ブリッジモードでのClusterXL の設定- 2 台のスイッチを使用したアクティブ/ スタンバイ

注:

アクティブ/スタンバイブリッジモードは、それをサポートするトポロジで推奨されるモードです。

アクティブ/スタンバイブリッジモードでは、クラスタ閉じた 冗長構成で連携する2つ以上のセキュリティゲートウェイ（ハイアベイラビリティまたは負荷分散）をクラスタ化します。・メンバはハイ・アベイラビリティ・モードで動作します。

詳細については、R81.10 ClusterXL Administration Guideを参照してください。

項目

手順

1

ネットワーク。管理者は2 つのレイヤ2 セグメントに分割する必要があります。

ブリッジモードのClusterXL は、これらのセグメント間を接続します。

2

最初のネットワークセグメント。

3

ブリッジモードのClusterXL で、最初のネットワークセグメントをブリッジされた1 つの下位インタフェース(4) に接続するスイッチ。

4

ブリッジ・モードのクラスタ・メンバ上の1 つのブリッジされた下位インタフェース(eth1 など)。

5

クラスタ・メンバ上の専用GAIA閉じた SecurePlatformとIPSOオペレーティングシステムの両方の長所を組み合わせたCheckPointセキュリティオペレーティングシステム。 管理インタフェース閉じた 管理サーバがセキュリティゲートウェイまたはクラスタメンバに接続するための、Gaiaセキュリティゲートウェイまたはクラスタメンバのインタフェース。(2) ユーザが Gaia Portal または CLI に接続するための Gaia コンピュータ上のインタフェース。(eth0 など)。

6

ブリッジモードの最初のクラスタメンバー(Active クラスタ状態など)。

7

ブリッジモードのClusterXL で専用の同期インタフェース(eth3 など) を接続するネットワーク。

8

ブリッジモードの2 番目のクラスタメンバー(Standby クラスタ状態など)。

9

ブリッジモードのクラスタメンバー上の別のブリッジされた下位インタフェース(eth2 など)。

10

ブリッジモードのClusterXL で、2 番目のネットワークセグメントを他のブリッジされた下位インタフェース(9) に接続するスイッチ。

33

第2ネットワークセグメント。

手順:

ベストプラクティス-ブリッジモードアクティブ/スタンバイを設定する場合は、隣接するスイッチのSTP、RSTP、およびMSTP を無効にします。お使いのスイッチに該当するマニュアルを参照してください。

  1. ステップ

    手順

    1

    GAIA オペレーティングシステムをインストールします。

    2

    Gaiaを初めて設定するに従います。

    3

    初期設定ウィザードでは、次の設定を行う必要があります。

    • Installation Typeウィンドウで、Security Gateway and/or Security Managementを選択します。

    • Productsウィンドウで：

      1. Productsセクションで、Security Gatewayを選択します。

      2. Clustering セクションで、次の2 つのオプションを選択します。

        • Unit is a part of a cluster

        • ClusterXL

    • Secure Internal Communication ウィンドウで、該当するActivation Key (4 ～127 文字) を入力します。

  2. ClusterXL オブジェクトは、ウィザードモードまたはクラシックモードのいずれかで設定できます。

    ステップ

    手順

    1

    SmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。 を使用して、このClusterXL を管理するSecurity Management Server閉じた Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。 またはDomain Management Server閉じた Check Point シングルドメインセキュリティ管理サーバまたはマルチドメインセキュリティ管理サーバ。 に接続します。

    2

    左側のナビゲーションパネルでGateways & Serversをクリックします。

    3

    次のいずれかの方法で新しいクラスタオブジェクトを作成します。

    • 上部のツールバーで、New (新規)をクリックします。) > クラスタ> クラスタ。

    • 左上隅から、Objects > > More object types > Network Object > Gateways and Servers > Cluster > New Clusterをクリックします。

    • 右上隅で、Objects Pane > New > More > Network Object > Gateways and Servers > Cluster > Cluster をクリックします。

    4

    Check Point Security Gateway Cluster Creation ウィンドウで、Wizard Mode をクリックします。

    5

    Cluster General Properties ページ:

    1. Cluster Name フィールドに、このClusterXL オブジェクトに適用可能な名前を入力します。

    2. このClusterXL オブジェクトのメイン仮想IP アドレスを設定します。

      Cluster IPv4 Address セクションで、このClusterXL オブジェクトのメイン仮想IPv4 アドレスを入力します。

      Cluster IPv6 Address セクションで、このClusterXL オブジェクトのメイン仮想IPv6 アドレスを入力します。

    3. Choose the Cluster's Solutionフィールドで、High AvailabilityのCheck Point ClusterXLを選択します。

    4. Nextをクリックします。。

    6

    Cluster members' properties ページで、クラスタメンバのオブジェクトを追加します。

    1. Add > New Cluster Memberをクリックします。

      Cluster Member Propertiesウィンドウが開きます。

    2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

    3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

      IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server閉じた CheckPointソフトウェアを実行して、ドメイン管理サーバと呼ばれる仮想セキュリティ管理サーバをホストする専用Check Pointサーバ。同義語:マルチドメインセキュリティ管理サーバ。頭字語：MDS がこれらのIP アドレスに接続できることを確認します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    4. Activation Key およびConfirm Activation Key フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

    5. Initializeをクリックします。。

    6. OKをクリックします。。

    7. ステップa-f を繰り返して2 番目のクラスタメンバを追加します。以下同様です。

     

    Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

    1. クラスタメンバのコマンドラインに接続します。

    2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、アクティベーションキーを変更します。

    6. SmartConsole で、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

    8. SmartConsole で、Initialize をクリックします。

    7

    Cluster Topology ページで、クラスタインタフェースのロールを設定します。

    1. ページ上部のIPv4 Network Address を確認します。

    2. 該当するルール閉じた 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。を選択します。

      • cluster traffic interfaces の場合は、Representing a cluster interface を選択し、クラスタ仮想IPv4 アドレスとそのネットマスクを設定します。

        注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

      • cluster synchronization interfaces の場合は、Cluster Synchronization を選択し、Primary のみを選択します。Check Point クラスタは、1 つの同期ネットワークのみをサポートします。

      • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private use of each member (don't monitor members interfaces) を選択します。

    3. Nextをクリックします。

    8

    Cluster Definition Wizard Complete ページ:

    1. Configuration Summary を調べます。

    2. Edit Cluster's Propertiesを選択します。

    3. Finishをクリックします。

    Gateway Cluster Propertiesウィンドウが開きます。

    9

    General Properties ページの> Machine セクション:

    1. Name フィールドに、このClusterXL オブジェクトに適用可能な名前が設定されていることを確認します。

    2. IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

    10

    General Properties ページの> Platform セクションで、正しいオプションを選択します。

    1. Hardware フィールド:

      Check Point Appliance にクラスタメンバをインストールする場合は、適切なアプライアンス・シリーズを選択します。

      Open Servers にCluster Members をインストールする場合は、Open server を選択します。

    2. Version フィールドで、R81.10 を選択します。

    3. OS フィールドで、Gaia を選択します。

    33

    General Properties ページ:

    1. Network Security タブで、ClusterXL Software Blade閉じた 特定のセキュリティソリューション (モジュール):(1) セキュリティゲートウェイでは、各ソフトウェアブレードがトラフィックの特定の特性を検査します (2) 管理サーバでは、各ソフトウェアブレードで異なる管理機能を使用できます。 が選択されていることを確認します。

    2. Network Security タブおよびThreat Prevention タブで、追加の該当するSoftware Blade を有効にします。

    重要 -ブリッジ・モードでのSecurity Gateway またはClusterXL の導入 でデプロイするには、Supported Software Blades in Bridge Mode セクションおよびLimitations in Bridge Mode セクションを参照してください。

    12

    Cluster Members ページ:

    1. Add > New Cluster Memberをクリックします。

      Cluster Member Propertiesウィンドウが開きます。

    2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

    3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

      IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    4. Communicationをクリックします。。

