ブリッジモードでのClusterXL の設定- 2 台または4 台のスイッチでのアクティブ/ アクティブ

クラスタ閉じた 冗長構成で連携する2つ以上のセキュリティゲートウェイ（ハイアベイラビリティまたは負荷分散）をクラスタ化します。・メンバでブリッジ・インタフェースを定義すると、アクティブ/アクティブ・ブリッジ・モードがデフォルトで有効になります。

注:

項目

手順

1

ネットワーク。管理者は2 つのレイヤ2 セグメントに分割する必要があります。

ブリッジモードのClusterXL は、これらのセグメント間を接続します。

2

最初のネットワークセグメント。

3

ブリッジモードのClusterXL で、最初のネットワークセグメントをブリッジされた1 つの下位インタフェース(4) に接続するスイッチ。

4

ブリッジ・モードのクラスタ・メンバ上の1 つのブリッジされた下位インタフェース(eth1 など)。

5

クラスタ・メンバ上の専用GAIA閉じた SecurePlatformとIPSOオペレーティングシステムの両方の長所を組み合わせたCheckPointセキュリティオペレーティングシステム。 管理インタフェース閉じた 管理サーバがセキュリティゲートウェイまたはクラスタメンバに接続するための、Gaiaセキュリティゲートウェイまたはクラスタメンバのインタフェース。(2) ユーザが Gaia Portal または CLI に接続するための Gaia コンピュータ上のインタフェース。(eth0 など)。

6

ブリッジモードの最初のクラスタメンバー(Active クラスタ状態)。

7

ブリッジモードのClusterXL で専用の同期インタフェース(eth3 など) を接続するネットワーク。

8

ブリッジモードの2 番目のクラスタメンバー(Active クラスタ状態)。

9

ブリッジモードのクラスタメンバー上の別のブリッジされた下位インタフェース(eth2 など)。

10

ブリッジモードのClusterXL で、2 番目のネットワークセグメントを他のブリッジされた下位インタフェース(9) に接続するスイッチ。

33

第2ネットワークセグメント。

項目

手順

1

ネットワーク。管理者は2 つのレイヤ2 セグメントに分割する必要があります。

ブリッジモードのClusterXL は、これらのセグメント間を接続します。

2

最初のネットワークセグメント。

3

ブリッジモードのClusterXL で、最初のネットワークセグメントをブリッジされた1 つの下位インタフェース(6) に接続するスイッチ。

4

ブリッジモードのClusterXL で、1 つのスイッチ(最初のネットワークセグメントに直接接続する)と1 つのブリッジ下位インタフェース(6) を接続するスイッチ。

5

クラスタ・メンバ上の専用GAIA 管理インタフェース(eth0 など)。

6

ブリッジ・モードのクラスタ・メンバ上の1 つのブリッジされた下位インタフェース(eth1 など)。

7

ブリッジモードの最初のクラスタメンバー(Active クラスタ状態)。

8

ブリッジモードのClusterXL で専用の同期インタフェース(eth3 など) を接続するネットワーク。

9

ブリッジモードの2 番目のクラスタメンバー(Active クラスタ状態)。

10

ブリッジモードのクラスタメンバー上の別のブリッジされた下位インタフェース(eth2 など)。

33

ブリッジモードのClusterXL で、2 番目のネットワークセグメントを他のブリッジされた下位インタフェース(10) に接続するスイッチ。

12

ブリッジモードのClusterXL で、一方のスイッチ(2 番目のネットワークセグメントに直接接続する)と他方のブリッジされた下位インタフェース(10) 間を接続するスイッチ。

13

第2ネットワークセグメント。

手順:

  1. ステップ

    手順

    1

    GAIA オペレーティングシステムをインストールします。

    2

    Gaiaを初めて設定するに従います。

    3

    初期設定ウィザードでは、次の設定を行う必要があります。

    • Installation Typeウィンドウで、Security Gateway and/or Security Managementを選択します。

    • Productsウィンドウで：

      1. Productsセクションで、Security Gatewayを選択します。

      2. Clustering セクションで、次の2 つのオプションを選択します。

        • Unit is a part of a cluster

        • ClusterXL

    • Secure Internal Communication ウィンドウで、該当するActivation Key (4 ～127 文字) を入力します。

  2. ブリッジインタフェースは、Gaia Portal閉じた Check Point Gaiaオペレーティングシステム用のWebインタフェース。 またはGaia Clish閉じた CheckPoint Gaiaオペレーティングシステムのデフォルトのコマンドラインシェルの名前。これは制限付きシェルです（役割ベースの管理は、シェルで使用可能なコマンドの数を制御します）。 のいずれかで設定します。

