H3C SECPATH1000F-100F-CMW710-R9660P51 版本说明书

目  录

1 版本信息·· 1

1.1 版本号·· 1

1.2 历史版本信息·· 1

1.3 版本配套表·· 2

1.4 ISSU版本兼容列表·· 4

1.5 版本升级注意事项·· 5

2 硬件特性变更说明·· 6

3 软件特性及命令行变更说明·· 6

4 MIB变更说明·· 6

5 操作方式变更说明·· 8

6 版本使用限制及注意事项·· 8

6.1 使用限制·· 8

6.2 注意事项·· 8

7 License管理·· 9

7.1 License简介·· 9

7.2 License申请及安装·· 9

8 存在问题与规避措施·· 9

9 解决问题列表·· 9

9.1 R9660P51版本解决问题列表·· 9

9.2 R9360P46版本解决问题列表·· 10

9.3 R9360P42版本解决问题列表·· 10

9.4 R9360P39版本解决问题列表·· 10

9.5 R9360P36版本解决问题列表·· 11

9.6 R9360P32版本解决问题列表·· 12

9.7 R9360P27版本解决问题列表·· 12

9.8 R9360P22版本解决问题列表·· 13

9.9 R9360P21版本解决问题列表·· 14

9.10 R9360P19版本解决问题列表·· 15

9.11 F9360P17版本解决问题列表·· 15

9.12 F9360P1212版本解决问题列表·· 16

9.13 F9360P10版本解决问题列表·· 16

9.14 F9360P07版本解决问题列表·· 16

9.15 F9360P05版本解决问题列表·· 16

9.16 F9360P0301版本解决问题列表·· 16

9.17 F9345P18版本解决问题列表·· 17

9.18 F9345P16版本解决问题列表·· 17

9.19 R9345P14版本解决问题列表·· 17

9.20 F9345P11版本解决问题列表·· 17

10 相关资料·· 17

10.1 相关资料清单·· 17

10.2 资料获取方式·· 18

11 技术支持·· 18

附录 A 本版本支持的软、硬件特性列表·· 19

A.1 版本硬件特性·· 19

A.2 版本软件特性·· 19

附录 B 高危漏洞解决问题列表·· 23

B.1 R9660P51及之前版本修复的安全漏洞·· 23

附录 C 软件升级操作指导·· 25

C.1 设备软件简介·· 25

C.1.1 BootWare程序·· 25

C.1.2 启动软件包·· 26

C.1.3 配置文件简介·· 26

C.2 软件升级方式简介·· 27

C.2.1 升级前的准备·· 27

C.2.2 设备升级环境·· 28

C.3 升级启动文件·· 28

C.3.1 通过命令行升级启动文件·· 28

C.3.2 通过Web方式升级启动文件·· 34

C.3.3 通过BootWare菜单升级启动文件·· 36

C.4 升级BootWare文件·· 40

C.4.1 通过命令行升级BootWare文件·· 40

C.4.2 通过BootWare菜单升级BootWare文件·· 40

C.5 软件升级失败的处理·· 45

附录 D 进入BootWare菜单·· 46

D.1 BootWare菜单的快捷键·· 46

D.2 进入BootWare基本段·· 46

D.2.1 修改串口参数·· 47

D.2.2 升级BootWare扩展段·· 48

D.2.3 升级完整的BootWare· 48

D.2.4 启动BootWare扩展段·· 48

D.2.5 启动备份的BootWare扩展段·· 49

D.2.6 进入基本段辅助子菜单·· 49

D.3 进行内存测试·· 49

D.4 进入BootWare扩展段·· 49

D.4.1 BootWare扩展段主菜单·· 50

D.4.2 配置密码恢复功能·· 52

D.4.3 启动应用程序·· 52

D.4.4 串口子菜单·· 53

D.4.5 以太网配置子菜单·· 53

D.4.6 文件控制子菜单·· 55

D.4.7 恢复出厂配置启动·· 58

D.4.8 忽略系统配置文件·· 59

D.4.9 BootWare操作子菜单·· 60

D.4.10 跳过console口认证·· 60

D.4.11 存储器操作子菜单·· 61

D.4.12 进入BootWare扩展段辅助子菜单·· 61

D.4.13 格式化文件系统·· 62

表目录

表1 版本信息表... 1

表2 版本配套表... 2

表3 ISSU版本兼容列表... 4

表4 MIB文件变更说明... 6

表5 F1000-E-VG/F1000-V70/F100-A-G3/F100-E-G3/F100-A80-WiNet设备系统配置表... 19

表6 产品软件特性... 19

表7 软件升级方式简介... 27

表8 默认Web登录信息表... 35

表9 设置以太网口参数显示信息描述表... 37

表10 设置以太网口参数显示信息描述表... 39

表11 设置以太网口参数显示信息描述表... 42

表12 设置以太网口参数显示信息描述表... 44

表13 系统保留的快捷键... 46

表14 BootWare基本段菜单项说明... 47

表15 BootWare基本段辅助子菜单说明... 49

表16 BootWare扩展段主菜单说明... 51

表17 配置密码恢复功能... 52

表18 串口子菜单说明... 53

表19 以太网配置子菜单说明... 54

表20 以太网口参数设置说明... 55

表21 文件控制子菜单说明... 55

表22 BootWare操作子菜单说明... 60

表23 存储器操作子菜单说明... 61

表24 扩展段辅助子菜单说明... 61

本文介绍了R9660P51版本的特性、使用限制、存在问题及规避措施等，在加载R9660P51版本前，建议您备份配置文件，并进行内部验证，以避免可能存在的风险。

本文档需和随版本发布的《H3C SECPATH1000F-100F-CMW710-R9660P51 版本说明书（软件特性变更说明）》，以及本文“相关资料”中的文档一起配合使用。

1  版本信息

1.1  版本号

版本号：Comware software, Version 7.1.064, Release 9660P51

注：该版本号可在命令行任何视图下用display version命令查看。

1.2  历史版本信息

表1 版本信息表

1.3  版本配套表

表2 版本配套表

示例：查看设备版本和Bootware版本号方式如下：

<H3C> display version

H3C Comware Software, Version 7.1.064, Release 9660P51                         

Copyright (c) 2004-2024 New H3C Technologies Co., Ltd. All rights reserved.    

