StoneOS 5.5R10 F版本说明

《StoneOS 5.5R10 F版本说明》包含了5.5R10所有已发布的F版本说明，主要介绍了F版本的新增功能，已知问题及升级说明等内容。

StoneOS 5.5R10F6

发布概述

发布日期：2024年06月28日

5.5R10F6版本新增16个功能，合入32个功能。本次发布在硬件、系统、策略、VPN、SNMP等方面均有所增强，其重点功能包含：

所有功能概述，请参见本文档新增功能部分。

相关功能操作方面的新增和修改，请参见《StoneOS 5.5R10 F版本新功能说明》。

版本发布信息：https://fr.hillstonenet.com/show_bug.cgi?id=43157

5.5R10F6继承/合入详情：

平台和系统文件

产品型号 系统文件
SG-6000-A7600/A6800/A5860/A5800/A5660/A5600/A5560
/A5550/A5500/A5260/A5250/A5200/A5160/A5150/A5100
/A3810/A3800/A3700/A3610/A3600/A3000/A2810/A2800
/A2710/A2700/A2600/A2000/A1100/A1000
/B5600/B5200/B5000/B4600/B3600/B3200/B3000/B2000
 SG6000-A-1-5.5R10F6.img
SG6000-A-1-5.5R10F6-v6.img
SG-6000-A200/A200G4（4G版）/A200W（WLAN版）
/A200WG4（WLAN+4G版）
B600/SDW500/SDW500W/SDW500G4/SDW500WG4
/SDW300/SDW300W/SDW300G4/SDW300WG4
 SG6000-A-3-5.5R10F6.bin
SG6000-A-3-5.5R10F6-v6.bin
SG-6000-X20812/X20803 SG6000-XN-5.5R10F6.img
SG6000-XN-5.5R10F6-v6.img
SG-6000-X10800/X9180 SG6000-XL-5.5R10F6.bin
SG6000-XL-5.5R10F6-v6.bin
SG-6000-X8180 SG6000-XM-5.5R10F6.bin
SG6000-XM-5.5R10F6-v6.bin
SG-6000-X7180 SG6000-X7180-5.5R10F6.bin
SG6000-X7180-5.5R10F6-v6.bin
SG-6000-X6150-GS SG6000-X6150-GS-5.5R10F6.bin
SG6000-X6150-GS-5.5R10F6-v6.bin
SG-6000-K9180 SG6000-K-1-5.5R10F6.img
SG6000-K-1-5.5R10F6-v6.img
SG-6000-K2680/K2380 SG6000-K-2-5.5R10F6.img
SG6000-K-2-5.5R10F6-v6.img
SG-6000-K6280-GS/K6580 SG6000-K-5-5.5R10F6.img
SG6000-K-5-5.5R10F6-v6.img
SG-6000-K5680/K3680-GS/K3280/K2580/K2560/K1280 SG6000-K-4-5.5R10F6.img
SG6000-K-4-5.5R10F6-v6.img
SG-6000-E5960/E5760 /E5660 /E5560 /E5568 /E5260
/E5268/E3965 /E5168 /C6050 /C5650 /C5450 		SG6000-M-2-5.5R10F6.bin
SG6000-M-2-5.5R10F6-v6.bin
SG-6000-A2200 /A1800 /A1600 /E6360 /E6368 /E6160 /E6168 /E3960 /E3968
/E3662 /E3660 /E3668 /E2860 /E2868 /E2800 /E2300
/E1700/E1606 /E1600 /E1100（WLAN版）
/E1100（WLAN版+3G-WCDMA版）
/E1100（WLAN版+3G-CDMA版）
/E1100（3G-WCDMA版） /E1100（3G-CDMA版） /E1100（4G版）
/E1100（WLAN版+4G版）
/E1100W-GM /E1600-GM /E1700-GM /E2300-GM
/E2800-GM /E3660-GM /E3960-GM
/C5250/C5050 /C4550 /C4100 /C4000 /C3100
/C3000 /C2100/C2000 /C1500 /C1300 /C1200 （WLAN版） /C1000 /C600 		SG6000-M-3-5.5R10F6.bin
SG6000-M-3-5.5R10F6-v6.bin
SG-6000-VM01 /VM02 /VM04 /VM08 ARM平台：
SG6000-CloudEdge-5.5R10F6-ARM-CLOUD.qcow2/img
SG6000-CloudEdge-5.5R10F6-ARM-CLOUD-v6.qcow2/img
SG6000-CloudEdge-5.5R10F6-ARM-KVM.qcow2/img
SG6000-CloudEdge-5.5R10F6-ARM-KVM-v6.qcow2/img
X86平台：
SG6000-CloudEdge-5.5R10F6
SG6000-CloudEdge-5.5R10F6-v6
（请根据云平台要求选择对应的格式，包括:.img、.ova、.vhd、.qcow2 和.vmdk 格式。)
SG-6000-VM01-KL/VM02-KL/VM04-KL/VM08-KL ARM平台：
SG6000-CloudEdge-KL-5.5R10F6-ARM-CLOUD.qcow2/img
SG6000-CloudEdge-KL-5.5R10F6-ARM-CLOUD-v6.qcow2/img
SG6000-CloudEdge-KL-5.5R10F6-ARM-KVM.qcow2/img
SG6000-CloudEdge-KL-5.5R10F6-ARM-KVM-v6.qcow2/img
X86平台：
SG6000-CloudEdge-KL-5.5R10F6
SG6000-CloudEdge-KL-5.5R10F6-v6
（请根据云平台要求选择对应的格式，包括:.img、.ova、.vhd、.qcow2 和.vmdk 格式。)

新增功能

编号 功能描述 涉及平台
硬件
41433 巨帧报文（Jumbo Frame）转发功能支持的平台范围扩大，在该版本新增支持SG-6000-K6280-GS型号。 K6280-GS
系统
39985 支持会话延迟删除期间收到新的TCP SYN报文可以新建会话功能，即如果新收到的TCP SYN报文匹配到的会话已经处于会话延迟删除状态，系统会删除匹配到的会话，同时建立一个新的相同五元组的会话进行后续报文转发。 A, K, X, E, CloudEdge, C, B, SDW
41735 支持通过show environment power命令获取电源模块的SN序列号。 A系列A3800及以上型号设备, X8180, X9180, X10800, X20812, K9180
支持通过show environment fan命令获取风扇盘的SN序列号。 A系列A3800及以上型号设备, X20812, X8180
41741 支持通过命令行关闭或重新启用指定的SSH算法，避免因SSH算法出现安全漏洞对用户的业务造成影响。 A, K, X, E, CloudEdge, C, B, SDW
38570 设备支持作为NTP服务端为其他客户端提供时钟同步的服务。 A, K, X, E, CloudEdge, C, B, SDW
41745 支持邮件开局功能，管理员在HSM上进行配置并以邮件的方式将开局配置信息通过URL链接发送至开局人员的邮箱，实现零配置开局。 A（不含A200G4）, K, X, E, CloudEdge, C, B, SDW（不含SDW300G4
/SDW500G4）
41747 支持通过show environment power命令获取电源模块的PN号。 A系列A3800及以上型号设备, X8180, X9180, X10800, K9180
支持通过show environment fan命令获取风扇盘的PN号。 A系列A3800及以上型号设备, X8180
支持通过show transceiver命令获取光模块的PN号。 A, K, X, E, CloudEdge, C, B, SDW
41755 X8180的10GE(SFP+)光接口支持通过sfp-to-copper命令降速到100M。 X8180
41765 支持对show命令的输出信息进行定时刷新。 A, K, X, E, CloudEdge, C, B
35753/39056 支持上传威胁日志、流量排名、设备信息等数据至云平台的平台范围扩大，在该版本新增支持X系列型号和SG-6000-K9180/K6580型号。 K9180, K6580, X
39058 支持上传威胁日志和证据报文数据至智源的平台范围扩大，在该版本新增支持X系列型号和SG-6000-K9180/K6580型号。
说明：仅安装有硬盘的设备型号支持上传证据报文。
38556 支持对Docker占用设备存储的情况进行监控及查看。 A（不含A2200, A1800, A1600, A200, A200G4, A200W, A200WG4）, CloudEdge
网络
33389 支持通过CLI命令开启/关闭会话结束日志记录TCP状态信息功能。 A, K, X, E, CloudEdge, C, B, SDW
会话详情页面新增支持清除会话和显示TCP状态功能。
支持通过CLI命令清除会话资源申请失败的次数。
35041 在FTP服务器与防火墙之间存在支持NAT但不支持ALG功能的设备，且该设备对FTP服务器进行了NAT转换的场景下，支持开启/关闭使用服务器外部IP建立数据连接功能，以确保数据能正常传输。
41808 全局网络参数新增支持配置VPN分片方式。
支持查看当前系统使用的VPN分片方式。
策略
41753 新增延迟地址更新时间功能，用户在批量修改地址簿中的地址条目后，系统不会立即将修改后的地址条目同步给引用该地址簿的策略，而是在指定的延迟时间结束后进行同步，避免由于策略配置的频繁更新而造成策略下发缓慢的情况，提高策略配置更新效率。 A, K, X, E, CloudEdge, C, B
41761 策略规则支持配置会话超时时间，超出会话超时时间后，连接将断开。
支持在会话详情页面筛选长连接会话。
38671 支持配置对ARP表项自动探测的次数，或关闭ARP自动探测。 A, K, X, E, CloudEdge, C, B, SDW
对象
41757 新增show track命令用于查看系统中所有监测对象的配置信息。 A, K, X, E, CloudEdge, C, B
41767 支持大量NAT规则引用同一对象，并且引用对象变更时不会造成IPC消息堵塞。
优化大量NAT规则引用同一对象情况下的配置下发速度。
38974
  • 支持基于SNAT规则绑定排除端口。
  • 支持通过WebUI配置排除端口组，并在虚拟路由器和SNAT规则上绑定排除端口组。
 A, K, X, E, CloudEdge, C, B, SDW
认证
39815 HTTP(S)短信网关支持配置ESB协议子类型，实现与ESB短信平台对接。 A, K, X, E, CloudEdge, C, B, SDW
40651 支持AD Script单点登录与SSO Monitor单点登录结合使用，提升防火墙和AD服务器之间的联动速度。
  • 支持在SSO Monitor用户上线后踢出AD Script用户。
  • AD Script单点登录脚本参数支持配置多个防火墙IP地址。
  • AD Script单点登录支持监测用户IP变化。
 A, E, CloudEdge, C, B, SDW
提高部分A系列设备可配置的认证用户数。 A2710, A2700
分析诊断
36021 新增支持配置抓包模式，通过指定抓包模式，可以抓取接口全流量的数据报文，或者所有已建立会话且符合抓包规则的数据报文。 A, K, X, E, CloudEdge, C, B, SDW
HA
41759 HA A/P模式下支持配置HA基础虚MAC，在避免系统生成的HA虚MAC地址重复的基础上，可以降低维护难度。 A, K, X, E, CloudEdge, C, B, SDW
41775 在双向NAT配置下，优化HA A/P模式HA切换时的SIP通话机制。
日志
41773 会话日志支持根据源IP和目的IP聚合。 A, X, B,（以上系列均
仅针对安装有硬盘的
设备）K, CloudEdge
VPN
38128 VXLAN支持引用IPSec隧道，将VXLAN报文加密封装在IPSec报文中，保证VXLAN隧道传输中的数据安全。 A, K, X, E, CloudEdge, C, B, SDW
威胁防护
41445 A系列部分设备支持升级至全量的入侵防御特征库。 A200, A200G4, A200W, A200WG4, A1000, A1100, B600, B2000
41437 E系列部分设备支持升级至全量的入侵防御特征库。 E1606, E1700, E2300, E2800, E2860, E2868, E3662, E3668, E3960, E3968, E3965, E5168, E5260, E5268, E5560, E5568, E5660, E5760, E5960, E1700-GM, E2300-GM, E2800-GM, E3662-GM, E3960-GM, C1300, C1500, C2000, C3000, C2100, C3100, C4000, C4100, C4550, C5050, C5250, C5450, C5650, C6050
云·界
40365 云·界新增4款国产系列平台：SG-6000-VM01-KL、SG-6000-VM02-KL、SG-6000-VM04-KL和SG-6000-VM08-KL。 CloudEdge国产系列
云·界国产系列平台支持查看设备CPU型号和操作系统的内核版本信息。
40832/41871 为云·界安装V3版本许可证时，支持自动校验平台型号与许可证携带的产品型号是否一致，并提示相关信息，避免云·界国产系列与非国产系列平台许可证混装。 CloudEdge
RESTful API
41769 支持通过RESTful API接口配置基于国家地址位置的地址簿。  A, K, X, E, CloudEdge, C, B, SDW
41771 支持通过RESTful API接口查询ARP表项的总数量和已使用数量。
支持通过RESTful API接口过滤查询ARP表项的详细信息。
33389 支持通过RESTful API接口清除所有或指定条件的会话。
支持通过RESTful API接口查看会话详情的TCP状态信息。
41759 支持通过RESTful API接口配置和查看HA基础虚MAC。
41808 支持通过RESTful API配置和查看VPN分片方式。
SNMP
41451 支持通过SNMP获取Top32用户和Top32应用在不同时间段的流量和会话信息。 A, K, X, E, CloudEdge, C, B, SDW
41737 支持通过SNMP获取地址簿在不同时间段的流量和会话信息。
41735 支持通过SNMP获取设备的整机功率。 A系列A3800及以上型号设备, X8180, X9180, X10800, X20812, K9180
41751 支持通过SNMP获取设备逻辑接口的最大带宽。 A, K, X, E,
CloudEdge, C, B
41763 支持通过SNMP获取CPU核的实时利用率以及最近1分钟/最近1小时的平均利用率。 A, K9180, K6280-GS, K5680, K3680, K3280, K2680, K2580, K2560, K2380, X10800, X8180, E, CloudEdge, C, B
33389 支持通过SNMP获取设备整机中申请分配会话资源失败的总次数。 A, K, X, E, CloudEdge, C, B, SDW
29630 支持通过SNMP查看NAT规则的命中统计信息。
41151 支持通过SNMP获取OSPF/OSPFv3/BGP邻居状态和BFD会话状态变更为DOWN的告警消息。
41157 支持通过SNMP获取系统进程异常的告警消息。
41159 支持通过SNMP获取设备当前NAT会话并发连接数和新建连接速率。