    5. One-time password およびConfirm one-time password フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

    6. Initializeをクリックします。。

    7. Closeをクリックします。。

    8. OKをクリックします。。

    9. ステップa-h を繰り返して、次のクラスタメンバを追加します。

     

    Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

    1. クラスタメンバのコマンドラインに接続します。

    2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、アクティベーションキーを変更します。

    6. SmartConsole で、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

    8. SmartConsole で、Initialize をクリックします。

    13

    ClusterXL and VRRP ページ:

    1. Select the cluster mode and configurationセクションで、High AvailabilityとClusterXLを選択します。

    2. Tracking セクションで、適用可能なオプションを選択します。

    3. Advanced Settingsセクションで：

      1. オプション:Use State Synchronizationを選択します。

        ベストプラクティス - このオプションを選択することをお勧めします。

        詳細については、右上隅の(?) ボタンをクリックしてください。

      2. オプション:Use Virtual MACを選択します。

        詳細については、sk50840を参照してください。

      3. クラスタ・メンバのリカバリ方法を選択します。

        詳細については、右上隅の(?) ボタンをクリックしてください。

    14

    Network Management ページ:

    1. 各インタフェースを選択し、Edit をクリックします。Network: <Name of Interface>ウィンドウが開きます。

    2. 左のツリーでGeneralページ をクリックします。

    3. General セクションのNetwork Type フィールドで、該当するタイプを選択します。

      • cluster traffic interfaces の場合は、Cluster を選択します。

        クラスタ仮想IPv4 アドレスとそのネットマスクが正しいことを確認します。

      • cluster synchronization interfaces の場合は、Sync またはCluster+Sync を選択します。

        注:

        • 設定Cluster+Sync はお勧めしません。

        • Check Point クラスタは、以下の設定のみをサポートします。

          • 1 つのSync インタフェース。

          • 1 つのCluster+Sync インタフェース。

          • 1 つのSync インタフェースと1 つのCluster+Sync インタフェース。

        • Check Point Appliance またはOpen Server の場合:

          同期ネットワークは、VLAN インタフェースの最下位VLAN タグでのみサポートされます。

      • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private を選択します。

    4. Member IPsセクションで、IPv4 アドレスとそのネット マスクが各クラスタ メンバ閉じた クラスタの一部であるセキュリティゲートウェイ。で正しいことを確認します。

      注:

      • クラウド環境(Geo Cluster) にデプロイされた高可用性モードのClusterXL の場合:

        cluster synchronization interfaces およびcluster traffic interfaces で、異なるネットワークに属するIP アドレスを設定できます。

      • cluster traffic interfaces の場合、クラスタメンバの物理IP アドレスとは異なるネットワーク上にクラスタ仮想IP アドレスを設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。R81.10 ClusterXL Administration Guide.を参照してください。

    5. Topologyセクションで：

      • Leads To およびSecurity Zone フィールドで設定が正しいことを確認します。

        これらのオプションのみがクラスタインタフェースでサポートされています(既知の制限PMTR-70260)。

        • Override > Network defined by routes (これはデフォルトです)

        • Override > Specific > 該当するNetwork オブジェクトまたはNetwork Group オブジェクトを選択します。

      • セキュリティを強化するには、Anti-Spoofing を有効にします。

    重要：

    • ブリッジインタフェースとブリッジ下位インタフェースがトポロジにないことを確認します。

    • ブリッジインタフェースのTopology を定義することはできません。デフォルトではExternal です。

    2346

    OKをクリックします。。

    33

    SmartConsoleセッションを公開する。

    ステップ

    手順

    1

    SmartConsole を使用して、このClusterXL を管理するSecurity Management Server またはDomain Management Server に接続します。

    2

    左側のナビゲーションパネルでGateways & Serversをクリックします。

    3

    次のいずれかの方法で新しいクラスタオブジェクトを作成します。

    • 上部のツールバーで、New (新規)をクリックします。) > クラスタ> クラスタ。

    • 左上隅から、Objects > > More object types > Network Object > Gateways and Servers > Cluster > New Clusterをクリックします。