H3C SecPath F1080 uptime is 0 weeks, 1 day, 0 hours, 13 minutes                

Last reboot reason: User reboot                                                                                                                                

Boot image: flash:/f1000fw-cmw710-boot-R9660P51.bin                            

Boot image version: 7.1.064, Release 9660P51                                     

Compiled Nov 20 2024 14:00:00                                                

System image: flash:/f1000fw-cmw710-system-R9660P51.bin                        

System image version: 7.1.064, Release 9660P51                                   

Compiled Nov 20 2024 14:00:00                                                                                   

SLOT 1

Uptime is 0 weeks, 1 days, 0 hours, 13 minutes                                 

CPU type: Multi-core CPU                                                        

DDR3 SDRAM Memory      16382M bytes                                            

Board PCB        Version:Ver.A                                                 

CPLD_A           Version:  1.0                                                  

CPLD_B           Version:  1.0                                                 

Basic  BootWare  Version: 2.06                                                 

Extend BootWare  Version: 2.06                                                 

Board PFC        Version:Ver.A                                                 

NandFlash PCB    Version:Ver.A                                                 

HD PCB           Version:Ver.A                                                 

[SubSlot 0]16GE+8SFP+2XGE  (Hardware)Ver.A, (Driver)1.0, (Cpld)1.0

1.4  ISSU版本兼容列表

ISSU（In-Service Software Upgrade，不中断业务升级）升级分为兼容性升级和不兼容性升级。由于18个月以上的版本不进行兼容性验证，下表仅列出本版本与18个月以内的历史版本之间的ISSU升级方式。关于ISSU的详细介绍，请参见与设备配套的“基础配置指导”中的“ISSU”。

表3 ISSU版本兼容列表

1.5  版本升级注意事项

(1)      为保证硬件兼容性，不建议将设备出厂软件版本降级使用。

(2)      关于手工升级AV/URL特征库的使用说明：官网AV和URL区分大小库，名称中包含h的为大库，否则为小库。比如V7-AV-H-1.0.68.dat为大库，V7-AV-1.0.68.dat为小库。用户手工升级AV和URL特征库时，设备内存8GB以上，同时存储介质(Flash、SD卡、CF卡等)容量为1GB以上才能默认升级大库，否则只能默认升级小库。

(3)      IRF设备通过ISSU从不支持安全策略的版本升级到支持安全策略的版本，安全策略配置没有自动转换，必须整机重启后才能转换。

(4)      ISSU升级前，应确认当前加载的boot版本和system版本一致，否则容易导致ISSU升级失败。

(5)      ISSU升级后，当两个版本特性模块有差异时，需要清除浏览器缓存，Web才能正常显示配置信息。

(6)      根据命令display version comp-matrix的执行结果，查看Upgrade Way字段可以判断新版本的ISSU升级策略是否支持兼容升级。

(7)      E9628P05和之前的版本之间不支持ISSU升级。

(8)      F9660P14及以后的版本，与F9660P14之前及F9660P12XX例外版本之间都不支持ISSU兼容升级，F9660P14即为ISSU基线版本。

(9)      R9360P30和之后的版本支持ISSU，但是和之前的版本不支持ISSU。

(10)   在RBM双机情况下，F9660P10及之前的版本（不包含F9660P10）不支持兼容升级，升级过程，请参考H3C文档中心相关升级指导文档。

(11)   解决相关密码算法强度不足引发的漏洞问题之后，原来版本携带的INODE客户端（默认使用TLS1.0协商）不能成功登录SSLVPN网关，需要使用的新的INode（E0582之后)

2  硬件特性变更说明

无。

3  软件特性及命令行变更说明

本版本无新特性变更。有关本版本及历史版本的软件特性及命令行的变更信息说明，请参见随版本发布的《H3C SECPATH1000F-100F-CMW710-R9660P51版本说明书（软件特性变更说明）》。

4  MIB变更说明

表4 MIB文件变更说明

5  操作方式变更说明

无。

6  版本使用限制及注意事项

在更新软件版本之前，强烈建议您通过《H3C SECPATH1000F-100F-CMW710-R9660P51 版本说明书（软件特性变更说明）》了解版本间的软件特性变更情况，评估变更可能对业务造成的影响，同时请查阅相关的配套资料。

日常使用设备时，请注意以下事项，否则容易导致设备异常或者配置失败：

6.1  使用限制

(1)      相同型号设备才支持IRF。

(2)      配置IRF时，接口类型需保持一致。

(3)      接口卡不支持配置IRF。另外也不支持热插拔，如果热插拔，容易导致整机损坏。

(4)      光口卡只支持强制模式，不支持自协商模式。

(5)      万兆光口不支持插千兆光模块。

(6)      设备扩展槽（槽位1、2）均为低速槽位，低速槽位提供2GE带宽。设备前面板固定口较多，请优先采用面板口进行配置，如果接口数量仍不能满足使用，再选择配置扩展接口卡。

6.2  注意事项

(1)      浏览器支持Chrome 40及以上版本、Firefox 19及以上版本、Internet Explorer 10及以上版本。

(2)      请确保CLI的编码格式为GB18030，否则Web页面显示会出现乱码。

(3)      从F9323P01版本开始支持安全策略，在Web上不支持原域间策略配置，之前版本配置的域间策略在新版本仍然生效，但是无法在Web上查看，并且一旦配置了安全策略，原域间策略将失效。可以通过命令转换，实现域间策略到安全策略的配置变更。具体配置/命令请参见配套的配置/命令手册中的“安全策略”特性介绍。

(4)      不支持Web与命令行混用，对于同一个特性模块，不能既使用命令行，又使用Web进行配置。

(5)      SSL VPN Web接入方式访问微信、支付宝、hao123等页面，部分内容没有做URL改写，导致登录或者页面显示失败。

(6)      F9360P1212开始支持全局NAT，但是目前不支持VPN和dns-mapping；仅支持新开局，不支持替代接口NAT。

(7)      由于全局NAT只能根据FIB表来确定出安全域，所以匹配PBR或者llb转发的流量使用全局NAT进行地址转换时，不能使用出安全域作为匹配项，否则不能命中全局NAT规则或者出现appchange/配置变更时业务会中断。

