Fortinet, znany lider w dziedzinie rozwiązań zabezpieczających sieci, wprowadza nowe, znaczące funkcje i usprawnienia w najnowszej wersji oprogramowania FortiOS 7.4.1 dedykowane dla przełączników FortiSwitch! Oto przegląd kluczowych zmian, które uczynią Twoją sieć jeszcze bardziej wydajną i bezpieczną, między innymi dzięki funkcji FortiLink Secured Fabric, która zapewnia uwierzytelnianie i szyfrowanie dla wszystkich połączeń w ramach technologii FortiLink.
Co nowego w FortiOS 7.4.1:
1. Bezpieczna Sieć FortiLink
Teraz możesz uczynić swoją Sieć Bezpieczeństwa (Security Fabric) jeszcze bezpieczniejszą dzięki funkcji FortiLink Secured Fabric. Ta innowacja zapewnia uwierzytelnianie i szyfrowanie dla wszystkich połączeń w Sieci Bezpieczeństwa. Zero-touch support dostępny jest zarówno w trybie FortiLink nad warstwą 2 sieci, jak i w warstwie 3.
2. Optymalizacja Sieci
Dodano więcej testów rekomendacji FortiSwitch, które pomagają zoptymalizować Twoją sieć. Teraz FortiOS proponuje tworzenie wielopoziomowych grup MCLAG, w zależności od wykrytych połączeń między switchami. To usprawnienie przyczynia się do lepszej wydajności i redundancji Twojej sieci.
3. Zarządzanie Interfejsami FortiLink
Nowa możliwość pozwala na włączanie lub wyłączanie blokady inter-switch links (ISLs) na pojedynczym interfejsie FortiLink. To daje większą kontrolę nad Twoją siecią i jej konfiguracją.
4. Rozszerzone Wsparcie VLAN
FortiOS 7.4.1 wprowadza nową komendę CLI, która zwiększa maksymalną długość opisu VLAN z 15 do 64 znaków. To ułatwia zarządzanie sieciami i konfigurację VLAN.
5. Kontrola nad Intra-VLAN Traffic
Nowa komenda CLI pozwala na kontrolę nad tym, czy ruch intra-VLAN jest blokowany czy dozwolony w przypadku utraty połączenia z urządzeniem FortiGate. To usprawnienie zapewnia ciągłość działania Twojej sieci, nawet w przypadku awarii.
6. Rozszerzona Funkcjonalność Managed FortiSwitch
Managed FortiSwitch zyskuje kilka znaczących funkcji, takich jak możliwość lustrzania ruchu na klientach oraz możliwość routingu między VLANami. Teraz FortiGate może programować FortiSwitch do wykonywania routingu warstwy 3 między konkretnymi VLANami.
7. Automatyczna Konfiguracja STP
W trybie FortiLink nad warstwą 3 i konfiguracji DHCP z opcją 138, główny FortiSwitch automatycznie otrzyma priorytet STP wynoszący 24576, co zapewnia stabilność sieci nawet podczas awarii.
Nowości w FortiOS 7.4.1 to krok naprzód w zakresie bezpieczeństwa i wydajności sieci. Organizacje mogą teraz jeszcze skuteczniej zarządzać swoimi sieciami i chronić się przed zagrożeniami, jednocześnie optymalizując wydajność i redundancję. To niezbędna aktualizacja dla tych, którzy dbają o bezpieczeństwo i niezawodność swojej infrastruktury sieciowej.
Co nowego w FortiSwitchOS 7.4.1:
1. Rozszerzone Wsparcie dla Modeli Switchy:
- Modele FS-124F, FS-124F-POE, FS-124F-FPOE, FS-148F, FS-148F-POE i FS-148F-FPOE teraz obsługują eksport przepływów, co ułatwia monitorowanie ruchu w sieci.
- Modele FS-424E, FS-424E-POE, FS-424E-FPOE, FS-424E-Fiber, FS-M426E-FPOE, FS-448E, FS-448E-POE i FS-448E-FPOE teraz wspierają niezależny od protokołu routing Multicast Protocol Independent (PIM), co zwiększa możliwości zarządzania ruchem multicast.