已知问题

编号 功能描述 涉及平台
SSL VPN
323249 当PC端安装了360安全卫士时，登录ZTNA及VPN客户端可能会出现报错的现象。
建议：将“%HOMEPATH%\Documents\Hillstone Secure Connect”目录添加至信任区。		 A, K, E, X, CloudEdge, C, B, SDW
329424 安装新版SSL VPN客户端后，如需安装旧版客户端，需要先卸载已安装的新版SSL VPN客户端。
287915 新版本SSL VPN客户端（如 Windows/Android/IOS）支持显示资源列表。当资源列表条目大于20时，旧版本SSL VPN客户端可能产生兼容问题。
建议：将SSL VPN客户端（如Windows/Android/IOS/Linux）均升级至最新版本。		 A, K, E, X, CloudEdge, C
333797/333798 设备在未安装SSL VPN许可证和ZTNA许可证的情况下，通过CLI方式和WebUI方式查看SSL VPN/ZTNA授权用户，可能会出现不一致的问题。
建议：实际授权用户数请以WebUI页面显示为准。		 A, K, E, X, CloudEdge, C, B, SDW
329186 新版SSL VPN Android客户端使用非国密证书登录方式，在连接配置中选择证书时，可能出现无法选择已安装的证书。
建议：通过手动方式选择已安装的证书。 		A, K, E, X, CloudEdge, C, B, SDW
335090 安装并使用新版SSL VPN Windows客户端，当用户PC的配置较低时，下载文件可能出现数据包收发不正常、SSL VPN客户端断开连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
327602 卸载SSL VPN macOS客户端，可能在“启动台”和“程序坞”出现客户端图标残留的现象。 A, K, E, X, CloudEdge, C, B, SDW
313034 防火墙设备在隧道路由中配置默认路由后，使用SSL VPN Android客户端连接后，可能出现无法访问内网资源的问题。 A, K, E, X, CloudEdge, C, B, SDW
334346/332965 SSL VPN macOS客户端运行过程中，重新唤起休眠状态的MAC后，可能会出现无法打开SSL VPN客户端界面或SSL VPN客户端断开连接且无法连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
335092 设备开启SPA功能后，新版Hillstone Secure Connect客户端可能会出现无法自动更新的问题。
建议：开启SPA功能后，通过手动更新的方式更新Hillstone Secure Connect客户端。 		A, K, E, X, CloudEdge, C, B, SDW
323920 Windows 7 SP1及以上版本的PC使用新版Hillstone Secure Connect客户端，可能会出现连接失败的问题。
建议：Windows 7 SP1及以上版本的PC的用户，请访问https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=Windows6.1-KB2533623-x86 或者 https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=windows6.1-kb4474419-v3-x86 按需下载补丁安装包，并手动安装补丁。 		A, K, E, X, CloudEdge, C, B, SDW
网络
268866-1(268866) 配置预留带宽后，因设备中插入不同扩展模块，其带宽分配算法基于不同模块的流量大小进行动态分配，可能出现预留带宽被占用而限速不准确的情况。 K9180
382629-1(382629) 不支持单独配置通配符“*”来匹配所有域名，如需匹配ABC.com时，不支持配置“*”，可配置为“*.com”。 A, K, E, X, CloudEdge, C, B, SDW
QoS
251079-0E0(280588) QoS不支持Peer-mode非对称路由场景下对user的限速。 A, K, E, X, CloudEdge, C
策略
332856 聚合策略不支持在添加策略时使用aggregate-rule{ name name | id} [ top | before {namerule-name| id} | after {namerule-name| id} ] 指定策略成员在聚合策略中的位置。 A, K, E, X, CloudEdge, C, B, SDW
RESTful API
348396 通过RESTful API接口查看单条预定义应用可能出现错误的现象。 A, K, E, X, CloudEdge, C, B, SDW
HA
286815 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备在线用户的用户组和角色信息的情况。 A, K, E, X, CloudEdge, C
330370 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备Webauth在线用户的情况。
云·界
310941-1(310941) 安装新版平台许可证后未重启，可能出现通过CLI仍能查看旧版VSN平台许可证，且该许可证VSN号显示异常的现象。 CloudEdge

StoneOS 5.5R10F5

发布概述

发布日期：2024年03月22日

5.5R10F5版本新增4个功能，合入60个功能。本次发布的新功能主要包括：网络方面，IOC-A-F-4SFP+、IOC-A-F-8SFP+、IOC-A-F-8GE接口扩展模块支持接口镜像功能，可以将接口的流量镜像到其它接口，对流量进行监控和分析；认证方面，支持启用/禁用SSL证书校验功能，当防火墙设备通过SSL加密的方式连接Active Directory/LDAP认证服务器时，如果用户无法获取认证服务器证书，可以选择禁用SSL证书校验功能，实现即使不导入证书，防火墙设备也可以成功连接至认证服务器；威胁防护方面，优化边界流量过滤Service黑名单、真实IP黑名单、MAC黑名单、IP信誉库日志产生机制，使分布式设备统一在主卡发送日志，确保一条命中记录一分钟只产生一条聚合日志。同时，RESTful API方面也有所增强。

所有功能概述，请参见本文档新增功能部分。

相关功能操作方面的新增和修改，请参见《StoneOS 5.5R10 F版本新功能说明》。

版本发布信息：https://fr.hillstonenet.com/show_bug.cgi?id=40733

5.5R10F5继承/合入详情：

平台和系统文件

产品型号 系统文件
SG-6000-A7600/A6800/A5860/A5800/A5660/A5600/A5560
/A5550/A5500/A5260/A5250/A5200/A5160/A5150/A5100
/A3810/A3800/A3700/A3610/A3600/A3000/A2810/A2800
/A2710/A2700/A2600/A2000/A1100/A1000
/B5600/B5200/B5000/B4600/B3600/B3200/B3000/B2000
 SG6000-A-1-5.5R10F5.img
SG6000-A-1-5.5R10F5-v6.img
SG-6000-A200/A200G4（4G版）/A200W（WLAN版）
/A200WG4（WLAN+4G版）
B600/SDW500/SDW500W/SDW500G4/SDW500WG4
/SDW300/SDW300W/SDW300G4/SDW300WG4
 SG6000-A-3-5.5R10F5.bin
SG6000-A-3-5.5R10F5-v6.bin
SG-6000-X20812/X20803 SG6000-XN-5.5R10F5.img
SG6000-XN-5.5R10F5-v6.img
SG-6000-X10800/X9180 SG6000-XL-5.5R10F5.bin
SG6000-XL-5.5R10F5-v6.bin
SG-6000-X8180 SG6000-XM-5.5R10F5.bin
SG6000-XM-5.5R10F5-v6.bin
SG-6000-X7180 SG6000-X7180-5.5R10F5.bin
SG6000-X7180-5.5R10F5-v6.bin
SG-6000-X6150-GS SG6000-X6150-GS-5.5R10F5.bin
SG6000-X6150-GS-5.5R10F5-v6.bin
SG-6000-K9180 SG6000-K-1-5.5R10F5.img
SG6000-K-1-5.5R10F5-v6.img
SG-6000-K2680/K2380 SG6000-K-2-5.5R10F5.img
SG6000-K-2-5.5R10F5-v6.img
SG-6000-K6280-GS/K6580 SG6000-K-5-5.5R10F5.img
SG6000-K-5-5.5R10F5-v6.img
SG-6000-K5680/K3680-GS/K3280/K2580/K2560/K1280 SG6000-K-4-5.5R10F5.img
SG6000-K-4-5.5R10F5-v6.img
SG-6000-E5960/E5760 /E5660 /E5560 /E5568 /E5260
/E5268/E3965 /E5168 /C6050 /C5650 /C5450 		SG6000-M-2-5.5R10F5.bin
SG6000-M-2-5.5R10F5-v6.bin
SG-6000-A2200 /A1800 /A1600 /E6360 /E6368 /E6160 /E6168 /E3960 /E3968
/E3662 /E3660 /E3668 /E2860 /E2868 /E2800 /E2300
/E1700/E1606 /E1600 /E1100（WLAN版）
/E1100（WLAN版+3G-WCDMA版）
/E1100（WLAN版+3G-CDMA版）
/E1100（3G-WCDMA版） /E1100（3G-CDMA版） /E1100（4G版）
/E1100（WLAN版+4G版）
/E1100W-GM /E1600-GM /E1700-GM /E2300-GM
/E2800-GM /E3660-GM /E3960-GM
/C5250/C5050 /C4550 /C4100 /C4000 /C3100
/C3000 /C2100/C2000 /C1500 /C1300 /C1200 （WLAN版） /C1000 /C600 		SG6000-M-3-5.5R10F5.bin
SG6000-M-3-5.5R10F5-v6.bin
SG-6000-VM01 /VM02 /VM04 /VM08 SG6000-CloudEdge-5.5R10F5
SG6000-CloudEdge-5.5R10F5-v6

新增功能

编号 功能描述 涉及平台
硬件
39205 A系列新增支持2U Bypass扩展模块：IOC-A-4MM-BE、IOC-A-4SM-BE。 A5860, A5660, A5560, A5260, A5160
33051 针对不同的业务场景，支持切换SIOM模块的工作模式，以提升设备性能。 X, K9180
WebUI
39197 策略/NAT/用户监控的会话详情页面支持展示发包数、收包数、发送流量、接收流量。 A, K, X, E, CloudEdge, C, B, SDW
系统
39239 优化连接山石云平台功能，包括：
  • 优化“日志上报”和“监控数据上报”功能选项的配置页面，支持在云·景页面配置该选项，并支持接收云景下发的该功能配置。
  • 用户体验计划内容更新，新增《上传内容说明》，可在WebUI页面点击查看。
  • 扩大云配置功能的控制范围，开启云配置功能后支持修改防火墙日志和监控数据的上传类型。
 A, K, X, E, CloudEdge, C, B, SDW
39235 支持通过show ssh命令查看SSH当前在线用户数。
39189 新增配置下发失败后的重试机制，减少直接报错和手动重试次数，提高配置下发的成功率。
新增exec retrytime命令用于指定配置下发的最长重试时间，默认重试时间为5秒。
36289 新增fragment centralized-mode命令用于配置IP分片报文是否在IOM/SIOM模块进行重组，以实现分片报文从不同IOM/SIOM模块进入设备时可以正常进行流量转发。 X, K9180
39167 系统支持使用“管理员USBKey”或“操作员USBKey”激活并管理密码卡。
说明：使用该功能需通过“安全操作员（operator）”角色登录设备。		 A2000-GM, A3000-GM
网络
37259 IOC-A-F-4SFP+、IOC-A-F-8SFP+、IOC-A-F-8GE接口扩展模块支持接口镜像功能，可以将接口的流量镜像到其它接口，对流量进行监控和分析。 SG-6000-A3810/A3610/A2810/A2710
策略
39241 会话限制功能支持限制每秒新建会话数。 A, K, X, E, CloudEdge, C, B, SDW
对象
39225 新增有序地址簿功能，支持按照地址成员的配置顺序保存地址成员。 A, K, X, E, CloudEdge, C, B, SDW
NAT
39191 NAT功能支持引用有序地址簿，实现在单条NAT规则中多个IP地址按照指定的IP顺序一对一进行转换。 A, K, X, E, CloudEdge, C, B, SDW
路由
38301 支持BGP路由反射器功能。 A, K, X, E, CloudEdge, C, B, SDW
认证
35529 支持启用/禁用SSL证书校验功能。当防火墙设备通过SSL加密的方式连接Active Directory/LDAP认证服务器时，如果用户无法获取认证服务器证书，可以选择禁用SSL证书校验功能，实现即使不导入证书，防火墙设备也可以成功连接至认证服务器。 A, K, X, E, CloudEdge, C, B, SDW
ALG
38559 ALG新增支持SIP协议Record-Route多URI格式。   A, K, X, E, CloudEdge, C, B, SDW
39245 设备开启DNS ALG功能后，系统支持通过WebUI或CLI方式配置DNAT是否参与DNS改写，避免DNS响应报文在仅需要匹配DNS改写规则的情况下误匹配DNAT规则，造成业务访问异常。
HA
39135/39213 /
39215/39217/
39219/39221/
39223		 优化HA批量同步机制，当备设备的配置多于主设备或配置顺序与主设备不一致时，可以批量同步成功。 A, K, X, E, CloudEdge, C, B, SDW
39187 支持通过BFD监测HA主备设备的工作状态，实现设备故障时的主备快速切换。
VPN
39185 在SSL VPN短信认证场景中，SGIP协议类型的短信网关支持配置短信模板。 A, K, X, E, CloudEdge, C, B, SDW
许可证
39127 优化入侵防御、病毒过滤、僵尸网络防御三种功能的试用许可证使用规则，若用户申请的是Version 3版本的试用许可证，过期后将无法继续使用功能。
说明：使用show license license-name命令可查看许可证版本。		 A, K, X, E, CloudEdge, C, B, SDW
监控
38691
  • 报表任务新增语言选项，用户可以根据需要选择报表内容的语言类型，支持中文和英文两种语言；
  • 立即生成报表的数据统计时间范围支持预定义时间；
  • 支持通过RESTful API接口新建、删除、编辑、查询报表模板；
  • 支持通过RESTful API接口新建、删除、编辑、查询报表任务；
  • 支持通过RESTful API接口查询报表状态，停止报表任务；
  • 支持通过RESTful API接口查询报表文件生成记录。
 A, K, X, E, CloudEdge, C, B, SDW
  • 支持通过RESTful API接口查询、删除已生成的报表文件，修改报表文件的状态。
 K, CloudEdge, 带硬盘的E系列，带硬盘的A1600/A1800/A2200及其它A系列型号（不含A200/A200G4/A200W/A200WG4）, X8180/X20812/X20803, 带硬盘的C系列, B系列（不含B600/B600G4/B600W/B600WG4）
日志
37812
  • 部分设备的URL日志支持存储到本地硬盘。
  • 支持设置URL日志的磁盘空间占比。
 CloudEdge, K（不含K9180）, 带硬盘的A（不含A2200、A1800和 A1600）、X和B系列
39133 支持在威胁日志及威胁事件页面展示攻击结果并通过筛选条件查看指定攻击结果的日志条目。 A, K, X, E, CloudEdge, C, B, SDW
39261 对于弱密码威胁日志，支持管理员在威胁日志中查看具体的弱密码信息。
39157 支持在威胁日志中展示攻击者IP和受害者IP。
支持通过攻击者和受害者筛选查看指定条件的日志。
支持将攻击者的IP加入黑名单进行阻断。
39139 支持通过筛选条件查看指定关联账号、认证用户的威胁日志。
支持在威胁日志中显示攻击中使用的用户名。
38903 支持通过命令行配置日志ID格式为十六进制或十进制，默认日志ID格式为十进制。
37325 支持为事件日志和流量日志配置不同的Facility字段以示区别。
39169 支持在威胁日志中显示威胁数据。 A, K, E, B, C（以上系列均仅针对安装有硬盘的设备）, X20812, X20803, X8180, CloudEdge
威胁防护
38749 优化边界流量过滤Service黑名单、真实IP黑名单、MAC黑名单、IP信誉库日志产生机制，使分布式设备统一在主卡发送日志，确保一条命中记录一分钟只产生一条聚合日志。 X, K9180, K6580
39137/39165/
39163		 支持将检测到的可疑行为与MITRE ATT&CK®模型进行映射，并在威胁日志和iCenter的威胁事件中进行展示，帮助用户更好地识别可疑行为。 A, K, X, E, CloudEdge, C, B, SDW
支持对MITRE ATT&CK®知识库进行升级。
39151/39153 支持HTTP明文密码检测功能，对登录成功的HTTP报文中的密码字段进行检测，若密码字段没有经过加密，则发出报警日志。
支持HTTP口令防护功能，对实际报文中代表用户名、密码、登录成功或失败的字段进行自定义配置。
39161 优化IPS引擎检测率。
39181/39211 支持通过CLI命令方式配置IPS HTTP多重解码功能，对经过URL或Unicode方式编码的HTTP协议报文进行多重解码，从而增强系统的检测防护能力。
39141 优化IPS引擎，支持base64编码扫描解析。
38899 IPS抓包功能新增支持K6580、X8180、X20803和X20812平台。 K6580, X8180, X20803, X20812
RESTful API
39087 支持通过RESTful API接口对API Token进行创建、查询、更新、续期、删除、启用、禁用操作。 A, K, X, E, CloudEdge, C, B, SDW
38695 支持通过RESTful API接口对应用组，应用过滤组进行创建，查询，更新，删除操作。
38699 支持通过RESTful API接口对iQoS进行配置。
39511 支持通过RESTful API接口进行链路配置并查看接口的采样流量信息，包括延迟、丢包率、抖动。
39197 支持通过RESTful API获取会话的发包数、收包数、发送流量、接收流量。
39245 支持通过RESTful API接口开启或关闭DNAT参与DNS改写功能。
SNMP
39235 支持通过SNMP获取SSH当前连接数和SSH最大连接数。 A, K, X, E, CloudEdge, C, B, SDW

