Gaia Portalでセキュリティグループを設定する

ここでは、Gaia Portal Check Point Gaiaオペレーティングシステム用のWebインタフェース。の設定方法を説明します。

Quantum Maestro OrchestratorのGaia Portalでの作業を開始する。

ステップ

手順

Webブラウザで、Quantum Maestro Orchestrator上のGaia Portalに接続します。

https://<IP Address of Orchestrator's MGMT Port>

これらのデフォルト認証情報でGaiaポータルにログインします。

ユーザ名 - admin
パスワード - admin

ベストプラクティス- デフォルトのパスワードはできるだけ早く変更する。R81.10 Gaia Administration Guide > 章User Management > 節Change My Password をご覧ください。

左側のナビゲーションツリーで、Orchestratorをクリックします。

Topology セクションには、これらのセクションを示す表が含まれています（左から右へ）。

項目	説明
Unassigned Gateways	設定されたSecurity Groupsに属さない、検出されたすべてのSecurity Appliance。 Quantum Maestro Orchestratorはポートでリッスンし、接続されたセキュリティアプライアンスを自動的に検出します。
Topology	セキュリティグループアクティブ/アクティブクラスタ機能を提供するセキュリティアプライアンスの論理グループ。セキュリティグループには 1 つ以上のセキュリティアプライアンスを含めることができます。セキュリティグループは、互いに別々に独立して機能します。本番ネットワークには、セキュリティグループが1つのセキュリティゲートウェイとして表示されます。すべてのセキュリティグループには以下が含まれます。(A) 本番ネットワークが接続されているアップリンクポート、(B) セキュリティアプライアンス（ダウンリンクポートは Quantum Maestro Orchestrator が自動的に決定）、(C) Check Point Management Server が接続されている管理用ポート。とそのセキュリティアプライアンス、ポートが設定されています。
Unassigned Interfaces	Quantum Maestro Orchestrator上の、設定されたセキュリティグループに属さないすべてのインタフェース。

項目

説明

Unassigned Gateways

設定されたSecurity Groupsに属さない、検出されたすべてのSecurity Appliance。

Quantum Maestro Orchestratorはポートでリッスンし、接続されたセキュリティアプライアンスを自動的に検出します。

Topology

Unassigned Interfaces

Quantum Maestro Orchestrator上の、設定されたセキュリティグループに属さないすべてのインタフェース。

注:

Apply ボタンをクリックすると、「Security Groups」の変更が保存されます。
Refresh ボタンをクリックすると、最新のコンフィギュレーションが読み込まれます。例えば、冗長性のために2台のQuantum Maestro Orchestratorで作業しているときに、別のQuantum Maestro Orchestratorで設定を変更する場合です。
セキュリティアプライアンスとポートオブジェクトのドラッグアンドドロップアクションを使用します。
セキュリティアプライアンスオブジェクトにマウスカーソルを合わせると、セキュリティグループ内のセキュリティアプライアンスID、アプライアンスのシリアル番号、および対応するダウンリンクポート Check Pointセキュリティアプライアンスとの接続に使用されるQuantum Maestro Orchestrator上のインタフェース。ダウンリンクポートとセキュリティアプライアンスの接続には、DACケーブル、ファイバーケーブル（トランシーバー付き）、ブレイクアウトケーブルを使用します。Check Pointの管理トラフィック（ポリシー、ログ、同期など）は、ダウンリンクポートのデータ（ユーザ）トラフィックと共存します。Check Point管理トラフィック（ダウンリンク帯域の一部）に対して帯域が保証されます。これらのポートは、システムのバックプレーン（管理、データプレーン、同期）を形成しています。がツールチップに表示されます。

適用される設定方法は以下のとおりです。

セキュリティグループを設定するためのワークフロー参照してください。

新しいセキュリティグループの作成

デモ動画を見る

ステップ

手順

Topology カラムで、Security Groups の左側にある[+] をクリックします。

Topology カラムで、Security Groups を右クリックし、New Security Group を選択します。

必要なManagement interface settingsを入力します。

ベストプラクティス-First Time Wizard settings を設定する。

OKをクリックします。

Security Groups の左側にある[+] と新しい Security Group をクリックします。

Unassigned Gateways 列で、該当する Security Appliances を選択します。

重要- セキュリティグループには、少なくとも1つのSecurity Applianceを割り当てる必要があります。

注:

