ClusterXL クラスタのインストール

注:

手順:

  1. ステップ

    手順

    1

    GAIA閉じた SecurePlatformとIPSOオペレーティングシステムの両方の長所を組み合わせたCheckPointセキュリティオペレーティングシステム。 オペレーティングシステムをインストールします。

    2

    Gaiaを初めて設定するに従います。

    3

    初期設定ウィザードでは、次の設定を行う必要があります。

    • Installation Typeウィンドウで、Security Gateway and/or Security Managementを選択します。

    • Productsウィンドウで：

      1. Productsセクションで、Security Gatewayを選択します。

      2. Clustering セクションで、次の2 つのオプションを選択します。

        • Unit is a part of a cluster

        • ClusterXL

    • Secure Internal Communication ウィンドウで、該当するActivation Key (4 ～127 文字) を入力します。

    4

    有効なライセンスをインストールします。

    ライセンスの操作を参照してください。

  2. ClusterXL オブジェクトは、ウィザードモードまたはクラシックモードのいずれかで設定できます。

    • ステップ

      手順

      1

      SmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。 を使用して、このClusterXL を管理するSecurity Management Server閉じた Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。 またはDomain Management Server閉じた Check Point シングルドメインセキュリティ管理サーバまたはマルチドメインセキュリティ管理サーバ。 に接続します。

      2

      左側のナビゲーションパネルでGateways & Serversをクリックします。

      3

      次のいずれかの方法で新しいクラスタオブジェクトを作成します。

      • 上部のツールバーで、New (新規)をクリックします。) > クラスタ> クラスタ。

      • 左上隅から、Objects > > More object types > Network Object > Gateways and Servers > Cluster > New Clusterをクリックします。

      • 右上隅で、Objects Pane > New > More > Network Object > Gateways and Servers > Cluster > Cluster をクリックします。

      4

      Check Point Security Gateway Cluster Creation ウィンドウで、Wizard Mode をクリックします。

      5

      Cluster General Properties ページ:

      1. Cluster Name フィールドに、このClusterXL オブジェクトに適用可能な名前を入力します。

      2. このClusterXL オブジェクトのメイン仮想IP アドレスを設定します。

        • Cluster IPv4 Address セクションで、このClusterXL オブジェクトのメイン仮想IPv4 アドレスを入力します。

        • Cluster IPv6 Address セクションで、このClusterXL オブジェクトのメイン仮想IPv6 アドレスを入力します。

        注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

      3. Choose the Cluster's Solution フィールドで、Check Point ClusterXL を選択し、High Availability またはLoad Sharing のいずれかのクラスタモードを選択します。

      4. Nextをクリックします。。

      6

      Cluster members' properties ページで、クラスタメンバのオブジェクトを追加します。

      1. Add > New Cluster Memberをクリックします。

        Cluster Member Propertiesウィンドウが開きます。

      2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

      3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

        IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

        Security Management Server またはMulti-Domain Server閉じた CheckPointソフトウェアを実行して、ドメイン管理サーバと呼ばれる仮想セキュリティ管理サーバをホストする専用Check Pointサーバ。同義語:マルチドメインセキュリティ管理サーバ。頭字語：MDS がこれらのIP アドレスに接続できることを確認します。

        注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

      4. Activation Key およびConfirm Activation Key フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

      5. Initializeをクリックします。。

      6. OKをクリックします。。

      7. ステップa-f を繰り返して2 番目のクラスタメンバを追加します。以下同様です。

       

      Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

      1. クラスタメンバのコマンドラインに接続します。

      2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

      3. 次を実行します:

        cpconfig

      4. このオプションの番号を入力します。

        Secure Internal Communication

      5. 画面の指示に従って、アクティベーションキーを変更します。

      6. SmartConsole で、Reset をクリックします。

      7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

      8. SmartConsole で、Initialize をクリックします。

      7

      Cluster Topology ページで、クラスタインタフェースのロールを設定します。

      1. ページ上部のIPv4 Network Address を確認します。

      2. 該当するルール閉じた 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。を選択します。

        • cluster traffic interfaces の場合は、Representing a cluster interface を選択し、クラスタ仮想IPv4 アドレスとそのネットマスクを設定します。