(8)      F9360P1212开始支持RBM，但不支持Context；R9360P19版本开始同时支持RBM+Context。

(9)      从R9660P21开始，报表订阅页面的邮件服务器地址支持IP地址或主机名。

(10)   RBM运行备不能处理sslvpn拨号流量。

(11)   主接口和子接口的MAC地址需要保持一致。

(12)   解决相关密码算法强度不足引发的漏洞问题之后，原来版本携带的INODE客户端（默认使用TLS1.0协商）不能成功登录SSLVPN网关，需要使用的新的INode（E0582之后)。

(13)   配置IRF堆叠后，性能会比较低，建议配置RBM。

7  License管理

7.1  License简介

License即授权，指新华三技术有限公司授予用户使用特定软件功能的合法权限。

产品需要通过License授权的软件功能以及License授权的相关属性，请参见产品配套的《H3C SecPath F1000[F5000]系列防火墙产品 License支持情况说明》和《H3C SecPath F100系列防火墙产品 License支持情况说明》。

7.2  License申请及安装

H3C网站提供License的激活申请、设备授权迁移申请等功能：

http://www.h3c.com/cn/License

有关License申请、激活文件安装、License迁移等操作的使用指导及详细信息，请参见《H3C 安全产品 License注册演示视频》、《H3C 安全产品 License注册演示图解》、《H3C 安全产品 License注册演示典型配置举例》和《H3C 安全产品 License使用指南》。

H3C提供了License相关的FAQ，如您在操作过程中遇到问题，可查阅《H3C 安全产品 License注册用户FAQ》。

8  存在问题与规避措施

1. 202203221131

·              问题现象：可能存在多定制问题导致版本无法启动成功。

·              问题产生条件：小内存设备加载D060SP分支版本。

·              规避措施：避免大配置下启动设备。

9  解决问题列表

9.1  R9660P51版本解决问题列表

1. 202411150458

·              问题现象：正反流量未走保持上一跳从同一个接口转发。

·              问题产生条件：虚墙等价多出口开启ipv4和ipv6保持上一跳，打AFT流量。

2. 202411050082

·              问题现象：两台设备重启完成后，备设备变成主，原本的主框设备部分接口配置和部分安全域配置丢失。

·              问题产生条件： 备设备合入堆叠时。

3. 202409290905

·              问题现象： 自动生成NAT命令。

·              问题产生条件：设备重启后。

4. 202409061687

·              问题现象： NAT地址残留。

·              问题产生条件：接口配置地址和vrrp，undo之后重新配置一遍，disable 全局NAT策略后。

5. 202311270997

·          问题现象：基于模糊域名的功能不生效，可以通过将模糊域名改成精确域名来规避。

·          问题产生条件：地址对象组中模糊域名的地址old标记不能刷新。 导致老化时间一到全部删除，没有下发地址组对象。

9.2  R9360P46版本解决问题列表

无。

9.3  R9360P42版本解决问题列表

1. 202312052180

·              问题现象：设备会概率出现卡顿现象。可以通过配置命令undo cfg-change log enable，关闭所有模块的配置日志进行规避。需要注意的是：如配置了这条命令，会导致RBM无法进行备份。如果需要进行RBM备份，需要重新配置命令cfg-change log enable。

·              问题产生条件：当设备有大量的安全策略、ACL规则等大配置下发时。

9.4  R9360P39版本解决问题列表

1. 202308232731

·          问题现象：nat66配置丢失。

·          问题产生条件：设备配置nat66功能，从D045SP分支升级到D060SP分支。

2. 202308140047

·              问题现象：偏移量为0时计算偏移恰好是8字节和分片扩展头长度一样，而非0场景偏移值错误获取到异常协议号、源目端口号。

·              问题产生条件：IPv6分片报文在安全策略匹配提取报文要素过程，错误使用了扩展头部的Reserved octect字段作为后续查询的偏移变量，

3. 202306021249

·              问题现象：静态路由联动control-packet方式bfd，设备持续报bfd日志。

·              问题产生条件：配置静态路由，并配置联动control-packet方式bfd。

4. 202303180103

·              问题现象：设备型号，版本，补丁的mib oid值采集不到，需要新增。

·              问题产生条件：华三设备被第三方网管管理，进行采集设备型号，版本，补丁的mib oid值。

5. 202309070275

·              问题现象：RBM在主上配置完，自动同步给备机之后，不会自动执行save保存。

·              问题产生条件：RBM在主上配置完，自动同步给备机之后，不会自动执行save保存。

6. 202308250059

·              问题现象：设备url过滤开启https流量过滤功能，https流量无法被拦截。

·              问题产生条件：设备配置url过滤开启https流量过滤功能，构建匹配条件的https流量。

7. 202208150532

·              问题现象：tcp协议的IP信誉功能不可用。

·              问题产生条件：开启TCP重组功能，以及IP信誉功能。

202108100820

·              问题现象：不定时出现重启。

·              问题产生条件：设备运行SSL VPN。

9.5  R9360P36版本解决问题列表

1. 202306061210

·              问题现象：设备异常重启，堆叠分裂。

·              问题产生条件：堆叠环境下长期运行的设备，配置ipsec，并配置周期DPD，业务流量下reset ike sa，然后重启iked进程。

2. 202306020881

·              问题现象：设备cpu使用率高。

·              问题产生条件：设备配置转发ipsec加解密业务流量。

3. 202305231234

·              问题现象：设备不支持超过60个字符的长域名。

·              问题产生条件：设备需配置超过60个字符的长域名。

4. 202305160978

·              问题现象：设备转发特殊rtsp流量时，异常堆叠分裂重启。

·              问题产生条件：堆叠设备下，配置nat并开启nat alg rtsp功能，转发报文载荷transport传输协商字段里面有多个destination或多source字段的rtsp流量。