    • 右上隅で、Objects Pane > New > More > Network Object > Gateways and Servers > Cluster > Cluster をクリックします。

    4

    Check Point Security Gateway Creation ウィンドウで、Classic Mode をクリックします。

    Gateway Cluster Propertiesウィンドウが開きます。

    5

    General Properties ページの> Machine セクション:

    1. Name フィールドに、このClusterXL オブジェクトに適用可能な名前が設定されていることを確認します。

    2. IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

    6

    General Properties ページの> Platform セクションで、正しいオプションを選択します。

    1. Hardware フィールド:

      Check Point Appliance にクラスタメンバをインストールする場合は、適切なアプライアンス・シリーズを選択します。

      Open Servers にCluster Members をインストールする場合は、Open server を選択します。

    2. Version フィールドで、R81.10 を選択します。

    3. OS フィールドで、Gaia を選択します。

    7

    General Properties ページ:

    1. Network Security タブで、ClusterXL Software Blade が選択されていることを確認します。

    2. Network Security タブおよびThreat Prevention タブで、追加の該当するSoftware Blade を有効にします。

    重要 -ブリッジ・モードでのSecurity Gateway またはClusterXL の導入 でデプロイするには、Supported Software Blades in Bridge Mode セクションおよびLimitations in Bridge Mode セクションを参照してください。

    8

    Cluster Members ページ:

    1. Add > New Cluster Memberをクリックします。

      Cluster Member Propertiesウィンドウが開きます。

    2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

    3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

      IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

      Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

      注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

    4. Communicationをクリックします。。

    5. One-time password およびConfirm one-time password フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

    6. Initializeをクリックします。。

    7. Closeをクリックします。。

    8. OKをクリックします。。

    9. ステップa-h を繰り返して、次のクラスタメンバを追加します。

     

    Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

    1. クラスタメンバのコマンドラインに接続します。

    2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、アクティベーションキーを変更します。

    6. SmartConsole で、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

    8. SmartConsole で、Initialize をクリックします。

    9

    ClusterXL and VRRP ページ:

    1. Select the cluster mode and configurationセクションで、High AvailabilityとClusterXLを選択します。

    2. Tracking セクションで、適用可能なオプションを選択します。

    3. Advanced Settingsセクションで：

      1. オプション:Use State Synchronizationを選択します。

        ベストプラクティス - このオプションを選択することをお勧めします。

        詳細については、右上隅の(?) ボタンをクリックしてください。

      2. オプション:Use Virtual MACを選択します。

        詳細については、sk50840を参照してください。

      3. クラスタ・メンバのリカバリ方法を選択します。

        詳細については、右上隅の(?) ボタンをクリックしてください。

    10

    Network Management ページ:

    1. 各インタフェースを選択し、Edit をクリックします。Network: <Name of Interface>ウィンドウが開きます。

    2. 左のツリーでGeneralページ をクリックします。

    3. General セクションのNetwork Type フィールドで、該当するタイプを選択します。

      • cluster traffic interfaces の場合は、Cluster を選択します。

        クラスタ仮想IPv4 アドレスとそのネットマスクが正しいことを確認します。

      • cluster synchronization interfaces の場合は、Sync またはCluster+Sync を選択します。

        注:

        • 設定Cluster+Sync はお勧めしません。

        • Check Point クラスタは、以下の設定のみをサポートします。

          • 1 つのSync インタフェース。

          • 1 つのCluster+Sync インタフェース。

          • 1 つのSync インタフェースと1 つのCluster+Sync インタフェース。

        • Check Point Appliance またはOpen Server の場合:

          同期ネットワークは、VLAN インタフェースの最下位VLAN タグでのみサポートされます。

      • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private を選択します。

    4. Member IPsセクションで、IPv4 アドレスとそのネット マスクが各クラスタ メンバで正しいことを確認します。

      注:

      • クラウド環境(Geo Cluster) にデプロイされた高可用性モードのClusterXL の場合:

        cluster synchronization interfaces およびcluster traffic interfaces で、異なるネットワークに属するIP アドレスを設定できます。

