ClusterXL 管理ガイド R75.40VS - Check Point

ClusterXL
R75.40VS
管 理 ガイド
Classification: [Protected]

© 2012 Check Point Software Technologies Ltd.
All rights reserved. 本 製 品 および 関 連 ドキュメントは 著 作 権 法 によって 保 護 されており、その 使 用 、 複 写 、 逆 コン
パイルを 制 限 するライセンス 契 約 に 基 づいて 配 布 されています。 本 製 品 または 関 連 ドキュメントのいかなる 部 分 も、
チェック・ポイントの 書 面 による 事 前 承 諾 を 得 ない 限 り、いかなる 形 態 や 方 法 によっても 複 製 することはできません。
本 マニュアルを 製 作 するにあたっては 細 心 の 注 意 が 払 われていますが、チェック・ポイントはいかなる 誤 りまたは
欠 落 に 対 しても 一 切 責 任 を 負 いません。 本 マニュアルおよびその 記 述 内 容 は、 予 告 なく 変 更 される 場 合 があり
ます。
権 利 の 制 限
米 国 政 府 による 本 製 品 の 使 用 、 複 写 、または 開 示 は、DFARS( 連 邦 国 防 調 達 規 定 )252.227-7013 および FAR
( 連 邦 調 達 規 定 )52.227-19 の 技 術 データおよびコンピュータ・ソフトウェアに 関 する 権 利 条 項 (c)(1)(ii)により 制 限
されます。
商 標
チェック・ポイントの 商 標 の 一 覧 は、こちら
サード・パーティの 商 標 および 著 作 権 については、こちら
を 参 照 してください。

ドキュメントに 関 する 情 報
最 新 版 ソフトウェア
最 新 版 ソフトウェアには、 機 能 や 安 定 性 の 向 上 、セキュリティの 拡 張 、 新 たな 脅 威 や 進 化 する 攻 撃 に 対 処 する 最 新
の 保 護 機 能 が 備 えられているため、 最 新 版 をインストールすることをお 勧 めします。
関 連 情 報
このドキュメントの 最 新 バージョンについては、 次 を 参 照 してください。
http://supportcontent.checkpoint.com/documentation_download?ID=21983
チェック・ポイント 製 品 の 詳 細 な 技 術 情 報 については、チェック・ポイントのサポート・センター
(http://supportcenter.checkpoint.com)を 参 照 してください。
改 訂 履 歴
日 付
説 明
2012 年 12 月 28 日 初 版
ドキュメントに 関 するご 意 見
チェック・ポイントは、わかりやすいマニュアルの 作 成 に 日 々 取 り 組 んでいます。ご 意 見 やご 要 望 がありましたら、
ぜひ 以 下 の 宛 先 までお 送 りください。
cp_techpub_feedback@checkpoint.com

目 次
ドキュメントに 関 する 情 報 ...................................................................................... 3
ClusterXL について .............................................................................................. 8
ゲートウェイ・クラスタの 必 要 性 .................................................................................... 8
ClusterXL ゲートウェイ・クラスタ・ソリューション ............................................................ 8
ClusterXL の 動 作 ...................................................................................................... 9
クラスタ・コントロール・プロトコル ............................................................................. 9
インストールとサポートされているプラットフォーム ........................................................ 9
ClusterXL ライセンス .................................................................................................. 9
ClusterXL でのクロックの 同 期 .................................................................................. 10
クラスタの 定 義 と 用 語 ............................................................................................... 10
クラスタ 間 での 接 続 情 報 の 同 期 .......................................................................... 11
チェック・ポイントのステート 同 期 ソリューション ............................................................ 11
同 期 ネットワーク .................................................................................................. 11
ステート 同 期 の 動 作 ............................................................................................. 12
同 期 不 要 なサービス ............................................................................................ 12
同 期 の 不 要 なサービスの 設 定 .............................................................................. 12
継 続 時 間 が 制 限 された 同 期 .................................................................................. 13
非 対 称 通 信 ......................................................................................................... 13
非 対 称 通 信 の 例 : TCP 3 ウェイ・ハンドシェーク .................................................... 14
非 対 称 通 信 の 同 期 ............................................................................................... 14
WAN を 介 したクラスタの 同 期 ............................................................................... 15
同 期 クラスタの 制 限 .............................................................................................. 15
ステート 同 期 の 設 定 .................................................................................................. 15
サービスを 非 同 期 に 設 定 する 方 法 ........................................................................ 15
同 期 バージョンと 非 同 期 バージョンの 作 成 ............................................................. 16
継 続 時 間 が 制 限 された 同 期 の 設 定 ....................................................................... 16
対 称 通 信 ........................................................................................................... 17
対 称 通 信 について .................................................................................................... 17
対 称 判 定 機 能 .......................................................................................................... 17
負 荷 共 有 構 成 でのサード・パーティ 製 ピアとの VPN トンネル ....................................... 18
ハブ・アンド・スポーク 型 トポロジでのサード・パーティ 製 ゲートウェイ ................................. 18
対 称 判 定 機 能 の 設 定 ............................................................................................... 19
ハブ・アンド・スポーク 型 トポロジでサード・パーティ 製 ゲートウェイをスポークとして 確 立 する 方 法
............................................................................................................................... 20
ClusterXL における HA と 負 荷 共 有 .................................................................... 21
HA(ハイ・アベイラビリティ)と 負 荷 共 有 について ......................................................... 21
負 荷 共 有 ............................................................................................................. 21
ClusterXL トポロジの 例 ............................................................................................ 22
クラスタ・メンバの IP アドレスの 定 義 ..................................................................... 23
クラスタの 仮 想 IP アドレスの 定 義 ......................................................................... 24
同 期 ネットワーク .................................................................................................. 24
ClusterXL 管 理 ガイド R75.40VS | 4

異 なるサブネット 上 のクラスタ・アドレスの 設 定 ........................................................24
ClusterXL のモード .................................................................................................. 24
負 荷 共 有 マルチキャスト・モード ............................................................................25
負 荷 共 有 ユニキャスト・モード ................................................................................26
HA(ハイ・アベイラビリティ)モード ..........................................................................27
各 モードの 比 較 表 ................................................................................................28
フェイルオーバー ...................................................................................................... 28
フェイルオーバーはいつ 発 生 するか ......................................................................29
ゲートウェイが 復 帰 した 場 合 の 処 理 .......................................................................29
復 帰 したクラスタ・メンバがセキュリティ・ポリシーを 取 得 する 方 法 .............................29
導 入 計 画 における 注 意 事 項 ...................................................................................... 30
HA または 負 荷 共 有 .............................................................................................30
負 荷 共 有 モードの 選 択 .........................................................................................30
IP アドレスの 移 行 ................................................................................................30
ハードウェア 要 件 、 互 換 性 、Cisco の 例 ...................................................................... 30
ClusterXL のハードウェア 要 件 ..............................................................................30
ClusterXL のハードウェアの 互 換 性 ......................................................................32
Cisco Catalyst ルーティング・スイッチの 設 定 例 .....................................................32
チェック・ポイントのソフトウェアの 互 換 性 .................................................................... 33
サポートするオペレーティング・システム ................................................................33
ClusterXL の 互 換 性 (IPS を 除 く) ..........................................................................34
ClusterXL の IPS との 互 換 性 ...............................................................................35
転 送 レイヤ ..........................................................................................................35
クラスタ・トポロジの 設 定 ............................................................................................ 36
ClusterXL の 設 定 .............................................................................................. 37
クラスタ・メンバの 準 備 .............................................................................................. 37
クライアント・マシンのルーティング 設 定 ...................................................................... 38
クラスタ・メンバでの CCP トランスポート・モードの 選 択 ............................................... 38
クラスタ・オブジェクトとメンバの 設 定 .......................................................................... 38
ウィザードの 使 用 .................................................................................................39
クラシック・モードの 設 定 .......................................................................................39
IPv6 に 対 する ClusterXL の HA ................................................................................ 41
ClusterXL の HA .................................................................................................41
IPv6 クラスタの 設 定 .............................................................................................41
OPSEC 認 定 クラスタ 製 品 の 使 用 ........................................................................ 43
OPSEC 認 定 クラスタ 製 品 について ........................................................................... 43
OPSEC 認 定 クラスタ 製 品 の 設 定 .............................................................................. 43
スイッチの 準 備 とルーティングの 設 定 ....................................................................43
クラスタ・メンバ・マシンの 準 備 ...............................................................................43
OPSEC クラスタに 対 する SmartDashboard の 設 定 ..............................................44
OPSEC クラスタにおける CPHA コマンド・ラインの 動 作 ............................................. 45
OPSEC クラスタにおける cphastart コマンドと cphastop コマンド ...........................46
OPSEC クラスタにおける cphaprob コマンド .........................................................46
ゲートウェイ・クラスタの 監 視 とトラブルシューティング ......................................... 47
クラスタの 正 常 動 作 を 確 認 する 方 法 ........................................................................... 47
cphaprob コマンド ................................................................................................47
クラスタの 状 態 監 視 ..............................................................................................48
クラスタ・インタフェースの 監 視 ..............................................................................50
ClusterXL 管 理 ガイド R75.40VS | 5

クリティカル・デバイスの 監 視 ................................................................................ 51
クリティカル・デバイスの 登 録 ................................................................................ 52
ファイルにリストされているクリティカル・デバイスの 登 録 ......................................... 52
クリティカル・デバイスの 登 録 削 除 ......................................................................... 53
ClusterXL へのクリティカル・デバイス 状 態 報 告 ..................................................... 53
cphaprob スクリプトの 例 ...................................................................................... 53
SmartConsole クライアントを 使 用 したクラスタ 状 態 監 視 ............................................. 53
SmartView Monitor ............................................................................................. 53
SmartView Tracker ............................................................................................. 54
ClusterXL 設 定 コマンド ............................................................................................ 56
cphaconf コマンド ................................................................................................ 56
cphastart コマンドと cphastop コマンド .................................................................. 57
フェイルオーバーの 開 始 方 法 .................................................................................... 57
クラスタ・メンバの 停 止 .......................................................................................... 57
クラスタ・メンバの 起 動 .......................................................................................... 57
同 期 の 監 視 (fw ctl pstat) ......................................................................................... 58
同 期 のトラブルシューティング .................................................................................... 60
cphaprob [-reset] syncstat の 概 要 ....................................................................... 60
cphaprob [-reset] syncstat の 出 力 ....................................................................... 60
同 期 のトラブルシューティング・オプション ............................................................... 67
ClusterXL のエラー・メッセージ ................................................................................. 69
ClusterXL の 一 般 的 なエラー・メッセージ ............................................................... 69
SmartView Tracker のアクティブ・モード・メッセージ .............................................. 70
同 期 関 連 のエラー・メッセージ ............................................................................... 70
TCP Out-of-State エラー・メッセージ ..................................................................... 71
プラットフォーム 固 有 のエラー・メッセージ ............................................................... 72
メンバの 再 起 動 の 失 敗 ............................................................................................. 72
ClusterXL の 高 度 な 設 定 .................................................................................... 74
VPN とクラスタの 使 用 .............................................................................................. 74
VPN とクラスタの 設 定 .......................................................................................... 74
別 の Security Management サーバでの VPN ピア・クラスタの 定 義 ........................ 75
NAT とクラスタの 使 用 .............................................................................................. 75
クラスタのフォールドとクラスタの 隠 蔽 .................................................................... 75
ゲートウェイ・クラスタ 上 での NAT 設 定 .................................................................. 75
クラスタ・メンバ 上 での NAT 設 定 .......................................................................... 76
VLAN とクラスタの 使 用 ............................................................................................ 76
ClusterXL の VLAN サポート ................................................................................ 76
同 一 VLAN への 複 数 クラスタの 接 続 ..................................................................... 76
インタフェースのリンク 状 態 監 視 ................................................................................ 78
インタフェースのリンク 状 態 監 視 の 有 効 化 .............................................................. 79
リンク・アグリゲーションとクラスタ .............................................................................. 79
概 要 .................................................................................................................... 79
リンク・アグリゲーション - HA モード ...................................................................... 80
リンク・アグリゲーション - 負 荷 共 有 モード ............................................................. 84
インタフェース・ボンディングでの VLAN の 定 義 ...................................................... 86
リンク・アグリゲーションのためのパフォーマンス・ガイドライン ................................. 86
インタフェース・ボンディング 用 の ClusterXL のコマンド ........................................... 87
ボンディングされたインタフェースのトラブルシューティング ...................................... 88
高 度 なクラスタ 設 定 .................................................................................................. 89
ゲートウェイ 設 定 パラメータの 設 定 方 法 ................................................................. 89
ゲートウェイを 起 動 時 に 有 効 にする 設 定 方 法 ......................................................... 90
6 | ClusterXL 管 理 ガイド R75.40VS

モジュール 変 数 の IPSO 6.1 以 降 での 設 定 ...........................................................90
クラスタリング・タイマと 同 期 タイマの 制 御 ...............................................................90
高 負 荷 状 態 での 新 しい 接 続 の 遮 断 .......................................................................91
SmartView Tracker のアクティブ・モードの 使 用 .....................................................92
処 理 待 ちパケット 数 の 削 減 ...................................................................................92
完 全 同 期 詳 細 オプションの 設 定 ............................................................................92
Disconnected インタフェースの 定 義 .......................................................................... 93
Unix での Disconnected インタフェースの 定 義 ......................................................93
Windows での Disconnected インタフェースの 定 義 ...............................................93
ポリシー 更 新 タイムアウトの 設 定 ............................................................................... 93
TCP3 ウェイ・ハンドシェーク 実 施 の 強 化 .................................................................... 94
異 なるサブネット 上 のクラスタ・アドレスの 設 定 ............................................................ 94
異 なるサブネット 上 のクラスタ・アドレスについて .....................................................94
異 なるサブネット 上 のクラスタ・アドレスの 設 定 ........................................................94
異 なるサブネット 上 のクラスタ・アドレスの 例 ...........................................................95
異 なるサブネット 上 のクラスタ・アドレスの 制 限 事 項 .................................................96
単 一 ゲートウェイから ClusterXL クラスタへの 移 行 ..................................................... 98
単 一 ゲートウェイ・マシンの 設 定 ............................................................................98
マシン「B」の 設 定 .................................................................................................98
マシン「B」に 対 する SmartDashboard での 設 定 ....................................................98
マシン「A」の 設 定 .................................................................................................98
マシン「A」に 対 する SmartDashboard での 設 定 ....................................................99
既 存 クラスタへの 別 メンバの 追 加 .............................................................................. 99
クラスタの ISP 冗 長 性 の 設 定 .................................................................................... 99
クラスタ 構 成 でのダイナミック・ルーティング・プロトコルの 有 効 化 ................................ 100
システムのコンポーネント ................................................................................... 100
ClusterXL のダイナミック・ルーティング ............................................................... 101
HA Legacy モード ............................................................................................ 102
HA Legacy モードについて ..................................................................................... 102
Legacy モード 構 成 の 例 .......................................................................................... 102
共 有 インタフェースの IP アドレスと MAC アドレスの 設 定 ...................................... 103
同 期 インタフェース ............................................................................................. 103
導 入 計 画 時 の 注 意 事 項 .......................................................................................... 103
IP アドレスの 移 行 .............................................................................................. 103
Security Management サーバの 場 所 ................................................................. 103
ルーティングの 設 定 ............................................................................................ 103
スイッチ(レイヤ 2 転 送 )に 関 する 注 意 事 項 .......................................................... 104
HA Legacy モードの 設 定 ........................................................................................ 104
ルーティングの 設 定 ............................................................................................ 104
SmartDashboard の 設 定 ................................................................................... 104
HA Legacy モードからの 移 行 ( 簡 易 的 方 法 ) ............................................................ 106
ゲートウェイでの 設 定 ......................................................................................... 106
SmartDashboard からの 設 定 ............................................................................. 107
HA Legacy モードからの 移 行 (ダウンタイムを 最 小 限 にする 方 法 ) ............................. 107
cphaprob スクリプトの 例 ................................................................................... 109
関 連 情 報 ............................................................................................................... 109
clusterXL_monitor_process スクリプト .................................................................... 109
ClusterXL 管 理 ガイド R75.40VS | 7

第 1 章
ClusterXL について
この 章 の 構 成
ゲートウェイ・クラスタの 必 要 性 8
ClusterXL ゲートウェイ・クラスタ・ソリューション 8
ClusterXL の 動 作 9
インストールとサポートされているプラットフォーム 9
ClusterXL ライセンス 9
ClusterXL でのクロックの 同 期 10
クラスタの 定 義 と 用 語 10
ゲートウェイ・クラスタの 必 要 性
ゲートウェイと VPN の 接 続 は、ビジネスに 欠 かせないデバイスです。セキュリティ・ゲートウェイや VPN 接 続 に 障 害
が 発 生 すると、 有 効 な 接 続 が 切 断 され、 重 要 なデータへのアクセスを 失 う 原 因 となります。 組 織 と 外 部 との 間 のゲー
トウェイは、どのような 状 況 においても 常 に 動 作 している 必 要 があります。
ClusterXL ゲートウェイ・クラスタ・ソリューション
ClusterXL クラスタは、Check Point Security Gateway が 同 じグループになったもので、1 台 が 故 障 するともう 1 台
がすぐに 置 き 換 わるように 接 続 されています。
ClusterXL は、ソフトウェア・ベースの 負 荷 共 有 および HA ソリューションです。 冗 長 構 成 の Security Gateway のクラ
スタ 間 にネットワーク・トラフィックを 分 散 し、クラスタ 内 のマシン 間 で 透 過 的 にフェイルオーバーを 行 います。
HA クラスタは、 障 害 が 起 きた 場 合 、 透 過 的 なフェイルオーバーをバックアップ・ゲートウェイに 供 給 するこ
とによって、ゲートウェイと VPN に 冗 長 性 を 確 保 します。
負 荷 共 有 のクラスタは 信 頼 性 を 提 供 し、すべてのクラスタ・メンバがアクティブな 場 合 には、 性 能 を 向 上 さ
せます。
8 | ClusterXL 管 理 ガイド R75.40VS

ClusterXL の 動 作
ClusterXL は、クラスタ・メンバに 対 しては 固 有 の 物 理 IP アドレスと MAC アドレスを 使 用 し、クラスタ 自 身 を 表 すには
仮 想 IPアドレスを 使 用 します。 仮 想 IPアドレスは、 実 際 のマシン・インタフェース( 後 述 する High Availability Legacy
モードを 除 く)に 属 しません。
ClusterXL は、 各 クラスタ・メンバが、ほかのメンバを 経 由 する 接 続 を 認 識 できるようにして、 不 具 合 があってもデータ
が 失 われないようにするためのインフラストラクチャを 提 供 します。クラスタ・メンバ 間 の 接 続 およびその 他 の
Security Gateway の 状 態 について 情 報 をやり 取 りすることを「ステート 同 期 」と 呼 びます。
Security Gateway クラスタはまた、OPSEC 認 定 の HA および 負 荷 共 有 の 製 品 を 使 用 して 構 築 できます。OPSEC
認 定 のクラスタ 製 品 は、ClusterXL と 同 じステート 同 期 インフラストラクチャを 使 用 します。
注 - このガイドは、Security Gateway モードにおける ClusterXL のみについて 言 及 しています。
VSX モードの 詳 細 は、『R75.40VS VSX Administration Guide』
(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
クラスタ・コントロール・プロトコル
クラスタ・コントロール・プロトコル(CCP)は、Check Point Gateway Cluster 内 のマシンを 互 いにリンクします。CCP
トラフィックは 通 常 のネットワーク・トラフィックとは 区 別 され、ネットワーク・スニッファを 使 用 して 表 示 できます。
CCP は UDP ポート 8116 上 で 動 作 し、 以 下 の 機 能 があります。
keep-alive パケットを 送 信 して、クラスタ・メンバが 自 分 自 身 の 状 態 を 報 告 し、ほかのメンバの 状 態 を 把 握
できるようにする 機 能 (ClusterXL クラスタ 利 用 時 のみ)
ステート 同 期
Check Point CCP は、OPSEC クラスタのみならず、 全 ての ClusterXL モードでも 使 用 されます。しかし、このプロト
コルによって 実 行 されるタスクとタスクの 実 施 方 法 は、クラスタのタイプによって 異 なる 可 能 性 があります。
注 - CCP を 許 可 するセキュリティ・ポリシー・ルール・ベースにルールを 追 加 する 必 要 はあり
ません。
インストールとサポートされているプラットフォーム
ClusterXL は、SmartCenter サーバとクラスタ・メンバが 別 のマシン 上 にある 分 散 構 成 にインストールする 必 要 が
あります。ClusterXL は Security Gateway 標 準 インストールの 一 部 です。
インストール 方 法 については『R75.40VS Installation and Upgrade Guide』
(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
ClusterXL のサポート・プラットフォームについては『R75.40VS Release Notes』
(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
ClusterXL ライセンス
HA 用 に ClusterXL を 使 用 する 場 合 、 構 成 の 各 ゲートウェイは、 通 常 のゲートウェイ・ライセンスを 持 つ 必 要 があり、
管 理 マシンは 各 クラスタにライセンスを 定 義 する 必 要 があります。
負 荷 共 有 用 に ClusterXL を 使 用 する 場 合 、 構 成 の 各 ゲートウェイは、 通 常 のゲートウェイ・ライセンスを 持 つ 必 要 が
あり、 管 理 マシンは 各 クラスタにライセンスを 定 義 し、さらに Cluster-1 のプリミティブ・ライセンスが 1 つ 必 要 です。
クラスタに 含 まれているゲートウェイの 数 は 重 要 ではありません。 適 切 なライセンスがインストールされていない 場 合 、
インストール・ポリシーの 操 作 は 失 敗 します。
ライセンスの 詳 細 は、チェック・ポイントのサポート・センター(http://usercenter.checkpoint.com)を 参 照 してく
ださい。
ClusterXL 管 理 ガイド R75.40VS | 9

ClusterXL でのクロックの 同 期
ClusterXL を 使 用 する 場 合 、クラスタ・メンバのすべてのクロックを 同 期 してください。 手 作 業 で 設 定 するか、NTP な
どのプロトコルを 使 用 して 同 期 させることができます。VPN などの 機 能 は、すべてのクラスタ・メンバのクロックが 同
期 している 場 合 にのみ 正 常 に 動 作 します。
クラスタの 定 義 と 用 語
ゲートウェイ・クラスタ、ハイ・アベイラビリティ、 負 荷 共 有 に 関 連 する 用 語 の 意 味 は、ベンダーによって 異 なる 場 合 が
あります。チェック・ポイントでは、クラスタについて 説 明 する 際 には、 以 下 の 定 義 と 用 語 を 使 用 します。
アクティブ・アップ - アクティブであった HA マシンに 障 害 が 発 生 し、そのマシンが 再 び 使 用 可 能 になった 場 合 、アク
ティブ・マシンとしてではなく、クラスタ 内 のスタンバイ・マシンの 1 つとしてクラスタに 復 帰 します。
クラスタ - 負 荷 共 有 または HA を 提 供 するために 一 緒 に 動 作 する 複 数 のマシンで 構 成 されるグループ。
クリティカル・デバイス - 管 理 者 が、クラスタ・メンバの 動 作 にとって 重 要 と 定 義 したデバイス。クリティカル・デバイス
は 問 題 通 知 (pnote)とも 呼 ばれます。クリティカル・デバイスは 常 時 監 視 されます。クリティカル・デバイスが 動 作 を
停 止 した 場 合 、デバイスの 障 害 と 見 なされます。デバイスは、ハードウェアでもプロセスでも 構 いません。fwd プロセ
スと cphad プロセスは、デフォルトでクリティカル・デバイスとして 事 前 に 定 義 されています。セキュリティ・ポリシーも
クリティカル・デバイスとして 事 前 に 定 義 されています。 管 理 者 は、cphaprob コマンドを 使 用 してクリティカル・デバ
イスの 一 覧 に 追 加 できます。
障 害 - マシンがパケットをフィルタリングできなくなる 原 因 となるハードウェアまたはソフトウェアの 問 題 。アクティブな
マシンに 障 害 が 発 生 すると、フェイルオーバーが 発 生 します。
フェイルオーバー - クラスタ 内 で、 障 害 が 発 生 したマシンに 代 わって、 別 のマシンがパケットのフィルタリングを 引 き
継 ぐこと。
ハイ・アベイラビリティ(HA) - 障 害 が 発 生 した 場 合 に、クラスタ 内 の 別 マシンに 接 続 を 引 き 継 がせることによって 接
続 を 維 持 する 機 能 。パケットのフィルタリングを 行 うのはアクティブ・マシンのみです。クラスタ 内 の 1 つのマシンがア
クティブ・コンピュータとして 設 定 されます。アクティブ・マシンで 障 害 が 発 生 した 場 合 、クラスタ 内 のほかのマシンの 1
つがその 処 理 を 引 き 継 ぎます。
ホット・スタンバイ - アクティブ/スタンバイとも 呼 ばれます。HA と 同 じ 意 味 を 持 ちます。
負 荷 共 有 - 負 荷 共 有 のゲートウェイ・クラスタでは、クラスタにあるすべてのマシンがパケットをフィルタにかけます。
負 荷 共 有 は HA を 実 現 し、 障 害 が 発 生 した 場 合 、クラスタ 内 のほかのマシンに 透 過 的 なフェイルオーバーを 行 い、 信
頼 性 とパフォーマンスを 向 上 させます。 負 荷 共 有 はアクティブ/アクティブとも 呼 ばれます。
マルチキャスト 負 荷 共 有 - ClusterXL の 負 荷 共 有 マルチキャスト・モードでは、クラスタのすべてのメンバが、クラス
タ IP アドレスに 送 信 されたすべてのパケットを 受 信 します。ルータまたはレイヤ 3 スイッチは、マルチキャストを 使 用
してパケットをすべてのクラスタ・メンバに 転 送 します。すべてのクラスタ・メンバ 上 にある ClusterXL 決 定 アルゴリズ
ムによって、パケットに 対 してエンフォースメント 処 理 を 行 うクラスタ・メンバが 決 定 されます。
ユニキャスト 負 荷 共 有 - ClusterXL の 負 荷 共 有 ユニキャスト・モードでは、1 台 のマシン(ピボット)がすべてのトラフィ
ックをユニキャスト 設 定 でルータから 受 信 し、パケットをクラスタ 内 にあるほかのマシンに 再 配 分 します。ピボット・マ
シンは、ClusterXL によって 自 動 的 に 選 択 されます。
10 | ClusterXL 管 理 ガイド R75.40VS

第 2 章
クラスタ 間 での 接 続 情 報 の 同 期
この 章 の 構 成
チェック・ポイントのステート 同 期 ソリューション 11
ステート 同 期 の 設 定 15
チェック・ポイントのステート 同 期 ソリューション
ファイアウォールに 障 害 が 発 生 すると、 組 織 と 外 部 との 接 続 は 直 ちに 切 断 されます。 金 融 取 引 など、これらの 接 続 の
多 くはミッション・クリティカルであり、これらが 切 断 されると 重 要 なデータが 失 われてしまいます。ClusterXL は、 各 ゲ
ートウェイ・クラスタ・メンバがほかのメンバを 経 由 する 接 続 を 認 識 できるようにして、 障 害 が 発 生 してもデータが 失 わ
れないインフラストラクチャを 提 供 します。 接 続 とほかの Security Gateway の 状 態 に 関 する 情 報 をクラスタ・メンバ
間 で 受 け 渡 すことを「ステート 同 期 」を 呼 びます。
Security Gateway によって 認 識 されるすべての IP ベースのサービス(TCP や UDP を 含 む)は 同 期 されます。
ステート 同 期 は、ClusterXL ソリューションとサード・パーティの OPSEC 認 定 クラスタ 製 品 の 両 方 で 使 用 されます。
ClusterXL 負 荷 共 有 構 成 内 のマシンは 同 期 させる 必 要 があります。ClusterXL HA(ハイ・アベイラビリティ) 構 成 内
のマシンは 同 期 させる 必 要 はありませんが、 同 期 していないとフェイルオーバー 時 に 接 続 が 失 われます。
同 期 ネットワーク
同 期 ネットワークは、 接 続 とクラスタ・メンバ 間 のほかの Security Gateway の 状 態 に 関 する 同 期 情 報 を 転 送 する 際
に 使 用 します。
同 期 ネットワークは 最 も 重 要 なセキュリティ・ポリシー 情 報 を 組 織 内 に 送 信 するため、 悪 質 な 脅 威 および 不 意 の 脅 威
にさらされないように 保 護 する 必 要 があります。 次 の 方 法 のうち 1 つを 実 行 して 同 期 インタフェースを 保 護 することを
お 勧 めします。
専 用 の 同 期 ネットワークを 使 用 する。
クロスケーブルを 使 用 して、クラスタ・メンバの 物 理 ネットワーク・インタフェースを 直 接 接 続 する。3 つ 以 上
のメンバを 含 むクラスタでは、 専 用 のハブまたはスイッチを 使 用 してください。
注 - WAN を 介 してメンバを 同 期 することが 可 能 です。 詳 細 については、15ページの「WAN を
介 したクラスタの 同 期 」を 参 照 してください。
これらの 推 奨 方 法 に 従 うことによって、ほかのネットワークが 同 期 情 報 を 送 信 しないため、 同 期 ネットワークの 安 全
性 が 保 証 されます。
バックアップのために 複 数 の 同 期 ネットワークを 定 義 できます。バックアップも 専 用 ネットワークにすることをお 勧 めし
ます。
Cluster XL では、 同 期 ネットワークは VLAN インタフェースの 最 も 小 さい VLAN タグでサポートされます。たとえば、
タグ 10、20、および 30 の 3 つの VLAN がインタフェース eth1 に 構 成 されている 場 合 には、インタフェース eth1.10
が 同 期 に 使 用 され 非 対 称 の 通 信 の 同 期
ます。
ClusterXL 管 理 ガイド R75.40VS | 11

ステート 同 期 の 動 作
同 期 は 以 下 の 2 つのモードで 動 作 します。
完 全 同 期 では、クラスタ・メンバ 間 ですべての Security Gateway カーネル・テーブル 情 報 が 転 送 されます。
完 全 同 期 は、 暗 号 化 された TCP 接 続 を 使 用 して、fwd デーモンによって 処 理 されます。
差 分 同 期 では、クラスタ・メンバ 間 でカーネル・テーブルの 変 更 情 報 が 転 送 されます。 差 分 同 期 は、ポート
8116 で UDP マルチキャストまたはブロードキャストを 使 用 して、Security Gateway カーネルによって 処
理 されます。
完 全 同 期 は、 何 千 もの 接 続 について、 状 態 情 報 の 初 期 転 送 に 使 用 されます。クラスタ・メンバがダウン 後 に 起 動 した
場 合 、 完 全 同 期 を 実 行 します。すべてのメンバが 同 期 したら、 更 新 情 報 のみが 差 分 同 期 によって 転 送 されます。 差
分 同 期 は 完 全 同 期 より 遥 かに 高 速 です。
ステート 同 期 トラフィックは 通 常 、すべてのクラスタ・コントロール・プロトコル(CCP)トラフィックの 約 90 %を 占 めます。
ステート 同 期 パケットは、UDP データ・ヘッダ 内 の opcode によって 残 りの CCP トラフィックと 区 別 されます。
注 - CCP パケットの 送 信 元 MAC アドレスは 変 更 できます。
同 期 不 要 なサービス
ゲートウェイ・クラスタ 内 では、 通 常 、すべてのクラスタ・メンバに 対 するすべての 接 続 がクラスタ 間 で 同 期 されます。
ゲートウェイ・クラスタを 通 るすべてのサービスが 同 期 されなくても 構 いません。
TCP、UDP、その 他 の 種 類 のサービスを 同 期 しないように 指 定 できます。デフォルトでは、これらのサー
ビスはすべて 同 期 されます。
VRRP と IPクラスタ・コントロール・プロトコル、および IGMP プロトコルは、デフォルトでは 同 期 されません
(これらのプロトコルに 対 して 同 期 をオンにすることはできます)。クラスタ・メンバ 間 のみで 実 行 しているプ
ロトコルは、 同 期 させる 必 要 はありません。 同 期 させることは 可 能 ですが、 同 期 するようにクラスタを 設 定
しても 利 点 がありません。 同 期 情 報 はフェイルオーバーの 際 には 役 立 たないため、この 場 合 は 関 係 あり
ません。したがって、IGMP、VRRP、IP クラスタリング、その 他 の OPSEC クラスタ・コントロール・プロトコ
ルは、デフォルトでは 同 期 されません。
ブロードキャストとマルチキャストは 同 期 されず、また 同 期 することができません。
サービスに 対 して 同 期 サービス 定 義 と 非 同 期 サービス 定 義 の 両 方 を 設 定 し、ルール・ベースで 選 択 的 に 定 義 を 使 用
できます。
同 期 の 不 要 なサービスの 設 定
同 期 を 行 うには、パフォーマンスに 多 少 の 負 荷 がかかります。 以 下 の 条 件 が 当 てはまる 場 合 、サービスを 同 期 しな
いように 設 定 できます。
クラスタを 通 っているトラフィックの 大 部 分 が 特 定 のサービスを 使 用 します。サービスを 同 期 しないようにすると、
同 期 トラフィックの 量 が 減 るため、クラスタ・パフォーマンスが 向 上 します。
通 常 、サービスは 短 時 間 の 接 続 を 行 い、 接 続 が 失 われたかどうかが 通 知 されません。DNS(UDP 上 )と HTTP
は 通 常 、ほとんどの 接 続 に 関 係 していますが、 非 常 に 寿 命 が 短 く、アプリケーション・レベルで 接 続 を 回 復 でき
ます。FTP などの、 一 般 的 に 長 時 間 の 接 続 を 確 立 するサービスは、 必 ず 同 期 させる 必 要 があります。
すべての 接 続 に 対 して 双 方 向 対 称 性 を 保 証 する 構 成 では、(HA を 維 持 するためだけに) 同 期 を 行 う 必 要 はあ
りません。そのような 構 成 には 以 下 が 含 まれます。
HA モードのクラスタ( 例 : ClusterXL New HA または IPSO VRRP)
非 暗 号 化 接 続 での 負 荷 共 有 モードの ClusterXL(VPN またはスタティック NAT を 除 く)
完 全 対 称 性 を 保 証 する OPSEC クラスタ(OPSEC クラスタのマニュアルを 参 照 )
負 荷 共 有 モードで ClusterXL クラスタを 通 過 する VPN とスタティック NAT 接 続 (マルチキャストまたはユニ
キャスト)は 双 方 向 の 対 称 性 を 維 持 しません。このような 環 境 では、ステート 同 期 をオンにする 必 要 があります。
12 | ClusterXL 管 理 ガイド R75.40VS

継 続 時 間 が 制 限 された 同 期
一 部 の TCP サービス(HTTPなど)には、 継 続 時 間 が 非 常 に 短 いという 特 徴 があります。これらの 接 続 を 同 期 化 する
と、ゲートウェイ・リソースを 消 費 しフェイルオーバーが 発 生 する 時 までに 接 続 が 終 了 してしまうため、 同 期 化 は 意 味
がありません。
GUI で 定 義 される[Protocol Type]が[HTTP]または[None]のすべての TCP サービスの 場 合 には、このオプション
を 使 用 して Security Gateway への 接 続 情 報 の 通 知 を 遅 らせ、 接 続 開 始 x 秒 後 に 接 続 がまだ 存 在 する 場 合 にのみ
接 続 を 同 期 するように 設 定 できます。この 機 能 を 使 用 するには、「Delayed Notifications」をサポートする SecureXL
デバイスと Performance Pack with ClusterXL LS Multicast などの 最 新 のクラスタ 構 成 が 必 要 です。
この 機 能 は、SecureXL 対 応 デバイスが、 接 続 が 通 過 する Security Gateway にインストールされている 場 合 にのみ
使 用 可 能 です。
接 続 テンプレートが ClusterXL 対 応 デバイスからオフロードされていない 場 合 、この 設 定 は 無 視 されます。 詳 細 につ
いては、SecureXL のマニュアルを 参 照 してください。
非 対 称 通 信
すべてのパケットが 1 つのクラスタ・メンバにより 処 理 される 場 合 、 通 信 は「 対 称 」であると 呼 ばれます。 非 対 称 通 信
では、 返 信 パケットは 元 のパケットと 別 のゲートウェイを 経 由 して 返 される 場 合 があります。
同 期 メカニズムでは、 非 対 称 通 信 を 適 切 に 処 理 できます。 非 対 称 通 信 では、クラスタ・メンバ・ゲートウェイは
out-of-state パケットを 受 信 できます。ただし、 一 般 的 に out-of-state パケットにはセキュリティ・リスクがあるため、
Security Gateway はこのパケットを 廃 棄 します。
負 荷 共 有 構 成 ではすべてのクラスタ・メンバがアクティブで、スタティック NAT 接 続 と 暗 号 化 接 続 では 発 信 元 IP アド
レスと 宛 先 IP アドレスが 変 更 されます。したがって、 負 荷 共 有 クラスタを 経 由 するスタティック NAT 接 続 と 暗 号 化 接
続 は、 非 対 称 になることがあります。 非 対 称 性 は Hide NAT でも 発 生 する 可 能 性 がありますが、ClusterXL はそれら
を 正 しく 処 理 するメカニズムを 備 えています。
ハイ・アベイラビリティ(HA) 構 成 では、すべてのパケットがアクティブなマシンに 到 達 するため、 非 対 称 通 信 は 発 生 し
ません。 通 信 の 確 立 中 にフェイルオーバーが 発 生 した 場 合 、 通 信 は 失 われますが、 同 期 は 後 で 実 行 できます。
ほかのメンバが 非 対 称 通 信 について 知 らない 場 合 には、パケットは out-of-state となり、 通 信 はセキュリティ 上 の 理
由 から 切 断 されます。ただし、 同 期 メカニズムにより、ほかのメンバに 通 信 を 通 知 できます。したがって、 同 期 メカニ
ズムは、 有 効 であるが 非 対 称 の 通 信 で out-of-state パケットが 発 生 するのを 防 ぎ、これらの 非 対 称 通 信 が 許 可 され
ます。
ネットワーク 管 理 者 が、 返 信 パケットが 元 のパケットと 別 のゲートウェイを 経 由 して 返 される 非 対 称 ルーティングを 設
定 した 場 合 にも、 非 対 称 通 信 が 発 生 します。
ClusterXL 管 理 ガイド R75.40VS | 13

非 対 称 通 信 の 例 : TCP 3 ウェイ・ハンドシェーク
すべての TCP 接 続 を 開 始 する 3 ウェイ・ハンドシェークは、 多 くの 場 合 、 非 対 称 ( 非 対 称 ルーティング) 通 信 になりま
す。 以 下 の 状 況 が 発 生 する 可 能 性 があります。
クライアント A は SYN パケットをサーバ B に 送 信 して 接 続 を 開 始 します。SYN はゲートウェイ C を 経 由 しますが、
SYN/ACK 応 答 はゲートウェイ D を 経 由 して 返 されます。これは、 返 答 パケットが 元 のパケットと 異 なるゲートウェイを
経 由 して 返 されるため、 非 対 称 通 信 です。
ゲートウェイ D には、 同 期 ネットワーク 経 由 で 通 知 されます。サーバ B から 送 信 された SYN/ACK パケットがゲート
ウェイ D に 届 く 前 にこのマシンが 更 新 された 場 合 は、 通 信 は 正 常 に 処 理 されます。 同 期 が 遅 れ、SYN フラグが 更 新
される 前 に SYN/ACK パケットがゲートウェイ D で 受 信 された 場 合 は、ゲートウェイは SYN/ACK パケットを
out-of-state として 処 理 し、 通 信 を 切 断 します。
この 問 題 には、 高 度 な 3 ウェイ TCP ハンドシェークの 実 施 を 設 定 して 対 応 することができます(94ページの「 高 度 な 3
ウェイ TCP ハンドシェークの 実 施 」を 参 照 )。
非 対 称 通 信 の 同 期
同 期 メカニズムは、 有 効 であるが 非 対 称 の 通 信 で、out-of-state パケットの 発 生 を 防 ぎます。すべての TCP データ 通
信 を 開 始 する 3 ウェイ・ハンドシェークの 例 を 参 考 にすると、 同 期 メカニズムの 処 理 方 法 を 理 解 できます。3 ウェイ・ハ
ンドシェークは 以 下 のように 行 われます。
1. SYN(クライアントからサーバへ)
2. SYN/ACK(サーバからクライアントへ)
3. ACK(クライアントからサーバへ)
4. データ(クライアントからサーバへ)
out-of-state パケットの 発 生 を 防 ぐために、 以 下 のシーケンス(「Flush and Ack」と 呼 ばれます)が 発 生 します。
1. クラスタ・メンバは 接 続 の 最 初 のパケット(SYN)を 受 信 します。
2. 通 信 が 非 対 称 でないかを 確 認 します。
3. SYN パケットを 保 持 します。
4. すべてのクラスタ・メンバに(このパケットに 関 するすべての 変 更 を 含 む) 保 持 中 の 同 期 アップデートを 送 信 します。
5. ほかのすべてのクラスタ・メンバが、SYN パケット 内 の 情 報 に 対 して 肯 定 応 答 するのを 待 ちます。
6. 保 持 中 の SYN パケットを 解 放 します。
7. すべてのクラスタ・メンバが SYN-ACK に 対 してレディになります。
14 | ClusterXL 管 理 ガイド R75.40VS

WAN を 介 したクラスタの 同 期
組 織 では、 物 理 的 に 離 れた 場 所 にあるクラスタ・メンバを 検 索 する 必 要 がある 場 合 があります。 典 型 的 な 例 が、 障 害
回 復 のために 遠 隔 地 に 配 置 された 複 製 用 のデータ・センターです。そのような 設 定 においては、クロス・ケーブルを
同 期 ネットワークとして 使 用 するのは 明 らかに 実 行 不 可 能 です。
同 期 ネットワークはリモート・サイトに 拡 大 できるため、 地 理 的 に 分 散 したクラスタを 簡 単 に 導 入 できます。この 機 能
には 以 下 の 2 つの 制 限 があります。
1. 同 期 ネットワークは、100 ms 以 下 の 待 ち 時 間 と 5% 以 下 のパケット・ロスを 保 証 する 必 要 があります。
2. 同 期 ネットワークにはスイッチとハブのみを 含 めることができます。ルータはクラスタ・コントロール・プロトコル・
パケットを 廃 棄 するため、 同 期 ネットワークでは 使 用 できません。
地 理 的 に 分 散 したクラスタを 監 視 してトラブシューティングを 実 行 するには、コマンド・ラインを 使 用 できます(60ペー
ジの「 同 期 のトラブルシューティング」を 参 照 )。
同 期 クラスタの 制 限
クラスタ・メンバの 同 期 には 以 下 の 制 限 があります。
同 じプラットフォーム 上 で 実 行 されているクラスタ・メンバのみを 同 期 させることができます。
すべてのクラスタ・メンバは 同 じチェック・ポイントのソフトウェア・バージョンを 使 用 する 必 要 があります。
クラスタ・メンバを 通 過 するユーザ 認 証 接 続 は、クラスタ・メンバがダウンすると 失 われます。 同 期 している
ほかのクラスタ・メンバは 接 続 を 再 開 できません。
ただし、クライアント 認 証 接 続 またはセッション 認 証 接 続 は 失 われません。
このような 制 限 は、ユーザ 認 証 状 態 が Security Server で 保 持 され、これがプロセスであるために、マシ
ン 間 でのカーネル・データの 同 期 と 同 様 には 同 期 ができないことによるものです。ただし、セッション 同 期
とクライアント 同 期 の 状 態 はカーネル・テーブルに 保 存 されるため、 同 期 させることができます。
「リソース」を 使 用 する 接 続 の 状 態 は Security Server で 維 持 されるため、ユーザ 認 証 接 続 を 同 期 させる
ことができないのと 同 じ 理 由 でこれらの 接 続 は 同 期 させることができません。
アカウンティング 情 報 は 各 クラスタ・メンバに 蓄 積 され、 個 別 に Security Management サーバに 送 信 、 集
計 されます。フェイルオーバーの 場 合 、 障 害 が 発 生 したメンバに 蓄 積 されたが、Security Management
サーバに 送 信 されなかったアカウンティング 情 報 は 失 われます。この 問 題 を 最 小 限 にするには、アカウン
ティング 情 報 を「フラッシュする」 期 間 を 短 くできます。これを 実 行 するには、クラスタ・オブジェクトの[Logs
and Masters]→[Additional Logging]ページで[Update Account Log every:] 属 性 を 設 定 します。
ステート 同 期 の 設 定
ClusterXL と OPSEC 認 定 クラスタ 製 品 の 設 定 プロセスの 一 部 として、ステート 同 期 を 設 定 します。 以 下 の 手 順 でス
テート 同 期 の 設 定 をします。
1. ゲートウェイ・クラスタの 同 期 ネットワークのセットアップ
2. Security Gateway のインストールと、 設 定 段 階 での 同 期 機 能 の 有 効 化
3. クラスタ・オブジェクトの[ClusterXL]ページでステ―ト 同 期 を 有 効 化
設 定 手 順 については、「ClusterXL」(37ページの「ClusterXL の 設 定 」)のセクションと「OPSEC 認 定 クラスタ 製 品 」
(43ページの「OPSEC 認 定 クラスタ 製 品 の 設 定 」)のセクションを 参 照 してください。
サービスを 非 同 期 に 設 定 する 方 法
サービスを 非 同 期 に 設 定 するには
1. オブジェクト・ツリーの[Services]ブランチで、 同 期 させたくない TCP、UDP、またはその 他 のサービスをダブル
クリックします。
ClusterXL 管 理 ガイド R75.40VS | 15

