Citrix ADC 13.0版本的41.28版发布说明
2020年4月22日
|
发行说明版本:3.0
请注意
构建41.28取代构建41.20
本发布说明文档描述了Citrix ADC release 13.0 Build 41.28的增强和更改，列出了修复的问题，并指定了存在的问题。看到版本历史．
笔记
- 本发行说明文档不包含与安全相关的修复程序。有关安全相关修复程序和建议的列表，请参阅Citrix安全公告。
- 已知问题部分是累积的。它包括在此版本中新发现的问题，以及在以前的Citrix ADC 13.0版本中未修复的问题。
- 问题描述下的[# XXXXXX]标签是Citrix ADC团队使用的内部跟踪id。
替换版本中可用的其他更改/修复
版本中可用的其他更改/修复
注意事项
在使用Build 41.28时要记住一些重要的方面。
Citrix ADC VPX设备
-
对于在Azure Stack上部署VPX，必须将Azure Stack中的DNS转发器配置为支持DNS根服务器解析。[# nsplat - 10838]
有什么新鲜事吗?
Build 41.28中提供的增强和更改。
演示applow
-
在管理分区中支持LogstreamCitrix ADC设备现在可以从Admin分区发送Logstream记录。[# nsbase - 4777]
-
通过NSIP地址监控Logstream记录Citrix ADC设备现在可以使用NSIP地址连接到Citrix ADM以发送Logstream记录。[# nsbase - 7400]
身份验证、授权和审计
-
nFactor Visualizer增强在nFactor可视化器中做了以下增强:-管理员现在可以移动的因素，没有连接，通过拖放因素到垃圾图标。- nFactor流现在也可以从认证虚拟服务器页面查看。[# nsauth - 6159]
-
支持OAuth认证的名称-值属性您现在可以配置具有唯一名称和值的OAuth身份验证属性。名称在OAuth action参数中配置，通过查询名称获取。通过指定name属性值，管理员可以很容易地搜索与属性名关联的属性值。此外，管理员不再需要单独通过其值来记住属性。[# nsauth - 5563]
-
对SAML IdP的断言消费者服务(ACS) URL支持配置为SAML身份提供者(IdP)的Citrix ADC设备现在支持ACS索引来处理SAML服务提供者(SP)请求。SAML IdP从SP元数据导入ACS索引配置，或者允许手动输入ACS索引信息。[# nshelp - 20228]
-
支持加密OTP数据并将现有OTP数据迁移到加密形式为了增强安全性，现在可以将OTP秘密数据存储为加密格式，而不是纯文本。从Citrix ADC release 13.0 build 41开始。xx, OTP数据存储在一个加密的格式自动如果所需的配置设置。但是，对于现有的纯文本OTP数据，您可以使用OTP加密工具从纯文本迁移到加密格式。此外，还可以使用OTP加密工具将现有证书更新为新证书。OTP加密工具位于“varetscalerotptool”目录。您必须从该位置下载该工具，并使用所需的AD凭据和先决条件运行该工具。[# nsauth - 74]
-
支持基于客户端证书的Active Directory联合服务代理集成协议身份验证Active Directory联合服务代理集成协议现在支持基于客户端证书的身份验证。注意:此功能目前处于技术预览版本。[# nsauth - 6457]
Citrix ADC BLX设备
-
Ubuntu Linux主机支持Citrix ADC BLX设备Citrix ADC BLX设备现在支持在Ubuntu Linux系统中运行。[# nsnet - 9259]
-
支持Citrix ADC BLX设备的动态路由协议Citrix ADC BLX设备现在支持IPv4和IPv6 BGP动态路由协议。[# nsnet - 7785]
-
DPDK支持思杰ADC BLX设备Citrix ADC BLX设备现在支持数据平面开发工具包(DPDK)， DPDK是一组Linux库和网络接口控制器，用于提高网络性能。Citrix ADC BLX设备仅在专用模式下支持DPDK。[# nsnet - 2456]
Citrix ADC CPX设备
-
轻版本Citrix ADC CPX的monitorConnectionClose参数值默认设置为RESET要使用全局负载均衡参数关闭监视器-探针连接，可以将monitorConnectionClose配置为FIN或RESET。当您将monitorConnectionClose参数配置为;FIN:设备执行一个完整的TCP握手* RESET:设备从服务接收到SYN-ACK后关闭连接。在Citrix ADC CPX的轻版本中，monitorConnectionClose参数值默认设置为RESET，不能在全局级别更改为FIN。但是，您可以在服务级别将monitorConnectionClose参数修改为FIN。[# nslb - 4610]
Citrix ADC GUI
-
支持识别服务或服务组状态被标记为DOWN的原因现在，您可以在GUI上查看处于DOWN状态的服务或服务组的监视器探测信息，而无需导航到监视器绑定接口。[# nsui - 12906]
-
前端优化支持管理分区您现在也可以在分区模式下从配置高级功能页面启用前端优化功能。[# nsui - 12800]
-
SSL证书的引导交互Citrix ADC GUI现在为一些与创建、导入和更新SSL证书相关的常见但详细的任务提供了指导交互。当您第一次启动设备时，它提示您启用引导交互。如果启用，您可以在任何时候通过导航到System > Settings > Change CUXIP Settings并清除Enable CUXIP复选框显式地禁用它。注意:此特性仅适用于Citrix ADC GUI中的SSL证书。[# nsui - 13389]
-
支持识别导致虚拟服务器状态被标记为DOWN的原因现在，您可以在GUI上查看处于DOWN状态的虚拟服务器的监视器探针信息，而无需导航到监视器绑定接口。[# nsui - 13255]
Citrix ADC VPX设备
-
谷歌云平台的高可用性支持现在，您可以将Citrix VPX实例部署为Google Cloud Platform上的HA对，可以跨区域部署。有关更多信息，请参见https://docs.citrix.com/en-us/citrix-adc/13/deploying-vpx/deploy-vpx-google-cloud-ha.html[# nsplat - 7714]
-
通过私有IP迁移在AWS上部署VPX HA对现在，您可以在非独立网络配置(INC)模式下，使用私有IP迁移将VPX实例部署为同一区域中的HA对，这将大大减少故障转移时间。以前，VPX HA节点采用ENI (network interface)迁移方式部署，这种方式的故障转移时间较长。有关更多信息，请参见:[# nsplat - 7718]
-
支持新的AWS实例类型从这个版本开始，在现有区域和新添加的区域Paris中，支持以下AWS实例类型用于VPX部署。—C5: C5。大,c5。Xlarge、c5.2xlarge、c5.4xlarge、c5.9xlarge、c5.18xlarge—C5n: C5n。大,c5n。超大,c5n。2超大,c5n。4超大,c5n。9超大,c5n.18xlarge—M5: M5。大型，m5.xlarge,m5.2xlarge,m5.4xlarge, m5.12xlarge,m5.24xlarge[# nsplat - 8729]
-
用于VPX负载平衡服务组的Azure服务标记对于部署在Azure Cloud上的ADC Citrix VPX实例，现在您可以创建与Azure标记关联的负载平衡服务组。VPX实例使用相应的标记持续监视Azure虚拟机(vm)或网络接口(nic)，或两者同时监视，并相应地更新服务组。当添加或删除相应标签的虚拟机或网卡时，ADC会检测到相应的更改，并自动在服务组中添加或删除虚拟机或网卡的IP地址。您可以使用VPX GUI将Azure标记设置添加到VPX实例。有关Azure标记的详细信息，请参阅Microsoft文档:https://docs.microsoft.com/en-us/azure/azure-resource-manager/resource-group-using-tags有关Citrix ADC VPX部署的Azure标记的更多信息，请参阅https://docs.citrix.com/en-us/citrix-adc/13/deploying-vpx/deploy-vpx-on-azure/tags.html[# nsplat - 8768]
-
支持巴黎地区的AWS部署现在您可以在巴黎区域的AWS中部署VPX实例。[# nsplat - 8730]
思杰机器人管理公司
-