          注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

        • cluster synchronization interfaces の場合は、Cluster Synchronization を選択し、Primary のみを選択します。Check Point クラスタは、1 つの同期ネットワークのみをサポートします。

        • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private use of each member (don't monitor members interfaces) を選択します。

      3. Nextをクリックします。

      8

      Cluster Definition Wizard Complete ページ:

      1. Configuration Summary を調べます。

      2. Edit Cluster's Propertiesを選択します。

      3. Finishをクリックします。

      Gateway Cluster Propertiesウィンドウが開きます。

      9

      General Properties ページの> Machine セクション:

      1. Name フィールドに、このClusterXL オブジェクトに適用可能な名前が設定されていることを確認します。

      2. IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

        Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

      10

      General Properties ページの> Platform セクションで、正しいオプションを選択します。

      1. Hardware フィールド:

        Check Point Appliance にクラスタメンバをインストールする場合は、適切なアプライアンス・シリーズを選択します。

        Open Servers にCluster Members をインストールする場合は、Open server を選択します。

      2. Version フィールドで、R81.10 を選択します。

      3. OS フィールドで、Gaia を選択します。

      33

      General Properties ページ:

      1. Network Security タブで、ClusterXL Software Blade閉じた 特定のセキュリティソリューション (モジュール):(1) セキュリティゲートウェイでは、各ソフトウェアブレードがトラフィックの特定の特性を検査します (2) 管理サーバでは、各ソフトウェアブレードで異なる管理機能を使用できます。 が選択されていることを確認します。

      2. Network Security タブおよびThreat Prevention タブで、追加の該当するSoftware Blade を有効にします。

      12

      Cluster Members ページ:

      1. Add > New Cluster Memberをクリックします。

        Cluster Member Propertiesウィンドウが開きます。

      2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

      3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

        IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

        Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

        注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

      4. Communicationをクリックします。。

      5. One-time password およびConfirm one-time password フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

      6. Initializeをクリックします。。

      7. Closeをクリックします。。

      8. OKをクリックします。。

      9. ステップa-h を繰り返して、次のクラスタメンバを追加します。

       

      Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

      1. クラスタメンバのコマンドラインに接続します。

      2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

      3. 次を実行します:

        cpconfig

      4. このオプションの番号を入力します。

        Secure Internal Communication

      5. 画面の指示に従って、アクティベーションキーを変更します。

      6. SmartConsole で、Reset をクリックします。

      7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

      8. SmartConsole で、Initialize をクリックします。

      13

      ClusterXL and VRRP ページ:

      1. Select the cluster mode and configuration セクションで、適用可能なオプションを選択します。

        • High AvailabilityとClusterXL

        • Load Sharing とMulticast または Unicast

        • Active-Active

      2. Tracking セクションで、適用可能なオプションを選択します。

      3. Advanced Settingsセクションで：

       

      • High Availability モードを選択した場合は、次のようになります。

        1. オプション:Use State Synchronizationを選択します。

          これにより、検査する接続に関する情報を同期するようにクラスタメンバが設定されます。

          ベストプラクティス - この設定を有効にして、クラスタフェイルオーバー後の接続のドロップを防ぎます。

        2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

          このオプションは、クラスタR80.20 以降でのみ使用できます。

          短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

          範囲:60 ～ 604800 秒

          デフォルト:3秒

          注:

          • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

            このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

          • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

          • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

          ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

        3. オプション:Use Virtual MACを選択します。

          これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

          詳細については、sk50840を参照してください。

        4. Cluster Member recovery メソッドを選択します。フォールバック中にActive として選択するクラスタメンバを選択します(クラスタ・フェイルオーバー後に通常の動作に戻ります)。

          • Maintain current active Cluster Member

            1. 現在Active状態にあるクラスタメンバは、この状態のままです。

            2. 通常の動作に戻る他のクラスタメンバは、Standby 状態のままです。

          • Switch to higher priority Cluster Member

            1. 最も高い優先度を持つクラスタメンバ(クラスタオブジェクトのCluster Members ページのリストの一番上に表示されます) が、新しいActive になります。

