製品ドキュメント
ADC
14.1 - Current Release 13.1 13.0 12.1
PDFを表示

NetScaler 13.1—17.42 リリースのリリースノート

March 20, 2024
寄稿者: 
C

このリリースノートドキュメントでは、NetScalerリリースBuild 13.1—17.42に存在する機能強化と変更、修正された問題と既知の問題について説明します。

メモ

このリリースノートには、セキュリティ関連の修正は含まれていません。セキュリティ関連の修正と勧告のリストについては、セキュリティ速報を参照してください。

新機能

ビルド 13.1 ～ 17.42 で利用できる機能強化と変更。

ボット管理

IPv6 アドレッシングのサポート

NetScalerボット管理では、ボット検出技術でインターネットプロトコルバージョン6（IPv6）アドレス指定がサポートされるようになりました。

[NSBOT-690]

NetScaler Gateway

NetScaler Gateway を介した EDT の DF ビット伝播

NetScaler Gateway アプライアンスは、EDTパスの最大伝送ユニット検出（PMTUD）機能に対してDFビットの強制をサポートするようになりました。パス MTU ディスカバリ機能は、EDT セッションの確立時に最大伝送ユニット（MTU）を動的に決定するのに役立ちます。DF ビット強制により、パフォーマンスの低下やセッションの確立の失敗につながる可能性がある EDT フラグメンテーションが防止されます。

以前のリリースでは、NetScaler Gateway はEDTパスMTUDをサポートしていましたが、DFビットの強制はサポートしていませんでした。

[CGOP-18438]

NetScaler Web App Firewall

複数のクロスサイトスクリプティング (XSS) 違反を学習するためのサポートの強化

NetScaler Web App Firewall の学習プロセスが強化され、クロスサイトスクリプティング攻撃の誤検出が減少しました。

学習を有効にすると、リクエスト内のすべての違反を学習し、すべてのタグ、属性、パターンに一度に緩和を適用できます。以前は、一度に 1 つの違反しか報告できず、複数の違反に対してこのプロセスを繰り返す必要がありました。

たとえば、ペイロードに 15 個のカスタムタグがあり、それぞれ違反が発生した場合、最初の違反に対して緩和を適用し、リクエストを実行して別のカスタムタグに違反のフラグを立てることができます。すべてのカスタムタグに 1 つずつ緩和を適用するには、このプロセスを繰り返す必要があります。

[NSWAF-7545]

負荷分散

LB および GSLB Autoscale サービスグループのメンバーを有効または無効にするオプション

LB または GSLB (DNS ベース) の Autoscale サービスグループの特定のメンバーを直接有効または無効にできるようになりました。そのため、LB または GSLB (DNS ベース) の Autoscale サービスグループの管理が容易になりました。

以前は、個々のメンバーを有効または無効にするには、LB または GSLB Autoscale サービスグループ全体を有効または無効にする必要がありました。個々のメンバーを有効または無効にするオプションがあるのは、Autoscale以外のサービスグループだけでした。

[NSLB-8109]

ネットワーク

ISSU 統計情報の機能拡張

ISSU 統計情報に次の 2 つの拡張機能が追加されました。

  • 古いプライマリノードが現在処理している既存の接続の一覧を表示するオプション dumpsession (Dump Session) がshow migrationオペレーションに追加されました。 dumpsession オプションを指定した show migration オペレーションは、新しいプライマリノードでのみ実行する必要があります。
  • show migration 操作（オプションなし）では、ISSU 移行操作に関連する次の追加情報が表示されます。
  • ISSU 移行操作の一部として処理される接続の総数
  • ISSU 移行操作の一部として処理されている残りの接続数

詳細については、https://docs.citrix.com/en-us/citrix-adc/13-1/upgrade-downgrade-citrix-adc-appliance/issu-high-availability.htmlを参照してください。

[NSNET-23577]

SNMPを使用して、NetScalerアプライアンスのバックエンド接続のポート使用量を監視する

PORT-ALLOC-EXCEED SNMPアラームを使用して、NetScalerアプライアンスのバックエンド接続のポート使用率を監視できます。

PORT-ALLOC-EXCEED SNMPアラームには、 NetScalerが所有するIPアドレスに割り当てられたポートの合計数をパーセンテージで指定するhigh-thresholdおよびnormal-thresholdパラメータが含まれます。たとえば、 high-threshold パラメータが90に設定されている場合、NetScalerアプライアンスは次のイベントが発生するとトラップメッセージを生成して送信します。

  • NetScalerが所有するバックエンド接続のIPアドレスのいずれかで、ポート割り当ての割合が90％を超える場合

SNMPアラートは、使用可能な空きポートがほぼ使い果たされそうになった場合に、NetScalerが所有するIPアドレスを増やす必要があるかどうかを判断するのに役立ちます。

[NSNET-21719]

GENEVE プロトコルのサポート

NetScalerアプライアンスは、RFC 8926で定義されている汎用ネットワーク仮想化カプセル化（GENEVE）プロトコルをサポートするようになりました。

サーバ仮想化とクラウドコンピューティングアーキテクチャにより、データセンターにおける分離されたレイヤ 2 ネットワークの需要が高まっています。VLAN 制限の 4094 は不十分であることが判明しており、この制限を克服するために VXLAN や NVGRE などのカプセル化プロトコルが導入されました。

これらのプロトコルは、主にコントロールプレーンの実装が異なります。GENEVE プロトコルでは、コントロールプレーンの仕様は定義されていません。このプロトコルは、コントロールプレーンの仕様を定義するために実装に任されています。

GENEVE プロトコルは、レイヤ 2 フレームを UDP パケットにカプセル化することにより、レイヤ 3 インフラストラクチャ上にレイヤ 2 オーバーレイネットワークを構築することを目的としたカプセル化テクノロジです。各 VLAN は、VNID と呼ばれる一意の 24 ビット識別子によって識別されます。同じセグメント ID (VNID) 内でのみ相互に通信できます。

NetScalerアプライアンスは、UDPポート6081でのGENEVEカプセル化をサポートしています。

[NSNET-21717]

NetScaler BLXアプライアンスを専用モードで実行しているLinuxホストへのSSHアクセスを構成します

デフォルトでは、NetScaler BLXアプライアンスを専用モードで実行しているLinuxホストへのSSHアクセスは、アプライアンスの専用インターフェイスを介して行うことはできません。