    重要 - Scalable Platforms (MaestroおよびChassis) では、該当するセキュリティーグループの Gaia Portal に接続する必要があります。

    ステップ

    手順

    1

    左側のナビゲーション ツリーで、Network Management > Network Interfacesをクリックします。

    2

    ブリッジ インタフェースに追加する下位インタフェースに IP アドレスが割り当てられていないことを確認します。

    3

    Add > Bridgeをクリックします。

    既存のブリッジインタフェースを設定するには、ブリッジインタフェースを選択してEditをクリックします。

    4

    Bridge タブで、Bridge Group ID (1 ～1024 の一意の整数) を入力または選択します。

    5

    Available Interfaces リストから下位インタフェースを選択し、Add をクリックします。

    注：

    • 下位インタフェースに IP アドレスまたはエイリアスが設定されていないことを確認してください。

    • Gaia 管理インタフェースとして設定したインタフェースを選択しないでください。

    • Gaia の Bridge インタフェースには、下位インタフェースを 2 つだけ含めることができます。

    6

    IPv4タブで、IPv4アドレスとサブネットマスクを入力します。

    オプションでObtain IPv4 Address automaticallyオプションを選択できます。

    7

    IPv6タブ(オプション)で、IPv6アドレスとマスク長を入力します。

    オプションでObtain IPv6 Address automaticallyオプションを選択できます。

    重要 - まず、IPv6 サポートを有効にして再起動する必要があります。

    8

    OKをクリックします。。

    注:

    • Gaiaにおけるブリッジインタフェースの名前は"br<Bridge Group ID>"です。

      例えば、ブリッジグループIDが5のブリッジインタフェースの名称は「br5」です。

    • ブリッジの下位インタフェースにMTUを設定するには、ブリッジインタフェースにMTUを設定する必要があります。

      この MTU は、このブリッジ インタフェースに割り当てられたすべての下位インタフェースに適用されます。

    ステップ

    手順

    1

    各クラスタメンバのコマンドラインに接続します。

    2

    Gaia Clishにログインします。

    3

    ブリッジインタフェースに追加する下位インタフェースにIP アドレスが割り当てられていないことを確認します。

    show interface <Name of Interface> ipv4-address

    show interface <Name of Interface> ipv6-address

    4

    新しいブリッジンググループを追加します。

    add bridging group <Bridge Group ID 0 - 1024>

    5

    新しいブリッジンググループに下位インタフェースを追加します。

    add bridging group <Bridge Group ID> interface <Name of First Subordinate Interface>

    add bridging group <Bridge Group ID> interface <Name of Second Subordinate Interface>

    注:

    • GAIA のブリッジインタフェースには、2 つの下位インタフェースのみを含めることができます。

    • Gaia 管理インタフェースとして設定したインタフェースを選択しないでください。

    6

    ブリッジンググループにIP アドレスを割り当てないでください。

    7

    設定を保存します。

    save config

    注 - Gaiaにおけるブリッジインタフェースの名前は"br<Bridge Group ID>"です。例えば、ブリッジグループIDが5のブリッジインタフェースの名称は「br5」です。

  3. ClusterXL オブジェクトは、ウィザードモードまたはクラシックモードのいずれかで設定できます。

    ステップ

    手順

    1

    SmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。 を使用して、このClusterXL を管理するSecurity Management Server閉じた Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。 またはDomain Management Server閉じた Check Point シングルドメインセキュリティ管理サーバまたはマルチドメインセキュリティ管理サーバ。 に接続します。

    2

    左側のナビゲーションパネルでGateways & Serversをクリックします。

    3

    次のいずれかの方法で新しいクラスタオブジェクトを作成します。

    • 上部のツールバーで、New (新規)をクリックします。) > クラスタ> クラスタ。

    • 左上隅から、Objects > > More object types > Network Object > Gateways and Servers > Cluster > New Clusterをクリックします。