5. 202305150734

·              问题现象：设备nat outbound easy-ip port-range配置命令文本恢复失败。

·              问题产生条件：设备nat outbound easy-ip port-range配置，保存配置，然后进行文本方式配置恢复。

6. 202304070974

·              问题现象：设备web页面响应慢。

·              问题产生条件：设备配置引用uflt ips av的应用安全策略。

7. 202302210316

·              问题现象：设备配置基于域名的负载均衡功能不生效。

·              问题产生条件：设备配置基于域名的负载均衡功能，对于特定dns流量此功能不生效。

8. 202207220882

·              问题现象：特征库自动升级失败。

·              问题产生条件：设备中存在大量内存碎片时自动进行特征库升级。

9.6  R9360P32版本解决问题列表

1. 202211151880

·              问题现象：设备删除地址对象组，命令行卡住。

·              问题产生条件：设备配置地址对象组并在ACL中引用。

2. 202301130123

·              问题现象：设备web界面重复弹窗，导致概览页面卡死。

·              问题产生条件：反复操作设备概览页面，问题概率出现。

3. 202301092039

·              问题现象：设备hwtacacs认证失败，web登陆失败。

·              问题产生条件：设备配置hwtacacs认证，进行hwtacacs认证并web登录。

4. 202301091826

·              问题现象：登录设备web，web页面显示空白。

·              问题产生条件：设备用户配置系统自带的规则下定义规则，并使用这个用户登录设备web。

5. 202301130577

·              问题现象：设备配置域名信誉，流量匹配命中域名后动作未生效。

·              问题产生条件：设备配置域名信誉，将该域名加入例外，然后修改该域名所属攻击分类的动作，再将该域名移出例外。

6. 202210191379

·          问题现象：因NAT ALG RTSP默认开启，特殊RTSP报文进入设备，ALG业务处理时产生异常，导致设备重启。

·          问题产生条件：设备单机组网，业务做NAT/AFT ，并默认开启NAT/AFT ALG 功能。

9.7  R9360P27版本解决问题列表

1. 202203011175

·              问题现象：安全策略加速卡在RCU_wait，加速事件堆积，导致安全策略配置变更无法下内核。

·              问题产生条件：设备上配置包含有大量域名的对象组，并在安全策略引用，并配置dns server。

2. 202201171756

·              问题现象：没有变动配置文件的情况下更新了oid节点hh3cCfgRunModifiedLast的值。

·              问题产生条件：安全策略引用时间对象触发了安全策略更新DBM。

3. 202208090039

·              问题现象：主设备重启。

·              问题产生条件：RBM环境下，设备默认开启了丢包会话功能，业务流量下在主设备上反复重启自定义context。

4. 202207180312

·              问题现象：vrrp双机组网下出现ipv4的vrrp双备问题。

·              问题产生条件：设备内存门限下，反复重启vrrp、rbm进行拷机测试。

5. 202207121157

·              问题现象：设备ping直连下一跳首包丢包。

·              问题产生条件：ping流量匹配NAT outbound且ping操作的源地址指定为VRRP虚地址。

6. 202206281707

·              问题现象：RBM备设备升主需要10秒。

·              问题产生条件：RBM双机组网下，主设备断电重启。

7. 202205180548

·              问题现象：安全策略会显示重复的两条rule规则。

·              问题产生条件：安全策略先引用不存在的profile，再创建此profile，然后进行此条规则的删除和新增。

9.8  R9360P22版本解决问题列表

1. 202111120378

·              问题现象：建议手机号输入框取消11位数等限制。

·              问题产生条件：亿美短信网关支持国际手机号。

2. 202202250905

·              问题现象：上线用户数只有4个。

·              问题产生条件：脚本反复使能/去使能MAC认证，Radius方案下满配，测试仪打入4k未知源mac进行MAC认证。

3. 202112161429

·              问题现象：无法发送邮件。

·              问题产生条件：邮件服务器中邮件服务器地址配置为域名方式时。

4. 202202210546

·              问题现象：一段时间后，设备出现ntopd内存占用很高。

·              问题产生条件：插入硬盘，打入源目IP变化数量较多的流量，开启流量日志和会话统计。

5. 202201280915

·              问题现象：后报CLI PlugIn license  Register Cmd Failed。

·              问题产生条件：IRF主备组网，D060SP18版本ISSU升级到D060SP20版本过程中，从设备更新完版本，主设备执行issu run switchover主备倒换重启。

6. 202112220320

·              问题现象：RBM连接无法建立。

·              问题产生条件：配置RBM，先配置RBM为双主模式，再配置控制通道使用IPv6地址。

7. 202203181737

·              问题现象：设备存在OpenSSL BN_mod_sqrt 拒绝服务漏洞（CVE-2022-0778）

·              问题产生条件：设备进行系统漏洞扫描。

9.9  R9360P21版本解决问题列表

1. 202110291292

·              问题现象：设备异常重启。

·              问题产生条件：设备处理IPv4异常报文时。

2. 202111110695

·              问题现象：有0x81d0049(sslvpn)内存泄露。

·              问题产生条件：反复点击发送短信验证码但不进行登录操作。

3. 202112310557

·              问题现象：SSH进程异常生成core文件。

·              问题产生条件：设备进行系统漏洞扫描。

4. 202201040413

·              问题现象：扫描结果存在FTP Privileged Port Bounce Scan高危漏洞。

·              问题产生条件：设备启用多种协议后，使用Nessus软件扫描。

5. 202201181541

·              问题现象：IPsec流量会刷新会话接口信息，后续协商报文被ASPF丢弃。

·              问题产生条件：穿越NAT模式IPsec隧道、域间策略放通了IPsec外层口（untrust）到local，总部未配置any到local域间策略，内层地址互ping。

6. 202201190694

·              问题现象：NTP时钟同步失败，原因为：软件平台对于三字节以上的字符+数字格式认为合法，但是OS会裁剪只认为字符合法，需要修改成：平台增加对于glibc时区规范的限制，三字节以上的字符串+数字格式认为不合法。

·              问题产生条件：设备配置NTP时钟同步。

9.10  R9360P19版本解决问题列表

1. 202107281498

·              问题现象：再次堆叠融合后出现基于域名的安全策略偶发不通。

·              问题产生条件：堆叠环境下，配置大量域名形式的地址对象组，设备上能正常解析，然后把堆叠备设备重启。

2. 202105060373

·              问题现象：导致备框内存泄露。

·              问题产生条件：堆叠环境下，开启保持上一跳功能ip last-hop hold和保持上一跳备份功能last-hop backup enable，如果切换了正向报文的入接口，保持上一跳热备处理会有问题。