NetScaler BLXアプライアンスの専用インターフェイスを介して、LinuxホストへのSSHアクセスを構成できます。この機能は、NetScaler BLXアプライアンスを専用モードで実行している単一インターフェイスのLinuxホストで役立ちます。

Linux ホストへの直接 SSH アクセスは、次のいずれかのタイプで設定できます。

  • NetScaler BLXアプライアンスのNetScaler IP（NSIP）のポート9022でSSHアクセスを提供します。- <NetScaler IP address (NSIP)>:9022
  • NetScaler IP（NSIP）のサブネットに新しいIPアドレスを定義し、ポート22でSSHアクセスを提供します。- <new IP address on the NetScaler IP address (NSIP) subnet>:22 また、Linuxホストの他のすべてのポートには、新しいIPアドレスを使用して到達できます。たとえば、Linux ホストでポート 514/UDPで実行されているrsyslogサーバは、新しい IP アドレスのポート 514 で到達可能になりました。

[NSNET-21586]

DPDKポートを備えたNetScaler BLXアプライアンスの導入を簡素化

DPDKポートを備えたNetScaler BLXアプライアンスを展開する手順が簡素化され、次の機能が強化されました。

  • NetScaler BLXアプライアンスは、DPDKバージョン20.11.1でコンパイルされたライブラリを使用するようになりました。アプライアンスは DPDK VFIO カーネルモジュールを Linux ホストに自動的にロードします。
  • dpdk-configパラメーターは、NetScaler BLX 構成 (blx.conf) ファイルから削除されました。既存のworker-processesパラメータは、DPDKポートを持つNetScaler BLXアプライアンスにも適用されるようになりました。worker-processesは、NetScaler BLXアプライアンスのパケットエンジンの数を指定します。つまり、 worker-processes は、モード（共有、専用、またはDPDK）に関係なく、NetScaler BLXアプライアンスの共通パラメータになりました。 worker-process が設定されていない場合、NetScaler BLXアプライアンスはデフォルトで1つのパケットエンジンで構成されます。
  • interfacesパラメータは、非 DPDK NIC ポートに加えて、DPDK 互換 NIC ポートを指定するようになりました。NetScaler BLXアプライアンスは、 interfaces パラメータに指定されたポートのリストから、DPDK互換のNICポート（存在する場合）を自動的に検出します。アプライアンスは、検出された DPDK 互換 NIC ポートを Linux ホスト上の DPDK VFIO モジュールにバインドします。NetScaler BLXアプライアンスを起動すると、DPDKおよび非DPDK NICポートがアプライアンスの一部として自動的に追加されます。
  • DPDKにバインドされたMellanox NICポートを指定するdpdk-non-uio-intfパラメーターは、NetScaler BLX構成（blx.conf）ファイルから削除されました。interfacesパラメータは、NetScaler BLXアプライアンスでDPDKポートとして使用されるMellanox NICポートを指定するようになりました。NetScaler BLX アプライアンスのMellanox NIC ポートを指定する前に、Linux ホストにMellanox OFED DPDK ライブラリとカーネルモジュールをインストールする必要があります。NetScaler BLXアプライアンスは、指定されたMellanox NICポートを自動的に検出し、DPDKモードで初期化します。NetScaler BLXアプライアンスを起動すると、DPDKにバインドされたMellanox NICポートがアプライアンスの一部として追加されます。
  • LinuxホストでDPDK用にhugepagesを設定するための新しいパラメータtotal-hugepage-memがNetScaler BLX構成（blx.conf）ファイルに導入されました。 total-hugepage-memパラメータでは、 hugepages サイズを MB または GB 単位で指定します (たとえば、1024 MB と 2 GB)。
  • DPDKポートを使用してNetScaler BLXアプライアンスをアップグレードすると、アップグレードモジュールは既存の構成をNetScaler BLX構成（blx.conf）ファイルの新しい形式に自動的に変換します。

[NSNET-20524]

NetScalerアプライアンスで使用可能な空きポートを監視して、新しいバックエンド接続がないか確認する

NetScalerアプライアンスは、物理サーバーまたは他のピアデバイスとの通信に、Citrixが所有するIPアドレスをソースIPアドレスとして使用します。NetScalerアプライアンスはIPアドレスのプールを維持し、サーバーとの接続中にIPアドレスを動的に選択します。物理サーバが配置されているサブネットに応じて、アプライアンスは使用するIPアドレスを決定します。このアドレスプールは、トラフィックおよびモニタプローブの送信に使用されます。

新しいバックエンド接続でNetScalerが所有するIPアドレスで使用可能な空きポートの総数を表示できます。この情報は、使用可能な空きポートがほぼ使い果たされそうになった場合に、NetScalerが所有するIPアドレスを増やす必要があるかどうかを判断するのに役立ちます。

NetScalerアプライアンスに次の情報を入力して、新しいバックエンド接続に使用できる空きポートの総数を計算できます。

  • Citrix が所有するIPアドレス（オプション）
  • 宛先 IP アドレス
  • Destination port
  • TCP または非 TCP プロトコル

[NSNET-20410]

プラットフォーム

KVMハイパーバイザーでのNetScalerアプライアンスの初回起動時のNetScaler VPX構成のサポート

KVMハイパーバイザーでNetScalerアプライアンスを初めて起動するときに、NetScaler VPX構成を適用できるようになりました。したがって、VPXインスタンスでのお客様のセットアップは、はるかに短時間で構成できます。

[NSPLAT-21571]

バックアップ操作中にNetScaler管理パーティションからnstraceフォルダーを除外する

管理パーティションを持つNetScalerアプライアンスでは、nstraceフォルダーのバックアップ操作は除外されます。これにより、重要なデータを失うことなく、NetScaler の全体的なバックアップサイズが縮小されます。

[NSPLAT-21433]

ポリシー

ポリシーデータセットの IPv4 および IPv6 アドレスでの CIDR サブネット表記のサポート

IPv4 および IPv6 アドレスのポリシーデータセットで、バインドされた値を CIDR 表記 (a.b.c.d/n など) を使用したサブネットにできるようになりました。CIDR 表記法では、サブネットのアドレスと範囲を指定します。以前は、ポリシーデータセットにサブネットを追加するオプションはありませんでした。