    • 右上隅で、Objects Pane > New > More > Network Object > Gateways and Servers > Cluster > Cluster をクリックします。

    4

    Check Point Security Gateway Cluster Creation ウィンドウで、Wizard Mode をクリックします。

    5

    Cluster General Properties ページ:

    1. Cluster Name フィールドに、このClusterXL オブジェクトに適用可能な名前を入力します。

    2. このClusterXL オブジェクトのメイン仮想IP アドレスを設定します。

      • Cluster IPv4 Address セクションで、このClusterXL オブジェクトのメイン仮想IPv4 アドレスを入力します。

      • Cluster IPv6 Address セクションで、このClusterXL オブジェクトのメイン仮想IPv6 アドレスを入力します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    3. Choose the Cluster's Solution フィールドで、Check Point ClusterXL を選択し、High Availability またはLoad Sharing のいずれかのクラスタモードを選択します。

    4. Nextをクリックします。。

    6

    Cluster members' properties ページで、クラスタメンバのオブジェクトを追加します。

    1. Add > New Cluster Memberをクリックします。

      Cluster Member Propertiesウィンドウが開きます。

    2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

    3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

      IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server閉じた CheckPointソフトウェアを実行して、ドメイン管理サーバと呼ばれる仮想セキュリティ管理サーバをホストする専用Check Pointサーバ。同義語:マルチドメインセキュリティ管理サーバ。頭字語：MDS がこれらのIP アドレスに接続できることを確認します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    4. Activation Key およびConfirm Activation Key フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

    5. Initializeをクリックします。。

    6. OKをクリックします。。

    7. ステップa-f を繰り返して2 番目のクラスタメンバを追加します。以下同様です。

     

    Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

    1. クラスタメンバのコマンドラインに接続します。

    2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、アクティベーションキーを変更します。

    6. SmartConsole で、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

    8. SmartConsole で、Initialize をクリックします。

    7

    Cluster Topology ページで、クラスタインタフェースのロールを設定します。

    1. ページ上部のIPv4 Network Address を確認します。

    2. 該当するルール閉じた 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。を選択します。

      • cluster traffic interfaces の場合は、Representing a cluster interface を選択し、クラスタ仮想IPv4 アドレスとそのネットマスクを設定します。

        注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

      • cluster synchronization interfaces の場合は、Cluster Synchronization を選択し、Primary のみを選択します。Check Point クラスタは、1 つの同期ネットワークのみをサポートします。

      • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private use of each member (don't monitor members interfaces) を選択します。

    3. Nextをクリックします。

    8

    Cluster Definition Wizard Complete ページ:

    1. Configuration Summary を調べます。

    2. Edit Cluster's Propertiesを選択します。

    3. Finishをクリックします。

    Gateway Cluster Propertiesウィンドウが開きます。

    9

    General Properties ページの> Machine セクション:

    1. Name フィールドに、このClusterXL オブジェクトに適用可能な名前が設定されていることを確認します。

    2. IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

    10

    General Properties ページの> Platform セクションで、正しいオプションを選択します。

    1. Hardware フィールド:

      Check Point Appliance にクラスタメンバをインストールする場合は、適切なアプライアンス・シリーズを選択します。

      Open Servers にCluster Members をインストールする場合は、Open server を選択します。

    2. Version フィールドで、R81.10 を選択します。

    3. OS フィールドで、Gaia を選択します。

    33

    General Properties ページ:

    1. Network Security タブで、ClusterXL Software Blade閉じた 特定のセキュリティソリューション (モジュール):(1) セキュリティゲートウェイでは、各ソフトウェアブレードがトラフィックの特定の特性を検査します (2) 管理サーバでは、各ソフトウェアブレードで異なる管理機能を使用できます。 が選択されていることを確認します。

    2. Network Security タブおよびThreat Prevention タブで、追加の該当するSoftware Blade を有効にします。

    重要 -ブリッジ・モードでのSecurity Gateway またはClusterXL の導入 でデプロイするには、Supported Software Blades in Bridge Mode セクションおよびLimitations in Bridge Mode セクションを参照してください。

    12

    Cluster Members ページ:

    1. Add > New Cluster Memberをクリックします。

      Cluster Member Propertiesウィンドウが開きます。

    2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

    3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

      IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    4. Communicationをクリックします。。