思杰机器人管理公司检测和减轻机器人威胁是当今世界的核心安全需求。这是通过使用bot管理系统实现的。Citrix Bot Management保护您的web应用程序、应用程序和api免受基本和高级安全攻击。Citrix Bot Management使用以下六种检测机制来检测Bot类型并采取缓解措施。这些技术包括僵尸白名单、僵尸黑名单、IP信誉、设备指纹、速率限制和静态签名。IP的声誉。该机制通过主动更新恶意IP地址数据库来检测入站流量是否为机器人。指纹识别设备。设备指纹识别将javascript注入HTTP流，并评估从javascript返回的属性，以确定入站流量是否为bot。率限制。检测技术速率限制来自同一客户端通过会话、cookie或IP的多个请求。机器人签名。该检测技术基于思杰威胁研究团队培养的3500多个签名来检测和阻止机器人。机器人可能是，例如，未经授权的url抓取网站，暴力强迫登录，或那些探测漏洞白名单。白名单是一个包含url、ip、CIDR块和策略表达式的可定制列表，将匹配其中一个参数的流量加入白名单并允许进入。机器人黑名单。黑名单是一种可自定义的url、ip、CIDR块和策略表达式列表，用于将匹配这些参数之一的入站流量加入黑名单并予以拒绝。Citrix Bot Management减轻了针对您的公共应用程序、api和网站的自动化威胁和不必要的Bot流量。如果传入流量被确定为机器人，系统将采取ADC管理员指定的操作，并生成可靠的报告，以实现问责制和可审计性。Bot管理提供以下好处:-防御机器人，脚本和工具包-基于静态签名的防御和设备指纹提供对基本和高级机器人的威胁缓解。-中和基础和高级攻击-防止攻击，如应用层DDoS，密码喷洒，密码填充，价格抓取，内容抓取等。-保护您的api和投资-保护您的api免受滥用，探测和数据泄露，并保护基础设施投资免受不必要的流量。[# nswaf - 2900]
Citrix网关
-
选择性地为客户端使用旧的或最新的登录协议使用带有Citrix Gateway的Workspace应用程序的客户现在可以根据策略有选择地使用旧的或最新的登录协议。客户可以在某些客户端使用旧的网络协议，也允许客户端使用本地的Intune集成与使用遗留协议的Citrix Gateway客户端，主要是使用设备唯一标识符检查Intune的遵从性。[# cgop - 10879]
-
在登录Windows之前Windows环境下的“登录前的AlwaysON”可以在用户登录Windows系统之前建立VPN隧道。这种持久的VPN连接是通过在设备启动后自动建立设备级VPN隧道来实现的。[# cgop - 10791]
Citrix Web应用防火墙
-
允许的文件上传格式Citrix Web应用防火墙现在允许您在Citrix Web应用防火墙配置文件中配置允许的文件上传格式。通过这样做，可以将文件上传限制为特定格式，并在多表单提交期间保护设备免受恶意上传。注意:该功能仅在禁用WAF配置文件中的“ExcludeFileUploadFormChecks”选项时有效。[# nswaf - 2579]
-
详细记录违规模式现在，您可以配置Web应用防火墙配置文件，以便在发生攻击时提供详细的违规模式。通过配置Verbose日志级别选项，您可以记录有效负载的不同部分以及攻击模式，以便进行取证分析或故障排除。[# nswaf - 2892]
-
JSON内容保护Citrix Web App Firewall现在为DOS、XSS和SQL攻击提供JSON保护。JSON拒绝服务(DoS)、SQL和XSS规则检查传入的JSON请求，并验证是否有任何数据符合DoS、SQL或XSS攻击的特征。如果请求有JSON违规，设备将阻止请求，记录数据，发送SNMP警报，并显示JSON错误页面。JSON保护检查的目的是防止攻击者发送JSON请求对您的JSON应用程序或网站发起DoS, XSS或SQL攻击。[# nswaf - 2894]
-
WAF POST主体阈值以降低CPU利用率应用防火墙签名文件现在包括CPU使用率、最近适用年份和严重级别。您可以查看签名文件周期性修改和上传时的CPU使用率、最近一年以及CVE的严重级别。在观察这些值之后，您可以决定在设备上启用或禁用签名。[# nswaf - 2932]
-
使用动态配置文件自动部署学习到的数据。您现在可以自动部署学习过的数据作为松弛规则。在动态分析中，如果Web App Firewall在用户定义的阈值范围内记录学习到的数据，则设备将向用户发送SNMP警报。如果用户未在宽限期内跳过所述数据，则设备将自动部署所述数据作为松弛规则。以前，用户必须手动部署学习到的数据作为松弛规则。[# nswaf - 2895]
聚类
-
ARP所有者支持条纹IP在集群设置中，您现在可以配置一个特定节点来响应条带IP的ARP请求。配置的节点将对ARP流量做出响应。在“add / set / unset ip”命令中增加了一个新的属性arpOwner。[# nsnet - 3050]
-
清除SNMP版本不匹配告警现在可以使用一个清晰的trap SNMP清除集群设置中的版本不匹配。[# nsnet - 8545]
DNS
-
2019年DNS国旗日合规思杰ADC设备现已完全符合2019年的DNS标准。[# nslb - 4275]
许可
-
标准license中的动态路由协议Citrix ADC标准许可现在包括Citrix ADC动态路由协议。Citrix ADC支持以下动态协议:—RIP (IPv4和IPv6)—OSPF (IPv4和IPv6)—BGP (IPv4和IPv6)—IS-IS (IPv4和IPv6)[# nsnet - 12256]
-
SDX最小带宽和最小实例的新值支持Citrix ADC池容量的SDX设备的最小带宽和最小实例值已经更改。有关更多信息，请参见:[# nssvm - 2770]
-
标准license中的动态路由协议Citrix ADC标准许可现在包括Citrix ADC动态路由协议。Citrix ADC支持以下动态协议:—RIP (IPv4和IPv6)—OSPF (IPv4和IPv6)—BGP (IPv4和IPv6)—IS-IS (IPv4和IPv6)[# nsplat - 6179]
负载平衡
-
支持安全的NTLM监视器现在可以使用nsntlm-lwp.pl脚本创建一个监视器，用于监视安全的NTLM服务器。[# nslb - 4806]
硝基
-
使用理想状态API无缝地更新具有理想成员集的服务组现在可以使用Desired State API用一组期望的服务组成员更新服务组。使用理想状态API，您可以在“servicegroup_servicegroupmemberlist_binding”资源上的单个PUT请求中提供服务组成员的列表以及它们的权重和状态(可选)。Citrix ADC设备将请求的所需成员集与配置的成员集进行比较。然后，它自动绑定新成员并取消绑定请求中不存在的成员。[# nslb - 4543]
-
将系统用户限制在指定的管理界面Citrix ADC设备现在允许您限制用户对特定管理接口(CLI或API)的访问。用户级别可以配置特定用户或用户组允许管理的接口列表。[# nsconfig - 1376]
平台
-
配置接口的接收环大小和接收环类型您现在可以在Citrix ADC MPX和SDX平台上增加IX、F1X、F2X和F4X接口的接收环尺寸和环类型。增大的环大小为处理突发通信提供了更多缓冲，但可能会影响性能。IX接口最多支持8192个环的大小。F1X、F2X、F4X接口支持最大4096个环。默认的环长仍然是2048。缺省情况下，接口环类型为弹性类型。它们的大小根据数据包到达率增加或减少。可以将环型配置为“fixed”，不随流量速率变化。[# nsplat - 9264]
政策
-
用于策略转换的增强nspepi工具nspepi工具现已得到改进，以支持以下功能:隧道策略及其绑定的转换。*转换内置的经典策略绑定在CMP, CR和隧道。*将认证策略及其绑定转换为认证虚拟服务器，但不用于其他实体绑定。*修复了各种错误。注意:如果使用cmd策略并转换命令的名称，则需要手动更改任何相关的cmd策略。[# nspolicy - 3159]
SSL
-
支持基于策略的客户端身份验证的可选客户端证书验证当配置了基于策略的客户端身份验证时，可以将客户端证书验证设置为可选。以前，强制性是唯一的选择。现在可选和强制选项都可用，并且可以配置。[# nsssl - 690]
-
支持在stat ssl命令中显示RSA 3072位密钥值stat ssl的输出现在包括RSA 3072位密钥交换值。> stat SSL -detailSSL卸载# SSL卡存在# SSL卡UPSSL引擎状态1SSL会话(速率)0…关键的交流RSA 512位密钥交换0 0RSA 1024位密钥交换0 0RSA 2048位密钥交换0 0RSA 3072位密钥交换0 106380RSA 4096位密钥交换0 0…完成[# nsssl - 1954]
-
支持较长的SSL实体名称为了帮助客户在所有ADC实体之间保持标准的命名约定，Citrix ADC设备现在支持最多63个字符的证书名称。早先的限制是31个字符。[# nsssl - 5976]
-
英特尔Coleto芯片健康检查增强采用英特尔Coleto芯片的思杰ADC设备现在支持增强的对称(SYM)和非对称(ASYM)操作的健康检查。[# nsssl - 6299]
-
支持分段TLS消息Citrix ADC设备现在支持服务器证书消息和证书请求消息的碎片化。在所有记录中支持的这些消息的最大大小是32 KB。早些时候，不支持分片，支持的最大消息大小为16 KB。[# nsssl - 5971]
系统
-
实现ICAP请求超时和响应超时为了处理ICAP响应超时问题，可以在ICAP配置文件中配置“reqTimeout”参数的ICAP请求超时值。通过这样做，您可以为设备设置一个请求超时动作，以便在来自ICAP- server的ICAP响应延迟时采取任何操作。如果设备在配置的请求超时内没有收到任何ICAP响应，则设备可以根据Icapprofile上配置的“ReqTimeoutAction”参数执行以下操作之一。ReqTimeoutAction:取值包括BYPASS、RESET、DROP。BYPASS:如果在超时值内没有收到封装头的ICAP响应，则忽略远程ICAP服务器的响应，并向客户端/服务器发送完整的请求/响应RESET(默认):通过关闭客户端连接来重置客户端连接。DROP:删除请求而不向用户发送响应[# nsbase-3040, nsbase-2264]
