• Реализован новый криптографический алгоритм ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015) («Магма» в режиме MGM);
• добавлена поддержка протокола IKEv2, благодаря чему удалось значительно расширить перечень устройств, с которыми стало возможно построение IPsec c использованием сертификатов и западных алгоритмов (совместимость с Cisco IOS, Strongswan, Windows 10/11, Android, iOS, MacOS);
• реализована одновременная работа по протоколам IKEv1 и IKEv2;
• добавлена возможность работы с IPv6 адресами;
• реализована возможность одновременной работы в сетях с IPv4 и IPv6-адресацией. Поддерживается технология двойного стека (Dual stack). Инкапсуляция пакетов IPv6 в IPv6, IPv4 в IPv6 в рамках IPsec SA;
• прекращена поддержка алгоритма формирования и проверки ЭЦП - ГОСТ Р 34.10-2001;
• добавлен новый формат контейнера закрытых ключей s50 (PKCS#15). Работа с контейнерами формата p15 поддерживается;
• появилась возможность проведения процедуры инициализации удаленно, по SSH через mgmt‑интерфейс (Management Interface). Данная возможность не доступна для исполнений «С-Терра Шлюз DP ST КС1», «С-Терра Шлюз DP ST КС2», «С-Терра Шлюз DP ST КС3»;
• добавлена поддержка работы с ДСЧ «Криптон USB ДСЧ»;
• упрощен процесс конфигурирования для работы с разными УЦ;
• возможна интеграция с внешней системой безопасности – Программным комплексом «САКУРА», разработанным компанией ИТ‑Экспертиза. С-Терра Шлюз создает защищенное соединение с тем VPN‑клиентом, удаленное рабочее место которого успешно проверено ПК «САКУРА». Поиск и удаление существующих соединений запускается при получении соответствующей команды от внешней системы безопасности. Взаимодействие с VPN‑клиентом обеспечивается программным модулем stgateapi, описание которого представлено в инструкции «Программный модуль stgateapi. Руководство программиста.», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• добавлена возможность настройки агента ретрансляции DHCP Relay для получения сетевых настроек по протоколу DHCP. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Обеспечение защищенного взаимодействия между DHCP клиентами и серверами из удаленных подсетей», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• добавлена возможность настройки DHCP failover на VRRP кластере. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Пример настройки DHCP сервера на криптошлюзе «С-Терра Шлюз»», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• добавлена поддержка MultiWAN – сервис, обеспечивающий резервирование каналов связи (Интернет-провайдеров). Описание процесса настройки с перечисленными возможностями представлено в сценарии «Резервирование каналов связи при помощи сервиса MultiWAN», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• добавлена поддержка inside VRF совместно с stVTI интерфейсами для сценариев применения в локальной сети. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN соединения при наличии подсетей с пересекающимся адресным пространством и отказоустойчивостью», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• добавлена поддержка протоколов PPPoE, PPTP для подключения к глобальным сетям. Возможна настройка С-Терра Шлюз как клиента для подключения к серверу провайдера. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN туннеля с PPPoE/PPTP соединением между двумя подсетями, защищаемыми шлюзами безопасности «С-Терра Шлюз»», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• добавлено выделение отдельной QoS очереди для обработки приоритетного трафика. Регулируется параметром IPsec-драйвера use_priority_queue, который задается в конфигурационном файле /etc/modprobe.d/vpndrvr.conf;
• добавлена поддержка криптостойких предварительно распределённых ключей. Использование данных ключей возможно в производственной эксплуатации, в отличие от стандартных PSK, использование которых возможно только в тестовых целях;
• добавлена поддержка работы с устройствами квантового распределения ключей (КРК). Партнерам по защищенному соединению предоставляется общий ключ, который используется для обеспечения устойчивости IPsec SA от взлома на основе вычислений квантовых компьютеров;
• добавлена возможность использования С-Терра Шлюз как коммутатора (bridge) с возможностью фильтрации трафика на портах коммутатора средствами утилиты EBtables (transparent firewall). Описание процесса настройки с перечисленными возможностями представлено в «Использование утилиты «ebtables-legacy»», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• расширен список поддерживаемых USB-модемов. Описание процесса настройки и перечень поддерживаемых USB-модемов представлено в инструкции «Использование USB-модемов в «С-Терра Шлюз» 5.0», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• появилась возможность восстановления пароля по умолчанию для С‑Терра Шлюз. В случае утери пароля от учетной записи administrator консоли разграничения доступа можно восстановить пароль по умолчанию с помощью средств Upflash 5.0.