2. [Service Properties]ウィンドウで[Advanced]をクリックして[Advanced Services Properties]ウィンドウを 表
示 します。
3. [Synchronize connections on the cluster]チェック・ボックスをオフにします。
同 期 バージョンと 非 同 期 バージョンの 作 成
サービスに 対 して 同 期 サービス 定 義 と 非 同 期 サービス 定 義 の 両 方 を 設 定 し、セキュリティ・ルール・ベースで 選 択 的
に 定 義 を 使 用 できます。
1. 新 しい TCP、UDP、およびその 他 のサービスを 定 義 します。 既 存 のサービスと 異 なる 名 前 を 付 けます。
2. 既 存 のサービスのすべての 定 義 を、 新 しいサービスの[Advanced Service Properties]ウィンドウにコピーしま
す。
3. 新 しいサービスで[Advanced]をクリックして、[Advanced Services Properties]ウィンドウを 表 示 します。
4. 既 存 のサービスのすべての 定 義 を、 新 しいサービスの[Advanced Service Properties]ウィンドウにコピーしま
す。
5. 既 存 のサービスの 設 定 と 異 なるように、 新 しいサービスの[Synchronize connections on the cluster]を 設 定 し
ます。
継 続 時 間 が 制 限 された 同 期 の 設 定
継 続 時 間 が 制 限 された 同 期 の 設 定 を 行 う 前 に、まず 基 本 的 な 情 報 を 理 解 しておいてください(13ページの「 継 続 時
間 が 制 限 された 同 期 」)。
注 - この 機 能 は HTTP ベースのサービスに 限 られているため、[Start synchronizing]チェッ
ク・ボックスのオプションは、ほかのサービスでは 表 示 されません。
継 続 時 間 が 制 限 された 同 期 の 設 定 方 法
1. オブジェクト・ツリーの[Services]ブランチで、 同 期 させる TCP、UDP、またはその 他 のサービスをダブルクリッ
クします。
2. [Service Properties]ウィンドウで[Advanced]をクリックして[Advanced Services Properties]ウィンドウを 表
示 します。
3. [Start synchronizing x seconds after connection initiation]を 選 択 します。
4. 接 続 開 始 後 、[seconds]フィールドに 同 期 を 遅 らせる 秒 数 を 入 力 するか、リストから 秒 数 を 選 択 します。
16 | ClusterXL 管 理 ガイド R75.40VS

第 3 章
対 称 通 信
この 章 の 構 成
対 称 通 信 について 17
対 称 判 定 機 能 17
負 荷 共 有 構 成 でのサード・パーティ 製 ピアとの VPN トンネル 18
ハブ・アンド・スポーク 型 トポロジでのサード・パーティ 製 ゲートウェイ 18
対 称 判 定 機 能 の 設 定 19
ハブ・アンド・スポーク 型 トポロジでサード・パーティ 製 ゲートウェイをスポークとして
確 立 する 方 法 20
対 称 通 信 について
通 信 のすべてのパケットが、いずれかの 方 向 において 1 つのクラスタ・メンバによって 処 理 される 場 合 、 通 信 は 対 称
です。すべての 通 信 が 同 じクラスタ・メンバ 経 由 でルーティングされるハイ・アベイラビリティ・モードはこれに 該 当 す
るため、 対 称 です。VPN ピア、スタティック NAT ルール、または SIP 通 信 がない 負 荷 共 有 モードもこれに 該 当 し
ます。
ただし、 負 荷 共 有 モードでは、 場 合 によっては 特 定 のクラスタ・メンバで 開 始 した 通 信 が、 両 方 向 とも 引 き 続 き 同 じク
ラスタ・メンバによって 処 理 されるようにする 必 要 があります。そのためには、 対 称 判 定 機 能 (Sticky Decision
Function)を 有 効 にして、 特 定 の 通 信 を 対 称 にすることができます。
注 - 対 象 接 続 要 求 機 能 についての 最 新 情 報 は『R75.40VS Release Notes』
(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
対 称 判 定 機 能
対 称 判 定 機 能 により、 特 定 のサービスを 負 荷 共 有 構 成 で 動 作 させることができます。たとえば、L2TP トラフィックや、
クラスタがサード・パーティ 製 ピアとのサイト・ツー・サイト VPN トンネルに 関 与 している 場 合 は、この 機 能 が 必 要
です。
対 称 判 定 機 能 を 有 効 すると、 以 下 のサービスと 通 信 タイプがサポートされます。
サード・パーティ 製 の VPN ピアとの VPN 構 成
SecureClient ビジター・モードを 含 む SecureClient/SecuRemote/SSL Network Extender 暗 号 化 接 続
対 称 判 定 機 能 には 以 下 の 制 限 があります。
Performance Pack またはハードウェアベースのアクセラレータ・カードを 使 用 している 場 合 、 対 称 判 定 機
能 はサポートされません。 対 称 判 定 機 能 を 有 効 にすると、これらのアクセラレータ 製 品 を 使 用 できなくなり
ます。
対 称 判 定 機 能 を VPN と 一 緒 に 使 用 すると、クラスタ・メンバは 特 定 のピアに 対 して 複 数 の 通 信 を 開 けなく
なります。 別 の 通 信 を 開 くと 別 の SA が 生 成 され、 多 くの 場 合 、サード・パーティ 製 のピアはそれを 処 理 で
きません。
ClusterXL 管 理 ガイド R75.40VS | 17

負 荷 共 有 構 成 でのサード・パーティ 製 ピアとの VPN トンネル
チェック・ポイントは、サード・パーティ・ベンダーのゲートウェイを VPN-1ゲートウェイのピアにすることによって、サー
ド・パーティ・ベンダーのゲートウェイとの 相 互 互 換 性 を 提 供 しています。 特 別 な 場 合 として、 特 定 のサード・パーティ
製 ピア(Microsoft LT2P、Nokia Symbian、および Cisco ゲートウェイとクライアント)は、 負 荷 共 有 モードで
ClusterXL ゲートウェイとの VPN トンネルの 確 立 を 試 みます。これらのピアでは、SA の 保 存 能 力 に 限 界 があります。
つまり、あるクラスタ・メンバで 開 始 され、 負 荷 共 有 のために 別 のクラスタ・メンバ 経 由 のリターン・トリップ 上 にルーテ
ィングされた VPN セッションは、 認 識 されずに 廃 棄 されます。
以 下 の 図 に 例 を 示 します。
このシナリオの 場 合 :
サード・パーティ 製 ピア(ゲートウェイまたはクライアント)は VPN トンネルの 作 成 を 試 みます。
クラスタ・メンバ A と B は、 負 荷 共 有 モードで ClusterXL ゲートウェイに 属 します。
サード・パーティ 製 ピアは、 複 数 の SA セットを 保 存 する 機 能 がないため、 複 数 のクラスタ・メンバと VPN トンネルをネ
ゴシエートできません。したがって、クラスタ・メンバはルーティング・トランザクションを 完 了 できません。
特 定 のサード・パーティ 製 ピアまたは 1 つの SA セットしか 保 存 できないゲートウェイの 場 合 は、 通 信 を 対 称 にするこ
とによってこの 問 題 を 解 決 できます。 対 称 判 定 機 能 を 有 効 にすると、 同 一 のサード・パーティ 製 ゲートウェイで 開 始 さ
れたすべての VPN セッションは 1 つのクラスタ・メンバによって 処 理 されるように 設 定 されます。
対 称 判 定 機 能 を 有 効 にするには
1. SmartDashboard でクラスタ・オブジェクトを 編 集 し[ClusterXL]ページ→[Advanced]を 選 択 します。
2. [Use Sticky Decision Function]プロパティを 有 効 にします。
ハブ・アンド・スポーク 型 トポロジでのサード・パーティ 製 ゲートウェイ
負 荷 共 有 モードで 対 称 判 定 機 能 が 必 要 なケースとして、 特 定 のサード・パーティ 製 ゲートウェイをハブ・アンド・スポ
ーク 型 に 構 成 する 場 合 があります。サード・パーティ 製 ゲートウェイは、 複 数 の SA セットを 保 存 する 機 能 がないため、
重 複 SA を 避 けるために、1 つのクラスタ・メンバ 上 で VPN トンネルを 保 持 する 必 要 があります。
18 | ClusterXL 管 理 ガイド R75.40VS

以 下 の 図 にこの 構 成 を 示 します。
このシナリオの 場 合 :
この 構 成 の 目 的 は、スポーク A の 後 ろにあるホストが、スポーク B の 後 ろにあるホストと 通 信 できるように
することです。
ClusterXL ゲートウェイは 負 荷 共 有 モードでクラスタ・メンバ A と B で 構 成 され、VPN ハブとして 機 能 して
います。
スポーク A はサード・パーティ 製 ゲートウェイで、ハブを 経 由 する VPN トンネルによってスポーク B と 接 続
されています。
スポーク B は、 別 のサード・パーティ 製 ゲートウェイまたはチェック・ポイント・ゲートウェイのどちらでも 構
いません。
スポーク A と B は、 常 に 同 じクラスタ・メンバを 使 用 して 通 信 するように 設 定 する 必 要 があります。 対 称 判 定 機 能 を 有
効 にすると、 一 方 のサード・パーティ 製 ゲートウェイで 開 始 されたすべての VPN セッションは 1 つのクラスタ・メンバに
よって 処 理 されるため、この 問 題 の 一 部 は 解 決 されます。
スポークAとB 間 のすべての 通 信 が 常 に 同 じクラスタ・メンバを 使 用 して 実 行 されるようにするには、user.defファイル
を 多 少 変 更 することによって、 両 方 のサード・パーティ 製 ゲートウェイは 常 に 同 じクラスタ・メンバに 接 続 するように 設
定 できるため、トンネルの 整 合 性 が 保 持 され、この 問 題 を 回 避 できます(20ページの「ハブ・アンド・スポーク 型 トポロ
ジでサード・パーティ 製 ゲートウェイを 確 立 する 方 法 」を 参 照 )。
対 称 判 定 機 能 の 設 定
対 称 判 定 機 能 を 設 定 するには
1. クラスタ・オブジェクトを[Network Object]ツリーから 選 択 します。
2. ツリーから ClusterXL を 選 択 し、[Advanced]をクリックします。
3. [Advanced Load Sharing]ウィンドウで、 以 下 のいずれかを 選 択 します。
[IPs, Ports, SPIs (default)]: 最 適 な 負 荷 分 散 で、 推 奨 設 定 です。 最 も「 対 称 性 」が 低 い 共 有 分 散 設 定 とな
ります。
[IPs, Ports]: 同 じ 発 信 元 と IP アドレスを 持 っている IPSec パケットを 複 数 のマシンに 分 散 する 際 に 問 題 が
生 じた 場 合 にのみ 使 用 します。
[IPs]: 同 じ 発 信 元 と IP アドレスを 持 っている IPSec パケットまたは 異 なるポート・パケットを 複 数 のマシン
に 分 散 する 際 に 問 題 が 生 じた 場 合 にのみ 使 用 します。 最 も「 対 称 性 」が 高 い 共 有 分 散 設 定 となります。
4. [Sticky Decision Function]オプションをオンにして 機 能 を 有 効 にする、またはオフにして 無 効 にします。デフォ
ルトでは、[Sticky Decision Function]の 機 能 は 無 効 になっています。
有 効 な 場 合 、 接 続 の 着 信 と 発 信 の 両 方 向 で 1 つのクラスタ・メンバを 通 過 します。
ClusterXL 管 理 ガイド R75.40VS | 19

ハブ・アンド・スポーク 型 トポロジでサード・パーティ 製 ゲートウェイを
スポークとして 確 立 する 方 法
ハブ・アンド・スポーク 型 トポロジでサード・パーティ 製 ゲートウェイをスポークとして 確 立 するには、Security
Management サーバで 以 下 の 手 順 を 実 行 します。
1. 対 称 判 定 機 能 を 有 効 にします。SmartDashboard でクラスタ・オブジェクトを 編 集 し、[ClusterXL]ページ→
[Advanced]を 選 択 し、[Use Sticky Decision Function]プロパティを 有 効 にします。
2. 特 定 のピアからのトラフィックを 処 理 するトンネル・グループを 作 成 します。テキスト・エディタを 使 用 して、
$FWDIR/lib/user.def ファイルを 編 集 し、 以 下 の 行 を 追 加 します。
all@{member1,member2} vpn_sticky_gws = {, };
この 設 定 のエレメントは 以 下 のとおりです。
エレメント
All
説 明
クラスタ・ゲートウェイのすべてのインタフェースを 表 します。
member1,member2 SmartDashboard 内 のクラスタ・メンバの 名 前 。
vpn_sticky_gws テーブルの 名 前 。
10.10.10.1 スポーク A の IP アドレス。
20.20.20.1 スポーク B の IP アドレス。
;1 トンネル・グループ 識 別 子 。これらの IP アドレスからのトラフィックは、 同 じクラス
タ・メンバによって 処 理 する 必 要 があることを 示 します。
3. 前 述 と 同 じ 書 式 で IP アドレスを 入 力 して、ほかのピアをトンネル・グループに 追 加 できます。スポーク C を 追 加 す
るには、 以 下 のように 入 力 します。
all@{member1,member2} vpn_sticky_gws = {,
,};
トンネル・グループ 識 別 子 ;1 は 同 じままです。これは、 表 示 されたピアは 常 に 同 じクラスタ・メンバを 経 由 して 通
信 することを 意 味 します。
注 - クラスタ・メンバよりも 多 い 数 のトンネル・グループを 定 義 することもできます。
つまり、この 手 順 を 実 行 すると、 影 響 を 受 ける 通 信 の 負 荷 共 有 がオフになります。 複 数 のサード・パーティ 製 ゲ
ートウェイ・セットが 相 互 に 通 信 するように 実 装 する 場 合 は、ゲートウェイ・ペアが 特 定 のクラスタ・メンバと 並 行 し
て 動 作 するように 設 定 して、 負 荷 共 有 を 実 現 できます。たとえば、ほかの 2 つのスポーク(C と D) 間 の 接 続 をセ
ットアップするには、 単 に IP アドレスを 行 に 追 加 して、トンネル・グループ 識 別 子 を;1 から;2 に 置 き 換 えます。こ
の 場 合 、 行 は 以 下 のようになります。
all@{member1,member2} vpn_sticky_gws = {,
,,,};
;1 と;2 の 2 つのピア 識 別 子 があることに 注 意 してください。これで、スポーク A と B は 1 つのクラスタ・メンバを
経 由 して 接 続 し、スポーク C と D は 別 のクラスタ・メンバを 経 由 して 接 続 します。
注 - トンネル・グループは、アクティブなクラスタ・メンバ 間 で 分 散 されます。クラスタの
状 態 が 変 化 (フェイルオーバーやメンバのアタッチ/ 切 り 離 しなど)した 場 合 、 新 しい 状 態 に
従 って 再 割 り 当 てが 行 われます。
20 | ClusterXL 管 理 ガイド R75.40VS

第 4 章
ClusterXL における HA と 負 荷 共 有
この 章 の 構 成
HA(ハイ・アベイラビリティ)と 負 荷 共 有 について 21
ClusterXL トポロジの 例 22
ClusterXL のモード 24
フェイルオーバー 28
導 入 計 画 における 注 意 事 項 30
ハードウェア 要 件 、 互 換 性 、Cisco の 例 30
チェック・ポイントのソフトウェアの 互 換 性 33
クラスタ・トポロジの 設 定 36
HA(ハイ・アベイラビリティ)と 負 荷 共 有 について
ClusterXL は、 冗 長 構 成 の Security Gateways のクラスタ 間 でネットワーク・トラフィックを 分 散 するソフトウェア・ベー
スの 負 荷 共 有 および HA ソリューションです。
ClusterXL は 以 下 の 機 能 を 提 供 します。
マシン 障 害 時 の 透 過 的 なフェイルオーバー
ミッション・クリティカルな 環 境 でのダウンタイムの 解 消 (ステート 同 期 使 用 時 )
スループットの 向 上 ( 負 荷 共 有 モード 時 )
透 過 的 なアップグレード
クラスタ 内 のすべてのマシンは、ほかの 各 マシンを 経 由 する 接 続 を 認 識 します。クラスタ・メンバは、 安 全 な 同 期 ネッ
トワークを 介 して 接 続 とステータス 情 報 を 同 期 します。
クラスタ・コントロール・プロトコル(CCP)は、ClusterXL クラスタ 内 のマシンを 結 合 し、クラスタ・メンバ 間 で 同 期 情 報
やその 他 の 情 報 を 受 け 渡 します。
負 荷 共 有
ClusterXL 負 荷 共 有 はゲートウェイのクラスタ 内 でトラフィックを 分 散 し、 複 数 のマシンの 全 体 的 なスループットを 向
上 させます。
負 荷 共 有 構 成 ではクラスタ 内 で 動 作 中 のすべてのマシンがアクティブであり、ネットワーク・トラフィックを 処 理 します
(アクティブ/アクティブ 動 作 )。
クラスタ 内 のチェック・ポイント・ゲートウェイがアクセス 不 能 になった 場 合 、 残 りの 動 作 中 のマシンに 対 して 透 過 的 な
フェイルオーバーが 行 われ、HA が 実 現 します。すべての 接 続 が 中 断 されることなく 残 りのゲートウェイ 間 で 共 有 され
ます。
ClusterXL 管 理 ガイド R75.40VS | 21

HA(ハイ・アベイラビリティ)
HA 機 能 を 使 用 すると、クラスタ・メンバで 障 害 が 発 生 した 場 合 でも、クラスタ・メンバ 間 で 負 荷 共 有 がなくても 接 続 を
維 持 できます。HAクラスタ 内 では、1つのマシンのみがアクティブになります(アクティブ/スタンバイ 動 作 )。アクティブ
なクラスタ・メンバがアクセス 不 能 になった 場 合 、すべての 接 続 は 中 断 されることなく 指 定 されたスタンバイ・クラスタ・
メンバにリダイレクトされます。 同 期 クラスタ 内 では、スタンバイ・クラスタ・メンバはアクティブなクラスタ・メンバの 接
続 状 態 を 使 用 して 更 新 されます。
HAクラスタ 内 では、 各 マシンに 優 先 順 位 が 与 えられます。 通 常 、 最 も 優 先 順 位 の 高 いマシンがゲートウェイとして 機
能 します。このマシンに 障 害 が 発 生 した 場 合 、 次 に 優 先 順 位 が 高 いマシンに 制 御 が 渡 されます。そのマシンに 障 害
が 発 生 した 場 合 、その 次 に 優 先 順 位 が 高 いマシンに 制 御 が 引 き 継 がれます。
ゲートウェイが 復 帰 した 場 合 、 現 在 のアクティブなゲートウェイを 維 持 する(アクティブ・アップ)か、 最 も 優 先 順 位 の 高
いゲートウェイに 切 り 替 える(プライマリ・アップ)ことができます。
アクティブ・アップ 設 定 で、セキュリティ・ポリシーの 変 更 とインストールはメンバ 間 のフェイルオーバーの 原 因 になり
ます。 別 のメンバをアクティブ・マシンとして 選 択 することができます。ポリシーのインストール 時 、メンバは ClusterXL
を 再 度 初 期 化 し、クラスタに 既 にアクティブ・メンバーがあるかどうかを 確 認 します。ない 場 合 は、アクティブになりま
す。この 処 理 は、メンバの ClusterXL インストール・ハンドシェークです。
ClusterXL トポロジの 例
ClusterXL は、クラスタ・メンバに 対 しては 固 有 の 物 理 IP と MAC アドレスを 使 用 し、クラスタ 自 身 を 表 すには 仮 想 IP
アドレスを 使 用 します。クラスタ・インタフェース・アドレスは、どの 実 マシン・インタフェースにも 属 しません。
下 記 の 図 は 2 つのメンバから 成 る ClusterXL クラスタを 示 し、クラスタの 仮 想 IP アドレスとクラスタ・メンバの 物 理 IP
アドレスを 対 比 しています。この 章 では、この 構 成 を 基 にした 例 を 多 くあげて 説 明 しています。
各 クラスタ・メンバは、 外 部 インタフェース、 内 部 インタフェース、および 同 期 用 インタフェースの 3 つのインタフェース
を 持 っています。 各 方 向 のクラスタ・メンバ・インタフェースは、スイッチ、ルータ、または VLAN スイッチを 介 して 接 続
されています。
同 じ 方 向 のすべてのクラスタ・メンバ・インタフェースは、 同 じネットワーク 内 にある 必 要 があります。たとえば、クラス
タ・メンバ 間 にルータを 置 くことはできません。
Security Management サーバはどこにでも 配 置 できますが、 内 部 または 外 部 クラスタ・アドレスのいずれかにルー
ティング 可 能 である 必 要 があります。
後 続 のセクションで、ClusterXL 構 成 の 説 明 として 例 を 紹 介 していきます。
22 | ClusterXL 管 理 ガイド R75.40VS

注
1. HA Legacy モードでは 別 のトポロジを 使 用 します。102ページの「HA Legacy モード」を 参 照 し
てください。
2. このセクションと 後 続 のセクションの 例 では、RFC 1918 プライベート・アドレスである、
192.168.0.0~192.168.255.255 のアドレス 範 囲 を 使 用 して、ルーティング 可 能 な(パブリ
ック)IP アドレスを 表 します。
クラスタ・メンバの IP アドレスの 定 義
各 クラスタ・メンバ・マシンを 構 成 するためのガイドラインは 以 下 のとおりです。
クラスタ 内 のすべてのマシンは、 少 なくとも 以 下 の 3 つのインタフェースを 持 っている 必 要 があります。
外 部 クラスタ・インタフェースを 介 してインターネットに 接 続 されるインタフェース
内 部 クラスタ・インタフェースを 介 して 内 部 ネットワークに 接 続 されるインタフェース
同 期 に 使 用 するインタフェース
同 じ 方 向 へ 向 かうインタフェースはすべて 同 一 のネットワークに 接 続 する 必 要 があります。
ClusterXL 管 理 ガイド R75.40VS | 23

たとえば、 前 に 示 した 図 の 構 成 では Member_A と Member_B の 2 つのクラスタ・メンバがあります。 各 メンバには IP
アドレスが 割 り 当 てられており、ハブまたはスイッチを 介 してインターネットに 接 続 します。これは、Member_A に
192.168.10.1、Member_B に 192.168.10.2 の IP アドレスが 割 り 当 てられた 外 部 インタフェースで、クラスタの 外 部
インタフェースからはこのインタフェースは 透 過 的 です。
注 - このリリースには、メンバごとに 外 部 インタフェースと 内 部 インタフェースの 2 つのインタフェ
ースのみを 使 用 し、 内 部 インタフェース 経 由 で 同 期 を 実 行 するオプションがあります。この 構 成 は
お 勧 めしません。バックアップの 場 合 にのみ 使 用 してください。 詳 細 は11ページの「クラスタ 間 で
の 接 続 情 報 の 同 期 」を 参 照 してください。
クラスタの 仮 想 IP アドレスの 定 義
前 の 図 の 説 明 では、クラスタの IP アドレスは 192.168.10.100 です。
クラスタは 外 部 仮 想 IP アドレスと 内 部 仮 想 IP アドレスをそれぞれ 1 つずつ 持 っています。 外 部 IP アドレスは、
192.168.10.100 で、 内 部 IP アドレスは、10.10.0.100 です。
同 期 ネットワーク
クラスタ・メンバのステート 同 期 により、フェイルオーバーが 発 生 しても 障 害 の 発 生 したマシンで 処 理 されていた 接 続
は 維 持 されます。 同 期 ネットワークは、クラスタ・メンバ 間 で 接 続 同 期 情 報 とその 他 の 状 態 情 報 を 受 け 渡 すために 使
用 されます。つまり、このネットワークは 組 織 の 最 も 重 要 なセキュリティ・ポリシー 情 報 を 送 信 するため、ネットワーク
を 安 全 に 保 護 する 必 要 があります。バックアップのために 複 数 の 同 期 ネットワークを 定 義 できます。
同 期 インタフェースを 保 護 するには、クロスケーブルで 直 接 接 続 するか、メンバが 3 つ 以 上 のクラスタの 場 合 には 専
用 ハブまたはスイッチを 使 用 して 接 続 する 必 要 があります。
負 荷 共 有 クラスタのマシンは、 通 常 のトラフィック・フローで 同 期 が 使 用 されているため 同 期 させる 必 要 があります。
HA クラスタ 内 のコンピュータは 同 期 させる 必 要 はありませんが、 同 期 していない 場 合 はフェイルオーバー 時 に 接 続
が 失 われます。
前 の 図 は、 各 マシンに 固 有 の IP アドレスが 割 り 当 てられた 同 期 インタフェースを 示 しています。Member_A には
10.0.10.1、Member_B には 10.0.10.2 が 割 り 当 てられています。
異 なるサブネット 上 のクラスタ・アドレスの 設 定
インターネットに 接 続 するクラスタ・インタフェースの 場 合 、ClusterXLクラスタ 内 でルーティング 可 能 な IPアドレスが 1
つだけ 必 要 です。すべてのクラスタ・メンバの 物 理 IP アドレスはルーティングできなくても 構 いません。
クラスタ IP アドレスとメンバ・アドレスに 対 して 別 のサブネットを 設 定 すると、 以 下 が 可 能 になります。
新 しいアドレスをクラスタ・メンバに 割 り 当 てなくても、 複 数 マシンのクラスタが 構 成 済 みのネットワーク 内
の 単 一 マシン・ゲートウェイと 置 き 換 わる。
組 織 が ClusterXL ゲートウェイ・クラスタの 唯 一 のルーティング 可 能 なアドレスを 使 用 する。これによりル
ーティング 可 能 なアドレスが 節 約 されます。
ClusterXL のモード
ClusterXL には 以 下 の 4 つの 実 行 モードがあります。このセクションでは、 各 モードとその 相 対 的 な 利 点 と 欠 点 につ
いて 説 明 します。
負 荷 共 有 マルチキャスト・モード
負 荷 共 有 ユニキャスト・モード
HA New モード
HA Legacy モード
24 | ClusterXL 管 理 ガイド R75.40VS

HA Legacy 機 能 の 詳 細 については、 付 録 (102ページの「HA Legacy モード」)を 参 照 してください。 下 位 互 換 性 の 問
題 を 回 避 するためには、HA New モードを 使 用 することをお 勧 めします。
注 - このセクションの 多 くの 例 は、ClusterXL の 例 (22ページの「ClusterXLTopology の 例 」)の
構 成 に 基 づいています。
負 荷 共 有 マルチキャスト・モード
負 荷 共 有 により、クラスタ・メンバ 間 でネットワーク・トラフィックを 分 散 することができます。HA では 一 度 に 1 つのメン
バのみがアクティブになるのに 対 して、 負 荷 共 有 ソリューションではすべてのクラスタ・メンバがアクティブになりクラ
スタが 各 メンバにトラフィックを 割 り 当 てます。この 割 り 当 ては 判 定 機 能 によって 実 行 され、クラスタを 通 過 する 各 パ
ケットを 調 べてどのメンバがそのパケットを 処 理 するかを 決 定 します。このように、 負 荷 共 有 クラスタはすべてのクラ
スタ・メンバを 利 用 するため、 通 常 は 合 計 スループットが 向 上 します。
ClusterXL 負 荷 共 有 をステート 同 期 と 組 み 合 わせることにより、 完 全 な HA も 実 現 できます。すべてのクラスタ・メン
バがアクティブな 場 合 、トラフィックはマシン 間 で 均 等 に 分 散 されます。メンバの 1 つで 問 題 が 発 生 してフェイルオー
バー・イベントが 発 生 した 場 合 、 故 障 したマシンによって 処 理 されていたすべての 接 続 の 処 理 は 直 ちにほかのメンバ
に 引 き 継 がれます。
ClusterXL は、マルチキャストとユニキャストの 2 種 類 の 負 荷 共 有 ソリューションを 提 供 します。この 2 つのモードで
は、クラスタに 送 信 されたパケットをメンバが 受 信 する 方 法 が 異 なります。このセクションでは、マルチキャスト・モー
ドについて 説 明 します。
イーサネットのネットワーク 層 で 提 供 されるマルチキャスト・メカニズムを 使 用 することにより、 複 数 のインタフェースを
1 つの 物 理 (MAC)アドレスに 対 応 させることができます。 同 じサブネット 内 のすべてのインタフェースを 1 つのアドレ
スにバインドするブロードキャスト、と 異 なり、マルチキャストではネットワーク 内 のでグループ 化 が 可 能 です。つまり、
特 定 の MAC アドレスに 送 信 されたパケットを 受 信 する 1 つのサブネット 内 のインタフェースを 選 択 できます。
ClusterXL は、マルチキャスト・メカニズムを 使 用 して 仮 想 クラスタ IP アドレスをすべてのクラスタ・メンバに 対 応 させ
ます。これらの IP アドレスを 1 つのマルチキャスト MAC アドレスにバインドすることにより、ゲートウェイとして 機 能 す
るクラスタに 送 信 されたすべてのパケットはクラスタ 内 のすべてのメンバに 到 達 します。 各 メンバはパケットを 処 理 す
るかどうかを 判 定 します。この 判 断 は 負 荷 共 有 メカニズムの 主 要 な 機 能 です。 少 なくとも、1 つのメンバが 各 パケット
を 処 理 し(トラフィックがブロックされないようにし)、かつ 2 つのメンバが 同 じパケットを 処 理 しない(トラフィックが 重 複
しない)ようにする 必 要 があります。
判 定 機 能 のもう 1 つの 要 件 は、 各 接 続 が 1 つのゲートウェイを 経 由 するようにルーティングし、1 つの 接 続 に 属 する
パケットは 必 ず 同 じメンバによって 処 理 されるようにすることです。この 要 件 が 常 に 満 たされるとは 限 らず、 場 合 によ
っては 同 じ 接 続 のパケットが 異 なるメンバによって 処 理 されることがあります。ClusterXL は、ステート 同 期 メカニズ
ムを 使 用 してすべてのクラスタ・メンバ 上 の 接 続 をミラーリングすることによりこれらの 状 況 を 処 理 します。
例
この 例 では、 負 荷 共 有 マルチキャスト・モードに 設 定 されたファイアウォール・クラスタの 背 後 にある Web サーバにユ
ーザがインターネットからログインする 場 合 について 説 明 します。
1. ユーザは 192.168.10.78(ユーザのコンピュータ)から 10.10.0.34(Web サーバ)への 接 続 を 要 求 します。
2. 192.168.10.x ネットワーク 上 のルータは、192.168.10.100(クラスタの 仮 想 IP アドレス)を 10.10.0.x ネットワークへ
のゲートウェイとして 認 識 します。
3. ルータは 192.168.10.100 に 対 して ARP 要 求 を 発 行 します。
4. アクティブ・メンバの 1 つはこの ARP 要 求 を 傍 受 し、クラスタ IP アドレス 192.168.10.100 に 割 り 当 てられたマル
チキャスト MAC アドレスで 応 答 します。
5. Web サーバはユーザの 要 求 に 応 答 する 場 合 、10.10.0.100 をインターネットへのゲートウェイとして 認 識 し
ます。
6. Web サーバは 10.10.0.100 に 対 して ARP 要 求 を 発 行 します。
7. アクティブ・メンバの 1 つはこの ARP 要 求 を 傍 受 し、クラスタ IP アドレス 10.10.0.100 に 割 り 当 てられたマルチ
キャスト MAC アドレスで 応 答 します。
8. ユーザと Web サーバ 間 で 送 信 されたすべてのパケットはすべてのクラスタ・メンバに 到 達 し、 各 クラスタ・メンバ
は 各 パケットを 処 理 するか 破 棄 するかを 判 定 します。
ClusterXL 管 理 ガイド R75.40VS | 25

9. フェイルオーバーが 発 生 するとクラスタ・メンバの 1 つがダウンします。この 場 合 でも、トラフィックはすべてのアク
ティブなクラスタ・メンバに 到 達 しているためネットワークの ARP ルーティングを 変 更 する 必 要 はありません。 変
更 が 行 われるのはクラスタの 判 定 機 能 のみです。 判 定 機 能 はメンバの 新 しい 状 態 を 考 慮 に 入 れます。
負 荷 共 有 ユニキャスト・モード
負 荷 共 有 ユニキャスト・モードは、マルチキャスト・イーサネットが 動 作 できない 環 境 に 対 応 する 負 荷 共 有 ソリューショ
ンを 提 供 します。このモードでは、「ピボット」と 呼 ばれる1つのクラスタ・メンバにクラスタの 仮 想 IPアドレスが 割 り 当 て
られ、これがクラスタに 送 信 されたパケットを 受 信 する 唯 一 のメンバになります。ピボットはほかのクラスタ・メンバに
パケットを 送 信 する 役 割 を 果 たし、 負 荷 共 有 メカニズムを 構 築 します。 分 散 は、 負 荷 共 有 マルチキャスト・モードと 同
様 に、 各 パケットに 判 定 機 能 を 適 用 することによって 行 われます。 異 なる 点 は、1つのメンバのみがこの 選 択 を 行 うと
いう 点 です。ピボット 以 外 のメンバは、 転 送 されたパケットを 受 信 すると 判 定 機 能 を 適 用 せずにパケットを 処 理 します。
ピボット 以 外 のメンバは 依 然 として「アクティブ」と 見 なされることに 注 意 してください。これは、これらのメンバも 分 担 し
ているトラフィックについて( 判 定 は 行 いませんが)ルーティングとFirewall 作 業 を 行 っているためです。
ピボット・メンバは 判 定 プロセスを 担 当 しますが、 同 時 に Security Gateway としてパケットの 処 理 も 行 います(たとえ
ば、ローカル・マシン 上 でパケットを 処 理 するために 判 定 を 行 う 場 合 もあります)。ただし、このような 作 業 をピボット・
メンバに 追 加 すると 時 間 がかかる 可 能 性 があるため、 通 常 ピボット・メンバには 全 負 荷 のうちの 小 さな 部 分 のみを 割
り 当 てます。
ピボット 以 外 のメンバにフェイルオーバー・イベントが 発 生 すると、そのメンバが 処 理 していた 接 続 はアクティブなクラ
スタ・メンバに 再 配 分 され、HA New モードや 負 荷 共 有 マルチキャストと 同 等 の HA 機 能 が 提 供 されます。ピボット・メ
ンバに 問 題 が 発 生 した 場 合 は、 通 常 のフェイルオーバー・イベントが 発 生 し、さらに 別 のメンバが 新 たにピボットの 役
割 を 引 き 継 ぎます。ピボット・メンバは 常 に 最 も 高 い 優 先 順 位 を 持 つアクティブ・メンバです。これは、 前 のピボットが
回 復 した 場 合 に 以 前 の 役 割 を 保 持 することを 意 味 します。
例
この 例 では、 負 荷 共 有 ユニキャスト・クラスタをユーザのコンピュータと Web サーバの 間 のゲートウェイとして 使 用 し
ています。
1. ユーザは 192.168.10.78(ユーザのコンピュータ)から 10.10.0.34(Web サーバ)への 接 続 を 要 求 します。
2. 192.168.10.x ネットワーク 上 のルータは、192.168.10.100(クラスタの 仮 想 IP アドレス)を 10.10.0.x ネットワー
クへのゲートウェイとして 認 識 します。
3. ルータは 192.168.10.100 に 対 して ARP 要 求 を 発 行 します。
4. ピボット・メンバはこの ARP 要 求 を 傍 受 し、 自 分 の 固 有 IP アドレス 192.168.10.1 に 対 応 する MAC アドレスで
応 答 します。
5. Web サーバはユーザの 要 求 に 応 答 する 場 合 、10.10.0.100 をインターネットへのゲートウェイとして 認 識 し
ます。
6. Web サーバは 10.10.0.100 に 対 して ARP 要 求 を 発 行 します。
7. ピボット・メンバはこの ARP 要 求 を 傍 受 し、 自 分 の 固 有 IP アドレス 10.10.0.1 に 対 応 する MAC アドレスで 応 答
します。
8. ユーザの 要 求 パケットは、インタフェース 192.168.10.1 上 のピボット・メンバに 到 達 します。
9. ピボットは 2 番 目 のメンバにこのパケットを 処 理 させることを 決 定 し、パケットを 192.168.10.2 へ 転 送 します。
10. 2 番 目 のメンバは、そのパケットを 転 送 されたパケットとして 認 識 して 処 理 します。
11. それ 以 降 のパケットはピボット・メンバによって 処 理 されるか、 転 送 されてこの 2 番 目 のメンバによって 処 理 され
ます。
12. ピボットでフェイルオーバーが 発 生 すると 2 番 目 のメンバがピボットの 役 割 を 引 き 継 ぎます。
13. 新 しいピボット・メンバは、192.168.10.x ネットワークと 10.10.0.x ネットワークの 両 方 に 余 分 に ARP 要 求 を 送 信
します。これらの 要 求 は、 仮 想 IP アドレス 192.168.10.100 を 固 有 の IP アドレス 192.168.10.2 に 対 応 する MAC
アドレスに 関 連 付 け、 仮 想 IP アドレス 10.10.0.100 を 固 有 の IP アドレス 10.10.0.2 に 対 応 する MAC アドレスに
関 連 付 けます。
14. このクラスタに 送 信 されたトラフィックは 新 しいピボットによって 受 信 され、そのローカル・マシンによって 処 理 され
ます(これは、 現 時 点 ではこのマシンがクラスタ 内 で 唯 一 のアクティブなマシンであるためです)。
26 | ClusterXL 管 理 ガイド R75.40VS

15. 最 初 のマシンが 復 帰 すると、クラスタの IP アドレスを 自 分 の 固 有 MAC アドレスに 関 連 付 けてピボットの 役 割 を
再 開 します。
HA(ハイ・アベイラビリティ)モード
HA(ハイ・アベイラビリティ)モードは、クラスタ 環 境 で 基 本 的 なHAを 提 供 します。これは、スタンドアロン・モジュール
上 で 発 生 した 場 合 に 完 全 に 接 続 が 失 われるような 問 題 がクラスタ 上 で 発 生 しても、クラスタはファイアウォール・サー
ビスを 提 供 できることを 意 味 します。ClusterXL HAをチェック・ポイントのステート 同 期 と 組 み 合 わせて 使 用 すると、
フェイルオーバー・イベントが 発 生 してもユーザに 気 付 かれない 方 法 で 接 続 が 維 持 されるため、 接 続 性 に 全 く 影 響 は
ありません。このように、HAはバックアップ・メカニズムを 提 供 します。 組 織 はこのバックアップ・メカニズムを 利 用 して、
特 にミッション・クリティカルな 環 境 (たとえば、インターネットを 経 由 した 電 子 商 取 引 が 発 生 するような 環 境 )で 予 期 せ
ぬダウンタイムが 発 生 する 危 険 性 を 軽 減 することができます。
この 目 的 を 遂 行 するために、ClusterXL の HA New モードではクラスタ・メンバの 1 つをアクテイブ・マシンとして 指 定
して、 残 りのメンバをスタンバイ・モードに 設 定 します。クラスタの 仮 想 IP アドレスは、アクティブ・マシンの 物 理 ネット
ワーク・インタフェースに 関 連 付 けます( 仮 想 IP アドレスを 該 当 するインタフェースの 固 有 の MAC アドレスに 一 致 さ
せます)。このようにして、クラスタへのすべてのトラフィックはアクティブ・メンバによって 実 際 にルーティング(さらに
フィルタリング)されます。 各 クラスタ・メンバの 役 割 はその 優 先 順 位 に 従 って 選 択 され、アクティブ・メンバが 最 高 の
優 先 順 位 を 持 つメンバになります。メンバの 優 先 順 位 は、[Gateway Cluster Properties]ウィンドウの[Cluster
Members]ページに 表 示 される 順 序 に 対 応 します。 最 上 部 に 表 示 されたメンバが 最 高 の 優 先 順 位 を 持 ちます。この
優 先 順 位 はいつでも 変 更 することができます。
アクティブ・メンバは、ファイアウォール・ゲートウェイとしての 役 割 のほかに 自 分 の 接 続 テーブルと 状 態 テーブルに
対 して 行 われた 変 更 のすべてをスタンバイ・メンバに 通 知 することにより、 現 在 クラスタを 通 過 しているトラフィックに
関 する 最 新 情 報 をメンバに 提 供 する 役 割 も 持 っています。
クラスタはフェイルオーバー・イベントが 発 生 するような 重 大 な 問 題 をアクティブ・メンバで 検 出 すると、アクティブ・メン
バの 役 割 をスタンバイ・マシンの 1 つ(その 時 点 で 最 高 の 優 先 順 位 を 持 っているメンバ)に 引 き 渡 します。ステート 同
期 が 適 用 されている 場 合 は、 開 始 されているすべての 接 続 を 新 しいアクティブ・マシンが 認 識 し、 直 前 の 既 知 状 態 に
従 って 処 理 します。より 高 い 優 先 順 位 を 持 つメンバが 復 帰 した 際 には、ユーザの 設 定 によってアクティブ・マシンの
役 割 がそのメンバに 切 り 替 えられる 場 合 と 切 り 替 えられない 場 合 があります。
クラスタはスタンバイ・マシンで 問 題 を 検 出 する 場 合 もあります。この 場 合 、 問 題 が 発 生 したマシンはフェイルオーバ
ー 発 生 時 にアクティブ・メンバの 役 割 を 引 き 継 ぐことができるとは 見 なさ れません。
例
この 例 では、ファイアウォール・クラスタの 背 後 にある Web サーバにユーザがインターネットからログインする 場 合 に
ついて 説 明 します。
1. ユーザは 192.168.10.78(ユーザのコンピュータ)から 10.10.0.34(Web サーバ)への 接 続 を 要 求 します。
2. 192.168.10.x ネットワーク 上 のルータは、192.168.10.100(クラスタの 仮 想 IP アドレス)を 10.10.0.x ネット
ワークへのゲートウェイとして 認 識 します。
3. ルータは 192.168.10.100ARP に 対 して ARP 要 求 を 発 行 します。
4. アクティブ・メンバはこの ARP 要 求 を 傍 受 し、 自 分 の 固 有 IP アドレス 192.168.10.1 に 対 応 する MAC アドレスで
応 答 します。
5. Web サーバはユーザの 要 求 に 応 答 する 場 合 、10.10.0.100 をインターネットへのゲートウェイとして 認 識 し
ます。
6. Web サーバは 10.10.0.100 に 対 して ARP 要 求 を 発 行 します。
7. アクティブ・メンバはこの ARP 要 求 を 傍 受 し、 自 分 の 固 有 IP アドレス 10.10.0.1 に 対 応 する MAC アドレスで 応
答 します。
8. ユーザと Web サーバ 間 のすべてのトラフィックは、アクティブ・メンバを 経 由 してルーティングされるようになりま
す。
9. フェイルオーバーが 発 生 すると、スタンバイ・メンバは 障 害 の 発 生 したアクティブ・メンバに 置 き 換 わる 必 要 があ
ると 判 断 します。
10. スタンバイ・メンバは、192.168.10.x ネットワークと 10.10.0.x ネットワークの 両 方 に Gratuitous ARP 要 求 を 送 信
します。これらの 要 求 は、 仮 想 IP アドレス 192.168.10.100 を 固 有 の IP アドレス 192.168.10.2 に 対 応 する MAC
ClusterXL 管 理 ガイド R75.40VS | 27

アドレスに 関 連 付 け、 仮 想 IP アドレス 10.10.0.100 を 固 有 の IP アドレス 10.10.0.2 に 対 応 する MAC アドレスに
関 連 付 けます。
11. スタンバイ・メンバはアクティブ・メンバの 役 割 を 持 つように 切 り 替 えられ、このクラスタを 経 由 するすべてのトラフ
ィックはこのマシンを 経 由 してルーティングされます。
12. 以 前 のアクティブ・メンバは「ダウン」したと 見 なされ、フェイルオーバー・イベントを 発 生 させた 問 題 からの 復 帰 待
ち 状 態 になります。
各 モードの 比 較 表
以 下 の 表 に、 各 ClusterXL モードの 共 通 点 と 相 違 点 をまとめます。
各 ClusterXL モードの 比 較 表
HA Legacy モード HA New モード
負 荷 共 有
マルチキャスト
負 荷 共 有
ユニキャスト
HA ○ ○ ○ ○
負 荷 共 有 × × ○ ○
パフォーマンス 良 い 良 い 優 秀 非 常 に 良 い
ハードウェア・
サポート
すべて すべて サポートされていない
ルータあり
すべて
SecureXL サポート ○ ○ 可 能 (Performance
Pack または SecureXL
Turbocard を 使 用 )
○
ステート 同 期 の
必 要 性
VLAN タグ 付 けの
サポート
× × ○ ○
○ ○ ○ ○
注 - VLAN タグ 付 けのサポートについての 詳 細 は、『R75.40VS Release Notes』
(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。 .
フェイルオーバー
フェイルオーバーは、ゲートウェイが 指 定 された 機 能 を 実 行 できなくなったときに 発 生 します。フェイルオーバーが 発
生 すると、クラスタ 内 の 別 のゲートウェイが 障 害 が 発 生 したゲートウェイの 役 割 を 引 き 継 ぎます。
負 荷 共 有 構 成 では、ゲートウェイのクラスタ 内 にある 1 つの VPN1 ゲートウェイがダウンすると 接 続 は 残 りのゲート
ウェイに 分 散 されます。 負 荷 共 有 構 成 ではすべてのゲートウェイが 同 期 されているため、どの 接 続 も 中 断 されま
せん。
HA 構 成 では、 同 期 クラスタ 内 の 1 つのゲートウェイがダウンすると 別 のゲートウェイがアクティブになり、 障 害 が 発
生 したゲートウェイの 接 続 を「 引 き 継 ぎ」ます。ステート 同 期 を 使 用 していない 場 合 、フェイルオーバーが 発 生 すると
既 存 の 接 続 は 切 断 されます。ただし 新 しい 接 続 を 開 始 できます。
ほかのゲートウェイが 稼 動 して 機 能 していることを 各 クラスタ・メンバに 知 らせるため、ClusterXL のクラスタ・コン
トロール・プロトコルではクラスタ・メンバ 間 でハート・ビートが 常 時 やり 取 りされています。 所 定 の 時 間 が 経 過 しても
あるクラスタ・メンバからメッセージが 受 信 できない 場 合 、このクラスタ・メンバがダウンしフェイルオーバーが 発 生 し
た 可 能 性 があります。この 時 点 で 別 のクラスタ・メンバが 自 動 的 に 障 害 の 起 きたクラスタ・メンバの 役 割 を 引 き 継 ぎ
ます。
28 | ClusterXL 管 理 ガイド R75.40VS