已知问题

编号 功能描述 涉及平台
SSL VPN
323249 当PC端安装了360安全卫士时，登录ZTNA及VPN客户端可能会出现报错的现象。
建议：将“%HOMEPATH%\Documents\Hillstone Secure Connect”目录添加至信任区。		 A, K, E, X, CloudEdge, C, B, SDW
329424 安装新版SSL VPN客户端后，如需安装旧版客户端，需要先卸载已安装的新版SSL VPN客户端。
287915 新版本SSL VPN客户端（如 Windows/Android/IOS）支持显示资源列表。当资源列表条目大于20时，旧版本SSL VPN客户端可能产生兼容问题。
建议：将SSL VPN客户端（如Windows/Android/IOS/Linux）均升级至最新版本。		 A, K, E, X, CloudEdge, C
333797/333798 设备在未安装SSL VPN许可证和ZTNA许可证的情况下，通过CLI方式和WebUI方式查看SSL VPN/ZTNA授权用户，可能会出现不一致的问题。
建议：实际授权用户数请以WebUI页面显示为准。		 A, K, E, X, CloudEdge, C, B, SDW
329186 新版SSL VPN Android客户端使用非国密证书登录方式，在连接配置中选择证书时，可能出现无法选择已安装的证书。
建议：通过手动方式选择已安装的证书。 		A, K, E, X, CloudEdge, C, B, SDW
335090 安装并使用新版SSL VPN Windows客户端，当用户PC的配置较低时，下载文件可能出现数据包收发不正常、SSL VPN客户端断开连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
327602 卸载SSL VPN macOS客户端，可能在“启动台”和“程序坞”出现客户端图标残留的现象。 A, K, E, X, CloudEdge, C, B, SDW
313034 防火墙设备在隧道路由中配置默认路由后，使用SSL VPN Android客户端连接后，可能出现无法访问内网资源的问题。 A, K, E, X, CloudEdge, C, B, SDW
334346/332965 SSL VPN macOS客户端运行过程中，重新唤起休眠状态的MAC后，可能会出现无法打开SSL VPN客户端界面或SSL VPN客户端断开连接且无法连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
335092 设备开启SPA功能后，新版Hillstone Secure Connect客户端可能会出现无法自动更新的问题。
建议：开启SPA功能后，通过手动更新的方式更新Hillstone Secure Connect客户端。 		A, K, E, X, CloudEdge, C, B, SDW
323920 Windows 7 SP1及以上版本的PC使用新版Hillstone Secure Connect客户端，可能会出现连接失败的问题。
建议：Windows 7 SP1及以上版本的PC的用户，请访问https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=Windows6.1-KB2533623-x86 或者 https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=windows6.1-kb4474419-v3-x86 按需下载补丁安装包，并手动安装补丁。 		A, K, E, X, CloudEdge, C, B, SDW
网络
268866-1(268866) 配置预留带宽后，因设备中插入不同扩展模块，其带宽分配算法基于不同模块的流量大小进行动态分配，可能出现预留带宽被占用而限速不准确的情况。 K9180
382629-1(382629) 不支持单独配置通配符“*”来匹配所有域名，如需匹配ABC.com时，不支持配置“*”，可配置为“*.com”。 A, K, E, X, CloudEdge, C, B, SDW
QoS
251079-0E0(280588) QoS不支持Peer-mode非对称路由场景下对user的限速。 A, K, E, X, CloudEdge, C
策略
332856 聚合策略不支持在添加策略时使用aggregate-rule{ name name | id} [ top | before {namerule-name| id} | after {namerule-name| id} ] 指定策略成员在聚合策略中的位置。 A, K, E, X, CloudEdge, C, B, SDW
RESTful API
348396 通过RESTful API接口查看单条预定义应用可能出现错误的现象。 A, K, E, X, CloudEdge, C, B, SDW
HA
286815 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备在线用户的用户组和角色信息的情况。 A, K, E, X, CloudEdge, C
330370 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备Webauth在线用户的情况。
云·界
310941-1(310941) 安装新版平台许可证后未重启，可能出现通过CLI仍能查看旧版VSN平台许可证，且该许可证VSN号显示异常的现象。 CloudEdge

StoneOS 5.5R10F4

发布概述

发布日期：2023年12月22日

5.5R10F4版本新增43个功能，合入79个功能。本次发布的重点功能包含：

所有功能概述，请参见本文档新增功能部分。

相关功能操作方面的新增和修改，请参见《StoneOS 5.5R10 F版本新功能说明》。

版本发布信息：https://fr.hillstonenet.com/show_bug.cgi?id=39099

5.5R10F4继承/合入详情：

平台和系统文件

产品型号 系统文件
SG-6000-A5550/A5500/A5260/A5250/A5200/A5160/A5150/A5100
/A3810/A3800/A3700/A3610/A3600/A3000/A2810/A2800
/A2710/A2700/A2600/A2000/A1100/A1000
/B5600/B5200/B5000/B4600/B3600/B3200 /B3000/B2000
A7600/A6800/A5860/A5800/A5660/A5600/A5560/
SG6000-A-1-5.5R10F4.img
SG6000-A-1-5.5R10F4-v6.img
SG-6000-A200/A200G4（4G版）/A200W（WLAN版）
/A200WG4（WLAN+4G版）
B600/SDW500/SDW500W/SDW500G4/SDW500WG4
/SDW300/SDW300W/SDW300G4/SDW300WG4
 SG6000-A-3-5.5R10F4.bin
SG6000-A-3-5.5R10F4-v6.bin
SG-6000-X20812/X20803 SG6000-XN-5.5R10F4.img
SG6000-XN-5.5R10F4-v6.img
SG-6000-X10800/X9180 SG6000-XL-5.5R10F4.bin
SG6000-XL-5.5R10F4-v6.bin
SG-6000-X8180 SG6000-XM-5.5R10F4.bin
SG6000-XM-5.5R10F4-v6.bin
SG-6000-X7180 SG6000-X7180-5.5R10F4.bin
SG6000-X7180-5.5R10F4-v6.bin
SG-6000-X6150-GS SG6000-X6150-GS-5.5R10F4.bin
SG6000-X6150-GS-5.5R10F4-v6.bin
SG-6000-K9180 SG6000-K-1-5.5R10F4.img
SG6000-K-1-5.5R10F4-v6.img
SG-6000-K2680/K2380 SG6000-K-2-5.5R10F4.img
SG6000-K-2-5.5R10F4-v6.img
SG-6000-K6280-GS/K6580 SG6000-K-5-5.5R10F4.img
SG6000-K-5-5.5R10F4-v6.img
SG-6000-K5680/K3680-GS/K3280/K2580/K2560/K1280 SG6000-K-4-5.5R10F4.img
SG6000-K-4-5.5R10F4-v6.img
SG-6000-E5960/E5760 /E5660 /E5560 /E5568 /E5260 /E5268/E3965 /E5168 /C6050 /C5650 /C5450 SG6000-M-2-5.5R10F4.bin
SG6000-M-2-5.5R10F4-v6.bin
SG-6000-A2200 /A1800 /A1600 /E6360 /E6368 /E6160 /E6168 /E3960 /E3968
/E3662 /E3660 /E3668 /E2860 /E2868 /E2800 /E2300
/E1700/E1606 /E1600 /E1100（WLAN版）
/E1100（WLAN版+3G-WCDMA版）
/E1100（WLAN版+3G-CDMA版）
/E1100（3G-WCDMA版） /E1100（3G-CDMA版） /E1100（4G版）
/E1100（WLAN版+4G版）
/E1100W-GM /E1600-GM /E1700-GM /E2300-GM
/E2800-GM /E3660-GM /E3960-GM
/C5250/C5050 /C4550 /C4100 /C4000 /C3100
/C3000 /C2100/C2000 /C1500 /C1300 /C1200 （WLAN版） /C1000 /C600 		SG6000-M-3-5.5R10F4.bin
SG6000-M-3-5.5R10F4-v6.bin
SG-6000-VM01 /VM02 /VM04 /VM08 SG6000-CloudEdge-5.5R10F4
SG6000-CloudEdge-5.5R10F4-v6