同じセキュリティグループには、サポートされているセキュリティアプライアンスのみを割り当てることができます -sk162373を参照してください。
この Security Group に他の割り当てられたアプライアンスと異なるモデルのアプライアンスを割り当てる前に、SMO イメージクローニングを Security Group で無効にする必要があります (既知の制限 PMTR-71298)。
複数の Security Appliance を選択するには、CTRL キーを押したまま、マウスカーソルでオブジェクトを左クリックします。

選択した Security Appliance をUnassigned Gateways カラムから新しい Security Group のGateways セクションにドラッグ＆ドロップします。

Unassigned Interfaces カラムで、該当するデータおよび管理インタフェース管理サーバがセキュリティゲートウェイまたはクラスタメンバに接続するための、Gaiaセキュリティゲートウェイまたはクラスタメンバのインタフェース。(2) ユーザが Gaia Portal または CLI に接続するための Gaia コンピュータ上のインタフェース。を選択します。

注 - 複数のインタフェースを選択するには、CTRLキーを押しながら、マウスカーソルでオブジェクトを左クリックします。

選択したインタフェースを、新しいセキュリティグループのUnassigned Interfaces カラムからInterfaces セクションにドラッグアンドドロップします。

左下隅で、Apply をクリックします。

重要 - Security Groupに割り当てられたSecurity Applianceは、設定を適用した後、自動的に再起動します。

注:

新しく追加するセキュリティグループは、「Security Group N 」と呼ばれ、1から順に「N 」という序数が自動的に割り当てられます（たとえば、すでに「セキュリティグループ1」と「セキュリティグループ3」がある場合、新しいセキュリティグループは「セキュリティグループ2」と呼ばれます）。
各セキュリティグループには、2つのセクションがあります。
- Gateways - には、このセキュリティ・グループに割り当てたCheck Point Security Gatewayが含まれています。
- Interfaces - には、このセキュリティグループに割り当てるOrchestratorのインタフェースが含まれています。
Security Gatewayのインタフェースは、Security Groupに正しく割り当てる必要があります。

セキュリティグループの削除

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	Topologyカラムで、Security Groupを右クリックします。
3	メニューから、Delete Security Group をクリックします。重要- 確認のためのプロンプトは表示されません。
4	左下隅で、Apply をクリックします。

ネットワーク設定と初期設定ウィザードの設定をセキュリティグループに追加する

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	Topologyカラムで、Security Groupを右クリックします。
3	Set Security Group configurationをクリックします。
4	Network settingsセクションで： IPv4 address フィールドに、Security Group の IPv4 アドレスを入力します。このSecurity Groupに属するすべてのSecurity Applianceは、このIPv4アドレスをGaia管理IPアドレスとして使用します。このIPv4アドレスは、SmartConsole Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。で対応するセキュリティゲートウェイ Check Point ソフトウェアを実行してトラフィックを検査し、接続されたネットワークリソースにセキュリティポリシーを適用する専用Check Pointサーバ。オブジェクトを設定する際に使用されます。 Subnet mask フィールドに、該当するIPv4サブネットマスクを入力します。このSecurity Group内のすべてのSecurity Applianceは、このIPv4サブネットマスクをGaia管理IPアドレスに使用します。 SmartConsoleで対応するセキュリティゲートウェイオブジェクトを設定する際に、このIPv4サブネットマスクを使用します。 Default Gateway フィールドに、該当する IPv4 アドレスを入力します。このセキュリティグループ内のすべてのセキュリティアプライアンスは、このIPv4アドレスをデフォルトゲートウェイとして使用します。
5	First Time Wizard settings セクションでは、この Security Group に割り当てられた Security Appliance の初期設定を行う。 Set FTW configurationを選択します。 Host Name フィールドに、ホスト名を入力します。 Configure Admin Passwordを選択します。 Admin Password フィールドに、Expert モードのパスワードを入力します。 Confirm Admin Password フィールドに、同じExpertモードのパスワードキーを再度入力します。 SIC Password フィールドに、1回限りのアクティベーション・キー（4文字以上127文字以下）を入力します。このアクティベーション・キーは、対応するセキュリティゲートウェイオブジェクトを作成するときにSmartConsoleで使用します。 Confirm SIC Passwordフィールドで、再度ワンタイムアクティベーションキーを入力します。このセキュリティグループ内のすべてのセキュリティアプライアンスをVSXゲートウェイ物理ネットワークデバイスの機能を提供するすべての仮想デバイスを含む、VSX仮想ネットワークをホストする物理サーバ。VS0と呼ばれる少なくとも1つの仮想システムを保持します。として動作させる必要がある場合のみ、「Install as VSX 」を選択します。
6	OKをクリックします。
7	左下隅で、Apply をクリックします。

