セキュリティゲートウェイでのISP冗長性の設定

  1. このSecurity Gateway/Scalable Platform Security Groupを管理するSecurity Management Server閉じた Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。またはDomain Management Server閉じた Check Point シングルドメインセキュリティ管理サーバまたはマルチドメインセキュリティ管理サーバ。へSmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。で接続します。

  2. 左側のナビゲーションパネルでGateways & Serversします。

  3. 該当するセキュリティゲートウェイ閉じた Check Point ソフトウェアを実行してトラフィックを検査し、接続されたネットワークリソースにセキュリティポリシーを適用する専用Check Pointサーバ。/セキュリティグループオブジェクトを開く。

  4. Other > ISP Redundancyをクリックします。

  5. Support ISP Redundancyを選択します。

  6. 冗長化モード -Load Sharing またはPrimary/Backup を選択してください。

  7. ISPリンクを設定する（最低2つ、最大10つ）。

    ISPリンクを2つ以上設定するには、Management ServerとSecurity Gateway/Scalable Platform Security GroupのバージョンがR81.10以上である必要があります。

    ISPのデータ（リンクの速度、ネクストホップのIPアドレス）を確認してください。

    自動設定と手動設定の違い。

    • Security Gateway / Security Groupオブジェクトに、Topology "External" のインタフェースが 2 つ以上ある場合、Network Management ページで ISP リンクを自動的に設定することができます。

      1. Other > ISP Redundancyをクリックします。

      2. Set initial configurationをクリックします。

        ISPリンクは自動的に追加されます。

      3. Primary/Backup モードの場合、プライマリインタフェースがリストの最初にあることを確認します。右の矢印で順番を変えることができます。

      4. OKをクリックします。。

    • Security Gateway / Security Groupオブジェクトが、Network Management ページの Topology "External" で1つのインタフェースしかない場合、ISP リンクを手動で設定する必要があります。

      1. Other > ISP Redundancyをクリックします。

      2. IPS Linksセクションで、Addをクリックします。

        ISP Linkウィンドウが開きます。

      3. General タブをクリックします。

      4. Name フィールドに、このリンクの名前（希望するテキスト）を入力します。

        ここで入力した名前は、ISP冗長化コマンドで使用されます（CLIからISP冗長性を制御するを参照）。

      5. この ISP リンクのSecurity Gateway / Security GroupのInterface を選択します。

        • Security Gateway / Security Groupオブジェクトに、トポロジ "External"のインタフェースが2つ以上ある場合（Network Managementページ）、それぞれの ISP リンクを異なるインタフェースに設定します。

          ISP リンクの 1 つがバックアップ ISP への接続である場合、ISP 冗長性スクリプトを設定します（CLIからISP冗長性を制御するを参照）。

        • Security Gateway / Security Groupオブジェクトが、Network Management ページの Topology "External" で1つのインタフェースしかない場合、各 ISP リンクがこのインタフェースに接続するように設定します。

      6. Next Hop IP Addressを設定します。

        • Security Gateway / Security Groupオブジェクトにトポロジ "External" のインタフェースが2つ以上ある場合（Network Managementページ）、このフィールドを空のままにしてGet from routing tableをクリックします。ネクストホップはデフォルトゲートウェイです。

        • Security Gateway / Security Groupオブジェクトが、Network Management ページのTopology "External" で1つのインタフェースしかない場合、各ISPリンクを異なるネクストホップルーターに設定します。

      7. 負荷分散モードのISP冗長性の場合、Weight の値を入力します。

        IPS閉じた さまざまなタイプのリスクについてパケットとデータを検査および分析するセキュリティゲートウェイ上のCheck Point Software Blade（侵入防止システム）。 リンク間のトラフィックが均等になるように、各 ISP リンクで適用する比率を入力します（100% / ISP リンク数）。

        • 2つのISPリンクの場合、それぞれに50 を入力します。

        • 3つのISPリンクの場合、それぞれに33 を入力します。

        • 4つのISPリンクの場合、それぞれに25 を入力します。

        • など

        あるISPリンクの方が速い場合、この値を大きくし、他のISPリンクの値を小さくして、これらの値の合計が常に100となるようにします。

      8. Advanced タブをクリックします。

      9. リンクが機能していることを確認するために、監視するホストを定義する。

        Selected hosts セクションに該当するオブジェクトを追加します。

      10. OKをクリックします。。

  8. Security Gateway / Security GroupをDNSサーバに設定する。

    セキュリティゲートウェイ/セキュリティグループ閉じた Active/Activeクラスタ機能を提供するセキュリティアプライアンス（Maestro）/セキュリティゲートウェイモジュール（Scalable Chassis）の論理グループです。セキュリティグループには、1つまたは複数のセキュリティアプライアンス/セキュリティゲートウェイモジュールを含めることができます。セキュリティグループは、互いに別々に独立して機能します。本番ネットワークには、セキュリティグループが1つのセキュリティゲートウェイとして表示されます。Maestroでは、各Security Groupには、以下のものが含まれます。(A) 本番ネットワークが接続されているアップリンクポート、(B) セキュリティアプライアンス（ダウンリンクポートは Quantum Maestro Orchestrator が自動的に決定）、(C) Check Point Management Server が接続されている管理用ポート。、またはその背後にあるDNSサーバは、DNSクエリに応答する必要があります。

    DMZ（または別の内部ネットワーク閉じた ファイアウォールによって保護され、認証されたユーザによってアクセスされるコンピュータとリソース。）にあるサーバのIPアドレスを解決するものです。