            2. 以前のActive Cluster Member の状態がStandby に変わります。

            3. 通常動作に戻る他のクラスタメンバは、Standby 状態のままです。

       

      • Load Sharing > Multicast モードを選択した場合は、次のようになります。

        1. オプション:Use Sticky Decision Functionを選択します。

          このオプションは、クラスタR80.10 以下でのみ使用できます。

          詳細については、右上隅の(?) ボタンをクリックしてください。

        2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

          このオプションは、クラスタR80.20 以降でのみ使用できます。

          短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

          範囲:60 ～ 604800 秒

          デフォルト:3秒

          注:

          • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

            このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

          • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

          • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

          ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

        3. クラスタメンバ間の接続共有方法を選択します。

          • IPs, Ports, SPIs

            同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

            これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

            この方法をお勧めします。

          • IPs, Ports

            各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

            この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

          • IPs

            送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

            これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

            この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

       

      • Load Sharing > Unicast モードを選択した場合は、次のようになります。

        1. オプション:Use Sticky Decision Functionを選択します。

          このオプションは、クラスタR80.10 以下でのみ使用できます。

          詳細については、右上隅の(?) ボタンをクリックしてください。

        2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

          このオプションは、クラスタR80.20 以降でのみ使用できます。

          短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

          範囲:60 ～ 604800 秒

          デフォルト:3秒

          注:

          • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

            このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

          • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

          • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

          ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

        3. オプション:Use Virtual MACを選択します。

          これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

          詳細については、sk50840を参照してください。

        4. クラスタメンバ間の接続共有方法を選択します。

          • IPs, Ports, SPIs

            同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

            これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

            この方法をお勧めします。

          • IPs, Ports

            各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

            この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

          • IPs

            送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

            これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

            この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

      14

      Network Management ページ:

      1. 各インタフェースを選択し、Edit をクリックします。Network: <Name of Interface>ウィンドウが開きます。

      2. 左のツリーでGeneralページ をクリックします。

      3. General セクションのNetwork Type フィールドで、該当するタイプを選択します。

        • cluster traffic interfaces の場合は、Cluster を選択します。

          クラスタ仮想IPv4 アドレスとそのネットマスクが正しいことを確認します。

        • cluster synchronization interfaces の場合は、Sync またはCluster+Sync を選択します。

          注:

          • 設定Cluster+Sync はお勧めしません。

          • Check Point クラスタは、以下の設定のみをサポートします。

            • 1 つのSync インタフェース。

            • 1 つのCluster+Sync インタフェース。

            • 1 つのSync インタフェースと1 つのCluster+Sync インタフェース。

          • Check Point Appliance またはOpen Server の場合:

            同期ネットワークは、VLAN インタフェースの最下位VLAN タグでのみサポートされます。

        • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private を選択します。

      4. Member IPsセクションで、IPv4 アドレスとそのネット マスクが各クラスタ メンバ閉じた クラスタの一部であるセキュリティゲートウェイ。で正しいことを確認します。

        注:

        • クラウド環境(Geo Cluster) にデプロイされた高可用性モードのClusterXL の場合:

          cluster synchronization interfaces およびcluster traffic interfaces で、異なるネットワークに属するIP アドレスを設定できます。

        • cluster traffic interfaces の場合、クラスタメンバの物理IP アドレスとは異なるネットワーク上にクラスタ仮想IP アドレスを設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。R81.10 ClusterXL Administration Guide.を参照してください。

      5. Topologyセクションで：

        • Leads To およびSecurity Zone フィールドで設定が正しいことを確認します。

          これらのオプションのみがクラスタインタフェースでサポートされています(既知の制限PMTR-70260)。

          • Override > Network defined by routes (これはデフォルトです)

          • Override > Specific > 該当するNetwork オブジェクトまたはNetwork Group オブジェクトを選択します。

        • セキュリティを強化するには、Anti-Spoofing を有効にします。

      2346

      OKをクリックします。。

      33

      SmartConsoleセッションを公開する。

    • ステップ

      手順

      1

      SmartConsole を使用して、このClusterXL を管理するSecurity Management Server またはDomain Management Server に接続します。