-
处理内容检查期间的ICAP服务器停机为了在内容检查期间处理ICAP服务器停机，Citrix ADC设备现在允许您配置ifserverdown参数并分配以下操作。CONTINUE:如果用户想在远程服务器关闭时绕过内容检查，可以选择此操作。RESET(默认):该动作通过关闭与RST的连接来响应客户端。DROP:该动作静默地丢弃数据包，不向用户发送响应。[# nsbase - 4936]
-
入侵检测系统(IDS)集成L3连接Citrix ADC设备现在与入侵检测系统(IDS)等被动安全设备集成在一起。在此设置中，设备将原始流量的副本安全地发送到远程IDS设备。这些被动设备存储日志，并在检测到不良或不合规的流量时触发警报。它还为遵从性目的生成报告。如果Citrix ADC设备与两个或多个IDS设备集成，并且当存在大量流量时，该设备可以通过在虚拟服务器级别克隆流量来平衡设备的负载。对于高级安全保护，Citrix ADC设备集成了被动安全设备，如仅以检测模式部署的入侵检测系统(IDS)。这些设备存储日志，并在看到不良或不合规的流量时触发警报。它还为遵从性目的生成报告。以下是将Citrix ADC与IDS设备集成的一些好处。1.加密流量检测—大多数安全设备会绕过加密流量，导致服务器容易受到攻击。Citrix ADC设备可以解密流量并将其发送到IDS设备，以增强客户的网络安全性。2.从TLS/SSL处理中卸载IDS设备—TLS/SSL处理是昂贵的，并且如果对流量进行解密，会导致入侵检测设备占用很高的系统CPU。随着加密流量的快速增长，这些系统无法对加密流量进行解密和检测。Citrix ADC有助于将流量从TLS/SSL处理转移到IDS设备。这种卸载数据的方式导致IDS设备支持大量的流量检查。3.负载平衡IDS设备——Citrix ADC设备通过在虚拟服务器级别克隆流量，在存在大量流量时对多个IDS设备进行负载平衡。4.将流量复制到被动设备——可以将流入设备的流量复制到其他被动设备，以生成遵从性报告。例如，很少有政府机构强制要求在某些被动设备上记录每笔交易。5.将流量分散到多个被动设备上——有些客户喜欢将传入的流量分散或复制到多个被动设备上。6.流量的智能选择——可能不需要对流入设备的每个数据包进行内容检查，例如下载文本文件。用户可以配置Citrix ADC设备，选择特定的流量(例如。exe文件)进行检测，并将流量发送到IDS设备进行数据处理。[# nsbase - 6800]
-
用于调试负载平衡虚拟服务器的新实体计数器添加了一个新的实体计数器，用于调试虚拟服务器和分析目的。[# nsbase - 8087]
-
在线软件升级过程中的SNMP trap用于高可用性设置的在线软件升级(ISSU)过程现在支持在ISSU迁移操作的开始和结束时发送SNMP trap消息。[# nsnet - 9959]
-
回滚业务软件升级过程高可用性设置现在支持回滚In Service Software Upgrade (ISSU)进程。如果您观察到在ISSU过程之后或过程中的HA设置不稳定，或者没有按照预期的最佳水平执行，那么ISSU回滚特性将非常有用。[# nsnet - 9958]
-
修改默认RPC节点密码在HA、集群和GSLB部署中，如果未更改默认RPC节点密码，则会出现nsroot和超级用户登录的警告消息。[# nsconfig - 2224]
视频优化
-
视频优化功能现在支持在集群拓扑。[# nsvideoopt - 772]
固定的问题
在Build 41.28中解决的问题。
管理分区
-
在配置了admin分区的高可用性环境中，只有当从admin分区可达SYSLOG或NSLOG服务器时，从备节点生成的审计日志才会发送到SYSLOG或NSLOG服务器。[# nshelp - 19399]
-
在分区设置中，“diff ns config”CLI命令会显示误导信息。[# nshelp - 19530]
演示applow
-
如果绑定到位于内容切换虚拟服务器后面的负载平衡虚拟服务器，则不会触发AppFlow策略。[# nshelp-18782, nsbase-8180]
-
如果将用户定义的分析配置文件(而不是内部绑定的配置文件)绑定到AppFlow操作，Citrix ADC设备就会崩溃。[# nshelp - 19362]
-
当AppFlow“客户端测量”特性被启用时，Citrix ADC设备会意外地解析HTML页面的CSS文件。CSS解析过程中的任何错误都可能导致HTML页面加载错误。[# nshelp - 19375]
-
如果AppFlow被禁用，但前端优化(FEO)在客户端测量中启用，Citrix ADC设备可能会崩溃。[# nshelp - 19531]
-
如果AppFlow收集器在Logstream传输模式下关闭，Citrix ADC设备可能会重新启动。[# nshelp - 19837]
身份验证、授权和审计
-
如果满足以下条件，Citrix ADC设备可能允许未经授权的访问:—未配置合适的授权策略。—set tm sessionParameter命令中的defaultAuthorizationAction参数默认为ALLOW。[# nsauth - 6013]
-
即使SSH公钥认证成功，SNMP也会发送trap。[# nshelp - 18303]
-
当TACACS服务器使用FIN或RST报文关闭TCP连接而不发送认证响应时，probe server命令提供相应的消息。[# nshelp - 18399]
-
从Citrix ADC集群10.5版本升级到更高版本时，系统无法登录非cco节点。现象描述[# nhelp -18511, nsauth-5561]
-
如果服务器发送较大的RelayState参数名称以及断言，则配置为SAML SP的Citrix ADC设备将失败。[# nshelp - 18559]
-
Citrix身份验证、授权和审计注销消息偶尔会显示不正确的虚拟服务器名称。[# nshelp - 18751]
-
如果满足以下条件之一，Citrix ADC设备无法通过受约束的委托获取Kerberos票据:—配置用户所属企业的realm参数。—“keytab”参数中的域名为小写。[# nshelp - 18946]
-
如果满足以下条件，缓冲区就会损坏:—覆盖缓冲区中的数据。—核对核消息处理导致缓冲区回收条件。[# nshelp - 18952]
-
如果User-Agent包含ns_aaa_activesync_useragents中提到的模式之一，Citrix ADC设备不会丢弃未经身份验证的HTTP OPTIONS请求。[# nshelp - 19024]
-
在Citrix网关设备上进行多次故障转移后，WebAuth身份验证失败。[# nshelp - 19050]
-
如果满足以下条件，Citrix ADC设备可能会崩溃:—在LDAP操作命令中启用密码修改选项。—具有认证、授权和审计会话的LDAP动作遇到会话传播问题。[# nshelp - 19053]
-
当Citrix网关或流量管理虚拟服务器使用Kerberos身份验证时，Citrix ADC设备的内存使用量会增加。[# nshelp - 19085]
-
如果配置了metadataURL参数并且重新启动了Citrix设备，则不会保存SAMLAction命令并丢失配置。[# nshelp - 19140]
-
如果您设置了“导入元数据URL”，然后通过从Citrix ADC GUI提供重定向URL来编辑它，则重定向URL被设置，但导入元数据URL并未取消设置。因此，Citrix ADC设备使用元数据URL。[# nshelp - 19202]
-
如果输入到Citrix GUI或NITRO API登录请求的用户名或密码值无效，Citrix ADC设备可能会崩溃。[# nshelp - 19254]
-
如果将身份验证登录模式策略设置为noschema, Citrix设备可能会崩溃。[# nshelp - 19292]
-
如果在samlIdPProfile命令中配置了defaultAuthenticationGroup参数，Citrix ADC设备偶尔会失败。[# nshelp - 19301]
-
通过负载均衡虚拟服务器和负载均衡服务访问Citrix ADC管理时，系统用户通过RBA (role-based access)认证从Citrix GUI或NITRO API登录失败。[# nshelp - 19385]
-
现象描述ADFS (Active Directory Federation Services)导入Citrix ADC SAML Service Provider生成的元数据失败。[# nshelp - 19390]
-
如果数字签名包含HTML实体编码字符，则base64解码失败。[# nshelp - 19410]
-
为SAML身份提供程序(IdP)配置的Citrix ADC设备无法对某些应用程序的传入身份验证请求进行身份验证。[# nshelp - 19443]
-
如果在检查任何现有会话之前处理客户端请求中的对话cookie, Citrix ADC设备将向客户端发送更改密码页面。[# nshelp - 19528]