詳しくは、https://docs.citrix.com/en-us/citrix-adc/13-1/appexpert/pattern-sets-data-seta/configuring-data-sets.htmlを参照してください。

[NSPOLICY-3828]

SSL

NetScalerアプライアンスのフロントエンドSSLサービスで非セキュアプロトコルを無効にする

標準のセキュリティスキャンでは、NetScalerアプライアンスの起動時にデフォルトで作成されるフロントエンドSSLサービスで、セキュリティで保護されていないプロトコルに対してアラートがトリガーされる場合があります。このようなアラートを回避するために、アプライアンスの起動時にフロントエンド SSL サービスではこれらのプロトコルがデフォルトで無効になっています。非セキュアプロトコルの例としては、SSLv3、TLv1、および TLSv1.1 があります。

デフォルトの SSL プロファイルを有効にすると、これらのプロトコルが無効になった新しい SSL プロファイルが作成されます。この新しいプロファイルは、フロントエンド SSL サービス (ns_default_ssl_profile_internal_frontend_service) にバインドされます。このプロファイルは編集可能です。

[NSSSL-9985]

RSASSA-PSS アルゴリズムを使用して署名された証明書のサポート

すべてのNetScalerプラットフォームで、RSASSA-PSSアルゴリズムで署名された証明書がサポートされるようになりました。これらのアルゴリズムは X.509 証明書パスの検証でサポートされています。

[NSSSL-9289]

解決された問題

ビルド 13.1-17.42 で対処される問題。

認証、承認、監査

ADFSPIP URLがtypehttp://に設定されている場合、NetScalerアプライアンスがクラッシュします。ADFSPIP は https:// URL タイプのみをサポートします。

[ NSHELP-29838 ]

要求処理に大幅な遅延がある場合、SAML IdPフロー中にアプライアンスがクラッシュすることがあります。

[NSHELP-29789]

/logon/LogonPoint/Resources/List and /cgi/Resources/Listなどのエンドポイントの書き換えポリシーはサポートされていません。

[NSHELP-29488]

まれに、ログの位置が正しくないためにNetScalerアプライアンスがクラッシュすることがあります。

[NSHELP-29267]

OAuthサービスプロバイダーを使用して認証するように構成されたNetScalerアプライアンスは、IDP TokenEndpointで認証するように「client-secrete_post」で構成することはできません。

今回の修正により、IDP のトークンエンドポイントと通信するときに ADC の OAuthサービスプロバイダー機能に認証方法client_secret_basicが追加されました。

[NSHELP-28945]

SAML認証が進行中で、サイズが1800バイト以上のX.509証明書がSAML認証に使用されると、アプライアンスが応答しないことがあります。

[NSHELP-28608]

有効期限が切れたときにユーザーパスワードが変更されると、マルチコアNetScalerアプライアンスで認証、承認、およびauditing.user.Attribute式で空の値が返されることがあります。

[NSHELP-28419]

NetScalerアプライアンスは、OAuth証明書利用者として構成されている場合、IDトークンから抽出された「電子メール」および「ユーザー名」フィールド情報を、認証、承認、および監査セッションのハッシュ属性に追加しません。

[NSHELP-28262]

SAML メタデータが設定されると、SSL 証明書でメモリリークが観察されます。

[NSHELP-27846]

ユーザーが SAML ログアウトを実行しても、ログアウトはすぐには行われず、次のエラーメッセージが表示されます。

Unsupported mechanisms found in Assertion; Please contact your administrator.

このエラーは、顧客が設定した IDP が異なる URL エンコード技術を使用して、応答内の署名アルゴリズムパラメータをエンコードしているために発生します。この修正により、複数の URL エンコード技術を使用した SAML レスポンスの署名アルゴリズムパラメーターのエンコードがサポートされるようになりました。

[NSHELP-27621]

nFactor が設定されていると、ログアウトメッセージに不正な IP アドレスが記録されることがあります。

[NSHELP-26692]

NetScalerアプライアンスは、次の両方の条件が満たされるとクラッシュします。

  • 電子メール OTP が設定されている
  • メールサーバーが応答しない、またはメールサーバーにネットワークの問題がある

[NSHELP-26137]

高可用性セットアップでは、強制同期が開始されるとNetScalerアプライアンスがクラッシュします。

[NSAUTH-11876]

Intune NAC v2 は Android 11 以降ではサポートされていません。

[NSAUTH-11872]

パスワードに特定の特殊文字が含まれている場合や、引数にスペースが含まれている場合、管理者は LDAP または RADIUS 接続ツールを使用できません。

[NSAUTH-11322]

ボット管理

CAPTCHAチャレンジが進行中の場合、NetScalerボット管理は、CAPTCHAの再試行に対してユーザーが設定した構成値を尊重しません。

[NSBOT-801]

CallHome

プールされたライセンスを使用しているNetScaler MPXアプライアンスでは、CallHomeの登録が失敗することがあります。CallHomeがNetScalerサポートサーバーへのアプライアンスの登録に誤ったシリアル番号を使用しているため、登録は失敗します。

[NSHELP-28667]

NetScaler SDXアプライアンス

NetScaler SDXアプライアンスをバックアップから復元しても、CLIプロンプト文字列は復元されません。

[NSHELP-30238]

NetScaler SDX 115xxアプライアンスでは、アプライアンスのバックアップに3つ以上のインスタンスが含まれていると、CPUコア数が多い（3〜5コア）割り当てられたVPXの復元が失敗することがあります。

[NSHELP-30135]

NetScaler SDXアプライアンスでは、 Hypervisor Disk Usage High アラートでアラームを発生させるデフォルト値が 98% に増加します。

[NSHELP-29688]

インターフェイス速度値が 4 Gbps を超えると、整数のオーバーフローが原因で誤った値が返されます。

[NSHELP-29658]

まれに、NetScaler SDXアプライアンスでADCインベントリが発生しないことがあります。

[NSHELP-29607]

NetScaler SDXアプライアンスでは、電源、電圧、またはディスクの障害が複数回発生した場合、管理サービスはsyslogまたは電子メール通知を送信しません。

[NSHELP-29443]

NetScaler Gateway

Chrome 98 または Edge 98 ブラウザバージョンにアップグレードすると、ユーザーは EPA プラグインまたは VPN プラグインを起動できません。この問題を解決するには、次の手順に従います。

