レード
ステップ 3 のように非 SYN TCP を許可している場合、 set session tcp-reject-non-syn yes を実行して元に戻すことができます。
6. これでマスター キーが同期します。ログをチェックし、マスター キーに関連する「 critical 」 のシステム ログがないことを確認します。
6. [
設定の同期化の有効化
]チェック ボックスをオンにして設定の同期を有効にし、設定をコ ミットします。
HA
マスター キーの更新
(キーが同期していない、または期限が切れている
)1.
マスター キーが同期していない、または期限が切れている場合、システム ログに「
critical」 のエラーが表示されます。これが発生した場合は、
HAペアの両方のデバイスで
HA設定の 同期をただちに無効にする必要があります。両方のデバイスで
[Device] > [高可用性
]に移動 し、
[全般
]タブで
[設定の同期化の有効化
]チェック ボックスをオフにします。両方のデバイ スの設定をコミットします。
2. HA
ペアの両方のデバイスに保留されている設定更新がないことを確認します。保留されてい る変更がある場合は、両方のデバイスで設定をコミットし、すべての設定更新が完了するまで 待機します。
コミットの状態は、各デバイスの
Webインターフェイスの右下にある
[タスク
]リンクをク リックすると表示できます。実行中のジョブをすべて表示するには、
CLIから
show jobs allを実行します。保留中のジョブを表示するには、show jobs pending を実行します。
保留中の更新がないことを確認するには、設定モードから
check pending-changesを実 行すると、 「
No」が表示されます。
3. 16
文字を使用してデバイス
Aのマスター キーを更新し、設定をコミットします。
4.
同じマスター キーを使用してデバイス
Bのマスター キーを更新し、設定をコミットします。
5.
両方のデバイスで設定の同期を有効にし、設定をコミットします。
6.
これでマスター キーが同期します。ログをチェックし、マスター キーに関連する「
critical」 のシステム ログがないことを確認します。
7. [
設定の同期化の有効化
]チェック ボックスをオンにして設定の同期を有効にし、設定をコ
ミットします。問題が解決しない場合は、テクニカル サポート部門にお問い合わせください。
高可用性
96 •
デバイス管理
Palo Alto Networks高可用性
PAN-OS
では、アクティブ
/パッシブおよびアクティブ
/アクティブの高可用性
(HA)をサポー
トします。
アクティブ / パッシブの HA
アクティブ
/パッシブ コンフィグでは、
2つのデバイスで
HAグループを形成して冗長な構成に しています。
2つのファイアウォールは相互にコンフィグをミラーリングします。何かの理由でア クティブ ファイアウォールで障害が発生すると、パッシブ ファイアウォールが自動的にアクティ ブになり、サービスは中断されることなく提供されます。選択した
Ethernetリンクに障害が発生 した場合や、指定した
1つ以上の宛先にアクティブ ファイアウォールが到達できない場合にも、
フェイルオーバーが発生することがあります。トラフィック処理の観点からすると、任意の時点に おいて
1つのデバイスがパケットを受信します。
以下のルールは
HAの動作とフェイルオーバーに適用されます。
•
アクティブ ファイアウォールは、
HAインターフェイスを介して設定情報とセッション情報 をパッシブ ファイアウォールと継続的に同期します。
•
アクティブ ファイアウォールで障害が発生すると、パッシブ ファイアウォールがハートビー トの喪失を検出して自動的にアクティベーションされます。
• 1
つの
HAインターフェイスに障害が発生しても、残りのインターフェイスで同期が続行され ます。状態同期用の接続
(HA2リンク
)が失われると、状態が同期されなくなります。設定同 期用の接続
(HA1リンク
)が失われると、設定が同期されなくなり、さらに
HAデバイス間の ハートビートも喪失します。このとき両方のデバイスでもう一方のデバイスがダウンしている と判断され、両デバイスともアクティブになります。
• HA
デバイスの管理ポート
(MGT)を設定して、ハートビートおよび
helloメッセージのバッ クアップ パスを提供します。管理ポート上に
HA1または
HA1バックアップを設定する場合 は、ハートビート バックアップ オプションを有効にする必要はありません。
注：
HAペアでは、両方のファイアウォールで同じモデルとライセンスを使用する
必要があります。状態同期化が有効になっている場合、スイッチオーバーの後も既
存のセッションは維持されますが、脅威防御機能は継続されません。脅威対策は新
しいセッションに適用されます。
Palo Alto Networks
デバイス管理
• 97高可用性
アクティブ / アクティブの HA
アクティブ
/アクティブの高可用性により、
HAペアの両方のデバイスはトラフィックを同時に送 ることができます。この高可用性は主に、
App-IDおよび
Content-IDのサポートが必要とされる 非対称のルーティング環境で導入されます。
App-IDおよび
Content-IDのレイヤー
7検査は、 セッ ション毎に
1つのデバイス
(セッション オーナーと呼ばれます
)で実行されます。
PAN-OSでは
(HA3
リンクを介して