警告-既存のSecurity Group（その中で初期設定ウィザードを実行済み）でSet FTW configuration オプションを有効にすると、そのSecurity Group内の各Security Applianceを工場出荷時のデフォルトにリセットした後にのみ変更が適用されます。

セキュリティグループからネットワーク設定と初期設定ウィザードの設定を削除する

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	Topologyカラムで、Security Groupを右クリックします。
3	メニューから、Clear network configuration をクリックします。重要- 確認のためのプロンプトは表示されません。
4	左下隅で、Apply をクリックします。

注 - この設定オプションはGaiaポータルのみで利用可能です。

利用可能なセキュリティアプライアンスをセキュリティグループに割り当てる

ベストプラクティス：

既存の Security Group に Security Appliance を追加する前に、Security Group で SMO Image Cloning 機能を有効にしてください。

この機能は、必要なソフトウェアパッケージをすべて新しいセキュリティアプライアンスに自動的にクローンするものである。

セキュリティグループ上でGaia gClish Check Point Quantum Maestro Orchestrator に接続されているセキュリティアプライアンス用の Check Point Gaia オペレーティングシステムのグローバルコマンドラインシェルの名前。このシェルで実行するコマンドは、セキュリティグループ内のすべてのセキュリティアプライアンスに適用されます。で実行します。

set smo image auto-clone state on

ステップ

手順

Topology カラムで、Security Groups の左側にある[+] をクリックします。

該当する Security Group の左側にある[+] をクリックします。

Unassigned Gateways 列で、該当する Security Appliances を選択します。

注 - 複数のSecurity Applianceを選択するには、CTRLキーを押したまま、マウスカーソルでオブジェクトを左クリックします。

選択した Security Appliance をUnassigned Gateways カラムから該当する Security Group のGateways セクションにドラッグ＆ドロップします。

注：このような操作が許可されている場合、Gaia Portalには緑色のプラスアイコンが表示されます。それ以外の場合は、赤いブロックのアイコンが表示されます。

左下隅で、Apply をクリックします。

重要：

同じセキュリティグループには、サポートされているセキュリティアプライアンスのみを割り当てることができます -sk162373を参照してください。
この Security Group に他の割り当てられたアプライアンスと異なるモデルのアプライアンスを割り当てる前に、SMO イメージクローニングを Security Group で無効にする必要があります (既知の制限 PMTR-71298)。
Security Groupに割り当てられたSecurity Applianceは、設定を適用した後、自動的に再起動します。

デュアルサイトのベストプラクティス - 各サイトから同じ数のセキュリティアプライアンスをセキュリティグループに割り当てる（可能な限り）。サイト間でフェイルオーバーが発生した場合、新しいActiveサイトのセキュリティアプライアンスがすべてのトラフィックを処理できる必要があります。

セキュリティグループから1台のセキュリティアプライアンスを削除する

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当する Security Group の左側にある[+] をクリックします。
3	Gateways セクションの左側にある「[+] 」をクリックします。
4	セキュリティグループから削除するセキュリティアプライアンスを選択します。
5	選択したSecurity Applianceを右クリックします。
6	メニューから、Detach Gateway をクリックします。重要- 確認のためのプロンプトは表示されません。
7	左下隅で、Apply をクリックします。

重要-Security Groupから削除した後は、Security Applianceを工場出荷時のデフォルトにリセットし、再起動する必要があります。これは、セキュリティの設定を残さないようにするためです。

セキュリティグループからすべてのセキュリティアプライアンスを削除する

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当する Security Group の左側にある[+] をクリックします。
3	Gateways の部分を左クリックし、選択します。
4	Gateways の箇所を右クリックします。
5	メニューから、Detach all Gateways をクリックします。
6	左下隅で、Apply をクリックします。

重要- Security Groupから削除した後、Security Applianceは工場出荷時のデフォルトへのリセットと再起動を実行する必要があります。これは、セキュリティの設定を残さないようにするためです。