    各ISPからパブリックIPアドレスを取得する。パブリックIPアドレスが利用できない場合は、ドメインを登録して、インターネットからDNSサーバにアクセスできるようにします。

    Security Gateway / Security Groupは、外部ホストから来るドメイン内のWebサーバに対するDNSクエリー「タイプA」を傍受する。

    • セキュリティゲートウェイ／セキュリティグループが外部ホストを認識した場合、返信を行う。

      • ISP冗長性Load Sharing モードでは、セキュリティゲートウェイ/セキュリティグループはすべての ISP リンクの IP アドレスを交互に返信します。

      • ISP冗長性Primary/Backup モードでは、セキュリティゲートウェイ/セキュリティグループはアクティブな ISP リンクの IP アドレスを返信します。

    • Security Gateway / Security Groupがホストを認識できない場合、DNSの問い合わせを元の宛先、またはドメインのDNSサーバに渡します。

    DNSサーバを有効にする。

    1. Other > ISP Redundancyをクリックします。

    2. Enable DNS Proxyを選択します。

    3. Configureをクリックします。

    4. DMZサーバやWebサーバを追加します。

      各サーバに各ISPのパブリックIPアドレスを設定する。

    5. DNS TTL に、秒数を入力します。

      これは、各DNS返信のTime To Liveを設定します。

      インターネット上のDNSサーバは、お客様のDNSデータをTTL以上の時間、リプライでキャッシュすることができません。

    6. OKをクリックします。。

    7. パブリックIPアドレスをリアルサーバのIPアドレスに変換するStatic NATを設定します。

      外部クライアントは、設定されたIPアドレスのいずれかを使用します。

      注 - サーバが異なるサービス（HTTPとFTPなど）を使用する場合、設定されたパブリックIPアドレスのみに対してNATを使用することができます。

    8. アクセスコントロールポリシーのルール閉じた 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。を定義する。

      名前

      発信元

      宛先

      VPN

      サービス&アプリケーション

      アクション

      追跡

      インストール

      DNSプロキシ

      該当するソース

      適用されるDNSサーバ

      Any

      domain_udp

      Accept

      None

      Policy Targets

    ドメインの登録とIPアドレスの取得のため。

    1. 各ISPにドメインを登録する。

    2. ドメインのDNSクエリに応答するDNSサーバの設定されたIPアドレスをISPに伝える。

    3. DMZ内の各サーバについて、各ISPからパブリックIPアドレスを取得する。

    4. SmartConsoleで、Menu > Global properties をクリックします。

    5. 左側のツリーから、NAT - Network Address Translation をクリックします。

    6. Manual NAT rulesセクションで、Translate destination on client sideを選択します。

    7. OKをクリックします。。

  9. ISP冗長性のためのアクセス制御ポリシーを設定します。

    アクセス制御ポリシーは、ISPリンク経由の接続を許可し、発信接続を開始するネットワークオブジェクト閉じた コンピュータ、IP アドレス、トラフィックプロトコルなど、企業トポロジのさまざまな部分を表す論理オブジェクト。管理者はセキュリティポリシーでこれらのオブジェクトを使用します。に自動非表示NATを設定する必要があります。

    1. 内部ネットワーク用のオブジェクトのプロパティで、NAT > Add Automatic Address Translation Rules を選択します。

    2. Hide behind the gatewayを選択します。

    3. OKをクリックします。。

    4. 一般に到達可能なサーバ（Webサーバ、DNSサーバ、DMZサーバ）のルールを定義する。

      • Security Gateway / Security Groupに各ISPから1つのパブリックIPアドレスがある場合、Static NATを定義します。

        特定のサーバに対して、特定のサービスを許可する。

        例えば、ISPからのHTTP接続はWebサーバに、ISPからのDNS接続はDNSサーバに到達するように、NATルールを設定します。

        Example: Manual Static Rules for a Web Server and a DNS Server

        原資料

        オリジナル・デスティネーション

        オリジナルサービス

        翻訳元

        翻訳された宛先

        翻訳サービス

        インストール

        コメント

        Any

        WebサーバのIPアドレスを持つHostオブジェクト

        http

        = Original

        S50.50.50.2

        = Original

        Policy Targets

        着信Web - ISP A

        Any

        WebサーバのIPアドレスを持つHostオブジェクト

        http

        = Original

        S60.60.60.2

        = Original

        Policy Targets

        着信Web - ISP B

        Any

        DNSサーバのIPアドレスを持つHostオブジェクト

        domain_udp

        = Original

        S50.50.50.3

        = Original

        Policy Targets

        着信DNS - ISP A

        Any

        DNSサーバのIPアドレスを持つHostオブジェクト

        domain_udp

        = Original

        S60.60.60.3

        = Original

        Policy Targets

        着信DNS - ISP B

      • Security Gateway / Security Groupに加えて、一般に到達可能な各サーバのISPからのパブリックIPアドレスがある場合、該当するNATルールを設定します。

        1. 各サーバにプライベートIPアドレスを付与する。

        2. Original DestinationにあるパブリックIPアドレスを使用します。

        3. Translated DestinationにプライベートIPアドレスを使用します。

        4. Original Serviceとして Any を選択します。

    注 - Manual NATを使用する場合、自動ARPはNATの後ろのIPアドレスに対して機能しません。sk30197で説明しているとおり、local.arpファイルを設定する必要があります。

  10. このSecurity Gateway / Security Groupオブジェクトにアクセスコントロールポリシーをインストールします。