クラスタ 内 で 上 記 のいずれかのチェックに 失 敗 した 場 合 、 障 害 が 発 生 したメンバはクラスタ・メンバとして 機 能 できな
いと 判 断 し、たとえクラスタ・マシンがまだ 機 能 している 可 能 性 があったとしてもフェイルオーバーを 開 始 します。
フェイルオーバー・イベントを 発 生 させるような 問 題 が 複 数 のクラスタ・メンバで 起 こる 場 合 があります。すべてのクラ
スタ・メンバでこのような 問 題 が 発 生 した 場 合 、ClusterXL は 1 つのメンバを 選 択 して 動 作 を 継 続 しようとします。 選 択
されたメンバの 状 態 は、「アクティブ・アテンション」として 報 告 されます。この 状 況 は 別 のメンバが 完 全 に 復 帰 するま
で 続 きます。たとえば、クラスタ・メンバを 接 続 するクロス・ケーブルが 故 障 した 場 合 、 両 方 のメンバがインタフェース
の 問 題 を 検 出 します。 一 方 が「ダウン」 状 態 に 変 化 し、もう 一 方 が「アクティブ・アテンション」に 変 化 します。
フェイルオーバーはいつ 発 生 するか
フェイルオーバーはアクティブなクラスタ・メンバで 以 下 のいずれかが 生 じたときに 発 生 します。
クリティカル・デバイス(たとえば、fwd)の 障 害 。クリティカル・デバイスとはクラスタ・メンバで 動 作 するプロ
セスで、クラスタ・メンバがメンバとして 機 能 できなくなった 場 合 にほかのクラスタ・メンバに 通 知 することを
可 能 にします。クリティカル・デバイスは 自 分 の 現 在 の 状 態 について ClusterXL メカニズムに 報 告 します。
報 告 に 失 敗 した 場 合 、ClusterXL はフェイルオーバーが 発 生 してほかのクラスタ・メンバが 引 き 継 いだと
判 断 します。
インタフェースまたはケーブルの 障 害
マシンのクラッシュ
セキュリティ・ポリシーのアンインストール。セキュリティ・ポリシーがアンインストールされると、ゲートウェ
イはファイアウォールとして 機 能 できなくなります。ファイアウォールとして 機 能 できない 場 合 、クラスタ・メ
ンバとして 機 能 できなくなりフェイルオーバーが 発 生 します。 通 常 、ポリシーが 自 動 的 にアンインストール
されることはなくユーザによってアンインストールされます。フェイルオーバーの 詳 細 は、sk62570
(http://supportcontent.checkpoint.com/solutions?id=sk62570)を 参 照 してください。
ゲートウェイが 復 帰 した 場 合 の 処 理
負 荷 共 有 構 成 では、クラスタ 内 の 障 害 が 発 生 したゲートウェイが 復 帰 した 場 合 、すべての 接 続 はすべてのアクティ
ブ・メンバ 間 で 再 配 分 されます。
HA 構 成 では、クラスタ 内 の 障 害 が 発 生 したゲートウェイが 復 帰 した 場 合 、 復 帰 方 法 はクラスタ 設 定 によって 異 なりま
す。 選 択 肢 は 以 下 のとおりです。
[Maintain Current Active Gateway]を 選 択 すると、 優 先 順 位 の 低 いマシンに 制 御 が 引 き 継 がれた 場 合 、
優 先 順 位 の 低 いアクティブ・マシンに 障 害 が 発 生 した 場 合 にだけ 制 御 が 優 先 順 位 の 高 いマシンに 戻 りま
す。すべてのメンバが 同 じトラフィック 処 理 能 力 を 備 えている 場 合 は、フェイルオーバー・イベントの 発 生 を
最 小 限 にするためこのモードを 使 用 することをお 勧 めします。
[Switch to Higher Priority Gateway]を 選 択 すると、 優 先 順 位 の 低 いマシンに 制 御 が 引 き 継 がれた 場 合 、
優 先 順 位 の 高 いマシンが 復 帰 すると 制 御 は 優 先 順 位 の 高 いマシンに 戻 ります。1 つのメンバがほかのメ
ンバよりも 高 い 接 続 処 理 能 力 を 持 っている 場 合 は、このモードを 選 択 することをお 勧 めします。そのメン
バはデフォルト・ゲートウェイになります。
復 帰 したクラスタ・メンバがセキュリティ・ポリシーを 取 得 する 方 法
管 理 者 はセキュリティ・ポリシーをクラスタ・メンバごとにではなく、クラスタにインストールします。ポリシーは 自 動 的
にすべてのクラスタ・メンバにインストールされます。ポリシーは、クラスタ・メンバ・オブジェクトの[General
Properties]ページで 定 義 された IP アドレスに 送 信 されます。
障 害 が 発 生 したクラスタ・メンバが 復 帰 すると、まずほかのクラスタ・メンバのいずれかからポリシーを 取 得 しようとし
ます。これは、ほかのクラスタ・メンバが 新 しいポリシーを 持 っていることを 前 提 としています。 成 功 しなかった 場 合 、
復 帰 したメンバは 自 分 のローカル・ポリシーを Security Management サーバにあるポリシーと 比 較 します。Security
Management サーバのポリシーが 自 分 のポリシーよりも 新 しい 場 合 は、Security Management サーバのポリシー
を 取 り 込 みます。クラスタ・メンバがローカル・ポリシーを 持 っていない 場 合 、Security Management サーバからポリ
シーを 取 り 込 みます。これにより、すべてのクラスタ・メンバは 常 に 同 じポリシーを 使 用 することになります。
ClusterXL 管 理 ガイド R75.40VS | 29

導 入 計 画 における 注 意 事 項
HA または 負 荷 共 有
負 荷 共 有 (アクティブ/アクティブ) 構 成 と HA(アクティブ/スタンバイ) 構 成 のどちらを 選 択 するかは、 組 織 の 要 件 によ
って 決 まります。HA ゲートウェイ・クラスタは、 組 織 にフェイルセーフな 接 続 性 を 保 証 します。 負 荷 共 有 には、これに
パフォーマンスが 向 上 するという 利 点 があります。
注 - 同 期 ネットワークの 動 作 では、 一 般 的 なトラフィック 用 に 使 用 される NIC の 帯 域 幅 と 同 じ
帯 域 幅 で NIC を 使 用 することをお 勧 めします。
負 荷 共 有 モードの 選 択
負 荷 共 有 マルチキャスト・モードは、 負 荷 がすべてのクラスタ・メンバ 間 で 最 適 に 分 散 されるため 高 い 負 荷 を 効 率 的
に 処 理 できます。ただし、 一 部 のルータは 負 荷 共 有 マルチキャスト・モードで 使 用 できません。 負 荷 共 有 マルチキャ
スト・モードでは、マルチキャスト MAC アドレスを 各 ユニキャスト・クラスタ IP アドレスに 関 連 付 けます。これにより、ク
ラスタへのトラフィックはすべてのメンバによって 受 信 されます。したがって、クラスタ・メンバが 送 信 する ARP 応 答 に
は、マルチキャスト MAC アドレスを 介 してクラスタ IP アドレスに 到 達 可 能 であることが 示 されます。
一 部 のルーティング 機 器 はこのような ARP 応 答 を 受 け 付 けません。 一 部 のルータでは、ルーティング 機 器 上 でクラ
スタ IP アドレスにスタティックな ARP エントリを 追 加 してこの 問 題 を 解 決 します。ほかのルータは、この 種 のスタティック
な ARP エントリを 受 け 付 けません。
もう 1 つの 注 意 事 項 は、 無 差 別 モードで 動 作 するインタフェースを 持 つルーティング 機 器 が 導 入 環 境 に 含 まれている
かどうかです。 同 じネットワーク・セグメント 上 にそのようなルータ 2 台 と 負 荷 共 有 マルチキャスト・モードの ClusterXL
ゲートウェイが 存 在 する 場 合 、 一 方 のルータから 生 成 されたクラスタへのトラフィックは、もう 一 方 のルータによって
処 理 される 可 能 性 もあります。
このような 場 合 は 負 荷 共 有 ユニキャスト・モードを 使 用 します。このモードではクラスタ・アドレスに 対 してマルチキャ
ストを 使 用 する 必 要 はありません。
IP アドレスの 移 行
既 存 の 単 一 ゲートウェイ 構 成 に HA 機 能 または 負 荷 共 有 機 能 を 追 加 する 場 合 、 現 在 のゲートウェイから 既 存 の IP ア
ドレスを 取 り 出 してクラスタ・アドレス(クラスタの 仮 想 アドレス)にすることをお 勧 めします。こうすることにより、 多 くの
場 合 、 現 在 の IPSec エンドポイント 識 別 情 報 を 変 更 せずに Hide NAT 設 定 もそのまま 維 持 することができます。
ハードウェア 要 件 、 互 換 性 、Cisco の 例
ClusterXL のハードウェア 要 件
ゲートウェイ・クラスタは 通 常 、スイッチやルータなどのほかのネットワーク 機 器 が 存 在 する 環 境 に 配 置 されます。こ
れらの 機 器 とゲートウェイは、ネットワークの 接 続 性 を 保 証 するために 相 互 動 作 する 必 要 があります。このセクション
では、 周 辺 のネットワーク 環 境 に 対 する ClusterXL の 要 件 について 説 明 します。
HA New モードと 負 荷 共 有 ユニキャスト・モード
マルチキャスト・モードは、HA New モードと 負 荷 共 有 ユニキャスト・モード(および 負 荷 共 有 マルチキャスト・モード)
におけるデフォルトの CCP(クラスと・コントロール・プロトコル)モード です。
30 | ClusterXL 管 理 ガイド R75.40VS

マルチキャスト・モードで CCP を 使 用 する 場 合 は、スイッチを 以 下 のように 設 定 する 必 要 があります。
HA New モードと 負 荷 共 有 に 対 するスイッチの 設 定
スイッチの 設 定
IGMP と
スタティック CAM
マルチキャスト
制 限 の 無 効 化
内 容
ClusterXL は IGMP の 登 録 (「IGMP スヌーピング」とも 呼 ばれます)をサポートしていま
せん。スイッチ 関 連 の IGMP 登 録 が 出 来 ないのは、IGMP パケットのポート 設 定 か、
ClusterXL 上 の IGMP 登 録 可 能 にしてあるか、どちらかに 依 存 していることが 原 因 で
す。IGMPの 登 録 を 無 効 にできない 場 合 には、 特 定 のポートでマルチキャスト・トラフィッ
クを 許 可 するためにスタティック CAM を 設 定 する 必 要 があります。
一 部 のスイッチでは、ブロードキャスト・ストームを 防 ぐために 通 過 できるブロードキャス
トとマルチキャストに 上 限 を 設 けています。 通 常 この 制 限 は 全 インタフェース 帯 域 に 対
する 割 合 (%)です。
ブロードキャスト・ストーム 制 御 をオフにするか、 高 レベルのブロードキャストまたはマル
チキャストに 対 してスイッチの 通 過 を 許 可 することができます。
接 続 するスイッチにこのような 設 定 機 能 がない 場 合 には、 効 率 は 下 がりますがスイッチ
がブロードキャストを 使 用 してトラフィックを 転 送 したり、クラスタ・メンバを 設 定 してブロ
ードキャスト CCP を 使 用 することができます(38ページの「クラスタ・メンバでの CCP ト
ランスポート・モードの 選 択 」を 参 照 )。
ルータを 以 下 のように 設 定 します。
HA New モードと 負 荷 共 有 ユニキャスト・モードに 対 するルータの 設 定
ルータの 設 定
ユニキャスト MAC
内 容
クラスタが HA Legacyモード、HA New モード、および 負 荷 共 有 ユニキャスト・モードで
動 作 する 場 合 、クラスタの IP アドレスは 通 常 の MAC アドレス(アクティブ・メンバの
MAC アドレス)にマッピングされます。ルータは 通 常 の ARP メッセージからこの MAC
アドレスを 認 識 できる 必 要 があります。
負 荷 共 有 マルチキャスト・モード
負 荷 共 有 マルチキャスト・モードで 動 作 している 場 合 、スイッチの 設 定 は 以 下 のとおりです。
負 荷 共 有 マルチキャスト・モードに 対 するスイッチの 設 定
スイッチの 設 定
マルチキャスト・
モードでの CCP
内 容
マルチキャスト・モードは、 負 荷 共 有 マルチキャストにおけるデフォルトのクラスタ・コン
トロール・プロトコル・モードです。
ポート・ミラーリング ClusterXL では、ユニキャスト MAC アドレスでポート・ミラーリングを 行 ってマルチキャ
スト 負 荷 共 有 ソリューションを 実 現 することはできません。
負 荷 共 有 マルチキャスト・モードで 動 作 している 場 合 、ルータはマルチキャスト MAC アドレスを 使 用 したユニキャスト
IP パケットの 送 信 をサポートする 必 要 があります。これは 必 須 であるため、すべてのクラスタ・メンバがデータ・パ
ケットを 受 信 します。
ルータのモデルによっては、このモードをサポートするために 以 下 のように 設 定 する 必 要 があります。
負 荷 共 有 マルチキャスト・モードに 対 するルータの 設 定
ルータの 設 定
スタティック MAC
内 容
ほとんどのルータは、 自 動 的 に ARP メカニズムを 使 用 してユニキャスト IP とマルチキ
ャスト MAC を 含 む ARP メカニズムを 認 識 できます。ルータが 動 的 にこの 種 のマッピン
グを 認 識 する 機 能 を 持 っていない 場 合 は、スタティックな MAC エントリを 設 定 する 必
要 があります。
ClusterXL 管 理 ガイド R75.40VS | 31

ルータの 設 定
IGMP とスタティック
CAM
マルチキャスト 制 限
の 無 効 化
ルータへのマルチ
キャスト・トラフィッ
ク 転 送 の 無 効 化
内 容
一 部 のルータは、マルチキャスト MACアドレスを 使 用 したユニキャスト IPパケットの 送
信 をサポートするために、IGMP スヌーピングを 無 効 にするかスティック CAM を 設 定
する 必 要 があります。
一 部 のルータでは、ブロードキャスト・ストームを 防 ぐために 通 過 できるブロードキャス
トとマルチキャストに 上 限 を 設 けています。 通 常 この 制 限 は 全 インタフェース 帯 域 に 対
する 割 合 (%)です。
ブロードキャスト・ストーム 制 御 をオフにするか 高 レベルのブロードキャストまたはマル
チキャストに 対 してルータの 通 過 を 許 可 することができます。
一 部 のルータは、ルータ 自 身 にマルチキャスト・トラフィックを 送 信 します。これにより、
ネットワーク 全 体 でパケット・ストームが 発 生 する 可 能 性 があるため 転 送 を 無 効 にする
必 要 があります。
ClusterXL のハードウェアの 互 換 性
以 下 のルータとスイッチは、すべての ClusterXL モードと 互 換 性 があります。
ルータ
Cisco 7200 シリーズ
Cisco 1600、2600、3600 シリーズ
ルーティング・スイッチ
Extreme Networks Blackdiamond(IGMP スヌーピングを 無 効 化 )
Extreme Networks Alpine 3800 シリーズ(IGMP スヌーピングを 無 効 化 )
スイッチ
Foundry Network Bigiron 4000 シリーズ
Nortel Networks Passport 8600 シリーズ
Cisco Catalyst 6500 シリーズ(IGMP スヌーピングを 無 効 化 、マルチキャスト MAC を 手 動 設 定 )
Cisco Catalyst 2900、3500 シリーズ
Nortel BayStack 450
Alteon 180e
Dell PowerConnect 3248 と PowerConnect 5224
Cisco Catalyst ルーティング・スイッチの 設 定 例
以 下 の 例 では、Cisco Catalyst 6500 シリーズ・ルーティング・スイッチで ClusterXL をサポートするために 必 要 な 設
定 コマンドの 実 行 方 法 を 示 します。 詳 細 またはほかのネットワーキング 機 器 の 手 順 については、 各 機 器 のマニュア
ルを 参 照 してください。
IGMP スヌーピングの 無 効 化
IGMP スヌーピングを 無 効 にするには、 以 下 のコマンドを 実 行 します。
no ip igmp snooping
32 | ClusterXL 管 理 ガイド R75.40VS

スタティック CAM エントリの 定 義
モジュール 1(ポート 1)とモジュール 2(ポート 1、3、および 8~12)に 対 する 永 続 マルチキャスト・エントリ
をテーブルに 追 加 するには、 以 下 のコマンドを 入 力 します。
1. Console> (enable) set cam permanent 01-40-5e-28-0a-64 1/1,2/1,2/3,2/8-12
2. Permanent multicast entry added to CAM table.
3. Console> (enable)
設 定 が 必 要 な MAC アドレスを 決 定 するには
1. クラスタ IP アドレスが x.y.z.w のネットワーク 上 では 以 下 のようになります。
y127 の 場 合 、マルチキャスト MAC アドレスは 01:00:5e:(y-128):z::w です。たとえば、クラスタ IP アドレス
が 192.168.10.100 の 場 合 、MAC アドレスは 01:00:5e:28:0A:64 です(168-128=40 で、16 進 数 の「28」)。
2. 同 期 などのクラスタ IP アドレスを 持 たないネットワーク x.y.z.0 の 場 合 の 手 順 は 同 じですが、MAC アドレスの 最
後 のオクテット 0 の 代 わりに fa を 使 用 します。
たとえば、10.0.0.X ネットワークの 場 合 、01:00:5e:00:00:fa です。
マルチキャスト 制 限 の 無 効 化
マルチキャスト 制 限 を 無 効 にするには、 以 下 のコマンドを 実 行 します。
no storm-control multicast level
ルータでのスタティック ARP エントリの 設 定
スタティック ARP エントリを 定 義 するには
1. MAC アドレスを 決 定 します(33ページの「スタティック CAM エントリの 定 義 」を 参 照 )。
2. arp arpa を 実 行 します。
マルチキャスト・パケットがルータに 到 達 できないようにする 方 法
マルチキャスト・パケットがルータに 到 達 できないようにするには
1. MAC アドレスを 決 定 します(33ページの「スタティック CAM エントリの 定 義 」を 参 照 )。
2. set cam static module/port を 実 行 します。
チェック・ポイントのソフトウェアの 互 換 性
サポートするオペレーティング・システム
以 下 の 表 で 示 すオペレーティング・システムが ClusterXL でサポートされています。ただし 以 下 の 注 記 に 示 す 制 限 が
あります。これらのオペレーティング・システムのサポートされているバージョンの 詳 細 に 関 しては、『R75.40VS
Release Notes』(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
ClusterXL がサポートするオペレーティング・システム
OS 負 荷 共 有 HA(ハイ・アベイラビリティ)
Check Point SecurePlatform サポート サポート
ClusterXL 管 理 ガイド R75.40VS | 33

注 記
1. VLAN はすべてのインタフェースでサポートされます。
ClusterXL の 互 換 性 (IPS を 除 く)
以 下 の 表 と 注 は、ClusterXL の 負 荷 共 有 と HA の OPSEC 認 定 クラスタ 製 品 (43ページの「OPSEC 認 定 クラスタ 製
品 の 使 用 」を 参 照 )に 対 する 互 換 性 を 示 したものです。 一 部 のチェック・ポイントの 製 品 や 機 能 は、ClusterXL での 使
用 がサポートされていない、または 一 部 のみサポートされています( 詳 細 は 脚 注 を 参 照 )。
ClusterXL が 完 全 にはサポートしていない 製 品 と 機 能
機 能 または 製 品 機 能 負 荷 共 有 HA( 高 可 用 性 )
セキュリティ 管 理 いいえ いいえ
ファイアウォール 認 証 /セキュリティ・サーバ はい(1) はい(1)
ファイアウォール ACE サーバと SecurID はい はい
ファイアウォール
Application Intelligence プ
ロトコル・インスペクション
(2)
はい(3)
はい
ファイアウォール シーケンス・ベリファイア はい(4) はい(1)
ファイアウォール UDP カプセル 化 はい はい
ファイアウォール SAM はい はい
ファイアウォール ISP の 冗 長 性 はい はい
VPN
サード・パーティ 製 VPN
ピア
はい
はい
Endpoint Security クライアント
ソフトウェア 配 布 サーバ
(SDS)
いいえ
いいえ
Endpoint Security クライアント
オフィス・モードのユーザ
ごとの IP
はい
はい
SecureXL ハードウェア・アクセラレータ
または Performance Pack
はい
はい
Check Point QoS はい(4)(5) はい
SmartProvisioning
SmartLSM セキュリティ・
ゲートウェイ
いいえ
いいえ
Check Point Security Gateway はい はい
1. フラグメントの 受 信 中 にフェイルオーバーが 発 生 するとパケットは 失 われます。
2. フェイルオーバーが 発 生 した 場 合 は 救 済 されません。
3. 単 方 向 の 対 称 性 が 必 要 です。これは、すべての 外 部 パケットを 同 一 のメンバが 受 信 し、すべての 内 部 パケットを
同 一 のメンバが 受 信 しなければならないが 内 部 パケットと 外 部 パケットの 両 方 を 同 一 のメンバが 受 信 する 必 要
はないことを 意 味 します。
4. 双 方 向 の 接 続 対 称 性 が 必 要 です。
5. 次 のセクションで 説 明 する 転 送 レイヤを 使 用 します。
34 | ClusterXL 管 理 ガイド R75.40VS

ClusterXL の IPS との 互 換 性
以 下 の IPS の 機 能 は、 注 に 記 載 された 制 限 付 きで、ClusterXL によってサポートされます。
ClusterXL の IPS との 互 換 性
機 能 負 荷 共 有 HA
フラグメント・サニティ・チェック はい(1、3) はい(1)
パターン・マッチング はい(2、3) はい(2)
シーケンス・ベリファイア はい(2、4) はい(2)
FTP、HTTP、SMTP のセキュリティ・サーバ はい(2、5) はい(2)
1. フラグメントの 受 信 中 にフェイルオーバーが 発 生 するとパケットは 失 われます。
2. フェイルオーバーが 発 生 した 場 合 は 救 済 されません。
3. 単 方 向 の 対 称 性 が 必 要 です。これは、すべての 外 部 パケットを 同 一 のメンバが 受 信 し、すべての 内 部 パケットを
同 一 のメンバが 受 信 しなければならないが 内 部 パケットと 外 部 パケットの 両 方 を 同 一 のメンバが 受 信 する 必 要
はないことを 意 味 します。
4. 双 方 向 の 接 続 対 称 性 が 必 要 です。
5. 次 のセクションで 説 明 する 転 送 レイヤを 使 用 します。
注 記
1. フラグメントの 受 信 中 にフェイルオーバーが 発 生 するとパケットは 失 われます。
2. フェイルオーバーが 発 生 した 場 合 は 救 済 されません。
3. 単 方 向 の 対 称 性 が 必 要 です。これは、すべての 外 部 パケットを 同 一 のメンバが 受 信 し、すべての 内 部 パケットを
同 一 のメンバが 受 信 しなければならないが 内 部 パケットと 外 部 パケットの 両 方 を 同 一 のメンバが 受 信 する 必 要
はないことを 意 味 します。
4. 双 方 向 の 接 続 対 称 性 が 必 要 です。
5. 次 のセクションで 説 明 する 転 送 レイヤを 使 用 します。
転 送 レイヤ
転 送 レイヤとは、ファイアウォールがローカルで 検 査 した 後 のパケットをクラスタ・メンバがほかのメンバに 渡 すことが
できるようにする ClusterXL のメカニズムです。この 機 能 により、クラスタ・メンバから 外 部 ホストへの 接 続 を 開 始
できます。
クラスタ・メンバを 発 信 元 とするパケットは、クラスタの 仮 想 IP の 背 後 に 隠 されます。したがって、 外 部 ホストからの 応
答 は 直 接 発 信 元 メンバには 送 信 されずクラスタに 送 信 されます。これが 原 因 で 以 下 の 状 況 下 で 問 題 が 発 生 する 可
能 性 があります。
クラスタが HA New モードで 動 作 中 にスタンバイ・マシンから 接 続 が 開 始 された 場 合 。 外 部 ホストからの
パケットはすべてスタンバイ・マシンではなくアクティ ブ・マシンによって 処 理 されます。
クラスタが 負 荷 共 有 モードで 動 作 中 に 判 定 機 能 がこの 接 続 を 処 理 するメンバとして 別 のメンバを 選 択 した 場 合 。
これは、クラスタ IP 宛 てのパケットもほかの 接 続 と 同 様 にクラスタ・メンバ 間 で 分 散 されるためです。
メンバが、ファイアウォールの 検 査 プロセス 完 了 後 にパケットが 別 のクラスタ・メンバ 宛 てであると 判 断 した 場 合 、メン
バは 転 送 レイヤを 使 用 してパケットをその 宛 先 に 渡 すことができます。これは、セキュリティで 保 護 されたネットワー
ク( 同 期 ネットワークとして 指 定 されたサブネット)を 介 して 直 接 宛 先 メンバにパケットを 送 信 することによって 行 われ
ます。 暗 号 化 されたパケットは 検 査 プロセスで 復 号 され( 暗 号 化 されていない)クリアテキスト・データとして 転 送 され
るため、セキュリティで 保 護 されたネットワークのみを 使 用 することが 重 要 です。
転 送 レイヤ 上 で 送 信 されるパケットは、 特 別 な 発 信 元 MACアドレスを 使 用 して 別 の Security Gatewayによってパケ
ットの 検 査 が 完 了 していることを 受 信 側 メンバに 通 知 します。したがって、 受 信 側 メンバは 受 け 取 ったパケットをロー
ClusterXL 管 理 ガイド R75.40VS | 35

カル・オペレーティング・システムに 再 検 査 せずに 安 全 に 転 送 できます。 同 期 ネットワークは 常 に( 専 用 ネットワーク
を 使 用 して)ほかのネットワークから 隔 離 されているためこのプロセスは 安 全 です。
クラスタ・トポロジの 設 定
1. [Topology]ページで、[Edit Topology]をクリックして、 仮 想 のクラスタ IP アドレス、および 少 なくとも 1 つの 同 期
ネットワークを 定 義 します。
2. [Edit Topology]ウィンドウで 以 下 を 行 います。
a) 各 メンバ・インタフェースのトポロジを 定 義 します。メンバ・インタフェースで 事 前 に 定 義 されたすべての 設 定
を 自 動 的 に 読 み 込 むには、[Copy topology to cluster interfaces]をクリックします。
b) [Network Objective]カラムで、リストから 各 ネットワークに 目 的 を 選 択 します。オプションについては、オン
ライン・ヘルプを 参 照 してください。 新 しいネットワークを 定 義 するには、[Add Network]をクリックします。
3. 各 仮 想 クラスタ・インタフェースのトポロジを 定 義 します。 仮 想 クラスタ・インタフェース・セルを 右 クリックして[Edit
Interface]を 選 択 します。[Interface Properties]ウィンドウが 開 きます。
a) [General]タブで、 仮 想 インタフェースに[Name]を 付 けて、[IP Address]を 定 義 します。
b) [Topology]タブでインタフェースが 内 部 か 外 部 かどうかを 定 義 し、アンチスプーフィング 機 能 を 設 定 します。
c) [Member Networks]タブで、メンバ・ネットワークとネットマスク( 必 要 な 場 合 )を 定 義 します。 詳 細 オプション
は、 異 なるサブネット 上 のクラスタ・アドレスの 設 定 を 参 照 してください。
36 | ClusterXL 管 理 ガイド R75.40VS

第 5 章
ClusterXL の 設 定
この 章 の 構 成
クラスタ・メンバの 準 備 37
クライアント・マシンのルーティング 設 定 38
クラスタ・メンバでの CCP トランスポート・モードの 選 択 38
クラスタ・オブジェクトとメンバの 設 定 38
IPv6 に 対 する ClusterXL の HA 41
この 手 順 では、 負 荷 共 有 マルチキャスト・モード、 負 荷 共 有 ユニキャスト・モード、および HA New モードの 設 定 方 法
について 説 明 します。 設 定 はすべてのモードで 同 じですが、SmartDashboard ゲートウェイ・クラスタ・オブジェクトの
モードの 選 択 またはゲートウェイ・クラスタの 作 成 ウィザードでは 異 なります。
HA Legacy モードを 使 用 している 場 合 には、102ページの「HA Legacy モード」を 参 照 してください。
クラスタ・メンバの 準 備
クラスタ・メンバを 準 備 するには
1. ClusterXL の 主 要 なライセンスを 取 得 して、Security Management サーバにインストールします。
2. すべてのクラスタ・メンバに Check Point Security Gateway をインストールして 設 定 します。 各 メンバは、 同
じバージョンとビルドを 使 用 します。インストールと 初 期 設 定 処 理 に 関 しては、『R75.40VS Installation and
Upgrade Guide』(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
a) インストール 処 理 の 間 、Secure Platform および Solaris メンバのために[Enable cluster membership for
this gateway]を 選 択 することによって ClusterXLとステート 同 期 を 有 効 にするか、Windows を 使 用 している
メンバのために[This Gateway is part of a cluster]を 有 効 にします。
インストール 中 にこの 処 理 を 実 行 しなかった 場 合 は、 後 ほど cpconfig を 使 用 することでいつでも 同 じ 処 理 が
できます。コマンドラインから cpconfig を 実 行 し、 適 切 なオプションを 選 択 してそのメンバのためにクラスタ
の 能 力 を 有 効 にします。メンバを 再 起 動 させる 必 要 があるかもしれません。
3. すべてのメンバにおいて 各 インタフェースの IP アドレスを 定 義 します。
4. VPN クラスタ・メンバにおいては、 同 期 メンバがお 互 いの 間 で 1 秒 以 内 に 正 確 に 時 間 を 計 ります。 常 に 稼 動 して
いるクラスタ・メンバでは、 通 常 は 時 刻 を 一 度 設 定 するだけで 十 分 です。NPT や、オペレーティング・システムが
提 供 するその 他 の 時 刻 同 期 サービスを 使 用 すると、より 信 頼 性 の 高 い 同 期 を 実 現 できます。クラスタ・メンバの
時 計 同 期 は 非 VPN クラスタ 機 能 とは 関 係 ありません。
5. スイッチを 介 してクラスタ・ネットワーク・マシンを 接 続 します。 同 期 インタフェースの 場 合 はクロスケーブルまたは
専 用 スイッチを 使 用 してください。 各 ネットワーク( 内 部 、 外 部 、 同 期 、DMZ など)が 別 々の VLAN、スイッチ、また
はハブ 上 に 構 成 されていることを 確 認 します。
注 – WAN を 介 して 同 期 することもできます(15ページの「WAN を 介 したクラスタの 同 期 」
を 参 照 )。
ClusterXL 管 理 ガイド R75.40VS | 37

クライアント・マシンのルーティング 設 定
クライアント・マシンにルーティングを 設 定 するには
1. 内 部 ネットワークとの 通 信 が 外 部 のクラスタ IP アドレスを 使 用 するように、ルーティングを 設 定 します。たとえば、
内 部 ネットワーク 10.10.0.0 に 192.168.10.100 経 由 で 到 達 するように、スタティック・ルートを 設 定 します。
2. 外 部 ネットワークとの 通 信 が 内 部 のクラスタ IP アドレスを 使 用 するように、ルーティングを 設 定 します。たとえば、
内 部 ネットワーク IP アドレス 10.10.0.100 を、 各 コンピュータのデフォルトのゲートウェイとしてルータ 内 部 に 定 義
します。
クラスタ・メンバでの CCP トランスポート・モードの 選 択
マルチキャストの 方 がブロードキャストよりも 効 率 が 良 いため、クラスタ・メンバの ClusterXL(クラスタ・コントロール・
プロトコル)はデフォルトでマルチキャストを 使 用 します。 接 続 するスイッチがマルチキャスト・トラフィックを 転 送 できな
い 場 合 、 効 率 は 下 がりますが、スイッチにブロードキャストを 使 わせてトラフィックを 転 送 できます。
ブロードキャストとマルチキャスト 間 で CCP モードを 切 り 替 えるには
各 クラスタ・メンバに 対 して、コマンド・ラインで 以 下 のコマンドを 実 行 します。
cphaconf set_ccp broadcast/multicast
クラスタ・オブジェクトとメンバの 設 定
クラスタ・オブジェクトの[Topology]ページを 使 用 してクラスタ・オブジェクトとクラスタ・メンバの 両 方 のトポロジを 設
定 します。クラスタ IP アドレスは 仮 想 で、 物 理 インタフェースに 属 していません。1 つ 以 上 の 同 期 ネットワーク・インタ
フェースを 各 クラスタ・メンバに 割 り 当 てます。
次 に 示 す 図 は 代 表 的 な ClusterXL 構 成 です。この 章 では、この 構 成 を 基 にした 例 をあげて 説 明 しています。
新 しいゲートウェイ・クラスタ・オブジェクトを 定 義 するには
1. Network Objects のツリーを 右 クリックして、[Check Point]→[Security Cluster]を 選 択 します。
2. [Security Gateway Cluster Creation]ウィンドウが 表 示 されたら、 以 下 のいずれかのメソッドを 選 択 して 新 しい
クラスタ・オブジェクトを 作 成 します。
シンプル・モード(ウィザード): 表 示 される 手 順 に 従 って、 設 定 プロセスを 実 行 します。 詳 細 はオンラインの
ヘルプ・アシスタントをご 参 照 ください。
38 | ClusterXL 管 理 ガイド R75.40VS

クラシック・モード: 次 の 項 の 説 明 を 参 照 してください。
ウィザードの 使 用
クラシック・モードの 設 定
設 定 手 順
[General Properties]の 設 定 39
クラスタ・メンバの 定 義 39
ClusterXL プロパティの 設 定 40
クラスタ・トポロジの 設 定 40
定 義 の 完 了 41
[General Properties]の 設 定
クラスタの[General Properties]を 設 定 するには
1. 指 定 されたフィールドで、このクラスタ・オブジェクトに 固 有 な 名 前 を 入 力 します。
2. メイン・クラスタ IP アドレスを 入 力 します。
3. クラスタにインストールされた 製 品 として ClusterXL をオンにします。
4. ClusterXL を 有 効 化 し、 適 切 な 場 合 、その 他 のネットワーク・セキュリティのソフトウェア・ブレードも 有 効 化 し
ます。
クラスタ・メンバの 定 義
クラスタ・メンバを 設 定 するには
1. [Cluster Members]ページで、[Add]→[New Cluster Member]をクリックします。
2. [Cluster Members Properties]ウィンドウの[General]タブで、メンバの[Name]と 物 理 [IP Address]
(Security Management サーバからルーティング 可 能 なもの)を 入 力 します。 内 部 アドレス、 外 部 アドレス、 専 用
管 理 インタフェースのいずれでも 構 いません。
3. [Communication]をクリックして、SIC(Secure Internal Communication)トラストを 初 期 化 します。
4. 必 要 に 応 じて 適 切 なタブ 上 で、[NAT]と[VPN]を 設 定 します。 詳 細 は、『R75.40VS Security Management
Administration Guide』(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
メンバとして 既 存 のゲートウェイを 追 加
既 存 のゲートウェイをクラスタ・メンバとして 加 えるには、[Add]→[Add Gateway to Cluster]を[Cluster Members
ページで 選 択 し、[Add Gateway to Cluster]ウィンドウのリストからゲートウェイを 選 択 します。
メンバの 削 除
クラスタからゲートウェイを 削 除 するには、[Cluster Members]ページで[Remove]をクリックして[Detach Member
from Cluster]を 選 択 するか、[Network Objects]ツリーのクラスタ・メンバを 右 クリックして[Detach from Cluster]を
選 択 します。
ClusterXL 管 理 ガイド R75.40VS | 39

ClusterXL プロパティの 設 定
ClusterXL プロパティを 設 定 するには
1. HA 構 成 の 場 合 、[High Availability]オプションを 有 効 にし、 次 を 実 行 します。
a) 以 下 のモードのいずれかを 選 択 します。
• New(デフォルト)
• Legacy
b) プライマリ・メンバ 回 復 で 行 う 動 作 を 選 択 してください。
• 現 在 のアクティブなクラスタ・メンバの 維 持
• より 高 い 優 先 順 位 のクラスタ・メンバに 切 り 替 え
2. 負 荷 共 有 構 成 の 場 合 、[Load Sharing]オプションを 有 効 にして、ルータの 機 能 に 従 って、 以 下 のモードのいず
れかを 選 択 します。
マルチキャスト(デフォルト)
ユニキャスト
3. [Use State Synchronization]オプションを 有 効 にします。
a) 負 荷 共 有 の 設 定 にはステ―ト 同 期 が 必 要 です。このオプションはデフォルトで 有 効 になっており、 無 効 にで
きません。
b) HA New 構 成 の 場 合 、ステート 同 期 はオプションですが、デフォルトで 有 効 になっています。ステート 同 期 を
無 効 にした 場 合 、クラスタ・メンバは 同 期 されなくなり、フェイルオーバーの 発 生 時 に 障 害 が 発 生 したゲート
ウェイ 上 の 既 存 の 接 続 は 切 断 されます。
4. リストから 追 跡 オプションを 選 択 します。
クラスタ・トポロジの 設 定
1. [Topology]ページで、[Edit Topology]をクリックして、 仮 想 のクラスタ IP アドレス、および 少 なくとも 1 つの 同 期
ネットワークを 定 義 します。
2. [Edit Topology]ウィンドウで 以 下 を 行 います。
a) 各 メンバ・インタフェースのトポロジを 定 義 します。メンバ・インタフェースで 事 前 に 定 義 されたすべての 設 定
を 自 動 的 に 読 みこむには、[Copy topology to cluster interfaces]をクリックします。
b) [Network Objective]カラムで、リストから 各 ネットワークに 目 的 を 選 択 します。オプションについては、オン
ライン・ヘルプを 参 照 してください。 新 しいネットワークを 定 義 するには、[Add Network]をクリックします。
3. 各 仮 想 クラスタ・インタフェースのトポロジを 定 義 します。 仮 想 クラスタ・インタフェース・セルを 右 クリックして[Edit
Interface]を 選 択 します。[Interface Properties]ウィンドウが 開 きます。
40 | ClusterXL 管 理 ガイド R75.40VS

a) [General]タブで、 仮 想 インタフェースに[Name]を 付 けて、[IP Address]を 定 義 します。
b) [Topology]タブでインタフェースが 内 部 か 外 部 かどうかを 定 義 し、アンチスプーフィング 機 能 を 設 定 します。
c) [Member Networks]タブで、メンバ・ネットワークとネットマスク( 必 要 な 場 合 )を 定 義 します。 詳 細 オプション
は、 異 なるサブネット 上 のクラスタ・アドレスの 設 定 を 参 照 してください。
定 義 の 完 了
1. 必 要 に 応 じて、クラスタ・オブジェクトの 他 のページ([NAT]、[VPN]、[Remote Access]ページなど)を 定 義 し
ます。
2. セキュリティ・ポリシーをクラスタにインストールします。
IPv6 に 対 する ClusterXL の HA
R75.40VS ClusterXL は IPv6 向 けの HA クラスタをサポートしています。フェイルオーバーが 発 生 すると、すべての
IPv6 ステート 情 報 が 同 期 され、IPv6 クラスタ 化 のメカニズムが 有 効 になります。
R75.40VS ClusterXL(IPv4 と 同 様 )を 使 用 する 場 合 、ClusterXL は、ステート 同 期 とクラスタ 化 の 両 方 を 実 行 します。
SmartDashboard では、クラスタ 化 された 各 インタフェースに IPv6 クラスタ・アドレスを 定 義 する 必 要 があります。
ClusterXL の HA
R75.40VS ClusterXL を 使 う 場 合 、ステート 同 期 と HA クラスタで ClusterXL が 使 われます。フェイルオーバーの 間 、
HA クラスタは 通 常 Gratuitous ARP 要 求 パケットを 送 信 し、 仮 想 クラスタ IPv4 アドレスに 新 しい MAC アドレスをアド
バタイズすることで、クラスタ・インタフェースに 接 続 されたホスト/ルータの ARP キャッシュをアップデートします。
R75.40VS ClusterXL には、フェイルオーバーの 間 に IPv6 ネットワークをアップデートできる 機 能 が 備 えられていま
す。Cluster XL は、Neighbor Advertisement のメッセージを 送 信 し、 仮 想 クラスタ IPv6 アドレスに 新 しい MAC アド
レスをアドバタイズすることで、ネイバ・キャッシュ(IPv4 の ARP キャッシュに 相 当 します)をアップデートします.さらに、
ClusterXL は、 仮 想 クラスタ IPv6 のアドレスに 等 しいターゲット・アドレスにより Neighbor Solicitation に 応 答 します。
注 - ClusterXL のフェイルオーバー・イベントの 検 出 は、IPv4 のプロービングに 基 づいていま
す。ステート 移 行 の 間 、IPv4 ドライバは、IPv6 ドライバに 対 して IPv6 ネットワークの HA クラス
タへの 接 続 性 を 再 確 立 するよう 指 示 します。
IPv6 クラスタの 設 定
IPv6 の 機 能 をインタフェースに 有 効 にするためには、 適 切 なインタフェースに 対 する IPv6 アドレスをクラスタと 各 メン
バに 定 義 する 必 要 があります。IPv6 アドレスによって 設 定 されたすべてのインタフェースが、 対 応 する IPv4 アドレス
を 持 っている 必 要 があります。インタフェースが IPv6 を 必 要 としない 場 合 、IPv4 定 義 アドレスのみが 必 要 になりま
す。
注 - IPv4 アドレスのみで 同 期 インタフェースを 設 定 します。これは、 同 期 メカニズムが IPv4 だ
けを 使 用 して 動 作 するためです。すべての IPv6 の 情 報 とステートは、このインタフェースを 使
用 して 同 期 します。
クラスタ・インタフェースとクラスタ・メンバに IPv6 を 設 定 するには
1. SmartDashboard で、 新 しいクラスタ・オブジェクトを 作 成 するか、または 既 存 のクラスタ・オブジェクトをダブルク
リックします。
2. ナビゲーション・ツリーで、[ClusterXL]を 選 択 します。
3. [High Availability]を 選 択 します。
4. [Topology]→[Edit]をクリックします。
ClusterXL 管 理 ガイド R75.40VS | 41

5. [Edit Topology]ウィンドウで、[Add Network]をクリックします。
6. クラスタ・インタフェースとメンバ 情 報 を 適 切 なフィールドに 入 力 します(IPv4 アドレス、Net Mask、IPv6 アドレス、
プレフィックス 長 )。
情 報 を 入 力 するには、セルを 選 択 して[Edit]をクリックします。
注 - クラスタ・メンバは、クラスタ・インタフェースと 同 じ IPv6 アドレス・プレフィックスを 持 つ 必
要 があります。 異 なったプレフィックスはサポートされません。
7. 変 更 を 保 存 するには、[OK]をクリックします。
cphaprob stat または cphaprob -a のみが IPv4 アドレス 情 報 を 表 示 します。これは、ClusterXL のメカニズ
ムが IPv4 に 基 づいているためです。cphaprob stat が、IPv4 アドレスがアクティブであることを 示 すと、IPv6 アド
レスもアクティブであることを 意 味 します。
42 | ClusterXL 管 理 ガイド R75.40VS

第 6 章
OPSEC 認 定 クラスタ 製 品 の 使 用
この 章 の 構 成
OPSEC 認 定 クラスタ 製 品 について 43
OPSEC 認 定 クラスタ 製 品 の 設 定 43
OPSEC クラスタにおける CPHA コマンド・ラインの 動 作 45
OPSEC 認 定 クラスタ 製 品 について
多 くの OPSEC 認 定 製 品 が HA 機 能 (「ホット・スタンバイ」とも 呼 ばれます)と 負 荷 共 有 機 能 (「ロード・バランシング」
とも 呼 ばれます)を 提 供 しています。これらの 製 品 を 使 用 して、 可 用 性 の 高 い Security Gateway クラスタを 構 築 し、
クラスタ 化 されたゲートウェイ 間 で 均 等 にトラフィックを 分 散 させることができます。
各 OPSEC 認 定 クラスタリング・アプリケーションは、 監 視 、 管 理 、またはパフォーマンスにおいて、それぞれ 固 有 の
強 みと 能 力 を 持 っています。これらのクラスタリング・アプリケーションの 役 割 は 以 下 のとおりです。
1. 各 通 信 を 処 理 するクラスタ・メンバを 決 定 する。
2. ヘルス・チェックを 行 う。これには、クラスタ・メンバの 状 態 チェック(Active/Standby/Down など)と、メンバ・インタ
フェースの 状 態 チェックが 含 まれます。
3. フェイルオーバーを 実 行 する。
OPSEC 認 定 クラスタ 製 品 は、チェック・ポイントの ステート 同 期 メカニズム(11ページの「クラスタ 間 での 接 続 情 報
の 同 期 」を 参 照 )を 使 用 して、クラスタ・メンバ 間 で 通 信 情 報 やその 他 の 状 態 情 報 の 交 換 と 更 新 を 行 います。
ここでは、OPSEC 認 定 クラスタ 製 品 を 使 用 する 際 の 一 般 的 なガイドラインについて 説 明 します。 設 定 の 詳 細 は、クラ
スタ 製 品 ごとに 異 なりますので、OPSEC 製 品 に 添 付 されているマニュアルに 従 ってください。
OPSEC 認 定 クラスタ 製 品 の 設 定
ここでは、OPSEC 認 定 Security Gateway のクラスタ・ソリューションの 設 定 方 法 を 説 明 します。
スイッチの 準 備 とルーティングの 設 定
以 下 については、クラスタ 製 品 マニュアルの 説 明 に 従 ってください。
スイッチとルータの 準 備
ルーティングの 設 定
クラスタ・メンバ・マシンの 準 備
クラスタ・メンバ・マシンを 準 備 するには
1. すべてのクラスタ・メンバ 上 で、すべてのインタフェースの IP アドレスを 定 義 します。
2. スイッチを 介 してクラスタ・ネットワーク・マシンを 接 続 します。 同 期 インタフェースの 場 合 は、クロスケーブルまた
は 専 用 スイッチを 使 用 してください。
ClusterXL 管 理 ガイド R75.40VS | 43