新增功能

编号 功能描述 涉及平台
硬件
36705 SG-6000-K2680设备支持CF卡，存储空间为32G。 K2680
36681 SG-6000-K6280-GS设备支持eMMC，存储空间为64G。 K6280-GS
36659 A系列新增支持SG-6000-A3810、SG-6000-A3610、SG-6000-A2810和SG-6000-A2710平台。 A3810, A3610, A2810, A2710
36563 A系列新增支持SG-6000-A2200、SG-6000-A1800和SG-6000-A1600平台。 A2200, A1800, A1600
36579 X系列新增支持高端分布式防火墙SG-6000-X20803平台。SG-6000-X20803支持双主控、双电源，且支持拓展3个SIOM模块。 X20803
36839 A系列新增支持SG-6000-A5860、SG-6000-A5660、SG-6000-A5560、SG-6000-A5260和SG-6000-A5160平台。 A5860, A5660, A5560, A5260, A5160
32496 A系列部分设备的1GE(SFP)光接口支持降速为100Mbps。降速后，支持使用1GE(SFP)单模光模块及对应光纤与对端的100Mbps光接口进行对接。 A5500/A5200/A5100/A3810/A3610/
A2810/A2710/A3800/A3700/A3600/
A3000/A3000-GM/A2800/A2700
系统
36591 支持问题反馈模板。当用户发现许可证中的信息与实际信息不一致，或者遇到其他与许可证相关的问题时，可以使用该模板填写需要反馈的问题，并将内容一键复制粘贴至邮箱进行反馈。 A, K, X, E, CloudEdge, C, B, SDW
36743
  • 新增exec ssh generate-host-key rsa modulus {1024 | 2048 | 4096}命令用于指定RSA算法生成的密钥位数。
  • 支持通过show ssh命令查看RSA算法生成的密钥位数以及SSH协议支持的各类算法。
36521 云·界连接LMS时支持配置IPv6地址。 CloudEdge
36543 VSYS支持DHCP零配置开局功能。 A, B, K3280, K2680, K2580, K2380
34281 支持连接智源平台，防火墙设备作为网络设备与智源连接后，支持将威胁日志及证据报文发送至智源进行分析。 A, K, E, X, CloudEdge, C, B, SDW
27416/37341 支持Docker管理功能，可以在系统中创建Docker，为Docker分配系统资源，导入Docker镜像文件，并基于Docker运行容器应用。 A、B
29058/34005/
31650/32980/
34207/34211/
34209
  • 支持将设备中的IoT资产数据信息发送至智源平台。
  • 支持将IoT报表数据以及IoT资产数据发送至山石云平台。
A, K, E, X, C, B, SDW
策略
36593 策略规则调用服务时，支持将服务内容作为关键字进行模糊搜索，以筛选出指定的策略规则。 A, K, E, X, CloudEdge, C, B
配置策略规则的服务时，支持对服务的名称、协议类型、端口号等条件进行筛选。
36657 在无DNS服务器的场景下，防火墙的安全策略可以基于域名或域名簿，对HTTP/HTTPS访问流量进行控制。 A, K, X, E, CloudEdge, C, B, SDW
29058/34005/
31650/32980/
34207/34211/
34209		 支持配置基于设备对象的策略规则。 A, K, E, X, C, B, SDW
NAT
36669 扩大SNAT规则/双向NAT规则在动态端口模式下转换IP的地址范围。 A, K, X, E, CloudEdge, C, B, SDW
监控
36703 长期监控功能新增“并发连接”和“新建连接”两种排行依据，用户可以根据IP/应用的并发连接数或新建连接数查询统计数据。 A, K（不含K9180）, B
（以上系列均针对安装有硬盘的设备）
29969 支持通过链路探测规则进行持续性链路质量探测，包括延迟、抖动和丢包率。 A, K, E, X, CloudEdge, C, B, SDW
路由
29749 支持在Vif接口上配置组播服务反射MSR功能。 A, K（不含K9180、K6580）, E, CloudEdge, C, B, SDW
36859 支持配置非直连组播源的组播源地址，可以满足组播源DR与组播源跨网段组播的场景。 A, K, E, X, CloudEdge, C, B, SDW
IPv6
36557 优化IPv6 ND表项刷新机制，支持配置ND表项的老化时间，对于超过老化时间的ND表项支持直接删除或者重新进行有效性探测。 A, K, E, X, CloudEdge, C, B
AAA服务器
33185
  • 系统支持配置OAuth2服务器。
  • Webauth支持OAuth2认证方式。
A, K, E, X, CloudEdge, C, B, SDW
VPN
33723 Hillstone Secure Connect客户端支持OAuth2认证方式。 A, K, E, X, CloudEdge, C, B, SDW
35629 优化SSL VPN和ZTNA功能，支持在配置隧道路由时指定用户组或角色。用户成功登录SSL VPN/ZTNA客户端后，防火墙将下发该用户所属用户组或角色的隧道路由。
32641 L2TP VPN支持用户下线告警功能，通过创建用户下线告警模板并在L2TP VPN实例引用，实现对下线用户情况的监控。
支持通过SNMP查询L2TP VPN在线用户数。
支持通过“公网IP”查询L2TP VPN在线用户。
ZTNA
29000 支持配置国产操作系统终端标签，支持对国产操作系统Kylin V10和UOS 20进行终端信息管理。 A, K, E, X, CloudEdge, C, B, SDW
35263 支持上传应用资源的Logo图标或通过配置超链接后自动获取Logo图标，用于应用资源在ZTNA Portal页面的图标展示。
31579 ZTNA的应用资源规则支持配置端口范围。
云平台
30073 支持将UDP类型的DNS流量上传到云端。 A, K（不含K9180、K6580）, E, CloudEdge, C, B, SDW
用户认证
34797 SSO Monitor最大认证用户数从4096增加至8096。 E2860, E2868
RESTful API
36583 支持通过RESTful API接口导出.csv格式的设备特征库列表文件。 A, K, E, X, CloudEdge, C, B, SDW
36551 支持通过RESTful API查看设备每个CPU的实时利用率。
36657 策略配置接口增加域名（domain）和域名簿（domain_book）字段。
36671 支持通过RESTful API接口开启反弹shell检测和防护能力。
36673 支持通过RESTful API接口取消或恢复配置直连路由优先功能。
34325/35049 支持通过RESTful API统计任意数据类型和任意组织方式的自定义统计集数据。
33288
  • 支持通过Restful API配置自定义URL类别、URL、URL黑/白名单、URL过滤模板。
  • 支持通过Restful API查询预定义URL类别、预定义关键字类别
33220 支持通过RESTful API配置抓包自流量功能。
34301 支持通过RESTful API配置响应Traceroute流量功能。
35627 支持通过RESTful API配置自定义HA MAC地址。
36411 支持通过RESTful API配置接口首包代理功能。
36441 支持通过RESTful API配置隧道接口的Virtual Wire功能。
日志
36631
  • 云·界新增支持NAT日志和会话日志存储到本地数据库。
  • 云·界新增支持设置NAT日志和会话日志的磁盘空间占比。
 K（不含K9180）, CloudEdge, 带硬盘的A（不含A2200, A1800, A1600）、X和B系列
35781 会话日志过滤条件新增“AAA:用户@主机”和“应用”，支持通过WebUI方式查看指定AAA服务器的用户或应用的会话日志信息。 A, K, E, X, CloudEdge, C, B, SDW
33269
  • 日志配置中新增“手机短信发送方式”的配置，支持选择短信网关和短信猫发送方式。
  • 在短信猫的基础上，新增支持通过短信网关将日志信息以短信的形式发送到手机上。
 A, K, E, X, CloudEdge, C, B, SDW
威胁防护
36683 支持手动导入/导出、自动导入、查询、删除僵尸网络防御黑名单库 。 A（不含A2200, A1800, A1600）, K, X, CloudEdge, B
36687 优化僵尸网络防御威胁日志和威胁事件的名称。 A, K, X, E, CloudEdge, C, B
36699 扩大僵尸网络防御黑白名单容量上限，并采用共享资源配置方式管理僵尸网络防御黑白名单容量。
36691
  • 优化入侵防御/检测模板配置页面，分为基础信息、漏洞防护、Web防护、口令防护和异常流量检测五部分，并增加导航栏。
  • 支持一键启用/禁用所有类型协议的暴力破解功能。
  • 支持通过WebUI配置可疑UA检测。
 A, K, E, X, CloudEdge, C, B, SDW
36695 攻击防护功能支持对网络扫描行为进行阻断。
33244 新增蜜罐诱捕功能，防火墙设备支持与山石网科智网欺骗诱捕系统（简称“蜜罐系统”）联动，通过在防火墙设备中连接蜜罐系统并配置诱捕规则，将命中诱捕规则的攻击者IP引流到蜜罐系统中进行封堵，避免用户的真实业务环境遭到攻击。
36663
  • 支持开启和关闭智能文件引擎检测功能。
  • 支持更新和下载病毒过滤智能文件引擎库。
  • 支持从本地导入病毒过滤智能文件引擎库文件。
 A（不含A200/A1600/A1800/A2200）, K2680, K2380, K6280-GS, K6580, K9180, X20803, X20812, CloudEdge, B（不含B600）
  • 支持通过CLI方式为智能文件引擎分配CPU资源。
  • 支持通过CLI方式开启和关闭智能文件引擎多进程功能。
 A（不含A200/A1600/A1800/A2200）, K2680, K2380, K6280-GS, CloudEdge, B（不含B600）
36513
  • 支持将DNS应答报文中的IP地址替换为Sinkhole IP地址，当失陷主机再次访问该IP地址时，可通过生成日志的源IP发现失陷主机；
  • 支持通过威胁日志和iCenter查看DGA域名所属家族分类；（SG-6000-A1600/A1800/A2200平台不支持）
  • 支持将DGA检测结果上传至云平台，在云平台中对模型进行不断的优化，进一步消除误报；
  • 优化基于词根类型、正常域名变形的DGA域名检测率；降低白名单域名的误报率。
说明：需升级至最新的特征库。 		A, X, K6580,K9180,B
DNS
36601
  • 支持将IPv6类型的DNS映射条目添加到缓存，并支持对其进行查看、编辑和删除。
  • 支持对域名（包含IPv4和IPv6类型）进行精确搜索，便于筛选出指定域名的DNS缓存信息。
 A, K, E, X, CloudEdge, C, B
36837 支持通过ip domain interval-time命令配置设备向DNS服务器发送DNS请求的最大时间间隔。
36597
  • 支持对主动模式解析到的单个域名配置老化时间（TTL），超过TTL值将再次向DNS服务器发起请求。
  • 支持对手动添加的DNS映射条目配置TTL，当设备开启DNS代理功能并且命中该缓存时，可以将其TTL值返回给客户端。
36595 DNS解析配置的自定义保存时间范围扩大至60到86400秒。
36835 支持通过CLI配置DNS Snooping主动解析UDP报文的长度。
36759 支持安全DNS功能，通过对接360安全DNS，在提升传输安全性的同时，进一步增强恶意域名的检测和防护能力。 A, K, E, X, CloudEdge, C, B, SDW
接口
36547
  • 支持通过RestFul API接口查看接口的收包总数和发包总数。
  • 支持通过WebUI的首页页面查看接口的收包总数和发包总数。
A, K, E, X, CloudEdge, C, B, SDW
35627 支持配置接口的自定义HA MAC地址，用于在HA场景下主设备的流量转发。
36411 支持开启接口首包代理功能，获取并记录接口流量中HTTP/HTTPS报文内的域名信息。
36441 优化Virtual Wire配置，支持选择隧道接口配置为Virtual Wire接口对。
网络
32310 支持应用层快转功能，当应用层安全功能仅开启入侵防御功能且当达到入侵防御规则（IPS Profile）中配置的协议扫描最大长度时，使用该功能可使应用层流量将不再上送业务模块卡（SSM模块）或CPU进行解析处理，从而提高系统性能。 A7600、A6800、X、K9180
33220 优化在线抓包任务，新增“包含自流量”功能开关，启用后抓取的数据包中将包含设备自身收发流量。 A, K, E, X, CloudEdge, C, B, SDW
34301 支持开启/关闭响应Traceroute流量功能，来控制设备对非设备自身Traceroute流量不进行响应，以实现隐藏设备IP地址信息的目的，减少设备被发现并攻击的可能。
短信网关
33271 HTTP(S)协议短信网关属性字段支持配置为数组对象，以数组形式存储参数值。 A, K, E, X, CloudEdge, C, B, SDW
32841 支持为HTTP(S)协议短信网关属性配置节点名称，协议子类型增加“ZGC”，实现与中关村短信网关平台对接。
MIB
35733 Trap信息新增时间属性，用于表示Trap信息的发生时间。 A, K, E, X, CloudEdge, C, B, SDW
36571 支持风扇、温度、电源恢复正常的Trap信息。 A（不含A1100、A1000、A200、
A200W、A200G4、A200WG4）, K（不含K9180）, E, C, B（不含B600、B600G4、B600W、B600WG4、B2000）
支持温度、电源恢复正常的Trap信息。 A1100, A1000, A200,
A200W, A200G4, A200WG4, B600, B600G4, B600W, B600WG4, B2000, SDW
36573 支持CPU利用率、内存状态、磁盘空间、接口带宽利用率恢复正常的Trap信息。
 A, K（不含K9180）, CloudEdge, E, C, B, SDW
支持硬盘利用率的Trap信息。
注意：仅带硬盘的设备支持硬盘利用率的Trap信息。		 A, K（不含K9180）, E, C, B
云·界
37217 云·界与LMS失联30天后从设备自动重启优化为锁定配置。 CloudEdge
对象
29058/34005/
31650/32980/
34207/34211/
34209		 新增设备对象配置，可以按照设备的多种维度（包括设备厂商、类型、设备型号、操作系统等）将一个或多个IoT设备归类配置成一个设备集合。并且支持查看根据设备对象属性映射的IoT设备IP详情。 A, K, E, X, C, B, SDW
IoT安全监控
29058/34005/
31650/32980/
34207/34211/
34209
  • 优化资产识别方式以及可识别的IoT设备类型，支持通过云端资产识别和本地资产识别两种方式识别网络内各类型的IoT设备。
  • 支持云端资产识别，系统从经过设备的流量中提取IoT设备指纹信息并上送至云端，通过云端资产识别服务进行识别IoT设备。
  • 支持外置本地资产识别，在虚拟机上安装资产识别程序，使用部署在虚拟机中的资产识别系统进行IoT资产识别。
  • 优化识别名单，支持配置IP、MAC或IP/MAC类型的识别名单，对于开启IoT监控功能且绑定识别名单的安全域，系统可对其流量进行基于识别名单的IoT设备识别
  • 支持对安全域流量进行基于识别名单的IoT设备识别，并支持引用流量中的MAC地址。
  • 支持解析DHCP协议和HTTP协议的IoT监控流量。
 A, K, E, X, C, B, SDW
支持内置本地资产识别，使用防火墙系统的Docker管理功能，将资产识别系统部署在防火墙内部进行IoT资产识别。 A（A2600及以上型号）、B（B3200及以上型号）

已知问题

编号 功能描述 涉及平台
SSL VPN
323249 当PC端安装了360安全卫士时，登录ZTNA及VPN客户端可能会出现报错的现象。
建议：将“%HOMEPATH%\Documents\Hillstone Secure Connect”目录添加至信任区。		 A, K, E, X, CloudEdge, C, B, SDW
329424 安装新版SSL VPN客户端后，如需安装旧版客户端，需要先卸载已安装的新版SSL VPN客户端。
287915 新版本SSL VPN客户端（如 Windows/Android/IOS）支持显示资源列表。当资源列表条目大于20时，旧版本SSL VPN客户端可能产生兼容问题。
建议：将SSL VPN客户端（如Windows/Android/IOS/Linux）均升级至最新版本。		 A, K, E, X, CloudEdge, C
333797/333798 设备在未安装SSL VPN许可证和ZTNA许可证的情况下，通过CLI方式和WebUI方式查看SSL VPN/ZTNA授权用户，可能会出现不一致的问题。
建议：实际授权用户数请以WebUI页面显示为准。		 A, K, E, X, CloudEdge, C, B, SDW
329186 新版SSL VPN Android客户端使用非国密证书登录方式，在连接配置中选择证书时，可能出现无法选择已安装的证书。
建议：通过手动方式选择已安装的证书。 		A, K, E, X, CloudEdge, C, B, SDW
335090 安装并使用新版SSL VPN Windows客户端，当用户PC的配置较低时，下载文件可能出现数据包收发不正常、SSL VPN客户端断开连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
327602 卸载SSL VPN macOS客户端，可能在“启动台”和“程序坞”出现客户端图标残留的现象。 A, K, E, X, CloudEdge, C, B, SDW
313034 防火墙设备在隧道路由中配置默认路由后，使用SSL VPN Android客户端连接后，可能出现无法访问内网资源的问题。 A, K, E, X, CloudEdge, C, B, SDW
334346/332965 SSL VPN macOS客户端运行过程中，重新唤起休眠状态的MAC后，可能会出现无法打开SSL VPN客户端界面或SSL VPN客户端断开连接且无法连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
335092 设备开启SPA功能后，新版Hillstone Secure Connect客户端可能会出现无法自动更新的问题。
建议：开启SPA功能后，通过手动更新的方式更新Hillstone Secure Connect客户端。 		A, K, E, X, CloudEdge, C, B, SDW
323920 Windows 7 SP1及以上版本的PC使用新版Hillstone Secure Connect客户端，可能会出现连接失败的问题。
建议：Windows 7 SP1及以上版本的PC的用户，请访问https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=Windows6.1-KB2533623-x86 或者 https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=windows6.1-kb4474419-v3-x86 按需下载补丁安装包，并手动安装补丁。 		A, K, E, X, CloudEdge, C, B, SDW
网络
268866-1(268866) 配置预留带宽后，因设备中插入不同扩展模块，其带宽分配算法基于不同模块的流量大小进行动态分配，可能出现预留带宽被占用而限速不准确的情况。 K9180
382629-1(382629) 不支持单独配置通配符“*”来匹配所有域名，如需匹配ABC.com时，不支持配置“*”，可配置为“*.com”。 A, K, E, X, CloudEdge, C, B, SDW
QoS
251079-0E0(280588) QoS不支持Peer-mode非对称路由场景下对user的限速。 A, K, E, X, CloudEdge, C
策略
332856 聚合策略不支持在添加策略时使用aggregate-rule{ name name | id} [ top | before {namerule-name| id} | after {namerule-name| id} ] 指定策略成员在聚合策略中的位置。 A, K, E, X, CloudEdge, C, B, SDW
RESTful API
348396 通过RESTful API接口查看单条预定义应用可能出现错误的现象。 A, K, E, X, CloudEdge, C, B, SDW
HA
286815 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备在线用户的用户组和角色信息的情况。 A, K, E, X, CloudEdge, C
330370 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备Webauth在线用户的情况。
云·界
310941-1(310941) 安装新版平台许可证后未重启，可能出现通过CLI仍能查看旧版VSN平台许可证，且该许可证VSN号显示异常的现象。 CloudEdge

StoneOS 5.5R10F3

发布概述

发布日期：2023年9月28日

5.5R10F3版本新增13个功能，合入134个功能。本次发布的新功能主要包括：系统方面，防火墙支持作为SSH或者Telnet客户端，连接并登录其它SSH或者Telnet服务器设备；对象方面，用户可以根据需要自定义IP地址的地理位置信息；认证方面，HTTPS Web认证场景中支持引用系统中已配置的证书链；云平台方面，支持根据云平台或者HSM下发的配置脚本执行相应的配置命令，另外，支持将接口统计信息上报至云·景；云·界方面，支持指定HA对端IP和下一跳网关，实现跨三层网络HA协商与同步，在阿里云上支持部署HA的Peer Actve-Actve(A/A)工作模式，实现跨AZ的HA协商与同步。同时，在日志和RESTful API方面也有所增强。

所有功能概述，请参见本文档新增功能部分。

相关功能操作方面的新增和修改，请参见《StoneOS 5.5R10 F版本新功能说明》。

版本发布信息：https://fr.hillstonenet.com/show_bug.cgi?id=37445

5.5R10F3继承/合入详情：

平台和系统文件

产品型号 系统文件
SG-6000-A7600/A6800/A5800/A5600/A5550/A5500/A5250/A5200/A5150
/A5100/A3800/A3700/A3600
/A3000/A2800/A2700/A2600/A2000/A1100/A1000
/B5600/B5200/B5000/B4600/B3600/B3200 /B3000/B2000
 SG6000-A-1-5.5R10F3.img
SG6000-A-1-5.5R10F3-v6.img
SG-6000-A200/A200G4（4G版）/A200W（WLAN版）
/A200WG4（WLAN+4G版）
B600/SDW500/SDW500W/SDW500G4/SDW500WG4
/SDW300/SDW300W/SDW300G4/SDW300WG4		 SG6000-A-3-5.5R10F3.bin
SG6000-A-3-5.5R10F3-v6.bin
SG-6000-X20812 SG6000-XN-5.5R10F3.img
SG6000-XN-5.5R10F3-v6.img
SG-6000-X10800/X9180 SG6000-XL-5.5R10F3.bin
SG6000-XL-5.5R10F3-v6.bin
SG-6000-X8180 SG6000-XM-5.5R10F3.bin
SG6000-XM-5.5R10F3-v6.bin
SG-6000-X7180 SG6000-X7180-5.5R10F3.bin
SG6000-X7180-5.5R10F3-v6.bin
SG-6000-X6150-GS SG6000-X6150-GS-5.5R10F3.bin
SG6000-X6150-GS-5.5R10F3-v6.bin
SG-6000-K9180 SG6000-K-1-5.5R10F3.img
SG6000-K-1-5.5R10F3-v6.img
SG-6000-K2680/K2380 SG6000-K-2-5.5R10F3.img
SG6000-K-2-5.5R10F3-v6.img
SG-6000-K6280-GS/K6580 SG6000-K-5-5.5R10F3.img
SG6000-K-5-5.5R10F3-v6.img
SG-6000-K5680/K3680-GS/K3280/K2580/K2560/K1280 SG6000-K-4-5.5R10F3.img
SG6000-K-4-5.5R10F3-v6.img
SG-6000-E5960/E5760 /E5660 /E5560 /E5568 /E5260 /E5268/E3965 /E5168 /C6050 /C5650 /C5450 SG6000-M-2-5.5R10F3.bin
SG6000-M-2-5.5R10F3-v6.bin
SG-6000-VM01 /VM02 /VM04 /VM08 SG6000-CloudEdge-5.5R10F3
SG6000-CloudEdge-5.5R10F3-v6

