VSXモードのモニタモードでセキュリティグループを設定する

重要：

手順:

  1. 詳細については、Quantum Maestro Getting Started Guideを参照してください。

    ステップ

    手順

    1

    Maestroの環境をインストールします。

    2

    該当するセキュリティグループを設定します。

    3

    Security Groupの作成時にFirst Time Wizard settings を設定しなかった場合、Security GroupのGaia初期設定ウィザードを実行する必要があります。

    4

    初期設定ウィザードで、これらの設定を行う必要があります。

    • Management Connection ウィンドウで、Gaia オペレーティングシステムに接続するインタフェースを選択します。

    • Internet Connection ウィンドウでは、IPアドレスは設定しないでください。

    • Installation Typeウィンドウで、Security Gateway and/or Security Managementを選択します。

    • Productsウィンドウで：

      1. Productsセクションで、Security Gatewayのみを選択します。

      2. Clusteringセクションで、Unit is a part of a cluster, typeをクリアします。

    • Dynamically Assigned IPウィンドウで、Noを選択します。

    • Secure Internal Communication ウィンドウに、該当するActivation Key (4～127文字の長さ) を入力します。

  2. インタフェースのモニタモードは、Gaia Portal閉じた Check Point Gaiaオペレーティングシステム用のWebインタフェース。、またはSecurity GroupのGaia gClish閉じた Check Point Quantum Maestro Orchestrator に接続されているセキュリティアプライアンス用の Check Point Gaia オペレーティングシステムのグローバルコマンドラインシェルの名前。このシェルで実行するコマンドは、セキュリティグループ内のすべてのセキュリティアプライアンスに適用されます。のいずれかで設定することができます。

    ステップ

    手順

    1

    Webブラウザで、Gaia Portal に接続します:

    https://<IP address of Gaia Management Interface>

    2

    左側のナビゲーション ツリーで、Network Management > Network Interfacesをクリックします。

    3

    リストから該当する物理インタフェースを選択し、Edit をクリックします。

    4

    Enableオプションを選択して、インタフェースのステータスを UP に設定します。

    5

    Commentフィールドに、該当するコメントテキストを入力します（最大100文字）。

    6

    IPv4 タブでUse the following IPv4 address を選択します。IPv4アドレスは入力しないでください。

    7

    IPv6 タブでUse the following IPv6 address を選択しますが、IPv6 アドレスを入力しないでください。

    重要- この設定は、GaiaでIPv6 Supportを有効にし、再起動した後でのみ利用可能です。

    8

    Ethernet タブ:

    • Auto Negotiation を選択するか、リストからリンク速度とデュプレックス設定を選択します。

    • Hardware Addressフィールドに、ハードウェアMACアドレス（NICから自動的に受信していない場合）を入力します。

      注意 - MACアドレスが正しくない、または変更されたことが確認できない限り、手動で変更しないでください。MACアドレスが正しくない場合、通信に支障をきたすことがあります。

    • MTUフィールドに、該当するMTU（Maximum Transmission Unit）値を入力します（最小値は68、最大値は16000、デフォルト値は1500です）。

    • Monitor Modeを選択します。

    9

    OKをクリックします。。

    ステップ

    手順

    1

    Security Groupでコマンドラインに接続します。

    2

    Gaia Clish閉じた CheckPoint Gaiaオペレーティングシステムのデフォルトのコマンドラインシェルの名前。これは制限付きシェルです（役割ベースの管理は、シェルで使用可能なコマンドの数を制御します）。にログインします。

    3

    Gaia gClishにアクセス：gclish と入力し、Enterキーを押す。

    4

    該当する物理インタフェースの構成と状態を調べます。

    show interface <Name of Physical Interface>

    5

    該当する物理インタフェースにIPアドレスが割り当てられている場合は、そのIPアドレスを削除してください。

    • IPv4アドレスを削除する場合。

      delete interface <Name of Physical Interface> ipv4-address

    • IPv6アドレスを削除する場合。

      delete interface <Name of Physical Interface> ipv6-address

    6

    物理インタフェースのモニタモードを有効にします。

    set interface <Name of Physical Interface> monitor-mode on

    7

    モニタモードのインタフェースで、その他の適用可能な設定を行います。

    set interface <Name of Physical Interface> ...

