【Check Point R81】構築に関する小ネタまとめ

ファイアウォール(UTM)
スポンサーリンク

管理セッションのアイドルタイムアウト時間の設定

Gaia Portal のタイムアウト時間の設定

Clish で以下コマンドで設定可能。

  • set web session-timeout <1-720>
    • タイムアウト時間を分単位で指定
    • デフォルトは 10 分 (コマンドヘルプには 15 と記載だが実際の設定値は 10)
set web session-timeout 720

CLI のタイムアウト時間の設定

Clish で以下コマンドで設定可能。

  • set inactivity-timeout <1-720>
    • タイムアウト時間を分単位で指定
    • デフォルトは 10 分
set inactivity-timeout 720


各タイムアウト時間を Gaia Portal で設定する場合は、[System Management > Session] 画面で設定できます。

Telnet アクセスを許可する設定

デフォルトでは Telnet アクセスは拒否となっている。

Clish で以下コマンドで設定可能。

  • set net-access telnet <on | off>
set net-access telnet on

Gaia Portal で設定する場合は、[System Management > Network Access] 画面で設定できます。

CLI でのログをすべてまとめて出力する

CLI でコマンドを実行したときに -- More -- を表示しないですべてまとめて出力させる設定。

Clish で以下コマンドで設定可能。

  • set clienv rows 0
set clienv rows 0

※このコマンドを実行したセッションでのみ有効

アップデートパッチの適用について

余計なパッチは適用してはならない(戒め)

Gaia ポータルの CPUSE 画面でアップデートのチェックを行うと、利用可能なアップデートパッチがいくつか表示されますが、対象案件の設計で明示的に適用することになっているパッチのみを適用するようにしてください。

余計なパッチを適用すると後々困ることになります。

というのも、機器 A でGaia のシステムバックアップを取得して、別の機器 B に対してリストアをしようとしたときに、機器 A と機器 B のパッチ適用状況が全く同じでないとリストア実行時にエラーとなりリストアできないからです。

構築から数年後、機器リプレイスを行うときに、検証環境で本番環境機器のバックアップからリストアをして設定を再現する場合があるかと思いますが、そのときにリストアができずに問題になる(切り分け等のために余計な工数がかかることになる)可能性が高いです。

また、CPUSE で取得できるパッチは最新バージョンのパッチのみのため、中間バージョンのパッチは機器ベンダへ依頼して取り寄せるしかありません。このためパッチ適用状況を合わせようとしても手間がかかり、場合によっては不可能な場合もあるかもしれません。

SmartConsole のパッチは適用したら元に戻せないため注意

Gaia の Jumbo Hotfix Accumulator などは、インストール後にアンインストールすることで、パッチ適用前の状態に戻すことができます。

しかし、SmartConsole のパッチについては、そうはいきません。

SmartConsole のパッチは Gaia ポータルでダウンロードできるインストーラに該当します。

Gaia デフォルトでは初期バージョンの SmartConsole のインストーラが組み込まれていますが、SmartConsole のパッチを適用すると、そのインストーラがインストールしたパッチのバージョンのインストーラに置き換わります。

パッチ適用後、そのパッチをアンインストールした場合、Gaia 上には SmartConsole のインストーラが存在しない状態(Gaia ポータルでインストーラをダウンロードできない状態)になってしまいます。

元の状態に戻すには Factory Defaults > revert to Gaia RXX で工場出荷状態に初期化するしかありません。

このため、SmartConsole のパッチは対象案件の設計で明示的に適用することになっている場合のみ適用するようにしてください。

なお、SmartConsole のパッチについても、前項目で記載しているシステムリストア時のパッチ適用状況チェックの対象になります。

GUI と CLI の Gaia コンフィグの食い違い

GUI と CLI でコンフィグの表示が違う場合があります。

以下のような事象に遭遇したことがあります。

  • SNMP > V1 / V2 Settings
    • GUI では設定値が入っているのに、CLI のコンフィグでは表示されない
      • バックアップからリストアした際に発生
  • Upgrades (CPUSE) > Software Updates Policy > Check for updates period
    • GUI では 6 hours 表示だが、CLI コンフィグでは 3 hours
      • 設定値がデフォルトの 3 hours の場合のみ、GUI では 6 hours と表示される模様
    • CLI の show installer policy の表示結果と show configuration の表示で食い違い
      • show installer policy では 6 hours と表示、show configuration では 3 hours と表示

勝手に入るコンフィグ、消せないコンフィグ

CLI の show configuration の表示に、勝手にコンフィグが入る場合があります。また一度入ると削除できない(表示を消せない)コンフィグがあります。

  • スナップショットスケジュールのコンフィグが勝手に入り、その後削除できない
    • 初期状態では scheduled-snapshot is not configured. と表示
    • 勝手に set snapshot-scheduled の設定が入る場合があり、その後コンフィグから表示を消せない
  • インターフェースの State を一度 ON にすると、CLI コンフィグ表示に Autonegotiation と MTU の設定表示が入り、その後削除できない
  • 他の機器に SSH 接続した場合、リモートホストの SSH 公開鍵情報がコンフィグに表示される
    • add ssh hba ipv4-address~ という設定
    • delete ssh hba known-hostname で削除可能

CPUSE の設定項目は Deployment Agent に依存

CPUSE の設定項目(GUI だと Upgrades (CPUSE) の設定項目、CLI だと set installer)は、Deployment Agent のバージョンに依存しています。Gaia のバージョンには依存していないようです。

つまり Deployment Agent のバージョンアップを行うと関連する設定項目の表示が変わる場合があります。

GAiA なのか Gaia なのかはっきりしない

Check Point 公式でも GAiA と Gaia の両方の表記を使っているため、どちらを使うのが適切なのかがわからない。

SmartConsole はポータブル版もある

SmartConsole は Windows にインストールして使用するほか、ダウンロードしてローカルに解凍するだけで使えるポータブル版もあります。

異なるビルド番号の SmartConsole を使いたい場合などにポータブル版を利用できます。

Portable SmartConsole for R80.x and R81.x


タイトルとURLをコピーしました