新增功能

编号 功能描述 涉及平台
硬件
34491 新增支持SG-6000-K2560国产化平台。 K2560
34565 新增支持国产化低端防火墙SG-6000-K1280平台，以满足基层行业的信创设备需求。 K1280
34579 新增支持X系列平台SG-6000-X20812。 X20812
34581 新增支持A系列平台SG-6000-A5550、SG-6000-A5250和SG-6000-A5150。 A
34567 新增支持国产化高端防火墙SG-6000-K6580平台。 K6580
系统
32838 防火墙设备支持作为SSH或者Telnet客户端，连接并登录其它SSH或者Telnet服务器设备。  A, K, E, X, CloudEdge, C, B, SDW
34725  支持通过开启/关闭SNMP OID统计功能，查看SNMP OID统计详情和状态。
34885 支持配置自动备份文件到FTP服务器时的CPU阈值，当CPU占用率超过指定阈值时，该周期内不向FTP服务器发送配置文件，等待下个周期再次尝试发送。
34599
  • 支持配置HTTP内容安全策略，提高Web安全性。
  • 支持通过show http命令查看内容安全策略的相关配置。
34707 支持DHCP零配置开局。对于A系列设备和部分K系列设备（K3280/K2680/K2580/K2380），出厂设备的ethernet0/3接口的默认配置中新增安全域配置、开启DHCP配置以及Option 60配置，上电启动后即可通过DHCP方式自动获取并加载配置文件以完成自动部署。 A, B, K3280, K2680, K2580, K2380, SDW
支持通过命令行开启或关闭DHCP客户端携带Option 60字段（供应商类型标识符）功能，并支持自定义配置Option 60字段信息。 A, K, E, X, CloudEdge, C, B, SDW
对象
29675/32730
  • 支持自定义IP归属地功能，用户可以根据需要自定义IP地址的地理位置信息。例如，当IP地理库中IP地址的归属地信息有误时，用户可以自定义IP地址的归属地信息。
  • 查询IP地址的归属地信息时，系统优先查询自定义归属地信息。
 A, K, E, X, CloudEdge, C, B, SDW
策略
34497 安全策略支持匹配DNAT转换后的目的地址。 A, K, E, X, CloudEdge, C, B, SDW
NAT
34849 SNAT支持NPTv6转换模式，实现IPv6地址转换。 A, K, X, E, CloudEdge, C, B, SDW
SNMP
34723
  • 支持通过WebUI将MIB文件下载到本地。
  • 支持通过CLI将MIB文件导出到指定服务器。
   A, K, X, E, CloudEdge, C, B, SDW
34851 支持通过SNMP获取BGP邻居信息，包括BGP邻居的IP地址、状态、AS号及实例VRouter。
网络
34821 开启L4层检查功能后，系统对流经L4层的TCP协议报文进行检查，若检查出TCP包存在异常，则将该TCP包丢弃。 A, K, E, X, CloudEdge, C, B, SDW
34809 支持通过克隆MAC地址的方式，为三层隧道接口配置相同的MAC地址。 CloudEdge
34709 X系列设备支持对BGP、Track ICMP和Track DNS协议报文进行优先处理，以增强设备稳定性。 X
认证
33357 HTTPS Web认证场景中支持引用系统中已配置的证书链。 A, K, E, X, CloudEdge, C, B, SDW
VPN
34807/34815 VXLAN支持配置三层隧道接口。 CloudEdge
在非根VSYS中VXLAN静态隧道的出接口支持配置为子接口。 A, K, E, X, CloudEdge, C, B, SDW
34775
  • 支持配置IPSec-XAUTH IPv6地址池。
  • 支持通过拨入用户名和私有IP对拨号用户进行筛选。
  • 支持在监控的认证用户页面查看已拨入用户的IPv6地址。
34799/34865
  • 支持在Windows/Linux/macOS客户端侧进行手动检查更新。
  • 支持通过show secure-connect client-info命令查看客户端的下载源。
  • 支持通过secure-connect update-url命令配置Windows、Linux、MacOS客户端下载源。
ZTNA
34731 终端标签日志支持输出到设备硬盘中。 X20812
高可靠性
34559 支持通过SNMP获取HA Active-Passive（A/P）模式下HA组的设备状态，包括对端设备HA状态、主设备和备份设备HA状态、主设备和备份设备状态变更历史次数。 A, K, X, E, CloudEdge, C, B, SDW
34863
  • 新增HA专用虚拟路由器（VR）“ha-link-vr”，且安全域HA默认绑定“ha-link-vr”虚拟路由器。
  • “ha-link-vr”虚拟路由器不支持修改和删除。
34729 HSVRP组虚拟IP支持配置IPv6地址。
威胁防护
34873

支持IP验证功能，对于DNS Reply Flood和DNS Query Flood攻击防护功能，DNS报文计数超过阈值后，通过对源IP进行动态验证，在一段时间内对通过验证的IP地址的流量进行放行；对于SYN-Proxy和SYN-Cookie功能，SYN包超过阈值后，在一段时间内对成功代理通过验证的IP地址不再进行重复的代理，直接放行。

 A, K, E, X, CloudEdge, C, B, SDW
监控
34557
  • 支持通过WebUI分别查看整机的IPv4和IPv6会话新建连接速率或会话并发连接数。
  • 支持通过SNMP获取整机的IPv4和IPv6会话新建连接速率或会话并发连接数。
 A, K, E, X, CloudEdge, C, B, SDW
34845
  • 设备监控支持分别统计和展示IPv4和IPv6类型的整机流量、接口流量、安全域流量。
  • 支持通过CLI方式查看特定统计集的IPv4或IPv6类型的统计信息。
  • 支持通过CLI方式查看指定接口的IPv4、IPv6地址类型的流量或者非IP包的流量，以及支持查看指定接口前30天的流量统计信息。
  • 支持通过SNMP获取整机IPv4或IPv6流量速率、入接口IPv4或IPv6流量速率、出接口IPv4或IPv6流量速率。
故障诊断
34801
  • 支持在非根VSYS下配置抓包任务。
  • 支持配置抓包任务的抓包总数量，在抓包任务的生效时间（即抓包时长）内，若抓包数量达到配置的总数量时，系统自动停止抓包。
  • 不带硬盘的设备支持配置内存占用上限，当设备内存占比超过配置的上限时，系统自动停止抓包。
A, K, E, X, CloudEdge, C, B, SDW
34881 X系列设备支持数据包路径检测功能。 X
云平台
29695 支持根据云平台或者HSM下发的配置脚本执行相应的命令配置。  A, K, E, X, CloudEdge, C, B, SDW
34135 支持将接口统计信息上报至云·景，包括各个接口的上行最大速率、下行最大速率、上行平均速率和下行平均速率，并支持按照云·景的上报周期上报统计信息。
34787/34789 统一设备与云平台连接的控制通道和数据传输通道，并支持将全量威胁信息同步至云平台，以提高安全运营效率。 A, K, E, CloudEdge, C, B, SDW
34495 支持通过云·景安装所有许可证文件，并在许可证发生变更时，向云·景上报最新的许可证数据。 A, K, E, X, CloudEdge, C, B, SDW
34785 支持将配置文件上传至云·景，并通过云·景进行配置文件的恢复。
34769 支持将SNAT规则可配置最大数目和当前已配置规则数目上传至云平台。
34779 支持将ARP表、MAC表、会话资源使用率上传至云平台。
说明：X系列和K9180设备仅支持将所有业务模块的会话总和进行上传。
34777 支持将策略规则资源利用率上传至云平台，包括设备可配置的策略规则数和当前已配置的策略规则数。
34771 支持将设备各CPU的使用率和温度信息、内存的总容量和已使用容量上传至云平台。 X, K9810
34735/34773/
34783/34781/34499
  • 支持将指定类型的监控数据上传到云平台，包括流量排名、会话排名、URL排名、设备信息及VPN统计数据。
  • 支持将指定类型的日志上传到云平台，包括事件日志、威胁日志、配置日志、网络日志、云沙箱日志、操作日志、内容过滤日志、文件过滤日志、上网行为审计日志、会话日志及NAT日志。
 A, K（除K9180、K6580）, E, CloudEdge, C, B, SDW
RESTful API
34399 支持通过RESTful API接口新建、编辑、删除、查询入侵防御白名单。 A, K, E, X, CloudEdge, C, B
34409 支持通过RESTful API接口查询热点威胁情报信息，根据发布时间过滤热点威胁情报信息，进行热点威胁情报配置，开启热点威胁情报推送。
34413 支持通过RESTful API接口进行僵尸网络防御日志聚合。
34407 支持通过RESTful API接口查询TOP 10威胁信息，并能够根据目的IP、源IP、威胁名称、时间过滤TOP 10威胁信息。 A, K, E, X, CloudEdge, C, B, SDW
34411 支持通过RESTful API接口删除网卡。
33229 支持通过RESTful API接口进行SSL VPN用户和主机ID的绑定和解绑。
34821 支持通过RESTful API接口开启和关闭系统对流经L4层的TCP协议报文进行检查的功能。
34801
  • 支持通过RESTful API接口下发、删除抓包任务和抓包过滤规则，查询抓包状态等。
  • 支持通过RESTful API接口查询和下发设备抓包的全局配置，包括内存占用上限、占剩余内存最大百分比等配置项。
  • 支持通过RESTful API接口开启抓包和停止抓包。
34815 支持通过RESTful API接口配置VXLAN隧道绑定到三层安全域。 CloudEdge
34819 支持通过RESTful API接口查看各模块的丢包排名及所有模块的丢包总数。 A, CloudEdge, B
34533 支持通过RESTful API接口添加/删除/编辑聚合策略、为聚合策略添加/删除成员、查看命中分析结果。 A, K, E, X, CloudEdge, C, B, SDW
34535 支持通过RESTful API接口添加/删除/编辑信任域、查看信任域列表及信任域详细信息，导入/导出信任域证书。
34829 支持通过RESTful API接口进行版本升级。
34833 支持通过RESTful API接口配置/修改/删除VSYS配额、查看VSYS配置列表。
34541 支持通过RESTful API接口配置/导出Debug日志、查看Debug日志配置。
34839 支持通过RESTful API接口添加/编辑基于国家/地区的IPv4地址簿。
34843
  • 支持通过RESTful API接口查看/编辑地理特征库的信息。
  • 支持通过RESTful API接口对地理特征库进行本地和远程升级。
34561 支持通过RESTful API接口查看/添加/删除IPv6邻居缓存表项。
Capacity
34727 所有VSYS下可配置的NAT数量之和与设备可配置的NAT数量保持一致。 A, K, E, X, CloudEdge, C, B, SDW
34871 优化VSYS Capacity逻辑，设备可配置的VSYS数量中不包含根VSYS。
日志
32946
  • 支持通过WebUI界面查看会话日志的目的接口；
  • 支持通过WebUI界面查看指定源接口或者目的接口的会话日志。
 A, K, E, X, CloudEdge, C, B, SDW
34571
  • 不带硬盘的设备支持将事件日志、配置日志、网络日志存储至EMMC。
  • 带硬盘的设备支持将将事件日志、配置日志、网络日志、威胁日志存储至硬盘。
 X20812
云·界
29095 云·界支持指定HA对端IP和下一跳网关，实现跨三层网络HA协商与同步。 CloudEdge
32100 云·界在阿里云上支持部署HA的Peer Actve-Actve(A/A)工作模式，实现跨AZ的HA协商与同步。

已知问题

编号 功能描述 涉及平台
SSL VPN
323249 当PC端安装了360安全卫士时，登录ZTNA及VPN客户端可能会出现报错的现象。
建议：将“%HOMEPATH%\Documents\Hillstone Secure Connect”目录添加至信任区。		 A, K, E, X,
CloudEdge, C, B, SDW
329424 安装新版SSL VPN客户端后，如需安装旧版客户端，需要先卸载已安装的新版SSL VPN客户端。
287915 新版本SSL VPN客户端（如 Windows/Android/IOS）支持显示资源列表。当资源列表条目大于20时，旧版本SSL VPN客户端可能产生兼容问题。
建议：将SSL VPN客户端（如Windows/Android/IOS/Linux）均升级至最新版本。		 A, K, E, X, CloudEdge, C
333797
/333798		 设备在未安装SSL VPN许可证和ZTNA许可证的情况下，通过CLI方式和WebUI方式查看SSL VPN/ZTNA授权用户，可能会出现不一致的问题。
建议：实际授权用户数请以WebUI页面显示为准。		 A, K, E, X, CloudEdge, C, B, SDW
329186 新版SSL VPN Android客户端使用非国密证书登录方式，在连接配置中选择证书时，可能出现无法选择已安装的证书。
建议：通过手动方式选择已安装的证书。		 A, K, E, X, CloudEdge, C, B, SDW
335090 安装并使用新版SSL VPN Windows客户端，当用户PC的配置较低时，下载文件可能出现数据包收发不正常、SSL VPN客户端断开连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
327602 卸载SSL VPN macOS客户端，可能在“启动台”和“程序坞”出现客户端图标残留的现象。 A, K, E, X, CloudEdge, C, B, SDW
313034 防火墙设备在隧道路由中配置默认路由后，使用SSL VPN Android客户端连接后，可能出现无法访问内网资源的问题。 A, K, E, X, CloudEdge, C, B, SDW
334346
/332965		 SSL VPN macOS客户端运行过程中，重新唤起休眠状态的MAC后，可能会出现无法打开SSL VPN客户端界面或SSL VPN客户端断开连接且无法连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
335092 设备开启SPA功能后，新版Hillstone Secure Connect客户端可能会出现无法自动更新的问题。
建议：开启SPA功能后，通过手动更新的方式更新Hillstone Secure Connect客户端。		 A, K, E, X, CloudEdge, C, B, SDW
323920 Windows 7 SP1及以上版本的PC使用新版Hillstone Secure Connect客户端，可能会出现连接失败的问题。
建议：Windows 7 SP1及以上版本的PC的用户，请访问https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=Windows6.1-KB2533623-x86 或者 https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=windows6.1-kb4474419-v3-x86 按需下载补丁安装包，并手动安装补丁。 		A, K, E, X, CloudEdge, C, B, SDW
网络
268866-1(268866) 配置预留带宽后，因设备中插入不同扩展模块，其带宽分配算法基于不同模块的流量大小进行动态分配，可能出现预留带宽被占用而限速不准确的情况。 K9180
QoS
251079-0E0(280588) QoS不支持Peer-mode非对称路由场景下对user的限速。 A, K, E, X, CloudEdge, C
策略
332856 聚合策略不支持在添加策略时使用aggregate-rule{ name name | id} [ top | before {namerule-name| id} | after {namerule-name| id} ] 指定策略成员在聚合策略中的位置。 A, K, E, X, CloudEdge, C, B, SDW
RESTful API
348396 通过RESTful API接口查看单条预定义应用可能出现错误的现象。 A, K, E, X, CloudEdge, C, B, SDW
HA
286815 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备在线用户的用户组和角色信息的情况。 A, K, E, X,
CloudEdge, C, B, SDW
330370 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备Webauth在线用户的情况。
云·界
310941-1(310941) 安装新版平台许可证后未重启，可能出现通过CLI仍能查看旧版VSN平台许可证，且该许可证VSN号显示异常的现象。 CloudEdge