-
如果URL包含“;”特殊字符，则TASS cookie在登录时对URL重定向进行编码。[# nshelp - 19634]
-
如果管理员登录时提取用户组，则会导致Citrix ADC AAA的内存占用逐渐增加。[# nshelp - 19671]
-
当配置为带有WS-Fed协议的SAML的Citrix ADC设备在密码中包含特殊字符“&”时，身份验证可能会失败。[# nshelp - 19740]
-
如果满足以下条件，将观察到500错误消息:—启用了认证、授权和审计功能的流量管理虚拟服务器在没有cookie的情况下接收post请求。—文章主体包含换行符。[# nshelp - 19852]
-
Citrix ADC设备使用从身份验证、授权和审计流量管理虚拟服务器接收的OPTIONS方法处理未经身份验证的HTTP请求。此时，设备使用相应的HTTP 401错误消息进行响应。[# nshelp - 19916]
-
如果HSTS报头的最大年龄值大于2,147,483,647，则Citrix ADC设备发送一个负值。[# nshelp - 19945]
-
SAML响应中的SAML属性值包括多个SAML AttributeValue行，而不是一行。[# nshelp - 19961]
-
在OpenID-Connect机制中，OAuth依赖方(RP)在进行密码授予API调用时不编码用户名或密码属性。[# nshelp - 19987]
-
配置为SAML身份提供者(IdP)的Citrix ADC设备如果包含引号，则从服务提供者(SP)截断中继状态。[# nshelp - 20131]
-
如果满足以下条件，Citrix网关设备可能会失败:—当用户退出会话时。—设备部署在HDX平台上。—Citrix网关采用SAML认证。[# nshelp - 20206]
-
在FIPS设备上使用SAML IdP时，Citrix ADC设备可能会崩溃。[# nshelp - 20282]
-
如果用户在拍摄VPX快照时尝试登录，Citrix网关设备有时可能会失败。[# nshelp - 20292]
-
在流量管理虚拟服务器上配置为SAML服务提供者(SP)的Citrix ADC设备在SAML登录后不会向后端服务器发送post body响应。[# nshelp - 20348]
-
在Citrix ADC GUI中观察到以下行为:—不能编辑OAuth策略。—您只能编辑OAuth动作。—“OAuth策略”选项只能在“高级策略”下，不能在“基本策略”下。[# nshelp - 2131]
-
有时，Citrix网关设备在从客户端接收到/vpn /services.html请求时可能会失败。[# nshelp - 8513]
CPXCPX-Infra
-
特性:Citrix ADC CPX以下缺省TCP配置文件没有自动设置TCP最大段大小(MSS):——nstcp_default_profile——nstcp_internal_apps[# nsnet - 11916]
Citrix ADC BLX设备
-
在Citrix ADC BLX设备上，不能将接口0/1绑定到VLAN，因为该接口用于BLX设备和Linux主机应用程序之间的内部通信。[# nsnet - 10014]
-
分配给Citrix ADC BLX设备的接口(Linux主机)不支持Rx、Tx、GRO、GSO、LRO等接口特性。即使在BLX设备停止时将这些BLX接口释放到默认名称空间之后，这些特性仍然保持禁用状态。[# nsnet - 9697]
Citrix ADC CLI
-
当以nsrecover用户登录时，nscli -U命令抛出错误。[# nsconfig - 1414]
-
如果达到最大用户会话数(大约1000个会话)并且管理接口停止响应，Citrix ADC设备将变得无响应。[# nhelp -19212, nsconfig-1369]
Citrix ADC CPX
-
轻版本的Citrix ADC CPX实例没有在Citrix ADM上注册。[# nsconfig - 2232]
-
Citrix ADC CPX不支持配置/32位子网掩码的NSIP。[# nsnet - 10968]
Citrix ADC GUI
-
当您在流标识符GUI页面中单击“操作”时，会出现错误消息“无法读取未定义的属性'get'”。[# nshelp - 19369]
-
执行步骤1到步骤4后出现以下错误消息。"参数值不明确[]"1.使用默认值创建SSL配置文件。2.将配置文件绑定到SSL虚拟服务器。3.编辑SSL参数，但不修改任何值。4.选择“OK”关闭SSL参数对话框。[# nshelp - 19402]
-
由于框架的一些技术问题，所有的服务组并没有显示在ADC GUI中。[# nsui - 13754]
Citrix ADC SDX Appliance
-
在SDX设备上运行的VPX HA设置中，当虚拟端口通道(VPC)中的一个交换机发生故障时，所有属于LACP flap的接口都将发生故障。这将触发HA故障转移。[# nshelp - 19095]
-
在SDX设备上运行的VPX实例上从允许的VLAN列表(AVL)配置了VLAN之后，实例无法自动重启。结果，VPX实例和AVL之间的通信停止。[# nssvm - 135]
Citrix ADC SDX设备
-
现在可以在VPX实例上配置的最大内核数取决于特定SDX平台上的可用内核。以前，即使有更多的内核可用，您最多也只能配置5个内核。有关可以分配给VPX实例的最大核数的信息，请参见https://docs.citrix.com/en-us/sdx/13/provision-netscaler-instances.html[# nshelp - 18632]
-
在恢复SDX设备后，不会在SDX设备上运行的各自VPX实例上恢复备份文件中的分区mac。[# nshelp - 19008]
-
当使用基于策略的客户端身份验证应用SSL配置将客户端证书验证设置为可选时，SDX 8900设备可能会崩溃。[# nshelp - 19297]
-
升级SDX设备后，设备上的LA通道和VLAN配置可能会丢失。[# nhelp -19392, nhelp -19610]
-
在SDX 14000 FIPS设备中配置池许可时，可以检查的最小实例是25个。通过此修复，您可以检出的最小实例是两个。有关更多信息，请参阅Citrix ADC池容量文档:[# nshelp - 20305]
-
复位操作后，传输速率下降。[# nsplat - 7792]
-
在SDX 26000和SDX 15000平台上，当满足以下条件时，通过SSH对DOM0的管理访问可能会停止:—多个VPX实例同时重启。—为VPX实例分配100ge或50ge接口。[# nsplat - 9185]
-
当满足以下所有条件时，SDX设备可能会在重新启动周期结束时挂起:- SDX设备正在启动。所有在SDX设备上运行的VPX实例都还没有出现。—在SDX设备上运行热重启命令。因此，在Citrix管理程序控制台中，SDX设备会定期进行清理，并在“已达到目标最后一步”处停止。[# nsplat - 9417]
Citrix ADC VPX设备
-
如果实例具有vCPU许可证，您可能无法通过使用管理IP访问VPX实例。这个问题存在于所有的VPX实例中，无论是本地的还是云的。如果VPX实例在SDX设备上运行，则可以从SDX Management Service GUI访问该实例。[# nsplat - 10710]
-
如果通过Citrix ADC VPX GUI设置MTU大小，会出现“Operation not supported”的错误提示。[# nsplat - 9594]
Citrix网关
-
Citrix Gateway intranet应用程序现在支持基于FQDN隧道的逗号分隔主机名。[# cgop - 10855]
-
如果没有安装macOS版本的Citrix Gateway插件，在使用Safari浏览器访问VPN时，会出现错误提示。[# cgop - 11240]
-
当您从Citrix ADC GUI添加或编辑会话策略时，会出现错误消息。[# cgop - 11830]
-
如果在Citrix ADC设备上未启用LSN配置，则传输中的封装安全有效载荷(ESP)数据包将被丢弃。[# nshelp - 18502]
-
在高可用性设置中，如果配置了SAML，辅助节点可能会崩溃。[# nshelp - 18691]
-
如果RDP服务器配置文件与内容交换虚拟服务器配置的端口号和IP地址相同，重启后内容交换配置将丢失。[# nshelp - 18818]
-
在某些情况下，使用IE浏览器访问Citrix Gateway设备时，需要刷新后才会出现Citrix Gateway登录页面。[# nshelp - 18938]
-
在Citrix ADM中，“分析>网关洞察”页面错误地报告终止的VPN会话。[# nshelp - 19037]
-
在高可用性设置中，如果删除的用户信息未与辅助节点同步，则辅助节点会崩溃。[# nshelp - 19065]
-
如果客户端机器处于非活动状态超过两个小时，则在VPN插件窗口上显示“服务器忙”对话框。[# nshelp - 19072]
-
内网客户端与VPN客户端(服务器发起的连接)之间的连接不应用UDP、DNS和ICMP授权策略。[# nshelp - 19142]
-
在某些情况下，在Citrix Gateway服务器上配置的登录脚本无法在客户端机器上运行。[# nshelp - 19163]
