【Check Point R80.40】インターフェース設定の基礎知識

インターフェース設定

Gaia がサポートしているインターフェースタイプは以下の通り。

物理インターフェース

• Gaia 動作中は、物理インターフェースカードを [追加/変更/削除] することはできません
• Gaia は物理インターフェース（NIC）を自動的に識別します

■インターフェースカードの追加/取り外し手順

■Gaia ポータルでのインターフェース設定

■CLI (Clish) でのインターフェース設定

set interface <Name of Physical Interface>
      auto-negotiation {on | off}
      comments "Text"
      ipv4-address <IPv4 Address> {subnet-mask <Mask> | mask-length <Mask Length>}
      ipv6-address <IPv6 Address> mask-length <Mask Length>
      ipv6-autoconfig {on | off}
      link-speed {10M/half | 10M/full | 100M/half | 100M/full | 1000M/full | 10000M/full}
      mac-addr <MAC Address>
      monitor-mode {on | off}
      mtu <68-16000 | 1280-16000>
      rx-ringsize <0-4096>
      state {on | off}
      tx-ringsize <0-4096>

VLAN インターフェース

■Gaia ポータルでの Vlan インターフェース設定

■CLI (Clish) での VLAN インターフェース設定

●VLAN インターフェースの追加

add interface <Name of Physical Interface> vlan <VLAN ID>

●VLAN インターフェースの設定

set interface <Name of Physical Interface>.<VLAN ID>
      comments "Text"
      ipv4-address <IPv4 Address>
      subnet-mask <Mask>
      mask-length <Mask Length>
      ipv6-address <IPv6 Address> mask-length <Mask Length>
      ipv6-autoconfig {on | off}
      mtu <68-16000 | 1280-16000>
      state {on | off}

●VLAN インターフェースの削除

delete interface <Name of Physical Interface> vlan <VLAN ID>

Access Mode VLAN

• スイッチポートをアクセスモードで設定する場合は、2 つの VLAN インターフェースをスレーブとして使用してブリッジインターフェースを作成します
• VLAN translation の場合は、異なる番号の VLAN インターフェースを使用してブリッジインターフェースを作成します
• 同じ Security Gateway 上に複数の VLAN translation ブリッジを構築できます

Trunk Mode VLAN

• スイッチポートを VLAN トランクとして設定する場合、Check Point Bridge インターフェースが VLAN に干渉しないようにする必要があります
• VLAN トランクを使用してブリッジインターフェースを設定するには、スレーブとして 2 つの物理（非VLAN）インターフェースを使用してブリッジインターフェースを作成します
• Security Gateway はタグ付きパケットを処理し、VLAN タグをパケットから削除しません
• トラフィックは、元の VLAN タグとともに宛先に渡されます

Bond (Link Aggregation)

• Check Point セキュリティデバイスは、複数の物理インターフェースを 1 つの仮想インターフェース（ボンドインターフェースと呼ばれる）に結合するテクノロジであるリンクアグリゲーションをサポートしています
• Check Point デバイスは、動的リンクアグリゲーション用の IEEE 802.3ad リンクアグリゲーション制御プロトコル（LCAP）をサポートしています
• ボンドインターフェース（ボンディンググループまたはボンドとも呼ばれます）は、そのボンド ID（例：bond1）によって識別され、IP アドレスが割り当てられます
• ボンドに含まれる物理インターフェースはスレーブと呼ばれ、IP アドレスを持っていません
• ボンドインターフェースのモードには以下の 2 つがあります
  • High Availability (Active/Backup)
  • Load Sharing (Active/Active)

Load Sharing ではさらに以下の 3 つのモードが選択できます。

■Gaia ポータルでのボンドインターフェース設定

■CLI (Clish) での VLAN インターフェース設定

Gaia Clish では、ボンドインターフェースはボンディンググループと呼ばれます。

●設定手順

●ボンディンググループの新規追加

add bonding group <Bond Group ID>

●ボンディンググループへのスレーブインターフェースの追加

add bonding group <Bond Group ID> interface <Name of Slave Interface>

●ボンディンググループのオペレーションモード設定

set bonding group <Bond Group ID> mode
      active-backup [primary <Name of Slave Interface>]
      round-robin
      8023AD [lacp-rate {slow | fast}]
      xor xmit-hash-policy {layer2 | layer3+4}

• Active-Backup モードでは、任意でプライマリスレーブインターフェース(primary)の設定が可能
• 8023AD モードでは、任意で LACP パケット伝送速度(lacp-rate)の設定が可能
• XOR モードでは、送信ハッシュポリシー(xmit-hash-policy)を設定する必要があります

●ボンディンググループのディレイタイム設定

set bonding group <Bond Group ID>
      up-delay <0-5000>
      down-delay <0-5000>

●ボンディンググループのモニタリングタイプ設定

set bonding group <Bond Group ID> monitoring-type
      arp arp-target-ip <IPv4 Address>
      mii mii-interval <0-5000>