    8

    モニタモードインタフェースの構成と状態を調べます。

    show interface <Name of Physical Interface>

    9

    設定を保存します。

    save config

  3. ステップ

    手順

    1

    Security Groupでコマンドラインに接続します。

    2

    エキスパートモード閉じた CheckPoint Gaiaオペレーティングシステムで完全なシステムルート権限を付与する完全なコマンドラインシェルの名前。にログインします。

    3

    $FWDIR/boot/modules/fwkern.conf ファイルでカーネルパラメータpsl_tap_enableの値を 1 に設定し、Passive Streaming Layer (PSL) Tap Mode: を有効にします。

    g_update_conf_file fwkern.conf psl_tap_enable=1

    4

    $FWDIR/boot/modules/fwkern.conf ファイルでカーネルパラメータfw_tap_enableの値を 1 に設定し、Firewall Tap Mode を有効にしてください。

    g_update_conf_file fwkern.conf fw_tap_enable=1

    5

    $PPKDIR/conf/simkern.conf ファイルでカーネルパラメータfw_tap_enableの値を 1 に設定し、Firewall Tap Mode を有効にしてください。

    g_update_conf_file $PPKDIR/conf/simkern.conf fw_tap_enable=1

    6

    Security Gateway を再起動します。

    7

    Security Groupでコマンドラインに接続します。

    8

    エキスパートモードにログインします。

    9

    Security Groupが新しい設定を読み込んだことを確認します。

    g_fw ctl get int psl_tap_enable

    g_fw ctl get int fw_tap_enable

    注:

    • この設定は、間違った、または異常な順序で到着したパケットをSecurity Groupが処理するのに役立ちます（たとえば、TCP [SYN-ACK]がTCP [SYN]より前に到着した場合など）。

    • この設定は、TCP [SYN]パケットが到着していない接続を処理する最初の10〜30分間、Security Groupがより効果的に機能するようにします。

    • また、TAP装置やTX/RXキューを分離したMirror/Spanポートを使用する場合にもこの設定は必要です。

    • この設定により、TCP-SYNパケットが到着しなかったコネクションを処理する最初の10～30分間、Security GroupのMirror Portがより効果的に機能するようになります。

    • カーネルパラメータ "psl_tap_enable" と "fw_tap_enable" の値を "g_fw ctl set int <parameter>" コマンドでオンザフライに設定することはできません (既知の制限事項 02386641)。

  4. ステップ

    手順

    1

    このVSXゲートウェイ閉じた 物理ネットワークデバイスの機能を提供するすべての仮想デバイスを含む、VSX仮想ネットワークをホストする物理サーバ。VS0と呼ばれる少なくとも1つの仮想システムを保持します。を管理するセキュリティ管理サーバまたはMain ドメイン管理サーバにSmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。で接続します。

    2

    左側のナビゲーションパネルでGateways & Serversします。

    3

    以下のいずれかの方法で、新しいVSX閉じた 仮想システム拡張。Check Point Security Gatewayおよびその他のネットワークデバイスの仮想抽象化を備えたコンピュータまたはクラスタでホストされるCheckPoint仮想ネットワークソリューション。これらの仮想デバイスは、物理的な対応デバイスと同じ機能を提供します。 Gatewayオブジェクトを作成します。

    • 上部のツールバーから、新規作成() > VSX > Gatewayをクリックします。

    • 左上部から、Objectsメニュー > More object types > Network Object > Gateways and Servers > VSX > New Gatewayをクリックします。

    • 右上の Objects Pane > New > More > Network Object > Gateways and Servers > VSX > Gateway

    VSX Gateway Wizardが開きます。

    4

    VSX Gateway General Properties (Specify the object's basic settings) のページで。

    1. Enter the VSX Gateway Name フィールドに、この VSX Gateway オブジェクトに適用可能な名前を入力します。

    2. Enter the VSX Gateway IPv4 フィールドには、Security Group の初期設定ウィザードのManagement Connection ページで設定したものと同じ IPv4 アドレスを入力します。

    3. Enter the VSX Gateway IPv6 フィールドには、Security Group の初期設定ウィザードのManagement Connection ページで設定したのと同じ IPv6 アドレスを入力します。

    4. Select the VSX Gateway Versionフィールドで、R81.10を選択します。

    5. Nextをクリックします。。

    5

    VSX Gateway General Properties (Secure Internal Communication) のページで。

    1. Activation Key フィールドに、Security Group の初期設定ウィザードで入力したものと同じ Activation Key を入力します。

    2. Confirm Activation Key フィールドに、同じ Activation Key を再度入力します。

    3. Initializeをクリックします。。

    4. Nextをクリックします。。

     