-
macOS设备的EPA扫描失败。[# nshelp - 19328]
-
在某些情况下，如果满足以下条件，Citrix ADC设备会转储核心。—本地的VMware horizon客户端已启用双因素认证。—配置Radius为第一认证因素。—认证通过后，Radius服务器返回组名。[# nshelp - 19333]
-
在某些情况下，从Windows VPN插件注销所需的时间比预期的要长。[# nshelp - 19394]
-
在某些情况下，Citrix Gateway设备在处理未经身份验证的请求时设置了无效cookie。[# nshelp - 19403]
-
在某些情况下，如果在VPN虚拟服务器上设置了PCOIP虚拟服务器配置文件，但在会话操作下没有设置pcoipProfile，则Citrix网关设备会转储核心。[# nshelp - 19412]
-
在某些情况下，如果在中访问Citrix Gateway设备，则会转储核心Full VPN隧道模式。[# nshelp - 19444]
-
如果在Citrix ADC设备上启用了本地局域网访问选项，则macOS的Citrix网关插件无法解析内部主机名。[# nshelp - 19543]
-
VPN虚拟服务器的DTLS服务默认使用一组密码，不能通过CLI命令bind或unbind cipher进行修改。[# nshelp - 19561]
-
当多个应用程序/连接通过VPN隧道时，Skype通话的音频清晰度会受到负面影响。这是由于内存管理不当造成的。[# nshelp - 19630]
-
在nFactor身份验证过程中，Citrix网关无法识别Windows插件中的登录表达式策略。[# nshelp - 19640]
-
当客户端机器从非网络区域进入网络连接区域(Internet或intranet)时，“基于位置的感知”功能在客户端机器上不起作用。[# nshelp - 19657]
-
如果在Citrix MFA中使用Azure托管的身份验证因素，则使用Windows插件无法登录Citrix Gateway。这是因为MFA HTTP超时值小于Citrix Gateway Windows插件超时值。通过此修复，可以增加Citrix Gateway Windows插件超时值，以避免登录失败。另外，HTTP超时值现在可以通过设置以下注册表值(以秒为单位)来配置:计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\安全访问客户端\HttpTimeout[# nshelp - 19848]
-
在某些情况下，EPA扫描在Windows机器上失败。[# nshelp - 19865]
-
在极少数情况下，如果满足以下两个条件，部署在高可用性(HA)设置中的Citrix ADC设备可能会崩溃，导致频繁的HA故障转移:—已启用Gateway Insight。—单点登录失败。[# nshelp - 19922]
-
无法在客户端机器上禁用Windows Intune注册检查。默认情况下，检查是启用的。通过此修复，可以禁用Windows Intune注册检查。要禁用检查，请将以下注册表项设置为1:计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\安全访问客户端\禁用intunedeviceenrollment[# nshelp - 19942]
-
当多个应用或连接通过VPN隧道连接时，VOIP应用的音频清晰度会受到负面影响。[# nshelp - 20097]
-
为高级无客户端VPN处理寻找要重写的url会导致高CPU使用率。结果，系统变慢了。[# nshelp - 20122]
-
客户端机器无法重新连接到Citrix网关设备，因为设备在STA刷新时发送了错误的STA票证。[# nshelp - 20285]
-
在为无客户端访问配置文件添加域时，当FQDN较长时将出现水平滚动条。[# nshelp - 20341]
-
在高可用性设置中，如果启用了高可用性设置上的会话可靠性，则辅助Citrix ADC设备可能会崩溃。[# nshelp-5257, nsinsight-1208, nshelp-3807, nshelp-3808, nshelp-5414, nshelp-5417, nshelp-5428, nshelp-17883, nshelp-17894, nshelp-17904]
-
身份验证、授权和审计虚拟服务器登录页面显示错误代码编号，而不是有意义的错误消息。[# nshelp - 7872]
-
在某些情况下，Citrix Gateway设备会转储核心，因为挂起的STA刷新操作会无限地增加。[# nshelp - 8684]
Citrix Web应用防火墙
-
Citrix Web应用防火墙的原始设置被覆盖为默认设置。例如，如果您为某些签名选择了“启用”选项，则在签名合并操作期间，该设置将被覆盖为“禁用”。[# nshelp - 17841]
-
当您在运行配置中启用rfcprofile选项重新启动高可用性或集群设置时，会观察到配置丢失。[# nshelp - 18856]
-
如果在集群设置中没有正确处理Citrix Web App Firewall配置更改，Citrix ADC设备可能会崩溃。[# nshelp - 18870]
-
添加松弛规则后，类似的url不会从学习的规则列表中删除。[# nshelp - 19298]
-
如果在Citrix Web App Firewall配置文件中启用了字段一致性参数，那么Citrix ADC设备在处理大型表单主体时可能会崩溃。[# nshelp - 19299]
-
当XML流量很大时，Citrix ADC设备可能会重置客户端连接。[# nshelp - 19314]
-
如果您启用URL转换策略，并且如果来自body属性值的响应包含特殊字符，则SSL卸载中的ContentSwitching可能会将特殊字符替换为实体编码值。[# nshelp - 19356]
-
当收到CONNECT请求时，Citrix ADC设备可能会崩溃。如果配置配置文件的缺省值不是APPFW_BYPASS、APPFW_RESET、APPFW_DROP、APPFW_BLOCK，则会出现此问题。[# nshelp - 19603]
-
如果启用了字段一致性保护参数，具有许多查询参数的Web请求可能得不到响应。[# nshelp - 19811]
-
如果观察到以下情况，则Citrix ADC设备失败:—Web应用防火墙策略使用基于HTTP正文的规则，例如HTTP. req . body (..));—已关闭Web应用防火墙特性。[# nshelp - 19879]
-
限制签名检查的邮件正文字节的新选项在您将设备升级到Citrix ADC版本13.0之后，您现在可以看到一个新的配置文件选项，“签名帖子正文限制(字节)”，默认值为8192字节。您的设备升级将把该选项设置为默认值。您可以更改此选项以限制检查签名的请求有效载荷(以字节为单位)，位置指定为'HTTP_POST_BODY'。在此之前，Web Citrix Web App Firewall没有限制有效负载检查和保持CPU处于检查状态的选项。导航:“配置>安全> Citrix Web应用防火墙>配置文件>配置文件设置”。[# nswaf-2887, nsui-13251]
聚类
-
在ACL6配置的集群设置中，ICMPv6错误数据包在节点之间循环，导致CPU占用率很高。[# nshelp - 19535]
-
在集群设置中，如果满足以下条件之一，集群传播可能会失败:—集群守护进程与配置守护进程连接失败。—集群守护进程内存占用增加。[# nshelp - 19771]
-
在集群环境下，在以下情况下，Citrix ADC GUI上传SSL证书失败:•从CLIP执行命令。•“sh partition”命令返回无效响应。[# nshelp - 19905]
-
在集群设置中，您可能会观察到连续的故障日志，这些日志表明ZebOS动态路由IMI守护进程和内部集群守护进程之间的连接失败。当重新启动ZebOS动态路由IMI守护进程或内部集群守护进程时，会出现此问题。[# nsnet - 10655]
-
在集群设置中观察到以下行为:—执行enable/disable servicegroupmember、servicegroup和server命令会导致配置不匹配。—unset命令不会重置service/service group的netprofile。[# nsnet - 9599]
DNS
-
当为权威区域的DNS ANY查询填充缓存的否定响应时，Citrix ADC设备可能会崩溃。[# nshelp - 19496]
-
您可以为您拥有的区域添加一个通配符域。[# nshelp - 19498]
-
如果在启用Jumbo的接口上接收到无效的DNS请求，在SDX设备上运行的Citrix ADC VPX实例可能会崩溃。[# nshelp - 19854]
GSLB
-
同时满足以下两个条件时，GSLB站点备份父列表配置丢失:—triggerMonitor选项设置为MEPDOWN或MEPDOWN_SVCDOWN。—重启Citrix ADC一体机。[# nsconfig - 1760]
-
在GSLB集群设置中，当节点加入集群时，MEP连接可能会终止，从而导致MEP震荡。[# nshelp - 19532]
许可
-
