Linux: PanabitMGW_TANGr7p9_20260622_Linux3.tar.gz (6.02 MB, 下载次数: 8)

6 天前 上传

点击文件名下载附件

ARM: PanabitMGW_TANGr7p9_20260622_arm64.tar.gz (5.55 MB, 下载次数: 8)

6 天前 上传

点击文件名下载附件