Hello everyone,

I want to report a critical bug regarding the IDS/IPS engine and the Allow List processing on the ER707-M2. When IDS/IPS is enabled, the router silently drops traffic to certain dynamic CDN IPs (specifically Akamai / Microsoft Teams) and completely ignores any explicit Allow List entries created to bypass this block.

Environment:

• Router: ER707-M2 v1.20

• Firmware: 1.4.2

• Issue: Silent drops, False Positives blocking MS Teams, Allow List bypass fails.

Steps to Reproduce:

1. Enable IDS/IPS (Security Level: Custom, with standard categories like Malware, Botcc, DShield enabled). GEO Enforcer is OFF.

2. Attempt to connect to Microsoft Teams or run a connection test: curl -Iv -4 https://<url to statics dot teams dot cdn dot office dot net> --connect-timeout 10

3. The connection times out. No entry is generated in the Threat Management logs ("Silent Drop").

4. To whitelist the Akamai CDN, create an Allow List entry for the affected subnets (e.g., 2.16.168.0/24 or 23.32.238.0/24), setting both Source and Destination to "Subnet".

5. Reboot the router to clear the state table / cache.

6. Run the connection test again.

Expected Behavior: The IDS/IPS engine should respect the Allow List and let the traffic to the specified subnets pass, even if the IP is flagged in one of the threat categories (like DShield, Botcc, or Malware).

Actual Behavior: The Allow List is completely ignored. The traffic is still silently dropped.

Troubleshooting performed:

• Disabling GEO Enforcer did not resolve the issue.

• Disabling single categories (e.g., only Botcc or only Malware) did not resolve the issue due to overlapping IP flags in multiple databases.

• Proof of Bug: Only when turning the IDS/IPS main switch completely OFF and rebooting the router to clear the state table, the traffic passes immediately (HTTP/2 400 from the Microsoft Server).

Conclusion: The Suricata engine in firmware 1.4.2 drops packets based on signature matches before checking or respecting the user-defined Allow List. Since MS Teams relies on these CDNs, the IDS/IPS feature currently breaks essential Office 365 communication and cannot be mitigated via the Allow List.

Could the R&D team please look into why the Allow List is ignored by the IDS module?

Thank you and best regards!

Deutsche Version (Für den DACH-Support)

Betreff: Bug Report: ER707-M2 (v1.4.2) - IDS/IPS ignoriert Allow List und blockiert unbemerkt Traffic

Nachricht: Sehr geehrtes TP-Link Support-Team,

ich möchte einen kritischen Fehler in der Firmware des ER707-M2 melden. Sobald das IDS/IPS-Modul aktiviert ist, werden Verbindungen zu bestimmten dynamischen CDN-IPs (insbesondere Akamai / Microsoft Teams) stumm ("Silent Drop") verworfen. Das Hauptproblem dabei: Die Firewall ignoriert manuell angelegte "Allow List"-Einträge, die dieses Verhalten umgehen sollen, komplett.

Systemumgebung:

• Router: ER707-M2 v1.20

• Firmware: 1.4.2

Fehlerbeschreibung & Reproduktion:

1. IDS/IPS ist aktiviert (Security Level: Custom, Kategorien wie Malware, Botcc, DShield sind an). GEO Enforcer ist deaktiviert.

2. Ein Verbindungsversuch zu MS Teams (z.B. curl -Iv -4 https://<url zu statics dotteams dot cdn dot office dot net> --connect-timeout 10) läuft in einen Timeout. Im Threat Management Log gibt es dazu keinen Eintrag.

3. Um das Akamai-CDN freizugeben, wird eine Allow List angelegt (Direction: Source & Destination, Track By: Subnet, IP: z.B. 2.16.168.0/24).

4. Der Router wird neu gestartet, um den State Table / Zwischenspeicher zu leeren.

5. Der Verbindungstest wird wiederholt.

Erwartetes Verhalten: Die Engine muss die Allow List respektieren und den Traffic durchlassen, selbst wenn die IP in einer der Signatur-Listen (Botcc, Malware etc.) steht.

Tatsächliches Verhalten: Die Allow List wird vom System komplett ignoriert. Die Pakete werden weiterhin verworfen.

Bereits durchgeführte Tests: Das Problem liegt nachweislich am IDS-Modul. Nur wenn das IDS/IPS über den Hauptschalter komplett deaktiviert wird UND der Router danach neu gestartet wird (Cache-Leerung), läuft der Traffic zu Microsoft sofort fehlerfrei durch.

Es scheint, als würde die Deep Packet Inspection Engine in Version 1.4.2 Pakete aufgrund von Signaturen verwerfen, bevor die nutzerdefinierte Allow List überhaupt geprüft wird. Da das Modul globale CDNs blockiert und Whitelisting ignoriert, ist es in Office 365-Umgebungen derzeit unbrauchbar.

Ich bitte darum, diesen Fehler an die Entwicklungsabteilung (R&D) weiterzuleiten, damit die Priorisierung der Allow List in der Firmware korrigiert werden kann.

Vielen Dank und freundliche Grüße, Tobias Kellermann