将MPX永久license升级到Pooled Capacity license后，ADM GUI提示保存配置并重启实例。通过此修复，GUI只提示重新启动实例。[# nshelp - 20137]
负载平衡
-
当在绑定到服务组的监视器上启用LRTM时，不会显示响应时间。[# nshelp - 12689]
-
在极少数情况下，当服务在从具有以下配置的服务器接收SSL会话之前被标记为DOWN时，Citrix ADC设备可能会失败。—SSL_BRIDGE类型的负载均衡虚拟服务器—持久化类型设置为SSLSESSION ID—备份持久类型设置为SOURCEIP[# nshelp - 18482]
-
在某些服务或服务组成员与负载平衡虚拟服务器解除绑定后，负载平衡虚拟服务器的非活动服务号可能会在几秒钟内返回一个较大的值。这是一个显示问题，不会影响任何功能。[# nshelp - 19400]
-
如果虚拟服务器为ANY类型，并且在虚拟服务器上启用了溢出持久性，则Citrix ADC设备会崩溃。[# nshelp - 19540]
-
在INC模式下的高可用性设置中，辅助节点的GUI和CLI错误地显示以下一些负载均衡监视器的状态消息:“跳过探测-次要节点”[# nshelp - 19617]
-
您可能会耗尽Citrix ADC VPX设备上的磁盘空间，因为该设备会生成多个临时文件。当对特定位置文件执行rsync操作时，将为该位置文件创建一个临时文件。这些文件填满了/var目录。[# nshelp - 20020]
-
在集群部署中不支持自动伸缩服务组的路径监控。[# nslb - 4660]
硝基
-
Citrix ADC设备对show routerdynamicrouting NITRO API调用响应一个内部错误消息。[# nsconfig - 1325]
网络
-
在配置了OSPF动态路由的高可用性环境中，故障转移后，新的主节点不会以递增的顺序生成OSPF MD5序列号。这个问题已经修复。要使修复正常工作，必须手动或使用NTP同步主节点和辅助节点之间的时间。[# nshelp - 18958]
-
当为负载平衡服务或监视器添加下一跳参数设置为NULL的PBR规则时，Citrix ADC设备可能会变得无响应。[# nshelp - 19245]
-
当满足以下所有条件时，Citrix ADC设备可能会创建SYN+ACK数据包循环，从而导致高CPU使用率:*如果一个未完成的RNAT探测连接到一个IP地址，该IP地址目前不是Citrix ADC拥有的IP地址，存在于ADC设备中。*如果您将此IP地址作为ADC拥有的IP地址作为ADC配置的一部分。例如，使用此IP地址添加负载均衡虚拟服务器。[# nshelp - 19376]
-
Citrix ADC设备允许在协议模块没有完全初始化之前通过NITRO api进行配置。由于这个原因，写内存命令失败，报错信息如下:"保存配置被拒绝-模块还没有准备好"[# nshelp - 19431]
-
在高可用性设置的某些罕见情况下，辅助节点可能会通过Citrix ADC IP地址(NSIP)建立BGP会话。[# nshelp - 19720]
-
如果BGP进程在路径中收到多个4字节AS号的BGP更新，可能会由于内存损坏而失败。[# nshelp - 19860]
-
对于禁用useproxyport参数的RNAT规则，以及访问INAT公共IP地址的RNAT客户端，Citrix ADC设备可能不正确地为与RNAT规则相关的会话分配/取消分配端口。端口的不正确分配/取消分配会导致端口泄漏。[# nsnet - 10089]
-
在Citrix ADC的GUI中，进入“配置>网络>接口”，单击“接口统计”，没有显示“接口摘要”，并且出现“Invalid value [arg]”错误信息。[# nsui - 13043]
优化
-
延迟加载模式不会在一个简单的网页上加载没有高度或宽度等属性的图片。[# nshelp - 19193]
-
如果满足以下条件，Citrix ADC设备将自动重启:—已开启前端优化特性。—重新优化缓存对象。[# nshelp - 19428]
平台
-
在配置FIPS HSM分区时，SDX 14000 FIPS设备可能会崩溃并重新启动。[# nshelp - 18503]
政策
-
在Citrix ADC设备中，如果您取消绑定默认高级全局策略并保存配置，则下次重新启动时不会反映更改。[# nshelp - 19867]
-
如果配置具有respondwithhtmlpage作为动作类型的响应器操作，Citrix ADC设备可能会崩溃。[# nshelp - 5821]
-
如果使用重定向操作类型的响应器操作，Citrix ADC设备可能会崩溃。[# nspolicy - 3196]
-
从Citrix ADC 12.0 build 56.20开始，经典的基于策略的特性和功能已弃用。作为替代方案，Citrix建议您使用Advanced策略基础结构。2020年发布的Citrix ADC 13.1将不再提供这些特性和功能。此外，其他较小的功能将被弃用。[# nspolicy - 3228]
SNMP
-
在高可用性设置中从12.1 build 49.23版本升级到12.1 build 49.37版本后，主节点在重启期间不会发送SNMP冷启动trap消息。[# nshelp - 18631]
SSL
-
如果满足以下两个条件，ADC设备可能偶尔会向客户端发送额外的数据:—设备通过SSL连接到后端服务器。—从服务器接收的数据大小超过9k。[# nshelp - 11183]
-
当PEM算法为DES或DES3时，不能通过GUI方式生成RSA密钥。[# nshelp - 13018]
-
在Citrix XenServer、VMware ESX、Linux-KVM平台安装VPX实例时，缺少Safenet目录。[# nshelp - 14582]
-
当您基于表达式"ssl.origin.server_cert "执行审计日志消息操作时，Citrix ADC设备可能会崩溃。日志操作与响应器策略绑定。[# nshelp - 19014]
-
如果客户端和CA证书具有不同的编码，则当- clientauthuseboundachain为ENABLED时，客户端证书将被错误地拒绝，即使客户端和服务器证书是由同一个CA颁发的。[# nshelp - 19077]
-
如果满足以下两个条件，Citrix ADC设备可能会在执行SSL操作“clientcertFingerprint”时崩溃，该操作将客户端证书的指纹插入到要发送到服务器的请求的HTTP头中:—已启用会话票据。—在请求绑定点绑定SSL策略。[# nshelp - 19331]
-
如果满足以下条件，SSL虚拟服务器可以使用重置码9820重置连接，而不是像预期的那样将记录分割成多个TCP数据包:—启用TLSv1.3功能的虚拟服务器对后端应用服务器发送到TLSv1.3客户端的应用数据进行加密。—生成的加密记录长度正好比TCP最大段长度大一个字节。[# nshelp - 19466]
-
在带有N2芯片的Citrix ADC SDX设备上握手失败，因为该平台不支持ECDSA密码。通过此修复，ECDSA密码不会在此平台上发布。[# nhelp -19614, nhelp -20630]
-
当URL地址由基于IP的地址变更为基于域名的地址时，刷新CRL时不使用新地址，而是使用旧地址。[# nshelp - 19648]
-
ssl_tot_enc_bytes计数器报告不正确的要加密的明文字节。[# nshelp - 19830]
-
如果下列设备从客户端收到" ChangeCipherSpec "消息，但没有收到" Finished "消息，则可能会崩溃:- MPX 5900/8900- MPX 15000-50g- MPX 26000-100g[# nshelp - 19856]
-
如果在群集IP (CLIP)地址上添加带有AIA扩展名的证书，则在尝试从CLIP中删除证书时出现以下错误信息:“内部错误”。[# nshelp - 19924]
-
当在前端虚拟服务器上同时启用TLS 1.3和SNI时，如果发生以下事件序列，则设备在TLS握手期间崩溃:1.TLS 1.3客户端在其初始ClientHello消息中包含server_name扩展。2.服务器响应一个HelloRetryRequest消息。3.客户端响应一条非法的ClientHello消息，该消息忽略了server_name扩展。[# nshelp - 20245]
-
错误信息“错误-文件太大”出现在以下两种情况:—先将Citrix ADC软件升级到13.0版本，再升级FIPS固件。[# nshelp - 20522]
-
如果客户端密钥交换和客户端验证消息出现在单个记录中，则SSL握手在以下平台上失败。- MPX 59xx- MPX/SDX 89xx- MPX/SDX 261xx-100G- MPX/SDX 15xxx-50G[# nsssl-3359, nsssl-1608]
-
在基于n3的Citrix ADC MPX和SDX设备的前端，基于RSA的密钥交换的TLS和DTLS握手在满足以下条件时失败。1.当TLS Client Hello消息包含TLSv1.2作为协议版本时，TLS握手失败，但在Citrix ADC设备上禁用了TLSv1.2。因此，设备协商一个较低的版本(TLSv1.1、TLSv1.0或SSLv3.0)2.当DTLS Client Hello消息包含DTLSv1.2作为协议版本，但Citrix ADC设备协商DTLSv1.0时，DTLS握手失败。使用' show hardware '命令来确定您的设备是否有N3芯片。[# nsssl - 6630]