  1. VPN プラグインをアップグレードする場合、エンドユーザーは初めて VPN Client を使用して接続し、マシンで修正プログラムを入手する必要があります。それ以降のログイン試行では、接続するブラウザまたはプラグインを選択できます。

  2. EPA のみのユースケースでは、エンドユーザーはゲートウェイに接続するための VPN クライアントを持ちません。この場合は、次の操作を行います。

    1. ブラウザを使用してゲートウェイに接続します。
    2. ダウンロードページが表示されるのを待ち、nsepa_setup.exe をダウンロードします。
    3. ダウンロード後、ブラウザを閉じて nsepa_setup.exe ファイルをインストールします。
    4. クライアントを再起動します。

[NSHELP-30641]

TCP SYSLOG 設定を使用した高可用性セットアップでは、HA フェールオーバーまたは設定のクリア操作中にノードがクラッシュすることがあります。

[NSHELP-29251]

NetScaler Gatewayポータルページでは、 RDPプロキシリンクアイコンはRFWebUIポータルテーマでも変わりません 。

[NSHELP-28974]

NetScaler Gateway アプライアンスをバージョン13.0にアップグレードすると、セッションプロファイルのプロキシ構成が意図したとおりに機能しなくなります。非 HTTP NS プロキシが設定されている場合、プロキシ接続はバイパスされます。

例: VPN セッションアクションプロキシ NS-HttpProxy 192.0.2. 0:24-SSLProxy 192.0.2. 0:24

この例では、-HttpProxy は意図したとおりに動作しますが、-sslProxy は機能しません。

[NSHELP-28640]

割り当てられたメモリがリセットされないため、DTLS AudioでSTAを処理しているときにNetScaler Gateway アプライアンスがクラッシュします。

[NSHELP-28432]

NetScalerアプライアンスは、非推奨のVPNDプロセスに関連する古いメッセージをログに記録します。

[NSHELP-28163]

StoreFrontにバックアップ負荷分散仮想サーバー経由でアクセスすると、VPN仮想サーバーを介したStoreFrontへのアクセスが失敗します。

[NSHELP-27852]

既存のICAセッションに再接続すると、NetScaler Gateway アプライアンスがクラッシュすることがあります。

[NSHELP-27441]

GUI を使用してクラシック認可ポリシーをバインド解除することはできません。ただし、CLI を使用して認証、承認、および監査認可ポリシーのバインドを解除することはできます。

今回の修正により、GUI を使用して承認ポリシーのバインドを解除できるようになりました。

[NSHELP-27064]

NetScaler Web App Firewall

XML ライブラリバージョン 2.9.12 にアップグレードすると、WAF シグネチャ関連の XML ファイルが解析中に破損します。

[NSWAF-8662]

HTTP リクエストが Web App Firewall モジュールによってブロックされた場合でも、JSON コマンドインジェクション保護が ns.log メッセージでNot blockedに表示されます。

[NSHELP-29709]

Web App Firewall ログメッセージがクロスサイトスクリプティング (XSS) URL属性違反でBAD URLが表示され、 そのカテゴリが属するカテゴリ (タグ、パターン、属性など) に関する用語Bad URLが不明確になります。

[NSHELP-29358]

SSL タイプの負荷分散仮想サーバーでボット管理ポリシーが有効になっていると、ボットデバイスのフィンガープリント投稿 URL が失敗することがあります。

[NSHELP-29198]

Web App Firewall 署名ID 1048は、NetScaler Gateway ページの読み込みをブロックします。

[NSHELP-29113]

次のモジュールが有効になっていると、NetScalerアプライアンスがクラッシュすることがあります。

  • 高度なセキュリティチェック機能を備えた Web App Firewall
  • Appqoe。

[NSHELP-28251]

負荷分散

Autoscale タイプの DNS サービスグループのメンバーが TROFS 状態で、同じメンバーが再びグループに追加された場合、このメンバーの状態は伝達されません。

[NSHELP-29493]

ポリシー式にワイルドカードが含まれているadd dns actionコマンドおよびadd locationコマンドでは、増分同期が失敗します。

[NSHELP-29301]

静的にバインドされたメンバーと動的に解決された DNS レコードの間に競合がある場合、一部のサービスグループメンバーは Autoscale サービスグループリストから削除されません。この問題が原因でメモリが破損する。

[NSHELP-28949]

show コマンドと stat コマンドに表示されるサービスグループの状態が矛盾しています。

[NSHELP-28931]

まれに、ロケーションデータベースの構成が構成 (ns.conf) ファイルに含まれていないことがあります。

[NSHELP-28570]

ピアが既存の接続のリセット要求を送信すると、SQL または Oracle Type Monitor がクラッシュします。

[NSHELP-28478]

永続性が有効な展開では、コンテキスト保存中に不正な仮想サーバが保存される。

[NSHELP-28342]

高可用性フェイルオーバー後、またはNetScalerアプライアンスが再起動されると、LBグループの永続性構成が失われます。

[NSHELP-28071]

デフォルトモニタがサービスにバインドされている場合でも、デフォルトモニタの設定済み状態は無効と表示されます。

[NSHELP-27669]

その他

アプライアンスをNetScalerバージョン12.1ビルド63.22にアップグレードすると、次の問題が発生します。

  • 拡張機能の検索 API は、アップグレード後に動作しないことがあります。

[NSHELP-29860]

ネットワーク

NetScalerアプライアンスは、次の条件をすべて満たすとクラッシュすることがあります。

  • 負荷分散ルートは、アプライアンスのトラフィックドメインに設定されます。
  • アプライアンス上で設定のクリア操作が実行されます。

[NSNET-23847]

大規模なNAT44セットアップでは、次の理由により、SIPトラフィックの受信中にNetScalerアプライアンスがクラッシュすることがあります。

  • LSN モジュールは、参照カウントのデクリメント中、またはサービスを削除している間は、サービスを検索しません。

[ NSHELP-29134 ]

大規模なNAT44展開では、次の理由により、SIPトラフィックの受信中にアプライアンスがクラッシュすることがあります。

  • LSN モジュールが、既に削除されたサービスのメモリ位置にアクセスしました。

[ NSHELP-28815 ]

偶数のパケットエンジン（PE）を搭載したNetScalerアプライアンスでは、アクティブなインターフェイスのステータスが冗長インターフェイスセット（LRチャネル）の非アクティブとして誤って表示されます。この問題は、NetScalerアプライアンスの機能には影響しません。