StoneOS 5.5R10F2

发布概述

发布日期：2023年6月26日

5.5R10F2版本新增9个功能，合入13个功能。本次发布的重点功能包括地址簿功能增强，配置“国家/地区”成员的地址簿时，如果国家/地区选择“中国”，可以进一步配置省份和城市，同时，支持批量添加或者批量排除地址簿成员；高可靠性功能增强，支持VRRP功能，可以与支持标准VRRP协议的其它厂商设备实现相互协商，能够在网络的默认网关出现故障时，及时将业务流量切换到备份设备，实现网关的冗余备份，保证网络通信的可靠性。

所有功能概述，请参见本文档新增功能部分。

相关功能操作方面的新增和修改，请参见《StoneOS 5.5R10 F版本新功能说明》。

版本发布信息：https://fr.hillstonenet.com/show_bug.cgi?id=34949

5.5R10F2继承/合入详情：

平台和系统文件

产品型号 系统文件
SG-6000-A7600/A6800/A5800/A5600/A5500/A5200
/A5100/A3800/A3700/A3600
/A3000/A2800/A2700/A2600/A2000/A1100/A1000 /B5600/B5200/B5000/B4600/B3600/B3200 /B3000/B2000
 SG6000-A-1-5.5R10F2.img
SG6000-A-1-5.5R10F2-v6.img
SG-6000-A200/A200G4（4G版）/A200W（WLAN版）
/A200WG4（WLAN+4G版）
B600/SDW500/SDW500W/SDW500G4/SDW500WG4
/SDW300/SDW300W/SDW300G4/SDW300WG4		 SG6000-A-3-5.5R10F2.bin
SG6000-A-3-5.5R10F2-v6.bin
SG-6000-X10800/X9180 SG6000-XL-5.5R10F2.bin
SG6000-XL-5.5R10F2-v6.bin
SG-6000-X8180 SG6000-XM-5.5R10F2.bin
SG6000-XM-5.5R10F2-v6.bin
SG-6000-X7180 SG6000-X7180-5.5R10F2.bin
SG6000-X7180-5.5R10F2-v6.bin
SG-6000-X6150-GS SG6000-X6150-GS-5.5R10F2.bin
SG6000-X6150-GS-5.5R10F2-v6.bin
SG-6000-K9180 SG6000-K-1-5.5R10F2.img
SG6000-K-1-5.5R10F2-v6.img
SG-6000-K2680/K2380 SG6000-K-2-5.5R10F2.img
SG6000-K-2-5.5R10F2-v6.img
SG-6000-K6280-GS SG6000-K-5-5.5R10F2.img
SG6000-K-5-5.5R10F2-v6.img
SG-6000-K5680/K3680-GS/K3280/K2580 SG6000-K-4-5.5R10F2.img
SG6000-K-4-5.5R10F2-v6.img
SG-6000-E5960/E5760 /E5660 /E5560 /E5568 /E5260 /E5268/E3965 /E5168 /C6050 /C5650 /C5450 SG6000-M-2-5.5R10F2.bin
SG6000-M-2-5.5R10F2-v6.bin
SG-6000-E6360 /E6368 /E6160 /E6168 /E3960 /E3968
/E3662 /E3660 /E3668 /E2860 /E2868 /E2800 /E2300
/E1700/E1606 /E1600 /E1100（WLAN版）
/E1100（WLAN版+3G-WCDMA版）
/E1100（WLAN版+3G-CDMA版）
/E1100（3G-WCDMA版） /E1100（3G-CDMA版） /E1100（4G版）
/E1100（WLAN版+4G版）
/E1100W-GM /E1600-GM /E1700-GM /E2300-GM
/E2800-GM /E3660-GM /E3960-GM
/C5250/C5050 /C4550 /C4100 /C4000 /C3100
/C3000 /C2100/C2000 /C1500 /C1300 /C1200 （WLAN版） /C1000 /C600 		SG6000-M-3-5.5R10F2.bin
SG6000-M-3-5.5R10F2-v6.bin
SG-6000-VM01 /VM02 /VM04 /VM08 SG6000-CloudEdge-5.5R10F2
SG6000-CloudEdge-5.5R10F2-v6

新增功能

编号 功能描述 涉及平台
系统
33495 X7180设备支持CPU Cache Error监控告警功能，当系统的CPU Cache Error报错次数达到指定告警阈值时，系统将生成告警日志。 X7180
对象
20494 新建/编辑地址簿时，支持以下功能：
  • 批量添加或者批量排除地址簿成员；
  • 根据地址簿成员的类型或者内容过滤查询地址簿成员。
 A, K, E, X, CloudEdge, C, B, SDW
26501
  • IP地理库增强，将中国国内的IP地址属地信息标注到省份和城市级别；
  • 支持通过show geoip-info命令查看IP地址的地理位置信息；
  • 支持通过WebUI 升级IP地理库。
30222 配置“国家/地区”成员的地址簿时，如果国家/地区选择“中国”，可以进一步配置到省份和城市。
30221/30223/30224 策略规则、边界流量过滤（PTF）静态IP黑名单和策略路由支持引用配置了省份和城市的地址簿。
策略
32682 支持为策略配置自定义属性，并基于这些属性对策略进行过滤查询。 A, K, E, X, CloudEdge, C, B, SDW
VPN/ZTNA
30690 支持SSL VPN/ZTNA专线功能，用户在成功登录SSL VPN/ZTNA后仅能访问隧道路由中指定网段的内网资源，不能访问互联网资源。 A, K, E, X, CloudEdge, C, B, SDW
高可靠性
30772 支持VRRP功能。VRRP功能采用标准的VRRP协议，可以与支持标准VRRP协议的其它厂商设备实现相互协商。 VRRP功能能够在网络的默认网关出现故障时，及时将业务流量切换到备份设备上，实现网关的冗余备份，保证网络通信的可靠性。VRRP功能不支持配置同步以及会话同步，仅提供网关故障时的冗余备份。 A, K（不含K9180）, E, CloudEdge, C, B, SDW
用户认证
30698 通过SSO Monitor方式向StoneOS同步认证用户时，StoneOS可以主动查询认证用户在AD/LDAP服务器上所属的用户组和角色映射，实现基于用户组和角色的网络访问控制。 A, K, E, X, CloudEdge, C, B, SDW
31348 支持SSO Web功能，SSO Web客户端（第三方认证系统）可以通过HTTP(S) RESTful API请求向StoneOS系统发送用户上下线报文和用户信息更新报文，StoneOS系统根据报文内容获取用户认证信息，并且可以主动查询认证用户在AD/LDAP服务器上所属的用户组和角色映射，实现单点登录以及基于用户组和角色的网络访问控制。 A, K, E, X, CloudEdge, C, B, SDW
威胁防护
33499 “热点威胁情报”功能新增支持X系列和K9180设备，支持对热点威胁进行防范。 X, K9180
监控与日志
30225/30623 支持查看威胁日志的源地区和目的地区，可以通过源地区和目的地区对威胁日志进行过滤。 A, K, E, X, CloudEdge, C, B, SDW
33497 日志和报表存储至本地硬盘功能新增支持X8180设备，支持的日志类型包括：事件日志、威胁日志、网络日志和配置日志。 X8180
33501 输出到Syslog Server的日志信息显示主机名称，不显示设备序列号。 A, K, E, X, CloudEdge, C, B, SDW
RESTful API
33677 支持通过RESTful API接口新建、编辑、删除、查询微型策略。 A, K, E, X, CloudEdge, C, B, SDW

已知问题

编号 功能描述 涉及平台
SSL VPN
323249 当PC端安装了360安全卫士时，登录ZTNA及VPN客户端可能会出现报错的现象。
建议：将“%HOMEPATH%\Documents\Hillstone Secure Connect”目录添加至信任区。		 A, K, E, X,
CloudEdge, C, B, SDW
329424 安装新版SSL VPN客户端后，如需安装旧版客户端，需要先卸载已安装的新版SSL VPN客户端。
287915 新版本SSL VPN客户端（如 Windows/Android/IOS）支持显示资源列表。当资源列表条目大于20时，旧版本SSL VPN客户端可能产生兼容问题。
建议：将SSL VPN客户端（如Windows/Android/IOS/Linux）均升级至最新版本。		 A, K, E, X, CloudEdge, C
333797
/333798		 设备在未安装SSL VPN许可证和ZTNA许可证的情况下，通过CLI方式和WebUI方式查看SSL VPN/ZTNA授权用户，可能会出现不一致的问题。
建议：实际授权用户数请以WebUI页面显示为准。		 A, K, E, X, CloudEdge, C, B, SDW
329186 新版SSL VPN Android客户端使用非国密证书登录方式，在连接配置中选择证书时，可能出现无法选择已安装的证书。
建议：通过手动方式选择已安装的证书。		 A, K, E, X, CloudEdge, C, B, SDW
335090 安装并使用新版SSL VPN Windows客户端，当用户PC的配置较低时，下载文件可能出现数据包收发不正常、SSL VPN客户端断开连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
327602 卸载SSL VPN macOS客户端，可能在“启动台”和“程序坞”出现客户端图标残留的现象。 A, K, E, X, CloudEdge, C, B, SDW
313034 防火墙设备在隧道路由中配置默认路由后，使用SSL VPN Android客户端连接后，可能出现无法访问内网资源的问题。 A, K, E, X, CloudEdge, C, B, SDW
334346
/332965		 SSL VPN macOS客户端运行过程中，重新唤起休眠状态的MAC后，可能会出现无法打开SSL VPN客户端界面或SSL VPN客户端断开连接且无法连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
335092 设备开启SPA功能后，新版Hillstone Secure Connect客户端可能会出现无法自动更新的问题。
建议：开启SPA功能后，通过手动更新的方式更新Hillstone Secure Connect客户端。		 A, K, E, X, CloudEdge, C, B, SDW
323920 Windows 7 SP1及以上版本的PC使用新版Hillstone Secure Connect客户端，可能会出现连接失败的问题。
建议：Windows 7 SP1及以上版本的PC的用户，请访问https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=Windows6.1-KB2533623-x86 或者 https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=windows6.1-kb4474419-v3-x86 按需下载补丁安装包，并手动安装补丁。 		A, K, E, X, CloudEdge, C, B, SDW
网络
268866-1(268866) 配置预留带宽后，因设备中插入不同扩展模块，其带宽分配算法基于不同模块的流量大小进行动态分配，可能出现预留带宽被占用而限速不准确的情况。 K9180
QoS
251079-0E0(280588) QoS不支持Peer-mode非对称路由场景下对user的限速。 A, K, E, X, CloudEdge, C
HA
286815 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备在线用户的用户组和角色信息的情况。 A, K, E, X,
CloudEdge, C, B, SDW
云·界
310941-1(310941) 安装新版平台许可证后未重启，可能出现通过CLI仍能查看旧版VSN平台许可证，且该许可证VSN号显示异常的现象。 CloudEdge

StoneOS 5.5R10F1

发布概述

发布日期：2023年5月6日

5.5R10F1版本新增5个功能，合入107个功能。本次发布的重点功能包含：

所有功能概述，请参见本文档新增功能部分。

相关功能操作方面的新增和修改，请参见《StoneOS 5.5R10 F版本新功能说明》。

版本发布信息：https://fr.hillstonenet.com/show_bug.cgi?id=33364

5.5R10F1继承/合入详情：

平台和系统文件

产品型号 系统文件
SG-6000-A7600/A6800/A5800/A5600/A5500/A5200
/A5100/A3800/A3700/A3600
/A3000/A2800/A2700/A2600/A2000/A1100/A1000 /B5600/B5200/B5000/B4600/B3600/B3200 /B3000/B2000
 SG6000-A-1-5.5R10F1.img
SG6000-A-1-5.5R10F1-v6.img
SG-6000-A200/A200G4（4G版）/A200W（WLAN版）
/A200WG4（WLAN+4G版）
B600/SDW500/SDW500W/SDW500G4/SDW500WG4
/SDW300/SDW300W/SDW300G4/SDW300WG4		 SG6000-A-3-5.5R10F1.bin
SG6000-A-3-5.5R10F1-v6.bin
SG-6000-X10800/X9180 SG6000-XL-5.5R10F1.bin
SG6000-XL-5.5R10F1-v6.bin
SG-6000-X8180 SG6000-XM-5.5R10F1.bin
SG6000-XM-5.5R10F1-v6.bin
SG-6000-X7180 SG6000-X7180-5.5R10F1.bin
SG6000-X7180-5.5R10F1-v6.bin
SG-6000-X6150-GS SG6000-X6150-GS-5.5R10F1.bin
SG6000-X6150-GS-5.5R10F1-v6.bin
SG-6000-K9180 SG6000-K-1-5.5R10F1.img
SG6000-K-1-5.5R10F1-v6.img
SG-6000-K2680/K2380 SG6000-K-2-5.5R10F1.img
SG6000-K-2-5.5R10F1-v6.img
SG-6000-K6280-GS SG6000-K-5-5.5R10F1.img
SG6000-K-5-5.5R10F1-v6.img
SG-6000-K5680/K3680-GS/K3280/K2580 SG6000-K-4-5.5R10F1.img
SG6000-K-4-5.5R10F1-v6.img
SG-6000-E5960/E5760 /E5660 /E5560 /E5568 /E5260 /E5268/E3965 /E5168 /C6050 /C5650 /C5450 SG6000-M-2-5.5R10F1.bin
SG6000-M-2-5.5R10F1-v6.bin
SG-6000-E6360 /E6368 /E6160 /E6168 /E3960 /E3968
/E3662 /E3660 /E3668 /E2860 /E2868 /E2800 /E2300
/E1700/E1606 /E1600 /E1100（WLAN版）
/E1100（WLAN版+3G-WCDMA版）
/E1100（WLAN版+3G-CDMA版）
/E1100（3G-WCDMA版） /E1100（3G-CDMA版） /E1100（4G版）
/E1100（WLAN版+4G版）
/E1100W-GM /E1600-GM /E1700-GM /E2300-GM
/E2800-GM /E3660-GM /E3960-GM
/C5250/C5050 /C4550 /C4100 /C4000 /C3100
/C3000 /C2100/C2000 /C1500 /C1300 /C1200 （WLAN版） /C1000 /C600 		SG6000-M-3-5.5R10F1.bin
SG6000-M-3-5.5R10F1-v6.bin
SG-6000-VM01 /VM02 /VM04 /VM08 SG6000-CloudEdge-5.5R10F1
SG6000-CloudEdge-5.5R10F1-v6