- Modele FS-1024E i FS-T1024E teraz obsługują bezpieczeństwo Media Access Control (MACsec) na portach 4x25G split.
2. Konfiguracja MACsec w GUI:
Teraz można konfigurować profile MACsec w interfejsie graficznym, co usprawnia zarządzanie bezpieczeństwem i szyfrowaniem na poziomie portów.
3. Elastyczna Polityka MACsec:
Nowa funkcja umożliwia wykluczanie jednego lub więcej protokołów z polityki ruchu MACsec. Domyślnie wszystkie protokoły są szyfrowane, ale możesz użyć interfejsu wiersza poleceń (CLI) do wykluczenia pakietów ARP, 802.1q VLAN, FortiLink, IPv4, IPv6, LACP, LLDP, 802.1ad QinQ i STP.
4. Konfiguracja ECDSA:
Teraz można generować certyfikaty eliptycznej krzywej (ECDSA) za pomocą żądania podpisu certyfikatu (CSR) na krzywych SECP256R1, SECP384R1 lub SECP521R1.
5. Kontrola RADIUS Request Attributes:
Nowe polecenia CLI pozwalają na określenie formatowania atrybutów żądania RADIUS, takich jak User-Name, User-Password, Called-Station-Id i Calling-Station-Id.
6. Monitorowanie Sieci:
Możliwość konfiguracji monitorowania sieci i przeglądania statystyk monitorowania w interfejsie graficznym. To usprawnienie pozwala na monitorowanie adresów MAC w trybie unicast w kierunku określonego, monitorowanie wszystkich wykrytych adresów MAC na jednostce FortiSwitch w trybie przeglądania lub wykonywanie obu tych operacji jednocześnie.
7. Konfiguracja IS-IS Routing:
Teraz można konfigurować protokół routingu Intermediate System to Intermediate System (IS-IS) za pomocą interfejsu graficznego.
8. Wsparcie Dla FR-TRAN-ZX:
FR-TRAN-ZX teraz obsługuje interfejs diagnostyczny (DMI), co ułatwia monitorowanie i diagnostykę.
9. Rozróżnienie Między ICL a Restartem Peer Switch:
FortiSwitchOS teraz potrafi rozróżniać między sytuacją, gdy interchassis link (ICL) jest wyłączony, a sytuacją, gdy peer switch zostaje wyłączony lub restartowany. To zapobiega błędnemu wykrywaniu stanu „split-brain” i wyłączaniu wszystkich portów.
10. Konfiguracja MAB Sessions:
Nowe możliwości konfiguracji określają, jak długo sesje autoryzacji MAC (MAB) są przechowywane, zarówno w trybie statycznym, jak i dynamicznym.
11. ECMP Routing z VXLAN:
Teraz możliwe jest korzystanie z routingu równoważonego wielokrotnego wyboru (ECMP) opartego na przepływach z interfejsami Virtual Extensible LAN (VXLAN) w celu równoważenia obciążenia.
12. Wykrywanie Duplikatów MAC:
FortiSwitchOS teraz potrafi wykrywać duplikaty adresów MAC w sieci BGP Ethernet Virtual Private Network (EVPN) z interfejsami VXLAN, co ułatwia rozwiązywanie problemów w konfiguracji sieci.
13. Wsparcie dla FS-1048E:
Model FS-1048E teraz obsługuje autonegocjację na interfejsie 40G-CR4.
14. Bezpieczeństwo Sieci Bezpieczeństwa FortiLink:
Jeśli korzystasz z FortiSwitchOS 7.4.1 w trybie FortiLink:
- Teraz możesz uczynić swoją Sieć Bezpieczeństwa (Security Fabric) bardziej bezpieczną dzięki funkcji FortiLink Secured Fabric, która zapewnia uwierzytelnianie i szyfrowanie dla wszystkich połączeń w Sieci Bezpieczeństwa.
- Zarządzane jednostki FortiSwitch teraz mogą wykonywać routing między VLANami, co zwiększa możliwości zarządzania ruchem między zaufanymi VLANami za pomocą FortiGate.
