PIM/PAMSC: 非リッスンポートへアクセスした時に応答パケットが消失する

Products

• CA Privileged Identity Management Endpoint (PIM)
• CA Privileged Access Manager - Server Control (PAMSC)

Issue/Introduction

Privileged Identity Manager ( 以下、 PIM) がインストールされたサーバで非リッスンポートへのアクセスを行った際に応答がなく通信が開始できない。

Environment

Privileged Identity Manager: Windows 版すべてのバージョン

Privileged Access Manager Server Control: Windows 版すべてのバージョン

Cause

PIM のドライバ (drveng) は ネットワークアクセスのインターセプトをするために Windows フィルタリング プラットフォーム (Windows Filtering Platform; WFP) を使用しています。
WFP を使用している場合、非リッスンポートへのアクセスはWFPにより破棄されます。

このため、非リッスンポートへのアクセスに応答を期待しているようなアプリケーションではポートからの応答がないため、正しく動作しません。 
この動作は OS 側の動作仕様となっているため、無効化することはできません。
現時点では製品の制限事項となります。

Resolution

問題を回避するには以下 A または B のどちらかで対応してください。

1. 一時的な PIM とドライバの停止
   1. PIM とドライバを停止
      ¥> secons -s
      ¥> net stop seosdrv
      ¥> net stop drveng
   2. アプリケーションによる通信を開始
   3. PIM とドライバの再起動
      ¥> net start drveng
      ¥> net start seosdrv
      ¥> seosd -start
2. disable network interception

1. 1. PIM とドライバの停止
      ¥> secons -s
      ¥> net stop seosdrv
      ¥> net stop drveng
   2. レジストリキーの追加または更新
      "Parameters" キーを HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\drveng 配下になければ追加
      "DisableNetworkInterception" : REG_DWORD を "Parameters" キー になければ追加して、1に設定
   3. PIM とドライバの再起動
      ¥> net start drveng
      ¥> net start seosdrv
      ¥> seosd -start

Additional Information

DisableNetworkInterception を１に設定した場合、ネットーワークのインターセプションが無効化されます。
このため、HOST 関連、CONNECT、TCP クラスは動作しません。

アプリケーション側の動作で 非リッスンポートへのアクセスを行わないように変更することで問題は解消されます。
この場合であれば、PIM 側の回避策を適用する必要はありません。

なお、本KBは以下の英文 KB を翻訳し補足しました。

Article ID: 7121: communication to non listened port is silently dropped