)パケット転送を使用し、必要であれば指定されたセッション オーナーにパ
ケットを送信して処理されるようにします。
アクティブ
/アクティブのデバイスは、レイヤー
3またはバーチャル ワイヤー インターフェイス を使用して導入できます。レイヤー
3導入では、スキャンされたパケットをセッション オーナー が処理後に直接転送できます。バーチャル ワイヤー導入では、スキャンされたパケットを受信ファ イアウォールに戻して転送パスを維持する必要があります。最初にセッション オーナーがパケッ トを受信する場合、
HA3リンクは使用されません。
App-IDおよび
Content-IDが不要なセッショ ンは、
(セッション オーナーではなくても
)受信デバイスによって直接転送され、パフォーマンス が最大化されます。
柔軟性を保つため、さまざまな方法でレイヤー
3インターフェイスを設定できます。仮想アドレス
(フローティング
IPアドレスまたは
ARPロード シェアリング
IPアドレス
)に加え、スタティッ ク インターフェイス
IPアドレスを使用してレイヤー
3インターフェイスを設定することが理に かなっている場合が多くあります。
•
スタティック インターフェイス
IP —ファイアウォールが隣接するデバイスと動的ルーティ ング プロトコルに加わるときは常に、レイヤー
3インターフェイスにスタティック
IPアドレ スが割り当てられている必要があります。見込まれる
1つのアクティブ
/アクティブ導入オプ ションは、動的ルーティング プロトコル コスト メトリックを使用して、
HAペアを介した対 称パスを強制します。この場合、すべてのトラフィックは対称となり、アクティブ
/アクティ ブ ペアの効率が最大化されます。
•
フローティング
IP —このモードは、
HAペア メンバーの状態に関係なく
IPアドレスを使用 可能にする必要がある場合など、
VRRP (Virtual Router Redundancy Protocol)のような機能 が必要な場合に使用します。各ファイアウォールが
1つを所有できるように特定のインター フェイスに
2つのフローティング
IPアドレスを設定するのが典型的です。 オーナーシップは、
優先度の高いデバイス
IDに割り当てられます。どちらかのファイアウォールが失敗すると、
フローティング
IPアドレスが
HAピアに移行されます。
• ARP
ロード シェアリング
—このモードは、
ARP (Address Resolution Protocol)を使用して
2つのファイアウォール間でホスト トラフィックの負荷を分散するときに使用します。
これらのオプションの詳細は、この項の以降の説明を参照してください。
高可用性
98 •
デバイス管理
Palo Alto Networksパケット フロー
アクティブ
/アクティブ コンフィグでのパケット フローは以下のとおりです。
•
セッション オーナーは、
App-IDおよび
Content-IDのすべてのパケット処理の責任を担いま す。セッション オーナーは、
(1)セッションのパケットを受信する最初のデバイス、または
(2)プライマリ デバイスとなるように設定できます。設定オプションを「プライマリ デバイス」
に設定すると、すべてのセッションはプライマリ デバイスでセットアップされます。
•
すべての新しいセッションでは、
1つのデバイスがセッション セットアップ デバイスとして 選択されます。これが必要なのは、非対称のルーティング環境で発生する可能性がある競合状 態を回避するためです。セッション セットアップ デバイスは、以下のいずれかの方法によっ て決定されます。
– IP
モジュロ
—ソース
IPアドレスでの単純な剰余演算を使用して、セッションをセット アップするデバイスを決定します。
IPモジュロでは、
IPアドレスのパリティに従い、特定 の
HAデバイスに対してセッションをセットアップする責任を配分します。
–
プライマリ デバイス
—セッション セットアップはいつでもプライマリ デバイスで行わ れます。
–
ハッシュ
—ハッシュ化を使用して、セットアップ デバイスの選択プロセスでのランダム 性を高めます。
•
新しいセッションが開始すると、受信ファイアウォールは、セッションをセットアップする か、または
HAピアに転送します。アクションは、上記の説明にあるように、セッション セッ トアップの設定によって決まります。この期間中、セッション オーナー
(App-IDおよび
Content-ID
の状態を保持する責任を担うデバイス
)はその設定に従って決定されます。
•
パケットがセッション オーナーに到達すると、そのパケットは脅威がないかどうかスキャン され
(セキュリティ ポリシーで設定されている場合
)、デバイスのネットワーク設定に従って 転送されます。パケットが
HAピアに到達すると、セッション テーブルのルックアップによ り、セッションが他のデバイスによって所有されており、
HA3全体にわたってセッション オーナーにパケットを転送可能であることが識別されます。セッションでレイヤー
7検査が不 要な場合、受信デバイスでは、セッションを既存のセッション テーブルのエントリと照合し、
その最終宛先に向けてパケットを転送できます。
注：アクティブ
/アクティブの
HAペアを介して渡されるログは、セッション
オーナーとして指定されるデバイスに表示されます。
ドキュメント内
Palo Alto Networks Administrator's Guide
(ページ 95-99)