      • cluster traffic interfaces の場合、クラスタメンバの物理IP アドレスとは異なるネットワーク上にクラスタ仮想IP アドレスを設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。R81.10 ClusterXL Administration Guide.を参照してください。

    5. Topologyセクションで：

      • Leads To およびSecurity Zone フィールドで設定が正しいことを確認します。

        これらのオプションのみがクラスタインタフェースでサポートされています(既知の制限PMTR-70260)。

        • Override > Network defined by routes (これはデフォルトです)

        • Override > Specific > 該当するNetwork オブジェクトまたはNetwork Group オブジェクトを選択します。

      • セキュリティを強化するには、Anti-Spoofing を有効にします。

    重要：

    • ブリッジインタフェースとブリッジ下位インタフェースがトポロジにないことを確認します。

    • ブリッジインタフェースのTopology を定義することはできません。デフォルトではExternal です。

    33

    OKをクリックします。。

    12

    SmartConsoleセッションを公開する。

  3. ステップ

    手順

    1

    SmartConsole を使用して、このClusterXL クラスタを管理するSecurity Management Server またはDomain Management Server に接続します。

    2

    左側のナビゲーションパネルでSecurity Policiesをクリックします。

    3

    新しいポリシーを作成し、該当するレイヤを設定します。

    1. 上部で、+ タブをクリックします(またはCTRL T を押します)。

    2. Manage Policies タブで、Manage policies and layers をクリックします。

    3. Manage policies and layers ウィンドウで、新しいポリシーを作成し、適用可能なレイヤを設定します。

    4. Closeをクリックします。。

    5. Manage Policies タブで、作成した新しいポリシーをクリックします。

    4

    アクセスコントロールポリシーと脅威防御ポリシーで該当するルールを作成します。

    重要 -ブリッジ・モードでのSecurity Gateway またはClusterXL の導入 でデプロイするには、Supported Software Blades in Bridge Mode セクションおよびLimitations in Bridge Mode セクションを参照してください。

    5

    このクラスタ オブジェクトにアクセス コントロール ポリシーをインストールします。

    6

    ClusterXL オブジェクトにThreat Prevention Policy をインストールします。

  4. ステップ

    手順

    1

    各クラスタメンバのコマンドラインに接続します。

    2

    次のいずれかの方法でクラスタの状態を確認します。

    出力例:

    Member1> show cluster state
 
Cluster Mode:   High Availability (Active Up) with IGMP Membership
 
ID         Unique Address  Assigned Load   State          Name
 
1 (local)  11.22.33.245    100%            ACTIVE         Member1
2          11.22.33.246    0%              STANDBY        Member2

    3

    次のいずれかの方法でクラスタインタフェースを確認します。

    • Gaia Clish

      show cluster members interfaces all

    • エキスパートモード:

      cphaprob -a if

  5. 項目

    手順

    1

    各クラスタメンバのコマンドラインに接続します。

    2

    次を実行します:

    cpconfig

    3

    Enable Check Point ClusterXL for Bridge Active/Standbyを選択します。

    4

    「y」 を入力して確認します。

    5

    each Cluster Member を再起動します。

    6

    SmartConsole を使用して、このClusterXL を管理するSecurity Management Server またはDomain Management Server に接続します。

    7

    このクラスタ オブジェクトにアクセス コントロール ポリシーをインストールします。

  6. ステップ

    手順

    1

    各クラスタメンバのコマンドラインに接続します。

    2

    次のいずれかの方法でクラスタの状態を確認します。

    • Gaia Clish

      show cluster state

    • エキスパートモード:

      cphaprob state

    出力例:

    Member1> show cluster state
 
Cluster Mode:   High Availability (Active Up, Bridge Mode) with IGMP Membership
 
ID         Unique Address  Assigned Load   State          Name
 
1 (local)  11.22.33.245    100%            ACTIVE         Member1
2          11.22.33.246    0%              STANDBY        Member2

    3

    次のいずれかの方法でクラスタインタフェースを確認します。

    • Gaia Clish

      show cluster members interfaces all

    • エキスパートモード:

      cphaprob -a if