[NSHELP-28099]

NetScalerアプライアンスは、コールドリスタート後にcoldStartSNMPトラップメッセージを生成しないことがあります。

[ NSHELP-27917 ]

プラットフォーム

ntpdate コマンドがクラッシュし、コアダンプが発生する。

[NSHELP-29649]

SSL

エクスポート暗号スイートを使用すると、NetScaler MPX 7500 アプライアンスがクラッシュします。

[NSSSL-11294]

まれに、次のプラットフォームで DTLS の処理中にクラッシュが発生することがあります。

  • MPX 5900
  • MPX/SDX 8900
  • MPX/SDX 15000
  • MPX/SDX 15000-50G
  • MPX/SDX 26000
  • MPX/SDX 26000-50S
  • MPX/SDX 26000-100G

[NSHELP-29538]

高可用性セットアップでは、プライマリノードとセカンダリノード間で証明書タイプが正しく同期されません。

[NSHELP-27589]

VPN展開では、NetScalerアプライアンスはセッションを再利用するためにSSLセッションをキャッシュから取得し、プロキシまたはバックエンドサーバーと通信します。これは、クライアントから受信した SNI と、キャッシュされたセッションに存在する SNI を一致させることなく行われます。

その結果、キャッシュされたデータに応じて SNI が送信されないか、異なる SNI が送信されます。

[NSHELP-27439]

システム

侵入防御システム（IPS）リソースに割り当てられたメモリをクリアすると、NetScalerアプライアンスでメモリリークが観察されます。

[NSHELP-29992]

SSLプロファイルとSSL証明書キーをHTTP QUIC 仮想サーバーに関連付ける構成操作は、NetScaler クラスター展開で失敗することがあります。

[NSHELP-29655]

次の条件が満たされると、同じクライアント接続に対する 2 番目の要求は失敗します。

  • ClientSideMeasurements は有効になっています。
  • HEAD 要求が受信されました。

[NSHELP-29353]

一部のシナリオでは、NetScalerアプライアンスが次の状況でクラッシュすることがあります。

  • TCP ジャンボフレームが使用されます。
  • 永続性は TCP 負荷分散仮想サーバで構成されます。

[NSHELP-29162]

NetScalerアプライアンスは、次の条件が満たされるとクラッシュします。

  • クライアント側の測定オプションは AppFlow アクションで有効になります。
  • チャンクヘッダーはパケット境界上にあります。

[NSHELP-29049]

NetScalerアプライアンスは、HTTPパイプライン（1つまたは複数の要求）のサイズが128 KBを超えると、接続をリセットします。この問題は、パイプラインのサイズが 128 KB に制限されているために発生します。

[NSHELP-28846]

NetScaler侵入防御システム（IPS）では、次の条件が満たされた場合、データの挿入または変更時に書き換えポリシーの問題が確認されます。

  • NetScalerアプライアンスは、バックエンドサーバー接続が開く前にデータパケットをIPSサーバーに送信します。

[NSHELP-28496]

高可用性セットアップでは、次の理由により、セカンダリノードで Admin パーティション設定の HA 同期が失敗します。

  • セカンダリノードでの設定の負荷が大きいため、メモリ不足の問題が発生する

[NSHELP-28409]

クライアントが複数の TCP ストリームがある接続をリセットすると、サーバー側のトランザクションレコードは送信されないため、それらのデータストリームの L4 レコードが失われます。

[NSHELP-28281]

TCP接続では、NetScalerアプライアンスは、次の条件がすべて満たされた場合、サーバーから受信したFINパケットをクライアントに転送するのではなく、ドロップすることがあります。

  • TCP バッファリングは有効です。
  • サーバは FIN パケットとデータパケットを別々に送信します。

[NSHELP-274]

クラスタセットアップでは、set ratecontrolコマンドはNetScalerアプライアンスを再起動した後にのみ機能します。

[NSHELP-21811]

NetScalerアプライアンスがFINフラグが設定された順序の悪いTCPパケットを受信すると、次の問題が発生することがあります。

  • NetScalerアプライアンスが不正なSACKを送信します。これは、アプライアンスが1バイトの順不同のTCPパケットではなく2バイトを受信したことを示します。
  • NetScalerアプライアンスは、順番どおりのTCPパケットを受信してTCP FINパケットを認識しません。

[NSBASE-15735]

ユーザーインターフェイス

確認のプロンプトが表示されないため、誤って SSL 証明書をリンク解除してしまう可能性があります。今回の修正により、ユーザーがリンクされた証明書をクリックすると、証明書のリンクを解除する前に確認を求められるようになりました。

[NSUI-17897]

NetScaler GUIを使用して、接続フェイルオーバーがすでに有効になっているACLベースのRNATルールを変更すると、次のエラーで失敗することがあります。

  • Invalid argument value [connfailover]

[NSHELP-29243]

NetScaler GUIを使用してSSL証明書を構成または確認するときに、エラーDirectory doesn't existが表示されることがあります。この問題は、SSLフォルダ/nsconfig/sslに 2 つの連続したドット (..) を含むファイル名が存在する場合に発生します。

[NSHELP-28589]

高可用性セットアップで、組み込みポリシーパターンセットがプライマリノードで変更された場合、組み込みポリシーパターンセットバインディングの HA 同期が失敗することがあります。

[NSHELP-28460]

ADC GUI で RPC ノードの secure オプションを選択解除すると、次のエラーメッセージが表示されます。

引数の前提条件がありません [validateCert、セキュア ==はい]

[NSHELP-28239]

サイドパネルビューでリストのページサイズを変更しようとすると、ページがゆがんでしまいます。

[NSHELP-28220]

create ssl rsakeyやcreate ssl certなど、一部の SSL コマンドで引数に特殊文字が使用されている場合、余分なバックスラッシュ文字が誤って導入される 。

[NSHELP-27378]

ping または ping6 コマンドにインターフェイス (-I) オプションを指定すると、次のエラーで失敗することがあります。

  • interface option not supported

[NSHELP-26962]

既知の問題

リリース 13.1 ～ 17.42 に存在する問題。

AppFlow

HDX Insightは、ユーザーがアクセスできないアプリケーションまたはデスクトップを起動しようとしたことによるアプリケーションの起動失敗を報告しません。

[ NSINSIGHT-943 ]