3. 202106211421

·              问题现象：IPSec SA协商不起来。

·              问题产生条件：IRF堆叠环境下，建立大量IPSec SA后流量下主备倒换。

4. 202111251814

·              问题现象：身份识别LDAP导入用户用户组功能异常。

·              问题产生条件：防火墙SSL VPN功能与LDAP对接测试。

5. 202112010908

·              问题现象：设备出现重复排除地址配置。

·              问题产生条件：对象组引用排除地址，重命名对象组后，删除排除地址，重新配置。

9.11  F9360P17版本解决问题列表

1. 202108280160

·              问题现象：设备会重启。

·              问题产生条件：访问SSL VPN网关的报文中携带svnp_rewrite_code字段时。

2. 202107220778

·              问题现象：设备存在内存泄漏现象。

·              问题产生条件：Web概览中流量实时应用排行以及流量实时用户排行页面开启实时采集后，进行刷新页面的操作。

3. 202107151060

·              问题现象：设备存在ntopd内存泄漏现象。

·              问题产生条件：Web流量日志开启日志聚合，打入流量。

4. 202109020467

·              问题现象：设备出现异常重启。

·              问题产生条件：在新建并发打流中反复配置长连接命令session persistent acl 3000 aging-time 0。

5. 202109220429

·              问题现象：配置失败，设备不支持after参数。

·              问题产生条件：安全策略移动时，数据after参数。

6. 202110080402

·              问题现象：查看失败，设备暂不支持IPsec隧道的数据速率统计功能，需要新增支持，并且能够显示信息用于显示受IPsec隧道保护的数据的发送和接收速率。

·              问题产生条件：查看IPsec隧道的数据速率统计信息。

9.12  F9360P1212版本解决问题列表

1. 202107090909

·              问题现象：web https-authorization username配置失效，导致登录Web失败，xmlcfgd进程异常，主控CPU耗尽。

·              问题产生条件：证书认证方式登录设备Web，二进制配置恢复后。

2. 202107220895

·              问题现象：存在内存泄漏现象。

·              问题产生条件：Web概览中流量实时应用排行以及流量实时用户排行页面开启实时采集后刷新页面。

3. 202107151103

·              问题现象：存在ntopd内存泄漏。

·              问题产生条件：Web流量日志开启日志聚合，打入流量。

9.13  F9360P10版本解决问题列表

无。

9.14  F9360P07版本解决问题列表

无。

9.15  F9360P05版本解决问题列表

无。

9.16  F9360P0301版本解决问题列表

1. 202006220304

·              问题现象：安全策略进程卡死，安全策略命令行和web无反应。

·              问题产生条件：堆叠环境命令行跑脚本查看安全策略，同时在web界面移动安全策略。

9.17  F9345P18版本解决问题列表

1. 202008040820

·              问题现象：导致iNode能连接上，但没有地址和掩码，资源也不能访问。

·              问题产生条件：iMC分配的固定IP地址是一个广播地址，设备未做检测。

9.18  F9345P16版本解决问题列表

1. 202006041012

·              问题现象：对象组挂死，进行对象组相关操作设备卡住。

·              问题产生条件：配置相同模糊域名的对象组，删除第一个。

9.19  R9345P14版本解决问题列表

1. 202003230027

·              问题现象：千兆光口无法自适应成百兆口。

·              问题产生条件：在设备上的千兆光口安装百兆光模块。

2. 201911160236

·              问题现象：系统提示“操作失败，请检查邮件服务器配置。”，测试邮件服务器为qq没问题，smtp.163.com和smtp.mxhichina.com失败。

·              问题产生条件：在“系统 > 报表设置 > 邮件服务器”页面，设置邮件服务器，在创建本地用户页面，勾选“设置为随机密码”，输入收件人地址后点击确认。

3. 202003030643

·              问题现象：设备异常重启。

·              问题产生条件：DPI模块处理异常SIP报文时。

4. 202003170454

·              问题现象：千兆光口无法自适应百兆速率。

·              问题产生条件：千兆光口插入百兆光模块后。

9.20  F9345P11版本解决问题列表

·              首次发布，无问题列表。

10  相关资料

10.1  相关资料清单

·              H3C SecPath F1000-V系列视频网关 安装指导

·              H3C SecPath F100-WiNet系列防火墙 安装指导

·              H3C SecPath F100-X-G3[F1000-X-G3]系列防火墙 安装指导

·              H3C SecPath 防火墙产品 配置指导(V7)

·              H3C SecPath 防火墙产品 命令参考(V7)

·              H3C 安全产品 日志信息参考(V7)

·              H3C SecPath系列防火墙 Web典型配置演示视频(完整版)

·              H3C 防火墙产品 Web配置指导(V7)

·              H3C SecPath 系列防火墙 配置图解(基础版)

10.2  资料获取方式

您可以通过H3C网站（www.h3c.com）获取最新的产品资料：

(1)      请访问网址：http://www.h3c.com/cn/Technical_Documents；

(2)      选择产品类别和产品型号，即可查询和下载与该产品相关的手册。

11  技术支持

用户支持邮箱：[email protected]

技术支持热线电话：400-810-0504（手机、固话均可拨打）

网址：http://www.h3c.com

附录 A 本版本支持的软、硬件特性列表

A.1 版本硬件特性

表5 F1000-E-VG/F1000-V70/F100-A-G3/F100-E-G3/F100-A80-WiNet设备系统配置表

A.2 版本软件特性

表6 产品软件特性

附录 B 高危漏洞解决问题列表

B.1 R9660P51及之前版本修复的安全漏洞

CVE-2017-3735

攻击者可利用该漏洞绕过安全限制，执行未授权的操作。

CVE-2019-3855

libssh2 输入验证错误漏洞libssh2是一款实现SSH2协议的客户端C库，它能够执行远程命令、文件传输，同时为远程的程序提供安全的传输通道。

HSVD-201904-001

TCP/IP SYN + FIN包过滤漏洞，远程主机不会丢弃设置了FIN标志的TCP SYN数据包。根据您使用的防火墙类型，攻击者可能会使用此漏洞绕过其规则。

HSVD-201902-001

远程主机利用TCP timestamp漏洞，获取正常上线运行时间。

CVE-2019-548

Linux kernel信息泄露漏洞。

javascript框架库漏洞

Javascript框架库漏洞和目标URL存在内部IP地址泄露漏洞。

CVE-2020-10188

netkit telnet是一款使用在Linux平台中的telnet客户端程序。该程序主要用于使用TELNET协议与另一个主机进行交互通信。 Netkit telnet 0.17及之前版本中的telnetd的utility.c文件存在缓冲区错误漏洞。远程攻击者可利用该漏洞执行任意代码。

