A01444

Point-to-Pointインタフェースで意図しないIPv4パケットを受信する問題を修正しました。

関係する機能
IPsec/IKE
IPパケットフィルタ
IP-IPトンネル
PPP
PPPoE
該当機種 修正適用バージョン 影響を受けるバージョン
SEIL/X1, SEIL/X2 4.52 3.00 ～ 4.52
SEIL/B1 4.52 3.00 ～ 4.52
SEIL/x86 Fuji 3.12 1.70 ～ 3.12

不具合の説明

PPPoE, PPP, Tunnel, IPsec インタフェースに /32以外の長さのネットワークを割り当てるまたはUnnumbered設定によってLAN側のIPv4アドレスを借り受けた場合に、それらのネットワークアドレス宛のIPv4パケットおよびブロードキャストアドレス宛のTCPをSEIL自身が受信してしまう問題があります。

問題となるネットワークアドレスおよびブロードキャストアドレスは、以下のものが含まれます。括弧内は一例として 172.16.1.1/24 を利用した場合のアドレスです。

  • classful ネットワークアドレス (172.16.0.0/24)
  • subnetted ネットワークアドレス (172.16.1.0/24)
  • subnet directed ブロードキャストアドレス (172.16.1.255/24)
  • all-subnets directed ブロードキャストアドレス (172.16.255.255/24)

回避・復旧手段

各Point-to-Pointインタフェース毎に各種ネットワークアドレスおよびブロードキャストアドレスに対するIPパケットフィルタを設定しSEIL自身が受信しないようにしてください。これらは filter コマンドの self の対象とならないため明示的に指定する必要があります。

ネットワークアドレスおよびブロードキャストアドレスはUnnumberedインタフェースの場合、unnumbered on で指定したインタフェースまたはlan0インタフェースのアドレスを元にして設定してください。

filter add class_net_deny interface <インタフェース名> direction in action block dst <classful ネットワークアドレス>
filter add sub_net_deny interface <インタフェース名> direction in action block dst <subnetted ネットワークアドレス>
filter add sub_bc_deny interface <インタフェース名> direction in action block dst <subnet directed ネットワークアドレス>
filter add allsub_bc_deny interface <インタフェース名> direction in action block dst <all-subnets directed ネットワークアドレス>

変更・修正内容

Point-to-Pointインタフェースでは各種ネットワークアドレスおよび directed ブロードキャストアドレス宛のIPv4パケットは自身宛として処理しないよう仕様変更しました。

  • limited ブロードキャスト (255.255.255.255) は引き続き自身宛として処理されます。