注 - WAN を 介 して 同 期 を 実 行 できます。 詳 細 は、15ページの「WAN を 介 したクラスタの
同 期 」を 参 照 してください。
3. IPSO クラスタに 関 しては、Check Point Security Gateway をインストールする 前 に VRRP もしくは IP クラスタリ
ングを 設 定 します。
4. OPSEC 認 定 クラスタの 場 合 は、ベンダーの 推 奨 方 法 に 従 ってください。
インストールが 終 了 したら、Nokia 設 定 マネージャで[Enable VPN-1/FW-1 monitoring]が[Enable]に 設 定 さ
れていることを 確 認 します。これにより、IPSO はファイアウォールの 状 態 の 変 化 を 監 視 するようになります。
IPSO 3.8.2 以 降 の VRRP と IP クラスタリング 機 能 の 場 合 、フェイルオーバーのためにファイアウォールの 状 態
が IPSO クラスタに 報 告 されます。
5. すべてのクラスタ・メンバに Check Point Security Gateway をインストールします。 設 定 段 階 で(または 後 で
cpconfig 設 定 ツールを 使 用 して) 以 下 を 行 います。
各 クラスタ・メンバに Check Point Security Gateway のためのライセンスをインストールします。OPSEC 認
定 製 品 を Security Gateway と 共 に 動 作 させるための 特 別 なライセンスは 不 要 です。
設 定 段 階 で、Unix マシンで[Enable cluster membership for this gateway]、または Windows で[This
Gateway is part of a cluster]を 選 択 して、ステート 同 期 を 有 効 にします。
OPSEC クラスタに 対 する SmartDashboard の 設 定
SmartDashboard を 使 用 して、ゲートウェイ・クラスタ・オブジェクトを 作 成 します。 新 しいゲートウェイ・クラスタ・オブ
ジェクトを 定 義 するには、[Network Objects]ツリーを 右 クリックして、[New Check Point]→[Gateway Cluster…]
を 選 択 します。ゲートウェイ・クラスタ・オブジェクトの 設 定 は、 以 下 のいずれかのモードを 使 用 して 実 行 できます。
シンプル・モード(ウィザード): 表 示 される 手 順 に 従 って、 設 定 プロセスを 実 行 します。 詳 細 については、
オンライン・ヘルプを 参 照 してください。
クラシック・モード: 以 下 で 説 明 します。
クラシック・モードの 設 定
OPSEC でクラシック・モードを 使 うには
1. ゲートウェイ・クラスタ・オブジェクトの[General Properties]ページで、クラスタの 全 体 IP アドレスを 定 義 します。
通 常 は、クラスタの 外 部 仮 想 IP アドレスを 使 用 します。
[Check Point Products]のリストで、ClusterXL が 選 択 されていないことを 確 認 します。
2. [Cluster Members]ページで、[Add]→[New Cluster Member]を 選 択 して、クラスタ・メンバをクラスタに 追 加
します。クラスタ・メンバはゲートウェイ・クラスタ・オブジェクト 内 にのみ 存 在 します。 各 クラスタ・メンバに 対 して 以
下 の 操 作 を 行 います。
[Cluster Members Properties]→[General] タブで、[Name]と[IP Address]を 定 義 します。セキュリ
ティ・ポリシーをインストールできるように、Security Management サーバからルーティング 可 能 な IP アドレ
スを 選 択 します。 内 部 アドレス、 外 部 アドレス、 専 用 管 理 インタフェースのいずれでも 構 いません。
[Communication]をクリックして、SIC(Secure Internal Communication)を 初 期 化 します。
必 要 に 応 じて[NAT]タブと[VPN]タブを 定 義 します。
既 存 のゲートウェイをクラスタ・メンバとして 追 加 するには、[Cluster Members]ページで[Add]→[Add
Gateway to Cluster]を 選 択 し、[Add Gateway to Cluster]ウィンドウのリストからゲートウェイを 選 択 します。
クラスタからゲートウェイを 削 除 するには、[Cluster Members]ページで[Remove]をクリックして[Detach
Member from Cluster]を 選 択 するか、[Network Objects]ツリーのクラスタ・メンバを 右 クリックして[Detach
from Cluster]を 選 択 します。
3. [3rd Party Configuration]ページで、クラスタの 動 作 モードを 指 定 し、[3rd Party Solution]に OPSEC を 指 定 し
て、[Use State Synchronization]をオンにします。
4. [Topology]ページを 使 用 して、 仮 想 クラスタ IP アドレスとクラスタ・メンバ・アドレスを 定 義 します。
各 クラスタ・メンバに 対 して、 各 メンバのインタフェースを 定 義 します。
OPSEC 認 定 製 品 の 場 合 、 一 部 の 製 品 では 仮 想 クラスタ IP の 設 定 は 必 須 ですが、ほかの 製 品 では 設 定 は 禁 止
されています。 詳 細 については、クラスタ 製 品 のマニュアルを 参 照 してください。
44 | ClusterXL 管 理 ガイド R75.40VS

同 期 ネットワークを 定 義 します。OPSEC の 実 装 方 法 によっては、OPSEC 設 定 がすでに 定 義 されていれば、
OPSEC 設 定 から 同 期 ネットワークを「 取 得 」できます。 特 定 の OPSEC 製 品 でこの 機 能 が 実 装 されているかどう
か 確 認 するには、OPSEC のマニュアルを 参 照 してください。
5. [3rd Party Configuration]ページに 戻 ります。
非 対 称 通 信 は、クライアントからサーバへのパケットとサーバからクライアントへのパケットが 異 なるクラスタ・メ
ンバを 通 過 する 通 信 です。 非 対 称 通 信 では、 状 態 の 一 致 しないパケットをクラスタ・メンバが 受 信 する 可 能 性 が
あるため 問 題 となります。Security Gateway は、 有 効 な 通 信 に 属 するパッケージであっても out-of-state パケッ
トであれば 拒 否 します。
このような 通 信 がクラスタを 通 過 するのを Security Gateway に 許 可 させるには、 同 期 メカニズムまたは OPSEC
認 定 クラスタ 製 品 のどちらかが、 有 効 な 非 対 称 通 信 を 識 別 できる 必 要 があります。
OPSEC 認 定 クラスタ 製 品 が 有 効 な 非 対 称 通 信 を 識 別 できるかどうかを 確 認 します。
クラスタ 製 品 が 有 効 な 非 対 称 通 信 を 識 別 できない 場 合 には、 代 わりに 同 期 メカニズムで 識 別 できます。その
場 合 、[Support non-sticky connections]をオンにします。
クラスタ 製 品 が 有 効 な 非 対 称 通 信 を 識 別 できる 場 合 、 同 期 メカニズムはこの 処 理 を 行 う 必 要 はありません。
その 場 合 、[Support non-sticky connections]をオフにします。HA ソリューション( 負 荷 共 有 ではなく)では、
このオプションをオフにしたほうがセキュリティ 上 安 全 です。このオプションをオフにすると、 通 信 確 立 の 速 度
も 少 し 向 上 します。
[Hide Cluster Members outgoing traffic behind the Clusters IP Address]オプションをオンにする 場 合 は、
(OPSEC クラスタ 製 品 のマニュアルで 特 に 指 示 されていない 限 り) [Support non-sticky connections]も
オンにして、スタンバイ・マシンからの 発 信 通 信 をサポートする 必 要 があります。
6. 多 くのゲートウェイ・クラスタは 物 理 クラスタ・メンバ・インタフェース・アドレスのほかに、クラスタ・オブジェクトの
[Topology]ページで 定 義 された 仮 想 クラスタ IP アドレスを 持 っています。 仮 想 クラスタ IP アドレスを 使 用 すると、
[3rd Party Configuration]ページの 設 定 に 影 響 を 与 えます。
クラスタ・メンバからインターネットへの 発 信 通 信 を 確 立 する 場 合 、 発 信 パケット 内 の 発 信 元 アドレスは 通 常 、クラ
スタ・メンバ・インタフェースの 物 理 IP アドレスになります。 仮 想 クラスタ IP アドレスを 使 用 している 場 合 、クラスタ
製 品 は 通 常 、 発 信 元 IP アドレスを、クラスタの 外 部 仮 想 IP アドレスを 使 用 した 発 信 元 IP アドレスに(NAT を 使
用 して) 変 換 します。
この 動 作 は、[Hide Cluster Members' outgoing traffic behind the Cluster's IP address]がオンになっている
場 合 のデフォルト 設 定 に 対 応 します。
クライアントがクラスタの 外 部 仮 想 アドレスに 対 して 着 信 通 信 を 確 立 する 場 合 、クラスタ 製 品 は 宛 先 IP アドレスを、
クラスタ・メンバの 1 つの 物 理 外 部 アドレスを 使 用 した 宛 先 IP アドレスに(NAT を 使 用 して) 変 換 します。
この 動 作 は、[Forward Cluster's incoming traffic to Cluster Members' IP addresses]がオンになっている 場
合 のデフォルト 設 定 に 対 応 します。[Topology]ページで、 各 メンバのインタフェースを 定 義 します。ほとんどの
OPSEC ソリューションでは、クラスタ IP アドレスを 各 メンバの[Topology]タブに 追 加 する 必 要 はありません。 詳
細 については、クラスタ 製 品 のマニュアルを 参 照 してください。
7. 必 要 に 応 じて、クラスタ・オブジェクトの 他 のページ([NAT]、[VPN]、[Remote Access]ページなど)を 定 義 し
ます。
8. セキュリティ・ポリシーをクラスタにインストールします。
注 - IPSO VRRP または IPSO バージョン 3.9 以 降 の IP クラスタを 定 義 する 場 合 monitor
fw state 機 能 は 最 初 のポリシーのインストール 前 に 無 効 化 しておきます。 無 効 にしないと、
クラスタ IP アドレスの 設 定 ができなくなり、その 結 果 、[Gateway Cluster Properties]ウィン
ドウの[Topology]セクションでの[Get Interfaces] 操 作 は 失 敗 します。ポリシーのインス
トール 後 、monitor fw state 機 能 を 再 び 有 効 にすることができます。
OPSEC クラスタにおける CPHA コマンド・ラインの 動 作
このセクションでは、OPSEC クラスタでの 特 定 のコマンド・ラインの 働 きについて 説 明 します。
注 - cpha コマンド・ラインの 詳 細 は、「ゲートウェイ・クラスタの 監 視 とトラブルシューティング」
(47ページ)を 参 照 してください。
ClusterXL 管 理 ガイド R75.40VS | 45

OPSEC クラスタにおける cphastart コマンドと cphastop コマンド
ClusterXL における cphastart および cphasstop コマンドの 動 作 については、57ページの「cphastart コマンドと
cphastop コマンド」を 参 照 してください。
OPSEC クラスタでは、cphastart コマンドでクラスタ・メンバが 起 動 されない 場 合 があります。IPSO クラスタでは、
cphastart コマンドの 働 きは ClusterXL クラスタの 場 合 と 同 じです。
OPSEC クラスタでは、cphastop コマンドがフェイルオーバーを 発 生 させない 場 合 があります。IPSO IP クラスタリン
グ・クラスタ(VRRP クラスタでは 異 なります)では、cphastop コマンドの 働 きは ClusterXL クラスタの 場 合 と 同 じです。
ClusterXL クラスタの 場 合 と 同 様 、これらのコマンドは Security Gateway によってのみ 実 行 され、ユーザは 直 接 実
行 しません。
OPSEC クラスタにおける cphaprob コマンド
クラスタとクラスタ・メンバが 正 常 に 動 作 していることを 確 認 するには、cphaprob コマンドを 使 用 します。このコマンド
は、IPSO IP クラスタリングと IPSO VRRP にのみ 関 係 します。
IPSO 以 外 の OPSEC クラスタでは、 出 力 に 何 も 表 示 されないか、コマンドを 実 行 しても 何 も 起 こりません。
cphaprob の 使 い 方 を 印 刷 して 使 用 可 能 なすべてのコマンドを 確 認 するには、コマンド・ラインに「cphaprob」と 入 力
して、Enter キーを 押 します。 各 コマンドの 意 味 を 以 下 のセクションで 説 明 します。
cphaprob -d -t -s [-p] register
cphaprob -f register
cphaprob -d [-p] unregister
cphaprob -d -s report
cphaprob [-i[a]] [-e] list
cphaprob state
cphaprob [-a] if
cphaprob state: マシン 状 態 はチェック・ポイントの 状 態 だけであり、 実 際 にはマシン 状 態 ではありません。 完 全
同 期 の 正 常 終 了 と、ポリシーが 正 常 にインストールされたかどうかを 監 視 します。IP クラスタリングの 場 合 、 状 態 は
正 確 で、IPSO Cluster の 状 態 も 含 めてレポートされます。VRRP の 場 合 、 状 態 はファイアウォールについては 正 確
ですが、IPSO マシンの 状 態 は 正 確 には 反 映 されません(たとえば、インタフェースの 障 害 は 検 出 されません)。
cphaprob [-a] if: 関 連 情 報 のみを 表 示 します(インタフェース 名 と、 同 期 インタフェースであるかどうか)。
「Multicast」/「Broadcast」はクラスタ・コントロール・プロトコルを 意 味 し、 同 期 インタフェースにのみ 関 係 します。イン
タフェースの 状 態 は 監 視 されていないため、 表 示 されません(これは IPSO マシンの 場 合 も 同 様 です)。
46 | ClusterXL 管 理 ガイド R75.40VS

第 7 章
ゲートウェイ・クラスタの
監 視 とトラブルシューティング
この 章 の 構 成
クラスタの 正 常 動 作 を 確 認 する 方 法 47
SmartConsole クライアントを 使 用 したクラスタ 状 態 監 視 53
ClusterXL 設 定 コマンド 56
フェイルオーバーの 開 始 方 法 57
同 期 の 監 視 (fw ctl pstat) 58
同 期 のトラブルシューティング 60
ClusterXL のエラー・メッセージ 69
メンバの 再 起 動 の 失 敗 72
クラスタの 正 常 動 作 を 確 認 する 方 法
cphaprob コマンド
クラスタとクラスタ・メンバが 正 常 に 動 作 していることを 確 認 したり、クリティカル・デバイスを 定 義 する 場 合 は、
cphaprob コマンドを 使 用 します。クリティカル・デバイスとはクラスタ・メンバで 動 作 するプロセスで、クラスタ・メンバ
がメンバとして 機 能 できなくなった 場 合 にほかのクラスタ・メンバに 通 知 することを 可 能 にします。クリティカル・デバイ
スは 自 分 の 現 在 の 状 態 について ClusterXL メカニズムに 報 告 します。 報 告 に 失 敗 した 場 合 、ClusterXL はフェイル
オーバーが 発 生 してほかのクラスタ・メンバが 引 き 継 いだと 判 断 します。クリティカル・デバイス( 問 題 通 知 または
pnote とも 呼 ばれます)に 障 害 が 発 生 した 場 合 、クラスタ・メンバに 障 害 が 発 生 したと 見 なされます。
多 くの 組 み 込 みクリティカル・デバイスがあり、さらに 管 理 者 がクリティカル・デバイスを 追 加 定 義 することもできます。
デフォルトのクリティカル・デバイスは 以 下 のとおりです。
クラスタ・メンバ 上 のクラスタ・インタフェース
Synchronization — 完 全 同 期 の 正 常 終 了
Filter — セキュリティ・ポリシーおよびセキュリティ・ポリシーがロードされたかどうか
cphad — cphamcset と 呼 ばれる ClusterXL プロセスの 次 に 実 行 されるプロセス
fwd — Security Gateway デーモン.
これらのコマンドは、スクリプトに 記 述 することにより 自 動 的 に 実 行 できます。
cphaprob の 使 い 方 を 印 刷 して 使 用 可 能 なすべてのコマンドを 確 認 するには、コマンド・ラインに「cphaprob」と 入 力
して、Enter キーを 押 します。 各 コマンドの 意 味 を 以 下 のセクションで 説 明 します。
ClusterXL 管 理 ガイド R75.40VS | 47

cphaprob -d -t -s [-p] register
cphaprob -f register
cphaprob -d [-p] unregister
cphaprob -d -s report
cphaprob [-i[a]] [-e] list
cphaprob state
cphaprob [-a] if
クラスタの 状 態 監 視
単 一 または 複 数 のクラスタ・メンバのステータスを 確 認 するには
以 下 のコマンドを 実 行 します。
cphaprob state
このコマンドは、クラスタをセットアップした 後 、およびクラスタの 状 態 を 監 視 する 場 合 に 実 行 します。
cphaprob state の 出 力 例 を 以 下 に 示 します。
cphaprob state
Cluster mode:
Load sharing (Multicast)
Number
Unique Address State
1 (local) 30.0.0.1 active
2 30.0.0.2 active
Cluster mode に 表 示 される 内 容 には、 以 下 のとおりです。
Load Sharing(Multicast)
Load Sharing(Unicast)
High Availability New Mode(Primary Upまたは Active Up)(HA Newモード(プライマリ・アップまたはアク
ティブ・アップ))
High Availability Legacy Mode(Primary Up または Active Up)
サード・パーティ 製 クラスタ 製 品 : Service (10ページの「クラスタの 定 義 と 用 語 」を 参 照 )
メンバの 番 号 は、 負 荷 共 有 の 場 合 はメンバ ID を、HA の 場 合 は 優 先 順 位 を、それぞれ 表 します。
負 荷 共 有 構 成 の 場 合 、 完 全 に 機 能 しているクラスタ 内 ではすべてのマシンが Active になります。HA 構 成 の
場 合 、 正 常 に 機 能 しているクラスタ 内 では 1 つのマシンのみが Active になり、ほかのマシンは Standby 状
態 になります。
サード・パーティ 製 のクラスタ 製 品 の 場 合 は、メンバの 1 つがスタンバイ 状 態 であっても Active/Active と 表 示 さ
れます。これは、このコマンドが 完 全 同 期 プロセスの 状 態 のみを 報 告 するためです。IPSO VRRP の 場 合 、この
コマンドはファイアウォールそのものの 状 態 を 表 示 しますが、クラスタ・メンバの 状 態 は 表 示 しません(たとえば、
メンバが 正 常 に 動 作 していない 場 合 でも、ファイアウォールの 状 態 はアクティブになります)。
クラスタ・メンバの 状 態 を 調 べる 際 は、そのメンバがパケットの 転 送 中 かどうか、およびパケットの 転 送 を 妨 げるよう
な 問 題 が 発 生 しているかどうかを 確 認 する 必 要 があります。 各 状 態 には、クリティカル・デバイスでのテスト 結 果 が 反
映 されます。このリストは 可 能 なクラス・ステートと、 問 題 に 対 処 が 可 能 か 否 かを 表 しています。.
48 | ClusterXL 管 理 ガイド R75.40VS

クラスタの 状 態
状 態 内 容 パケットが 転 送 中 か
どうか
問 題 の 有 無
アクティブ すべてが 正 常 な 状 態 です。 はい いいえ
アクティブ・
アテンション
問 題 が 検 出 されましたが、このクラスタ・メンバがクラスタ
内 で 唯 一 のマシンであるか、クラスタ 内 にほかのアクティ
ブ・マシンが 存 在 しないため、パケットの 転 送 を 継 続 してい
ます。これ 以 外 の 状 況 では、マシンの 状 態 はダウンとなり
ます。
はい
はい
ダウン クリティカル・デバイスの 1 つがダウンしています。 いいえ はい
レディ
Ready(レディ) 状 態 の 意 味 は、マシン 自 身 がクラスタの 一
部 と 認 識 し、ただちにアクションの 実 行 準 備 に 入 っている
が、 設 計 により 何 らかの 原 因 でアクションが 実 行 されてい
ない 状 態 のことをいいます。マシンがアクティブでない 原
因 としては、 以 下 が 考 えられます。
いいえ
いいえ
1. 必 要 なソフトウェア・コンポーネントが 読 み 込 まれてい
ない/ 初 期 化 されていない 状 態 、もしくは、 設 定 手 順 が
すべて 完 了 していない 状 態 。クラスタ・メンバがアクテ
ィブになる 前 に、クラスタ 内 のほかのメンバにメッセー
ジを 送 信 し、ほかのクラスタ・メンバからアクティブにな
ることを 了 承 する 確 認 メッセージを 受 信 するのを 待 っ
ています。HA モードでは、アクティブなメンバが 既 に
存 在 するかのチェックを 行 い、 負 荷 共 有 ユニキャス
ト・モードでは、ピボット・メンバが 存 在 するかどうかをチ
ェックします。 残 りのクラスタ・メンバからの 応 答 を 受 け
取 るまでは「Ready」 状 態 になり、 受 信 後 に、 次 の 状 態
(Active、Standby、Pivot、non-Pivot)を 決 定 します。
2. このメンバにインストールしたソフトウェアのバージョン
が、このクラスタ 内 のほかのメンバより 新 しいバージョ
ンである 場 合 。たとえば、クラスタがある Check Point
Security Gateway バージョンから 新 しいバージョンに
アップグレードされ、クラスタ・メンバの Check Point
Security Gateway バージョンが 異 なる 場 合 、 新 しいバ
ージョンのクラスタ・メンバは「Ready」(レディ) 状 態 と
なり、 前 バージョンのメンバは「Active/Active
Attention」(アクティブ/アクティブ・アテンション) 状 態 に
なります。
3. すべてのクラスタ・メンバにインストールされたソフトウ
ェアに CoreXL が 含 まれる 場 合 (バージョン R70 以 降
ではデフォルトでインストールされます)、「Ready」(レ
ディ) 状 態 のメンバには、ほかのメンバより 多 くの
CoreXL インスタンスがある 可 能 性 があります。 詳 細
は sk42096 を 参 照 してください。
スタンバイ
HA 設 定 にのみ 適 用 されます。アクティブ・マシンに 障 害 が
発 生 した 場 合 にパケット 転 送 を 開 始 できるよう、 待 機 して
いることを 意 味 します。
いいえ
いいえ
ClusterXL 管 理 ガイド R75.40VS | 49

状 態 内 容 パケットが 転 送 中 か
どうか
問 題 の 有 無
初 期 化 中
クラスタ・メンバは 初 期 の 過 渡 的 状 態 にあります。クラス
タ・メンバが 起 動 中 で、ClusterXL 製 品 はすでに 動 作 して
いますが、Security Gateway はまだ 準 備 ができていま
せん。
いいえ
いいえ
ClusterX が
非 アクティブ
またはマシ
ンがダウンし
ている
ローカル・マシンは、このクラスタ・メンバから 何 も 受 信 でき
ません。
不 明
はい
クラスタ・インタフェースの 監 視
クラスタ・メンバ・インタフェースとバーチャル・クラスタ・インタフェースの 状 態 を 確 認 するには
クラスタ・メンバ 上 で、 以 下 のコマンドを 実 行 します。
cphaprob [-a] if
このコマンドの 出 力 は、クラスタ・オブジェクトの[Topology]ページの 設 定 と 同 じでなければなりません。
以 下 に 例 を 示 します。
cphaprob -a if
Required interfaces:4
Required secured interfaces:1
qfe4 UP (secured, unique, multicast)
qfe5 UP (non secured, unique, multicast)
qfe6 DOWN (4810.2 secs) (non secured, unique, multicast)
qfe7 UP (non secured, unique, multicast)
Virtual cluster interfaces:2
qfe5 30.0.1.130
qfe6 30.0.2.130
これらのインタフェースは ClusterXL のクリティカル・デバイスです。ClusterXL は 正 常 なインタフェースの 数 を 確 認 し、
Required interfaces の 値 として、 直 前 の 再 起 動 以 後 に 検 出 された 正 常 インタフェースの 最 大 値 を 設 定 します。 正 常
なインタフェース 数 が Required 数 より 少 ない 場 合 、ClusterXL はフェイルオーバーを 開 始 します。secured
interfaces でも 同 様 に、 正 常 な 同 期 インタフェースだけがカウントされます。
インタフェースは 以 下 のように 表 示 されます。
Non-secured( 信 頼 できない)または Secured( 信 頼 できる)。 安 全 に 保 護 されたインタフェースは 同
期 インタフェースです。
Shared( 共 有 )または Unique( 固 有 )。 共 有 インタフェースは、HA Legacy モードにのみ 適 用 されます。
50 | ClusterXL 管 理 ガイド R75.40VS

Multicast(マルチキャスト)または Broadcast(ブロードキャスト)。クラスタ 内 で 使 用 されるクラスタ・コント
ロール・プロトコル(CCP)モード。CCP を 変 更 してブロードキャストを 使 用 することができます。これらの 2
つのモードを 切 り 替 えるには、cphaconf set_ccp コマンドを 使 用 します。
IPSO IP クラスタリングを 除 くサード・パーティ 製 クラスタ 製 品 の 場 合 、
cphaprob -a if は 常 に 仮 想 クラスタ IP アドレスを 示 します。
インタフェースに「DOWN」と 表 示 された 場 合 は、インタフェースが CCPパケットの 送 受 信 のどちらかまたはその 両 方
ができないことを 意 味 します。これはインタフェースが 誤 作 動 した 場 合 、 正 しくないサブネットに 接 続 された 場 合 、マル
チキャスト・イーサネット・パケットを 取 り 出 せない 場 合 などに 発 生 します。また、インタフェースが CCP パケットの 受
信 はできるが 送 信 ができない 場 合 もあります。この 場 合 、 状 態 フィールドが 読 み 取 られます。 表 示 される 時 間 は、イ
ンタフェースが 最 後 に CCP パケットを 受 信 または 送 信 してから 経 過 した 秒 数 です。
詳 細 については、93ページの「Disconnected インタフェースの 定 義 」を 参 照 してください。
クリティカル・デバイスの 監 視
クリティカル・デバイスに 障 害 が 発 生 すると、クラスタ・メンバに 障 害 が 発 生 したと 見 なされます。クラスタ・メンバ 上 の
クリティカル・デバイスとクラスタ 内 のほかのすべてのマシンのリストを 表 示 するには、クラスタ・メンバ 上 で 以 下 のコ
マンドを 実 行 します。
cphaprob [-i[a]] [-e] list
多 くの 組 み 込 みクリティカル・デバイスがあり、さらに 管 理 者 がクリティカル・デバイスを 追 加 定 義 することもできます。
デフォルトのクリティカル・デバイスは 以 下 のとおりです。
クラスタ・メンバ 上 のクラスタ・インタフェース
Synchronization — 完 全 同 期 の 正 常 終 了
Filter — Security Policy およびセキュリティ・ポリシーがロードされたかどうか
cphad — cphamcset と 呼 ばれる ClusterXL プロセスの 次 に 実 行 されるプロセス
fwd — Security Gateway デーモン
IPSO クラスタリングの 場 合 、 出 力 は ClusterXL 負 荷 共 有 の 場 合 と 同 じです。ほかのサード・パーティ 製 品 の 場 合 は、
このコマンドの 出 力 はありません。 以 下 の 出 力 例 は、fwd プロセスがダウンしたことを 示 しています。
cphaprob list
Built-in Devices:
Device Name:Interface Active Check
Current state:OK
Registered Devices:
Device Name:Synchronization
Registration number:0
Timeout: none
Current state:OK
Time since last report:15998.4 sec
Device Name:Filter
Registration number:1
ClusterXL 管 理 ガイド R75.40VS | 51

Timeout: none
Current state:OK
Time since last report:15644.4 sec
Device Name: fwd
Registration number:3
Timeout:2 sec
Current state: problem
Time since last report:4.5 sec
クリティカル・デバイスの 登 録
cphaprob -d -t -s [-p] register
ユーザ 定 義 のクリティカル・デバイスを、クリティカル・デバイスのデフォルト・リストに 追 加 できます。このコマンドを 使
用 してをクリティカル・プロセスとして 登 録 し、クラスタ・メンバがアクティブとして 見 なされるために 動 作 して
いなければならないデバイスのリストに 追 加 します。に 障 害 が 発 生 すると、クラスタ・メンバに 障 害 が 発 生 し
たと 見 なされます。
が 秒 以 内 にクラスタ・メンバへのコンタクトに 失 敗 すると、に 障 害 が 発 生 したとみなさ
れます。タイムアウトを 使 用 しない 場 合 は、 値 0 を 指 定 します。
登 録 時 に ClusterXL に 報 告 されるの 状 態 を 定 義 します。 初 期 状 態 として、 以 下 のいずれかを 指 定 でき
ます。
ok — は 動 作 中 。
init — は 初 期 化 中 。マシンはダウンしています。この 状 態 はマシンがアクティブになるのを
防 止 します。
problem — に 障 害 が 発 生 。
[-p]はこれらの 変 更 を 固 定 します。 再 起 動 後 または Security Gateway(たとえば、Linux または IPSO で)を 削 除 後 に
再 アタッチした 場 合 でも、このフラグ 付 きで 登 録 したクリティカル・デバイスの 状 態 は 保 存 されます。
ファイルにリストされているクリティカル・デバイスの 登 録
cphaprob -f register
にリストされているユーザ 定 義 のクリティカル・デバイスをすべて 登 録 します。は ASCII ファイルであり、
各 デバイスは 個 別 のラインにある 必 要 があります。 各 行 には、 以 下 のように 3 つのパラメータを 記 述 し、 各 パラメータ
は 少 なくとも 1 個 のスペースまたはタブで 区 切 る 必 要 があります。
— クリティカル・デバイスの 名 前 。15 文 字 以 内 で、スペースを 含 むことはできません。
— が 秒 以 内 にクラスタ・メンバへのコンタクトに 失 敗 すると、に
障 害 が 発 生 したとみなされます。タイムアウトを 使 用 しない 場 合 は、 値 0 を 指 定 します。
— 以 下 のいずれかを 指 定 します。
ok — は 動 作 中 。
init — は 初 期 化 中 。マシンはダウンしています。この 状 態 はマシンがアクティブになるのを 防 止 しま
す。
problem — に 障 害 が 発 生 。
52 | ClusterXL 管 理 ガイド R75.40VS

クリティカル・デバイスの 登 録 削 除
cphaprob -d [-p] unregister
ユーザ 定 義 のをクリティカル・プロセス 登 録 から 削 除 します。このデバイスはクリティカルと 見 なされなくなり
ます。クリティカル・デバイス(つまりクラスタ・メンバ)を「problem」として 登 録 した 後 でこのコマンドを 実 行 した 場 合 、
このコマンド 実 行 後 のクラスタの 状 態 は、 残 りのクリティカル・デバイスにのみ 依 存 します。
[-p]を 指 定 すると、これらの 変 更 が 固 定 されます。すなわち、 再 起 動 後 またはカーネル(たとえば Linux または IPSO
で)を 削 除 後 に 再 アタッチした 場 合 でも、これらのクリティカル・デバイスは 未 登 録 の 状 態 になります。
ClusterXL へのクリティカル・デバイス 状 態 報 告
cphaprob -d -s report
ユーザ 定 義 のクリティカル・デバイスの 状 態 を ClusterXL に 報 告 するには、このコマンドを 使 用 します。
は、クラスタ・メンバがアクティブと 見 なされるために 動 作 していなければならないデバイスです。
に 障 害 が 発 生 すると、クラスタ・メンバに 障 害 が 発 生 したと 見 なされます。
報 告 される 状 態 は、 以 下 のいずれかです。
ok — は 動 作 中 。
init — は 初 期 化 中 。マシンはダウンしています。この 状 態 はマシンがアクティブになるのを 防 止 します。
problem — に 障 害 が 発 生 。この 状 態 が ClusterXL に 報 告 されると、クラスタ・メンバは 直 ちに 別 のクラス
タ・メンバにフェイルオーバーします。
登 録 時 に 定 義 されたタイムアウト 時 間 以 内 にがクラスタ・メンバとコンタクトできなかった 場 合 、その
、つまりクラスタ・メンバに 障 害 が 発 生 したと 見 なされます。これは、タイムアウトを 定 義 されたクリティカル・
デバイスにのみ 当 てはまります。クリティカル・デバイスが-t 0 パラメータを 指 定 して 登 録 されている 場 合 はタイムア
ウトは 発 生 せず、デバイスから 何 らかの 状 態 が 報 告 されるまで、 最 後 に 報 告 された 状 態 のままであると 見 なされ
ます。
cphaprob スクリプトの 例
事 前 定 義 済 みの cphaprob スクリプトは$FWDIR/bin にあります。 以 下 の 2 つのスクリプトを 利 用 できます。
clusterXL_monitor_ips
clusterXL_monitor_process
付 録 の 章 である109ページの「cphaprob スクリプトの 例 」に 記 載 されている clusterXL_monitor_ips スクリプトは、ル
ータやほかのネットワーク・デバイスに 対 するエンド・ツー・エンド 接 続 を 確 認 する 手 段 を 提 供 し、ping に 失 敗 した 場
合 にフェイルオーバーを 発 生 させるように 設 計 されています。clusterXL_monitor_process スクリプトは、 特 定 のプロ
セスの 存 在 を 監 視 して、プロセスが 動 作 停 止 した 場 合 にフェイルオーバーを 発 生 させます。このスクリプトは pnote
のメカニズムを 使 用 します。
SmartConsole クライアントを 使 用 したクラスタ 状 態 監 視
SmartView Monitor
SmartView Monitorは、 企 業 内 のすべてのClusterXLクラスタ・メンバのスナップショットを 表 示 し、リアルタイムの 監
視 と 警 告 を 可 能 にします。 各 クラスタ・メンバについて、 状 態 変 化 とクリティカル・デバイスの 問 題 通 知 が 表 示 され
ます。SmartView Monitorを 使 用 すると、クラスタ・メンバの 状 態 が 変 わったときの 処 置 を 指 定 することもできます。
たとえば、Security Gatewayで 警 告 を 表 示 して、 管 理 者 に 疑 わしいアクティビティを 通 知 することもできます。
ClusterXL 管 理 ガイド R75.40VS | 53

SmartView Monitor を 使 用 した ClusterXL の 起 動 と 停 止
マシン 上 の ClusterXL を 停 止 させてほかのマシンへのフェイルオーバーを 発 生 させるには、SmartView Monitor を
開 いてクラスタ・オブジェクトをクリックます。メンバ・ゲートウェイ・ブランチの 1 つを 選 択 し、クラスタ・メンバを 右 クリッ
クして[Down]を 選 択 します。
ClusterXL を 再 起 動 するには、SmartView Monitor を 開 いてクラスタ・オブジェクトをクリックします。メンバ・ゲート
ウェイ・ブランチの 1 つを 選 択 し、クラスタ・メンバを 右 クリックして[Up]を 選 択 します。
注 - SmartView Monitor は、 完 全 同 期 を 開 始 しないため、 一 部 の 接 続 が 失 われる 可 能 性 が
あります。 完 全 同 期 を 開 始 するには、cpstart を 実 行 します。
SmartView Tracker
クラスタ・メンバの 状 態 の 変 化 はすべて、クラスタ・オブジェクトの[ClusterXL]ページの[Fail-Over Tracking]オプシ
ョンの 設 定 に 従 って SmartView Tracker に 記 録 されます。
ClusterXL のログ・メッセージ
このセクションでは、 以 下 の 表 記 法 を 使 用 します。
1. 大 括 弧 はプレース・ホルダを 表 し、 実 際 のログ・メッセージが 発 行 されるときに 関 連 データで 置 き 換 えられます
(たとえば、[NUMBER]は 数 値 で 置 き 換 えられます)。
2. 角 括 弧 は 選 択 肢 を 表 し、 実 際 のログ・メッセージにこれらの 選 択 肢 の 1 つが 使 用 されます。 個 々の 選 択 肢 は 垂
直 線 で 区 切 られます( 例 えば、は「up」または「down」を 使 用 することを 表 します)。
3. 以 下 のプレース・ホルダは、 頻 繁 に 使 用 されます。
全 体 ログ
ID: 「1」から 始 まる 固 有 のクラスタ・メンバ 識 別 子 。これは、メンバがクラスタ・オブジェクトの GUI 上 に 表 示
される 順 序 に 対 応 します。
IP: メンバに 属 する 固 有 の IP アドレス。
MODE: クラスタ・モード(たとえば、HA New モード、 負 荷 共 有 マルチキャスト・モードなど)。
STATE: メンバの 状 態 (たとえば、アクティブ、ダウン、スタンバイなど)。
DEVICE: pnote デバイスの 名 前 (たとえば、fwd、Interface Active Check など)。
Starting .
報 告 しているメンバ 上 で ClusterXL(サード・パーティ・クラスタの 場 合 はステート 同 期 )が 正 常 に 起 動 されたことを 表
します。このメッセージは、 通 常 、メンバ 起 動 後 、または cphastart の 明 示 的 な 呼 び 出 し 後 に 発 行 されます。
Stopping .
ClusterXL(またはステート 同 期 )がこのマシン 上 で 非 アクティブ 化 されたことを 通 知 します。 設 定 に 関 係 なく、
ClusterXL が 再 起 動 されるまで、マシンはクラスタに 属 さなくなります。
Unconfigured cluster Machines changed their MAC Addresses. Please reboot the cluster
so that the changes take affect.
このメッセージは、 通 常 、マシンがシャット・ダウンされたとき、または cphastop の 明 示 的 な 呼 び 出 しの 後 に 発 行 さ
れます。
状 態 ログ
Mode inconsistency detected: member [ID] ([IP]) will change its mode to [MODE].Please
re-install the security policy on the cluster.
このメッセージが 出 力 されることはほとんどありません。このメッセージは、ローカル・メンバが 知 らないクラスタ・モー
ドをほかのクラスタ・メンバが 報 告 したことを 示 します。このメッセージは、 通 常 、セキュリティ・ポリシーを 全 クラスタ・
54 | ClusterXL 管 理 ガイド R75.40VS

メンバにインストールするのに 失 敗 した 場 合 に 発 生 します。この 問 題 を 解 決 するには、セキュリティ・ポリシーを 再 イ
ンストールしてください。
注 - クラスタ・モードの 不 一 致 が 検 出 された 後 でも、 報 告 しているマシンのモードをほかのクラ
スタ・メンバに 合 致 するように 変 更 すれば、クラスタは 動 作 を 継 続 します。ただし、できるだけ 早
くポリシーを 再 インストールしてください。
State change of member [ID] ([IP]) from [STATE] to [STATE] was cancelled, since all
other members are down.Member remains [STATE].
メンバが 自 分 の 状 態 を 変 更 する 必 要 がある 場 合 (たとえば、アクティブ・メンバに 問 題 が 発 生 して 自 分 自 身 をダウン
させる 必 要 がある 場 合 )、 最 初 にほかのメンバの 状 態 を 問 い 合 わせます。ほかのすべてのメンバがダウンしている
場 合 、このメンバは 自 分 の 状 態 を 非 アクティブな 状 態 に 変 更 できません( 変 更 すると、すべてのメンバがダウンし、ク
ラスタは 機 能 しなくなります)。そのため、 報 告 しているメンバは、 問 題 があったとしても 機 能 し 続 けます(ただし、 通 常
は 自 分 の 状 態 を「アクティブ・アテンション」として 報 告 します)。
member [ID] ([IP]) ([REASON]).
このメッセージはクラスタ・メンバが 自 分 の 状 態 を 変 更 するときに 必 ず 発 行 されます。ログ・テキストには、メンバの 新
しい 状 態 が 示 されます。
Pnote ログ
PNote ログ・メッセージは、pnote デバイスが 自 分 の 状 態 を 変 更 したときに 発 行 されます。
[DEVICE] on member [ID] ([IP]) status OK ([REASON]).
pnote デバイスは 正 常 に 動 作 しています。
[DEVICE] on member [ID] ([IP]) detected a problem ([REASON]).
pnote デバイスによりエラーが 検 出 されたか、デバイスが 自 分 の 状 態 を 一 定 時 間 (pnote の「timeout」オプション
で 設 定 された 秒 数 ) 報 告 していないことを 示 します。
[DEVICE] on member [ID] ([IP]) is initializing ([REASON]).
デバイスは pnote メカニズムを 使 用 してデバイス 自 身 を 登 録 しましたが、その 状 態 がまだ 確 定 していないことを
示 します。
[DEVICE] on member [ID] ([IP]) is in an unknown state ([STATE ID]) ([REASON]).
このメッセージは、 通 常 は 表 示 されません。チェック・ポイントのサポートにお 問 い 合 わせください。
インタフェース・ログ
interface [INTERFACE NAME] of member [ID] ([IP]) is up.
このインタフェースが 正 常 に 動 作 していることを 示 します。つまり、インタフェースは 所 定 のサブネット 上 でパケッ
トを 送 受 信 できます。
interface [INTERFACE NAME] of member [ID] ([IP]) is down (receive , transmit
).
このメッセージは、パケットの 受 信 または 送 信 中 にインタフェースに 問 題 が 発 生 した 場 合 に 必 ず 発 行 されます。
この 場 合 、インタフェースは OS に 関 する 限 り 正 常 に 動 作 を 続 行 できますが、クラスタ 設 定 が 正 しくないためにほ
かのクラスタ・メンバと 通 信 することはできません。
interface [INTERFACE NAME] of member [ID] ([IP]) was added.
新 しいインタフェースが Security Gateway により 登 録 されたこと(すなわち、このインタフェースに 到 着 するパケ
ットはファイアウォールでフィルタリングされること)をユーザに 通 知 します。 通 常 、このメッセージはインタフェー
スを 起 動 したとき(たとえば UNIX システムで ifconfig up コマンドを 発 行 したときなど)に 発 行 されます。 以 後 、
インタフェースは ClusterXL の 報 告 に 含 まれるようになります(たとえば、SmartView Monitor に 表 示 されたり、
cphaprob -a if で 出 力 されたりします)。ただし、ClusterXL で「Disconnected」と 設 定 されている 場 合 は、イ
ンタフェースがそのように 報 告 される 場 合 があります。
interface [INTERFACE NAME] of member [ID] ([IP}) was removed
インタフェースが Security Gateway から 切 り 離 されたため、ClusterXL から 監 視 できなくなったことを 示 します。
ClusterXL 管 理 ガイド R75.40VS | 55

SecureXL ログ
SecureXL device was deactivated since it does not support CPLS.
このメッセージは、 負 荷 共 有 をサポートしていないアクセラレーション・デバイスを 使 用 して、 負 荷 共 有 マルチキャ
スト・モードで Security Gateways 上 に ClusterXL を 設 定 しようとした 場 合 に 出 力 されます。この 結 果 、アクセラ
レーションは 停 止 しますが、クラスタはチェック・ポイント 負 荷 共 有 モード(CPLS)で 動 作 します。
理 由 を 表 す 文 字 列
member [ID] ([IP]) reports more interfaces up.
このメッセージは pnote ログ・メッセージに 含 まれることがあり、 問 題 の 理 由 を 示 します。 別 のメンバが、ローカ
ル・メンバより 多 くの 動 作 中 のインタフェースを 持 っていることを 報 告 しています。これは、ローカル・メンバのイン
タフェースに 障 害 が 発 生 していること、および 相 手 のメンバのほうがクラスタ・メンバとしてより 良 い 機 能 を 提 供 で
きることを 意 味 します。したがって、ローカル・メンバはダウンし、メッセージで 指 定 されたメンバにトラフィックの 処
理 が 委 ねられます。
member [ID] ([IP]) has more interfaces - check your disconnected interfaces configuration in the
.
このメッセージは、 同 じクラスタ 内 のメンバが 持 っているインタフェースの 数 が 異 なる 場 合 に 発 行 されます。クラス
タ 内 の 最 大 数 よりインタフェースの 数 が 少 ないメンバ( 報 告 しているメンバ)は、 正 常 に 動 作 していない 可 能 性 が
あります。これは、クラスタ IP アドレス、または 同 期 ネットワークに 対 して 動 作 するために 必 要 なインタフェースが
欠 けているためです。ほかのクラスタ・メンバのインタフェースの 一 部 が 冗 長 で、ClusterXL から 監 視 するべきで
はない 場 合 、これらは 明 示 的 に「Disconnected」として 指 定 する 必 要 があります。この 指 定 を 行 うには、ファイル
$FWDIR/conf/discntd.if(UNIX システムの 場 合 )、または Windows のレジストリを 使 用 します。
[NUMBER] interfaces required, only [NUMBER] up.
ClusterXL が、 監 視 している 1 つ 以 上 のインタフェースで 問 題 を 検 出 しました。このメッセージは、 必 ずしもメンバ
がダウンすることを 意 味 しません。ほかのメンバが 持 つ 動 作 中 のインタフェースの 方 が 少 ない 場 合 があるためで
す。このような 条 件 では、もっとも 多 くの 動 作 中 のインタフェースを 持 つメンバが 動 作 を 続 行 し、その 他 はダウンし
ます。
ClusterXL 設 定 コマンド
cphaconf コマンド
説 明
cphaconf コマンドによって ClusterXL を 設 定 します。
重 要 – このコマンドは 実 行 しないことをお 勧 めします。Security Gateway で 自 動 的 に 実 行 す
る、またはチェック・ポイント・サポートによって 実 行 します。このコマンドを 実 行 する 例 外 として
は、 以 下 に 説 明 するように、set_cpp オプションとともに 実 行 する 場 合 のみです。
使 用 方 法
cphaconf [-i ] [-p ] [-b ] [-n ][-c
] [-m ]
[-t ...] start
cphaconf [-t ...] [-d ...] add
cphaconf clear-secured
cphaconf clear-disconnected
cphaconf stop
cphaconf init
cphaconf forward
cphaconf debug
cphaconf set_ccp
cphaconf mc_reload
cphaconf debug_data
cphaconf stop_all_vs
構 文
56 | ClusterXL 管 理 ガイド R75.40VS

