v25.5.2 konzentriert sich auf Multi-Site-Deployments und tiefere Inspektion — Snort-Integration für Enclave-Flows, standortübergreifendes Entity-Sharing, Durchsetzung von Sicherheitsstufen bei TLS-Handshakes und einen zuverlässigen Backup-/Wiederherstellungspfad während Upgrades.
Highlights
Snort für Enclave-Flows
Enclave-Datenverkehr kann jetzt durch Snort-Regeln inspiziert werden. Operatoren binden eine Snort-Konfiguration an die Flows eines Enclaves und erhalten signaturbasierte Erkennung an derselben identitätsgesicherten Grenze, zusätzlich zu den Proxy-Kontrollen. NetFlow-Daten können direkt in Snort eingespeist werden — kein externer Konvertierungsschritt erforderlich.
Standortübergreifendes Entity-Sharing
Entities — Benutzer, Assets, Gruppen — können jetzt zwischen Access Gate-Standorten geteilt werden, sodass Multi-Site-Deployments synchron bleiben, ohne die Policy-Oberfläche zu duplizieren. Änderungen fließen bidirektional mit Konfliktbehandlung am Quellstandort.
TLS-Sicherheitsstufen für Benutzer und Assets
Benutzer und Assets tragen jetzt explizite TLS-Sicherheitsstufen-Labels, die beim Handshake durchgesetzt werden. Ein sensibles Asset kann TLS 1.3 + PIV-ausgestelltes Client-Zertifikat erfordern, während ein allgemeines Asset weniger strenge Profile akzeptiert. Sicherheitsstufen fließen in die Compliance-Berichterstattung ein.
Datenbank-Backup und -Wiederherstellung während Upgrades
System-Upgrades umfassen jetzt einen automatischen Datenbank-Backup-/Wiederherstellungsschritt. Schlägt ein Upgrade mittendrin fehl, wird die Datenbank ohne Eingriff des Operators auf den Zustand vor dem Upgrade zurückgesetzt. Das Upgrade-Risiko wird dadurch deutlich reduziert.
Passiver Listening-Port
Eine dedizierte Konfigurationsoberfläche für passive Listening-Ports. Ein Span-/Mirror-Port kann an Access Gate angebunden werden, um den Datenverkehr zu beobachten, ohne den Datenpfad zu beeinflussen.
Erkennung fehlender Assets via ARP
Access Gate erkennt jetzt, wenn ein zuvor beobachtetes Asset nicht mehr antwortet — ARP-Probes ohne Antwort lösen ein Signal für fehlende Assets aus. Dies ist nützlich, um Assets zu erkennen, die unerwartet getrennt oder ausgeschaltet wurden.
Neue Funktionen
- Anhang-Uploads — Operatoren können unterstützende Dokumente (Diagramme, Richtlinien, Nachweise) direkt bei Enclaves, Assets und Incidents für den Audit-Kontext hochladen.
- SFTP-Log-Export — Audit-Logs werden zusätzlich zu Syslog-/API-Zielen auch über SFTP exportiert.
- DNS-Präferenz in der Overlay-Konfiguration — Operatoren können auswählen, welchen DNS-Resolver das Overlay verwendet, anstatt den des Hosts zu übernehmen.
- Fehlende PTR-Record-Korrektur für Assets — Reverse-DNS-Auflösung für Overlay-Assets funktioniert jetzt korrekt.
- Sichere Standardwerte für Port-Einstellungen — Port-Konfigurationsformulare werden mit sichereren Standardwerten ausgeliefert, um Fehlkonfigurationen zu reduzieren.
- Feldmetriken-Erfassung — Telemetriedaten aus dem Feld (Leistung, Fehler, Nutzung) können für Fehlerbehebung und Produktverbesserung erfasst werden.
Fehlerbehebungen
Access Screens / Enclaves
- Zeitlimit wird jetzt korrekt in Access-Screen-Regeln gespeichert.
- ACL-Berechtigung wird nach erfolgreichem Access-Screen-Login nicht mehr auf „verweigert" zurückgesetzt.
- Beschreibungsbereich des Enclaves wird auf allen Displays korrekt dargestellt.
- Ghost-ACL-Regel nach dem Archivieren eines Enclaves mit einer primären Regel — behoben.
Overlay / Netzwerk
- DHCP auf dem Overlay-Interface stürzt beim Aktivieren nicht mehr ab.
- Stabilitätskorrekturen in der Netzwerkkonfigurations-UI.
- Slice-Bounds-Panic in der Overlay-Laufzeitumgebung behoben.
- Lesen lokaler PCAP-Dateien führt nicht mehr zu einem NetFlow-Absturz.
Plattform
- VPN-Dienst wird jetzt sauber beendet, einschließlich untergeordneter Prozesse.
Upgrade-Hinweise
- Der Upgrade-Backup-/Wiederherstellungspfad läuft automatisch — ausreichend zusätzlichen Speicherplatz für den DB-Snapshot einplanen.
- Snort-Konfigurationen, die an Enclaves gebunden sind, bleiben über Upgrades hinweg erhalten; eine erneute Bindung ist nicht erforderlich.
- Standortübergreifendes Entity-Sharing ist pro Standortpaar optional aktivierbar; bestehende Einzelstandort-Konfigurationen sind nicht betroffen.