-
在NITRO调用绑定了配置文件的虚拟服务器时，也会显示该虚拟服务器的一些实体，如HSTS和OCSP_stapling，它们是配置文件的一部分。[# nsssl - 6673]
SWG URL过滤
-
在内容过滤期间，策略评估和私有URL集的混淆之间会出现罕见的竞争条件。这个问题会生成一个AppFlow记录，其中包含URL为明文，而不是“非法”。[# nsswg - 890]
系统
-
如果没有设置current_tcp_profile和current_adtcp_profile, Citrix ADC设备就会崩溃。[# nshelp - 18889]
-
如果关闭的连接没有完全刷新，则Citrix ADC设备会出现内存问题。[# nshelp - 18891]
-
在极端情况下，Citrix ADC设备在不复位的情况下终止僵尸连接。当对等端连接发送数据包(如果它们是活动的)时，设备在处理它们时重置连接。[# nshelp - 18998]
-
如果满足以下条件，策略评估可能会失败:—256个策略表达式引用同一个自定义报头。-自定义报头参考计数器包装为0(8位计数器)。[# nshelp - 19082]
-
每次发生高可用性配置同步以及高可用性故障时，都会发生配置丢失。[# nshelp - 19210]
-
主节点无法从辅助节点读取响应，导致连接重置。因此，连接在辅助节点上关闭。[# nshelp - 19432]
-
如果将TCP配置文件值设置为NULL，则Citrix ADC设备会崩溃。[# nshelp - 19555]
-
对为外部服务器创建的MONITOR密码进行强密码验证。当您在Citrix ADC设备上启用强密码配置(系统>全局设置)时，您不允许设备为LDAP监视器配置弱密码。[# nshelp - 19582]
-
SDX设备上的SNMP告警对磁盘、内存和温度参数不起作用，只对CPU起作用。[# nshelp - 19713]
-
在某些情况下，您将看到连接到后端服务器的延迟或超时。发生这种情况是因为设备释放了连接并释放了端口。当设备重用相同的端口与服务器建立新连接时，会出现延迟或超时，因为该连接在服务器上处于TIME_WAIT状态。[# nshelp - 19772]
-
在极少数情况下，当客户端或服务器发送一个乱序数据包，然后发送一个带有FIN消息的顺序数据包时，集群节点可能会崩溃。[# nshelp - 19824]
-
当在MTU > 1500字节的接口上接收到重传的TCP段时，Citrix ADC设备可能会崩溃:-巨型框架，或—IP分片集[# nhelp -19920, nhelp -20273]
-
如果Citrix ADC设备无法使用TCP连接连接到后端服务器，则会观察到TCP事务延迟。在这种情况下，设备打开一个新连接，在等待一段时间后将客户机请求转发给后端服务器。等待时间为400ms ~ 600ms。[# nshelp - 9118]
-
“全局绑定”和“显示绑定”选项在“内容检查策略”GUI页面上不起作用。另外，还可以通过命令界面配置这些参数。[# nsui-13193, nsui-11561]
电信
-
如果同时满足以下两个条件，Citrix ADC设备可能会崩溃:•设备在检索订阅者信息时接收两个HTTP请求。•恢复正常流量的操作错误。[# nshelp - 18955]
已知的问题
版本13.0中存在的问题。
身份验证、授权和审计
-
ADFS代理配置文件支持在集群部署中配置。执行以下命令时，代理配置文件的状态错误地显示为空白。"show adfsproxyprofile
" 解决方法:连接到集群中的主活动Citrix ADC，并发出“show adfsproxyprofile”命令。它将显示代理配置文件状态。 [# nsauth - 5916]
-
在Citrix ADC GUI的登录模式编辑器屏幕上没有正确显示DualAuthPushOrOTP.xml LoginSchema。[# nsauth - 6106]
-
当在Citrix ADC设备上配置SSO时，从HTTP切换到WebSockets的协议将失败。[# nsauth - 6354]
-
在极少数情况下，通过HTTPS连接LDAP服务器会导致身份验证失败。[# nshelp - 20181]
-
由于缓冲区溢出情况，Citrix ADC设备在升级到版本13.0后崩溃。[# nhelp -20416, nsauth-6770]
-
Citrix ADC设备不会对重复的密码登录尝试进行身份验证，并防止帐户锁定。[# nshelp - 563]
Citrix ADC BLX设备
-
由于Linux主机上DPDK配置错误(例如，如果没有配置大页面)，Citrix ADC BLX设备无法启动。您需要运行两次启动命令(systemctl start blx)来启动Citrix ADC blx设备。[# nsnet - 11107]
-
支持DPDK的Citrix ADC BLX设备如果在Linux主机上DPDK配置错误(例如，如果没有配置巨大的页面)，则无法启动和转储核心。有关在linux主机上为Citrix ADC BLX设备配置DPDK的更多信息，请参见https://docs.citrix.com/en-us/citrix-adc-blx/13/deploy-blx-dpdk.html[# nsnet - 11349]
Citrix ADC GUI
-
如果启用了“使用默认nsroot密码时强制修改nsroot密码”特性，并且在首次登录Citrix ADC设备时修改了nsroot密码，则nsroot密码更改不会传播到非cco节点。因此，当nsroot用户登录到非cco节点时，设备会再次要求更改密码。[# nsconfig - 2370]
-
如果实体名称包含空格，则不能使用ADC GUI中的搜索过滤器搜索实体。[# nshelp - 20506]
-
现象描述进入Syslog GUI界面时，出现如下错误提示:“Cannot read property '0' of undefined”。[# nshelp - 20574]
-
一旦将基于域的服务(DBS)服务器绑定到服务组并解析服务器名称，就不能使用GUI修改或取消绑定的TTL或名称服务器。[# nsui - 13060]
-
在Citrix ADM的GUI中，进入“System > Diagnostic > Saved v/s Running”，没有任何数据显示。如果是ns的大小。配置文件大于10mb。处理:使用CLI命令“diff ns config”来检查保存数据和运行数据。[# nsui - 13242]
Citrix ADC SDX设备
-
在SDX 22XXX和24XXX设备上，在系统运行状况监视期间，SDX管理服务会发出错误警报。[# nshelp - 19795]
-
如果备份文件名有任何特殊字符，则将SDX设备恢复到该备份将失败。修复后，如果备份文件有任何特殊字符，就会出现错误消息。[# nshelp - 19951]
-
如果您在Citrix ADC实例的接口上配置的trunkallowedVlan列表中超过100个vlan，可能会出现以下错误消息:错误:操作超时ERROR:与包引擎的通信错误[# nsnet - 4312]
-
运行状况监控告警错误表示PSU编号。当电源电缆从PSU #1断开时，运行状况监控将发送错误的警报，称PSU #2已发生故障。[# nsplat - 4985]
-
在SDX 8200/8400/8600平台上，如果SDX设备或运行在其上的VPX实例重新启动多次，则SDX设备会挂在Citrix Hypervisor控制台上。当设备挂起时，会出现消息“INFO: rcu_sched检测到cpu /任务上的摊位”。处理:-通过按后面的NMI按钮重新启动SDX设备。—在LOM GUI中，使用NMI重新启动设备。—使用LOM重新启动SDX设备。[# nsplat - 9155]
Citrix ADC VPX设备
-
当您尝试在Azure上配置Citrix ADC VPX实例后立即登录到该实例时，用户名和密码可能无法工作。发生此问题的原因是，在配置Citrix ADC VPX实例之后，用户提供的凭据(用户名和密码)在首次启动时可能需要一分钟才能激活。处理:等待一分钟，然后再次登录。[# nsplat - 10962]
-
现象描述部署在AWS上的Citrix ADC VPX实例，在满足以下情况时，无法通过配置的IP地址(VIP、ADC IP、SNIP)进行通信:—AWS实例类型为M5/C5，基于KVM虚拟化环境—VPX实例有多个组网接口这是AWS的限制。，和AWS plans to fix the issue soon.处理:ADC IP、VIP和SNIP分别配置vlan。有关配置vlan的更多信息，请参见https://docs.citrix.com/en-us/citrix-adc/13/networking/interfaces/configuring-vlans.html[# nsplat - 9830]
思杰机器人管理公司
-
用于检测bot通信的设备指纹技术不适用于XML响应。[# nsdoc - 1047]
Citrix网关
-
在Outlook Web App (OWA) 2013中，单击“设置”菜单下的“选项”，会出现“严重错误”对话框。此外，页面变得无响应。[# cgop - 7269]
-
