インターフェース設定
Gaia がサポートしているインターフェースタイプは以下の通り。
- イーサネット物理インターフェース
- エイリアス
- さまざまなインターフェースタイプのセカンダリ IP アドレス
- これは ClusterXL ではサポートされていません
- VLAN
- Bond (Link Aggregation)
- Bridge
- Loopback
- 6in4 tunnel
- PPPoE
物理インターフェース
- Gaia 動作中は、物理インターフェースカードを [追加/変更/削除] することはできません
- Gaia は物理インターフェース(NIC)を自動的に識別します
■インターフェースカードの追加/取り外し手順
- Gaia を停止させます
- Gaia ポータルの場合、Maintenance > Shut Down をクリックし、Halt をクリック
- CLI の場合、
halt
を実行
- インターフェースカードを [追加/取り外し/交換] します
- Gaia を起動させます
■Gaia ポータルでのインターフェース設定
- ナビゲーションツリーで Network Management > Network Interfaces をクリック
- リストからインターフェースを選択し Edit をクリック
- [Enable] オプションを選択して、インターフェース・ステータスを UP に設定
- [Comment] フィールドに、任意にコメントテキスト(最大100文字)を入力
- [IPv4] タブで、次のいずれかを実行
- DHCPv4 サーバーから IPv4ア ドレスを取得するには、[Obtain IPv4 address automatically] を選択
- 手動で IPv4 アドレスとサブネットマスクを入力
- [Ethernet] タブ
- [Auto Negotiation] を選択するか、リストからリンク speed と duplex 設定を選択
- [Hardware Address] フィールドに、ハードウェア MAC アドレスを入力(NICから自動的に取得されない場合)
- MAC アドレスが正しくないか、変更されていることが確実でない限り、MAC アドレスを手動で変更しないでください。 誤った MAC アドレスは、通信障害につながる可能性があります
- [MTU] フィールドに、適切な最大伝送ユニット(MTU)値を入力します
- 最小値は68、最大値は16000、デフォルト値は1500
- 必要に応じて、Monitor Mode を選択
- Monitor Mode の設定手順については次を参照:
R80.40 Installation and Upgrade Guide > Chapter Special Scenarios for Security Gateways > Section Deploying a Security Gateway in Monitor Mode
- Monitor Mode の設定手順については次を参照:
■CLI (Clish) でのインターフェース設定
set interface <Name of Physical Interface>
auto-negotiation {on | off}
comments "Text"
ipv4-address <IPv4 Address> {subnet-mask <Mask> | mask-length <Mask Length>}
ipv6-address <IPv6 Address> mask-length <Mask Length>
ipv6-autoconfig {on | off}
link-speed {10M/half | 10M/full | 100M/half | 100M/full | 1000M/full | 10000M/full}
mac-addr <MAC Address>
monitor-mode {on | off}
mtu <68-16000 | 1280-16000>
rx-ringsize <0-4096>
state {on | off}
tx-ringsize <0-4096>
VLAN インターフェース
■Gaia ポータルでの Vlan インターフェース設定
- ナビゲーションツリーで Network Management > Network Interfaces をクリック
- VLAN インターフェースを追加する物理インターフェースに IP アドレスがないことを確認してください
- Add > VLAN をクリック
- 既存の VLAN インターフェースを構成するには、VLAN インターフェースを選択し、「Edit」をクリック
- [Add VLAN ](または[Edit VLAN])ウィンドウで、[Enable] オプションを選択して、VLAN インターフェースを UP に設定
- [IPv4] タブで、IPv4 アドレスとサブネットマスクを入力
- オプションで、[Obtain IPv4 Address automatically] オプションを選択できます
- [VLAN] タブで、2〜4094 の VLAN ID(VLAN タグ)を入力または選択します
- [Member Of] フィールドで、この VLAN を紐づける物理インターフェースを選択します
■CLI (Clish) での VLAN インターフェース設定
●VLAN インターフェースの追加
add interface <Name of Physical Interface> vlan <VLAN ID>
●VLAN インターフェースの設定
set interface <Name of Physical Interface>.<VLAN ID>
comments "Text"
ipv4-address <IPv4 Address>
subnet-mask <Mask>
mask-length <Mask Length>
ipv6-address <IPv6 Address> mask-length <Mask Length>
ipv6-autoconfig {on | off}
mtu <68-16000 | 1280-16000>