    Trust State フィールドにTrust established が表示されていない場合は、以下の手順を実行してください。

    1. Security Groupでコマンドラインに接続します。

    2. Security GroupとManagement Server閉じた Check Point シングルドメインセキュリティ管理サーバまたはマルチドメインセキュリティ管理サーバ。が物理的に接続されていることを確認してください（例：Pingが通過できる）。

    3. 次を実行します:

      cpconfig

    4. このオプションの番号を入力します。

      Secure Internal Communication

    5. 画面の指示に従って、Activation Keyを変更してください。

    6. SmartConsole のVSX Gateway General Properties ページで、Reset をクリックします。

    7. cpconfig メニューで入力したのと同じActivation Keyを入力します。

    8. SmartConsoleで、Initialize をクリックします。

    6

    VSX Gateway Interfaces (Physical Interfaces Usage) のページで。

    1. インタフェースのリストを確認する - Security Group上のすべての物理インタフェースが表示されている必要があります。

    2. 複数の仮想システムを同じ物理インタフェースに直接接続する場合は、その物理イン ターフェースに対してVLAN Trunk を選択する必要があります。

    3. Nextをクリックします。。

    7

    Virtual Network Device Configuration (Specify the object's basic settings) のページで。

    1. Create a Virtual Network Device を選択し、この時点で最初に該当する Virtual Device を設定することができます（この作業は後で行うことをお勧めします） - Virtual Switch または Virtual Router。

    2. Nextをクリックします。。

    8

    VSX Gateway Management (Specify the management access rules) のページで。

    1. デフォルトのアクセスルール閉じた 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。を調べる。

    2. 該当するデフォルトアクセスルールを選択します。

    3. 必要であれば、該当するソースオブジェクトを設定する。

    4. Nextをクリックします。。

    重要- これらのアクセスルールは、VSXゲートウェイ（VS0のコンテキスト）にのみ適用され、「本番」トラフィックを通過させることは意図されていません。

    9

    VSX Gateway Creation Finalization のページで。

    1. Finishをクリックします。 をクリックし、操作の終了を待ちます。

    2. 詳細はView Reportをクリックしてください。

    3. Closeをクリックします。。

    10

    VSXの設定を調べる。

    1. Security Groupでコマンドラインに接続します。

    2. エキスパートモードにログインします。

    3. 次を実行します:

      vsx stat -v

    11

    VSX Gatewayオブジェクトにデフォルトポリシーをインストールします。

    1. Install Policyをクリックします。

    2. Policy フィールドで、この VSX Gateway オブジェクトのデフォルト ポリシーを選択します。

      というポリシーです。

      <Name of VSX Gateway object>_VSX

    3. Installをクリックします。。

    12

    VSXの設定を調べる。

    1. Security Groupでコマンドラインに接続します。

    2. エキスパートモードにログインします。

    3. 次を実行します:

      vsx stat -v

  5. ステップ

    手順

    1

    各仮想デバイスを管理すべきSecurity Management Server閉じた Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。、または各Target Domain Management ServerへSmartConsoleで接続します。

    2

    この VSX ゲートウェイで該当するバーチャルシステム（およびその他のバーチャルデバイ ス）を設定します。

    この仮想システムを設定するとき、モニタモードインタフェースのために、通常のインタフェースを追加します。IPv4 Configuration セクションに、random IPv4 アドレスを入力します。

    重要- このランダムなIPv4アドレスは、ネットワーク上の既存のIPv4アドレスと競合しないようにする必要があります。

    3

    VSXの設定を調べる。

    1. Security Groupでコマンドラインに接続します。

    2. エキスパートモードにログインします。

    3. 次を実行します:

      vsx stat -v

    4

    モニタモードに設定されているインタフェースのAnti-Spoofingを無効にします。

    1. SmartConsoleで、Virtual Systemオブジェクトを開いてください。

    2. Topology ページをクリックします。

    3. モニタモードインタフェースを選択し、Edit をクリックします。

      Interface Propertiesウィンドウが開きます。

    4. General タブをクリックします。

    5. Security Zoneフィールドで、Noneを選択します。

    6. Topology タブをクリックします。

    7. Topology の項目で、設定がInternal (leads to the local network) とNot Defined になっていることを確認します。

    8. Anti-Spoofingセクションで、Perform Anti-Spoofing based on interface topologyをクリアします。

    9. OKをクリックします。 をクリックして、Interface Properties のウィンドウを閉じます。

    10. OKをクリックします。 をクリックして、Virtual System Properties のウィンドウを閉じます。

    11. 管理サーバは、VSX 設定をプッシュします。

  6. ステップ

    手順

    1

    この仮想システムを管理するSecurity Management ServerまたはTarget Domain Management ServerへSmartConsoleで接続します。