WEB js漏洞

Web漏扫发现js的中微漏洞 。

WEB CSRF漏洞

SSLVPN Web页面存在CSRF漏洞 。

HTTP方法漏洞

通过调用OPTIONS方法，可以确定每个目录上允许哪些HTTP方法。

CRLF注入漏洞

当发送HTTP请求中包含Cookie信息，且Cookie中包含domain是一个设备上配置的domain值，或者请求为GET /enterdomain.cgi?domain=%0d%0aSomeCustomInjectedHeader:%0d%0aset-cookie:iamyy HTTP1/1时，触发CRLF注入漏洞。

CVE-2019-1547

攻击者可利用该漏洞获取敏感信息。

CVE-2019-1563

攻击者可通过发送大量加密的消息利用该漏洞恢复CMS/PKCS7传输的加密密钥或解密使用公共的RSA密钥加密的消息。

CVE-2016-7056

源于crypto/ec/ecdsa_ossl.c文件的‘ecdsa_sign_setup()’函数未能正确的设置BN_FLG_CONSTTIME标识。本地攻击者利用该漏洞实施cache-timing攻击，获取ECDSA P-256私钥。

CVE-2018-0739

漏洞源于使用递归过度的恶意输入，构造的ASN.1类型可造成栈溢出，导致拒绝服务攻击。

CVE-2019-1559

攻击者可利用该漏洞绕过访问限制，获取敏感信息。

CVE-2018-0737

生成算法存在安全漏洞。攻击者可利用该漏洞实施时序攻击，恢复私钥。

CVE-2018-0732

攻击者可利用该漏洞造成拒绝服务（挂起）。

CVE-2019-1552

OpenSSL存在安全漏洞，攻击者可利用该漏洞绕过安全保护。

CVE-2019-1563

攻击者可通过发送大量加密的消息利用该漏洞恢复CMS/PKCS7传输的加密密钥或解密使用公共的RSA密钥加密的消息。

CVE-2018-5407

OpenSSL存在的一个本地信息泄露漏洞，本地攻击者可以利用该漏洞获取敏感信息，这可能有助于进一步的攻击。

X-Frame-Options属性漏洞

http报文没有设置X-Frame-Options字段，可能导致非同源的iframe插入，从而导致点击劫持。

【CVE-2021-23841/CVE-2021-23840/CVE-2020-1971漏洞】修复OpenSSL存在的安全漏洞：OpenSSL在处理EDIPartyName （X.509GeneralName类型）时，使用的函数GENERAL_NAME_cmp中存在一处空指针取消引用，当使用该函数进行比较的两个参数都包含EDIPartyName时触发该漏洞。

CVE-2011-1473

内核SSL没有处理关闭SSL重协商字段，导致ssl客户端可以重协商成功。

CVE-2021-23841/CVE-2021-23840/CVE-2020-1971

修复OpenSSL存在的安全漏洞：OpenSSL在处理EDIPartyName （X.509GeneralName类型）时，使用的函数GENERAL_NAME_cmp中存在一处空指针取消引用，当使用该函数进行比较的两个参数都包含EDIPartyName时触发该漏洞。

CVE-2016-6329

加密算法本身问题，如果默认修改为不支持涉及漏洞的几种加密算法，可能会导致用户升级后WEB无法登陆问题。规避方案：[UNIS-ssl-server-policy-fxm]ciphersuite下不要选包含DES、3DES、RC2这种block长度为8bytes的cbc算法，可以选aes_256_cbc等算法，然后重启https服务。

CVE-2022-0778

修复OpenSSL BN_mod_sqrt拒绝服务漏洞：证书解析使用的BN_mod_sqrt()函数存在一个错误，它会导致在非质数的情况下永远循环。通过生成包含无效的显式曲线参数的证书来触发无限循环。由于证书解析是在验证证书签名之前进行的，因此任何解析外部提供的证书的程序都可能受到拒绝服务攻击。此外，当解析特制的私钥时(包含显式椭圆曲线参数)，也可以触发无限循环。易受攻击的情况如下：使用服务器证书的TLS客户端；使用客户端证书的TLS服务器；托管服务提供商从客户处获取证书或私钥；证书颁发机构解析来自订阅者的认证请求；任何其他解析ASN.1椭圆曲线参数的程序。

CVE-2021-3711

修复OpenSSL SM2解密缓冲区溢出漏洞，该漏洞由于 OpenSSL解密SM2加密数据时调用API  函数EVP_PKEY_decrypt，其计算缓冲区大小存在错误导致导致缓冲区溢出。

CVE-2021-3712

修复OpenSSL ASN.1 strings读取缓冲区溢出漏洞，该漏洞由于 OpenSSL用于存储ASN.1字符串的结构ASN_1_String在创建是没有严格遵守字符串的Null字节结尾，在打印时可能发生读取缓冲区溢出。

附录 C 软件升级操作指导

C.1 设备软件简介

设备软件主要包括Bootware程序和启动软件包。

·              Bootware文件对存储器进行容量检查和测试，初始化硬件并显示设备的硬件参数。

·              启动文件一方面提供对主要部件的硬件驱动和适配功能，另一方面实现对业务特性的支持。

C.1.1 BootWare程序

设备开机最先运行的程序是BootWare程序，它能够引导硬件启动、引导启动软件包运行、提供BootWare菜单功能。BootWare程序存储在设备的BootWare（芯片）中。完整的BootWare包含BootWare基本段和BootWare扩展段。

·              BootWare基本段是指完成系统基本初始化的BootWare。

·              BootWare扩展段具有丰富的人机交互功能，用于接口的初始化，可以实现升级应用程序和引导系统。

通常情况下，BootWare文件是一个后缀名为.btw的文件（例如：main.btw）。

C.1.2 启动软件包

启动软件包的分类

启动软件包是用于引导设备启动的程序文件，按其功能可以分为以下几类：

·              Boot软件包（简称Boot包）：包含Linux内核程序，提供进程管理、内存管理、文件系统管理、应急Shell等功能。

·              System软件包（简称System包）：包含Comware内核和基本功能模块的程序，比如设备管理、接口管理、配置管理和路由模块等。