В Cisco-like консоль добавлены:
• Настройка IPv6-адресации;
• возможность добавления маршрутов для протокола IPv6;
• фильтрация по IPv6;
• фильтрация ICMP-сообщений по типу и коду;
• возможность добавления и конфигурирования VLAN и GRE –интерфейсов;
• добавлена возможность создания профилей, определяющих различные идентификационные параметры для партнеров ISAKMP SA. При создании осуществляется переход в режим конфигурируемого isakmp профиля (conf-isa-prof);
• добавлен режим конфигурирования предварительно распределенных ключей (сonf-keyring);
• добавлен режим формирования списков сертификатов (ca-certificate-map);
• возможность изменения номера порта, используемого протоколом IKE;
• возможность изменения номера порта, используемого протоколом NAT Traversal;
• возможность настройки NTP-клиента;
• добавлен новый режим конфигурирования VRRP-интерфейса, реализована возможность задания правила SLA, а также добавлены настройки для IPv6-адресации;
• добавлен новый режим конфигурирования RADIUS-клиента, предоставляющий возможность задания резервных RADIUS-серверов;
• возможность просмотра списков доступа на отдельных интерфейсах;
• в команде для работы с интерфейсами – interface появилась возможность конфигурирования интересов PPPoE и stVTI (настройка адреса, привязка крипто-карты, привязка правил фильтрации и т.п.). Настройки PPPoE/PPTP и VRF осуществляются в отдельных файлах.
В Продукт добавлены утилиты:
• cert_mgr block_* – предназначена для внесения/удаления сертификатов в список заблокированных, также используется для просмотра данного списка;
• key_mgr block_* – предназначена для внесения/удаления предварительно распределённых ключей в список заблокированных, также используется для просмотра данного списка;
• key_mgr import - добавлена возможность задать срок действия предварительно распределённых ключей;
• genpskey - позволяет создавать контейнер с криптостойким предварительно распределенным ключом. Также были расширены возможности утилиты key_mgr, теперь возможно импортировать ключи из данных контейнеров в базу Продукта и экспортировать, соответственно;
• cert_mgr export – используется для выгрузки СА, локальных сертификатов, сертификатов партнеров и CRL из базы Продукта в файл;
• excont_mgr get_gamma – предназначена для получения и сохранения гамма-материала;
• excont_mgr putc2kc – предназначена для добавления сертификата в ключевой контейнер;
• excont_mgr getc4kc – предназначена для получения сертификата из ключевого контейнера;
• для утилит cert_mgr и excont_mgr добавлены опции для работы с неизвлекаемыми ключами на токенах, а также добавлена возможность интерактивного и машинного ввода пароля контейнера;
• для утилиты cspvpn_verify модифицирован метод контроля целостности файлов Продукта;
• расширены возможности утилиты sa_mgr – добавлена возможность просмотра информации об IKEv2 SA и построенных на их основе IPsec SA, а также добавлена соответствующая опция для фильтрации вывода;
• расширены возможности фильтрации вывода сообщений утилиты klogview;
• расширен набор настраиваемых параметров утилиты drv_mgr;
• добавлена расширенная статистика IPsec-драйвера (VPN-драйвера), отвечающего за перехват, фильтрацию и обработку пакетов (см. вывод kstat_show -e).
В конфигурационный файл (LSP) добавлены структуры:
• ConnectionLimits – описывает ограничения активности IKE и IPsec SA;
• IPsecAction2 – задает правило создания контекста соединения для протоколов семейства IPsec в соответствии с RFC 4301;
• IPsecProposal2 – задаёт набор допустимых комбинаций IPsec протоколов и криптоалгоритмов для создания IPsec SA. Данный набор используется в структуре IPsecAction2;
• IPv6TunnelEntry – описывает параметры внешнего IPv6-заголовка пакета при использовании туннельного режима IPsec;
• IKEProposal2 – задаёт набор параметров, необходимых для создания IKEv2 SA;
• IKERule2 – описывает правило создания контекста соединения для протокола ISAKMP версии 2 в соответствии с RFC 7296;
• IKEAuth2 – описывает правила формирования и проверки аутентификационной информации партнеров по IKEv2 SA;
• IPv6Filters – задает набор правил фильтрации IPv6-трафика;
• IPv6Routes – задает набор маршрутов для добавления в таблицу маршрутизации протокола IPv6;
• QKDRule – описывает правило обращения к устройствам КРК (КРК - квантового распределения ключей);
• QKDServer – описывает параметры доступа к устройствам КРК и согласуемый в IKE идентификатор устройства КРК;
• добавлена возможность задания резервных RADIUS-серверов в атрибуте структуры AAARule;
• для режима IPsec добавлена возможность выставления алгоритма формирования DF-бита, режима использования NAT-T, режима изменения опции MSS;
• для структур IKERule добавлен атрибут QKD, позволяющий устанавливать правило обращения к устройствам КРК. В атрибуте GroupID структуры IPsecAction, устанавливаюший алгоритм выработки закрытого ключа для каждого нового IPsec SA, добавлена возможность использования КРК;
• появилась возможность задания режима работы DPD (Dead-Peer-Detection).
Изменения, касающиеся работы с токенами:
• добавлена поддержка одновременной работы с несколькими токенами;
• добавлена поддержка работы с неизвлекаемыми ключами на токенах:
• JaCarta-2 ГОСТ (в том числе JaCarta-2 PKI/ГОСТ);
• Рутокен ЭЦП 2.0/3.0.
ПК «С-Терра Шлюз ST». Версия 5.0 работает только с контейнерами формата PKCS#15.