パラメータ
set_ccp
説 明
クラスタ・コントロール・プロトコル(CCP)パケットをブロードキャスト/
マルチキャストの 宛 先 MAC アドレスで 送 信 するかどうか 設 定 しま
す。このコマンドを 使 用 して 行 った 設 定 は、 再 起 動 しても 保 持 されま
す。.
すべてのクラスタ・メンバで、 同 じ 値 を 設 定 してください(ブロードキャ
スト/マルチキャストに 関 わらず)。
stop_all_vs
VSX ゲートウェイのすべてのバーチャル・システムのクラスタ 製 品 を
停 止 します。
cphastart コマンドと cphastop コマンド
クラスタ・メンバで cphastart を 実 行 すると、そのメンバ 上 で ClusterXL が 起 動 されます。 完 全 同 期 は 開 始 されません。
クラスタ・メンバを 起 動 する 場 合 は cpstart の 使 用 をお 勧 めします。
クラスタ・メンバで cphastop を 実 行 すると、クラスタ・メンバのトラフィック 転 送 が 停 止 されます。ステート 同 期 も 停 止 さ
れます。ただし、クラスタ・メンバに 対 して 直 接 通 信 を 開 始 することは 可 能 です。HA Legacy モードでは、cphastop を
実 行 するとクラスタ 全 体 の 機 能 が 停 止 する 場 合 があります。
これらのコマンドは 通 常 Security Gateway によってのみ 実 行 し、 管 理 者 が 直 接 実 行 しないでください。
フェイルオーバーの 開 始 方 法
クラスタ・メンバの 状 態 を 手 動 で 制 御 することにより、クラスタ・メンバを 停 止 させることができます。 負 荷 共 有 の 場 合 、
クラスタ・メンバを 停 止 させるとほかのクラスタ・メンバ(1 つまたは 複 数 )へのフェイルオーバーが 開 始 され、HA の 場
合 は、 次 に 高 い 優 先 順 位 を 持 つクラスタ・メンバにフェイルオーバーが 開 始 されます。
クラスタ・メンバの 停 止
マシン 上 の ClusterXL を 停 止 させて 別 のマシンにフェイルオーバーを 発 生 させるには
1. コマンド cphaprob -d faildevice -t 0 -s ok register を 使 用 してダミーのクリティカル・デバイス(faildevice など)
を 登 録 します。
2. 次 のコマンドを 実 行 してクリティカル・デバイス faildevice に 問 題 が 発 生 していることを ClusterXL に 報 告 します。
cphaprob -d faildevice -s problem report
別 のクラスタ・メンバへのフェイルオーバーが 直 ちに 発 生 します。
または、 以 下 の 手 順 を 実 行 します。
1. SmartView Monitor を 開 いて、クラスタ・オブジェクトをクリックします。
2. メンバ・ゲートウェイ・ブランチの 1 つを 選 択 します。
3. クラスタ・メンバを 右 クリックして、Down を 選 択 します。
クラスタ・メンバの 起 動
クラスタ・メンバ 上 で Security Gateway が 起 動 (cpstart)されると、ClusterXL が 自 動 的 に 起 動 します。
ClusterXL を 再 起 動 するには
cphaprob -d faildevice -s problem report コマンドを 使 用 してクラスタ・メンバがダウンした 場 合 は、 以 下 の
コマンドのどちらかを 実 行 して 再 度 アクティブにします。
cphaprob -d faildevice -s ok report
cphaprob -d faildevice unregister
ClusterXL 管 理 ガイド R75.40VS | 57

または、 以 下 の 手 順 を 実 行 します。
1. SmartView Monitor を 開 いて、クラスタ・オブジェクトをクリックします。
2. 「Down」と 表 示 されているメンバ・ゲートウェイ・ブランチを 選 択 します。
3. クラスタ・メンバを 右 クリックして Up を 選 択 します。
注 - SmartView Monitor からクラスタ・メンバを 起 動 しても 完 全 同 期 は 開 始 されないため、 通
信 の 一 部 が 失 われる 場 合 があります。 完 全 同 期 を 開 始 するには、cpstart コマンドを 実 行
します。
同 期 の 監 視 (fw ctl pstat)
ClusterXL またはサード・パーティ OPSEC 認 定 クラスタ 製 品 上 の 同 期 メカニズムを 監 視 するには
クラスタ・メンバ 上 で 次 のコマンドを 実 行 します。fw ctl pstat
このコマンドを 実 行 すると、Security Gateway の 統 計 データの 長 いリストが 出 力 されます。リストの 最 後 には、
「Synchronization」というセクションがあり、ゲートウェイ・クラスタ・ メンバに 適 用 されます。 統 計 データのほとんどは
カウント・アップ 専 用 のカウンタです。 標 準 的 な 出 力 を 以 下 に 示 します。
Version: new
Status:Able to Send/Receive sync packets
Sync packets sent:
total :3976, retransmitted :0, retrans reqs :58, acks :97
Sync packets received:
total :4290, were queued :58, dropped by net :47
retrans reqs :0, received 0 acks
retrans reqs for illegal seq :0
Callback statistics: handled 3 cb, average delay :1, max delay :2
Delta Sync memory usage: currently using XX KB mem
Callback statistics: handled 322 cb, average delay :2, max delay :8
Number of Pending packets currently held:1
Packets released due to timeout:18
このプリント 出 力 の 各 行 の 意 味 を 以 下 に 示 します。
Version: new
同 期 が 設 定 された 場 合 は、この 行 は 必 ず 表 示 されます。この 行 は、(バージョン 4.1 の 旧 同 期 ではなく) 新 しい 同 期
が 動 作 中 であることを 示 します。
Status:Able to Send/Receive sync packets
同 期 がパケットを 送 信 または 受 信 できない 場 合 、 問 題 が 発 生 しています。 起 動 中 であれば、 同 期 は 一 時 的 にパケッ
トを 送 受 信 できなくなる 場 合 がありますが、 通 常 の 動 作 で 送 受 信 できなくなることはありません。 完 全 同 期 の 実 行 時
は、 同 期 パケットの 受 信 が 中 断 される 場 合 があります。
Sync packets sent:
total :3976, retransmitted :0, retrans reqs :58, acks :97
送 信 された 同 期 パケットの 合 計 数 が 表 示 されます。 同 期 パケットの 合 計 数 はゼロ 以 外 の 数 値 であり、 増 加 します。
同 期 パケットの 受 信 順 序 が 正 しくない 場 合 、クラスタ・メンバは 再 送 要 求 を 送 信 します。この 数 値 は 負 荷 があると 増
加 します。
58 | ClusterXL 管 理 ガイド R75.40VS

ほかのクラスタ・メンバによって 確 認 応 答 が 要 求 されると、 受 信 した 同 期 パケットに 対 して 送 信 された 確 認 応 答 が
Acks として 示 されます。
Sync packets received:
total :4290, were queued :58, dropped by net :47
受 信 された 同 期 パケットの 合 計 数 が 表 示 されます。 以 下 のいずれかの 条 件 に 該 当 する 同 期 パケットが 受 信 されると、
「queued」で 示 されるパケット 数 が 増 加 します。
1. 受 信 された 同 期 パケットのシーケンス 番 号 が、 前 に 処 理 された 同 期 パケットのシーケンス 番 号 と 連 続 してい
ない。
2. 同 期 パケットがフラグメント 化 している。これは MTU 制 限 を 解 消 するために 発 生 しています。
この 数 値 は 減 少 することはありません。ゼロ 以 外 の 数 値 が 表 示 されても 問 題 を 示 しているわけではありません。
dropped by net の 数 値 は、ネットワーク 輻 輳 を 示 している 場 合 があります。 負 荷 がある 場 合 、この 数 値 はゆっくりと
増 加 します。この 数 値 が 急 速 に 増 加 する 場 合 は、ネットワーク・エラーが 同 期 プロトコルを 阻 害 している 可 能 性 があり
ます。この 場 合 は、ネットワークを 確 認 してください。
retrans reqs :0, received 0 acks
retrans reqs for illegal seq :0
Callback statistics: handled 3 cb, average delay :1, max delay :2
前 述 のメッセージが 送 信 された 再 送 要 求 の 数 を 示 しているのに 対 し、このメッセージは 受 信 された 再 送 要 求 の 数 を
示 します。この 数 値 が 急 速 に 増 加 する 場 合 は、マシンの 負 荷 が 高 くなりすぎて 同 期 が 処 理 できなくなっている 可 能 性
があります。
Acks は、「cb request」 同 期 パケット、つまり 確 認 応 答 要 求 付 きの 同 期 パケットに 対 して 受 信 された 確 認 応 答 の 数 を
示 します。
Retrans reqs for illegal seq は、このメンバに 存 在 していないパケットに 対 する 再 送 要 求 数 を 示 します。この 値 は、
同 期 に 問 題 があることを 示 している 場 合 があります。
Callback statistics は、Flush and Ack を 呼 び 出 す 受 信 パケットに 関 連 する 値 を 示 します。この 統 計 は、ゼロ 以 外 の
値 に 対 してのみ 表 示 されます。
コールバックの callback average delay は、メンバがほかのすべてのメンバから ACK を 受 信 したときに、パケットが
開 放 される 前 にこのメンバで 生 じた 遅 延 を 示 します。 遅 延 が 生 じるのは、ほかのすべてのクラスタ・メンバから 同 期
パケットを 受 信 したことを 示 す 確 認 応 答 が 返 されるまでパケットが 保 持 されるためです。
この 値 はパケット 数 で 測 定 されます。 通 常 、これは 小 さい 値 (1~5 程 度 )でなければなりません。この 値 が 大 きい 場
合 、 同 期 トラフィックの 過 負 荷 を 表 している 可 能 性 があります。この 場 合 、 同 期 の 確 認 応 答 を 要 求 する 通 信 に 若 干 の
遅 延 が 生 じます。
dropped updates as a result of sync overload:0
負 荷 の 大 きいシステムでは、クラスタ・メンバはほかのクラスタ・メンバから 送 信 された 同 期 アップデートを 破 棄 する
場 合 があります。
Delta Sync memory usage: currently using XX KB mem
Delta Sync memory usage は、ゼロ 以 外 の 値 に 対 してのみ 表 示 されます。 差 分 同 期 では、 完 全 同 期 が 発 生 し
ている 間 のみメモリが 必 要 です。 完 全 同 期 が 発 生 するのは、 再 起 動 後 にシステムが 立 ち 上 がったときなどです。ほ
かの 場 合 は、 差 分 同 期 のアップデートは 即 座 に 適 用 されるため、 差 分 同 期 ではメモリは 消 費 されません。 差 分 同 期
の 詳 細 は、12ページの「ステート 同 期 の 動 作 」を 参 照 してください。
Number of Pending packets currently held:1
Packets released due to timeout:18
Number of Pending packets currently held は、ゼロ 以 外 の 値 に 対 してのみ 表 示 されます。ClusterXL は、 非 対 称
通 信 で 状 態 に 合 致 しないパケットが 発 生 するのを 防 止 します。これを 行 うために、ほかのすべてのアクティブなクラ
スタ・メンバから SYN-ACK が 受 信 されるまで、パケットが 保 持 されます。 何 らかの 理 由 で SYN-ACK が 受 信 されな
い 場 合 、クラスタ・メンバ 上 の Security Gateway はパケットを 解 放 しないため、 通 信 は 確 立 されません。
ClusterXL 管 理 ガイド R75.40VS | 59

Packets released due to timeout は、ゼロ 以 外 の 値 に 対 してのみ 表 示 されます。 処 理 待 ちパケット 数 が 多 い 場 合
(Number of Pending Packets の 値 が 100 を 超 える 場 合 )で、かつ Packets released due to timeout(タ
イムアウトにより 開 放 されるパケット 数 )が 小 さい 場 合 、 処 理 待 ちパケット 数 を 減 らす 処 置 を 行 う 必 要 があります。こ
の 問 題 の 対 処 法 については、92ページの「 処 理 待 ちパケット 数 の 削 減 」を 参 照 してください。
同 期 のトラブルシューティング
cphaprob [-reset] syncstat の 概 要
負 荷 の 高 いクラスタと 地 理 的 に 隔 離 されているメンバを 持 つクラスタには 特 別 な 処 置 が 必 要 です。 高 速 な 通 信 速 度
およびメンバ 間 の 距 離 によって、クラスタの 動 作 に 影 響 を 与 える 遅 延 が 生 じる 可 能 性 があります。
cphaprob [-reset] syncstat コマンドは、 高 負 荷 の 分 散 クラスタにおいて、ステート 同 期 の 動 作 を 監 視 するツールで
す。このツールは、ClusterXL とサード・パーティ OPSEC 認 定 クラスタ 製 品 の 両 方 で 使 用 できます。
トラブルシューティング 手 順 を 以 下 に 示 します。
1. cphaprob syncstat コマンドを 実 行 します。
2. 出 力 される 統 計 データを 調 査 して 理 解 します。
3. 関 連 する 同 期 のグローバル 設 定 パラメータを 調 整 します。
4. コマンドを 再 実 行 します。このとき、-reset オプションを 使 用 して 統 計 カウンタをリセットします。
cphaprob -reset syncstat
5. 出 力 される 統 計 データを 調 査 して、 問 題 が 解 決 されているかどうかを 確 認 します。
60ページの「cphaprob [-reset] syncstat の 出 力 」で、 各 出 力 パラメータおよび 出 力 に 問 題 がある 場 合 について 説 明
します。
認 識 した 問 題 は、「 同 期 のトラブルシューティング・オプション」(67ページ)で 説 明 する 1 つまたは 複 数 のヒントを 実 施
することで 解 決 できます。
cphaprob [-reset] syncstat の 出 力
cphaprob syncstat コマンドの 出 力 パラメータを 以 下 に 示 します。 出 力 される 値 ( 記 載 されていません)を 調 べること
で、 同 期 ネットワークの 状 態 と 特 徴 が 分 かります。 各 パラメータと 発 生 する 可 能 性 のある 値 の 意 味 については、 次 の
セクションで 説 明 します。
60 | ClusterXL 管 理 ガイド R75.40VS

パラメータ:
Sync Statistics (IDs of F&A Peers - 1): 61
Other Member Updates 61
Sent Retransmission Requests 61
Avg |Missing Updates per Request 62
Old or too-new Arriving Updates 62
Unsynced Missing Update 62
Lost Sync Connection 62
Timed out Sync Connection 63
Local Updates 63
Total generated updates 63
Recv Retransmission requests 63
Recv Duplicate Retrans request 63
Blocking Scenarios 63
Blocked packets 64
Max Length of Sending Queue 64
Avg Length of Sending Queue 65
Hold Pkts eventskts Events 65
Unhold Pkt Events 65
Not held due to no members 65
Max Held Duration (ticks) 66
Avg held duration (ticks) 66
Timers: 66
Sync tick(ms) 66
CPHA tick(ms) 66
Queues: 67
Sending Queue Size 67
Receiving Queue Size 67
Sync Statistics (IDs of F&A Peers - 1):
これらの 統 計 はステート 同 期 メカニズムに 関 連 します。F&A(Flush and Ack)ピアは、このメンバがクラスタの 一 部 と
して 認 識 するクラスタ・メンバです。ID は、cphaprob state コマンドによって 生 成 される ID と IP アドレスに 対 応 してい
ます。
Other Member Updates
このセクションの 統 計 は、ほかのクラスタ・メンバによって 生 成 されたアップデート、またはほかのメンバから 受 信 され
たものではないアップデートに 関 連 します。アップデートにより、クラスタ・メンバによって 処 理 された 通 信 の 変 更 につ
いて 通 知 されます。アップデートはメンバ 間 で 送 受 信 されます。アップデートはシーケンス 番 号 で 識 別 されます。
Sent Retransmission Requests
このメンバによって 送 信 された 再 送 要 求 の 数 です。 再 送 要 求 は、 送 信 しているメンバはすでに 次 のシーケンスを 持
つアップデートを 受 信 しているにも 関 わらず、( 指 定 されたシーケンス 番 号 を 持 つ) 特 定 のパケットがない 場 合 に 送 信
されます。
この 値 が 高 い 場 合 は、 通 信 に 問 題 がある 可 能 性 があります。
ClusterXL 管 理 ガイド R75.40VS | 61

注 - 再 送 要 求 の 数 をほかのメンバの Total Regenerated Updates と 比 較 します(63ページの
「Total Generated Updates」を 参 照 )。
この 値 が 過 度 に 高 い(ほかのメンバの Total Generated Updates の 30%を 超 える) 場 合 は、
全 出 力 およびネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・サ
ポートに 問 い 合 わせてください。
Avg |Missing Updates per Request
各 再 送 要 求 では、 最 大 32 個 の 欠 落 している 連 続 したパケットを 含 むことができます。このフィールドの 値 は、 再 送 要
求 ごとに 要 求 されるシーケンスの 平 均 数 です。
各 再 送 要 求 に 20 個 を 超 える 連 続 したシーケンスが 欠 落 している 場 合 は、 通 信 に 問 題 がある 可 能 性 があります。
注 - この 値 が 過 度 に 高 い 場 合 は、 全 出 力 およびネットワーク・トポロジと 設 定 に 関 する 詳 細 な
説 明 を 準 備 して、テクニカル・サポートに 問 い 合 わせてください。
Old or too-new Arriving Updates
到 着 する 同 期 アップデートの 中 でシーケンス 番 号 が 小 さすぎるアップデートの 数 です。これは、アップデートが 古 い
転 送 に 属 していることを 示 します。または、シーケンス 番 号 が 大 きすぎて 新 しい 転 送 に 属 せないアップデートの 数
です。
この 値 が 大 きい 場 合 は、 通 信 に 問 題 があることを 示 しています。
注 - 67ページの「 受 信 キューの 拡 張 」を 参 照 して、この 値 が 異 常 に 高 い( 送 信 されたアップデ
ートの 10% 以 上 ) 場 合 は、 全 体 の 出 力 とネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を
準 備 して、テクニカル・サポートに 問 い 合 わせてください。
Unsynced Missing Updates
受 信 しているメンバが 待 機 を 中 断 した、 失 われた 同 期 アップデートの 数 です。 新 しく 到 着 するアップデートと 失 われた
アップデートのシーケンス 番 号 の 差 が 受 信 キューの 長 さを 超 える 場 合 に、メンバは 待 機 を 中 断 します。
この 値 は 通 常 はゼロです。ただし、 失 われたアップデートの 数 が 生 成 された 全 アップデートの 1%に 満 たない 場 合 は、
アップデートの 一 部 が 失 われていても 許 容 されます。
注 - 失 われたアップデートの 数 を 減 らすには、 受 信 キューの 容 量 を 拡 張 します。67ページの
「 受 信 キューの 拡 張 」を 参 照 してください。
Lost Sync Connection (num of events)
ほかのメンバへのセキュリティ・ポリシーのインストール、または 期 待 されるシーケンス 番 号 と 受 信 したシーケンス 番
号 の 違 いが 大 きいために、ほかのメンバとの 同 期 が 失 われてから 再 取 得 されたイベントの 数 です。
この 値 は 通 常 はゼロです。この 値 が 正 の 数 の 場 合 は、 通 信 に 問 題 があることを 示 します。
注 - 同 期 メカニズムがシーケンス 番 号 の 大 きな 違 いを 処 理 できるようにするには、 受 信 キュ
ーの 容 量 を 拡 張 します。67ページの「 受 信 キューの 拡 張 」を 参 照 してください 。
62 | ClusterXL 管 理 ガイド R75.40VS

Timed out Sync Connection
ほかのメンバが 接 続 されていないことをメンバが 宣 言 したイベントの 数 です。 一 定 時 間 (1 秒 間 )ACK パケットがその
メンバから 受 信 されなかったため、そのメンバのために Flush and Ack パケットが 保 持 されていますが、メンバは 切
断 されていると 判 断 されます。
この 値 は 通 常 はゼロです。 同 期 ネットワークのラウンド・トリップ・タイムが 100 ミリ 秒 の 場 合 でも、1 秒 あれば ACK を
受 信 するには 充 分 であると 考 えられます。この 値 が 正 の 数 の 場 合 は、 通 信 に 問 題 があることを 示 します。
注 - 同 期 タイマを 大 きくしてみてください(68ページの「 同 期 タイマの 拡 張 」を 参 照 )。ただし、
全 出 力 およびネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・サポ
ートに 連 絡 する 必 要 がある 可 能 性 があります。
Local Updates
このセクションの 統 計 データは、ローカル・クラスタ・メンバによって 生 成 されたアップデートに 関 連 します。アップデー
トにより、クラスタ・メンバによって 処 理 された 通 信 の 変 更 について 通 知 されます。アップデートはメンバ 間 で 送 受 信 さ
れます。アップデートはシーケンス 番 号 で 識 別 されます。
Total generated updates
前 回 統 計 がリセットされてから、 同 期 メカニズムによって 生 成 された 同 期 アップデート・パケットの 数 です。この
値 は、-reset オプションを 適 用 したときのシーケンス 番 号 と 現 在 のシーケンス 番 号 の 差 に 等 しくなります。
この 値 には 範 囲 は 定 められていません。
Recv Retransmission requests
受 信 した 再 送 要 求 の 数 です。すでに 受 信 したシーケンス 番 号 よりも 小 さいシーケンス 番 号 を 持 つ 指 定 されたパ
ケットが 失 われている 場 合 に、メンバは 再 送 を 要 求 します。
この 値 が 高 い 場 合 は、 通 信 に 問 題 がある 可 能 性 があります。
注 - この 値 が 過 度 に 高 い( 送 信 された 全 アップデートの 30%を 超 える) 場 合 は、 全 出 力 およ
びネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・サポートに 問 い
合 わせてください。
Recv Duplicate Retrans request
メンバによって 受 信 された 重 複 する 再 送 要 求 の 数 です。 重 複 する 要 求 はすでに 処 理 されているため 破 棄 され
ます。
この 値 が 大 きい 場 合 は、ネットワーク 上 の 問 題 または 同 期 ネットワーク 上 にストームが 発 生 している 可 能 性 が
あります。
注 - この 値 が 過 度 に 高 い( 送 信 された 全 アップデートの 30%を 超 える) 場 合 は、 全 出 力 およ
びネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・サポートに 問 い
合 わせてください。
Blocking Scenarios
極 度 の 高 負 荷 状 態 では、クラスタは 新 しい 通 信 を 阻 止 します。このパラメータは、 同 期 の 負 荷 が 大 きすぎるために、
クラスタ・メンバが 新 しい 接 続 の 遮 断 を 開 始 した 回 数 を 示 します。
ClusterXL 管 理 ガイド R75.40VS | 63

送 信 キューが 容 量 のしきい 値 に 達 すると、メンバは 通 信 を 阻 止 し 始 めます。 容 量 のしきい 値 は、 現 在 のシーケンス 番
号 とほかのすべての 動 作 中 のメンバからメンバが 受 信 した ACK のシーケンス 番 号 の 差 の 80%として 計 算 されます。
この 値 が 正 の 数 の 場 合 は、 負 荷 が 高 すぎることを 示 します。この 場 合 は、Blocked Packets に 従 って 阻 止 されたパ
ケット 数 を 確 認 します。 破 棄 されたパケット 1 個 につき、1 つの 通 信 が 阻 止 されたことを 意 味 します。
このパラメータが 計 測 されるのは、 新 しい 接 続 の 遮 断 メカニズム(91ページの「 高 負 荷 状 態 での 新 しい 接 続 の 遮 断 」
を 参 照 )がアクティブな 場 合 のみです。
新 しい 接 続 の 遮 断 のメカニズムを 有 効 にするには
fw ctl set int fw_sync_block_new_conns 0 コマンドをすべてのクラスタ・メンバに 適 用 します。
注 - 通 信 阻 止 に 関 する 深 刻 な 問 題 に 対 処 する 最 良 の 方 法 は、 送 信 キューを 拡 張 することです。
「 送 信 キューの 拡 張 」(67ページ)を 参 照 してください。
ほかの 対 処 方 法 としては、メンバが ACK を 開 始 した 後 のタイムアウトを 減 少 させる 方 法 がありま
す。「 確 認 応 答 タイムアウトの 再 設 定 」(68ページ)を 参 照 してください。これにより、 送 信 キューの
容 量 をより 正 確 にアップデートして、 阻 止 プロセスをより 厳 密 に 実 施 することができます。
Blocked packets
クラスタ・メンバがすべての 新 しい 通 信 を 阻 止 していたために 阻 止 されたパケット 数 です(「Blocked Scenarios」を 参
照 )。 阻 止 されたパケット 数 は、 通 常 、 新 しい 通 信 が 試 行 されるごとに 1 パケットです。
送 信 キューの 値 が 5%より 高 い 場 合 (65ページの「Avg length of sending queue」を 参 照 ) 接 続 性 に 問 題 がある 可
能 性 があります。あるいは、ACK の 送 信 頻 度 が 低 いことを 示 している 可 能 性 があります。
このパラメータが 計 測 されるのは、 新 しい 接 続 の 遮 断 メカニズム(91ページの「 高 負 荷 状 態 での 新 しい 接 続 の 遮 断 」
を 参 照 )がアクティブな 場 合 のみです。
新 しい 接 続 の 遮 断 のメカニズムを 有 効 にするには
fw ctl set int fw_sync_block_new_conns 0 コマンドをすべてのクラスタ・メンバに 適 用 します。
注 - 通 信 阻 止 に 関 する 深 刻 な 問 題 に 対 処 する 最 良 の 方 法 は、 送 信 キューを 拡 張 することで
す。「 送 信 キューの 拡 張 」(67ページ)を 参 照 してください。
ほかの 対 処 方 法 としては、メンバが ACK を 開 始 した 後 のタイムアウトを 減 少 させる 方 法 があり
ます。「 確 認 応 答 タイムアウトの 再 設 定 」(68ページ)を 参 照 してください。これにより、 送 信
キューの 容 量 をより 正 確 にアップデートして、 阻 止 プロセスをより 厳 密 に 実 施 することができ
ます。
Max Length of Sending Queue
送 信 キューのサイズは 固 定 されています。デフォルトでは、これは 512 個 の 同 期 アップデートです。シーケンス 番 号
の 大 きい 新 しいアップデートがキューに 入 ると、シーケンス 番 号 の 小 さい 古 いアップデートはキューから 破 棄 されま
す。 古 いアップデートは、メンバがほかのすべてのメンバからそのアップデートに 関 する ACK を 受 信 する 前 にキュー
から 破 棄 される 場 合 があります。
このパラメータは、 現 在 の 同 期 シーケンス 番 号 とメンバがほかのすべてのメンバから 該 当 する ACK を 受 信 した 最 後
のシーケンス 番 号 との 差 です。このため、このパラメータの 値 は 512 を 上 回 ることがあります。
このパラメータの 値 は 512 未 満 でなければなりません。512 を 上 回 る 場 合 でも、 必 ずしも 同 期 に 問 題 があるとは 限 り
ません。ただし、メンバは、キューに 存 在 しないアップデートに 対 する 再 送 要 求 に 応 えることができなくなります。
このパラメータが 計 測 されるのは、 新 しい 接 続 の 遮 断 メカニズム(91ページの「 高 負 荷 状 態 での 新 しい 接 続 の 遮 断 」
を 参 照 )がアクティブな 場 合 のみです。
64 | ClusterXL 管 理 ガイド R75.40VS

新 しい 接 続 の 遮 断 のメカニズムを 有 効 にするには
fw ctl set int fw_sync_block_new_conns 0 コマンドを 全 クラスタメンバに 申 請 します。
注 - 送 信 キューを 拡 張 して、この 値 より 大 きい 値 に 変 更 します。67ページの「 送 信 キューの
拡 張 」を 参 照 してください。
Avg Length of Sending Queue
再 起 動 または 同 期 統 計 がリセットされて 以 降 の、[Max Length of Sending Queue]パラメータの 平 均 値 です。
この 値 は、 最 大 で 送 信 キューのサイズの 80%です。
このパラメータが 計 測 されるのは、 新 しい 接 続 の 遮 断 メカニズム(91ページの「 高 負 荷 状 態 での 新 しい 接 続 の 遮 断 」
を 参 照 )がアクティブな 場 合 のみです。
新 しい 接 続 の 遮 断 のメカニズムを 有 効 にするには
fw ctl set int fw_sync_block_new_conns 0 コマンドをすべてのクラスタ・メンバに 適 用 します。
注 - 送 信 キューを 拡 張 して、この 値 が 新 しいキューのサイズの 80%を 上 回 らないようにしま
す。67ページの「 送 信 キューの 拡 張 」を 参 照 してください。
Hold Pkts eventskts Events
同 期 アップデートが Flush and Ack を 必 要 とし、 動 作 中 のその 他 すべてのメンバから ACK が 到 着 するまでシステム
内 に 保 持 された 回 数 です。
Unhold Pkt Events の 数 値 を 同 じでなければなりません。
注 - 全 出 力 およびネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・
サポートに 問 い 合 わせてください。
Unhold Pkt Events
動 作 中 のほかのメンバから 要 求 されたすべての ACK をメンバが 受 信 した 回 数 です。
Hold Pkts Events の 数 値 を 同 じでなければなりません。
注 - この 値 が 過 度 に 高 い( 送 信 された 全 アップデートの 30%を 超 える) 場 合 は、 全 出 力 および
ネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・サポートに 問 い 合
わせてください。
Not held due to no members
ほかに 動 作 中 のメンバがなかったために、システム 内 に 保 持 すべきであったにも 関 わらず 開 放 されたパケット 数
です。
クラスタに 最 低 2 つのアクティブなメンバがある 場 合 は、 通 常 、この 値 は 0 です。
ClusterXL 管 理 ガイド R75.40VS | 65

注 ‐ クラスタに 接 続 の 問 題 があります。パラメータの 値 を 調 査 する 必 要 があります。62ページ
の「Lost Sync Connection」と63ページの「Timed out sync connection」を 参 照 して、メンバ
が 唯 一 のクラスタ・メンバであると 判 断 した 原 因 を 調 査 してください。
また、 全 出 力 およびネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・
サポートに 問 い 合 わせてください。
Max Held Duration (ticks)
Flush and Ack のために 保 持 されているパケットがシステム 内 で 遅 延 した 最 大 時 間 ( 単 位 はティック。1 ティックは
100 ミリ 秒 )です。
一 定 時 間 後 に 保 持 されているパケットを 開 放 する 処 理 待 ちタイムアウト・メカニズムのため、この 値 は 50(5 秒 )より
小 さい 値 でなければなりません。デフォルトでは、 開 放 するまでのタイムアウトは 50 ティックです。この 値 が 高 い 場 合
は、メンバ 間 で 通 信 上 の 問 題 が 発 生 していることを 示 します。
注 - 必 要 に 応 じて、fwldbcast_pending_timeout グローバル 値 を 変 更 して、デフォルトのタイ
ムアウトを 変 更 してください。89ページの「 高 度 なクラスタ 設 定 」と92ページの「 処 理 待 ちパケッ
トの 数 の 削 減 」を 参 照 してください。
さらに、63ページの「Timed out sync connection」のパラメータを 検 査 して、パケットが 長 時 間
保 持 された 原 因 を 確 認 してください。
また、 全 出 力 およびネットワーク・トポロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・
サポートに 問 い 合 わせてください。
Avg held duration (ticks)
Flush and Ack のために 保 持 されているパケットがシステム 内 で 遅 延 した 平 均 時 間 ( 単 位 はティック。1 ティックは
100 ミリ 秒 )です。
平 均 時 間 は、 同 期 ネットワークのラウンドトリップ 時 間 とほぼ 同 じです。この 値 が 大 きい 場 合 は、 通 信 に 問 題 があるこ
とを 示 します。
注 - この 値 が 大 きい 場 合 は、 問 題 の 原 因 を 調 査 するために、 全 出 力 およびネットワーク・トポ
ロジと 設 定 に 関 する 詳 細 な 説 明 を 準 備 して、テクニカル・サポートに 問 い 合 わせてください。
Timers:
Sync タイマと CPHA タイマは、 同 期 とクラスタに 関 連 する 処 理 を 一 定 時 間 ごとに 実 施 します。
Sync tick(ms)
同 期 タイマは、クラスタに 関 連 する 処 理 を 一 定 時 間 ごとに 実 施 します。デフォルトでは、 同 期 タイマの 間 隔 は 100 ミリ
秒 です。 基 本 となる 時 間 単 位 は 100 ミリ 秒 (または 1 ティック)で、これが 最 小 値 です。
CPHA tick(ms)
CPHA タイマは、クラスタに 関 連 する 処 理 を 一 定 時 間 ごとに 実 施 します。デフォルトでは、CPHA タイマの 間 隔 は 100
ミリ 秒 です。 基 本 となる 時 間 単 位 は 100 ミリ 秒 (または 1 ティック)で、これが 最 小 値 です。
66 | ClusterXL 管 理 ガイド R75.40VS

Queues:
各 クラスタ・メンバには 2 つのキューがあります。 送 信 キューと 受 信 キューです。
Sending Queue Size
クラスタ・メンバ 上 の 送 信 キューには、ローカルで 生 成 された 同 期 アップデートが 格 納 されます。 送 信 キュー 内 のアッ
プデートは、より 最 新 のアップデートに 置 き 換 えられます。このため、 負 荷 の 高 いクラスタでは、アップデートは 短 時
間 しか 保 持 されません。アップデートを 再 送 信 するようにメンバに 要 求 があった 場 合 、アップデートが 送 信 キューにあ
る 場 合 にのみ 送 信 できます。このキューのデフォルト・サイズ( 最 小 値 と 同 じ)は 512 です。 各 メンバには 1 つの 送 信
キューがあります。
Receiving Queue Size
クラスタ・メンバ 上 の 受 信 キューは、アップデートのシーケンスをすべて 受 信 し 終 えるまで、 各 クラスタ・メンバからの
アップデートを 保 持 します。このキューのデフォルト・サイズ( 最 小 値 と 同 じ)は 256 です。 各 メンバは、ピア・メンバご
とに 受 信 キューを 保 持 します。
同 期 のトラブルシューティング・オプション
以 下 のオプションでは、 利 用 可 能 なトラブルシューティング・オプションを 明 記 します。 各 オプションでは、グローバル・
システム 設 定 パラメータを 編 集 して、デフォルトとは 異 なる 値 にシステムを 再 設 定 します。
送 信 キューの 拡 張
クラスタ・メンバ 上 の 送 信 キューには、ローカルで 生 成 された 同 期 アップデートが 格 納 されます。 送 信 キュー 内 のアッ
プデートは、より 最 新 のアップデートに 置 き 換 えられます。このため、 負 荷 の 高 いクラスタでは、アップデートは 短 時
間 しか 保 持 されません。アップデートを 再 送 信 するようにメンバに 要 求 があった 場 合 、アップデートが 送 信 キューにあ
る 場 合 にのみ 送 信 できます。このキューのデフォルト・サイズ( 最 小 値 と 同 じ)は 512 です。 各 メンバには 1 つの 送 信
キューがあります。
送 信 キューのサイズを 拡 張 するには
1. グローバル・パラメータ fw_sync_sending_queue_size の 値 を 変 更 します。89ページの「 高 度 なクラスタ 設
定 」を 参 照 してください。
2. 必 要 なキュー・サイズが、オペレーティング・システムの 起 動 時 に 変 更 されないことも 確 認 してください。90ページ
の「ゲートウェイの 設 定 を 起 動 時 に 有 効 にする 方 法 」を 参 照 してください。
このキューを 拡 張 すると、このメンバはほかのメンバからのアップデートをより 多 く 保 存 できるようになります。ただし、
保 存 された 各 アップデートはメモリを 消 費 することに 注 意 してください。この 変 数 を 変 更 する 場 合 は、メモリへの 影 響
を 考 慮 してください。 変 更 は、 再 起 動 後 に 適 用 されます。
受 信 キューの 拡 張
クラスタ・メンバ 上 の 受 信 キューは、アップデートのシーケンスをすべて 受 信 し 終 えるまで、 各 クラスタ・メンバからの
アップデートを 保 持 します。 受 信 キューのデフォルト・サイズ( 最 小 値 と 同 じ)は 256 です。 各 メンバは、ピア・メンバご
とに 受 信 キューを 保 持 します。
受 信 キューのサイズを 拡 張 するには
1. グローバル・パラメータ fw_sync_recv_queue_size の 値 を 変 更 します。89ページの「 高 度 なクラスタ 設 定 」を
参 照 してください。
2. 必 要 なキュー・サイズが、オペレーティング・システムの 起 動 時 に 変 更 されないことも 確 認 してください。90ページ
の「ゲートウェイの 設 定 を 起 動 時 に 有 効 にする 方 法 」を 参 照 してください。
このキューを 拡 張 すると、このメンバはほかのメンバからのアップデートをより 多 く 保 存 できるようになります。ただし、
保 存 された 各 アップデートはメモリを 消 費 することに 注 意 してください。この 変 数 を 変 更 する 場 合 は、メモリへの 影 響
を 考 慮 してください。 変 更 は、 再 起 動 後 に 適 用 されます。
ClusterXL 管 理 ガイド R75.40VS | 67

同 期 タイマの 拡 張
同 期 タイマは、 同 期 に 関 連 する 処 理 を 一 定 時 間 ごとに 実 施 します。デフォルトでは、 同 期 タイマの 間 隔 は 100 ミリ 秒
です。 基 本 となる 時 間 単 位 は 100 ミリ 秒 (または 1 ティック)で、これが 最 小 値 です。
同 期 タイマの 拡 張 方 法
グローバル・パラメータ fwha_timer_sync_res の 値 を 変 更 します。89ページの「 高 度 なクラスタ 設 定 」を 参 照
してください。この 変 数 の 値 は、システムの 動 作 中 に 変 更 できます。 再 起 動 は 必 要 ありません。
デフォルトでは、fwha_timer_sync_res は 1 の 値 を 保 持 しており、 同 期 タイマは 基 本 の 時 間 単 位 (100 ミリ 秒 )ごと
に 動 作 します。この 値 を n に 変 更 すると、タイマは n*100 ミリ 秒 ごとに 動 作 します。
CPHA タイマの 拡 張
CPHA タイマは、クラスタに 関 連 する 処 理 を 一 定 時 間 ごとに 実 施 します。デフォルトでは、CPHA タイマの 間 隔 は 100
ミリ 秒 です。 基 本 となる 時 間 単 位 は 100 ミリ 秒 (または 1 ティック)で、これが 最 小 値 です。
クラスタ・メンバがお 互 いに 地 理 的 に 離 れた 場 所 にある 場 合 、CPHA タイマを 同 期 ネットワークのラウンドトリップ 遅
延 の 約 10 倍 に 設 定 します。
この 値 を 拡 張 すると、フェイルオーバーの 検 出 にかかる 時 間 が 長 くなります。たとえば、インタフェース 障 害 の 検 出 に
0.3 秒 かかるときに、タイマが 2 倍 の 200 ミリ 秒 に 設 定 された 場 合 、インタフェース 障 害 の 検 出 に 必 要 な 時 間 は 2 倍
の 0.6 秒 になります。
CPHA タイマの 拡 張
グローバル・パラメータ fwha_timer_sync_res の 値 を 変 更 します。89ページの「 高 度 なクラスタ 設 定 」を 参 照
してください。この 変 数 の 値 は、システムの 動 作 中 に 変 更 できます。 再 起 動 は 必 要 ありません。
デフォルトでは、fwha_timer_cpha_res は 1 の 値 を 保 持 しており、CPHA タイマは 基 本 の 時 間 単 位 (100 ミリ 秒 )ご
とに 動 作 します。この 値 を n に 変 更 すると、タイマは n*100 ミリ 秒 ごとに 動 作 します。
確 認 応 答 タイムアウトの 再 設 定
クラスタ・メンバは、 定 期 的 に 送 信 キューからのアップデートを 削 除 します。(67ページの「Sending Queue Size」を
参 照 )。これにより、キュー 内 のスペースを 開 放 し、より 最 新 のアップデートを 格 納 できます。
ピア・メンバからアップデートに 関 する ACK を 受 信 すると、クラスタ・メンバはこのキューからのアップデートを 削 除 し
ます。
ピア・メンバは、 新 しい 接 続 の 遮 断 メカニズム(91ページの「 高 負 荷 状 態 での 新 しい 接 続 の 遮 断 」を 参 照 )が 有 効 な 場
合 は、 以 下 の 2 つの 状 況 のどちらかに 当 てはまる 場 合 に ACK を 送 信 します。
特 定 数 のアップデートの 受 信 後 。
一 定 時 間 ACK を 送 信 していない 場 合 。これは、 同 期 ネットワークの 回 線 で 大 きな 遅 延 が 発 生 している 場 合 に
重 要 です。これはクラスタ・メンバがお 互 いに 地 理 的 に 離 れた 場 所 にある 場 合 に 発 生 する 可 能 性 があります。
メンバが ACK を 送 信 した 後 にタイムアウトを 再 設 定 するには
グローバル・パラメータ fw_sync_ack_time_gap の 値 を 変 更 します。89ページの「 高 度 なクラスタ 設 定 」を 参
照 してください。この 変 数 の 値 は、システムの 動 作 中 に 変 更 できます。 再 起 動 は 必 要 ありません。
この 変 数 のデフォルト 値 は 10 ティック(10*100 ミリ 秒 )です。このため、メンバが 1 秒 間 ACK を 送 信 していない 場 合 、
受 信 したアップデートに 対 して ACK を 送 信 します。
テクニカル・サポートへの 問 い 合 わせ
ここで 紹 介 したトラブルシューティングを 実 行 しても 問 題 が 解 決 しない 場 合 は、テクニカル・サポートにお 問 い 合 わせ
ください。
68 | ClusterXL 管 理 ガイド R75.40VS