·              Feature软件包（简称Feature包）：用于业务定制的程序，能够提供更丰富的业务。一个Feature包可能包含一种或多种业务。是否支持Feature包以及支持哪些Feature包与设备的型号有关，请以设备的实际情况为准。

·              Patch软件包（简称补丁包）：用来修复设备软件缺陷的程序文件。补丁包与软件版本一一对应，补丁包只能修复与其对应的启动软件包的缺陷，不涉及功能的添加和删除。

设备必须具有Boot包和System包才能正常运行，Feature包可以根据用户需要选择安装，补丁包只在需要修复设备软件缺陷时安装。

2. 启动软件包的发布形式

启动软件包有以下两种发布形式：

·              BIN文件：后缀为.bin的文件。一个BIN文件就是一个启动软件包。要升级的BIN文件之间版本必须兼容才能升级成功。

·              IPE（Image Package Envelope，复合软件包套件）文件：后缀为.ipe的文件。它是多个软件包的集合，产品通常会将同一个版本需要升级的所有类型的软件包都压缩到一个IPE文件中发布。用户将该IPE文件加载到设备后，设备会自动将它解压缩成多个BIN文件。用户再使用这些BIN文件升级设备即可，从而能够减少启动软件包之间的版本管理问题。

3. 主/备用启动软件包以及软件包列表

用户在配置设备下次启动使用的软件包时，需要指定软件包的名称，以及软件包的主用/备用属性。

·              设备会将所有具有主用属性的软件包的名称存储在主用启动软件包列表中，将所有具有备用属性的软件包的名称存储在备用启动软件包列表中。

·              当设备启动时，优先使用主用启动软件包列表中的软件包，如果主用启动软件包列表中软件包不存在或者不可用，再使用备用启动软件包列表中的软件包。

C.1.3 配置文件简介

配置文件是用来保存配置的文件。配置文件主要用于：

·              将当前配置保存到配置文件，以便设备重启后，这些配置能够继续生效。

·              使用配置文件，用户可以非常方便地查阅配置信息。

设备缺省的配置文件名为startup.cfg。

C.2 软件升级方式简介

表7 软件升级方式简介

C.2.1 升级前的准备

TFTP（Trivial File Transfer Protocol，简单文件传输协议）是TCP/IP协议族中的一个用来在客户机与服务器之间进行简单文件传输的协议，提供不复杂、开销不大的文件传输服务。设备作为TFTP Client，文件服务器（通常为PC）作为TFTP Server，用户通过在终端输入相应命令，可将本设备的启动文件上传到文件服务器上，或者从文件服务器下载启动文件到设备中。

FTP（File Transfer Protocol，文件传输协议）在TCP/IP协议族中属于应用层协议，主要向用户提供远程主机之间的文件传输。设备作为FTP Client，文件服务器（通常为PC）为FTP Server。

在升级设备启动文件前，请完成如下准备工作：

·              在设备出厂前，已配置接口GigabitEthernet1/0/0的IP地址为192.168.0.1/24。此接口已被加入Management安全域，且安全域Management和Local之间可以互通。

·              管理员也可以根据实际网络需求，自定义用于软件升级的安全域和接口IP地址，并正确配置安全域间实例以保证所配置的安全域与Local安全域之间可以互通。有关安全域和安全域间实例的详细介绍请参见“基础配置指导”中的“安全域”。用户需配置文件服务器IP地址，确保设备与文件服务器路由可达。

·              开启文件服务器的TFTP/FTP Server功能。

·              通过配置终端登录到设备的命令行配置界面中。

·              将设备的升级启动文件拷贝到文件服务器上，并正确设置TFTP/FTP Server的访问路径。

C.2.2 设备升级环境

配置下文中所有的软件升级配置举例，组网的具体环境如下：

·              设备与PC之间采用直连方式进行连接，PC作为TFTP/FTP的服务器端，设备作为TFTP/FTP的客户端。

·              PC通过以太网双绞线连接到设备的GE1/0/0接口。

·              首先将配置电缆的RJ-45插头插入设备的Console口，再将配置电缆DB-9（孔）插头插入PC机（或终端）的串口插座上。

·              使用设备的出厂配置进行软件升级。

·              PC的IP地址为192.168.0.2，子网掩码为255.255.255.0。

C.3 升级启动文件

C.3.1 通过命令行升级启动文件

通过命令行升级启动文件，可以采用以下方式：

·              使用TFTP协议升级设备的启动文件

·              使用FTP协议升级设备的启动文件

使用TFTP协议升级设备的启动文件

设备作为TFTP Client，访问TFTP文件服务器的指定路径，完成启动文件的备份与升级操作，

具体操作步骤如下：

(1)      备份当前启动文件和配置文件

# 在命令行配置界面的任意视图下，执行save命令保存设备当前配置信息：

<Sysname> save

The current configuration will be written to the device. Are you sure? [Y/N]:y

Please input the file name(*.cfg)[cfa0:/startup.cfg]

(To leave the existing filename unchanged, press the enter key):

cfa0:/startup.cfg exists, overwrite? [Y/N]:y

Validating file. Please wait...

Saved the current configuration to mainboard device successfully.

# 在命令行配置界面的用户视图下，执行dir命令查看设备当前的文件系统，确认启动文件及配置文件名，以及CF的剩余空间，保证CF有足够空间放入新的启动文件：

<Sysname> dir

Directory of cfa0:

   0 drw-           - Jul 06 2017 15:04:22   context

   1 drw-           - Jul 05 2017 10:01:40   diagfile

   2 drw-           - Jul 05 2017 10:36:20   dpi

   3 -rw-         735 Jul 05 2017 10:01:48   hostkey

   4 -rw-         735 Jul 05 2017 09:24:34   hostkey_v3

   5 -rw-         805 Nov 27 2017 19:50:26   ifindex.dat

   6 drw-           - Nov 27 2017 19:40:15   license

   7 drw-           - Jul 06 2017 10:27:44   logfile

   8 drw-           - Nov 27 2017 19:40:32   pki

   9 -rw-        1676 Jul 05 2017 09:40:20   private-data.txt

  10 drw-           - Jul 05 2017 09:24:26   seclog

  11 -rw-         591 Nov 27 2017 19:40:32   serverkey

  12 -rw-        3928 Nov 27 2017 19:50:27   startup.cfg

  13 -rw-       77641 Nov 27 2017 19:50:27   startup.mdb

  14 drw-             - Nov 27 2017 19:40:27   versionInfo

252164 KB total (146614 KB free)

# 在命令行配置界面的用户视图下，执行tftp put命令分别将配置文件startup.cfg备份到TFTP文件服务器上：

<Sysname> tftp 192.168.0.2 put startup.cfg vpn-instance management

Press CTRL+C to abort.

