ScreenOS 6.0 のご案内 平成 21 年 3 月 ノックス株式会社 ノックス株式会社ネットワーク事業部 Copyright (C) 2009 NOX Co., Ltd. All Rights Reserved.

Transcription

1 ScreenOS 6.0 のご案内 平成 21 年 3 月 ノックス株式会社

2 Agenda UTM VPN UAC Vsys Management Performance Trouble Shooting その他 2

3 OS6.0 対応プラットフォーム サポート対象 SSG 5 SSG 140 SSG 520 / SSG 550 SSG 520M / SSG 550M ISG 1000 / ISG 2000 ISG 1000 / ISG IDP NS MGT2 / SPM2 サポート対象外 * NS 5XT / NS 5GT NS 25 / NS 50 NS 204 / NS 208 NS 500 NS MGT1 / SPM1 NS MGT2 / SPM1 * 旧筐体ではメモリ CPU キャパシティ上の問題から OS6.0 をサポートしていません 3

4 UTM(AV 機能 ) の拡張

5 Instant Messenger 対応 Instant messenger (IM) のスキャンが可能になりました スキャン可能な IM : AIM ICQ Yahoo! Messenger MSN Messenger Text/group chat message transfer/file sharing 5

6 HTTP Trickling の拡張 指定した時間ごとに Trickling を行うことが可能になりました 回線の細い環境においてクライアントのブラウザタイムアウトを防ぎます 6

7 VPN の拡張

8 Auto Connect-VPN 従来の大規模 VPN トポロジー 大きく分けると Mesh 型と Hub and Spoke 型の 2 つがありました Mesh Hub & Spoke < デメリット > 拠点の負荷トンネル数の上限設定の複雑化 < デメリット > Hub の負荷 経路による遅延 8

9 Auto Connect-VPN NHC NHC1 NHC2 NHS NHC3 NHC4 NHS に向けて VPN をはる NHS から他拠点の情報をもらう 必要な部分だけ NHC 間で VPN をはる NHC5 9

10 Auto Connect-VPN Auto Connect VPN のメリット Mesh Hub and Spoke 双方のトポロジの利点を持ちます Hub で処理するのは自身の通信のみであるため Hub の負荷による遅延は発生しません 拠点同士が通信を行うため 経路による遅延は発生せず センター 拠点共に負荷が軽減されます 必要な拠点だけ VPN を張るため トンネル数の無駄な消費を防ぎます 拠点同士が自動的に接続を行うため 設定が容易になります 10

11 Tunnel Interface の Screening 対応 Tunnel Interface 上にも Screening 設定が可能になったため VPN を経由した通信に対しても Screening を有効にすることが可能になりました 11

12 UAC の拡張

13 UAC (Unified Access Control) とは Juniper Networks が提供する統合アクセスコントロール 3 通信が可能になる Oddysey Access Client (OAC) Infranet Enforcer (IE) 1 認証及び PC のエンドポイントチェックを行う 2 ユーザー情報を伝え Policy を有効にする Infranet Controller (IC) 認証サーバ 13

14 UAC の拡張 Netscreen 側でも Infranet Auth Table の確認が可能になりました 14

15 UAC の拡張 Netscreen の UTM 機能との連携が可能になりました UAC2.1 より Infranet Controller でのルールがより詳細に設定可能になりました 割り当てられたユーザー Role ごとに UTM 機能の ON/OFF が可能になりました 15

16 Vsys の拡張

17 VSYS の拡張 ISG シリーズの最大 VSYS 作成数が増加しました ISG 1000 ISG Vsys 50 Vsys 50 Vsys 250 Vsys Vsys Name の設定可能上限値が増加しました 従来の 10 文字から 20 文字まで使用可能になりました 17

18 VSYSの拡張 Layer2 Vsys TransparentモードでのVsysに対応しました ISG 1000 ISG 2000 ISG-IDP NS 5000において設定可能です 管理用セグメント A 社ネットワークセグメント B 社ネットワークセグメント C 社ネットワークセグメント Root Vsys A 社 Vsys B 社 Vsys C 社 Vsys 18

19 VLAN Retagging VLAN のタグの付け替えが可能になりました E2.3 E2.2 E2.1 VLAN60 VLAN50 VLAN40 L2-VSYS-C E1.3 VLAN30 L2-VSYS-B E1.2 VLAN20 L2-VSYS-A E1.1 VLAN10 L2SW 19