認証、承認、監査

NetScalerアプライアンスは、重複したパスワードログインの試行を認証せず、アカウントのロックアウトを防ぎます。

[ NSHELP-563 ]

DualAuthPushOrOTP.xml LoginSchemaがNetScaler GUIのログインスキーマエディタ画面に正しく表示されません。

[NSAUTH-6106]

ADFS プロキシプロファイルは、クラスタ展開で構成できます。次のコマンドを発行すると、プロキシプロファイルのステータスが誤って空白として表示される。 show adfsproxyprofile <profile name>

回避方法：

クラスタ内のプライマリのアクティブなNetScalerに接続し、 show adfsproxyprofile <profile name> コマンドを実行します。プロキシプロファイルの状態が表示されます。

[ NSAUTH-5916 ]

次の手順を実行すると、NetScaler GUIの［認証LDAPサーバーの構成］ページが応答しなくなります。

  • [LDAP 到達可能性をテスト] オプションが開きます。
  • 無効なログイン認証情報が入力され、送信されます。
  • 有効なログイン認証情報が入力され、送信されます。

回避方法：

[LDAP 到達可能性のテスト] オプションを閉じて開きます。

[NSAUTH-2147]

キャッシュ

統合キャッシュ機能が有効で、アプライアンスのメモリが不足している場合、NetScalerアプライアンスがクラッシュすることがあります。

[ NSHELP-22942 ]

NetScaler SDXアプライアンス

NetScaler SDXアプライアンスでは、CLAGがMellanox NIC上に作成されている場合、VPXインスタンスの再起動時にCLAG MACが変更されます。VPXインスタンスへのトラフィックは再起動後に停止します。これは、MACテーブルに古いCLAG MACエントリがあるためです。

[ NSSVM-4333 ]

NetScaler Gateway

サーバー証明書が信頼されていると、サーバー検証コードが失敗することがあります。その結果、エンドユーザーはゲートウェイにアクセスできなくなります。

[NSHELP-28942]

NetScaler Gatewayの高可用性設定では、Gateway Insightが有効になっていると、セカンダリノードがクラッシュする可能性があります。

[NSHELP-28856]

macOSキーチェーンにクライアント証明書がない場合、Citrix SSO for macOSのクライアント証明書認証が失敗します。

[ NSHELP-28551 ]

クライアントのアイドルタイムアウトが設定されていると、ユーザーが数秒以内にNetScaler Gateway からログアウトすることがあります。

[ NSHELP-28404 ]

高可用性セットアップでは、次の条件が満たされると、VPN ユーザセッションが切断されます。

  • HA 同期の進行中に、2 つ以上の連続した手動の HA フェールオーバー操作が実行される場合。

回避方法：

HA 同期が完了した後（両方のノードが同期成功状態にある）のみ、手動の HA フェールオーバーを連続して実行します。

[ NSHELP-25598 ]

Gateway Insight は、VPN ユーザに関する正確な情報を表示しません。

[ NSHELP-23937 ]

次の条件を満たす場合、Windows ログオン後に VPN プラグインはトンネルを確立しません。

  • NetScaler Gateway アプライアンスが常時オン機能用に構成されている
  • アプライアンスは 2 要素認証offによる証明書ベースの認証用に設定されています。

[ NSHELP-23584 ]

スキーマを参照しているときに、エラーメッセージCannot read property 'type' of undefinedが表示されることがあります。

[ NSHELP-21897 ]

Windowsログオン機能の前に常時接続VPNを使用したい場合は、NetScaler Gateway 13.0以降にアップグレードすることをお勧めします。これにより、12.1 リリースでは利用できない、リリース 13.0 で導入された追加の拡張機能を活用できます。

[ CGOP-19355 ]

無効な STA チケットによるアプリケーションの起動失敗は、Gateway Insight では報告されません。

[ CGOP-13621 ]

Gateway Insight レポートでは、SAML エラーエラーの場合、「認証タイプ」フィールドの値SAMLが誤ってLocalと表示されます。

[ CGOP-13584 ]

高可用性セットアップでは、NetScalerフェイルオーバー時に、NetScaler Consoleのフェイルオーバー数ではなくストレージリポジトリ数が増加します。

[ CGOP-13511 ]

ブラウザからローカルホスト接続を受け付けると、macOS の Accept Connection ダイアログボックスには、選択した言語に関係なく英語でコンテンツが表示されます。

[ CGOP-13050 ]

一部の言語では、 Citrix SSOアプリ>ホームページのHome Pageテキストが切り捨てられます。

[ CGOP-13049 ]

NetScaler GUIからセッションポリシーを追加または編集すると、エラーメッセージが表示されます。

[ CGOP-11830 ]

Outlook Web App (OWA) 2013 では、[ 設定 ] メニューの [ オプション ] をクリックすると、 重大なエラーダイアログボックスが表示されます 。また、ページが応答しなくなります。

[ CGOP-7269 ]

クラスタ展開では、非 CCO ノードでforce cluster syncコマンドを実行すると、ns.log ファイルに重複したログエントリが含まれます。

[CGOP-6794]

負荷分散

高可用性設定では、プライマリノードのサブスクライバセッションがセカンダリノードに同期されないことがあります。これはまれなケースです。

[ NSLB-7679 ]

entityofs サービスグループのトラップの ServiceGroupName 形式は次のとおりです。 <service(group)name>?<ip/DBS>?<port>

トラップ形式では、サービスグループは IP アドレスまたは DBS 名とポートで識別されます。疑問符 (?) はセパレータとして使用されます。NetScalerは、疑問符（?）付きのトラップを送信します。フォーマットはNetScalerコンソールのGUIでも同じように表示されます。これは予想される動作です。

[ NSHELP-28080 ]

その他

高可用性セットアップで強制同期が行われると、アプライアンスはセカンダリノードでset urlfiltering parameterコマンドを実行します。 その結果、セカンダリノードは、 TimeOfDayToUpdateDB パラメータで指定された次のスケジュールされた時刻まで、スケジュールされた更新をスキップします。

[NSSWG-849]

URLフィルタリングのサードパーティベンダーとの接続の問題が発生した場合、管理CPUの停滞によりNetScalerアプライアンスが再起動することがあります。

[ NSHELP-22409 ]