    5. One-time password およびConfirm one-time password フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

    6. Initializeをクリックします。。

    7. Closeをクリックします。。

    8. OKをクリックします。。

    9. ステップa-h を繰り返して、次のクラスタメンバを追加します。

     

    Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

    1. クラスタメンバのコマンドラインに接続します。

    2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、アクティベーションキーを変更します。

    6. SmartConsole で、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

    8. SmartConsole で、Initialize をクリックします。

    13

    ClusterXL and VRRP ページ:

    1. Select the cluster mode and configuration セクションで、適用可能なオプションを選択します。

      • High AvailabilityとClusterXL

      • Load Sharing とMulticast または Unicast

      • Active-Active

    2. Tracking セクションで、適用可能なオプションを選択します。

    3. Advanced Settingsセクションで：

     

    • High Availability モードを選択した場合は、次のようになります。

      1. オプション:Use State Synchronizationを選択します。

        これにより、検査する接続に関する情報を同期するようにクラスタメンバが設定されます。

        ベストプラクティス - この設定を有効にして、クラスタフェイルオーバー後の接続のドロップを防ぎます。

      2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

        このオプションは、クラスタR80.20 以降でのみ使用できます。

        短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

        範囲:60 ～ 604800 秒

        デフォルト:3秒

        注:

        • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

          このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

        • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

        • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

        ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

      3. オプション:Use Virtual MACを選択します。

        これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

        詳細については、sk50840を参照してください。

      4. Cluster Member recovery メソッドを選択します。フォールバック中にActive として選択するクラスタメンバを選択します(クラスタ・フェイルオーバー後に通常の動作に戻ります)。

        • Maintain current active Cluster Member

          1. 現在Active状態にあるクラスタメンバは、この状態のままです。

          2. 通常の動作に戻る他のクラスタメンバは、Standby 状態のままです。

        • Switch to higher priority Cluster Member

          1. 最も高い優先度を持つクラスタメンバ(クラスタオブジェクトのCluster Members ページのリストの一番上に表示されます) が、新しいActive になります。

          2. 以前のActive Cluster Member の状態がStandby に変わります。

          3. 通常動作に戻る他のクラスタメンバは、Standby 状態のままです。

     

    • Load Sharing > Multicast モードを選択した場合は、次のようになります。

      1. オプション:Use Sticky Decision Functionを選択します。

        このオプションは、クラスタR80.10 以下でのみ使用できます。

        詳細については、右上隅の(?) ボタンをクリックしてください。

      2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

        このオプションは、クラスタR80.20 以降でのみ使用できます。

        短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

        範囲:60 ～ 604800 秒

        デフォルト:3秒

        注:

        • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

          このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

        • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

        • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

        ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

      3. クラスタメンバ間の接続共有方法を選択します。

        • IPs, Ports, SPIs

          同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

          これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

          この方法をお勧めします。

        • IPs, Ports

          各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

          この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

        • IPs

          送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

          これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

          この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

     

    • Load Sharing > Unicast モードを選択した場合は、次のようになります。

      1. オプション:Use Sticky Decision Functionを選択します。

        このオプションは、クラスタR80.10 以下でのみ使用できます。

        詳細については、右上隅の(?) ボタンをクリックしてください。

      2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

        このオプションは、クラスタR80.20 以降でのみ使用できます。

        短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

        範囲:60 ～ 604800 秒

        デフォルト:3秒

        注:

        • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

          このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

        • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

        • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

        ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

      3. オプション:Use Virtual MACを選択します。

        これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

        詳細については、sk50840を参照してください。

      4. クラスタメンバ間の接続共有方法を選択します。

        • IPs, Ports, SPIs

          同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

          これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

          この方法をお勧めします。

        • IPs, Ports

          各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

          この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

        • IPs

          送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

          これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

          この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

    14

    Network Management ページ:

    1. 各インタフェースを選択し、Edit をクリックします。Network: <Name of Interface>ウィンドウが開きます。

    2. 左のツリーでGeneralページ をクリックします。

    3. General セクションのNetwork Type フィールドで、該当するタイプを選択します。

      • cluster traffic interfaces の場合は、Cluster を選択します。

        クラスタ仮想IPv4 アドレスとそのネットマスクが正しいことを確認します。

      • cluster synchronization interfaces の場合は、Sync またはCluster+Sync を選択します。

        注:

        • 設定Cluster+Sync はお勧めしません。

        • Check Point クラスタは、以下の設定のみをサポートします。

          • 1 つのSync インタフェース。

          • 1 つのCluster+Sync インタフェース。

          • 1 つのSync インタフェースと1 つのCluster+Sync インタフェース。

        • Check Point Appliance またはOpen Server の場合:

          同期ネットワークは、VLAN インタフェースの最下位VLAN タグでのみサポートされます。

      • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private を選択します。

    4. Member IPsセクションで、IPv4 アドレスとそのネット マスクが各クラスタ メンバ閉じた クラスタの一部であるセキュリティゲートウェイ。で正しいことを確認します。

      注:

      • クラウド環境(Geo Cluster) にデプロイされた高可用性モードのClusterXL の場合:

        cluster synchronization interfaces およびcluster traffic interfaces で、異なるネットワークに属するIP アドレスを設定できます。

      • cluster traffic interfaces の場合、クラスタメンバの物理IP アドレスとは異なるネットワーク上にクラスタ仮想IP アドレスを設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。R81.10 ClusterXL Administration Guide.を参照してください。

    5. Topologyセクションで：

      • Leads To およびSecurity Zone フィールドで設定が正しいことを確認します。

        これらのオプションのみがクラスタインタフェースでサポートされています(既知の制限PMTR-70260)。

        • Override > Network defined by routes (これはデフォルトです)

        • Override > Specific > 該当するNetwork オブジェクトまたはNetwork Group オブジェクトを選択します。

      • セキュリティを強化するには、Anti-Spoofing を有効にします。

    重要：

    • ブリッジインタフェースとブリッジ下位インタフェースがトポロジにないことを確認します。

    • ブリッジインタフェースのTopology を定義することはできません。デフォルトではExternal です。

    2346

    OKをクリックします。。

    33

    SmartConsoleセッションを公開する。

    ステップ

    手順

    1

    SmartConsole を使用して、このClusterXL を管理するSecurity Management Server またはDomain Management Server に接続します。

    2

    左側のナビゲーションパネルでGateways & Serversをクリックします。

    3

    次のいずれかの方法で新しいクラスタオブジェクトを作成します。

    • 上部のツールバーで、New (新規)をクリックします。) > クラスタ> クラスタ。

    • 左上隅から、Objects > > More object types > Network Object > Gateways and Servers > Cluster > New Clusterをクリックします。

    • 右上隅で、Objects Pane > New > More > Network Object > Gateways and Servers > Cluster > Cluster をクリックします。

    4

    Check Point Security Gateway Creation ウィンドウで、Classic Mode をクリックします。

    Gateway Cluster Propertiesウィンドウが開きます。

    5

    General Properties ページの> Machine セクション:

    1. Name フィールドに、このClusterXL オブジェクトに適用可能な名前が設定されていることを確認します。

    2. IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

    6

    General Properties ページの> Platform セクションで、正しいオプションを選択します。

    1. Hardware フィールド:

      Check Point Appliance にクラスタメンバをインストールする場合は、適切なアプライアンス・シリーズを選択します。

      Open Servers にCluster Members をインストールする場合は、Open server を選択します。

    2. Version フィールドで、R81.10 を選択します。

    3. OS フィールドで、Gaia を選択します。

    7

    General Properties ページ:

    1. Network Security タブで、ClusterXL Software Blade が選択されていることを確認します。

    2. Network Security タブおよびThreat Prevention タブで、追加の該当するSoftware Blade を有効にします。

    重要 -ブリッジ・モードでのSecurity Gateway またはClusterXL の導入 でデプロイするには、Supported Software Blades in Bridge Mode セクションおよびLimitations in Bridge Mode セクションを参照してください。

    8

    Cluster Members ページ:

    1. Add > New Cluster Memberをクリックします。

      Cluster Member Propertiesウィンドウが開きます。

    2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

    3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

      IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    4. Communicationをクリックします。。

    5. One-time password およびConfirm one-time password フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

    6. Initializeをクリックします。。

    7. Closeをクリックします。。

    8. OKをクリックします。。

    9. ステップa-h を繰り返して、次のクラスタメンバを追加します。

     

    Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

    1. クラスタメンバのコマンドラインに接続します。

    2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、アクティベーションキーを変更します。

    6. SmartConsole で、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

    8. SmartConsole で、Initialize をクリックします。

    9

    ClusterXL and VRRP ページ:

    1. Select the cluster mode and configuration セクションで、適用可能なオプションを選択します。

      • High AvailabilityとClusterXL

      • Load Sharing とMulticast または Unicast

      • Active-Active

    2. Tracking セクションで、適用可能なオプションを選択します。

    3. Advanced Settingsセクションで：

     

    • High Availability モードを選択した場合は、次のようになります。

      1. オプション:Use State Synchronizationを選択します。

        これにより、検査する接続に関する情報を同期するようにクラスタメンバが設定されます。

        ベストプラクティス - この設定を有効にして、クラスタフェイルオーバー後の接続のドロップを防ぎます。

      2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

        このオプションは、クラスタR80.20 以降でのみ使用できます。

        短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

        範囲:60 ～ 604800 秒

        デフォルト:3秒

        注:

        • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

          このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

        • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

        • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

        ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

      3. オプション:Use Virtual MACを選択します。

        これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

        詳細については、sk50840を参照してください。

      4. Cluster Member recovery メソッドを選択します。フォールバック中にActive として選択するクラスタメンバを選択します(クラスタ・フェイルオーバー後に通常の動作に戻ります)。

        • Maintain current active Cluster Member

          1. 現在Active状態にあるクラスタメンバは、この状態のままです。

          2. 通常の動作に戻る他のクラスタメンバは、Standby 状態のままです。

        • Switch to higher priority Cluster Member

          1. 最も高い優先度を持つクラスタメンバ(クラスタオブジェクトのCluster Members ページのリストの一番上に表示されます) が、新しいActive になります。

          2. 以前のActive Cluster Member の状態がStandby に変わります。

          3. 通常動作に戻る他のクラスタメンバは、Standby 状態のままです。

     

    • Load Sharing > Multicast モードを選択した場合は、次のようになります。

      1. オプション:Use Sticky Decision Functionを選択します。

        このオプションは、クラスタR80.10 以下でのみ使用できます。

        詳細については、右上隅の(?) ボタンをクリックしてください。

      2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

        このオプションは、クラスタR80.20 以降でのみ使用できます。

        短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

        範囲:60 ～ 604800 秒

        デフォルト:3秒

        注:

        • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

          このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

        • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

        • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

        ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

      3. クラスタメンバ間の接続共有方法を選択します。

        • IPs, Ports, SPIs

          同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

          これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

          この方法をお勧めします。

        • IPs, Ports

          各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

          この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

        • IPs

          送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

          これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

          この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

     

    • Load Sharing > Unicast モードを選択した場合は、次のようになります。

      1. オプション:Use Sticky Decision Functionを選択します。

        このオプションは、クラスタR80.10 以下でのみ使用できます。

        詳細については、右上隅の(?) ボタンをクリックしてください。

      2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

        このオプションは、クラスタR80.20 以降でのみ使用できます。

        短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

        範囲:60 ～ 604800 秒

        デフォルト:3秒

        注:

        • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

          このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

        • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

        • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

        ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

      3. オプション:Use Virtual MACを選択します。

        これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

        詳細については、sk50840を参照してください。

      4. クラスタメンバ間の接続共有方法を選択します。

        • IPs, Ports, SPIs

          同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

          これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

          この方法をお勧めします。

        • IPs, Ports

          各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

          この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

        • IPs

          送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

          これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

          この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

          この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

    10

    Network Management ページ:

    1. 各インタフェースを選択し、Edit をクリックします。Network: <Name of Interface>ウィンドウが開きます。

    2. 左のツリーでGeneralページ をクリックします。

    3. General セクションのNetwork Type フィールドで、該当するタイプを選択します。

      • cluster traffic interfaces の場合は、Cluster を選択します。

        クラスタ仮想IPv4 アドレスとそのネットマスクが正しいことを確認します。

      • cluster synchronization interfaces の場合は、Sync またはCluster+Sync を選択します。

        注:

        • 設定Cluster+Sync はお勧めしません。

        • Check Point クラスタは、以下の設定のみをサポートします。

          • 1 つのSync インタフェース。

          • 1 つのCluster+Sync インタフェース。

          • 1 つのSync インタフェースと1 つのCluster+Sync インタフェース。

        • Check Point Appliance またはOpen Server の場合:

          同期ネットワークは、VLAN インタフェースの最下位VLAN タグでのみサポートされます。

      • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private を選択します。

    4. Member IPsセクションで、IPv4 アドレスとそのネット マスクが各クラスタ メンバで正しいことを確認します。

      注:

      • クラウド環境(Geo Cluster) にデプロイされた高可用性モードのClusterXL の場合:

        cluster synchronization interfaces およびcluster traffic interfaces で、異なるネットワークに属するIP アドレスを設定できます。

      • cluster traffic interfaces の場合、クラスタメンバの物理IP アドレスとは異なるネットワーク上にクラスタ仮想IP アドレスを設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。R81.10 ClusterXL Administration Guide.を参照してください。

    5. Topologyセクションで：

      • Leads To およびSecurity Zone フィールドで設定が正しいことを確認します。

        これらのオプションのみがクラスタインタフェースでサポートされています(既知の制限PMTR-70260)。

        • Override > Network defined by routes (これはデフォルトです)

        • Override > Specific > 該当するNetwork オブジェクトまたはNetwork Group オブジェクトを選択します。

      • セキュリティを強化するには、Anti-Spoofing を有効にします。

    重要：

    • ブリッジインタフェースとブリッジ下位インタフェースがトポロジにないことを確認します。

    • ブリッジインタフェースのTopology を定義することはできません。デフォルトではExternal です。

    33

    OKをクリックします。。

    12

    SmartConsoleセッションを公開する。

  4. ステップ

    手順

    1

    SmartConsole を使用して、このClusterXL クラスタを管理するSecurity Management Server またはDomain Management Server に接続します。

    2

    左側のナビゲーションパネルでSecurity Policiesをクリックします。

    3

    新しいポリシーを作成し、該当するレイヤを設定します。

    1. 上部で、+ タブをクリックします(またはCTRL T を押します)。

    2. Manage Policies タブで、Manage policies and layers をクリックします。

    3. Manage policies and layers ウィンドウで、新しいポリシーを作成し、適用可能なレイヤを設定します。

    4. Closeをクリックします。。

    5. Manage Policies タブで、作成した新しいポリシーをクリックします。

    4

    アクセスコントロールポリシーと脅威防御ポリシーで該当するルールを作成します。

    重要 -ブリッジ・モードでのSecurity Gateway またはClusterXL の導入 でデプロイするには、Supported Software Blades in Bridge Mode セクションおよびLimitations in Bridge Mode セクションを参照してください。

    5

    このクラスタ オブジェクトにアクセス コントロール ポリシーをインストールします。

    6

    ClusterXL オブジェクトにThreat Prevention Policy をインストールします。

  5. ステップ

    手順

    1

    各クラスタメンバのコマンドラインに接続します。

    2

    次のいずれかの方法でクラスタの状態を確認します。

    出力例:

    Member1> show cluster state
 
Cluster Mode:   High Availability (Active Up, Bridge Mode) with IGMP Membership
 
ID         Unique Address  Assigned Load   State          Name
 
1 (local)  11.22.33.245    100%            ACTIVE         Member1
2          11.22.33.246    100%            ACTIVE        Member2

    3

    次のいずれかの方法でクラスタインタフェースを確認します。

    • Gaia Clish

      show cluster members interfaces all

    • エキスパートモード:

      cphaprob -a if

    4

    カーネルパラメータfwha_monitor_if_link_state の値が1 であることを確認します(これがデフォルトです)。

    このカーネルパラメータは、"Monitoring of the Interface Link State"(MILS)機能を有効にします。

    1. 現在ロードされている値を確認します。

      fw ctl get int fwha_monitor_if_link_state

      現在値が1 でない場合は、次のコマンドを実行して、値を調べます。

      fw ctl set int fwha_monitor_if_link_state 1

    2. カーネルパラメータが恒久的に設定されているかどうかを確認します。

      grep fwha_monitor_if_link_state $FWDIR/boot/modules/fwkern.conf

      このカーネルパラメータが設定ファイルに表示される場合は、その行全体を削除します。

      vi $FWDIR/boot/modules/fwkern.conf