ファイアウォール（vSRX）の再起動後にActive Directory等の通信で不具合が発生する事象について

事象概要

ファイアウォール（vSRX）にて以下の操作を実施後、Active Directory等のMicrosoft リモート プロシージャ コール(MS-RPC)サービスにて通信が不可となる事象が確認されております。

• ファイアウォールインターフェイスの編集 ＞ ロジカルネットワークの接続/切断

• ファイアウォールの再起動

  • SDPFポータルの操作またはファイアウォールのコマンドにて再起動を実施

• ファイアウォールの再配置

これは、ファイアウォール（vSRX）がMS-RPCサービスのために実装しているMSRPC ALGという機能の不具合によるものです。MSRPC ALGは、ActiveDirectory等で使用されるMS-RPCトラフィックを受信した際、これを解析して、サーバー – クライアント間で動的に決定されるポートでの通信を一時的に許可する機能です。ファイアウォール（vSRX）を再起動時、MSRPC ALGが初期化失敗により正しく機能しない場合があります。

MSRPC ALGの詳細はメーカードキュメント参照してください。

https://www.juniper.net/documentation/jp/ja/software/junos/alg/topics/topic-map/security-rpc-alg.html#id-understanding-microsoft-rpc-algs

確認方法

以下の方法で確認できます。なお、VRRPによる冗長構成を行っている場合はMaster側の機器にて確認してください。また、値は再起動によってリセットされます。そのため、確認する場合は再起動前に実施してください。

Active Directory等の通信に不具合が発生しており、シェルモードで以下のコマンドを投入した結果、MSRPC maximum group numberの値が 0 であれば、本事象に該当します。

■CLIコマンド

vty -c "show usp algs ms-rpc map-table" fwdd

■正常時の出力例

root@:~ # vty -c "show usp algs ms-rpc map-table" fwdd

MSRPC active map entry:               0
MSRPC active group number:            0
MSRPC maximum group number:           3276
MSRPC map lifetime (min):             480
MSRPC map reserved timeout factor:    0.500

MSRPC service mapping - hashed by (ip, port, proto, uuid)
Bkt	Vsys	Zone	Time	Hit	IP		Port	X-IP		X-Port	Prot	UUID
0 record(s)

■異常時の出力例

root@:~ # vty -c "show usp algs ms-rpc map-table" fwdd

MSRPC active map entry:               0
MSRPC active group number:            0
MSRPC maximum group number:           0
MSRPC map lifetime (min):             480
MSRPC map reserved timeout factor:    0.500

MSRPC service mapping - hashed by (ip, port, proto, uuid)
Bkt	Vsys	Zone	Time	Hit	IP		Port	X-IP		X-Port	Prot	UUID
0 record(s)

対象バージョン

全バージョン

対処方法

本事象が発生した際には、以下手順でMSRPC ALGを一時的に無効化し、再度有効化することで復旧することができます。

■CLIコマンド

set security alg msrpc disable
commit
delete security alg msrpc disable
commit

改修目途

本事象につきまして、改修時期は未定です。

更新履歴