ネットワーク

DPDKを搭載したNetScaler BLXアプライアンスは、次の条件をすべて満たすと再起動に失敗することがあります：

  • NetScaler BLXアプライアンスは、hugepagesの小さい数が割り当てられます。たとえば、1G です。
  • NetScaler BLXアプライアンスには多数のワーカープロセスが割り当てられています。たとえば、28 と入力します。

この問題は、 /var/log/ns.logにエラーメッセージとして記録されます。

  • BLX-DPDK:DPDK Mempool could Not be Initialized for PE-x

注:x はワーカープロセス数以下の数です。

回避方法：

多数のhugepagesを割り当て、アプライアンスを再起動します。

[ NSNET-25173 ]

DPDKを搭載したNetScaler BLXアプライアンスは、次の条件が満たされると再起動に失敗することがあります。

  • NetScaler BLXアプライアンスにはhugepagesの大きい数が割り当てられます。たとえば、16 GB と入力します。

この問題は、 /var/log/ns.logにエラーメッセージとして記録されます。

  • EAL: rte_mem_virt2phy(): cannot open /proc/self/pagemap: Too many open files

回避方法：

この問題を解決するには、次のいずれかの回避策を使用します。

  • ulimitコマンドを使用するか、limits.confファイルを編集して、Linux ホストで開くことができるファイルの上限を増やします。
  • 割り当てられたhugepagesの数を減らします。

[NSNET-24727]

DPDKモードのNetScaler BLXアプライアンスは、DPDK簡易機能のため、再起動に少し時間がかかる場合があります。

[ NSNET-24449 ]

NetScaler BLXアプライアンス13.0 61.xビルドから13.0 64.xビルドにアップグレードすると、BLX構成ファイルの設定が失われます。その後、BLX 構成ファイルがデフォルトにリセットされます。

[NSNET-17625]

DPDKを搭載したNetScaler BLXアプライアンスのIntel X710 10G (i40e)インターフェイスでは、次のインターフェイス操作はサポートされていません：

  • 無効化
  • 有効化
  • リセット

[ NSNET-16559 ]

DebianベースのLinuxホスト（Ubuntuバージョン18以降）では、NetScaler BLXアプライアンスは、BLX構成ファイル（/etc/blx/blx.conf）の設定に関係なく、常に共有モードで展開されます。この問題は 、Debian ベースの Linux システムではデフォルトで存在するmawkが、blx.confファイル内に存在するawkコマンドの一部を実行しないために発生します。

回避方法：

NetScaler BLXアプライアンスをインストールする前にgawkをインストールします。Linux ホスト CLI で次のコマンドを実行してgawkをインストールできます。

  • apt-get install gawk

[ NSNET-14603 ]

DebianベースのLinuxホスト（Ubuntuバージョン18以降）では、NetScaler BLXアプライアンスのインストールが次の依存関係エラーで失敗することがあります：

The following packages have unmet dependencies: blx-core-libs:i386 : PreDepends: libc6:i386 (>= 2.19) but it is not installable

回避方法：

NetScaler BLXアプライアンスをインストールする前に、LinuxホストCLIで次のコマンドを実行します。

  • dpkg –add-architecture i386
  • apt-get update
  • apt-get dist-upgrade
  • apt-get install libc6:i386

[ NSNET-14602 ]

FTPデータ接続の場合、NetScalerアプライアンスはNAT操作のみを実行し、TCP MSSネゴシエーションのパケットに対してTCP処理は実行しない場合があります。その結果、最適なインターフェイス MTU は接続に対して設定されません。この誤った MTU 設定により、パケットのフラグメンテーションが発生し、CPU のパフォーマンスに影響します。

[ NSNET-5233 ]

NetScalerアプライアンスで管理パーティションのメモリ制限が変更されると、TCPバッファリングメモリ制限は管理パーティションの新しいメモリ制限に自動的に設定されます。

[ NSHELP-21082 ]

プラットフォーム

高可用性フェイルオーバーは AWS および GCP クラウドでは機能しません。AWS および GCP クラウド、および NetScaler VPX オンプレミスでは、管理 CPU が 100% の容量に達する可能性があります。これらの問題はいずれも、次の条件が満たされた場合に発生します。

  1. NetScalerアプライアンスの初回起動時には、プロンプトが表示されたパスワードは保存されません。
  2. その後、NetScalerアプライアンスを再起動します。

[ NSPLAT-22013 ]

13.0/12.1/11.1ビルドから13.1ビルドにアップグレードするか、13.1ビルドから13.0/12.1/11.1ビルドにダウングレードすると、一部のPythonパッケージがNetScalerアプライアンスにインストールされません。この問題は、次のNetScalerバージョンで修正されています。

  • 13.1-4.x
  • 13.0—82.31 およびそれ以降
  • 12.1—62.21 およびそれ以降

NetScaler バージョンを13.1-4.xから次のバージョンのいずれかにダウングレードすると、Pythonパッケージはインストールされません。

  • 任意の 11.1 ビルド
  • 12.1—62.21 およびそれ以前
  • 13.0-81.x およびそれ以前

[ NSPLAT-21691 ]

NetScaler SDXアプライアンスのクラスタセットアップで、次の条件が満たされると、2番目のノードとCLIPでCLAG MACの不一致があります。

  • CLAG はMellanox NIC 上に作成されます。
  • クラスターとCLAGセットアップに別のVPXインスタンスを追加します。

その結果、VPXインスタンスへのトラフィックが停止します。

[NSPLAT-21049]

NetScaler SDXアプライアンスのクラスタセットアップで、次の条件が満たされると、CLIPテーブルとMACテーブルでMACアドレスの不一致が原因で最初のノードがダウンします。

  • CLAG はMellanox NIC 上に作成されます。
  • クラスタから 2 つ目のノードを削除します。

[NSPLAT-21042]

AzureリソースグループからAutoscale設定または仮想マシンスケールセットを削除する場合は、NetScaler インスタンスから対応するクラウドプロファイル構成を削除します。rm cloudprofile コマンドを使用して、プロファイルを削除します。

[ NSPLAT-4520 ]

Azure の高可用性セットアップでは、GUI を使用してセカンダリノードにログオンすると、Autoscaleクラウドプロファイル構成の初回ユーザー (FTU) 画面が表示されます。 回避策:画面をスキップし、プライマリノードにログオンしてクラウドプロファイルを作成します。クラウドプロファイルは必ずプライマリノードで設定してください。