state {on | off}
●VLAN インターフェースの削除
delete interface <Name of Physical Interface> vlan <VLAN ID>
Access Mode VLAN
- スイッチポートをアクセスモードで設定する場合は、2 つの VLAN インターフェースをスレーブとして使用してブリッジインターフェースを作成します
- VLAN translation の場合は、異なる番号の VLAN インターフェースを使用してブリッジインターフェースを作成します
- 同じ Security Gateway 上に複数の VLAN translation ブリッジを構築できます
- 2 つの VLAN インターフェースを設定します
- ブリッジインターフェースを作成し、VLAN インターフェースをスレーブとして選択します
Trunk Mode VLAN
- スイッチポートを VLAN トランクとして設定する場合、Check Point Bridge インターフェースが VLAN に干渉しないようにする必要があります
- VLAN トランクを使用してブリッジインターフェースを設定するには、スレーブとして 2 つの物理(非VLAN)インターフェースを使用してブリッジインターフェースを作成します
- Security Gateway はタグ付きパケットを処理し、VLAN タグをパケットから削除しません
- トラフィックは、元の VLAN タグとともに宛先に渡されます
Bond (Link Aggregation)
- Check Point セキュリティデバイスは、複数の物理インターフェースを 1 つの仮想インターフェース(ボンドインターフェースと呼ばれる)に結合するテクノロジであるリンクアグリゲーションをサポートしています
- Check Point デバイスは、動的リンクアグリゲーション用の IEEE 802.3ad リンクアグリゲーション制御プロトコル(LCAP)をサポートしています
- ボンドインターフェース(ボンディンググループまたはボンドとも呼ばれます)は、そのボンド ID(例:bond1)によって識別され、IP アドレスが割り当てられます
- ボンドに含まれる物理インターフェースはスレーブと呼ばれ、IP アドレスを持っていません
- ボンドインターフェースのモードには以下の 2 つがあります
- High Availability (Active/Backup)
- Load Sharing (Active/Active)
Load Sharing ではさらに以下の 3 つのモードが選択できます。
- Round Robin
- アクティブなスレーブインターフェースを順番に選択します
- 802.3ad
- アクティブなスレーブインターフェースを動的に使用して、トラフィックの負荷を共有します
- このモードでは、LACP プロトコルを使用します
- XOR
- UP 状態のすべてのスレーブインターフェースは、ロードシェアリングに対してアクティブです
- トラフィックは、送信ハッシュポリシー(レイヤー2 情報(ハードウェア MAC アドレスのXOR)、またはレイヤー3 + 4 情報(IP アドレスとポート))に基づいてアクティブなスレーブインターフェースに割り当てられます
■Gaia ポータルでのボンドインターフェース設定
- ナビゲーションツリーで Network Management > Network Interfaces をクリック
- ボンドインターフェースに追加したいスレーブインターフェースに IP アドレスがないことを確認してください
- Add > Bond をクリック(新規作成の場合)
- 既存のボンドインターフェースを構成するには、ボンドインターフェースを選択し、「Edit」をクリック
- [IPv4] タブで、IPv4 アドレスとサブネットマスクを入力
- オプションで、[Obtain IPv4 Address automatically] オプションを選択できます
- [Bond] タブ
- ボンドグループ ID を選択または入力します(0 から 1024 までの整数)
- 「Available Interfaces」リストからスレーブインターフェースを選択し、「Add」をクリック
- スレーブインターフェースに IP アドレスまたはエイリアスが設定されていないことを確認してください
- Operation Mode を選択します
Round Robin
(デフォルト)Active-Backup
XOR
802.3ad
- [Advanced] タブ
- 必要に応じて MTU を設定
- モニター間隔の設定
- 各スレーブインターフェースのリンク障害をチェックするまでの待機時間
- 範囲は 1〜5000 ミリ秒(デフォルトは 100 ミリ秒)
- ダウン遅延の設定
- スレーブインターフェースにモニター要求を送信した後、スレーブインターフェースをダウンさせるまでの待機時間
- 範囲は 1〜5000 ミリ秒(デフォルトは 200 ミリ秒)
- アップ遅延の設定
- スレーブインターフェースにモニター要求を送信した後、スレーブインターフェースを起動するまでの待機時間
- 範囲は 1〜5000 ミリ秒(デフォルトは 200 ミリ秒)
- 選択した Operation Mode に応じて追加の設定ができます
Round Robin
: 追加の設定はありませんActive-Backup
: プライマリインターフェースを選択しますXOR
: 送信ハッシュポリシーを選択します- これは、指定された TCP/IP 層に従ってスレーブインターフェースを選択するためのアルゴリズムです
- レイヤ2(物理インターフェースMACアドレスのXORを使用)またはレイヤ3 + 4(レイヤ3およびレイヤ4プロトコルデータを使用)のいずれかを選択します
802.3ad
: 次の 2 つの手順を実行します- 送信ハッシュポリシーを選択します
- 指定された TCP/IP レイヤーに従ってスレーブインターフェースを選択するためのアルゴリズム
- レイヤ2(物理インターフェースのMACアドレスのXORを使用)またはレイヤ3 + 4(IPアドレスとポートを使用)のいずれかを選択します