●ボンディンググループからのスレーブインターフェースの削除

delete bonding group <Bond Group ID> [interface <Interface Name> | force-ignore-routes]

●ボンディンググループの削除

delete bonding group <Bond Group ID>

●ボンディンググループ設定の表示

show bonding {group <Bond Group ID> | groups}

●ボンディンググループ機能の確認

エキスパートモードで以下コマンドを実行。

cat /proc/net/bonding/<Bond Group ID>

Bridge インターフェース

• ブリッジインターフェイスは、2 つの異なるインターフェイス（ブリッジポート）を L2 で接続します
• 2 つのインターフェイスをブリッジすると、一方のブリッジポートで受信されたすべてのイーサネットフレームがもう一方のポートに送信されます
  • したがって、2 つのブリッジポートは同じブロードキャストドメインに参加します（ルーターポートの動作とは異なります）
• セキュリティポリシーは、ブリッジを通過するすべてのイーサネットフレームを検査します

• 1 つの Security Gateway またはクラスタを使用してブリッジモードを設定できます
• ブリッジは、IP アドレスが割り当てられていなくても機能します
• ブリッジイーサネットインターフェイス（アグリゲートインターフェイスを含む）は、物理ブリッジのポートのように機能します
• SmartConsole でブリッジポートのトポロジを設定できます
• 個別のネットワークまたはグループオブジェクトは、各ポートに接続するネットワークまたはサブネットを表します

• ブリッジインターフェイスは、レイヤ 2 アドレッシングでトラフィックを送信します
• 同じデバイス上で、一部のインターフェイスをブリッジインターフェイスとして設定し、他のインターフェイスをレイヤ 3 インターフェイスとして機能させることができます
• ブリッジインターフェイス間のトラフィックはレイヤ 2 で検査されます
• 2 つのレイヤ 3 インターフェイス間、またはブリッジインターフェイスとレイヤ 3 インターフェイス間のトラフィックはレイヤ 3 で検査されます

■Gaia ポータルでのブリッジインターフェース設定

■CLI (Clish) でのブリッジインターフェース設定

Gaia Clishでは、ブリッジインターフェースはブリッジンググループと呼ばれます。

●設定手順

●ブリッジンググループの新規追加

add bridging group <Bridge Group ID>

●ブリッジンググループへのスレーブインターフェース追加

add bridging group <Bridge Group ID> interface <Name of Slave Interface>

●ブリッジンググループへのフェールオープンインターフェイス追加

add bridging group <Bridge Group ID> fail-open-interfaces <Name of Slave Interface>

●ブリッジンググループの設定

set interface <Name of Bridge Interface>
      comments "Text"
      ipv4-address <IPv4 Address>
            subnet-mask <Mask>
            mask-length <Mask Length>
      ipv6-address <IPv6 Address> mask-length <Mask Length>
      ipv6-autoconfig {on | off}
      mac-addr <MAC Address>
      mtu <68-16000 | 1280-16000>
      rx-ringsize <0-4096>
      tx-ringsize <0-4096>

●ブリッジンググループからのスレーブインターフェース削除

delete bridging group <Bridge Group ID> interface <Name of Slave Interface>

●ブリッジンググループからのフェールオープンインターフェイス削除

delete bridging group <Bridge Group ID> fail-open-interfaces <Name of Slave Interface>

●ブリッジンググループの削除

delete bridging group <Bridge Group ID>

●ブリッジンググループの確認コマンド

show bridging group <Bridge Group ID>
show bridging groups

Loopback インターフェース

• IPv4 または IPv6 アドレスを lo（ローカル）インターフェースに割り当てることにより、仮想ループバックインターフェースを定義できます
• これは、テスト目的で、または番号なしインターフェイスのプロキシインターフェイスとして役立ちます

■Gaia ポータルでの Loopback インターフェース設定

■CLI (Clish) での Loopback インターフェース設定

●Loopback インターフェースの新規追加

add interface lo loopback <IPv4 Address>/<Mask Length>

●Loopback インターフェースの IP アドレス設定

set interface <Name of Loopback Interface> {ipv4-address <options> | ipv6-address <options>}

●Loopback インターフェースの削除

delete interface lo loopback <Name of Loopback Interface>

Gaia Management Interface

Gaia オペレーティングシステムに接続するためのメインインターフェイスです。

■ Gaia ポータルで Management インターフェースを変更する

■ CLI (Clish) で Management インターフェースを変更する

set management interface <Name of Interface>

●Management インターフェースを確認するコマンド

show management interface

参考資料

• 【PDF】GAIA R80.40 Administration Guide
• Installation and Upgrade Guide R80.40

―――――――――――――

Check Point アプライアンス設定用情報まとめ

基礎知識【LT 風】Check Point アプライアンス構築ロードマップ※以下は公式マニュアル等の内容のまとめ【Check Point R80.40】構築用メモ【基礎知識】【Check Point R...

nwengblog.com

2021.05.10