ClusterXL のエラー・メッセージ
このセクションでは、ClusterXL のエラー・メッセージについて 説 明 します。その 他 のあまり 一 般 的 でないエラー・メッ
セージについては、SecureKnowledge の sk23642
(http://supportcontent.checkpoint.com/solutions?id=sk23642)を 参 照 してください。
ClusterXL の 一 般 的 なエラー・メッセージ
FW-1: changing local mode from to because of ID
このログ・メッセージは、クラスタ・メンバ 間 で 動 作 モードが 統 一 されていない 場 合 、たとえば、1 つのマシンが HA
で 動 作 し、 別 のマシンが 負 荷 共 有 マルチキャストまたはユニキャスト・モードで 動 作 しているような 場 合 に 出 力 さ
れます。この 場 合 、ClusterXL の 内 部 メカニズムは 動 作 モードを 最 も 低 い 共 通 モードに 変 更 することにより、クラ
スタ・メンバ 間 の 設 定 を 同 期 化 しようとします。 動 作 モードの 優 先 順 位 は( 最 高 から 最 低 の 順 )、1. 同 期 のみ、2.
負 荷 共 有 、3.HA (アクティブ・アップ)、4.HA (プライマリ・アップ)の 順 になります。
CPHA: Received confirmations from more machines than the cluster size
このログ・メッセージは、クラスタにポリシーをインストールするときに 出 力 されます。このメッセージは、クラスタ
内 に 重 大 な 設 定 上 の 問 題 があることを 意 味 します。ほかのクラスタに 同 一 のパラメータがすでに 設 定 されており、
両 クラスタが 共 通 のネットワークを 持 っていることが 考 えられます。
fwldbcast_timer: peer X probably stopped...
このログ・メッセージは、このメッセージを 出 力 したメンバが、 特 定 の 種 類 のメッセージをメンバ X から 受 信 待 ちし
なくなった 場 合 に 出 力 されます。cphaprob state ですべてのメンバがアクティブとして 表 示 されており、fw ctl
pstat に 同 期 が 正 しく 設 定 されていて、なおかつすべてのメンバ 上 で 正 常 に 動 作 しているかを 確 認 してください。
このような 場 合 、 一 時 的 に 通 信 上 の 問 題 が 発 生 した 後 、しばらくして 問 題 が 解 消 したことが 考 えられます。2 つの
メンバ 間 で 一 時 的 な 同 期 上 の 問 題 が 発 生 したために、 複 数 の 接 続 で 問 題 が 発 生 した 可 能 性 があります。また、
このメッセージはほかのメンバが 実 際 にダウンしていることを 示 している 可 能 性 があります。
FW-1:fwha_notify_interface:there are more than 4 IPs on interface notifying
only the first ones
報 告 しているマシンと 同 一 クラスタ 内 にあるメンバが、 同 一 のインタフェース 上 に 3 つを 超 える 仮 想 IP アドレスを
定 義 していることを 意 味 します。この 設 定 はサポートされていないため、ClusterXL の 機 能 を 使 用 できなくなる 可
能 性 があります。
Sync could not start because there is no sync license
ライセンス・エラー・メッセージです。Security Gateway ライセンスを 持 っていれば、 同 期 もライセンスが 許 可 され
ます。cplic print と cplic check を 使 用 して、Security Gateway の 基 本 ライセンスを 調 べてください。
FW-1: h_slink: an attempt to link to a link
kbuf id not found
fw_conn_post_inspect: fwconn_init_links failed
完 全 同 期 セッションでは、 完 全 同 期 プロセス 中 に 接 続 の 開 設 と 切 断 が 行 われると、このような 問 題 が 発 生 する
場 合 があります。 完 全 同 期 はある 程 度 は 自 動 的 に 行 われますが、パフォーマンス 上 の 理 由 で 完 全 には 自 動 化
されていません。gateway は 完 全 同 期 サーバとして 機 能 している 間 もトラフィックを 処 理 し 続 けます。このため、
接 続 が 2 回 削 除 されたり、 既 存 のリンクにリンクされたりするなどの 軽 度 の 問 題 が 発 生 する 場 合 があります。 通
信 が 失 われたり、セキュリティ 上 の 問 題 が 発 生 したりすることはありません。
Error SEP_IKE_owner_outbound: other cluster member packet in outbound
クラスタが 同 期 化 されていません。 一 般 に、OPSEC 認 定 サード・パーティ 負 荷 共 有 製 品 で、クラスタ・オブジェク
トの[3rd Party Configuration]ページの[Support non-sticky connections]がオフになっている 場 合 に 出 力 さ
れます。
FW-1: fwha_pnote_register: too many registering members, cannot register
クリティカル・デバイス(Problem Notification または pnote とも 呼 ばれます)メカニズムに 保 存 できる 異 なるデバ
イス 数 は 最 大 16 個 です。17 個 目 のデバイスを(cphaprob.conf ファイルを 編 集 するか cphaprob -d ... register
コマンドを 使 用 することにより) 設 定 しようとすると、このメッセージが 出 力 されます。
FW-1: fwha_pnote_register: already registered (# )
ClusterXL 管 理 ガイド R75.40VS | 69

pnote メカニズムに 登 録 する 各 デバイスには、 固 有 の 名 前 を 付 ける 必 要 があります。このメッセージは、 新 しい
pnote デバイスを 登 録 するときに 出 力 され、デバイスは pnote 番 号 ですでに 登 録 されて
いることを 示 します。
FW-1: fwha_pnote_unregister: attempting to unregister an unregistered device
現 在 登 録 されていないデバイスの 登 録 を 削 除 しようとしたことを 示 します。
FW-1: alert_policy_id_mismatch: failed to send a log
2 つ 以 上 のメンバ 間 に 異 なるポリシーID が 存 在 することを 示 すログが 送 信 されませんでした。すべてのクラスタ・
メンバが 同 一 のポリシーを 持 っていることを 確 認 してください(fw stat を 使 用 )。ポリシーの 再 インストールをお 勧
めします。
FW-1: fwha_receive_fwhap_msg: received incomplete HAP packet (read bytes)
このメッセージは、ClusterXL がバージョン 4.1 のクラスタの CCP パケットを 受 信 した 場 合 に 出 力 されることがあ
ります。この 場 合 、メッセージを 無 視 しても 問 題 ありません。
SmartView Tracker のアクティブ・モード・メッセージ
以 下 のエラー・メッセージは、SmartView Tracker Active モードで 表 示 されることがあります。これらのエラーは、エ
ントリの 一 部 が 正 常 に 処 理 されていないため、クラスタ・メンバ 上 の 同 期 情 報 が 失 われ、SmartView Tracker で 不 正
確 な 報 告 が 行 われる 可 能 性 があることを 示 します。
FW-1:fwlddist_adjust_buf: record too big for sync. update Y for table failed. fwlddist_state=
クラスタ 化 されたマシン 上 で 設 定 上 の 問 題 が 発 生 したことを 示 します。 同 期 の 設 定 が 正 しくないか、 同 期 インタフ
ェースで 転 送 されているパケットに 問 題 があります。 問 題 の 原 因 に 関 する 情 報 を 入 手 するには、 以 下 のいずれ
かを 実 行 します。
fw ctl pstat を 実 行 します(58ページの「 同 期 の 監 視 (fw ctl pstat)」を 参 照 )。
ClusterXL のクラスタで、cphaprob -a if を 実 行 し、インタフェースの 状 態 を 取 得 します(50ページを 参 照 )。
この 問 題 を 解 決 するには、92ページの「SmartView Tracker のアクティブ・モードの 使 用 」を 参 照 してください。
FW-1: fwldbcast_flush: active connections is currently enabled and due to high load it is making
sync too slow to function properly. X active updates were dropped
同 期 機 能 を 維 持 するために、クラスタ 化 されたマシンが SmartView Tracker のアクティブ・モードのアップデート
を 破 棄 したことを 示 します。この 問 題 を 解 決 するには、92ページの「SmartView Tracker のアクティブ・モードの
使 用 」を 参 照 してください。
同 期 関 連 のエラー・メッセージ
FW-1:fwldbcast_retreq: machine sent a retrans request for seq
which is no longer in my possession (current seq )
このメッセージは、 送 信 ウィンドウに 存 在 しないシーケンス 番 号 に 対 する 再 送 要 求 をローカル・メンバが 受 信 した
ときに 表 示 されます。 送 信 しているメンバが 要 求 されたシーケンスを 受 信 していない 場 合 、 同 期 上 の 問 題 を 示 し
ている 可 能 性 があります。
FW-1:fwlddist_save: WARNING: this member will not be fully synchronized !
FW-1:fwlddist_save: current delta sync memory during full sync has reached the maximum of
MB
FW-1:fwlddist_save:it is possible to set a different limit by changing
fw_sync_max_saved_buf_mem value
これらのメッセージは 完 全 同 期 時 にのみ 表 示 されます。 完 全 同 期 の 実 行 中 は、 差 分 同 期 アップデートは 保 存 さ
れ、 完 全 同 期 プロセスが 完 了 した 後 に 適 用 されます。 差 分 同 期 アップデートの 保 存 に 使 用 されるメモリを 制 限 す
るには、fw_sync_max_saved_buf_mem 変 数 に 制 限 値 を 設 定 します。
FW-1:fwldbcast_flush: fwlddist_buf_ldbcast_unread is not being reset fast enough
(ur=,fwlddist_buflen=)
このメッセージは、 同 期 バッファが 読 み 取 られるよりも 早 く 満 たされたために 負 荷 が 高 くなった 場 合 に 表 示 される
ことがあります。 考 えられる 解 決 策 は、92ページの「SmartView Tracker のアクティブ・モードの 使 用 」で 説 明 す
るように fwlddist_buf_size を 拡 張 することです。
70 | ClusterXL 管 理 ガイド R75.40VS

FW-1: fwlddist_mode_change: Failed to send trap requesting full sync
このメッセージは、 完 全 同 期 プロセスの 開 始 上 の 問 題 のために 表 示 されている 可 能 性 があり、 深 刻 な 問 題 であ
ることを 示 します。テクニカル・サポートに 問 い 合 わせてください。
FW-1: State synchronization is in risk. Please examine your synchronization network to avoid
further problems!
このメッセージは、 負 荷 が 極 度 に 高 い 場 合 に 出 力 され、 同 期 アップデートが 恒 久 的 に 失 われたことを 示 します。
アップデート 発 生 元 の 送 信 キューに 同 期 アップデートが 存 在 しないために 再 送 が 不 可 能 になった 場 合 、 同 期 アッ
プデートは 恒 久 的 に 失 われたとみなされます。この 状 況 は Security Gatewayが 誤 作 動 する 可 能 性 があることを
意 味 しているのではなく、 潜 在 的 な 問 題 があることを 意 味 します。 失 われた 同 期 アップデートが 非 暗 号 化 (クリ
ア) 接 続 の 場 合 のように 1 つのメンバ 上 でのみ 実 行 される 接 続 に 対 するものであれば、この 潜 在 的 な 問 題 は 実
害 がありません(ただし、フェイルオーバーの 場 合 は、ほかのメンバがこのアップデートを 必 要 とします)。
失 われた 同 期 アップデートが、 暗 号 化 接 続 の 場 合 のように 非 対 称 な 通 信 (13ページの「 非 対 称 通 信 」を 参 照 )に
関 するものであった 場 合 、この 潜 在 的 な 問 題 により 実 害 が 発 生 する 可 能 性 があります。この 場 合 、ほかのクラス
タ・メンバがこの 通 信 に 関 するパケットを 破 棄 し 始 め、 通 常 、TCP out of state エラー・メッセージを 出 力 します
(71ページの「TCP Out-of-State エラー・メッセージ」を 参 照 )。この 場 合 、91ページの「 高 負 荷 状 態 での 新 しい 接
続 の 遮 断 」で 説 明 するように、 高 負 荷 のもとで 新 しい 接 続 をブロックすることが 重 要 です。
以 下 のエラー・メッセージはこの 問 題 に 関 連 しています。
FW-1:fwldbcast_recv: delta sync connection with member was lost and
regained. updates were lost.
FW-1:fwldbcast_recv: received sequence (fragm , index
), last processed seq
これらのメッセージは、 一 時 的 な 同 期 上 の 問 題 が 発 生 したために、 同 期 アップデートの 一 部 がメンバ 間 で 同 期 で
きなかった 場 合 に 出 力 されます。この 結 果 として、 通 信 の 一 部 はフェイルオーバーによって 失 われる 可 能 性 があ
ります。
前 述 のエラー・メッセージはこの 問 題 に 関 連 しています。
FW-1: The use of the non_sync_ports table is not recommended anymore. Refer to the user
guide for configuring selective sync instead
以 前 のバージョンが non_sync_ports というカーネル・テーブルを 使 用 して 選 択 同 期 を 実 施 しました。これは 同 期
する 必 要 がないサービスを 選 択 する 方 法 です。これ 以 降 は、 選 択 同 期 は SmartDashboard から 設 定 できます。
12ページの「 同 期 の 不 要 なサービスの 設 定 」を 参 照 してください。
TCP Out-of-State エラー・メッセージ
同 期 メカニズムに 負 荷 がかかると、TCP packet out-of-state エラー・メッセージが SmartView Tracker の
[Information]カラムに 表 示 されます。このセクションでは、 各 エラーを 解 決 する 方 法 を 説 明 します。
TCP packet out of state - first packet isn't SYN tcp_flags: FIN-ACK
TCP packet out of state - first packet isn't SYN tcp_flags: FIN-PUSH-ACK
これらのメッセージは、 通 信 テーブルからの 通 信 が 削 除 された 後 で FIN パケットが 再 送 された 場 合 に 出 力 されま
す。この 問 題 を 解 決 するには、SmartDashboard の[Global properties]の[Stateful Inspection]で、[TCP
end timeout]を 20 秒 から 60 秒 に 増 加 させます。 必 要 に 応 じて、 通 信 テーブルも 大 きくし、 満 杯 にならないように
します。
SYN packet for established connection
このメッセージは、 確 立 された 通 信 で SYN が 受 信 され、シーケンス・ベリファイアが 停 止 した 場 合 に 出 力 されま
す。シーケンス・ベリファイアは、クラスタ 内 (または SecureXL 内 )の 非 対 称 通 信 に 対 しては 停 止 します。アプリ
ケーションによっては、(ポートを 再 利 用 するため)RST パケットで 通 信 を 切 断 するものがあります。この 問 題 を
解 決 するには、 特 定 のポートまたはすべてのポートについて、この 動 作 を 有 効 にします。たとえば、 以 下 のコマ
ンドを 実 行 します。
fw ctl set int fw_trust_rst_on_port
これは 1 つのポートでは 十 分 ではない 場 合 、Security Gateway がどのポートから 入 ってくる RST も 信 用 するこ
とを 意 味 します。
ClusterXL 管 理 ガイド R75.40VS | 71

プラットフォーム 固 有 のエラー・メッセージ
IPSO 固 有 のエラー・メッセージ
FW-1: fwha_nok_get_mc_mac_by_ip: received a NULL query
FW-1: fwha_nok_get_mc_mac_by_ip: nokcl_get_clustermac returned unknown type
これらのメッセージは、Static NAT 設 定 の 自 動 プロキシ ARP のエントリが 適 切 にインストールされていないこと
を 意 味 します。
FW-1: fwha_nokcl_sync_rx_f: received NULL mbuf from ipso. Packet dropped.
FW-1: fwha_nokcl_sync_rx_f: received packet with illegal flag=. drop packet.
これらのメッセージは、 不 正 な CPHA パケットが 受 信 されたため 破 棄 することを 意 味 します。 起 動 時 にこの 状 況
が 何 度 も 発 生 する 場 合 、クラスタが 誤 作 動 しています。
FW-1: fwha_nokcl_reregister_rx: unregister old magic mac values with IPSO.
FW-1: fwha_nokcl_reregister_rx: new magic mac values registered
successfully with IPSO.
fw ctl set int fwha_magic_mac の 処 理 に 成 功 したことを 示 す 通 知 です。
FW-1: fwha_nokcl_reregister_rx: error in de-registration to the sync_rx () new magic
macs values will not be applied
fw ctl set int fwha_magic_mac の 処 理 に 失 敗 したことを 示 す 通 知 です。 以 前 の MAC 値 が 保 持 されます。
FW-1: fwha_nokcl_creation_f: error in registration …
FW-1: fwha_nok_init: NOT calling nokcl_register_creation since did not de-register yet.
FW-1: fwha_nok_fini: failed nokcl_deregister_creation with rc=
これらのメッセージは、IPSO クラスタリング・メカニズムへの 登 録 で 内 部 エラーが 発 生 したことを 意 味 します。
IPSO のバージョンがこのバージョンの Security Gateway でサポートされていること、および IPSO IP クラスタリ
ングまたは VRRP クラスタが 適 切 に 設 定 されていることを 確 認 してください。
FW-1: successfully (dis)connected to IPSO Clustering
通 常 、Security Gateway の 初 期 化 および 削 除 時 に 受 信 される 通 知 です。
FW-1: fwha_pnote_register: noksr_register_with_status failed
FW-1: fwha_IPSO_pnote_expiration: mismatch between IPSO device to ckp device
FW-1: fwha_nokia_pnote_expiration: can not find the device nokia claims to be expired
FW-1: fwha_noksr_report_wrapper: attempting to report an unregistered device
これらのメッセージは、IPSO と ClusterXL のデバイス 監 視 メカニズム 間 の 通 信 に 問 題 があるために 出 力 される
場 合 があります。 通 常 、 再 起 動 によってこの 問 題 は 解 決 します。この 問 題 が 繰 り 返 し 発 生 する 場 合 は、チェック・
ポイントのテクニカル・サポートに 問 い 合 わせてください。
メンバの 再 起 動 の 失 敗
クラスタに 高 い 負 荷 がかかっている 状 態 で、クラスタ・メンバで 再 起 動 (または cpstop と cpstart を 続 けて 実 行 )を 実
施 した 場 合 、メンバが 正 常 に 起 動 できない 場 合 があります。 起 動 中 のメンバは 既 存 のアクティブ・メンバとの 完 全 同
期 を 試 み、 処 理 中 にリソースと 利 用 可 能 なメモリのすべてを 使 い 果 たす 可 能 性 があります。このために 予 期 しない 動
作 が 発 生 する 可 能 性 があります。
この 問 題 を 解 決 するには、 起 動 時 にアクティブ・メンバとの 通 信 を 同 期 するためにメンバが 使 用 可 能 なメモリの 最 大
量 を 定 義 します。デフォルトでは、この 量 は 制 限 されていません。 必 要 なメモリの 量 は、 以 下 のように 判 断 します。
完 全 同 期 に 必 要 なメモリ(MB)
新 しい 通 信 / 秒
72 | ClusterXL 管 理 ガイド R75.40VS

開 設 されている
通 信 の 数
100 1000 5000 10,000
1000 1.1 6.9
10000 11 69 329
20000 21 138 657 1305
50000 53 345 1642 3264
注 - これらの 数 値 は、Pentium 4 プロセッサ(2.4 GHz で 動 作 )の Windows プラットフォーム
を 使 用 したクラスタ・メンバに 基 づいています。
たとえば、クラスタが 10,000 個 の 通 信 を 持 っており、 接 続 速 度 が 毎 秒 1000 個 の 通 信 の 場 合 、 完 全 同 期 には 69 MB
が 必 要 です。
メモリの 最 大 量 は、 次 のゲートウェイ・グローバル・パラメータを 使 用 して 定 義 します。
fw_sync_max_saved_buf_mem
単 位 はメガバイトです。 詳 細 は、89ページの「 高 度 なクラスタ 設 定 」を 参 照 してください。
ClusterXL 管 理 ガイド R75.40VS | 73

第 8 章
ClusterXL の 高 度 な 設 定
この 章 の 構 成
VPN とクラスタの 使 用 74
NAT とクラスタの 使 用 75
VLAN とクラスタの 使 用 76
インタフェースのリンク 状 態 監 視 78
リンク・アグリゲーションとクラスタ 79
高 度 なクラスタ 設 定 89
Disconnected インタフェースの 定 義 93
ポリシー 更 新 タイムアウトの 設 定 93
TCP3 ウェイ・ハンドシェーク 実 施 の 強 化 94
異 なるサブネット 上 のクラスタ・アドレスの 設 定 94
単 一 ゲートウェイから ClusterXL クラスタへの 移 行 98
既 存 クラスタへの 別 メンバの 追 加 99
クラスタの ISP 冗 長 性 の 設 定 99
クラスタ 構 成 でのダイナミック・ルーティング・プロトコルの 有 効 化 100
VPN とクラスタの 使 用
VPN とクラスタの 設 定
SmartDashboardを 使 用 してセキュリティ・ゲートウェイのクラスタを 設 定 するのは、 単 一 のセキュリティ・ゲートウェイ
を 設 定 するのと 非 常 に 似 ています。VPN のすべての 属 性 は、クラスタ・メンバごとに 定 義 する 2 つの 属 性 を 除 きゲー
トウェイ・クラスタ・オブジェクト 内 で 定 義 します。
1. [Gateway Cluster Properties]ウィンドウの[Cluster Members]ページを 開 きます。 各 クラスタ・メンバの
[Cluster member Properties]ウィンドウで[VPN]タブを 以 下 のように 設 定 します。
[Office Mode for Remote access] ― リモート・アクセスにオフィス・モードを 使 用 する 場 合 、 各 クラスタ・メン
バに 割 り 当 てる IP プールを 定 義 します。
[Hardware Certificate Storage List] ― クラスタ・メンバが IKE 証 明 書 のハードウェア・ストレージをサポート
している 場 合 、 証 明 書 の 属 性 を 定 義 します。この 場 合 、SmartCenter サーバはクラスタ・メンバに 対 して 鍵 を 作
成 し、 証 明 書 要 求 の 作 成 に 必 要 な 情 報 だけを 提 供 するよう 指 示 します。 証 明 書 は、ポリシーのインストール 時
にクラスタ・メンバにダウンロードされます。
2. VPN クラスタ 内 で IKE 鍵 が 同 期 されます。[Gateway Cluster Properties]ウィンドウの[Synchronization]ペー
ジで、[Use State Synchronization]が 選 択 されていることを 確 認 します。これは、HA(ハイ・アベイラビリティ)
構 成 の 場 合 も 同 様 です。
3. [Gateway Cluster Properties]ウィンドウの[Topology]ページでクラスタの 暗 号 化 ドメインを 定 義 します。
[VPN Domain]の 下 で、 以 下 の 2 つの 設 定 のいずれかを 選 択 します。
[All IP addresses behind cluster members based on topology information] - これはデフォルト・オプショ
ンです。
ClusterXL 管 理 ガイド R75.40VS | 74

[Manually Defined] - クラスタの IP アドレスがメンバ・ネットワーク 上 にない 場 合 、つまりクラスタの 仮 想 IP ア
ドレスがクラスタ・メンバ・インタフェースとは 異 なるサブネット 上 にある 場 合 は、このオプションを 選 択 します。こ
の 場 合 、クラスタの 仮 想 IP アドレスを 含 むネットワークまたはネットワーク・グループと、クラスタの 背 後 にある
ネットワークまたはネットワーク・グループを 選 択 してください。
別 の Security Management サーバでの VPN ピア・クラスタの 定 義
チェック・ポイントのゲートウェイ・クラスタとして 使 用 する VPN ピアが 別 の Security Management サーバによって 管
理 されている 場 合 、 別 のクラスタ・オブジェクトを 定 義 するのではなく 以 下 の 手 順 を 行 います。
1. オブジェクト・ツリーの[Network Objects]ブランチで 右 クリックし、[New Check Point Externally Managed
Gateway]を 選 択 します。
2. [Topology]ページで、VPN ピアの 外 部 クラスタ・インタフェースと 内 部 クラスタ・インタフェースのアドレスを 追 加
します。 以 下 の 場 合 を 除 き、クラスタ・メンバ・インタフェースのアドレスは 使 用 しないでください。
外 部 クラスタがバージョン 4.1 の 場 合 はクラスタ・メンバ・インタフェースの IP アドレスを 追 加 します。
クラスタが OPSEC 認 定 製 品 の 場 合 (IPSO を 除 く)、クラスタ・メンバの IP アドレスの 追 加 が 必 要 になる 場 合 が
あります。
クラスタ・メンバ・インタフェースの IP アドレスを 追 加 する 場 合 は、インタフェースの[Topology]タブでインタフェー
スを[Internal]として 定 義 し、[IP Addresses behind this interface]を[Not defined]と 定 義 します。
3. このページの[VPN Domain]セクションで、 外 部 から 管 理 されるゲートウェイの 暗 号 化 ドメインをゲートウェイの
内 部 仮 想 IP アドレスの 背 後 に 置 くように 定 義 します。 暗 号 化 ドメインが 1 つのサブネットだけの 場 合 は[All IP
addresses behind cluster members based on topology information]を 選 択 します。 暗 号 化 ドメインに 複 数 の
サブネットが 含 まれる 場 合 は[Manually Defined]を 選 択 します。
NAT とクラスタの 使 用
クラスタのフォールドとクラスタの 隠 蔽
ネットワーク・アドレス 変 換 (NAT)は、ClusterXL の 動 作 に 必 要 な 基 本 的 な 機 能 です。
ClusterXL クラスタ・メンバからインターネットへの 発 信 接 続 を 確 立 する 場 合 、 発 信 パケット 内 の 発 信 元 アドレスはク
ラスタ・メンバ・インタフェースの 物 理 IP アドレスになります。 発 信 元 IP アドレスは NAT を 使 用 し、クラスタの 外 部 仮
想 IP アドレスを 使 用 した 発 信 元 IP アドレスに 変 換 されます。このアドレス 変 換 は「クラスタの 隠 蔽 」と 呼 ばれます。
OPSEC 認 定 クラスタ 製 品 の 場 合 、クラスタ・オブジェクトの[3rd Party Configuration]ページでデフォルト 設 定 として
[Hide Cluster Members' outgoing traffic behind the Cluster's IP address]がオンになっている 場 合 に 対 応 し
ます。
クライアントがクラスタの 外 部 ( 仮 想 )アドレスに 対 する 着 信 接 続 を 確 立 する 場 合 、ClusterXL は NAT を 使 用 して 宛 先
IP アドレスをクラスタ・メンバの 1 つの 物 理 外 部 アドレスを 使 用 した 宛 先 IP アドレスに 変 換 します。このアドレス 変 換
は「クラスタのフォールド」と 呼 ばれます。
OPSEC 認 定 クラスタ 製 品 の 場 合 、クラスタ・オブジェクトの[3rd Party Configuration]ページでデフォルト 設 定 として
[Forward Cluster's incoming traffic to Cluster Members' IP addresses]がオンになっている 場 合 に 対 応 します。
ゲートウェイ・クラスタ 上 での NAT 設 定
ゲートウェイ・クラスタ 上 でのネットワーク・アドレス 変 換 (NAT)は、 単 一 のゲートウェイ 上 での 場 合 と 同 じ 方 法 で 実 行
できます。この NAT は、 自 動 の「クラスタのフォールド」および「クラスタの 隠 蔽 」のアドレス 変 換 とは 別 に 実 行 できる
機 能 です。
NAT を 設 定 するには、ゲートウェイ・クラスタ・オブジェクトを 編 集 し、[Gateway Cluster Properties]ウィンドウで
[NAT]ページを 選 択 します。クラスタ・メンバ・オブジェクトの[NAT]タブは 設 定 しないでください。
ClusterXL 管 理 ガイド R75.40VS | 75

クラスタ・メンバ 上 での NAT 設 定
クラスタ・メンバの 非 クラスタ・インタフェースでネットワーク・アドレス 変 換 (NAT)を 実 行 できます。
この NAT を 実 行 するのは、クラスタ・メンバの 非 クラスタ・インタフェースが 別 の( 非 クラスタ) 内 部 Security Gateway
に 接 続 されており、クラスタ・メンバの 非 クラスタ・インタフェースのアドレスを 隠 す 必 要 があるような 場 合 です。
この NAT が 実 行 されると、クラスタ・メンバの 非 クラスタ・インタフェース 上 またはその 背 後 から 発 信 されたパケットが
内 部 Security Gateway の 反 対 側 のホストに 送 られる 場 合 にパケットの 発 信 元 アドレスが 変 換 されます。
クラスタ・メンバ・ゲートウェイの 非 クラスタ・インタフェースで NAT を 設 定 するには
1. ゲートウェイ・クラスタ・オブジェクトを 編 集 します。
2. [Gateway Cluster Properties]ウィンドウの[Cluster Member]ページでクラスタ・メンバ・オブジェクトを 編 集 し
ます。
3. [Cluster Member Properties]ウィンドウで[NAT]タブをクリックします。
4. 必 要 に 応 じてスタティック NAT または Hide NAT を 設 定 します。
VLAN とクラスタの 使 用
ClusterXL の VLAN サポート
VLAN 内 で 発 信 されたパケットがスイッチに 到 達 すると、スイッチはパケットが 入 ってきたスイッチ・ポートを 示 す 4 バ
イトのヘッダをパケットに 付 けます。パケットは、あるスイッチ・ポートから 別 の VLAN に 所 属 するほかのスイッチ・
ポートへ 移 動 することはできません。ただし、すべての VLAN に 属 すると 定 義 されたポート(「グローバル」ポート)は
例 外 です。
クラスタ・メンバは VLAN スイッチのグローバル・ポートに 接 続 されます。この 結 果 、1 つの 物 理 ポートは 複 数 の
VLAN ポートに 理 論 的 に 分 割 され、 各 VLAN ポートはクラスタ・メンバの VLAN タグ 付 きインタフェース(VLAN インタ
フェース)に 関 連 付 けられます。
インタフェースに 対 して VLAN タグを 定 義 する 場 合 、クラスタの IP アドレスは VLAN インタフェース(タグ 付 きインタ
フェース)に 対 してのみ 定 義 できます。VLAN を 持 っている 物 理 インタフェースに 対 してクラスタの IP アドレスを 定 義
することはできません。このような 物 理 インタフェースは、[Network Objective]カラムで[Monitored Private]を 選 択
して 定 義 する 必 要 があります。
注 - ClusterXL は、Windows 2000 または Windows 2003 Server 上 の VLAN をサポートし
ていません。
同 一 VLAN への 複 数 クラスタの 接 続
複 数 のクラスタの 安 全 に 保 護 されていないインタフェース(たとえば、 内 部 クラスタ・インタフェースまたは 外 部 クラス
タ・インタフェース)を 同 一 の VLAN に 接 続 することはお 勧 めできません。 各 クラスタに 個 別 の VLAN および/またはス
イッチが 必 要 です。
複 数 のクラスタの 安 全 に 保 護 されたインタフェース( 同 期 インタフェース)を 接 続 することも、 同 じ 理 由 からお 勧 めでき
ません。したがって、クラスタの 安 全 に 保 護 されたインタフェースを 接 続 する 際 は、クロスケーブルを 介 して 接 続 する
か、 孤 立 した VLAN に 接 続 することをお 勧 めします。
複 数 のクラスタの 安 全 に 保 護 されたインタフェースまたは 安 全 に 保 護 されていないインタフェースを 同 一 の VLAN に
接 続 する 必 要 がある 場 合 は、 以 下 の 変 更 を 行 う 必 要 があります。
宛 先 MAC アドレスの 変 更 。クラスタとクラスタ 外 部 のマシンの 間 の 通 信 を 可 能 にするために 必 要 です
(ClusterXL 負 荷 共 有 マルチキャスト・モードのクラスタの 場 合 のみ)。
クラスタの 発 信 元 MAC アドレスの 変 更 。クラスタ・メンバ 間 のクラスタ・コントロール・プロトコル 通 信 を 可 能 にす
るために 必 要 です。
76 | ClusterXL 管 理 ガイド R75.40VS

宛 先 MAC アドレスの 変 更
このセクションは、ClusterXL 負 荷 共 有 マルチキャスト・モードにのみ 関 連 しています。
負 荷 共 有 マルチキャスト・モードでの 宛 先 クラスタ MAC アドレスの 割 り 当 て 方 法
クラスタの 外 部 のマシンがクラスタと 通 信 しようとする 場 合 は、クラスタの( 仮 想 )IP アドレスについての ARP クエリを
送 信 します。クラスタは、IP アドレスがユニキャスト・アドレスであってもマルチキャスト MAC アドレスを 使 用 して ARP
要 求 に 応 答 します。
このクラスタの 宛 先 マルチキャスト MAC アドレスは、クラスタのユニキャスト IP アドレスに 対 応 しています。 上 位 3 バ
イトは 01.00.5E であり、 標 準 的 な Multicast MAC として 識 別 されます。 下 位 3 バイトには IP アドレスの 下 位 3 バイ
トが 使 用 されます。 以 下 に IP アドレス 10.0.10.11 に 基 づく MAC アドレスの 例 を 示 します。
マルチキャスト MAC アドレスの 重 複 : 問 題
複 数 のクラスタが 同 一 の VLAN に 接 続 されている 場 合 、VLAN に 接 続 されるクラスタ・インタフェースの IP アドレスの
最 後 の 3 バイトは 異 なっている 必 要 があります。 同 じ 場 合 、 外 部 から 1 つのクラスタに 向 けられた 通 信 が 両 方 のクラ
スタに 到 達 して 通 信 上 の 問 題 が 発 生 します。
たとえば、VLAN に 接 続 されたクラスタのうち 最 初 のクラスタのクラスタ・インタフェース・アドレスが 10.0.10.11 で、
2 番 目 のクラスタのクラスタ・インタフェース・アドレスが10.0.10.12の 場 合 は 問 題 ありませんが、 最 初 のクラスタと2 番
目 のクラスタのアドレスがそれぞれ10.0.10.11と20.0.10.11である 場 合 は、 混 乱 が 生 じます。
マルチキャスト MAC アドレスの 重 複 : 解 決 策
最 善 の 解 決 法 は、IP アドレスの 最 後 の 3 バイトが 共 通 しているクラスタ・インタフェースのうち、1 つを 除 くすべてのク
ラスタ・インタフェースについて IP アドレスの 最 後 の 3 バイトを 変 更 することです。
クラスタ・インタフェースの IP アドレスを 変 更 できない 場 合 は、1 つを 除 くすべてのクラスタについて 自 動 的 に 割 り 当 て
られたマルチキャスト MAC アドレスを 変 更 し、ユーザ 定 義 のマルチキャスト MAC アドレスで 置 き 換 える 必 要 があり
ます。 以 下 の 手 順 を 実 行 します。
1. クラスタ・オブジェクトの[ClusterXL]ページで、[Load Sharing]→[Multicast Mode]を 選 択 します。
[Topology]タブで、ほかのクラスタと 同 じ VLAN に 接 続 されているクラスタ・インタフェースを 編 集 します。
2. [Interface Properties]ウィンドウの[General]タブで、[Advanced]をクリックします。
3. デフォルトの MAC アドレスを 変 更 し、 新 たにユーザ 定 義 の MAC アドレスを 入 力 します。MAC アドレスは
01:00:5e:xy:yy:yy の 形 式 で 入 力 します。ここで x は 0~7 で、y は 0~f(16 進 数 )です。
発 信 元 MAC アドレスの 変 更
このセクションは、HA と 負 荷 共 有 を 含 むすべての ClusterXL モードおよび OPSEC 認 定 クラスタ 製 品 に 関 連 してい
ます。
発 信 元 クラスタ MAC アドレスの 割 り 当 て 方 法
クラスタ・メンバはクラスタ・コントロール・プロトコル(CCP)を 使 用 して 互 いに 通 信 します。CCP パケットには 固 有 の
発 信 元 MAC アドレスが 付 加 され、この MAC アドレスによって 普 通 のネットワーク・トラフィックと 区 別 されます。
ClusterXL 管 理 ガイド R75.40VS | 77

発 信 元 MAC アドレスの 先 頭 の 4 バイトはすべてゼロです(00.00.00.00)。
発 信 元 MAC アドレスの 5 バイト 目 はマジック・ナンバで、 値 は 用 途 を 表 します。
5 バイト 目 のデフォルト 値 用 途
0xfe
0xfd
CCP トラフィック
転 送 レイヤ・トラフィック
6 バイト 目 は 送 信 クラスタ・メンバの ID です。
発 信 元 クラスタ MAC アドレスの 重 複 : 問 題
1 つ 以 上 のクラスタが 同 じ VLAN に 接 続 されている 場 合 で、CCP と 転 送 レイヤのトラフィックがマルチキャスト MAC
アドレスを 宛 先 に 使 用 している 場 合 、このトラフィックは 意 図 されたクラスタにのみ 届 きます。
ただし、ブロードキャスト MAC アドレスが CCP の 宛 先 と 転 送 レイヤに 使 用 されている 場 合 (そのほかの 場 合 でも)、
1 つのクラスタに 向 けられたクラスタ・トラフィックが 接 続 されているすべてのクラスタから 透 過 的 ではないため、 意 図
しないクラスタによって 処 理 されて 通 信 上 の 問 題 が 発 生 します。
発 信 元 クラスタ MAC アドレスの 重 複 : 解 決 策
同 一 の VLAN に 接 続 されている 別 々のクラスタから 送 信 されたパケットの 発 信 元 MAC アドレスを 確 実 に 区 別 できる
ようにするため、1 つを 除 くすべてのクラスタについて VLAN に 接 続 されたクラスタ・インタフェースの MAC 発 信 元 ア
ドレスを 変 更 してください。
同 一 VLAN 上 に 複 数 のクラスタを 設 定 するには、 以 下 のゲートウェイ 設 定 パラメータを 使 用 します。これらのパラメー
タは、ClusterXL 製 品 と OPSEC 認 定 クラスタ 製 品 の 両 方 に 適 用 されます。
パラメータ
fwha_mac_magic
fwha_mac_forward_magic
デフォルト 値
0xfe
0xfd
これらのゲートウェイ 設 定 パラメータの 値 を 変 更 すると、クラスタ・コントロール・プロトコル・パケットと 転 送 パケットの
発 信 元 MAC アドレスの 5 バイト 目 が 変 更 されます。2 つのゲートウェイ 設 定 パラメータが 異 なっていれば、どんな 値
を 使 用 しても 構 いません。 混 乱 を 避 けるため、 値 0x00 は 使 用 しないでください。
これらのパラメータの 変 更 方 法 の 説 明 は、89ページの「ゲートウェイ 設 定 パラメータの 設 定 方 法 」を 参 照 してくだ
さい。
インタフェースのリンク 状 態 監 視
インタフェースのリンク 状 態 監 視 を 有 効 にすると、ClusterXL でインタフェース 障 害 を 検 出 する 時 間 が 短 縮 されます。
リンク 状 態 (たとえば、 電 気 状 態 など)を 監 視 することによって、ケーブルの 切 断 やスイッチの 電 気 的 な 障 害 ( 実 際 の
障 害 または 想 定 される 障 害 )などの 特 定 のネットワーク・インタフェースに 関 する 接 続 性 の 問 題 が 発 生 したときに、
ClusterXL は 即 座 にその 問 題 を 検 出 されるようになります。
インタフェースのリンク 状 態 監 視 を 行 うには、リンク 状 態 の 検 出 をサポートしているインタフェース・デバイス・ドライバ
が 必 要 です。デバイス・ドライバは、リンクが 接 続 されているか 切 断 されているかを 報 告 します。
インタフェースのリンク 状 態 監 視 機 能 は、 監 視 対 象 インタフェース(クラスタ・インタフェースまたは 監 視 対 象 プライベ
ート・インタフェースのどちらか)が ICMP ECHO プローブ 要 求 を 送 信 したが 接 続 しているサブネット 上 のホストやル
ータからの 応 答 がない 場 合 に 特 に 便 利 です。
この 機 能 を 有 効 にすると、インタフェースがダウンしたときに 即 座 に ClusterXL で 検 出 されます。この 機 能 を 無 効 に
すると、ClusterXL は、サブセカンドでタイムアウト 期 限 を 監 視 した 上 でインタフェースが 誤 作 動 しているかどうかを 判
断 します。
デフォルトでは、インタフェースのリンク 状 態 監 視 機 能 は 無 効 になっています。
78 | ClusterXL 管 理 ガイド R75.40VS

注 - インタフェースのリンク 状 態 監 視 を 行 うには、リンク 状 態 の 検 出 をサポートしているインタ
フェース・デバイス・ドライバが 必 要 です。また、この 機 能 は Linux プラットフォームの
SecurePlatform のみをサポートしています。この 機 能 は、2 つのインタフェースがクロスケー
ブルで 直 接 つながっている 2 つのメンバの ClusterXL クラスタでのみ 利 用 できます。sk31336
(http://supportcontent.checkpoint.com/solutions?id=sk31336)を 参 照 してください。
インタフェースのリンク 状 態 監 視 の 有 効 化
インタフェースのリンク 状 態 監 視 を 有 効 / 無 効 にするには
グローバル・パラメータ fwha_monitor_if_link_state を 設 定 します。
使 用 方 法 :
fw ctl set int fwha_monitor_if_link_state
オプション:
0 – インタフェースのリンク 状 態 監 視 を 無 効 にします。これはデフォルトの 設 定 です。
1 - インタフェースのリンク 状 態 監 視 を 有 効 にします。
これらの 設 定 パラメータを 起 動 時 に 有 効 にする 方 法 については、SecureKnowledge sk26202
(http://supportcontent.checkpoint.com/solutions?id=sk26202)を 参 照 してください。
リンク・アグリゲーションとクラスタ
このセクションの 構 成
概 要 79
リンク・アグリゲーション - HA モード 80
リンク・アグリゲーション - 負 荷 共 有 モード 84
インタフェース・ボンディングでの VLAN の 定 義 86
リンク・アグリゲーションのためのパフォーマンス・ガイドライン 86
インタフェース・ボンディング 用 の ClusterXL のコマンド 87
ボンディングされたインタフェースのトラブルシューティング 88
概 要
リンク・アグリゲーション(NIC チーミングとも 呼 ばれます)では、 複 数 のネットワーク・インタフェースを Security
Gateway にボンディングします。インタフェース・ボンドでは、インタフェースに 障 害 が 発 生 したときに HA ソリューショ
ンで 冗 長 性 を 持 たせることができ、さらに 負 荷 共 有 モードでは 全 体 的 なスループットを 向 上 させることができます。
注 - リンク・アグリゲーションは Check Point SecurePlatform でのみサポートされています。
インタフェース・ボンドでは、2~8 つのインタフェースが 1 つのインタフェースとして 機 能 するように 設 定 され、 同 一 の
IP アドレスを 使 用 します。
ClusterXL 管 理 ガイド R75.40VS | 79

ボンドは、 物 理 インタフェースと 同 様 に SecurePlatform で 定 義 されるバーチャル・インタフェースです。ボンドの 各 物
理 インタフェースは、ボンドのスレーブと 呼 ばれます。スレーブとして 機 能 するインタフェースは、ボンドから 独 立 して
機 能 はしません。
リンク・アグリゲーションは 次 の 2 つのモードのどちらかに 設 定 できます。
HA(アクティブ/バックアップ)モード - 一 度 に 1 つのインタフェースのみがアクティブになります。インタフェース
に 故 障 が 発 生 すると、ボンドで 別 のインタフェースにフェイルオーバーを 開 始 します。ボンドでは 異 なるインタフ
ェースが 異 なるスイッチに 接 続 し、スイッチの 高 可 用 性 を HA インタフェースにつなげることができます。
注 - リンクの 状 態 に 左 右 される 内 部 ボンドのフェイルオーバーには、メディア 独 立 型 インタ
フェース(MII) 標 準 をサポートするネットワーク・インタフェースが 必 要 です。
負 荷 共 有 (アクティブ/アクティブ)モード - 異 なる 接 続 ですべてのインタフェースがアクティブになります。
接 続 はネットワーク 層 3 および 4 によってインタフェース 間 で 分 散 され、IEEE 802.3ad 規 格 または XOR
に 従 っています。 負 荷 共 有 モードはスループットが 向 上 するという 利 点 がありますが、ボンドのインタフェ
ースすべてが 1 つのスイッチに 接 続 している 必 要 があります。
リンク・アグリゲーション HA モードおよびリンク・アグリゲーション 負 荷 共 有 モード:
定 義 可 能 なボンドのインタフェースの 数 は、 各 プラットフォームでサポートされるインタフェースの 最 大 数 に 制 限
されます。 詳 細 は、チェック・ポイントの 該 当 するリリース・ノートを 参 照 してください。。
HA または 負 荷 共 有 のボンド 1 つに 対 して、NIC は 最 大 8 つまで 設 定 できます。
リンク・アグリゲーション - HA モード
このセクションの 構 成
完 全 メッシュ 冗 長 性 81
ボンディング・フェイルオーバー 82
HA モードでのインタフェース・ボンディングの 作 成 82
VLAN に 対 するフェイルオーバー・サポート 83
ミッション・クリティカルなアプリケーションを 利 用 する 場 合 、 企 業 のネットワークには 高 い 可 用 性 が 求 められます。
クラスタを 使 用 することで 冗 長 化 を 実 現 し、ゲートウェイ・レベルで 高 い 冗 長 性 をサポートできるようになります。リン
ク・アグリゲーションを 使 用 しないと、ゲートウェイの 片 側 の NIC(ネットワーク・インタフェース・カード)やスイッチは、
クラスタ 内 で、 別 のクラスタ・メンバにゲートウェイのフェイルオーバーを 行 ってのみ 冗 長 化 が 可 能 となります。
80 | ClusterXL 管 理 ガイド R75.40VS

ゲートウェイ・クラスタは、リンク・アグリゲーションを 使 用 せずに 冗 長 化 することができます。スイッチやゲートウェイ
に 故 障 が 発 生 した 場 合 、HA クラスタ・ソリューションがシステムに 冗 長 性 を 持 たせます。たとえば、2 つの 同 期 された
Security Gateway クラスタ・メンバを 冗 長 トポロジに 配 置 することが 可 能 です。
このシナリオの 場 合 、 以 下 のように 設 定 されます。
GW-1 および GW-2 はクラスタ・メンバ。それぞれが 外 部 スイッチ(それぞれ S-1 と S-2)に 接 続 されている NIC
を 持 っています。
S-1 および S-2 はスイッチ
C-1 および C-2 は 相 互 接 続 ネットワーク
Memeber 1とその NIC、または S-1が 故 障 した 場 合 、Member 2がアクティブなゲートウェイとなり、ネットワーク C-2
経 由 でスイッチ S-2 に 接 続 します。コンポーネント(ゲートウェイ、NIC、スイッチなど)で 故 障 が 発 生 すると、フェイル
オーバーによって 冗 長 性 はなくなります。その 後 さらにアクティブなコンポーネントで 故 障 が 発 生 した 場 合 、ネット
ワーク・トラフィックは 完 全 に 停 止 します。
リンク・アグリゲーションを 使 用 することで、NIC の 高 い 可 用 性 を 実 現 できます。1 つの NIC が 故 障 しても、 別 の NIC
が 代 わって 機 能 します。この 機 能 は HA モードと 負 荷 共 有 モードにあります。
完 全 メッシュ 冗 長 性
ClusterXL でのリンク・アグリゲーション HA モードは、ネットワークでより 高 い 冗 長 性 を 提 供 し、 高 い 信 頼 性 を 実 現 し
ます。この 高 い 冗 長 性 は、NIC とスイッチを 独 立 してバックアップする 完 全 メッシュ・トポロジによって 構 成 されます。
ClusterXL 管 理 ガイド R75.40VS | 81

