D00590

一つのIPsec Phase2のセッション内で送信可能なパケット数の上限は4294967296個までです（ESPプロトコル上のシーケンス番号の制約）。 本来は上限に達する前に鍵情報を更新する必要がありますが、ライフタイムに達するまで更新していませんでした。 このためライフタイムの設定によってセッションの有効期間が長く、かつ、多数のパケットを送信し続けたことでシーケンス番号の上限に達すると、鍵が更新されるまで暗号通信ができなくなります。

目安としてSEIL/X4で12時間を超えるPhase2 lifetimeを設定し、最大限の送信レートで暗号パケットを送信し続けた場合に場合にシーケンス番号の上限に達する可能性があります。

IPsec phase2のlifetimeを適切に設定することで回避できます。

Phase2 lifetimeがデフォルト値（8時間）の場合は最大限の送信レートで暗号パケットを送信し続けた場合に場合でもシーケンス番号の上限に達する事はありません。

始動側（initiator）として動作する場合に、ESPのシーケンス番号が上限近くに達したとき鍵の更新を行うように変更しました。

受動側（responder）として動作する場合はこの修正の対象外です。