ClusterXL 管理ガイド R75.40VS - Check Point

ステート 同 期 の 動 作
同 期 は 以 下 の 2 つのモードで 動 作 します。
完 全 同 期 では、クラスタ・メンバ 間 ですべての Security Gateway カーネル・テーブル 情 報 が 転 送 されます。
完 全 同 期 は、 暗 号 化 された TCP 接 続 を 使 用 して、fwd デーモンによって 処 理 されます。
差 分 同 期 では、クラスタ・メンバ 間 でカーネル・テーブルの 変 更 情 報 が 転 送 されます。 差 分 同 期 は、ポート
8116 で UDP マルチキャストまたはブロードキャストを 使 用 して、Security Gateway カーネルによって 処
理 されます。
完 全 同 期 は、 何 千 もの 接 続 について、 状 態 情 報 の 初 期 転 送 に 使 用 されます。クラスタ・メンバがダウン 後 に 起 動 した
場 合 、 完 全 同 期 を 実 行 します。すべてのメンバが 同 期 したら、 更 新 情 報 のみが 差 分 同 期 によって 転 送 されます。 差
分 同 期 は 完 全 同 期 より 遥 かに 高 速 です。
ステート 同 期 トラフィックは 通 常 、すべてのクラスタ・コントロール・プロトコル(CCP)トラフィックの 約 90 %を 占 めます。
ステート 同 期 パケットは、UDP データ・ヘッダ 内 の opcode によって 残 りの CCP トラフィックと 区 別 されます。
注 - CCP パケットの 送 信 元 MAC アドレスは 変 更 できます。
同 期 不 要 なサービス
ゲートウェイ・クラスタ 内 では、 通 常 、すべてのクラスタ・メンバに 対 するすべての 接 続 がクラスタ 間 で 同 期 されます。
ゲートウェイ・クラスタを 通 るすべてのサービスが 同 期 されなくても 構 いません。
TCP、UDP、その 他 の 種 類 のサービスを 同 期 しないように 指 定 できます。デフォルトでは、これらのサー
ビスはすべて 同 期 されます。
VRRP と IPクラスタ・コントロール・プロトコル、および IGMP プロトコルは、デフォルトでは 同 期 されません
(これらのプロトコルに 対 して 同 期 をオンにすることはできます)。クラスタ・メンバ 間 のみで 実 行 しているプ
ロトコルは、 同 期 させる 必 要 はありません。 同 期 させることは 可 能 ですが、 同 期 するようにクラスタを 設 定
しても 利 点 がありません。 同 期 情 報 はフェイルオーバーの 際 には 役 立 たないため、この 場 合 は 関 係 あり
ません。したがって、IGMP、VRRP、IP クラスタリング、その 他 の OPSEC クラスタ・コントロール・プロトコ
ルは、デフォルトでは 同 期 されません。
ブロードキャストとマルチキャストは 同 期 されず、また 同 期 することができません。
サービスに 対 して 同 期 サービス 定 義 と 非 同 期 サービス 定 義 の 両 方 を 設 定 し、ルール・ベースで 選 択 的 に 定 義 を 使 用
できます。
同 期 の 不 要 なサービスの 設 定
同 期 を 行 うには、パフォーマンスに 多 少 の 負 荷 がかかります。 以 下 の 条 件 が 当 てはまる 場 合 、サービスを 同 期 しな
いように 設 定 できます。
クラスタを 通 っているトラフィックの 大 部 分 が 特 定 のサービスを 使 用 します。サービスを 同 期 しないようにすると、
同 期 トラフィックの 量 が 減 るため、クラスタ・パフォーマンスが 向 上 します。
通 常 、サービスは 短 時 間 の 接 続 を 行 い、 接 続 が 失 われたかどうかが 通 知 されません。DNS(UDP 上 )と HTTP
は 通 常 、ほとんどの 接 続 に 関 係 していますが、 非 常 に 寿 命 が 短 く、アプリケーション・レベルで 接 続 を 回 復 でき
ます。FTP などの、 一 般 的 に 長 時 間 の 接 続 を 確 立 するサービスは、 必 ず 同 期 させる 必 要 があります。
すべての 接 続 に 対 して 双 方 向 対 称 性 を 保 証 する 構 成 では、(HA を 維 持 するためだけに) 同 期 を 行 う 必 要 はあ
りません。そのような 構 成 には 以 下 が 含 まれます。
HA モードのクラスタ( 例 : ClusterXL New HA または IPSO VRRP)
非 暗 号 化 接 続 での 負 荷 共 有 モードの ClusterXL(VPN またはスタティック NAT を 除 く)
完 全 対 称 性 を 保 証 する OPSEC クラスタ(OPSEC クラスタのマニュアルを 参 照 )
負 荷 共 有 モードで ClusterXL クラスタを 通 過 する VPN とスタティック NAT 接 続 (マルチキャストまたはユニ
キャスト)は 双 方 向 の 対 称 性 を 維 持 しません。このような 環 境 では、ステート 同 期 をオンにする 必 要 があります。
12 | ClusterXL 管 理 ガイド R75.40VS