    2

    左上隅から、Menu > Global propertiesをクリックします。

    3

    左のツリーから、Stateful Inspection ペインをクリックし、configure を実行します。

    1. Default Session Timeoutsセクションで：

      1. TCP session timeout の値を、デフォルトの3600 から60 秒に変更します。

      2. TCP end timeout の値を、デフォルトの20 から5 秒に変更します。

    2. Out of state packets の項目で、すべてのボックスをクリアする必要があります。

      そうでない場合は、Security Group はトラフィックを状態外としてドロップします（トラフィックが Security Group を通過しないため、トラフィックの状態情報を記録しない）。

    4

    左のツリーから、Advanced ページ> Configure ボタンをクリックし、configureします。

    1. FireWall-1 > Stateful Inspectionをクリックします。

    2. reject_x11_in_anyをクリアします。

    3. OKをクリックします。 をクリックして、Advanced Configuration のウィンドウを閉じます。

    5

    OKをクリックします。 をクリックして、Global Properties のウィンドウを閉じます。

    6

    SmartConsoleセッションを公開する。

  7. ステップ

    手順

    1

    この仮想システムを管理するSecurity Management ServerまたはTarget Domain Management ServerへSmartConsoleで接続します。

    2

    左側のナビゲーションパネルでSecurity Policiesします。

    3

    新しいポリシーを作成し、該当するレイヤーを設定します。

    1. 上部で、+ タブをクリックします（または、CTRL T を押します）。

    2. Manage Policies タブで、Manage policies and layers をクリックします。

    3. Manage policies and layers ウィンドウで、新しいポリシーを作成し、適用するレイヤーを設定します。

    4. Closeをクリックします。。

    5. Manage Policies 」タブで、作成した新しいポリシーをクリックします。

    4

    すべてのトラフィックを受け入れるAccess Control ルールを作成します。

    いいえ

    名前

    発信元

    宛先

    VPN

    サービス&アプリケーション

    アクション

    追跡

    インストール

    1

    すべてを受け入れる

    *Any

    *Any

    Any

    *Any

    Accept

    Log

    オブジェクト ID
    セキュリティゲートウェイ閉じた Check Point ソフトウェアを実行してトラフィックを検査し、接続されたネットワークリソースにセキュリティポリシーを適用する専用Check Pointサーバ。
    モニタ モード

    5

    ベスト プラクティス

    最も一般的なTCP接続の場合、これらのAggressive Aging の設定を推奨します。

    1. SmartConsoleで、Objectsメニュー > Object Explorerをクリックします。

    2. Services を開き、TCP を選択します。

    3. このネットワークで最も一般的なTCP接続を検索します。

    4. 該当するTCPサービスをダブルクリックします。

    5. 左側のツリーから、Advanced をクリックします。

    6. 上部で、Override default settings を選択します。

      Domain Management Serverで、Override global domain settingsを選択します。

    7. Match for 'Any'を選択します。

    8. Aggressive agingセクションで：

      Enable aggressive agingを選択します。

      Specific を選択し、60 を入力します。

    9. OKをクリックします。。

    10. Object Explorer を閉じる。

    6

    SmartConsoleセッションを公開する。

    7

    Virtual Systemオブジェクトにアクセスコントロールポリシーをインストールします。

    1. Install Policyをクリックします。

    2. Policy フィールドで、この仮想システムオブジェクトに適用されるポリシーを選択します。

    3. Installをクリックします。

    8

    VSXの設定を調べる。

    1. Security Groupでコマンドラインに接続します。

    2. エキスパートモードにログインします。

    3. 次を実行します:

      vsx stat -v

  8. モニタモードのインタフェースをスイッチのミラーポートまたはSPANポートに接続します。

詳細については、次を参照してください。