新增功能

编号 功能描述 涉及平台
硬件
29580 在安装了1T硬盘的SG-6000-X9180设备上，通过WebUI或者show disk命令查看硬盘信息时，硬盘容量大小显示为930G。 X9180
31999 A系列和B系列设备新增支持4T硬盘。 A, B
（以上系列均仅针对安装有硬盘的设备）
系统
31930 系统启动时，支持将USB中时间戳最新的配置文件作为启动文件。 A, K, E, X, CloudEdge, C, B, SDW
31993/31994 E系列和C系列设备支持通过shutdown命令关机。 E, C
29993 支持通过本地升级方式批量升级相同软件版本和相同型号设备的特征库。 A, K, E, X, CloudEdge, C, B, SDW
27137 支持TSO/LRO功能，通过网卡对TCP数据进行聚合或分片转发，从而提高系统接收TCP数据包的能力，减轻CPU负荷。 CloudEdge
31949 新增SSL代理域名白名单特征库，并支持自动升级。 A, K, E, X, CloudEdge, C, B, SDW
29359 支持将IPSec VPN断开原因上送至HSM。
31984 海外设备WebUI支持葡萄牙语。 A（不含A200/A200G4/A200W/A200WG4）
31992 HA场景下的主设备与备份设备的Engine ID可以不一致，避免在SNMPv3 Trap功能开启的情况下，HA主备设备切换时Trap主机无法正常接收Trap告警信息。 A, K, E, X, CloudEdge, C, B, SDW
31995 支持通过export tech-support命令导出所有硬件模块的tech-support文件。 X, K9180
31996 支持自定义修改登录页面的产品名称。 A, K, E, X, CloudEdge, C, B, SDW
31998 万兆接口支持Auto Tuning功能。当检测到接口状态异常时，通过Auto Tuning功能优化接口参数，以降低接收端的比特误码率。 A（不含A200/A200G4/A200W/A200WG4）, K9180, X（不含X7180）, B（不含B600/B600G4/B600W/B600WG4）
32001 支持通过命令行开启或关闭TCP报文时间戳。 A, K, E, X, C, B, SDW
路由
21986 支持OSPF平滑重启（OSPF GR）功能。在运行OSPF协议的网络环境中，避免因HA主备切换导致的路由震荡和流量中断。 A, K, E, X, CloudEdge, C, B, SDW
31953 防火墙组播协议功能支持MLD以及IPv6 PIM-SM模式。
31983 支持通过WebUI配置PIM和PIMv6。
31964
  • 支持BGP引入静态路由时，根据满足匹配条件的静态路由的标记值配置团体属性值。最大可支持配置8个团体属性值。
  • 支持通过show命令查看BGP团体属性值时，自定义团体属性值显示为AA:NN格式。
策略
31928 支持策略助手流量统计功能，统计通过策略助手提取到的流量的命中数、上行报文数、下行报文数、上行字节数及下行字节数。 A, K, E, X, CloudEdge, C, B, SDW
31929 支持策略流量统计功能，统计命中策略规则的系统流量的上行报文数、下行报文数、上行字节数、下行字节数。
28440 支持通过命令行进行以下操作：
  • 查看策略规则命中统计信息，包括ID、命中数、首次命中时间、最近一次命中时间、最近未命中天数、策略规则创建时间以及策略规则状态（启用/禁用）;
  • 过滤或清除策略规则命中统计信息，并对命中统计信息进行排序。
31985 策略规则新增过滤条件“用户”，该过滤条件支持针对用户/用户组/角色的模糊查询以及针对用户/用户组的精准查询，从而筛选出符合条件的策略规则。
31962 会话限制支持将单个IP加入动态IP黑名单进行阻断，并指定对该IP的阻断时间。
网络
31946 通过DHCP动态获取IP地址的接口支持向服务端发送带有Option26的请求报文，从而获取服务端分配的MTU。 A, K, E, X, CloudEdge, C, B, SDW
31950 新增本地ARP代理功能，并支持通过命令行查看接口本地ARP代理开启情况。
28633 设备LLDP信息中的系统名称支持随用户配置的主机名称变化。
31980/31978 A系列、B系列和SDW系列设备支持外置4G模块，型号为中兴MF79U和MF833V。 SG-6000-A5800/A5600 /A5500/A5200/A5100 /A3800/A3700/A3600 /A3000/A2800/A2700 /A2600/A2000/A1100
/A1000/A200/A200W, B5600/B5200/B5000 /B4600/B3600/B3200 /B3000/B2000/B600
/B600W ,
SDW
29024 DNS代理服务器支持通过Use System设置，自动获取系统的DNS服务器。 A, K, E, X, CloudEdge, C, B, SDW
28438 支持通过命令行进行以下操作：
  • 查看NAT规则的命中数；
  • 查看NAT规则的命中统计信息，包括规则ID、命中数、首次命中时间、最近一次命中时间、最近未命中天数、规则创建时间以及规则状态（启用/禁用）；
  • 过滤和清除NAT规则的命中统计信息，并对命中统计信息进行排序。
对象
28386 支持导入或导出自定义地址簿条目、自定义应用/应用组、自定义服务/服务组。 A, K, E, X, CloudEdge, C, B, SDW
28336 支持对防火墙地址簿内的成员添加描述。
认证
31434 支持简化认证功能，系统使用设备中配置的认证方式（通过命令行auth-method {plain | digest-md5}配置）与Active-Directory/LDAP服务器进行连接，不再查询服务器的加密方式。 A, K, E, X, CloudEdge, C, B, SDW
31248 SSO Monitor支持关联已配置的地址簿，在生成认证用户时，只生成在IP范围内的用户。
30700
  • 支持新建AD/LDAP账号并配置到期时间；
  • 支持配置同步到StoneOS本地的AD/LDAP账号的到期时间；
  • 支持导入/导出AD/LDAP账号。
28151 HTTP(S)短信网关支持配置MAS协议子类型，实现与移动云MAS短信平台对接。
32043 短信网关认证支持对接中国移动音乐短信服务平台进行SSL VPN认证和Web认证。
28614 SSL VPN支持通过LDAP服务器进行短信认证。
31981 支持角色黑名单功能，映射到黑名单中角色的用户将认证登录失败，支持的认证登录方式包含SSL VPN/ZTNA/WebAuth/L2TP/802.1X/IPSec VPN（UserGroup）。
31973 HTTP(S)短信网关支持配置EMAY协议子类型，实现与亿美短信平台对接。
31986 用户通过PICC Secure Connect客户端登录并完成二维码扫码认证后，支持在防火墙进行本地账号检查，检查账号是否存在以及账号是否过期，并对即将过期的账号进行剩余有效天数提醒。
31987 在SSL VPN短信认证场景中，系统支持获取AD/LDAP服务器的“TelephoneNumber”字段作为用户手机号码。当用户登录SSL VPN时，系统会将短信验证码发送至该号码。
32645 提高防火墙的认证级别，避免出现当AD服务器认证级别高于防火墙时，两者无法正常连接的情况。
30490 Web认证支持本地账户到期提醒功能。如果系统采用本地认证服务器进行用户认证，当账户即将到期的用户进行Web认证时，Web认证登录页面会提示账户的剩余有效天数。
30338 SSL VPN和ZTNA支持本地账户到期提醒功能。如果系统采用本地认证服务器进行SSL VPN/ZTNA客户端用户身份认证，当账户即将到期的用户通过客户端登录SSL VPN/ZTNA时，客户端会弹出窗口提示账户的剩余有效天数。
SNMP
31250 支持通过SNMP查询光模块信息，包括光模块的当前温度、发送电源电压、发送偏置电流、发送光功率、接收光功率。 A200/A200G4/A200W/A200WG4, SDW
28717 支持通过WebUI配置IPv6 SNMP，包括配置IPv6类型的SNMP主机、Trap主机和V3用户。 A, K, E, X, CloudEdge, C, B, SDW
VPN/ZTNA
29476 用户可以配置允许接入的SSL VPN和ZTNA客户端类型，包括Windows系统客户端、Android系统客户端、iOS系统客户端、macOS系统客户端和Linux系统客户端中的一种或者多种。 A, K, E, X, CloudEdge, C, B, SDW
31966 支持检测客户端主机的特定注册表键值、表项名以及表项值是否存在。
29789 支持配置强制下线时间表功能，时间表生效后，系统会强制SSL VPN在线用户或者ZTNA在线用户下线。
威胁防护
28568 新增病毒过滤白名单，支持将URL/MD5值加入白名单，以减少误报。 A, K, E, X, CloudEdge, C, B, SDW
31997 攻击防护模块威胁事件和威胁日志支持显示Flood类攻击的攻击流量信息。
IPv6
23314 支持通过WebUI配置IPv6 over IPv4隧道，包括6to4自动隧道、6to4手工隧道、ISATAP隧道和6RD隧道。 A, K, E, X, CloudEdge, C, B, SDW
IoT
30232 系统支持连接主动探测模块，通过主动探测模块识别网络视频监控设备。 A, K, E, X, C, B
31957 X系列支持IoT功能。 X
31958 支持在设备重启后保存自定义添加的IoT设备信息。 A, B
31961 支持IoT视频监控许可证，提供IoT策略功能，并授权接入监控的IoT设备的最大数量。 A, K, E, X, C, B
SLB
30703 支持配置SLB服务器的优先级及最小活跃真实服务数，系统按照配置的最小活跃服务器数，从高优先级依次向低优先级检查，当检查到的当前优先级活跃服务器数满足最小活跃服务器数时，该优先级范围内的活跃服务器将会参与流量的分配；当不满足最小活跃服务器数或其中有服务器状态变为不可达导致目前优先级范围内的活跃服务数小于最小活跃服务器数时，继续检查低一优先级的服务器，直到活跃服务器数满足最小活跃服务器数。 A, K, E, X, CloudEdge, C, B, SDW
监控与日志
31113 支持显示会话日志的策略名称。 A, K, E, X, CloudEdge, C, B, SDW
31944 会话和NAT日志支持存储到本地硬盘。 A/B/K
（以上系列均仅针对安装有硬盘的设备）
31951 设备监控支持展示CPU/内存利用率趋势图。 A, K, E, X, C, B, SDW
31952 报表支持统计IoT设备信息和IoT设备在线信息，IoT监控概览新增在线设备趋势图。 A, K, E, X, C, B
31954 优化IoT监控页面，增加投屏监控模式页面。
31955 IoT监控功能支持识别和监控更多厂商的多种类型设备。
31956 IoT功能支持配置监控设备的所属区域。
31959 IoT监控概览支持统计离线设备厂商和设备类型。
29690 SG-6000-X9180支持将日志信息存储到设备硬盘，包括事件、威胁、配置、网络和云沙箱日志信息。 X9180（针对安装有硬盘的设备）
云平台
31941 支持将基于源IP、目的IP、应用的流量统计数据上传至云·景。 A, K（不含K9180）, E, CloudEdge, C, B, SDW
31942 支持将更丰富的威胁信息上传至云·景。 A, K, E, X, CloudEdge, C, B, SDW
31960 支持将设备的IoT数据上送至云·景。 A, K, E, X, C, B
31967 支持将设备指定周期内的接口流量和速率数据上送至云·景，并动态配置上报周期。 A, K, E, X, CloudEdge, C, B, SDW
31968 支持将设备的开机时间和Bypass模块状态上送至云·景。 A（不含A200）, E2800, C2100, C1300
31969 支持将设备的SSL VPN在线用户数上送至云·景。 A, K, E, X, CloudEdge, C, B, SDW
31971 支持将入侵防御模块的威胁日志携带证据信息上送至云·景。 A, E, X10800, CloudEdge, C, B
31972 支持将基于IP的在线用户数上送至云·景。
31990 支持通过云·景远程升级防火墙设备的系统版本。 A, K, E, X, CloudEdge, C, B, SDW
RESTful API
31931 支持通过RESTful API接口新建、编辑、查询、删除本地用户/用户组。 A, K, E, X, CloudEdge, C, B, SDW
31933 支持通过RESTful API接口分别查询成员为非地址簿条目的地址簿以及成员为地址簿条目的地址簿。
31935 支持通过RESTful API接口查询地址簿条目、服务、服务组的关联项。
31936 支持通过RESTfull API接口查询引用安全域的策略规则ID。
31937 支持通过RESTful API接口批量清除策略规则的命中数。
31938 支持通过RESTful API接口根据多个策略规则ID批量查询策略规则。
31939 支持通过RESTful API接口导入或者导出策略规则、地址条目、自定义应用/应用组、自定义服务/服务组。
29373 支持通过RESTful API接口展示整机出向流量和整机入向流量。
29366 支持通过RESTful API接口下发shutdown指令。
29357 支持通过RESTful API接口获取HA状态以及进行HA主备切换。
云·界支持HA Peer Active-Active（A/A）模式。 CloudEdge
29582 支持通过RESTful API接口获取磁盘使用率。
28553
  • 支持通过RESTful API接口新建、编辑、删除、查询僵尸网络防御规则；
  • 支持通过RESTful API接口编辑或者查询僵尸网络防御全局参数；
  • 支持通过RESTful API接口新建、删除、查询僵尸网络模块的例外名单和阻断名单；
  • 支持在非根VSYS中配置僵尸网络防御功能；
  • 支持预定义僵尸网络防御规则“predef_critical”和“predef_default”。
 A, K, E, X, CloudEdge, C, B
Capacity
32000 接口组支持物理接口数量由8个增加至16个。 A, K, E, X, CloudEdge, C, B, SDW
31963 可配置的防火墙接口二级IP地址扩展至32个。
28335 扩展设备中静态路由和BGP路由条目的数量。 X10800, X9180, X8180
28153 X系列设备支持的AD Agent最大在线用户数增加到100000。 X7180, X8180, X10800, X9180