20 Management の拡張

21 WebUI のレイアウト変更 WebUI のレイアウト変更が行われ Information が見やすくなりました 21

22 NTP Server 機能 SNTPv4 を使用し NetScreen 自身が NTP サーバとして動作することができるようになりました <CLI> set interface interface_name ntp-server * 本機能は NSRP 構成や VSYS 構成に対応しておりますが Transparent モードではサポートされません NTP Server SNTPv4 22

23 Authentication 認証機能の拡張 認証されたユーザーの IP アドレスをイベントログに表示 TACACS+ サポート ローカルデータベースと外部認証サーバーの優先度が設定可能 Radius 連携の拡張 Framed-pool サポート Called-Station-ID Attribute サポート Calling-Station-ID Attribute サポート 23

24 Performance の向上

25 パフォーマンスの拡張 TCP-SYN-Check Packet Flow TCP-SYN-Check 設定時に SYN パケットのみが CPU 処理となり SYN-ACK および ACK は PPU (ASIC) による処理になりました Syn-check を使用時においても CPU の負荷軽減 パフォーマンス向上が見込まれます Session Age-Out 処理の変更 セッションの Age-Out の処理を CPU を介さずに ASIC メモリ間で DMA( ダイレクトメモリアクセス ) が可能になりました これにより CPU 負荷軽減が見込まれます その他 ISG 1000/2000 ISG-IDP NS 5000 において NSRP メッセージを最適化します これによりパフォーマンス向上が見込まれます 25

26 ALG 機能の変更 ISG 1000/2000 NS 5000 においていくつかの ALG のデフォルトが OFF になりました バージョンアップ時においても設定項目は引き継がれるため問題ありません 26

27 Screening 機能の拡張 Black List を記述することにより CPU に負荷をかけず ASIC 処理により DoS 攻撃を Drop することが可能になりました ISG 1000/2000 ISG-IDP NS 5000 において設定可能です 27

28 Trouble Shooting 機能の拡張

29 Universal Serial Bus Support SSG デバイスにおいて コンフィグ バージョンアップのためのファイルイメージを USB デバイスと Flash 間にて転送が可能になりました 例 ) save config from flash to usb <string> save soft from usb <string> to flash コアダンプ メモリーダンプ Log を USB に出力可能になりました SSG 5 では USB メモリ SSG 140/300M/500M では USB およびコンパクトフラッシュがサポートされています 例 ) set log usb enable set core-dump usb full large <string> <number> <number> :flash file size (unit Mega) 1GB までサポート 29

30 Automated Data Gathering get コマンドで構成したスクリプトをバックグラウンドで実行することにより 定期的にログ情報を採取することが可能になりました * ログ情報の採取に際しては CPU 使用率に影響が生じます SSG320-> set script record SSG320(sgc: recording)-> get tech SSG320(sgc: recording)-> get event SSG320(sgc: recording)-> exit record SSG320-> SSG320-> SSG320-> exec script start count <number> count (range: ) SSG320-> exec script start frequency <number> frequency (range: ) SSG320-> exec script start SSG320-> exec script stop SSG320-> get script output 30

31 その他の機能拡張

32 Bridge Group の拡張 SSG 140 にてオンボードのインターフェースを Bridge Group でまとめることが可能になりました SSG 全機種で upim モジュール内における Bridge Group に対応しました *SSG320/350/520/550 はオンボードでの Bridge Group には対応していません Bridge Group 32

33 その他の機能拡張 DIP Pool Enhancement 従来の 252 から最大 1,020 の DIP pool を設定することが可能になりました DHCP Relay Flow Transparent Mode にて 特定 Zone からの DHCP Relay のリクエストを止めることが可能になりました Management IP 増加 Manager-ip(permitted-ip) の設定上限数が 6 から 50 に増加しました 33

34 その他の機能拡張 NS 5400 のセッション数増加 NS 5400 の最大同時セッション数が 2,000,000 に増加しました NSRP 構成における IDP モジュールのモニタリング NSRP 構成の ISG 1000/2000 において IDP モジュールの障害にウエイトを設定することが可能になりました set nsrp monitor sm <x> weight <num> コマンドによりウエイトの設定が可能となっております ( 初期設定値 :255) 34

35 Thank You!