      2

      左側のナビゲーションパネルでGateways & Serversをクリックします。

      3

      次のいずれかの方法で新しいクラスタオブジェクトを作成します。

      • 上部のツールバーで、New (新規)をクリックします。) > クラスタ> クラスタ。

      • 左上隅から、Objects > > More object types > Network Object > Gateways and Servers > Cluster > New Clusterをクリックします。

      • 右上隅で、Objects Pane > New > More > Network Object > Gateways and Servers > Cluster > Cluster をクリックします。

      4

      Check Point Security Gateway Creation ウィンドウで、Classic Mode をクリックします。

      Gateway Cluster Propertiesウィンドウが開きます。

      5

      General Properties ページの> Machine セクション:

      1. Name フィールドに、このClusterXL オブジェクトに適用可能な名前が設定されていることを確認します。

      2. IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

        Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

      6

      General Properties ページの> Platform セクションで、正しいオプションを選択します。

      1. Hardware フィールド:

        Check Point Appliance にクラスタメンバをインストールする場合は、適切なアプライアンス・シリーズを選択します。

        Open Servers にCluster Members をインストールする場合は、Open server を選択します。

      2. Version フィールドで、R81.10 を選択します。

      3. OS フィールドで、Gaia を選択します。

      7

      General Properties ページ:

      1. Network Security タブで、ClusterXL Software Blade が選択されていることを確認します。

      2. Network Security タブおよびThreat Prevention タブで、追加の該当するSoftware Blade を有効にします。

      8

      Cluster Members ページ:

      1. Add > New Cluster Memberをクリックします。

        Cluster Member Propertiesウィンドウが開きます。

      2. Name フィールドに、このCluster Member オブジェクトに適用可能な名前を入力します。

      3. このクラスタメンバ・オブジェクトの主要な物理IP アドレスを設定します。

        IPv4 Address およびIPv6 Address フィールドで、クラスタメンバの初期設定ウィザードのManagement Connection ページで設定したのと同じIPv4 およびIPv6 アドレスを設定します。

        Security Management Server またはMulti-Domain Server がこれらのIP アドレスに接続できることを確認します。

        注 - クラスタ仮想IP アドレスを、クラスタメンバの物理IP アドレスとは異なるネットワーク上に設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。

      4. Communicationをクリックします。。

      5. One-time password およびConfirm one-time password フィールドに、クラスタメンバの初期設定ウィザードで入力したのと同じアクティベーション・キーを入力します。

      6. Initializeをクリックします。。

      7. Closeをクリックします。。

      8. OKをクリックします。。

      9. ステップa-h を繰り返して、次のクラスタメンバを追加します。

       

      Trust State フィールドにTrust established が表示されない場合は、次の手順に従います。

      1. クラスタメンバのコマンドラインに接続します。

      2. クラスタメンバと管理サーバの間に物理的な接続があることを確認します(たとえば、ping は渡すことができます)。

      3. 次を実行します:

        cpconfig

      4. このオプションの番号を入力します。

        Secure Internal Communication

      5. 画面の指示に従って、アクティベーションキーを変更します。

      6. SmartConsole で、Reset をクリックします。

      7. cpconfig メニューで入力したのと同じアクティベーションキーを入力します。

      8. SmartConsole で、Initialize をクリックします。

      9

      ClusterXL and VRRP ページ:

      1. Select the cluster mode and configuration セクションで、適用可能なオプションを選択します。

        • High AvailabilityとClusterXL

        • Load Sharing とMulticast または Unicast

        • Active-Active

      2. Tracking セクションで、適用可能なオプションを選択します。

      3. Advanced Settingsセクションで：

       

      • High Availability モードを選択した場合は、次のようになります。

        1. オプション:Use State Synchronizationを選択します。

          これにより、検査する接続に関する情報を同期するようにクラスタメンバが設定されます。

          ベストプラクティス - この設定を有効にして、クラスタフェイルオーバー後の接続のドロップを防ぎます。

        2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

          このオプションは、クラスタR80.20 以降でのみ使用できます。

          短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

          範囲:60 ～ 604800 秒

          デフォルト:3秒

          注:

          • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

            このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

          • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

          • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

          ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

        3. オプション:Use Virtual MACを選択します。

          これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

          詳細については、sk50840を参照してください。

        4. Cluster Member recovery メソッドを選択します。フォールバック中にActive として選択するクラスタメンバを選択します(クラスタ・フェイルオーバー後に通常の動作に戻ります)。

          • Maintain current active Cluster Member

            1. 現在Active状態にあるクラスタメンバは、この状態のままです。

            2. 通常の動作に戻る他のクラスタメンバは、Standby 状態のままです。

          • Switch to higher priority Cluster Member

            1. 最も高い優先度を持つクラスタメンバ(クラスタオブジェクトのCluster Members ページのリストの一番上に表示されます) が、新しいActive になります。

            2. 以前のActive Cluster Member の状態がStandby に変わります。

            3. 通常動作に戻る他のクラスタメンバは、Standby 状態のままです。

       

      • Load Sharing > Multicast モードを選択した場合は、次のようになります。

        1. オプション:Use Sticky Decision Functionを選択します。

          このオプションは、クラスタR80.10 以下でのみ使用できます。

          詳細については、右上隅の(?) ボタンをクリックしてください。

        2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

          このオプションは、クラスタR80.20 以降でのみ使用できます。

          短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

          範囲:60 ～ 604800 秒

          デフォルト:3秒

          注:

          • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

            このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

          • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

          • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

          ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

        3. クラスタメンバ間の接続共有方法を選択します。

          • IPs, Ports, SPIs

            同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

            これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

            この方法をお勧めします。

          • IPs, Ports

            各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

            この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

          • IPs

            送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

            これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

            この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

       

      • Load Sharing > Unicast モードを選択した場合は、次のようになります。

        1. オプション:Use Sticky Decision Functionを選択します。

          このオプションは、クラスタR80.10 以下でのみ使用できます。

          詳細については、右上隅の(?) ボタンをクリックしてください。

        2. オプション:Start synchronizing [  ] seconds after connection initiation を選択し、該当する値を入力します。

          このオプションは、クラスタR80.20 以降でのみ使用できます。

          短時間の接続の同期(クラスタのパフォーマンスを低下させる)を防ぐために、all接続の同期を開始してから数秒後に開始するようにクラスタメンバを設定できます。

          範囲:60 ～ 604800 秒

          デフォルト:3秒

          注:

          • クラスタオブジェクトのこの設定は、クラスタを通過するすべての接続に適用されます。

            このグローバルクラスタ同期遅延は、該当するサービスのプロパティ(R81.10 ClusterXL Administration Guide) でオーバーライドできます。

          • この値が大きいほど、クラスタメンバが同期する短時間の接続数が少なくなります。

          • クラスタメンバが同期しなかった接続は、クラスタフェイルオーバーの後も存続しません。

          ベストプラクティス - この設定を有効にして、クラスタのパフォーマンスを向上させます。

        3. オプション:Use Virtual MACを選択します。

          これにより、すべてのクラスタメンバが、同じバーチャルMACアドレスを該当するインタフェースの仮想IP アドレスに関連付けるように設定されます(各仮想IP アドレスには一意の仮想MAC アドレスがあります)。

          詳細については、sk50840を参照してください。

        4. クラスタメンバ間の接続共有方法を選択します。

          • IPs, Ports, SPIs

            同じ送信元および宛先IP アドレス、同じ送信元および宛先ポート、および同じIPsec SPI 番号を持つすべての接続を検査するように各クラスタメンバを設定します。

            これは最小限の"sticky"共有設定で、クラスタメンバ間の最適な共有分散を提供します。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を低下させる

            この方法をお勧めします。

          • IPs, Ports

            各クラスタメンバは、IPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレス、および同じ送信元ポートと宛先ポートを持つすべての接続を検査するように設定します。

            この方法は、クラスタメンバ間でIPsecパケットを配布するときに問題がある場合にのみ使用します。

          • IPs

            送信元ポートと宛先ポート、およびIPsec SPI 番号に関係なく、同じ送信元IP アドレスと宛先IP アドレスを持つすべての接続を検査するように各クラスタメンバを設定します。