[ NSPLAT-4451 ]

RPCノードのパスワードに特殊文字が含まれていると、GCPおよびAWSクラウド上のNetScaler VPXインスタンスのHAフェイルオーバーが失敗します。

[ NSHELP-28600 ]

ポリシー

処理データのサイズが、設定されているデフォルトの TCP バッファサイズを超えると、接続がハングすることがあります。回避策：TCP バッファサイズを、処理が必要なデータの最大サイズに設定します。

[ NSPOLICY-1267 ]

SSL

NetScaler SDX 22000アプライアンスとNetScaler SDX 26000アプライアンスの異機種クラスタでは、SDX 26000アプライアンスを再起動するとSSLエンティティの構成が失われます。

回避方法：

  1. CLIP で、仮想サーバ、サービス、サービスグループ、内部サービスなど、既存および新規のすべての SSL エンティティで SSLv3 を無効にします。例：set ssl vserver <name> -SSL3 DISABLED。
  2. 構成を保存します。

[ NSSSL-9572 ]

認証 Azure Key Vault オブジェクトが既に追加されている場合は、Azure Key Vault オブジェクトを追加できません。

[ NSSSL-6478 ]

同じクライアント ID とクライアントシークレットを持つ複数の Azure Application エンティティを作成できます。NetScalerアプライアンスはエラーを返しません。

[ NSSSL-6213 ]

HSM タイプとして Key Vault を指定せずに HSM キーを削除すると、次のような誤ったエラーメッセージが表示されます。 エラー:CRL 更新は無効です

[ NSSSL-6106 ]

セッションキーの自動更新がクラスタ IP アドレスで無効と誤って表示される。(このオプションは無効にできません。)

[ NSSSL-4427 ]

SSL プロファイルの SSL プロトコルまたは暗号を変更しようとすると、不正な警告メッセージWarning: No usable ciphers configured on the SSL vserver/service,が表示されます。

[ NSSSL-4001 ]

期限切れのセッションチケットは、HA フェールオーバー後、非 CCO ノードと HA ノードで保持されます。

[NSSSL-3184]

システム

アプライアンスがクライアントから max_concurrent_stream 設定フレームを受信しない場合、MAX_CONCURRENT_STREAMS 値はデフォルトで 100 に設定されます。

[ NSHELP-21240 ]

mptcp_cur_session_without_subflow カウンタが誤ってゼロではなく負の値にデクリメントします。

[ NSHELP-10972 ]

NetScaler GUI（ナビゲーション：[ システム] > [レポート] > [PCI DSSレポートの生成]）でPCI DSSレポートを生成する際に問題が発生します。

[NSBASE-16225]

LogStream トランスポートタイプが Insight に設定されている場合、HDX Insight SkipFlow レコードでクライアント IP とサーバー IP が反転します。

[NSBASE-8506]

NetScalerアプライアンスは、ヘッダー名フィールドにドット（”.”）の付いたカスタムHTTPヘッダーを含むパケットをドロップします。このアクションは、 allowOnlyWordCharactersAndHyphen パラメータがデフォルトの HTTP プロファイルでデフォルトで有効になっているために発生します。

回避策:デフォルトの HTTPプロファイルでallowOnlyWordCharactersAndHyphenを無効にします。ただし、Citrix では有効にしておくことをお勧めします。

[NSBASE-16722]

ユーザーインターフェイス

MQTT リライト機能では、GUI のエクスプレッションエディタを使用してエクスプレッションを削除することはできません。

回避方法：

CLI から MQTT タイプの add または edit action コマンドを使用します。

[ NSUI-18049 ]

NetScaler GUIでは、Dashboardタブの下にあるHelpリンクが壊れています。

[ NSUI-14752 ]

CloudBridge Connector の作成/監視ウィザードが応答しなくなるか、CloudBridge Connector の設定に失敗することがあります。

回避方法：

NetScaler GUIまたはCLIを使用して、IPSecプロファイル、IPトンネル、およびPBRルールを追加して、CloudBridge Connectorを構成します。

[ NSUI-13024 ]

GUI を使用して ECDSA キーを作成する場合、カーブのタイプは表示されません。

[ NSUI-6838 ]

管理パーティションの設定で、証明書失効リスト (CRL) ファイルのアップロードと追加が失敗する。

[NSHELP-20988]

NetScalerアプライアンスのバージョン13.0-71.xを以前のビルドにダウングレードすると、ファイル権限の変更のために一部のNITRO APIが機能しないことがあります。

回避方法：

/nsconfig/ns.conf の権限を 644 に変更します。

[NSCONFIG-4628]

あなた（システム管理者）がNetScalerアプライアンスで次の手順をすべて実行すると、システムユーザーがダウングレードされたNetScalerアプライアンスにログインできないことがあります。

  1. NetScalerアプライアンスをいずれかのビルドにアップグレードします。

    • 13.0 52.24 ビルド
    • 12.1 57.18 ビルド
    • 11.1 65.10 ビルド
  2. システムユーザーを追加するか、既存のシステムユーザーのパスワードを変更し、設定を保存します。
  3. NetScalerアプライアンスを古いビルドにダウングレードします。

CLI を使用してこれらのシステムユーザーの一覧を表示するには、 コマンドプロンプトで次のように入力します。

query ns config -changedpassword [-config <full path of the configuration file (ns.conf)>]

回避方法：

この問題を修正するには、次の独立したオプションのいずれかを使用します。

  1. NetScalerアプライアンスがまだダウングレードされていない場合（上記の手順のステップ3）、同じリリースビルドの以前にバックアップされた構成ファイル（ns.conf）を使用してNetScalerアプライアンスをダウングレードします。
  2. アップグレードされたビルドでパスワードが変更されていないシステム管理者は、ダウングレードされたビルドにログインし、他のシステムユーザーのパスワードを更新できます。
  3. 上記のいずれのオプションも機能しない場合、システム管理者はシステムユーザパスワードをリセットできます。

詳しくは、https://docs.citrix.com/en-us/citrix-adc/13/system/ns-ag-aa-intro-wrapper-con/ns-ag-aa-reset-default-amin-pass-tsk.htmlを参照してください。

[ NSCONFIG-3188 ]

NetScaler 13.1—17.42 リリースのリリースノート
March 20, 2024
寄稿者: 
C
March 20, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.