完 全 メッシュ・トポロジは、 基 本 としてケーブルをバックアップしながらインタフェースおよびスイッチの 両 方 をバックア
ップすることで、システムの 冗 長 性 を 高 めます。 各 クラスタ・メンバには、2 つの 外 部 インタフェースがあり、 各 スイッチ
に 接 続 されています。
このシナリオの 場 合 、 以 下 のように 設 定 されます。
Member-1 と Member-2 は HA モード 内 のクラスタ・メンバ。それぞれが 2 つの 内 部 スイッチに 接 続 されてい
ます。
S-1 および S-2 はスイッチ
C-1、C-2、C-3 および C-4 はネットワーク
ボンディング・フェイルオーバー
リンク・アグリゲーション HA モードでは、 ゲートウェイがクラスタの 一 部 である 場 合 、 内 部 ボンディング・フェイル
オーバーが 以 下 のいずれかの 場 合 に 発 生 することがあります。
アクティブなインタフェースで、 監 視 インタフェースでリンク 状 態 の 障 害 が 検 出 された 場 合
ClusterXL で、クラスタ・コントロール・プロトコル(CCP)のキープアップ・パケットの 送 受 信 で 障 害 が 検 出 された
場 合
どちらの 障 害 が 発 生 した 場 合 でも、 状 況 によってインタフェース・ボンディング 内 もしくはクラスタ・メンバ 間 でフェイル
オーバーが 発 生 します。 次 のセクションでは、2 種 類 のフェイルオーバーのプロセスについて 説 明 します。
障 害 が 検 出 されると、ログに 記 録 されます。ログは SmartView Tracker で 確 認 できます。
HA モードでのインタフェース・ボンディングの 作 成
インタフェース・ボンディングは、 以 下 の 手 順 を 実 行 して 作 成 します。
IP アドレスをスレーブ・インタフェースから 削 除 する 82
スレーブ・インタフェースを「Disconnected」に 設 定 する 83
インタフェース・ボンディングの 定 義 83
ボンディングの 動 作 の 確 認 83
IP アドレスをスレーブ・インタフェースから 削 除 する
インタフェース・ボンディングを 定 義 する 前 に、スレーブ( 物 理 )インタフェースに IP アドレスがないことを 確 認 してくだ
さい。
1. SecurePlatform 設 定 ユーティリティを 起 動 します。
82 | ClusterXL 管 理 ガイド R75.40VS

sysconfig
2. [Network Connections]を 選 択 します。
3. [Add new connection]を 選 択 します。
a) [Configure connection]を 選 択 します。
b) 該 当 する 物 理 インタフェースを 選 択 します。
c) [Remove IP from interface]を 選 択 します。
d) [Network Connections]に 戻 ります。
4. SecurePlatform 設 定 ユーティリティを 終 了 します
スレーブ・インタフェースを「Disconnected」に 設 定 する
Disconnected インタフェースとは、ClusterXL メカニズムによる 監 視 を 行 わないクラスタ・メンバ・インタフェースです。
Disconnected インタフェースに 障 害 が 発 生 してもフェイルオーバーは 発 生 しません。
SecurePlatform でスレーブ・インタフェースを「Disconnected」に 設 定 するには
1. $FWDIR/conf/で、「discntd.if」という 名 前 のファイルを 作 成 します。
2. スレーブ/ボンディングのペアとして 機 能 する 各 物 理 インタフェースの 名 前 を、1 行 に 1 つずつ 入 力 します。
インタフェース・ボンディングの 定 義
スレーブのインタフェースに IP アドレスがない 場 合 、ボンディングを 定 義 します。
1. SecurePlatform 設 定 ユーティリティを 起 動 します。
sysconfig
2. [Network Connections]を 選 択 します。
3. [Add new connection]を 選 択 します。
4. [Bond]を 選 択 します。
5. ボンディング 内 でスレーブになる 各 インタフェースに 対 して、リストにその 番 号 を 入 力 して、[Enter]を 押 します。
6. n を 入 力 して 次 の 手 順 に 進 みます。
7. [High Availability]を 選 択 します。
8. デフォルトのパラメータを 使 用 する( 推 奨 )、またはカスタマイズするかを 選 択 します。
9. プライマリ・スレーブ・インタフェースを 設 定 する、または 設 定 しない( 推 奨 )かを 選 択 します。
プライマリ・スレーブ・インタフェースは、 障 害 が 起 きて 回 復 した 後 、 自 動 的 にアクティブなステータスに 戻 ります
(たとえ、 別 のインタフェースへのフェイルオーバーが 起 きた 場 合 でも)。プライマリ・インタフェースがない 場 合 、
フェイルオーバーによって 別 のインタフェースがアクティブになり、そのインタフェースで 障 害 が 発 生 するまで、そ
の 状 態 を 保 ちます。
10. 新 しいインタフェース・ボンディングの IP アドレスおよびネットワーク・マスクを 定 義 します。
11. SecurePlatform 設 定 ユーティリティを 終 了 します。
ボンディングの 動 作 の 確 認
イントールまたはフェイルオーバーの 後 、ボンディングが 動 作 しているかどうか 確 認 することをお 勧 めします。
1. 以 下 のコマンドを 実 行 します。
cphaprob -a if
ボンドの 状 態 が「UP」になっていることを 確 認 します。
2. 以 下 のコマンドを 実 行 します。
cphaconf show_bond
ボンドが 正 しく 設 定 されているか 確 認 します。
VLAN に 対 するフェイスオーバーのサポート
リンク・アグリゲーション HA モードでは、ClusterXL で VLAN ID を 監 視 して 接 続 障 害 や 通 信 障 害 をチェックし、 障 害
が 検 出 されたときにフェイルオーバーを 開 始 します。
VLAN 対 応 のスイッチ 型 の 環 境 では、ClusterXLは 最 小 のVLAN IDでVLANを 監 視 します。 監 視 作 業 は、クラスタ・コ
ントロール・プロトコル(CCP)パケットを 指 定 された 間 隔 でラウンド・トリップ・パスに 送 信 することによって 行 われます。
ClusterXL 管 理 ガイド R75.40VS | 83

最 小 のVLAN ID は、 物 理 接 続 の 状 態 を 表 します。この VLAN ID は 常 に 監 視 され、 接 続 障 害 が 発 生 するとフェイル
オーバーが 開 始 されます。この 設 定 ではスイッチ 上 の VLAN の 設 定 に 関 する 問 題 は 検 出 されません。
リンク・アグリゲーション - 負 荷 共 有 モード
このセクションの 構 成
負 荷 共 有 モードでのインタフェース・ボンディングのワークフロー 84
負 荷 共 有 のための Cisco スイッチの 設 定 85
負 荷 共 有 モードでは、リンク・アグリゲーションの HA に 加 えて 負 荷 分 散 が 行 われます。このモードでは、すべてのス
レーブ・インタフェースがアクティブとなり、ボンドのスレーブ・インタフェース 間 で 接 続 が 分 散 されます。これは、
ClusterXL でクラスタ・メンバ 間 に 接 続 が 分 散 される 方 法 と 似 ています。
負 荷 共 有 モードでは、 各 接 続 が 特 定 のスレーブ・インタフェースに 割 り 当 てられます。1 つの 接 続 に 対 してアクティブ
なスレーブ・インタフェースは 1 つだけになります。インタフェースに 障 害 が 発 生 すると、ボンドにより 別 のインタフェース
に 接 続 がフェイルオーバーされ、すでに 処 理 している 接 続 に、 障 害 が 発 生 したインタフェースの 接 続 が 追 加 されます。
接 続 は、スレーブ・インタフェース 間 で 分 散 されます。 分 散 方 法 は、ネットワーク 層 3 と 4、および 以 下 のいずれかの
規 格 に 基 づきます。
802.3ad - LACP が 含 まれた 推 奨 モード。 一 部 のスイッチでこのモードがサポートされない 可 能 性 があります。
XOR.
負 荷 共 有 モードでは、ボンドのインタフェースはすべて 同 じスイッチに 接 続 されます。スイッチは 自 身 をサポートし、ゲ
ートウェイ・ボンディングと 同 じ 規 格 (802.3ad/XOR)に 基 づいてリンク・アグリゲーション 向 けに 設 定 されている 必 要
があります。
負 荷 共 有 を 実 行 するためには Performance Pack が 必 要 です。
負 荷 共 有 モードでのインタフェース・ボンディングのワークフロー
負 荷 共 有 ボンディングの 作 成 は HA ボンディングの 作 成 と 似 ています。スレーブからの IP アドレスの 削 除 、スレー
ブ・インタフェースの 切 断 、ボンディングの 確 認 は、 同 じプロセスです。
負 荷 共 有 ボンディングを 作 成 するには
1. スイッチが 使 用 している 規 格 (802.3ad/XOR)に 設 定 されていることを 確 認 します。
2. IP アドレスをスレーブ・インタフェースから 削 除 します。
84 | ClusterXL 管 理 ガイド R75.40VS

3. スレーブ・インタフェースを「Disconnected」に 設 定 します。
4. 負 荷 共 有 モードでインタフェース・ボンディングを 定 義 します。
5. 必 要 なクリティカル・インタフェースを 設 定 します。
6. ボンディングが 正 しく 動 作 しているかどうか 確 認 します。
負 荷 共 有 モードのインタフェース・ボンディングの 定 義
インタフェース・ボンディングを 定 義 するには
1. SecurePlatform 設 定 ユーティリティを 起 動 します。
sysconfig
2. [Network Connections]を 選 択 します。
3. [Add new connection]を 選 択 します。
4. [Bond]を 選 択 します。
5. ボンディング 内 でスレーブになる 各 インタフェースに 対 して、リストにその 番 号 を 入 力 して、[Enter]を 押 します。
6. n を 入 力 して 次 の 手 順 に 進 みます。
7. [Load Sharing]を 選 択 します。
8. 負 荷 共 有 の 規 格 (802.3ad または XOR)を 選 択 します。
9. デフォルトのパラメータを 使 用 する( 推 奨 )、またはカスタマイズするかを 選 択 します。
10. 新 しいインタフェース・ボンディングの IP アドレスおよびネットワーク・マスクを 定 義 します。
11. SecurePlatform 設 定 ユーティリティを 終 了 します。
必 要 なクリティカル・インタフェースの 設 定
負 荷 共 有 モードのボンディングは、アクティブなスレーブ・インタフェースの 数 が 必 要 最 小 限 の 数 より 少 ないと、ダウ
ンしていると 認 識 されます。
明 確 に 定 義 されていない 場 合 、n 個 のインタフェースを 持 つボンドでのクリティカル 最 小 数 は n-1 です。2 つの 目 のイ
ンタフェースで 障 害 が 発 生 すると、3 つ 以 上 のインタフェースがある 場 合 でもボンディング 全 体 がダウンしているとみ
なされます。
予 想 されるトラフィックを 処 理 できるインタフェースの 数 が 少 ない 場 合 、クリティカル・インタフェースの 数 を 明 示 的 に
定 義 して 冗 長 性 を 向 上 させることができます。 予 想 されるトラフィック・スピードをインタフェースのスピードで 割 り、 整
数 に 切 り 上 げてクリティカル・インタフェースの 適 切 な 数 を 決 定 します。
クリティカル・インタフェースの 数 を 明 確 に 定 義 するには、 次 のファイルを 作 成 して 編 集 します。
$FWDIR/conf/cpha_bond_ls_config.conf
ファイルの 各 行 は 次 の 構 文 になります。
たとえば、bond0 に 7 つのインタフェースがあり、bond1 に 6 つのインタフェースがある 場 合 、ファイルの 内 容 は 以
下 のようになります。
bond0 5
bond1 3
この 場 合 、インタフェースのうち 3 つに 問 題 が 起 きると bond0 はダウンしているとみなされます。また、インタフェース
のうち 4 つに 問 題 が 起 きると bond1 はダウンしているとみなされます。
負 荷 共 有 のための Cisco スイッチの 設 定
これらは Cisco スイッチのためのサンプルの 設 定 コマンドです。
ClusterXL 管 理 ガイド R75.40VS | 85

802.3ad:
Switch#conf t
Switch(config)#port-channel load-balance src-dst-ip
Switch(config)#interface FastEthernet
Switch(config-if)#channel-group 1 mode active
Switch(config-if)#channel-protocol lacp
Switch(config-if)#exit
Switch(config)#interface port-channel 1
Switch(config-if)#switchport access vlan
Switch(config-if)#end
Switch#write
XOR:
Switch#conf t
Switch(config)#port-channel load-balance src-dst-ip
Switch(config)#interface FastEthernet
Switch(config-if)#channel-group 1 mode on
Switch(config-if)#exit
Switch (config)#interface port-channel 1
Switch(config-if)#switchport access vlan
Switch(config-if)#end
Switch#write
インタフェース・ボンディングでの VLAN の 定 義
通 常 のインタフェースと 同 様 に、インタフェース・ボンディング 上 で VLAN を 定 義 できます。
インタフェース・ボンディング 上 で VLAN を 定 義 するには
1. SecurePlatform 設 定 ユーティリティを 起 動 します。
sysconfig
2. [Network Connections]を 選 択 します。
3. [Add new connection]を 選 択 します。
4. [VLAN]を 選 択 します。
5. VLAN を 定 義 するインタフェースまたはインタフェース・ボンディングを 選 択 します。
6. VLAN ID を 入 力 します。
7. VLAN の IP アドレスを 定 義 します。
8. SecurePlatform 設 定 ユーティリティを 終 了 します。
リンク・アグリゲーションのためのパフォーマンス・ガイドライン
最 良 のパフォーマンスを 得 るために、リンク・アグリゲーションのためのスタティック・アフィニティを 使 用 します。
アフィニティの 設 定
Performance Pack をマルチコア・システムで 実 行 している 場 合 は、ボンドを 定 義 した 後 にアフィニティを 手 動 で 設 定
します。sim affinity コマンドの-s を 使 用 します。『R75.40VS Performance Pack Administration Guide』を 参
照 してください。
注 - sim アフィニティのコマンドは、Performance Pack が 有 効 で 実 行 中 の 場 合 にのみ 実 行 できま
す。Performance Pack は、 最 初 にポリシーをインストールしたときから 実 行 が 開 始 されます。
パフォーマンスを 最 適 化 するために、 以 下 のガイドラインに 従 ってアフィニティを 設 定 します。
1. -s のオプションを 使 用 して sim affinity を 実 行 します。
2. 可 能 な 場 合 は、 各 インタフェースに 1 つの 処 理 コアを 割 り 当 てます。sk33520
(http://supportcontent.checkpoint.com/solutions?id=sk33250)を 参 照 してください。
3. コアより 多 くのインタフェースがある 場 合 は、1 つ 以 上 のコアで 2 つのインタフェースを 処 理 します。 内 部 ボンドお
よび 外 部 ボンドで、 同 じ 配 置 のインタフェース・ペアを 使 用 します。
86 | ClusterXL 管 理 ガイド R75.40VS

a) ボンディングのインタフェースの 配 置 を 確 認 するには、 次 を 実 行 します。
cat /proc/net/bonding/.
b) 出 力 のインタフェースのシーケンスに 注 意 し、2 つのボンディング( 外 部 ボンディングとそれに 該 当 する 内 部
ボンディング)と 比 較 します。2 つのボンディングの 同 じ 配 置 にあるインタフェースはインタフェース・ペアで、1
つの 処 理 コアで 処 理 されるように 設 定 されています。
たとえば、 以 下 のように、2 つのボンディング 間 で 4 つの 処 理 コア(0-3)と 6 つのインタフェース(0-5)がある 場 合
が 考 えられます。
bond0
bond1
eth0
eth1
eth2
eth3
eth4
eth5
2 つのコアはそれぞれ 2 つのインタフェースを 処 理 する 必 要 があります。 最 適 な 設 定 は 以 下 のようになります。
bond0
bond1
eth0 core 0 eth3 core 0
eth1 core 1 eth4 core 1
eth2 core 2
eth5 core 3
インタフェース・ボンディング 用 の ClusterXL のコマンド
cphaconf show_bond
構 文
インタフェース・ボンディングのステータスまたはすべてのボンディングのサマリ
を 参 照
cphaconf show_bond [|-a]
オプション パラメータ 説 明
bond-name
ターゲットとなるボンディングの 名 前
例
-a
すべてのボンディングのサマリを 表 示
[Expert@GW-1]# cphaconf show_bond bond0
Bond name: bond0
Bond mode:Load Sharing
Bond status:Up
Balancing mode:802.3ad Layer3+4 Load Balancing
Configured slave interfaces:4
In use slave interfaces:4
Required slave interfaces:2
Slave Name | Status | Link
--------------------------------------------
eth2 | Active | Yes
eth3 | Active | Yes
eth4 | Active | Yes
eth5 | Active | Yes
ClusterXL 管 理 ガイド R75.40VS | 87

コメント
レポート 結 果 が 以 下 を 表 示 します。
必 要 なスレーブ・インタフェース(85ページの「 必 要 なクリティカル・インタ
フェースの 設 定 」を 参 照 )
ステータス 値
[Down] - ( 負 荷 共 有 のみ) 物 理 リンクがダウンしています。
[Active] - 現 在 処 理 しているトラフィック。
[Standby] - (HA のみ)インタフェースの 準 備 が 完 了 し、 内 部 ボンディ
ング・フェイルオーバーをサポートできる 状 態 であることを 示 します。
[Not Available] - (HA のみ) 物 理 リンクが 故 障 しているか、クラスタ・
メンバがダウンのステータスにあります。この 状 態 でボンディングは
フェイルオーバーを 実 行 できません。
[Link] - 物 理 リンクが 存 在 している 場 合 。
cphaconf
failover_bond
構 文
インタフェース・ボンディングの 内 部 フェイルオーバー(HA のみ)を 開 始
cphaconf failover_bond
パラメータ パラメータ 説 明
bond-name
ターゲットとなるボンディングの 名 前
chaprob -a if
構 文
例
コメント
すべてのインタフェース・ボンディングと VLAN のステータスを 表 示
cphaprob -a if
[Expert@GW-1]# cphaprob -a if
Required interfaces:5
Required secured interfaces:1
bond0 UP non sync(non secured), broadcast, bond, can
failover
bond2 UP sync(secured), multicast, bond Load Sharing
bond1 UP non sync(non secured), multicast, bond Load
Sharing
Virtual cluster interfaces:4
bond0 192.168.34.60
bond1.60 10.34.60.1
bond1.61 10.34.61.1
bond1.62 10.34.62.1
HA ボンディングのフェイルオーバーの 可 能 性 を 確 認 する 場 合 にこのコマンドを
使 用 します。
ボンディングされたインタフェースのトラブルシューティング
このセクションの 構 成
トラブルシューティングのワークフロー 89
スイッチの 接 続 の 遅 延 89
88 | ClusterXL 管 理 ガイド R75.40VS

トラブルシューティングのワークフロー
1. ボンディングのステータスを 確 認 します(83ページの「ボンディングの 動 作 の 確 認 」を 参 照 )。.
2. 問 題 がある 場 合 は、 物 理 リンクがダウンしているかどうかチェックしてください。
a) 実 行 するコマンド
cphaconf show_bond
b) link について no と 報 告 しているスレーブ・インタフェースを 検 索 します。
c) ケーブル 接 続 とほかのハードウェアを 確 認 します。
d) スイッチのポート 設 定 を 確 認 します。
3. クラスタ・メンバがダウンしているかどうか 確 認 します。
cphaprob state
クラスタ・メンバに「Firewall State」が「active」 以 外 がある 場 合 、cphaprob state でトラブルシュー
ティングを 続 けます(47ページの「cphaprob コマンド」を 参 照 )。
4. ログを SmartView Tracker で 確 認 します。
スイッチの 接 続 の 遅 延
特 定 のスイッチを 使 用 している 場 合 に、 内 部 ボンディング・フェイルオーバーを 実 行 中 に 接 続 の 遅 延 が 発 生 すること
があります。 一 部 のスイッチに 含 まれる 各 種 機 能 を 使 用 することで、スイッチが 新 しく 接 続 されたインタフェースを 開
始 するまでの 時 間 を 短 縮 できるようになります。リンク 障 害 が 発 生 した 後 の 起 動 時 間 を 短 縮 する 方 法 として、 以 下 の
手 順 が 挙 げられます。
1. 関 連 するインタフェースでの 自 動 ネゴシエーションを 無 効 にします。
2. 一 部 の Cisco のスイッチでは、PortFast 機 能 を 有 効 にします。
3. ポートの STP を 無 効 にします。
PortFast の 使 用 に 関 する 警 告
PortFast 機 能 は、ほかのスイッチまたはハブに 接 続 しているポートでは 使 用 しないでください。この 場 合 は、
Spanning Tree を 使 用 して 初 期 化 手 順 を 完 了 させる 必 要 があります。この 手 順 を 完 了 させないと、これらの 接 続 が
パケットが 継 続 して(または 増 加 された) 転 送 される 物 理 ループを 発 生 させる 可 能 性 があり、ネットワークが 復 旧 でき
ない 場 合 があります。
Cisco スイッチの PortFast 機 能 の 設 定 例
以 下 のコマンドは、IOS を 稼 動 する Cisco 3750 スイッチの GigabitEthernet 1/0/15 インタフェース 上 で PortFast を
有 効 にするのに 必 要 なコマンドです。
1. 設 定 モードに 切 り 替 えます。
cisco-3750A#conf t
2. 設 定 するインタフェースを 指 定 します。
cisco-3750A(config)#interface gigabitethernet1/0/15
3. 以 下 のインタフェースの PortFast を 設 定 します。
cisco-3750A(config-if)#spanning-tree portfast
高 度 なクラスタ 設 定
ゲートウェイ 設 定 パラメータの 設 定 方 法
同 期 機 能 と ClusterXL 機 能 の 多 くは、Security Gateway 設 定 パラメータを 使 用 して 制 御 されます。Security
Gateway 上 で 以 下 のようにコマンドを 実 行 します。
ClusterXL 管 理 ガイド R75.40VS | 89

fw ctl set int Parameter
Parameter は、 以 下 の 各 セクションで 説 明 するパラメータを 指 します。
デフォルト 値 を 変 更 する 場 合 は、すべてのクラスタ・メンバに 適 用 してください。 各 クラスタ・メンバに 別 々の 値 を 設 定
すると、 設 定 上 の 問 題 が 生 じて 接 続 障 害 が 発 生 する 可 能 性 があります。
すべてのゲートウェイ 設 定 パラメータは、 起 動 時 に 有 効 になるように 設 定 できます。この 設 定 方 法 は、オペレーティン
グ・システムによって 異 なります。
ゲートウェイを 起 動 時 に 有 効 にする 設 定 方 法
fw ctl set int コマンドを 使 用 して 変 更 したゲートウェイ 設 定 パラメータは、 起 動 時 に 有 効 になりません。これらを 起 動
時 に 有 効 にする 方 法 は、オペレーティング・システムによって 異 なります。 以 下 の 手 順 では、Parameter は 以 下 の 各
セクションで 説 明 するパラメータを 指 します。
Linux/SecurePlatform
1. ファイル$FWDIR/boot/modules/fwkern を 編 集 します。
2. 行 Parameter=を 追 加 します。
3. 再 起 動 します。
Windows
1. レジストリを 編 集 します。
2. キーHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FW1\Parameters\Globals の 下 に
Parameter という 名 前 の DWORD 値 を 追 加 します。
3. 再 起 動 します。
モジュール 変 数 の IPSO 6.1 以 降 での 設 定
IPSO をインストールする、または Voyager を 新 しいプラットフォームで 最 初 に 実 行 する 場 合 、[Firewall Kernel
Tuning Configuration]ページは 表 示 されません。カスタマ・サービスの 指 示 でこのページを 使 用 する 必 要 がある 場
合 は、 以 下 の 手 順 を 実 行 して 表 示 させる 必 要 があります。
1. コマンド・ラインをプラットフォームに 接 続 します(ネットワーク 接 続 もしくはコンソール 接 続 を 使 用 )。
2. IPSO シェル・プロンプトで、 以 下 を 入 力 します。
nokia[admin]# dbset advanced:loader t
3. Voyager を 実 行 します( 前 回 のコマンドを 入 力 したときに Voyager が 開 いていた 場 合 は、Voyager を 一 度 終 了 し
てから 再 度 実 行 )。
4. ナビゲーション・ツリーから[Configuration]→[Tools]→[Firewall Kernel Tuning]をクリックします。
5. サポートに 指 示 されたとおりに 変 数 を 設 定 し、[Apply]をクリックします。[Apply]をクリックするとファイアウォー
ル・カーネル 変 数 が 適 用 されて、Voyager 設 定 が 保 存 されます。プラットフォームを 再 起 動 すると、[Firewall
Kernel Tuning Configuration]ページが 再 び 表 示 されます。
クラスタリング・タイマと 同 期 タイマの 制 御
以 下 のゲートウェイ 設 定 パラメータは、クラスタリング・タイマと 同 期 タイマの 制 御 に 使 用 します。デフォルト 値 を 変 更
することはお 勧 めできません。
90 | ClusterXL 管 理 ガイド R75.40VS

クラスタリング・タイマと 同 期 タイマ
パラメータ 意 味 デフォルト 値
fwha_timer_cpha_res
クラスタ 上 での ClusterXL の 処 理 頻 度
1
次 の 間 隔 で 処 理 が 行 われます。
10 x fwha_timer_cpha_res x fwha_timer_base_res
ミリ 秒
fwha_timer_sync_res
クラスタ 上 での 同 期 フラッシュ 処 理 の 頻 度
1
次 の 間 隔 で 処 理 が 行 われます。
10 x fwha_timer_cpha_res x fwha_timer_base_res
ミリ 秒
fwha_timer_base_res 10 の 倍 数 にする 必 要 があります。 10
高 負 荷 状 態 での 新 しい 接 続 の 遮 断
新 しい 接 続 を 遮 断 する 理 由 は、 新 しい 接 続 は 新 しい 同 期 トラフィックが 発 生 する 主 な 原 因 となり、 高 負 荷 状 態 で 新 し
いトラフィックの 処 理 を 継 続 するとすべての 同 期 が 危 険 にさらされる 可 能 性 があるためです。
関 連 するエラー・メッセージは、 次 のとおりです。
"FW-1: State synchronization is in risk. Please examine your synchronization network to avoid further
problems!" (70ページの「 同 期 関 連 のエラー・メッセージ」を 参 照 )
Security Gateway を 通 るトラフィックの 量 を 減 少 させると、 同 期 メカニズムが 保 護 されます。
fw_sync_block_new_conns により、Security Gateway で 高 負 荷 を 検 出 し、 新 しい 接 続 の 遮 断 を 開 始 できます。
ファイアウォールの 同 期 送 信 キューが 満 杯 になって fw_sync_buffer_threshold の 値 を 超 えた 場 合 、 負 荷 が 高
いと 見 なされます。
負 荷 の 検 出 を 有 効 にするには、0 に 設 定 します。
負 荷 の 検 出 を 無 効 にするには、-1 (0xFFFFFFFF hex)(デフォルト 値 )に 設 定 します。
ClusterXL 負 荷 共 有 構 成 の 場 合 のみ、 同 期 がビジーなときに 新 しい 接 続 を 阻 止 することをお 勧 めします。HA モ
ードでも 新 しい 接 続 を 阻 止 できますが、 同 期 の 不 一 致 は 解 決 されません。これは、HA モードは 同 期 の 不 一 致 を
防 止 するからです。このパラメータは、ゲートウェイを 起 動 時 に 有 効 にする 方 法 (90ページの「ゲートウェイの 設
定 を 起 動 時 に 有 効 にする 設 定 方 法 」を 参 照 )を 使 って、 起 動 時 に 有 効 になるように 設 定 できます。
fw_sync_buffer_threshold is は、バッファが 許 容 する 最 大 パーセント 値 です。この 値 に 達 するとバッファが 満
杯 になったと 見 なされ、 新 しい 接 続 の 遮 断 が 開 始 されます。デフォルトでは 80 に 設 定 され、バッファ・サイズは
512 です。デフォルトでは、410 以 上 の 連 続 的 なパケットが ACK なしで 送 信 された 場 合 、 新 しい 接 続 は 破 棄 さ
れます。 阻 止 が 開 始 されると、fw_sync_block_new_conns は 1 に 設 定 されます。 状 況 が 安 定 すると、この 値
は 0 に 戻 されます。
fw_sync_allowed_protocols を 使 用 して、システムが 接 続 阻 止 状 態 になった 場 合 でも 開 設 を 許 可 する 接 続 の
タイプを 決 定 します。これにより、 管 理 者 は 負 荷 異 常 時 でもシステムの 動 作 を 制 御 できます。
fw_sync_allowed_protocols 変 数 は、 各 種 の 接 続 タイプを 指 定 するフラグの 組 合 せです。 変 数 の 値 は 個 々の
フラグ 値 の 和 です。たとえば、この 変 数 のデフォルト 値 は 24 ですが、これは TCP_DATA_CONN_ALLOWED
(8)と UDP_DATA_CONN_ALLOWED(16)の 和 であり、デフォルトでは 高 負 荷 状 態 で TCP 接 続 と UDP デー
タ 接 続 のみ 許 可 することを 意 味 します。
ICMP_CONN_ALLOWED 1
ClusterXL 管 理 ガイド R75.40VS | 91

TCP_CONN_ALLOWED 2(データ 接 続 を 除 く)
UDP_CONN_ALLOWED 4(データ 接 続 を 除 く)
TCP_DATA_CONN_ALLOWED
UDP_DATA_CONN_ALLOWED
8( 制 御 接 続 は 確 立 されるか 許 可 される)
16( 制 御 接 続 は 確 立 されるか 許 可 される)
SmartView Tracker のアクティブ・モードの 使 用
SmartView Tracker のアクティブ・モードでは、 管 理 サーバ 上 の 現 在 アクティブなログ・ファイルにログを 送 信 してい
る 任 意 の Security Gateway を 介 して 現 在 開 いている 接 続 が 表 示 されます。
アクティブ・モードは 同 期 の 速 度 を 低 下 させる 傾 向 があります。 速 度 が 低 下 した 場 合 、 同 期 メカニズムは 同 期 を 維 持
するためにアクティブな 接 続 更 新 をランダムに 廃 棄 (ドロップ)します。ドロップは SmartView Tracker のアクティブ・
モード・メッセージで 説 明 するエラー・メッセージの 1 つが 表 示 されます。
高 負 荷 状 態 のクラスタにはアクティブ・モード・ビューを 使 用 しないでください。 高 負 荷 状 態 のアクティブな 接 続 に 関 す
る 正 確 なレポートを 取 得 するために、 以 下 の 2 つの 解 決 法 を 使 用 できます。これらはクラスタおよび 単 一 Security
Gateway の 両 方 に 適 用 されます。
1. fwlddist_buf_size の 拡 大
fwlddist_buf_size パラメータは、 同 期 バッファのサイズ(ワード 数 )を 制 御 します(ワード 数 は、 同 期 と
SmartView Tracker のアクティブ・モードの 両 方 で 使 用 されます。1 ワードが 4 バイトです)。デフォルト 値 は
16,000 ワードです。 最 大 値 は 64,000 ワードで 最 小 値 は 2,000 ワードです。
このパラメータを 変 更 した 場 合 、 変 更 は 起 動 後 に 初 めて 適 用 されるため、パラメータが 起 動 時 に 有 効 になるよう
に 設 定 されていることを 確 認 してください。メカニズムの 使 用 については、89ページの「ゲートウェイ 設 定 パラメー
タの 設 定 方 法 」を 参 照 してください。
2. テクニカル・サポートからのホットフィックスの 入 手
チェック・ポイントのテクニカル・サポートからホットフィックスを 入 手 してください。このホットフィックスには、
Security Management サーバに 送 信 される 前 にアクティブな 接 続 がゲートウェイで fwd によって 読 み 取 られる
速 度 を 制 御 する 変 数 が 含 まれています。この 解 決 法 を 実 行 するには 追 加 の CPU リソースが 必 要 です。
処 理 待 ちパケット 数 の 削 減
ClusterXL は、 非 対 称 通 信 で 状 態 に 合 致 しないパケットが 発 生 するのを 防 止 します。これを 行 うために、ほかのすべ
てのアクティブなクラスタ・メンバから Sync ACK が 受 信 されるまで、パケットが 保 持 されます。 何 らかの 理 由 で Sync
ACKが 受 信 されない 場 合 、クラスタ・メンバ 上 の Security Gatewayがパケットを 解 放 しないため、 接 続 は 確 立 されま
せん。
保 持 されたパケットが 解 放 されていないかどうか 確 認 するには、fw ctl pstat コマンドを 実 行 します。コマンド 出 力 に
示 される Number of Pending Packets( 処 理 待 ちパケット 数 )の 値 が 通 常 の 負 荷 状 態 にもかかわらず 大 きく(100
を 超 える)、 時 間 が 経 っても 減 少 しない 場 合 は、fwldbcast_pending_timeout パラメータを 使 用 して 処 理 待 ちパケ
ット 数 を 減 らしてください。
fwldbcast_pending_timeout の 値 をデフォルト 値 の 50 から 50 よりも 小 さい 値 に 変 更 します。
値 の 単 位 はティックです。1 ティックは 0.1 秒 であり、たとえば 50 ティックは 5 秒 です。
この 値 で 示 された 時 間 が 経 過 すると、Sync ACK が 受 信 されていなくてもパケットは 解 放 されます。
完 全 同 期 詳 細 オプションの 設 定
クラスタ・メンバは 再 起 動 後 (または cpstart 後 )にアクティブになった 場 合 、 完 全 同 期 を 実 行 する 必 要 があります。 完
全 同 期 プロセスの 最 初 のステップとして、ほかのアクティブなクラスタ・メンバの 1 つとハンドシェークを 実 行 します。こ
のハンドシェークが 成 功 した 場 合 だけ、クラスタ・メンバは 完 全 同 期 プロセスを 継 続 します。
92 | ClusterXL 管 理 ガイド R75.40VS

実 行 される 詳 細 ハンドシェークでは(デフォルトで)クラスタ・メンバ 間 で 情 報 を 交 換 します。この 情 報 には、バージョン
情 報 、インストールされているチェック・ポイント 製 品 に 関 する 情 報 が 含 まれており、 現 在 アクティブな VPN カーネル・
テーブルに 関 する 情 報 を 含 めることもできます。 詳 細 ハンドシェークは、 後 の 完 全 同 期 で 行 われるカーネル・テーブ
ル 情 報 の 交 換 とは 関 係 ありません。
すべてのクラスタ・メンバが、 同 じチェック・ポイント 製 品 とバージョンをインストールする 必 要 があります。 異 なる 製 品
がクラスタ・メンバにインストールされている 場 合 には、 詳 細 ハンドシェークによって 特 定 されます。 異 なる 製 品 がイン
ストールされている 場 合 、コンソールへの 警 告 とログ・メッセージが 発 行 されます。
下 位 互 換 性 をサポートするために、 以 下 のゲートウェイ 設 定 パラメータを 使 用 して 詳 細 ハンドシェークの 動 作 を 変 更
できます。これらのパラメータの 編 集 方 法 については、89ページの「 高 度 なクラスタ 設 定 」を 参 照 してください。
fw_sync_no_ld_trans はデフォルトで 1 の 値 を 持 ちます。 完 全 同 期 プロセスの 最 初 の 段 階 でメンバ 間 で
カーネル・テーブル 情 報 を 交 換 するには、0 に 設 定 します。
fw_sync_no_conn_trans はデフォルトで 0 の 値 を 持 ちます。 完 全 同 期 プロセスの 最 初 の 段 階 で、メンバ
間 でインストール 製 品 の 情 報 を 交 換 しない 場 合 は、1 に 設 定 します。
fw_sync_fcu_ver_check はデフォルトで 1 の 値 を 持 ちます。R75.40VS に 定 める 要 件 を 満 たしていない
バージョンへの 完 全 接 続 性 アップグレードを 許 可 する 場 合 は、0 に 設 定 します(『Installation and
Upgrade Guide』(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 )。
Disconnected インタフェースの 定 義
Disconnected インタフェースとは、ClusterXL メカニズムによる 監 視 を 行 わないクラスタ・メンバ・インタフェース
です。
インタフェースが 長 時 間 ダウンしている 場 合 、ダウンしているインタフェースを Disconnected インタフェースとして 定
義 することにより、クラスタ・メンバをアクティブに 保 つことができます。
以 下 に 示 すプロセスは、[Topology]ページから 非 監 視 対 象 インタフェースを 定 義 する 方 法 と 同 じです。ただし、GUI
による 方 法 は IP アドレスを 定 義 したインタフェースのみに 使 用 できます。
Unix での Disconnected インタフェースの 定 義
$FWDIR/conf/discntd.if の 下 にファイルを 作 成 し、ClusterXL で 監 視 しないインタフェースの 名 前 を 1 行 に 1
つずつ 書 き 込 みます。
Windows での Disconnected インタフェースの 定 義
1. regedt32 レジストリ・エディタを 開 きます。regedit は 使 用 しないでください。
2. HKEY_LOCAL_MACHINES\System\CurrentControlSet\Services\CPHA に 以 下 の 新 しい 値 を 作 成 します。
Value Name :DisconnectedInterfaces
Data Type :REG_MULTI_SZ
3. インタフェース 名 を 追 加 します。インタフェース・システム 名 を 取 得 するには、 以 下 のコマンドを 実 行 します。
fw getifs
4. 次 の 書 式 を 使 用 して、 切 断 されたインタフェースのリストにこの 名 前 を 追 加 します。
\device\
5. cphastop、cphastart と 実 行 して、 変 更 を 適 用 します。
ポリシー 更 新 タイムアウトの 設 定
ポリシーがゲートウェイ・クラスタにインストールされている 場 合 、クラスタ・メンバはネゴシエーション・プロセスを 実
行 してすべてのクラスタ・メンバが 同 じポリシーを 受 け 取 ったことを 確 認 してから、ポリシーを 実 際 に 適 用 します。この
ネゴシエーション・プロセスには、クラスタ・メンバがほかのクラスタ・メンバからの 応 答 を 待 たずに 済 むようにするタイ
ムアウト・メカニズムが 用 意 されています。このメカニズムは、たとえばポリシーのインストール 中 に 別 のクラスタ・メ
ンバがダウンしている 場 合 などに 役 立 ちます。
ClusterXL 管 理 ガイド R75.40VS | 93

ポリシーのインストールに 長 時 間 かかる 構 成 ( 通 常 多 くのルールがポリシーに 含 まれているため)、3 つ 以 上 のマシ
ンから 成 るクラスタ、および 速 度 の 遅 いマシンでは、このタイムアウト・メカニズムは 早 めに 時 間 切 れになる 場 合 があ
ります。
タイムアウトは、 以 下 のパラメータを 設 定 して 調 整 できます。
fwha_policy_update_timeout_factor。
デフォルト 値 は 1 で、ほとんどの 構 成 はこれで 充 分 です。 上 記 のような 状 況 が 発 生 する 構 成 の 場 合 には、この
パラメータを 2 に 設 定 して 対 応 できます。このパラメータを 4 以 上 に 設 定 しないでください。
TCP3 ウェイ・ハンドシェーク 実 施 の 強 化
標 準 的 な 3 ウェイ・ハンドシェークを 実 施 して TCP 接 続 を 開 始 すると、 単 方 向 の 対 称 性 を 保 証 され、 適 切 な 安 全 性 が
確 保 されます。この 方 法 では、SYN のあとで 必 ず SYN-ACK が 到 達 することが 保 証 されます。ただし、SYN-ACK の
あとで 必 ず ACK が 到 達 すること、および ACK のあとで 必 ず 最 初 のデータ・パケットが 到 達 することは 保 証 されませ
ん。
特 に 厳 格 なポリシーを 実 施 してすべての out-of-state パケットを 拒 否 する 場 合 は、すべての TCP 接 続 開 始 パケット
が 正 しいシーケンス(SYN、SYN-ACK、ACK、データの 順 )で 到 達 するように 同 期 メカニズムを 設 定 できます。この
特 別 なセキュリティを 無 視 すると、 接 続 確 立 に 著 しい 遅 延 が 生 じます。.
実 施 強 化 を 設 定 するには、データベース・ツールを 使 って、sync_tcp_handshake_mode プロパティを
minimal_sync(デフォルト 値 )から complete_sync に 変 更 します。
異 なるサブネット 上 のクラスタ・アドレスの 設 定
異 なるサブネット 上 のクラスタ・アドレスについて
クラスタ IP は ClusterXL オブジェクトに 割 り 当 てる 仮 想 IP アドレスであり、 個 々のクラスタ・メンバ・マシンの 固 有 IP
アドレスとは 異 なります。これらのアドレスを 使 用 するとクラスタが 単 一 のゲートウェイと 見 なされるため、クラスタは
ネットワーク 上 のルータとしてクラスタ 自 身 の 内 部 構 造 や 状 態 を 意 識 せずに 動 作 できるようになります。
従 来 は、クラスタ IP アドレスをクラスタ・メンバの 固 有 アドレスが 使 用 しているサブネットと 同 じサブネットに 設 定 する
必 要 がありました。クラスタ IP は、メンバのサブネットと 異 なるサブネットに 置 くことができます。 この 機 能 の 利 点 は
以 下 のとおりです。
ネットワーク 内 の 設 定 済 み 単 一 マシン・ゲートウェイを 複 数 マシン・クラスタで 置 き 換 える 際 に、クラスタ・メ
ンバ 用 に 新 しいアドレスを 追 加 で 割 り 当 てる 必 要 がない。
ClusterXL ゲートウェイ・クラスタに 対 してルーティング 可 能 なアドレスを 1 つだけ 使 用 できる。
注 - この 機 能 は、ClusterXL ゲートウェイ・クラスタに 対 してのみサポートされています。
OPSEC 認 定 クラスタの 詳 細 については、ベンダーのマニュアルを 参 照 してください。
この 新 機 能 の 重 要 な 点 は、クラスタ・メンバから 送 信 されたパケットが(メンバ 間 をルーティングされるパケットとは 異
なり)クラスタ IP アドレスとクラスタ MAC アドレスの 背 後 に 隠 されることです。クラスタ MAC は 以 下 のとおりです。
HA New モードの 場 合 はアクティブ・マシンの MAC
負 荷 共 有 マルチキャスト・モードの 場 合 はマルチキャスト MAC
負 荷 共 有 ユニキャスト・モードの 場 合 はピボット・メンバ MAC
この 機 能 を 使 用 すると、メンバは 周 辺 のネットワークと 通 信 できるようになりますが、いくつか 制 約 もあります。96ペ
ージの「 異 なるサブネット 上 のクラスタ・アドレスの 制 限 事 項 」を 参 照 してください。
異 なるサブネット 上 のクラスタ・アドレスの 設 定
ClusterXL が 異 なるサブネット 上 に 置 かれたクラスタ IP を 使 用 して 正 しく 動 作 するためには、2 つの 主 要 なステップを
実 行 する 必 要 があります。
94 | ClusterXL 管 理 ガイド R75.40VS

最 初 のステップは、 各 クラスタ・メンバにおいてクラスタ・ネットワーク(クラスタ IP が 属 するサブネット)に 対 するスタテ
ィック・ルートを 作 成 することです。このルートにより、クラスタ・ネットワークに 接 続 されるインタフェースが 決 定 されま
す。これらのエントリが 作 成 されない 限 り、OS はクラスタ・ネットワークを 宛 先 とするパケットをルーティングできませ
ん。クラスタ・メンバにアドレスを 追 加 する 必 要 はありません。ただし、メンバに 割 り 当 てられている 固 有 の IP がクラス
タのそれぞれの「 側 」で 共 通 のサブネットを 共 有 する 必 要 があることに 注 意 してください(つまり、 各 マシンの 各 インタ
フェースは 同 じサブネットを 使 用 するマシン 相 互 間 でインタフェースを 持 つ 必 要 があります)。
2 つ 目 のステップは、クラスタ・トポロジの 設 定 に 関 係 します。クラスタ IP はクラスタ・トポロジで 決 定 され、クラスタ・メ
ンバのインタフェースに 関 連 付 けられます( 各 メンバは 各 クラスタ IP に 対 応 するインタフェースを 持 つ 必 要 がありま
す)。 通 常 クラスタ IP は 共 通 のサブネットに 基 づいてインタフェースに 関 連 付 けられます。この 場 合 、これらのサブ
ネットは 同 じではありません。どのメンバ・サブネットをクラスタ IP に 関 連 付 けるかを 明 示 的 に 指 定 する 必 要 があ
ります。
メンバ・ネットワークを 指 定 するには
1. [Gateway Cluster Properties]ウィンドウで[Topology]を 選 択 します。
2. [Edit Topology]をクリックします。
3. [Edit Topology]ウィンドウで、 適 切 なメンバ・インタフェース・フィールドに 手 動 で IP アドレスとサブネットを 入 力
します。
このインタフェースは、 実 際 にはクラスタ・トポロジでの 決 定 に 従 ってクラスタの 仮 想 IP アドレスを 参 照 します。
異 なるサブネット 上 のクラスタ・アドレスの 例
この 例 では、ネットワーク 172.16.6.0(「A」 側 )とネットワーク 172.16.4.0(「B」 側 )を 分 離 している 単 一 ゲートウェイ・
ファイアウォールが ClusterXL クラスタで 置 き 換 えられます。ただし、クラスタ・メンバはネットワーク 192.168.1.0 を
「A」 側 に、ネットワーク 192.168.2.0 を「B」 側 に、ネットワーク 192.168.3.0 を 同 期 ネットワークにそれぞれ 使 用 してい
ます(この 例 で 示 されているネットワーク・アドレスはすべてクラス「C」です)。 斜 体 のアドレスはクラスタ IP アドレスで
す。この 設 定 を 次 に 示 します。
メンバに 対 するスタティック・ルートの 設 定
各 メンバには 以 下 の 2 つのスタティック・ルートを 設 定 する 必 要 があります。
IP アドレス 192.168.1.x をネットワーク 172.16.6.0 に 対 するゲートウェイとして 設 定 するルート
IP アドレス 192.168.2.x をネットワーク 172.16.4.0 に 対 するゲートウェイとして 設 定 するルート。
SecurePlatform でスタティック・ルートを 設 定 するには、コマンド・プロンプトで sysconfig を 実 行 し、[Routing]→
[Add New Network Route]を 選 択 して 画 面 の 指 示 に 従 います。
ClusterXL 管 理 ガイド R75.40VS | 95