Aktualnie wspierane modele:
| FortiSwitch 1xx | FS-108E, FS-108E-POE, FS-108E-FPOE, FS-108F, FS-108F-POE, FS-108F-FPOE, FS-124E, FS-124E-POE, FS-124E-FPOE, FS-124F, FS-124F-POE, FS-124F-FPOE, FS-148E, FS-148E-POE, FS-148F, FS-148F-POE, FS-148F-FPOE |
| FortiSwitch 2xx | FS-224D-FPOE, FS-224E, FS-224E-POE, FS-248D, FS-248E-POE, FS-248E-FPOE |
| FortiSwitch 4xx | FS-424E, FS-424E-POE, FS-424E-FPOE, FS-424E-Fiber, FS-M426E-FPOE, FS-448E, FS-448E-POE, FS-448E-FPOE |
| FortiSwitch 5xx | FS-524D, FS-524D-FPOE, FS-548D, FS-548D-FPOE |
| FortiSwitch 1xxx | FS-1024D, FS-1024E, FS-1048E, FS-T1024E |
| FortiSwitch 3xxx | FS-3032E |
| FortiSwitch Rugged | FSR-112D-POE, FSR-124D, FSR-424F-POE |
Rozwiązane problemy:
| Bug ID | Description |
|---|---|
| 896925 | When set edge-port is disabled, “BPDU Guard: Resetting <interface_name>.” is logged during a broadcast storm, even though set stp-bpdu-guard is not enabled. |
| 897887 | After enabling the blocking of intra-VLAN traffic on the VLAN, the user cannot connect to the internet or ping the gateway address. |
| 910257 | Going to System > Config > Firmware causes a “500 Internal Server Error.” |
| 914774 | After energy efficient Ethernet is enabled on FS-448E, received packets are no longer processed on ports 33-36. |
| 917919 | When the administrator login name is longer than 35 characters, the GUI displays an “Internal Server Error” message. |
| 918017 | When RSPAN is enabled on FSR-112D-POE in FortiLink mode, FortiLink goes down, and traffic on FortiLink stops. |
| 919505 | MAB authentication fails on FS-148F-FPOE running FortiSwitchOS 7.2.4 for laptops and phones. |
| 919943 | When the setting for strong cryptology is changed, the new setting does not take effect until the switch is restarted. |
| 919990 | The GUI displays a warning message of “Unverified Image Detected” when the user logs in to FortiSwitchOS 7.4.0 build 0767, even though the image is verified. |
| 921600 | The STP state changes when the cable that connects the FortiSwitch port to a PC is unplugged and then plugged in again. |
| 922098 | When a device is connected to an FS-148F-FPOE managed by FortiCloud, the network becomes unstable. |
| 922571 | When importing a local PKCS12 certificate, the certificate name cannot be longer than 63 characters. |
| 924247 | After enabling sticky MAC and the MAC learning limit on FS-1xx models, new MAC addresses are not learned after old MAC entries were cleared from the port. |
| 930931 | DHCPv6 packets were seen in the internal port of the FS-124F-FPOE models. |
| 935537 | After setting the FS-108F-PoE port to perpetual PoE, the setting did not take effect without restarting the switch. |
| 940956 | Adding or removing an SNMP community on a tier-1 MCLAG switch causes the switch to become unresponsive for 10 seconds on all VLANs when a large number of network interfaces are configured. |
| 941692 | After DHCP snooping is enabled on FS-1xx models, devices cannot receive DHCP addresses. |
| 942118 | After configuring MACsec on the FS-524D model, the switch becomes unresponsive and stops forwarding traffic. |
| 942140 | The MAC address moves between FortiAP units when the FortiAP units are connected to two different FortiSwitch units. |
| 942586 | Going to System > Config > Time when running FortiSwitchOS causes black stripes to appear in the GUI. |
| 945471 | Configuring a low VRRP ID number on one of a pair of FS-T1024E switches causes the switch to lose connection with the backup switch. |
Znane problemy:
| Bug ID | Description |
|---|---|
| 382518, 417024, 417073, 417099, 438441 | DHCP snooping and dynamic ARP inspection (DAI) do not work with private VLANs (PVLANs). |
| 414972 | IGMP snooping might not work correctly when used with 802.1x Dynamic VLAN functionality. |
| 480605 | When DHCP snooping is enabled on the FSR-112D-POE, the switched virtual interface (SVI) cannot get the IP address from the DHCP server
Workarounds:
|
| 510943 | The time-domain reflectometer (TDR) function (cable diagnostics feature) reports unexpected values.