  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current

                                 Dload  Upload   Total   Spent    Left  Speed

100  3950    0     0  100  3950      0   204k --:--:-- --:--:-- --:--:--  642k

(2)      升级启动文件

# 在命令行配置界面的用户视图下，执行tftp get命令将启动文件main.ipe导入到设备的CF中：

<Sysname> tftp 192.168.100.9 get main.ipe

Press CTRL+C to abort.

  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current

                                 Dload  Upload   Total   Spent    Left  Speed

100  102M  100  102M    0     0   461k      0  0:03:48  0:03:48 --:--:--  554k

Writing file...Done.

<Sysname>

# 在命令行配置界面的用户视图下，执行boot-loader命令设置设备下次启动使用的启动文件为main.ipe，并指定启动文件类型为main：

<Sysname> boot-loader file cfa0:/main.ipe all main

Verifying the file cfa0:/main.ipe on slot 1.........Done.

H3C SecPath images in IPE:

  main-cmw710-boot-XXX.bin

  main-cmw710-system-XXX.bin

This command will set the main startup software images. Please do not reboot any

 MPU during the upgrade. Continue? [Y/N]:y

Add images to slot 1.

File cfa0:/main-cmw710-boot-XXX.bin already exists on slot 1.

File cfa0:/main-cmw710-system-XXX.bin already exists on slot 1.

Overwrite the existing files? [Y/N]:y

Decompressing file main-cmw710-boot-XXX.bin to cfa0:/main-cmw710-bo

ot-XXX.bin..........Done.

Decompressing file main-cmw710-system-XXX.bin to cfa0:/main-cmw710-

system-XXX.bin.............................................................

................................................................................

...............................Done.

Verifying the file cfa0:/main-cmw710-boot-XXX.bin on slot 1...Done.

Verifying the file cfa0:/main-cmw710-system-XXX.bin on slot 1.........D

one.

The images that have passed all examinations will be used as the main startup so

ftware images at the next reboot on slot 1.

Decompression completed.

Do you want to delete cfa0:/main.ipe now? [Y/N]:N

<Sysname>

# 在命令行配置界面的用户视图下，执行display boot-loader命令查看设备的启动程序文件信息：

<Sysname> display boot-loader

Software images on slot 1:

Current software images:

  cfa0:/main-cmw710-boot-XXX.bin

  cfa0:/main-cmw710-system-XXX.bin

Main startup software images:

  cfa0:/main-cmw710-boot-XXX.bin

  cfa0:/main-cmw710-system-XXX.bin

Backup startup software images:

  cfa0:/main-cmw710-boot-XXX.bin

  cfa0:/main-cmw710-system-XXX.bin

<Sysname>

# 在命令行配置界面的用户视图下，执行reboot命令重启设备：

<Sysname> reboot

 Start to check configuration with next startup configuration file, please wait.

........DONE!

 This command will reboot the device. Continue? [Y/N]:y

System is starting...

……略……

# 设备重启后，通过display version命令查看设备的启动文件版本信息是否与升级的启动文件一致。

<Sysname> display version

H3C Comware Software, Version 7.1.064, Release XXX

Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.

H3C SecPath uptime is 0 weeks, 0 days, 0 hours, 21 minutes

Last reboot reason: Warm reboot

Boot image: cfa0:/main-cmw710-boot-XXX.bin

Boot image version: 7.1.064, Release XXX

  Compiled Nov 10 2017 16:00:00

System image: cfa0:/main-cmw710-system-XXX.bin

System image version: 7.1.064, Release XXX

  Compiled Nov 10 2017 16:00:00

SLOT 1

CPU type: Multi-core CPU

DDR3 SDRAM Memory      16382M bytes

CF0 Card         247M bytes

Board PCB        Version:Ver.A

CPLD_A           Version:  1.0

CPLD_B           Version:  2.0

Release          Version:SecPath XXX

Basic  BootWare  Version: 2.05

Extend BootWare  Version: 2.05

<Sysname>

使用FTP协议升级设备的启动文件

设备作为FTP Client，访问FTP文件服务器的指定路径，完成启动文件的备份及升级操作，具体操作步骤如下：

(3)      备份当前启动文件和配置文件

# 在命令行配置界面的任意视图下，执行save命令保存设备当前配置信息：

<Sysname> save

The current configuration will be written to the device. Are you sure? [Y/N]:y

Please input the file name(*.cfg)[cfa0:/startup.cfg]

(To leave the existing filename unchanged, press the enter key):

cfa0:/startup.cfg exists, overwrite? [Y/N]:y

Validating file. Please wait...

Saved the current configuration to mainboard device successfully.

<Sysname>

# 在命令行配置界面的用户视图下，执行dir命令查看设备当前的文件系统，确认启动文件及配置文件名，以及CF的剩余空间，保证CF有足够空间放入新的启动文件：

<Sysname> dir

Directory of cfa0:

   0 drw-           -  Jul 06  2017  15:04:22   context

   1 drw-           -  Jul 05  2017  10:01:40   diagfile

   2 drw-           -  Jul 05  2017  10:36:20   dpi

   3 -rw-         735  Jul 05  2017  10:01:48   hostkey

   4 -rw-         735  Jul 05  2017  09:24:34   hostkey_v3

   5 -rw-         805  Nov 27  2017  19:50:26   ifindex.dat

   6 drw-           -  Nov 27  2017  19:40:15   license

   7 drw-           -  Jul 06  2017  10:27:44   logfile

   8 drw-           -  Nov 27  2017  19:40:32   pki