SmartDashboard でのクラスタ IP アドレスの 設 定
クラスタ・インタフェースの IP アドレスを 設 定 するには
1. ゲートウェイ・クラスタ・オブジェクトの[Topology]→[Edit Topology]ウィンドウで、クラスタ・インタフェースを 編
集 して、[Interface Properties]ウィンドウを 開 きます。
2. クラスタ・インタフェースごとに[Interface Properties]ウィンドウで 以 下 の 表 に 従 って 設 定 します。
ClusterXL の[Topology]→[Interface Properties]ウィンドウの 設 定 例
クラスタ・インタフェース A
IP アドレス
クラスタ・インタフェース B
IP アドレス
[General]タブ 172.16.6.100 172.16.4.100
[Member Network]タブ 192.168.1.0 192.168.2.0
すべての IP アドレスがネットマスク 255.255.255.0 を 持 ちます。
注 - 同 期 ネットワークに 対 してはクラスタ IP アドレスを 定 義 しないでください。 同 期 インタ
フェースは、ゲートウェイ・クラスタ・オブジェクトの[Edit Topology]ページでも 定 義 されます。
異 なるサブネット 上 のクラスタ・アドレスの 制 限 事 項
この 新 しい 機 能 は、まだ ClusterXL のすべての 機 能 はサポートしていません。 機 能 によっては 正 常 に 動 作 するため
に 追 加 設 定 が 必 要 です。 一 部 の 機 能 についてはサポートしていません。
クラスタ・メンバ 間 の 接 続 性
クラスタ・メンバが 発 行 した ARP 要 求 はクラスタ IP とクラスタ MAC の 背 後 に 隠 されるため、1 つのクラスタ・メンバか
らほかのメンバに 送 信 された 要 求 が 宛 先 マシンから 無 視 される 場 合 があります。クラスタ・メンバが 相 互 に 通 信 でき
るようにするには、 各 クラスタ・メンバに 対 してスタティック ARP を 設 定 してクラスタ 内 のほかのすべてのマシンの
MAC アドレスを 記 述 する 必 要 があります。メンバ 間 で 送 信 される IP パケットは 変 更 されないので、ルーティング・
テーブルは 変 更 しないでください。
注 - クラスタ 同 期 プロトコルは ARP を 使 用 しないため、マシンがクラスタとして 正 しく 動 作 する
ためにスタティック ARP は 必 要 ありません。
「 部 分 的 にサポートする」ハードウェアによる 負 荷 共 有 マルチキャスト・モード
すべてのタイプのネットワーク・ハードウェアがマルチキャスト MAC アドレスで 動 作 するわけではありませんが、ルー
タによってはマルチキャスト MAC アドレスを 含 む ARP 応 答 を 処 理 することはできないがパケットを 通 過 させることは
できるものがあります。 負 荷 共 有 マルチキャスト・モードを 部 分 的 にサポートしているルータでは、ルータの 内 部 テー
ブルにクラスタ MAC をスタティック ARP エントリとして 設 定 してクラスタと 通 信 させることが 可 能 です。
クラスタ IP に 対 して 別 々のサブネットが 使 用 されている 場 合 、 各 クラスタ・メンバ 上 でルータの MAC を 含 むスタティッ
ク ARP エントリを 設 定 する 必 要 があります。この 種 のルータはマルチキャスト 発 信 元 MAC を 含 む ARP 要 求 に 応 答
しないため、この 設 定 が 必 要 になります。マルチキャスト MAC アドレスを 完 全 にサポートしているルータを 使 用 する
場 合 は、この 特 別 な 手 順 は 不 要 です。
96 | ClusterXL 管 理 ガイド R75.40VS

手 動 プロキシ ARP
スタティック NAT を 使 用 する 場 合 、クラスタが 自 分 の 背 後 に 隠 されているホストを 自 動 的 に 認 識 し、クラスタ MAC ア
ドレスを 使 用 して ARP 応 答 をホストの 代 わりに 発 行 するように 設 定 できます。このプロセスは「 自 動 プロキシ ARP」
と 呼 ばれます。
ただし、クラスタ IP アドレスに 対 して 別 々のサブネットを 使 用 している 場 合 はこのメカニズムが 働 かないため、 手 作 業
でプロキシ ARP を 設 定 する 必 要 があります。このためには、SmartDashboard で[Policy]メニュー→[Global
Properties]→[NAT Network Address Translation]→[Automatic ARP Configuration]を 無 効 にします。 次
に、ファイアウォールの 設 定 ディレクトリ($FWDIR/conf)に「$FWDIR/conflocal.arp」という 名 前 のファイルを 作 成 し
ます。
このファイルの 各 エントリには 以 下 の 3 項 目 が 含 まれます。
公 開 されるホスト・アドレス
IP アドレスに 関 連 付 ける 必 要 のある MAC アドレス
ARP 要 求 に 応 答 するインタフェースの 固 有 の IP
使 用 する MAC アドレスは、 負 荷 共 有 マルチキャスト・モードを 使 用 する 場 合 は 応 答 するインタフェースに 定 義 したク
ラスタのマルチキャスト MAC です。ほかのすべてのモードでは 応 答 するインタフェースの 固 有 の IP です。
たとえば、ホスト 172.16.4.3 がアドレス 172.16.6.25 を 使 用 して 隠 され、かつクラスタが 負 荷 共 有 マルチキャスト・
モードである 場 合 、メンバ 1 の local.arp ファイルに 以 下 の 行 を 追 加 する 必 要 があります。
172.16.6.25 00:01:5e:10:06:64 192.168.1.1
この 行 の 2 つ 目 のパラメータがクラスタ IP172.16.6.100 のマルチキャスト MAC アドレスであり、172.16.6.25 に 対 す
る ARP 要 求 はこのアドレスを 介 して 受 信 されます。メンバ 2 上 では、この 行 は 以 下 のようになります。
172.16.6.25 00:01:5e:10:06:64 192.168.10.2
クラスタが 負 荷 共 有 ユニキャスト・モードまたは HA モードである 場 合 、メンバ 1 とメンバ 2 のエントリは 以 下 のように
なります。
172.16.6.25 00:A0:C9:E8:C7:7F 192.168.1.1
および
172.16.6.25 00:A0:C9:E8:CB:3D 192.168.1.2
ここで、 各 行 の 2 つ 目 のエントリは 一 致 するローカル・インタフェースの 固 有 の MAC アドレスです。
クラスタ・ネットワークからクラスタ・メンバへの 接 続
固 有 の IP は 任 意 に 選 択 できるため、これらのアドレスにクラスタ IP のサブネットからアクセスできる 保 証 はありませ
ん。 固 有 の IP を 使 用 してメンバにアクセスできるようにするには、アクセスするマシン 上 でクラスタ IP がその 固 有 の
IP のサブネットに 対 するゲートウェイとなるようなルートを 設 定 する 必 要 があります。 上 記 の 例 では、172.16.6.100
をサブネット 192.168.1.0 に 対 するゲートウェイにする 必 要 があります。
SecurePlatform のデフォルト・ゲートウェイ
[sysconfig]→[routing]→[add network route]→[add the routable network with its subnet]を 実 行 し、この 方
向 の 適 切 な 物 理 インタフェースを 選 択 します。
次 に[routing]→[add default gateway]を 実 行 し、デフォルト(ルーティグ 可 能 な)・ゲートウェイの IP アドレスを 追 加
します。これは 通 常 ルータの 外 部 IP アドレスで、クラスタ IP のいずれかのサブネット 内 にあります。
1 つ 以 上 のインタフェース 上 で 設 定 された、 異 なったサブネット 機 能 を 持 っている 場 合 は、それらすべてのインタ
フェースにネットワーク・アドレス( 上 記 の 通 り)の 追 加 を 繰 り 返 します。(ほかのサブネットにデフォルト・ゲートウェイ
を 定 義 する 必 要 はありません)
ClusterXL 管 理 ガイド R75.40VS | 97

アンチスプーフィング
別 々のサブネット 機 能 を 外 部 インタフェース 以 外 のインタフェースに 設 定 してある 場 合 は、[Cluster Topology]タブ
のクラスタ IP に、クラスタ・インタフェースの [Interface Properties]ウィンドウの[Topology]タブで[Network
defined by interface IP and Net Mask] 定 義 を 行 わないでください。ルーティング 可 能 ネットワークとルーティング 不
可 のネットワークの 両 方 を 含 むネットワークのグループを 加 えて、このインタフェース 用 のアンチスプーフィングをこ
の 新 しいグループと 共 に、「specific:」ネットワークとして 定 義 する 必 要 があります。
単 一 ゲートウェイから ClusterXL クラスタへの 移 行
ここでは、 新 しいゲートウェイ(マシン「B」)をスタンドアロンの Security Gateway(マシン「A」)に 追 加 してクラスタを
作 成 する 手 順 について 説 明 します。
前 提 条 件 として、 新 しいクラスタ・メンバの 数 と 同 じ 数 の IP アドレスが 使 用 可 能 である 必 要 があります。IP アドレスが
足 りない 場 合 は、「 異 なるサブネット 上 のクラスタ・アドレスの 設 定 」を 参 照 してください。
単 一 ゲートウェイ・マシンの 設 定
単 一 ゲートウェイで Security Management サーバとゲートウェイに 同 じマシンが 使 用 されている 場 合 には、 以 下 の
手 順 に 従 います。
1. Security Management サーバをゲートウェイから 切 り 離 してそれらを 2 つのマシンに 配 置 します。
2. 切 り 離 したゲートウェイ(マシン「A」)で SIC を 初 期 化 します。
マシン「B」の 設 定
1. マシン「A」で 策 定 する 予 定 のクラスタ・インタフェースと 同 期 インタフェースのそれぞれについて、 対 応 するインタ
フェースをマシン「B」で 同 じサブネットを 使 用 して 定 義 します。 別 のサブネットにメンバが 存 在 する 場 合 は、「 異 な
るサブネット 上 のクラスタ・アドレスの 設 定 」を 参 照 してください。
2. マシンに Security Gateway をインストールします。インストール 時 に ClusterXL を 有 効 にする 必 要 があります。
マシン「B」に 対 する SmartDashboard での 設 定
1. ClusterXL オブジェクトを 作 成 します。
2. [Cluster Members]ページで[Add]をクリックし、[New Cluster Member]を 選 択 します。
3. マシン「B」に 接 続 してトポロジを 定 義 します。
4. クラスタの 同 期 ネットワークを 定 義 します。
5. クラスタ・トポロジを 定 義 します。ネットワーク・デバイスの 再 設 定 を 避 けるためには、クラスタ IP アドレスをマシン
「A」で 策 定 する 予 定 のクラスタ・インタフェースのアドレスと 同 じにします。
6. ポリシーを( 現 在 はメンバ「B」のみを 含 む)クラスタにインストールします。
マシン「A」の 設 定
1. 策 定 する 予 定 のすべてのクラスタ・インタフェースと 同 期 インタフェースを 切 り 離 します。 新 しい 接 続 はマシン「A」
からではなくクラスタから 開 設 されるようになります。
2. 切 り 離 したインタフェースのアドレスを、マシン B と 同 じサブネット 上 のほかの 固 有 の IP アドレスに 変 更 します。
3. 同 一 サブネット 上 にある 各 インタフェース・ペアを 専 用 ネットワークを 使 用 して 接 続 します。 前 に 単 一 ゲートウェイ
に 接 続 されていたすべてのホストまたはゲートウェイを、 今 度 はハブ/スイッチを 使 用 して 両 方 のマシンに 接 続 す
る 必 要 があります。
注 - WAN を 介 して 同 期 を 実 行 できます。 詳 細 は、15ページの「WAN を 介 したクラスタの 同
期 」を 参 照 してください。
98 | ClusterXL 管 理 ガイド R75.40VS

マシン「A」に 対 する SmartDashboard での 設 定
1. 手 作 業 で、または[Get Topology]をクリックして、ゲートウェイ A のトポロジを 更 新 します。
管 理 インタフェースの IP アドレスが 変 更 されている 場 合 は、Get Topology アクションが 失 敗 します。この 場 合 、
ゲートウェイ・オブジェクトのメイン IP アドレスを 手 作 業 で 変 更 して、トポロジの 自 動 取 得 を 行 う 前 にポリシーを 保
存 します。
2. [Cluster Members]ページで[Add]をクリックし、[Add Gateway to Cluster]を 選 択 します。
3. ウィンドウでマシン「A」を 選 択 します。
4. [Edit Topology]ページを 開 き、どのインタフェースをクラスタ・インタフェース、 内 部 インタフェース、 外 部 インタ
フェースにするかを 決 定 します。
5. ポリシーをクラスタにインストールします。
既 存 クラスタへの 別 メンバの 追 加
1. クラスタ・メンバで cpconfig を 実 行 して ClusterXL を 有 効 にします。
2. 新 しいクラスタ・メンバの IP アドレスを 正 しいトポロジに 合 わせて(クラスタリング・ソリューションに 従 って 共 有 IP
アドレスまたは 固 有 IP アドレスに) 変 更 します。
3. 必 要 なすべてのチェック・ポイント 製 品 が 新 しいクラスタ・メンバにインストールされたことを 確 認 します。
4. ゲートウェイ・クラスタ・オブジェクトの[Cluster Members]ページで 適 切 なプロパティを 使 用 して 新 しいクラスタ・
メンバを 作 成 する( 新 しい Security Gateway マシンの 場 合 )か、 既 存 のゲートウェイをクラスタ・メンバに 変 換 し
ます。
5. 新 しい Security Gateway マシンの 場 合 は SIC が 初 期 化 されていることを 確 認 します。[Edit Topology]ページ
でトポロジが 正 しく 定 義 されていることを 確 認 します。
6. [Cluster Mode]が[Load Sharing]または[New HA]の 場 合 、 新 しいクラスタ・メンバの 該 当 するインタフェース
が[Cluster Interfaces]として 設 定 されていることを 確 認 します。
7. セキュリティ・ポリシーをクラスタにインストールします。
8. これで 新 しいメンバがクラスタの 一 部 になります。
クラスタの ISP 冗 長 性 の 設 定
ClusterXL ゲートウェイ・クラスタがある 場 合 には、2 つのインタフェースを 使 用 して LAN 経 由 で 各 クラスタ・メンバを
両 方 の ISP と 接 続 します。クラスタ 固 有 の 設 定 を 以 下 に 示 します。
ClusterXL 管 理 ガイド R75.40VS | 99

メンバ・インタフェースは、クラスタの 外 部 インタフェースと 同 じサブネット 上 にある 必 要 があります。ClusterXL を 通 常
の 方 法 で 設 定 します。
クラスタ 構 成 でのダイナミック・ルーティング・プロトコルの 有 効 化
ClusterXL は、SecurePlatform の 一 部 としてダイナミック・ルーティング(ユニキャストおよびマルチキャスト)・プロト
コルをサポートしています。ネットワーク・インフラストラクチャはクラスタ・ゲートウェイを 1 つの 論 理 エンティティと 見
なすため、クラスタ・メンバの 障 害 はネットワーク・インフラストラクチャには 透 過 的 で、それ 以 上 の 影 響 はありま
せん。
システムのコンポーネント
仮 想 IP の 統 合
すべてのクラスタ・メンバかクラスタ IP アドレスを 使 用 します。
ルーティング・テーブル 同 期
ルーティング 情 報 は、 転 送 情 報 ベース(FIB)マネージャ・プロセスを 使 用 してクラスタ・メンバ 間 で 同 期 されます。ル
ーティング 情 報 の 同 期 はフェイルオーバーの 際 にトラフィックの 中 断 を 防 ぐために 行 われ、 負 荷 共 有 モードおよび
HA モードで 使 用 されます。FIB マネージャがルーティング 情 報 を 処 理 します。
FIB マネージャは、クリティカル・デバイス(Pnote)として 登 録 されています。スレーブが 非 同 期 状 態 になると Pnote
が 発 行 され、スレーブ・メンバは FIB マネージャが 同 期 されるまでダウンします。
100 | ClusterXL 管 理 ガイド R75.40VS

障 害 からの 復 旧
ClusterXL のダイナミック・ルーティングは、ルータがメンテナンス・モードを 抜 け 出 したことを 隣 接 するルータに 通 知
してフェイルオーバーへの 影 響 を 防 ぎます。 隣 接 するルータは、ネットワーク 内 のほかのルータに 通 知 せずにクラス
タとの 関 係 を 確 立 し 直 します。これらの 再 起 動 プロトコルは、あらゆる 主 要 ネットワーキング・ベンダーで 幅 広 く 採 用 さ
れています。 以 下 の 表 に、チェック・ポイントのダイナミック・ルーティングに 準 拠 した RFC とドラフトを 示 します。
準 拠 するプロトコル
プロトコル
OSPF LLS
RFC またはドラフト
draft-ietf-ospf-lls-00
OSPF Graceful RFC 3623
BGP Graceful
draft-ietf-idr-restart-08
ClusterXL のダイナミック・ルーティング
上 記 のコンポーネントは「バックグランドで」 機 能 します。ClusterXL でダイナミック・ルーティングを 設 定 する 場 合 、
ルーティング・プロトコルは 単 一 デバイスの 場 合 のようにクラスタに 自 動 的 に 関 連 付 けられます。
各 クラスタ・メンバでルーティング・プロトコルを 設 定 する 場 合 、 各 メンバは 全 く 同 じに 定 義 され、(メンバの 物 理 IP アド
レスではなく)クラスタ IP アドレスを 使 用 します。OSPF の 場 合 、 各 クラスタ・メンバでルータ ID を 全 く 同 じに 定 義 する
必 要 があります。OSPF の 再 起 動 を 設 定 する 場 合 には、 再 起 動 タイプを signaled または graceful として 定 義 する 必
要 があります。Cisco デバイスの 場 合 は、signaled タイプを 使 用 してください。
SecurePlatform のコマンドライン・インタフェースを 使 用 して、それぞれのクラスタ・メンバを 設 定 します。
クラスタ・メンバ A での OSPF の 有 効 化
--------- Launch the Dynamic Routing Module
[Expert@GWa]# router
localhost>enable
localhost#configure terminal
--------- Enable OSPF and provide an OSPF router ID
localhost(config)#router ospf 1
localhost(config-router-ospf)#router-id 192.168.116.10
localhost(config-router-ospf)#restart-type [graceful | signaled]
localhost(config-router-ospf)#redistribute kernel
--------- Define interfaces/IP addresses on which OSPF runs (Use the cluster
IP
address as defined in topology) and the area ID for the interface/IP address
localhost(config-router-ospf)#network 1.1.10.10 0.0.0.0 area 0.0.0.0
localhost(config-router-ospf)#network 1.1.10.20 0.0.0.0 area 0.0.0.0
-------- Exit the Dynamic Routing Module
localhost(config-router-ospf)#exit
localhost(config)#exit
-------- Write configuration to disk
localhost#write memory
IU0 999 Configuration written to '/etc/gated.ami'
各 クラスタ・メンバに 同 じ 設 定 を 適 用 する 必 要 があります。
FIB マネージャはルーティング 情 報 同 期 に TCP 2010 を 使 用 するので、セキュリティ・ポリシーでは TCP 2010 ポート
上 のクラスタ・メンバ 間 のすべてのトラフィックを 受 け 付 ける 必 要 があります。
ダイナミック・ルーティングの 詳 細 情 報 は、『R75.40VS Advanced Routing Suite CLI Reference guide』
( http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
ClusterXL 管 理 ガイド R75.40VS | 101

第 9 章
HA Legacy モード
HA Legacy モードについて 102
Legacy モード 構 成 の 例 102
導 入 計 画 時 の 注 意 事 項 103
HA Legacy モードの 設 定 104
HA Legacy モードからの 移 行 ( 簡 易 的 方 法 ) 106
HA Legacy モードからの 移 行 (ダウンタイムを 最 小 限 にする 方 法 ) 107
HA Legacy モードについて
HA Legacy モードでは、すべてのクラスタ・メンバが 同 一 の IP アドレスと MAC アドレスを 共 有 します。 共 有 インタ
フェースとは、ほかのインタフェースと 同 一 の MAC アドレスおよび IP アドレスを 持 つインタフェースです。
このモードを 使 用 する 利 点 は、 単 一 ゲートウェイ 構 成 から HA クラスタへ 移 行 する 際 、IP アドレスやルーティングを 変
更 する 必 要 がないことです。また、どのスイッチまたはハブを 使 用 してインタフェースを 接 続 しても 構 いません。ただ
しこのモードの 設 定 は 複 雑 であるため、 正 しく 設 定 するためには 正 確 な 手 順 に 従 う 必 要 があります。Security
Management サーバをクラスタ 同 期 ネットワーク、または 管 理 専 用 ネットワークに 接 続 させる 必 要 があります。
Legacy モード 構 成 の 例
この 例 では 代 表 的 な HA Legacy モード 構 成 を 示 します。この 図 では、 物 理 的 なクラスタ・トポロジと 必 要 な
SmartDashboard 設 定 との 関 係 を 示 しています。Member_A(プライマリ)、Member_B(セカンダリ)という 2 つのク
ラスタ・メンバがあり、それぞれ 3 つのインタフェースを 持 っています。これらのインタフェースは、 同 期 、 外 部 共 有 イン
タフェース、および 内 部 共 有 インタフェースに 使 用 されます。
ClusterXL 管 理 ガイド R75.40VS | 102

共 有 インタフェースの IP アドレスと MAC アドレスの 設 定
HA Legacy モードでは、 同 じネットワーク( 内 部 、 外 部 、DMZ など)に 接 続 されたメンバ・インタフェースで 同 じ IP アド
レスと MAC アドレスが 使 われます。 各 クラスタ・メンバ 上 の 各 共 有 インタフェースは、ハブやスイッチを 介 して 適 切 な
ネットワークに 接 続 されます。
いつの 時 点 でも 1 つのクラスタ・メンバだけがアクティブであるため、 常 に 1 つのメンバの 共 有 インタフェースだけが
外 部 から 透 過 的 です。
上 の 図 で、 外 部 インタフェース(インターネット 側 )は Member_A と Member_B の 両 方 で IP アドレス 192.168.0.1
を 持 ち、 内 部 インタフェース(ローカル・ネットワーク 側 )は Member_A と Member_B の 両 方 で IP アドレス
172.20.10.1 を 持 っています。
同 期 インタフェース
クラスタ・メンバのステート 同 期 により、フェイルオーバーが 発 生 しても 障 害 の 発 生 したマシンで 処 理 されていた 接 続
は 維 持 されます。 同 期 ネットワークは、クラスタ・メンバ 間 で 接 続 同 期 情 報 とその 他 の 状 態 情 報 を 受 け 渡 すために
使 用 されます。つまり、このネットワークは 組 織 の 最 も 重 要 なセキュリティ・ポリシー 情 報 を 送 信 するため、ネットワー
クを 安 全 に 保 護 する 必 要 があります。バックアップのために 複 数 の 同 期 ネットワークを 定 義 できます。
同 期 インタフェースを 保 護 するためにはクロスケーブルで 直 接 接 続 するか、3 つ 以 上 のクラスタ・メンバの 場 合 には
専 用 ハブ、スイッチ、または VLAN を 使 用 して 接 続 する 必 要 があります。
HA クラスタ・メンバは 同 期 させる 必 要 はありませんが、 同 期 していない 場 合 はフェイルオーバー 時 に 接 続 が 失 われ
ます。
導 入 計 画 時 の 注 意 事 項
IP アドレスの 移 行
Legacy モードの 構 成 では、 既 存 のスタンドアロン・ゲートウェイ 設 定 から HA クラスタへの 移 行 が 簡 単 に 行 えます。こ
の 場 合 、できればスタンドアロン Security Gatewayに 既 存 のインタフェース IPアドレスをクラスタ・アドレスとして 割 り
当 てることをお 勧 めします。これにより、 現 在 の IPSec エンドポイント 識 別 を 変 更 せずに 済 み、 多 くの 場 合 Hide NAT
設 定 もそのまま 維 持 できます。
Security Management サーバの 場 所
Security Management サーバはセキュリティ・ポリシーをすべてのクラスタ・メンバにダウンロードします。Security
Management サーバは、メンバ 共 有 のインタフェースへ 接 続 するネットワークには 接 続 できません。これは、これら
のインタフェースに 同 じ IP アドレスと MAC アドレスが 設 定 されているためです。
Security Management サーバはクラスタ 同 期 ネットワーク、または 管 理 専 用 のネットワークに 接 続 する 必 要 があり
ます。これは、メンバには 固 有 の IP アドレスが 使 われるためです。
ルーティングの 設 定
外 部 ネットワークおよび 内 部 ネットワークがお 互 いにルーティングできるようにルーティングを 設 定 します。
たとえば、ルーティングを 以 下 のように 設 定 します(102ページの「Legacy モード 構 成 の 例 」を 参 照 )。
内 部 ネットワークは、172.20.0.1 を 使 用 してデフォルトのゲートウェイとして 定 義 されています。
外 部 ルータは、ネットワーク 172.20.0.1 が 192.168.10.1 を 介 して 接 続 されているように 静 的 ルータとして
設 定 されています。
ClusterXL 管 理 ガイド R75.40VS | 103

スイッチ(レイヤ 2 転 送 )に 関 する 注 意 事 項
クラスタ・コントロール・プロトコル(CCP)はレイヤ 2のマルチキャストを 使 用 します。マルチキャスト 規 格 に 従 い、この
マルチキャスト・アドレスは 宛 先 としてのみ 使 用 され、「 安 全 に 保 護 されていない」インタフェースに 送 信 されるすべて
の CCP パケットに 付 加 されます。
安 全 に 保 護 されていないインタフェースに 接 続 されるレイヤ 2 スイッチは、スイッチのポートまたは VLAN 内 部 のポー
ト(VLAN スイッチの 場 合 )にマルチキャスト・パケットを 転 送 可 能 である 必 要 があります。スイッチは、このようなトラ
フィックをすべてのポートまたは 特 定 の VLAN 内 のすべてのポートに 転 送 することもできます。ただし、クラスタ・メン
バに 接 続 されているポートにのみ 転 送 するほうが 効 率 的 です。
ほとんどのスイッチはデフォルトで、マルチキャスト・トラフィックをサポートしています。 詳 細 については、スイッチの
マニュアルを 参 照 してください。
接 続 されているスイッチがマルチキャスト・トラフィックを 転 送 できない 場 合 は、ブロードキャスト・トラフィックを 使 用 す
るように CCP を 変 更 できます。
2 つのモードを 切 り 替 えるには
次 のコマンドを 使 用 します。
'cphaconf set_ccp broadcast/multicast'
HA Legacy モードの 設 定
1. ClusterXL の 主 要 ライセンスを 取 得 して、Security Management サーバにインストールします。
2. クラスタ・メンバになる Security Gateway をスイッチやハブから 切 断 します。
3. 各 メンバの 共 有 インタフェースに 同 じ IP アドレスを 割 り 当 てます。MAC アドレス 共 有 によるネットワーク 上 の 競 合
を 避 けるには、 物 理 的 にクラスタ・トポロジにメンバを 接 続 する 前 に、IP アドレスを 定 義 してください。
4. すべてのクラスタ・メンバに Check Point Security Gateway をインストールして 設 定 します( 同 じバージョンと
ビルド)。『R75.40VS Installation and Upgrade Guide』
(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
メンバは、 再 起 動 しないでください。
5. 各 メンバをスイッチとハブに 接 続 (または 再 接 続 )します。 適 切 な 物 理 ネットワーク・ポートに 各 インタフェースを 接
続 したことを 確 認 してください。 各 ネットワーク( 内 部 、 外 部 、 同 期 、DMZ など)を 別 々の VLAN、スイッチ、または
ハブに 接 続 します。 特 別 なスイッチ 構 成 は 必 要 ありません。
ルーティングの 設 定
1. クラスタの 内 側 のネットワークとの 通 信 が、クラスタの 外 側 のクラスタ IP アドレスを 使 用 して 行 われるようにルー
ティングを 設 定 します。たとえば、 外 部 ルータはネットワーク 10.255.255.100 が 192.168.10.100 を 通 して 接 続 さ
れているように 静 的 ルータとして 設 定 されています(102ページの「Legacy モード 構 成 の 例 」を 参 照 )。
2. クラスタの 外 側 のネットワークとの 通 信 が、クラスタの 内 側 のクラスタ IP アドレスを 使 用 して 行 われるようにルー
ティングを 設 定 します。たとえば、 内 部 ルータは 10.255.255.100 でデフォルトのゲートウェイとして 設 定 されてい
ます(102ページの「Legacy モード 構 成 の 例 」を 参 照 )。
3. メンバを 再 起 動 します。MAC アドレスの 設 定 は 自 動 的 に 行 われます。
SmartDashboard の 設 定
1. ネットワーク・オブジェクト・ツリーで[Check Point]を 右 クリックし、[Security Cluster]を 選 択 します。
2. [Security Gateway Cluster Creation]ウィンドウで[Classic Mode]を 選 択 します。
3. [Cluster Members]ページで、[Add]→[New Cluster Member]を 選 択 して、クラスタ・メンバをクラスタに 追 加
します。クラスタ・メンバはゲートウェイ・クラスタ・オブジェクト 内 にのみ 存 在 します。 各 クラスタ・メンバに 対 して 以
下 の 操 作 を 行 います。
104 | ClusterXL 管 理 ガイド R75.40VS

a) [Cluster Members Properties]ウィンドウの[General]タブで、[Name]と[IP Address]を 定 義 します。セ
キュリティ・ポリシーをインストールできるように、Security Management サーバからルーティング 可 能 な IP
アドレスを 選 択 します。 内 部 アドレス、 外 部 アドレス、 専 用 管 理 インタフェースのいずれでも 構 いません。
b) [Communication]をクリックして、SIC(Secure Internal Communication)を 初 期 化 します。
c) 必 要 に 応 じて[NAT]タブと[VPN]タブを 定 義 します。
d) [Cluster Members]ページで[Add]→[Add Gateway to Cluster]を 選 択 し、[Add Gateway to Cluster]
ウィンドウの 一 覧 からゲートウェイを 選 択 して、 既 存 ゲートウェイをクラスタ・メンバとして 追 加 することもでき
ます。
e) クラスタからゲートウェイを 削 除 するには、[Cluster Members]ページで[Remove]ページをクリックして
[Detach Member from Cluster]を 選 択 するか、[Network Objects]ツリーのクラスタ・メンバを 右 クリックし
て[Detach from Cluster]を 選 択 します。
4. [ClusterXL]ページで 以 下 を 実 行 します。
[High Availability Legacy Mode]をオンにします。
[Use State Synchronization]をオン/オフにするかどうかを 選 択 します。このオプションはデフォルトでオン
になっています。このオプションをオフにすると、クラスタ・メンバは 同 期 されなくなり、フェイルオーバーの 発
生 時 に 障 害 が 発 生 したゲートウェイ 上 の 既 存 の 接 続 は 切 断 されます。
[Upon Gateway Recovery]でアクションを 特 定 します( 詳 細 29ページの「ゲートウェイが 復 帰 した 場 合 の 処
理 」を 参 照 )。
Fail-over Tracking 方 法 を 定 義 します。
5. [Topology]ページでクラスタ・メンバ・アドレスを 定 義 します。 仮 想 クラスタ・インタフェースは 定 義 しないでくださ
い。 別 のクラスタ・モードから 変 換 すると、 仮 想 クラスタ・インタフェース 定 義 は 削 除 されます。[Edit Topology]
ウィンドウで 以 下 を 行 います。
各 クラスタ・メンバ・インタフェースのトポロジを 定 義 します。メンバ・インタフェースに 対 して 定 義 済 みのすべ
ての 設 定 を 自 動 的 に 読 み 込 むには、[Get all members' topology]をクリックします。
Cluster カラムでドロップダウン・リストからいずれかのオプションを 選 択 して、ネットワークの 目 的 を 定 義 しま
す。 共 有 IP アドレスを 持 つインタフェースは[Monitored Private]ネットワークに 属 するものとして 定 義 し、 各
クラスタ・メンバの 1 つ(または 複 数 の)インタフェースは 同 期 ネットワーク 内 の 同 期 インタフェース([1st
Sync]/[2nd Sync]/[3rd Sync])として 定 義 します。オプションについては、オンライン・ヘルプを 参 照 してく
ださい。 新 しいネットワークを 定 義 するには、[Add Network]をクリックします。
6. 必 要 に 応 じて、ゲートウェイ・クラスタ・オブジェクトのほかのページ([NAT]、[VPN]、[Remote Access]ページ
など)を 定 義 します。
7. セキュリティ・ポリシーをクラスタにインストールします。
8. クラスタ・メンバ 上 の MAC アドレス 設 定 を 有 効 にするには、すべてのクラスタ・メンバを 再 起 動 します。
[General Properties]の 設 定
クラスタの[General Properties]を 設 定 するには
1. 指 定 されたフィールドで、クラスタ・オブジェクトに 固 有 な 名 前 を 入 力 します。
2. メイン・クラスタ IP アドレスを 入 力 します。
3. クラスタにインストールした 製 品 として ClusterXL を 選 択 します。
4. ClusterXL を 有 効 にし、 必 要 に 応 じてその 他 のネットワーク・セキュリティの Software Blade も 有 効 にします。
クラスタ・メンバの 定 義
クラスタ・メンバを 設 定 するには
1. [Cluster Members]ページで、[Add]→[New Cluster Member]をクリックします。
2. [Cluster Members Properties]ウィンドウの[General]タブで、メンバの[Name]と 物 理 [IP Address](セキュリ
ティ 管 理 サーバからルーティング 可 能 なもの)を 入 力 します。 内 部 アドレス、 外 部 アドレス、 専 用 管 理 インタフェー
スのいずれでも 構 いません。
3. [Communication]をクリックして、SIC(Secure Internal Communication)トラストを 初 期 化 します。
ClusterXL 管 理 ガイド R75.40VS | 105

4. 必 要 に 応 じて 適 切 なタブ 上 で、[NAT]と[VPN]を 設 定 します。 詳 細 は、『R75.40VS Security Management
Administration Guide』(http://supportcontent.checkpoint.com/solutions?id=sk76540)を 参 照 してください。
メンバとして 既 存 のゲートウェイを 追 加
既 存 のゲートウェイをクラスタ・メンバとして 加 えるには、[Cluster Members ページで[Add]→[Add Gateway to
Cluster]を 選 択 し、[Add Gateway to Cluster]ウィンドウのリストからゲートウェイを 選 択 します。
メンバの 削 除
クラスタからゲートウェイを 削 除 するには、[Cluster Members]ページで[Remove]をクリックして[Detach Member
from Cluster]を 選 択 するか、[Network Objects]ツリーのクラスタ・メンバを 右 クリックして[Detach from Cluster]を
選 択 します。
ClusterXL プロパティの 設 定
Legacy モードの ClusterXL のプロパティを 設 定 するには
1. [High Availability]オプションを 有 効 にし、[Legacy]モードを 選 択 します。
2. プライマリ・メンバ 回 復 で 行 う 動 作 を 選 択 してください。
現 在 のアクティブなクラスタ・メンバの 維 持
より 高 い 優 先 順 位 のクラスタ・メンバに 切 り 替 え
3. HA の 新 規 構 成 において、ステート 同 期 はオプションですが、デフォルトでは 有 効 に 設 定 されています。ステート
同 期 を 無 効 にした 場 合 、クラスタ・メンバは 同 期 しません。また、ゲートウェイで 障 害 が 発 生 すると、 既 存 の 接 続
はフェイルオーバーが 起 こると 切 断 されます。
4. リストから 追 跡 オプションを 選 択 します。
定 義 の 完 了
1. 必 要 に 応 じて、クラスタ・オブジェクトのほかのページ([NAT]、[VPN]、[Remote Access]ページなど)を 定 義
します。
2. セキュリティ・ポリシーをクラスタにインストールします。
HA Legacy モードからの 移 行 ( 簡 易 的 方 法 )
ここでは、ダウンタイムを 最 小 限 に 抑 えることよりも 設 定 の 簡 易 性 を 重 視 して、HA Legacy モードから 負 荷 共 有 マル
チキャスト・モードまたは HA New へ 移 行 する 手 順 について 説 明 します。
共 有 内 部 インタフェースおよび 共 有 外 部 インタフェースがクラスタ・インタフェースになります。したがって、クラスタの
全 体 IP アドレスは 外 部 クラスタ IP アドレスのままです。
ゲートウェイでの 設 定
1. すべてのメンバで cpstop を 実 行 します(すべてのネットワーク 接 続 が 失 われます)。
2. 共 有 ( 複 製 )IP アドレスではなく 固 有 の IP アドレスが 使 用 されるように、すべてのクラスタ・メンバで IP アドレスを
設 定 し 直 します。
注 - SecurePlatform のみ:これらのアドレスを 変 更 すると、 既 存 の 静 的 ルートは 削 除 されま
す。 手 順 4 での 復 元 のためにコピーしてください。
3. 次 のコマンドを 実 行 して 共 有 MAC アドレスを 削 除 します。
cphaconf uninstall_macs
4. SecurePlatform クラスタ・メンバのみ、 手 順 2 で 削 除 された 静 的 ルートを 定 義 し 直 します。
5. メンバを 再 起 動 します。
106 | ClusterXL 管 理 ガイド R75.40VS

SmartDashboard からの 設 定
SmartDashboard でクラスタ・オブジェクトを 開 いて ClusterXL]タブを 選 択 してクラスタ・モードを[Legacy Mode]か
ら[New Mode]または[Load Sharing]モードに 変 更 します。 次 に Check Point Gateway Cluster Wizard の 手 順 に
従 います。 手 動 で 設 定 する 場 合 は、 以 下 の 手 順 に 従 います。
1. クラスタ・オブジェクトの[Topology]タブで 以 下 を 実 行 します。
各 クラスタ・メンバについて、IP アドレスが 変 更 されたために 変 更 されたインタフェースを 取 得 します。 前 に 共
有 インタフェースとして 使 用 されていたインタフェースは、トポロジ 上 でクラスタ・インタフェースとして 定 義 され
ます。
クラスタのクラスタ IP アドレスを 定 義 します。 必 要 に 応 じてクラスタ・インタフェース 名 を 定 義 できます。これら
は IP アドレスに 従 って 物 理 インタフェースにバインドされます。
特 定 のインタフェースのクラスタ・メンバの 新 しい IP アドレスがこの 方 向 のクラスタ IP アドレスと 別 のサブネッ
トにある 場 合 は、クラスタ・メンバのネットワークをクラスタ・インタフェースの[Members Network]フィールド
で 定 義 する 必 要 があります。
2. 新 しいクラスタ・オブジェクトにポリシーをインストールします(セキュリティ・ポリシー、QoS ポリシーなど)。
HA Legacy モードからの 移 行 (ダウンタイムを 最 小 限 にする 方 法 )
ここでは、HA Legacy モードから HA New モードまたは 負 荷 共 有 モードへ、クラスタのダウンタイムを 最 小 限 に 抑 え
ながら 移 行 する 手 順 について 説 明 します。
共 有 内 部 インタフェースおよび 共 有 外 部 インタフェースがクラスタ・インタフェースになります。クラスタ・メンバに 追 加
する IP アドレスをあらかじめ 用 意 しておく 必 要 があります。
クラスタのダウンタイムが 変 更 時 に 大 きく 影 響 が 無 ければ、106ページの「HA Legacy モードからの 移 行 ( 簡 易 的 方
法 )」に 示 す 手 順 を 参 考 にしてください。
注 -
1. このセクションで 説 明 する 変 更 を 実 施 する 前 に、 必 要 な IP アドレスがすべて 用 意 されている
ことを 確 認 してください。
2. この 手 順 では SmartDashboard でオブジェクトをいったん 削 除 して 再 度 作 成 します。 手 順 を
開 始 する 前 に 設 定 をバックアップしてください。
この 手 順 では、マシン「A」とマシン「B」を 例 として 使 用 し、マシン「A」がアクティブ、マシン「B」がスタンバイである 時
点 から 手 順 を 開 始 します。
1. Security Management( 管 理 インタフェース)サーバ 以 外 、マシン「B」をすべてのインタフェース 接 続 から 切 り 離
します。
2. マシン「B」で cphastop を 実 行 します。
3. マシン「B」の IP アドレスを( 新 しい 構 成 の 必 要 に 応 じて) 変 更 します。
注 - SecurePlatform のみ: これらのアドレスを 変 更 すると、 既 存 の 静 的 ルートは 削 除 されま
す。 手 順 5 での 復 元 のためにコピーしてください。
4. cphaconf uninstall_macs を 実 行 してマシン「B」の MAC アドレスをリセットします。Windows マシンの 場 合 は、
MAC アドレスの 変 更 を 有 効 にするためにここで 再 起 動 します。
5. SecurePlatform クラスタ・メンバの 場 合 のみ、 手 順 3 で 削 除 した 静 的 ルートを 定 義 し 直 します。
6. SmartDashboard でメンバ「A」を 右 クリックし、[Detach from cluster]を 選 択 します。
7. [Cluster Member Properties]ウィンドウの[Topology]タブで[Get...]をクリックしてクラスタ・メンバ「B」のトポ
ロジを 定 義 します。 適 切 なインタフェースを[Cluster Interfaces]としてください。
8. [Cluster Object]でクラスタの 新 しいトポロジを 定 義 します(クラスタの[Topology]タブでクラスタ・インタフェース
を 定 義 します)。
9. [ClusterXL]ページで、クラスタの[High Availability]モードを[Legacy Mode]から[New Mode]へ 変 更 するか、
[Load Sharing]モードを 選 択 します。
ClusterXL 管 理 ガイド R75.40VS | 107

10. [Cluster Object]のほかのページ([NAT]ページ、[VPN]ページ、[Remote Access]ページなど)の 設 定 が 正
しいことを 確 認 します。Legacy Check Point High Availability の 定 義 でしたが、ここではクラスタ 自 身 の 定 義 に
変 更 されています。
11. ポリシーを(クラスタ・メンバ「B」のみが 含 まれている)クラスタにインストールします。
12. マシン「B」を( 手 順 1 で 切 り 離 した)ネットワークに 再 接 続 します。
13. この 例 ではクラスタは 2 台 のメンバだけで 構 成 されていますが、クラスタのメンバが 2 台 を 超 える 場 合 は 各 クラス
タ・メンバについてステップ 1~9 を 繰 り 返 します。
14. 負 荷 共 有 マルチキャスト・モードの 場 合 は、ルートを 設 定 します(31ページの「 負 荷 共 有 マルチキャスト・モー
ド」を 参 照 )。
15. マシン「A」を 管 理 ネットワーク 以 外 のすべてのネットワークから 切 り 離 します。クラスタはトラフィックの 処 理 を 停
止 します。
16. マシン「A」で cphastop を 実 行 します。
17. マシン「B」で cpstop を 実 行 し、 次 に cpstart を 実 行 します(3 台 以 上 のマシンがある 場 合 は、「A」 以 外 のすべて
のマシンでこの 2 つのコマンドを 実 行 します)。
18. マシン「B」がアクティブになり、トラフィックの 処 理 を 開 始 します。
19. マシン「A」の IP アドレスを( 新 しい 構 成 の 必 要 に 応 じて) 変 更 します。
20. cphaconf uninstall_macs を 実 行 してマシン「A」の MAC アドレスをリセットします。Windows マシンの 場 合 は、
MAC アドレスの 変 更 を 有 効 にするためにここで 再 起 動 します。
21. SmartDashboard で[Cluster Object]を 開 き、[Cluster Members]ページを 選 択 します。[Add]→[Add
Gateway to Cluster]をクリックし、メンバ「A」を 選 択 してクラスタに 再 接 続 します。
22. マシン「A」を 手 順 15 で 切 り 離 したネットワークに 再 接 続 します。
23. セキュリティ・ポリシーをクラスタにインストールします。
24. マシン「A」で cpstop を 実 行 し、 次 に cpstart を 実 行 します。
25. 静 的 ルートを 定 義 し 直 します。
クラスタは 新 しいモードで 動 作 するようになります。
108 | ClusterXL 管 理 ガイド R75.40VS

第 10 章
cphaprob スクリプトの 例
以 下 に 示 された clusterXL_monitor_process スクリプトは、 特 定 のプロセスの 存 在 を 監 視 して、プロセスが 動 作 停
止 した 場 合 にフェイルオーバーを 発 生 させるよう 設 計 されています。このスクリプトでは、 通 常 の pnote メカニズムを
使 用 しています。
clusterXL_monitor_process スクリプトは、$FWDIR/bin にあります。
関 連 情 報 109
clusterXL_monitor_process スクリプト 109
関 連 情 報
cphaprob コマンドについては、47ページの「クラスタの 正 常 動 作 を 確 認 する 方 法 」を 参 照 してください。
clusterXL_monitor_process スクリプト
#!/bin/sh
#
# This script monitors the existence of processes in the system.The process
names should be written
# in the $FWDIR/conf/cpha_proc_list file one every line.
#
# USAGE :
# cpha_monitor_process X silent
# where X is the number of seconds between process probings.
# if silent is set to 1, no messages will appear on the console.
#
#
# We initially register a pnote for each of the monitored processes
# (process name must be up to 15 characters) in the problem notification
mechanism.
# when we detect that a process is missing we report the pnote to be in "problem"
state.
# when the process is up again - we report the pnote is OK.
if [ "$2" -le 1 ]
then
silent=$2
else
silent=0
ClusterXL 管 理 ガイド R75.40VS | 109

fi
if [ -f $FWDIR/conf/cpha_proc_list ]
then
procfile=$FWDIR/conf/cpha_proc_list
else
echo "No process file in $FWDIR/conf/cpha_proc_list "
exit 0
fi
arch=`uname -s`
for process in `cat $procfile`
do
$FWDIR/bin/cphaprob -d $process -t 0 -s ok -p register > /dev/null 2>&1
done
while [ 1 ]
do
result=1
for process in `cat $procfile`
do
ps -ef | grep $process | grep -v grep > /dev/null 2>&1
status=$?
if [ $status = 0 ]
then
if [ $silent = 0 ]
then
echo " $process is alive"
fi
# echo "3, $FWDIR/bin/cphaprob -d $process -s ok report"
$FWDIR/bin/cphaprob -d $process -s ok report
else
if [ $silent = 0 ]
then
echo " $process is down"
fi
$FWDIR/bin/cphaprob -d $process -s problem report
110 | ClusterXL 管 理 ガイド R75.40VS

fi
result=0
done
if [ $result = 0 ]
then
if [ $silent = 0 ]
then
echo " One of the monitored processes is down!"
fi
else
if [ $silent = 0 ]
then
echo " All monitored processes are up "
fi
fi
if [ "$silent" = 0 ]
then
echo "sleeping"
fi
sleep $1
done
ClusterXL 管 理 ガイド R75.40VS | 111