无法访问StoreFront服务器，因为Citrix网关设备使用客户端机器的IP地址，而不是使用SNIP向StoreFront服务器发送流量。[# nshelp - 19476]
-
在某些情况下，在启用了ICA Insight的双跳部署中，面向外部的Citrix网关会为特定的网络流量模式转储核心。[# nshelp - 19487]
-
在个别情况下，在超时后清除损坏的SSL VPN身份验证、授权和审计会话条目时，可能会出现内存损坏导致核心转储。[# nshelp - 19775]
-
当您在XenApp和XenDesktop向导中单击“检索存储”时，出现以下错误信息。"从StoreFront FQDN获取StorePath失败。"处理:手动在“Receiver for Web Path”中输入存储。[# nshelp - 20249]
-
如果开启了反向分裂隧道功能，内网路由的前缀值可能错误，或者根本不添加。[# nshelp - 20825]
-
Citrix将ADC和网关插件升级到13.0 build 41.20版本后，用户在尝试建立VPN隧道时出现持续蓝屏错误。[# nshelp - 20832]
-
在具有用户角色的AlwaysOn服务中，当用户注销时，机器隧道会间歇性关闭。[# nshelp - 21163]
-
add vpn intranetApplication命令，手册中protocol参数说明错误。描述的可能值是“BOTH”，而不是“ANY”。但是，手册页正确地显示了配置所需的可能值。[# nshelp - 8392]
-
在高可用性设置中，在Citrix ADC故障转移期间，SR计数增加，而不是Citrix ADM中的故障转移计数。[# nsinsight - 2059]
-
Gateway Insight报告错误地在SAML错误失败的身份验证类型字段中显示值“Local”而不是“SAML”。[# nsinsight - 2108]
-
如果用户正在使用MAC接收器以及Citrix Virtual App和台式机(以前的Citrix XenApp和XenDesktop)的6.5版本，则ICA连接会导致ICA解析期间的跳过解析。处理:将接收器升级到最新版本的Citrix Workspace应用程序。[# nsinsight - 924]
Citrix SDX设备
-
SDX 26000-100G 15000- 50g设备可能需要更长的时间来升级。因此，系统可能会显示“管理服务在1小时20分钟后无法启动”的消息。请联系管理员。”处理:忽略该消息，等待一段时间，然后登录到设备。[# nssvm - 3018]
Citrix Web应用防火墙
-
通过使用Learned Rules可视化工具部署松弛规则，将显示一条错误消息，表明该规则已被添加。[# nshelp - 18582]
-
如果内存使用率很高，并且由于应用程序故障而没有释放内存值，Citrix ADC设备可能会崩溃。[# nshelp - 18863]
-
在高可用性设置中，启用IP信誉特性可能导致高可用性命令传播失败。[# nshelp - 20010]
Cloudbridge连接器
-
创建/监控CloudBridge连接器向导可能变得无响应或配置CloudBridge连接器失败。处理:通过Citrix ADC GUI或CLI界面，添加IPSec安全框架、IP隧道和策略路由规则，配置云桥连接器。[# nsui - 13024]
聚类
-
如果“show ns ip”命令显示许多ip地址，则在Citrix ADC设备或集群设置中观察到较高的CPU使用率。[# nshelp - 11193]
-
在Citrix ADC集群设置中，在以下情况下，流处理器节点可能会遇到TCP连接的SYN cookie拒绝:—已启用SYN Cookie—关闭SYN欺骗保护功能流处理器节点将新的TCP流数据包作为散包处理，并以连接重置作为响应。[# nshelp - 20098]
GSLB
-
当后端服务器宕机时，Citrix ADC设备可能会崩溃，并且该设备在选择新的后端服务器时，会尝试收集服务器信息(如RTT)。[# nshelp - 11969]
负载平衡
-
如果URL包含%特殊字符，则重定向HTTPS URL失败。[# nshelp - 19993]
-
Citrix ADC VPX设备在无响应后重新启动数次。[# nshelp - 20435]
网络
-
当Citrix ADC设备作为remove命令的一部分清理大量服务器连接时，Pitboss进程可能会重新启动。这个Pitboss重启可能会导致ADC设备崩溃。[# nshelp - 136]
-
如果使用与现有动态虚拟服务器(RNAT)相同的IP地址添加静态虚拟服务器，那么ADC设备可能会在哈希表中的名称搜索操作期间崩溃。[# nshelp - 15851]
-
在重新启动Citrix ADC设备时，默认路由在接口的IP地址被填充之前生成。由于这个问题，路由的下一跳被设置为NULL，导致火星错误。[# nshelp - 16407]
平台
-
在Citrix ADC SDX 26000-100G平台上，重新启动设备后可能无法打开接口。处理:确保自动协商设置为ON。要检查和编辑自动协商状态，请导航到SDX GUI > System > Interfaces。[# nsplat - 11985]
-
使用VPX 13.0-41.x版本时，以下Citrix ADC SDX设备可能无法正确启动。升级到VPX版本13.0-47。X或更高版本。- SDX 11xxx- SDX 14xxx- SDX 14xxx-40S- SDX 14xxx-40G- SDX 14xxx FIPS- SDX 22xxx- SDX 24xxx- SDX 25xxx[# nsssl - 7044]
SSL
-
在集群设置中，集群IP (CLIP)地址上的运行配置显示绑定到实体的DEFAULT_BACKEND密码组，而在节点上则没有。这是一个显示问题。[# nshelp - 13466]
-
如果满足以下所有条件，HTTPS-ECV监视器在SSL握手期间失败:—监视器已绑定SSL配置文件。—在SSL配置文件上启用会话重用。—监视器绑定两个或多个后端服务器。—服务器上运行的协议版本不同(如TLS1.0和TLS1.2)。[# nshelp - 18384]
-
如果您的ADC设备与不受支持的Thales HSM版本集成，则在生成HSM密钥和证书、在设备上安装证书-密钥对并将其绑定到SSL虚拟服务器之后，设备会崩溃。通过此修复，设备报告错误而不是崩溃。[# nshelp - 20352]
-
在集群IP地址上，会话密钥自动刷新错误地显示为已禁用。(此选项不能被禁用。)[# nsssl - 4427]
-
当您删除HSM密钥而没有指定KEYVAULT作为HSM类型时，会出现以下不正确的错误消息。错误:crl刷新被禁用[# nsssl - 6106]
-
您可以使用相同的客户端ID和客户端密钥创建多个Azure应用程序实体。Citrix ADC设备不返回错误。[# nsssl - 6213]
-
如果已经添加了身份验证Azure密钥库对象，则无法添加Azure密钥库对象。[# nsssl - 6478]
-
以下add命令不支持Update命令:-添加azure应用程序-添加azure keyvault-添加带有hsmkey选项的SSL证书[# nsssl-6484, nsssl-6379, nsssl-6380]
系统
-
在Clear Config期间，运行在Citrix ADC设备上的metriccollector应用程序没有响应，但它可能会被PITBOSS模块重新启动。[# nsbase - 7846]
-
如果某些内部连接导致接收到的TCP SYN数量与建立的TCP连接数量不匹配，Citrix ADC设备可能会生成一个错误的SNMP SYN flood实体陷阱。[# nshelp - 18671]
-
基于角色的身份验证(RBA)不允许组名以“#”字符开头。[# nshelp - 20266]
-
如果启用代理协议，并且由于网络拥塞而发生重传，则内存使用量会增加。[# nshelp - 20613]
-
Citrix ADC设备将重置MPTCP子流，如果子流处于活动状态且活动时间超过空闲超时时间。[# nshelp - 20648]
-
如果Citrix ADC设备在MPTCP子流被确认为MTPCP之前收到普通的确认，则会重置该MPTCP子流。[# nshelp - 20649]
-
如果处理数据的大小超过配置的默认TCP缓冲区大小，则连接可能会挂起。处理:设置TCP缓冲区大小为需要处理的数据的最大大小。[# nspolicy - 1267]
URL过滤
-
在复合URLSet表达式中，如
。URLSET_MATCHES_ANY(URLSET1 || URLSET2)， appflow记录中的“Urlset Matched”字段仅反映最后一次评估Urlset的状态。例如，如果请求的URL只属于URLSET1，则“URLSet Matched”字段被设置为0，尽管该URL属于其中一个URLSet。因此，URLSET1将URLSet Matched”字段更改为1，但URLSET2将其设置回0 [# nsswg - 1100]
视频优化
-
在某些情况下，当您在Cluster设置中启用视频检测时，Citrix ADC内存利用率可能会逐渐增加。但增加的幅度很低，不会影响系统的正常运行[# nsvideoopt - 921]
版本历史
具体版本的详细信息，请参见各版本的发布说明。
- 版本41.28(2019-09-17)(当前版本)取代:41.20