已知问题

编号 功能描述 涉及平台
SSL VPN
323249 当PC端安装了360安全卫士时，登录ZTNA及VPN客户端可能会出现报错的现象。
建议：将“%HOMEPATH%\Documents\Hillstone Secure Connect”目录添加至信任区。		 A, K, E, X, CloudEdge, C, B, SDW
329424 安装新版SSL VPN客户端后，如需安装旧版客户端，需要先卸载已安装的新版SSL VPN客户端。
287915 新版本SSL VPN客户端（如 Windows/Android/IOS）支持显示资源列表。当资源列表条目大于20时，旧版本SSL VPN客户端可能产生兼容问题。
建议：将SSL VPN客户端（如Windows/Android/IOS/Linux）均升级至最新版本。		 A, K, E, X, CloudEdge, C
333797
/333798		 设备在未安装SSL VPN许可证和ZTNA许可证的情况下，通过CLI方式和WebUI方式查看SSL VPN/ZTNA授权用户，可能会出现不一致的问题。
建议：实际授权用户数请以WebUI页面显示为准。		 A, K, E, X, CloudEdge, C, B, SDW
329186 新版SSL VPN Android客户端使用非国密证书登录方式，在连接配置中选择证书时，可能出现无法选择已安装的证书。
建议：通过手动方式选择已安装的证书。 		A, K, E, X, CloudEdge, C, B, SDW
335090 安装并使用新版SSL VPN Windows客户端，当用户PC的配置较低时，下载文件可能出现数据包收发不正常、SSL VPN客户端断开连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
327602 卸载SSL VPN macOS客户端，可能在“启动台”和“程序坞”出现客户端图标残留的现象。 A, K, E, X, CloudEdge, C, B, SDW
313034 防火墙设备在隧道路由中配置默认路由后，使用SSL VPN Android客户端连接后，可能出现无法访问内网资源的问题。 A, K, E, X, CloudEdge, C, B, SDW
334346
/332965		 SSL VPN macOS客户端运行过程中，重新唤起休眠状态的MAC后，可能会出现无法打开SSL VPN客户端界面或SSL VPN客户端断开连接且无法连接的问题。 A, K, E, X, CloudEdge, C, B, SDW
335092 设备开启SPA功能后，新版Hillstone Secure Connect客户端可能会出现无法自动更新的问题。
建议：开启SPA功能后，通过手动更新的方式更新Hillstone Secure Connect客户端。		 A, K, E, X, CloudEdge, C, B, SDW
323920 Windows 7 SP1及以上版本的PC使用新版Hillstone Secure Connect客户端，可能会出现连接失败的问题。
建议：Windows 7 SP1及以上版本的PC的用户，请访问https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=Windows6.1-KB2533623-x86 或者 https://sccupdate.hillstonenet.com:1338/sslvpn/win7/download?patch=windows6.1-kb4474419-v3-x86 按需下载补丁安装包，并手动安装补丁。 		A, K, E, X, CloudEdge, C, B, SDW
网络
268866-1(268866) 配置预留带宽后，因设备中插入不同扩展模块，其带宽分配算法基于不同模块的流量大小进行动态分配，可能出现预留带宽被占用而限速不准确的情况。 K9180
QoS
251079-0E0(280588) QoS不支持Peer-mode非对称路由场景下对user的限速。 A, K, E, X, CloudEdge, C
HA
286815 HA AP环境下升级设备5.5R6版本到5.5R10，当备设备已成功升级至5.5R10而主设备为5.5R6时，备设备会出现无法同步主设备在线用户的用户组和角色信息的情况。 A, K, E, X, CloudEdge, C
云·界
310941-1(310941) 安装新版平台许可证后未重启，可能出现通过CLI仍能查看旧版VSN平台许可证，且该许可证VSN号显示异常的现象。 CloudEdge

浏览器兼容性

以下浏览器通过了WebUI测试，推荐用户使用：

获得帮助

山石网科 SG-6000系列安全设备配有以下手册，访问https://docs.hillstonenet.com进行下载。

服务热线： 400-693-0555

官方网址：https://www.hillstonenet.com.cn

附录：版本升级说明

本附录包含各平台升级注意事项、功能模块升级注意事项、在HA环境下升级以及升级验证。

建议不要跨越较多版本进行升级，推荐升级相临近版本。如果版本跨度较大，建议仔细对比升级前后的配置。鉴于网络环境的差异性及特殊需求，可在升级前咨询 400-693-0555。

各平台升级注意事项

E/X平台升级注意事项

针对E/X平台的各个版本，请注意如下事项：

云•界升级注意事项

功能模块升级注意事项

HSM&HSA匹配版本说明

在使用5.5R10版本与HSA或HSM连接时，需要将HSA升级到2.11.0及之后版本、HSM升级到4.15及之后版本。

SSL Proxy功能相关配置升级说明

从StoneOS 5.5R9版本开始，系统将SSL代理配置中“不支持的版本”“不支持的加密算法”“未知错误”“客户端认证”参数的默认值由“阻断”改为“放行”。当升级到5.5R9及之后版本后，相关配置会发生变化，导致行为变更。如仍需使用阻断配置，需要手动修改。

SSL VPN功能相关配置升级说明

  1. 从StoneOS 5.5R10版本开始，SSL VPN 客户端重构，推出新版SSL VPN 客户端，同时支持Windows、macOS、Linux、Android和iOS系统。若使用新版SSL VPN客户端（v5.0.0及其以后版本），需注意：“通信稳定性优化”功能配置中增加“自动”选项，如果选择了“自动”，会根据服务器是否开启TCP端口，自动选择连接方式。
  2. 从StoneOS 5.5R10版本开始，“SSL VPN 地址池”功能调整为“接入地址池”功能，相关命令行和WebUI页面均有所调整，例如：scvpn pool pool-name命令替换为access-address-pool pool-name；通过WebUI配置可选择“对象 > 接入地址池”。当把系统从5.5R10之前的版本升级到5.5R10及后续版本时，原先的配置将继续保留，可正常使用。
  3. 从StoneOS 5.5R9版本开始，SSL VPN Windows客户端支持数据传输可靠性配置。若使用SSL VPN客户端（V1.4.9.1281及其以后版本），需注意以下事项。旧版本客户端（V1.4.9.1279及之前的版本）不受此影响。
    • 当服务器开启TCP端口时，SSL VPN客户端是否勾选“通信稳定性优化”功能，均可以成功连接。
    • 当服务器不开启TCP端口时，SSL VPN客户端若勾选了“通信稳定性优化”功能，会报错。取消勾选后，可正常使用。
  4. 从StoneOS 5.5R9版本开始，SSL VPN不再支持通过RSA Server进行RSA SecurID Token认证的方式。当把系统从5.5R9之前的版本升级到5.5R9及后续版本时，请采用其他认证方式。

IPS特征库升级说明

从StoneOS 5.5R8P2版本开始，入侵防御特征库支持3.0版本，用户可根据需要升级到最新版本的IPS特征库，防护能力更强。设备上原有的2.0版本IPS特征库在系统升级后仍可使用。如需升级特征库，可在“系统 > 升级 >特征库升级”中在线升级或者离线下载3.0版本的入侵防御特征库进行升级。

QoS功能相关配置升级说明

从StoneOS 5.5R1版本开始，系统支持智能流量管理（iQoS）功能，且从5.5R2版本开始，iQoS功能自动开启。当把系统从已配置QoS功能的低版本升级到5.5R7及之后版本时，用户需使用exec iqos enable命令启用iQoS功能，iQoS功能仅支持CLI配置，系统会对QoS的配置保留，但配置不生效且不能被修改。当用户需使用QoS功能时，使用exec iqos disable命令禁用iQoS功能，系统会对iQoS配置保留并将保存的QoS配置重新生效。

从StoneOS 5.5R6版本开始，X平台支持通过IOM模块获取iQoS功能。通过IOM模块获取iQoS功能前，需确保系统已安装iQoS许可证。

链路负载均衡功能升级说明

从StoneOS 5.5R4版本开始，llb outbound相关命令不再支持，用新的命令llb rule替代，当把系统从5.5R4之前的版本升级到5.5R7版本及后续版本时，已有的配置信息会丢失，需要重新配置。

Web认证功能升级说明

从StoneOS 5.5R5版本开始，Web认证功能有所调整，当把系统从5.5R5之前的版本升级到5.5R10及后续版本时，原先上传的定制文件（如Web认证背景图片、网页重定向提示页面背景图片）将丢失，需要重新定制。

IM审计功能升级说明

从StoneOS 5.5R5版本开始，IM审计功能重新调整。当把系统从5.5R5之前的版本升级到5.5R10及后续版本时，IM审计相关的配置会丢失。建议：升级完成后，通过WebUI重新配置该功能。

文件过滤功能升级说明

从StoneOS 5.5R5版本开始，文件过滤功能重新调整。当把系统从5.5R5之前的版本升级到5.5R10及后续版本时，通过文件名称和文件大小进行文件过滤的相关配置会丢失。建议：重新配置该功能。

终端识别功能升级说明

从StoneOS 5.5R6版本开始，终端接入识别功能重新调整为共享接入功能，host share-access detect enable命令将不再支持。当把系统从5.5R6之前的版本升级到5.5R10及后续版本时，原先的配置将丢失，需要用户重新配置共享接入功能。

AD Agent相关配置升级说明

在StoneOS 5.5R10之前的版本上，在需要使用AD Agent软件获取用户信息时，系统支持通过SSO Monitor对接AD Agent软件，也支持在Active Directory服务器配置模式下配置AD服务监控功能。从StoneOS 5.5R10版本开始，AD服务监控功能与Active Directory服务器配置解耦，与SSO Monitor模块整合，StoneOS 5.5R10不再支持配置AD服务监控功能。在版本升级到StoneOS 5.5R10后，系统中已配置的AD服务监控功能会自动转换成SSO Monitor功能对接AD Agent软件配置。可通过show user-sso client sso-monitor profile-name查看配置，转换后的SSO Monitor Profile名称与AD服务器名称相同。

SSO Monitor相关配置升级说明

从StoneOS 5.5R10版本开始，SSO Monitor支持对接多个外部服务器实现冗余备份。在版本升级到StoneOS 5.5R10后，系统中已配置的SSO Monitor的host x.x.x.x会自动转换成host1 x.x.x.x配置。可通过show user-sso client sso-monitor profile-name查看配置。

在HA环境下升级

升级环境

HA组网环境中的升级拓扑，参考如下：

准备项目

序号 检查项目 详细信息
1 准备升级参考文档 升级过程需要参考的文档已经打印随身携带或存储在电脑中。
2 准备新版本系统软件 从山石网科取得升级需要的新版本。
3 查询当前软件版本 根据产品型号和软件版本及相关的注意事项，选择合适的升级方法。
4 检查设备运行状态
  • 确保主控板和业务板工作正常
  • 详细记录升级前后设备各槽位单板的运行状态，便于检查升级后设备运行状态和进行故障定位跟踪
5 搭建通过TFTP或FTP升级的环境 在如上升级环境拓扑的基础上搭建基于TFTP或FTP升级的环境。
6 备份配置文件 导出配置文件，如果新版本运行的配置与之前版本差异比较大，升级后需要对比配置文件，丢失的配置需要按照新版本的命令要求重新配置。

升级操作

建议不要跨越较多版本进行升级，推荐升级相临近版本。如果版本跨度较大，建议仔细对比升级前后的配置，具体方法参见检查配置是否恢复。如有需要，请咨询 400-693-0555。

E/X系列平台从5.0相关版本升级到5.5R10及后续版本
  1. 升级前检查主备设备配置，保证升级前主备设备的启动配置文件的配置是相同的。
  2. 先移除设备B的业务线，再移除设备B的HA心跳线，使备份设备B下线。此时，用户的业务通过设备A转发。
  3. 关闭设备B的HA功能后，参照各平台升级注意事项，升级设备B到5.5R4最新的P版本。
  4. 设备B升级成功后，先连接设备B的HA心跳线，然后开启设备B的HA功能，与设备A进行HA协商。
  5. 等待协商、配置和会话同步完成后，连接设备B的业务线。此时，用户的业务仍然通过设备A转发。
  6. 手动进行HA主备切换，此时设备B成为主设备，用户的业务切换到设备B进行转发。
  7. 先移除设备A的业务线，再移除设备A的HA心跳线。
  8. 关闭设备A的HA功能后，升级设备A到5.5R4最新的P版本，成功升级设备A后，继续升级设备A到5.5R10或后续版本。
  9. 设备A升级后进行重启，重启成功后，设备A为5.5R10或后续版本。
  10. 连接设备A的HA心跳线，然后开启设备A的HA功能，与设备B进行HA协商。
  11. 等待协商、配置和会话同步完成后，连接设备A的业务线。
  12. 可手动进行HA切换，使设备B成为备份设备。此时，用户的业务由设备A进行转发。
  13. 先移除设备B上的业务线，再移除设备B的HA心跳线。
  14. 关闭设备B的HA功能后，升级设备B到5.5R10或后续版本，升级成功后重启设备B。
  15. 设备B升级成功后，连接设备B的HA心跳线，然后开启设备B的HA功能，与设备A进行HA协商。
  16. 等待协商、配置和会话同步完成后，连接设备B的业务线。
  17. 升级完成。
A/E/X/K系列平台从5.5相关版本升级到5.5R10及后续版本
升级前准备
  1. 将设备A和设备B当前的配置备份至本地。
  2. 检查主备设备的配置，保证升级前主备设备的配置一致。
  3. 确保当前业务处于正常状态。
  4. 将5.510版本的系统文件分别导入至设备A和设备B。
  5. 若设备启用了抢占模式，请先关闭，待全部升级完成后再开启；若绑定了HA组的监测对象，请先取消绑定，待全部升级完成后再恢复。
设备B升级
  1. 先移除设备B的业务线、再移除其HA心跳线，将设备B脱网。
  2. 在设备B上执行save命令，保存配置后，重启设备B，进行升级。重启成功后，检查设备B的版本、HA相关配置是否正确。
  3. 导出设备B的配置，并与升级前的配置进行对比，查看配置是否有丢失等异常。
  4. 分别在设备B和设备A上执行show ha group config命令查看设备A和设备B的priority值，确保设备A的priority值小于设备B，即设备A的优先级高于设备B。若出现设备A的priority值大于设备B的情况，修改设备B的priority值，使其大于设备A的priority值。
  5. 先连接设备B的HA心跳线，等待设备B和设备A的主备协商成功，即设备A为主设备；再连接设备B的业务线。
HA同步及主备切换
  1. 在主设备A上执行exec ha sync all命令，手动同步设备A和设备B的配置。
  2. 在主设备A上分别执行show arp，show session generic等命令，检查ARP表和会话信息等相关信息是否同步完成。
  3. 在主设备A上执行show logging alarm命令，确认提示信息“Admin batch synchronization of HA group 0 has completed.”出现，表示配置同步完成。
  4. 在主设备A上执行exec ha master switch-over命令，手动进行主备切换。切换成功后，设备B变为主设备。
设备A升级
  1. 先移除设备A的业务线、再移除其HA心跳线，将设备A脱网。此时，确认设备B上的用户业务是否正常。
  2. 在设备A上执行save命令，保存配置后，重启设备A，进行升级。重启成功后，检查设备A的版本、HA相关配置是否正确。
  3. 导出设备A的配置，并与升级前的配置进行对比，查看配置是否有丢失等异常。
  4. 分别在设备A和设备B上执行show ha group config命令查看设备A和设备B的priority值，确保设备A的priority值大于设备B，即设备A的优先级低于设备B。
  5. 先连接设备A的HA心跳线，等待设备A和设备B的主备协商成功，即设备B为主设备；再连接设备A的业务线。
HA同步
  1. 在设备B上执行exec ha sync all命令，手动同步设备A和设备B的配置。
  2. 在设备B上分别执行show arp，show session generic等命令，检查ARP表和会话信息等相关信息是否同步完成。
  3. 在设备B上执行show logging alarm命令，确认提示信息“Admin batch synchronization of HA group 0 has completed.”出现，表示配置同步完成。
完成升级
  1. （可选）在设备B上执行exec ha master switch-over命令，手动进行主备切换，重新将设备A变为主设备。
  2. 升级完成。

升级验证

A/E/X/K系列平台升级验证

升级完成后，通过show version命令来验证系统是否已经成功升级到新版本。

检查配置是否恢复

升级完成后，再次导出当前配置文件，与升级前备份的配置文件进行对比，看配置是否有丢失，如果有丢失，请确认是否新版本该配置命令发生了变化，如果有变化需要按照新的命令重新配置。

验证基本业务

升级完成后，做一些基本业务的验证，检查是否能正常工作。