            これはクラスタメンバ間の最悪の共有分散を提供する最も"sticky"な共有設定です。

            この方法は、ある接続がインバウンド方向とアウトバウンド方向の両方で同じクラスタメンバを通過する確率を高める

            この方法は、異なるポート番号を持つパケットを配布する場合、またはクラスタメンバ間でIPsecパケットを配布する場合に問題がある場合にのみ使用してください。

      10

      Network Management ページ:

      1. 各インタフェースを選択し、Edit をクリックします。Network: <Name of Interface>ウィンドウが開きます。

      2. 左のツリーでGeneralページ をクリックします。

      3. General セクションのNetwork Type フィールドで、該当するタイプを選択します。

        • cluster traffic interfaces の場合は、Cluster を選択します。

          クラスタ仮想IPv4 アドレスとそのネットマスクが正しいことを確認します。

        • cluster synchronization interfaces の場合は、Sync またはCluster+Sync を選択します。

          注:

          • 設定Cluster+Sync はお勧めしません。

          • Check Point クラスタは、以下の設定のみをサポートします。

            • 1 つのSync インタフェース。

            • 1 つのCluster+Sync インタフェース。

            • 1 つのSync インタフェースと1 つのCluster+Sync インタフェース。

          • Check Point Appliance またはOpen Server の場合:

            同期ネットワークは、VLAN インタフェースの最下位VLAN タグでのみサポートされます。

        • 接続されたネットワーク間のinterfaces that do not pass the traffic の場合は、Private を選択します。

      4. Member IPsセクションで、IPv4 アドレスとそのネット マスクが各クラスタ メンバで正しいことを確認します。

        注:

        • クラウド環境(Geo Cluster) にデプロイされた高可用性モードのClusterXL の場合:

          cluster synchronization interfaces およびcluster traffic interfaces で、異なるネットワークに属するIP アドレスを設定できます。

        • cluster traffic interfaces の場合、クラスタメンバの物理IP アドレスとは異なるネットワーク上にクラスタ仮想IP アドレスを設定できます。この場合、クラスタメンバで必要なスタティック・ルートを設定する必要があります。R81.10 ClusterXL Administration Guide.を参照してください。

      5. Topologyセクションで：

        • Leads To およびSecurity Zone フィールドで設定が正しいことを確認します。

          これらのオプションのみがクラスタインタフェースでサポートされています(既知の制限PMTR-70260)。

          • Override > Network defined by routes (これはデフォルトです)

          • Override > Specific > 該当するNetwork オブジェクトまたはNetwork Group オブジェクトを選択します。

        • セキュリティを強化するには、Anti-Spoofing を有効にします。

      33

      OKをクリックします。。

      12

      SmartConsoleセッションを公開する。

  3. ステップ

    手順

    1

    SmartConsole を使用して、このClusterXL クラスタを管理するSecurity Management Server またはDomain Management Server に接続します。

    2

    左側のナビゲーションパネルでSecurity Policiesをクリックします。

    3

    新しいポリシーを作成し、該当するレイヤを設定します。

    1. 上部で、+ タブをクリックします(またはCTRL T を押します)。

    2. Manage Policies タブで、Manage policies and layers をクリックします。

    3. Manage policies and layers ウィンドウで、新しいポリシーを作成し、適用可能なレイヤを設定します。

    4. Closeをクリックします。。

    5. Manage Policies タブで、作成した新しいポリシーをクリックします。

    4

    ClusterXLオブジェクトに適用可能なアクセス制御ポリシーを設定し、インストールします。

    5

    ClusterXL オブジェクトに適用可能なThreat Prevention Policy を設定してインストールします。

  4. ステップ

    手順

    1

    各クラスタメンバのコマンドラインに接続します。

    2

    次のいずれかの方法でクラスタの状態を確認します。

    3

    次のいずれかの方法でクラスタインタフェースを確認します。

    • Gaia Clish

      show cluster members interfaces all

    • エキスパートモード:

      cphaprob -a if

詳細については、次を参照してください。