- LACP レートを選択します
- LACP パートナーが LACPDU を送信する頻度
- Slow(30秒ごと)または Fast(1秒ごと)のいずれかを選択します
- 送信ハッシュポリシーを選択します
■CLI (Clish) での VLAN インターフェース設定
Gaia Clish では、ボンドインターフェースはボンディンググループと呼ばれます。
●設定手順
- スレーブとする予定の物理インターフェースに IP アドレスがないことを確認してください
- 新しいボンディンググループを追加します
- 物理スレーブインターフェースの状態を UP に設定します
- ボンディンググループにスレーブインターフェースを追加します
- ボンドオペレーションモードを設定します
- その他のボンドパラメータ(プライマリインターフェース、メディアモニタリング、遅延率)を設定します
- 設定を save します
●ボンディンググループの新規追加
add bonding group <Bond Group ID>
●ボンディンググループへのスレーブインターフェースの追加
add bonding group <Bond Group ID> interface <Name of Slave Interface>
●ボンディンググループのオペレーションモード設定
set bonding group <Bond Group ID> mode
active-backup [primary <Name of Slave Interface>]
round-robin
8023AD [lacp-rate {slow | fast}]
xor xmit-hash-policy {layer2 | layer3+4}
Active-Backup
モードでは、任意でプライマリスレーブインターフェース(primary
)の設定が可能8023AD
モードでは、任意で LACP パケット伝送速度(lacp-rate
)の設定が可能XOR
モードでは、送信ハッシュポリシー(xmit-hash-policy
)を設定する必要があります
●ボンディンググループのディレイタイム設定
set bonding group <Bond Group ID>
up-delay <0-5000>
down-delay <0-5000>
●ボンディンググループのモニタリングタイプ設定
set bonding group <Bond Group ID> monitoring-type
arp arp-target-ip <IPv4 Address>
mii mii-interval <0-5000>
●ボンディンググループからのスレーブインターフェースの削除
delete bonding group <Bond Group ID> [interface <Interface Name> | force-ignore-routes]
●ボンディンググループの削除
delete bonding group <Bond Group ID>
●ボンディンググループ設定の表示
show bonding {group <Bond Group ID> | groups}
●ボンディンググループ機能の確認
エキスパートモードで以下コマンドを実行。
cat /proc/net/bonding/<Bond Group ID>
Bridge インターフェース
- ブリッジインターフェイスは、2 つの異なるインターフェイス(ブリッジポート)を
L2 で接続
します - 2 つのインターフェイスをブリッジすると、一方のブリッジポートで受信されたすべてのイーサネットフレームがもう一方のポートに送信されます
- したがって、2 つのブリッジポートは同じブロードキャストドメインに参加します(ルーターポートの動作とは異なります)
- セキュリティポリシーは、ブリッジを通過するすべてのイーサネットフレームを検査します
- 1 つの Security Gateway またはクラスタを使用してブリッジモードを設定できます
- ブリッジは、IP アドレスが割り当てられていなくても機能します
- ブリッジイーサネットインターフェイス(アグリゲートインターフェイスを含む)は、物理ブリッジのポートのように機能します
- SmartConsole でブリッジポートのトポロジを設定できます
- 個別のネットワークまたはグループオブジェクトは、各ポートに接続するネットワークまたはサブネットを表します
- ブリッジインターフェイスは、レイヤ 2 アドレッシングでトラフィックを送信します
- 同じデバイス上で、一部のインターフェイスをブリッジインターフェイスとして設定し、他のインターフェイスをレイヤ 3 インターフェイスとして機能させることができます
- ブリッジインターフェイス間のトラフィックはレイヤ 2 で検査されます
- 2 つのレイヤ 3 インターフェイス間、またはブリッジインターフェイスとレイヤ 3 インターフェイス間のトラフィックはレイヤ 3 で検査されます
■Gaia ポータルでのブリッジインターフェース設定
- ナビゲーションツリーで Network Management > Network Interfaces をクリック
- ブリッジインターフェイスに追加する予定のインターフェイスに IP アドレスが割り当てられていないことを確認してください
- Add > Bridge をクリック
- 既存のブリッジインターフェイスを設定する場合は、ブリッジインターフェイスを選択し [Edit]をクリックします
- [Bridge] タブで、ブリッジグループ ID(1〜1024の一意の整数)を入力または選択します
- 「Available Interfaces」リストからインターフェースを選択し「Add」をクリック
- [IPv4] タブで、IPv4 アドレスとサブネットマスクを入力します
- オプションで [Obtain IPv4 Address automatically] を選択できます
- OK をクリック
より詳しくは、R80.40 Installation and Upgrade Guide > Chapter Special Scenarios for Security Gateways > Section Deploying a Security Gateway or a ClusterXL in Bridge Mode を参照。