Workaround: When using the cable diagnostics feature on a port (with the |
| 542031 | For the FS-5xx switches, the diagnose switch physical-ports led-flash command flashes only the SFP port LEDs, instead of all the port LEDs. |
| 548783 | Some models support setting the mirror destination to “internal.” This is intended only for debugging purposes and might prevent critical protocols from operating on ports being used as mirror sources. |
| 572052 | Backup files from FortiSwitchOS 3.x that have 16-character-long passwords fail when restored on FortiSwitchOS 6.x. In FortiSwitchOS 6.x, file backups fail with passwords longer than 15 characters.
Workaround: Use passwords with a maximum of 15 characters for FortiSwitchOS 3.x and 6.x. |
| 585550 | When packet sampling is enabled on an interface, packets that should be dropped by uRPF will be forwarded. |
| 606044/610149 | The results are inaccurate when running cable diagnostics on the FS-108E, FS-124E, FS-108E-POE, FS-108E-FPOE, FS-124E-POE, FS-124E-FPOE, FS-148E, and FS-148E-POE models. |
| 609375 | The FortiSwitchOS supports four priority levels (critical, high, medium, and low); however, The SNMP Power Ethernet MIB only supports three levels. To support the MIB, a power priority of medium is returned as low for the PoE MIB. |
| 659487 | The FS-108E, FS-108E-POE, FS-108E-FPOE, FS-108F, FS-108F-POE, FS-108F-FPOE, FS-124E, FS-124E-POE, FS-124E-FPOE, FS-124F, FS-124F-POE, and FS-124F-FPOE, FS-148E, and FS-148E-POE models support ACL packet counters but not byte counters. The get switch acl counters commands always show the number of bytes as 0. |
| 667079 | For the FSR-112D-POE model:
|
| 673433 | Some 7-meter direct-attach cables (DACs) cause traffic loss for the FS- 448E model. |
| 748210 | The MAC authentication bypass (MAB) sometimes does not work on the FS-424E when a third-party hub is disconnected and then reconnected. |
| 777647 |
|
| 784585 | When a dynamic LACP trunk has formed between switches in an MRP ring, the MRP ring cannot be closed. Deleting the dynamic LACP trunk does not fix this issue. MRP supports only physical ports and static trunks; MRP does not support dynamic LACP trunks.
Workaround: Disable MRP and then re-enable MRP. |
| 793145 | VXLAN does not work with the following:
|
| 828603 | The oids.html file is not accurate. |
| 829807 | eBGP does not advertise routes to its peer by default unless the set ebgp-requires-policy disable command is explicitly configured or inbound/outbound policies are configured. |
| 867108 | Depending on your browser type/version, web UI access might fail when using TLS 1.3 and client certificate authentication.
Workaround: Use TLS 1.2. |
| 903001 | Do not use mgmt as the name of a switch virtual interface (SVI). mgmt is reserved for the physical management switch port. |
| 916405 | FortiSwitchOS should not allow MACsec and 802.1X authentication to be configured on the same port. |
| 939257 | If you set the sample-direction to tx or both, the output of the get system flow-export-data flows all command might be wrong.
Workaround: Set the |
| 940248 | When both network device detection (config switch network-monitor settings) and the switch controller routing offload are enabled, the FS-1048E switch generates duplicate packets. |
| 950895 | In Release 7.4.1, VXLAN supports only one MSTP instance. |
Notatki producenta: FortiSwitch 7.4.1
Pozdrawiamy,
Zespół B&B
Bezpieczeństwo w biznesie