注 - この設定オプションはGaiaポータルのみで利用可能です。

セキュリティアプライアンスをあるセキュリティグループから別のセキュリティグループへ移動する

ベストプラクティス：

既存の Security Group に Security Appliance を追加する前に、Security Group で SMO Image Cloning 機能を有効にしてください。

この機能は、必要なソフトウェアパッケージをすべて新しいセキュリティアプライアンスに自動的にクローンするものである。

セキュリティグループ上でGaia gClishで実行します。

set smo image auto-clone state on

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当するsource Security Group の左側にある[+] をクリックします。
3	該当するtarget Security Group の左側にある[+] をクリックします。
4	該当するセキュリティゲートウェイを選択します。注 - 複数のSecurity Applianceを選択するには、CTRLキーを押したまま、マウスカーソルでオブジェクトを左クリックします。
5	選択した Security Appliance をsource Security Group のGateways セクションからtarget Security Group のGateways セクションにドラッグアンドドロップします。注：このような操作が許可されている場合、Gaia Portalには緑色のプラスアイコンが表示されます。それ以外の場合は、赤いブロックのアイコンが表示されます。
6	左下隅で、Apply をクリックします。

注 - この設定オプションはGaiaポータルのみで利用可能です。

セキュリティグループへのインタフェースの割り当て

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当する Security Group の左側にある[+] をクリックします。
3	Unassigned Interfaces のカラムで、該当するインタフェースを選択します。注 - 複数のインタフェースを選択するには、CTRLキーを押しながら、マウスカーソルでオブジェクトを左クリックします。
4	選択したインタフェースを、該当する Security Group のUnassigned Interfaces カラムからInterfaces セクションにドラッグアンドドロップします。注：このような操作が許可されている場合、Gaia Portalには緑色のプラスアイコンが表示されます。それ以外の場合は、赤いブロックのアイコンが表示されます。
5	左下隅で、Apply をクリックします。

セキュリティグループから1つのインタフェースを削除する

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当する Security Group の左側にある[+] をクリックします。
3	Interfaces セクションの左側にある「[+] 」をクリックします。
4	該当するインタフェースを右クリックします。
5	メニューから、Detach Interface をクリックします。重要- 確認のためのプロンプトは表示されません。
6	左下隅で、Apply をクリックします。

セキュリティグループからすべてのインタフェースを削除する

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当する Security Group の左側にある[+] をクリックします。
3	Interfaces の箇所を右クリックします。
4	メニューから、Detach Security Group Interfaces をクリックします。重要- 確認のためのプロンプトは表示されません。
5	左下隅で、Apply をクリックします。

注 - この設定オプションはGaiaポータルのみで利用可能です。

あるセキュリティグループから別のセキュリティグループへのインタフェースの移動

ステップ	手順
1	Topology カラムで、Security Groups の左側にある[+] をクリックします。
2	該当するsource Security Group の左側にある[+] をクリックします。
3	該当するtarget Security Group の左側にある[+] をクリックします。
4	該当するインタフェースを選択します。注 - 複数のインタフェースを選択するには、CTRLキーを押しながら、マウスカーソルでオブジェクトを左クリックします。
5	選択したインタフェースをsource Security GroupのInterfaces セクションからtarget Security GroupのInterfaces セクションにドラッグアンドドロップします。注：このような操作が許可されている場合、Gaia Portalには緑色のプラスアイコンが表示されます。それ以外の場合は、赤いブロックのアイコンが表示されます。
6	左下隅で、Apply をクリックします。

注 - この設定オプションはGaiaポータルのみで利用可能です。

アップリンクポートのVLANインタフェースを表示する

アップリンクポートにVLANインタフェースを設定する場合を参照してください。

ステップ	手順
1	Orchestrator ページのTopology セクションで、Security Groups を展開します。
2	Security Groupを展開する。
3	Interfaces を拡大する。
4	マウスカーソルをインタフェースに乗せる。 VLANの情報がツールチップに表示されます。

注 - Dual Siteの展開で、Security Groupにどちらかのサイト（例えばSite 2）にしかないSecurity Applianceが含まれている場合、VLANインタフェースを示すツールチップは、Security Applianceと同じサイトにあるOrchestrator（Site 2など）のGaia Portalにのみ表示されるようにします。