■CLI (Clish) でのブリッジインターフェース設定
Gaia Clishでは、ブリッジインターフェースはブリッジンググループと呼ばれます。
●設定手順
- スレーブとする予定のインターフェースに IP アドレスがないことを確認します
- 新しいブリッジンググループを追加します
- ブリッジンググループにスレーブインターフェースを追加します
- ブリッジンググループに IP アドレスを設定します
- 設定を save します
●ブリッジンググループの新規追加
add bridging group <Bridge Group ID>
●ブリッジンググループへのスレーブインターフェース追加
add bridging group <Bridge Group ID> interface <Name of Slave Interface>
●ブリッジンググループへのフェールオープンインターフェイス追加
add bridging group <Bridge Group ID> fail-open-interfaces <Name of Slave Interface>
●ブリッジンググループの設定
set interface <Name of Bridge Interface>
comments "Text"
ipv4-address <IPv4 Address>
subnet-mask <Mask>
mask-length <Mask Length>
ipv6-address <IPv6 Address> mask-length <Mask Length>
ipv6-autoconfig {on | off}
mac-addr <MAC Address>
mtu <68-16000 | 1280-16000>
rx-ringsize <0-4096>
tx-ringsize <0-4096>
●ブリッジンググループからのスレーブインターフェース削除
delete bridging group <Bridge Group ID> interface <Name of Slave Interface>
●ブリッジンググループからのフェールオープンインターフェイス削除
delete bridging group <Bridge Group ID> fail-open-interfaces <Name of Slave Interface>
●ブリッジンググループの削除
delete bridging group <Bridge Group ID>
●ブリッジンググループの確認コマンド
show bridging group <Bridge Group ID>
show bridging groups
Loopback インターフェース
- IPv4 または IPv6 アドレスを lo(ローカル)インターフェースに割り当てることにより、仮想ループバックインターフェースを定義できます
- これは、テスト目的で、または番号なしインターフェイスのプロキシインターフェイスとして役立ちます
■Gaia ポータルでの Loopback インターフェース設定
- ナビゲーションツリーで Network Management > Network Interfaces をクリック
- ブリッジインターフェイスに追加する予定のインターフェイスに IP アドレスが割り当てられていないことを確認してください
- Add > Loopback をクリック
- Add loopback 画面次の設定を行います
- ループバックインターフェイスのステータスを UP に設定するために [Enable] オプションを選択(デフォルトでON)
- [Comment] フィールドに、任意でコメントテキスト(最大100文字)を入力
- [IPv4] タブで、IPv4 アドレスとサブネットマスクを入力
- 次の IPv4 アドレスは設定不可です
- 0.x.x.x
- 127.x.x.x
- 224.x.x.x – 239.x.x.x (Class D)
- 240.x.x.x – 255.x.x.x (Class E)
- 255.255.255.255
- 次の IPv4 アドレスは設定不可です
- OK をクリック
■CLI (Clish) での Loopback インターフェース設定
●Loopback インターフェースの新規追加
add interface lo loopback <IPv4 Address>/<Mask Length>
●Loopback インターフェースの IP アドレス設定
set interface <Name of Loopback Interface> {ipv4-address <options> | ipv6-address <options>}
●Loopback インターフェースの削除
delete interface lo loopback <Name of Loopback Interface>
Gaia Management Interface
Gaia オペレーティングシステムに接続するためのメインインターフェイスです。
■ Gaia ポータルで Management インターフェースを変更する
- ナビゲーションツリーで Network Management > Network Interfaces をクリック
- Management Interface セクションで Set Management Interface をクリック
- このボタンの上に、現在の管理インターフェイスの名前が表示されます
- Management Interface フィールドで、管理インターフェースとするインターフェースを選択します
- OK をクリック
■ CLI (Clish) で Management インターフェースを変更する
set management interface <Name of Interface>
●Management インターフェースを確認するコマンド
show management interface
参考資料
―――――――――――――