Document

Transcription

1 SRX ライセンス導入手順 株式会社日立ソリューションズネットワークビジネス部セキュリティグループ リビジョン 5.1 初版 2010/05/30 最新版 2014/04/01 Hitachi Solutions, Ltd All rights reserved.

2 Contents 1. ライセンスキーの種別 P.2 2. ライセンスキーの手動インポート ( ライセンスキー必須 ) P.3 3. ライセンスキーの自動インポート ( インターネット接続必須 ) P.5 4. IDPシグネチャの導入 ( インターネット接続必須 ) P AVパターンファイルの更新 ( インターネット接続必須 ) P.14 重要 Junos 11.4 以前の OS をご使用の場合 ライセンスキーをインポートする前に SRX(Junos) にインストールされているソフトウェアライセンス用の証明書をインストールする必要がございます 詳細は弊社サポートサイトをご確認頂けますようお願い致します ログインするにはユーザ ID/ パスワードが必要です < 弊社サポートサイトURL> -Juniper 製品サポートトップ > SRX > 重要なお知らせ > SRXシリーズ証明書インストールのお願い Hitachi Solutions, Ltd All rights reserved. 1

3 1-1 ライセンスキーの種別 機能ライセンス等のライセンスキーには大別して 3 種類あります 利用期間や導入方法等に違いがありますので 注意してください サブスクリプションライセンス ( トライアル版 ) 利用期間 : 取得日から 30 日間導入 : 手動インストール / 自動インストールの両方に対応しております 更新 : 正規ライセンスへの手動更新が可能です その他 : トライアルライセンスの延長処理はできません あくまでも 導入前検証等に利用してください サブスクリプションライセンス ( 正規版 ) 利用期間 : 納入日から 1 年間単位導入 : 手動インストール / 自動インストールの両方に対応しております 更新 : デフォルトで失効日の 60 日前から毎日ライセンスの自動更新を試みます その他 : 自動更新の確認はライセンス有効期間が Expire するまで続きます また トライアルライセンスから手動で更新する事が可能です パーマネントライセンス 利用期間 : 納入日から永続導入 : 導入方法は手動インストールに限定されます 更新 : 更新の必要はありません その他 : 一度導入すれば更新無しで永続利用可能なライセンスです 代表的なものとしては DynamicVPN ライセンス等があります Hitachi Solutions, Ltd All rights reserved. 2

4 2-1 ライセンスキーの手動インポート ( ライセンスキー必須 ) 機能ライセンス等ライセンスキーを事前に入手している場合 手動でライセンスキーをインポートすることでインターネットへの接続環境を用意することなくライセンスキーのインポートが可能です 導入手順は サブスクリプションライセンスとパーマネントライセンスで違いはありません 例 : 事前に下記ライセンスキーを入手している場合 ( テキストファイルにて提供 ) JUNOS aeaqea qmifkt imrqhf aummjt g4zqma j4a4uc zgeja3 ytzo5o xxnucg mj722n mn6ih5 wvpzdw pjzmnm wnhear bl5wli pvtckj 6q2fff i ライセンスキーは機器のシリアル番号およびライセンス型名ごとに異なります ライセンスの確認 root> show system license ( 事前に現在のライセンスインストール状況を確認します ) License usage: Licenses Licenses Licenses Expiry Feature name used installed needed dynamic-vpn permanent ax411-wlan-ap permanent Licenses installed: none オペレーションモードからライセンスキーをインポート root> request system license add terminal [Type ^D at a new line to end input, enter blank line between each license key] JUNOS aeaqea qmifkt imrqhf aummjt g4zqma j4a4uc zgeja3 ytzo5o xxnucg mj722n mn6ih5 wvpzdw pjzmnm wnhear bl5wli pvtckj 6q2fff i ([Ctrl]+[D] キーを押下し貼り付けたライセンスキーをシステムに読み込ませます ) JUNOS236909: successfully added add license complete (no errors) ( ブランチモデルのデフォルトでは 2 つ分の dynamic-vpn ライセンスと ax411-wlan-ap ライセンスが最初から導入されております これらのデフォルトで導入されているライセンスは パーマネントライセンスであり 更新の必要はありません ) ( ライセンスキーをターミナルより貼り付けるモードへ遷移します ) ( ライセンスキーに問題がない場合は no errors と出力されます ) Hitachi Solutions, Ltd All rights reserved. 3

5 2-2 ライセンスキーの手動インポート ( ライセンスキー必須 ) ライセンスの再確認 root> show system license ( ライセンスが新たに追加されていることを確認してください ) License usage: Licenses Licenses Licenses Expiry Feature name used installed needed idp-sig :00:00 JST dynamic-vpn permanent ax411-wlan-ap permanent Licenses installed: License identifier: < ライセンスID> License version: 2 Valid for device: < 装置シリアルナンバー > Features: idp-sig - IDP Signature ( ライセンス有効期間が表示されます ) date-based, :00:00 JST :00:00 JST root> show system license keys ( インポートされたライセンスキーが表示されます ) JUNOS aeaqea qmifkt imrqhf aummjt g4zqma j4a4uc zgeja3 ytzo5o xxnucg mj722n mn6ih5 wvpzdw pjzmnm wnhear bl5wli pvtckj 6q2fff i 機器の再起動 root> request system reboot 以上でライセンスキーの手動インポートは完了です ( ライセンス有効期間が Expire したものを再導入した場合や 新規にライセンスを導入した場合は 必ず再起動を行ってください ) Hitachi Solutions, Ltd All rights reserved. 4

6 3-1 ライセンスキーの自動インポート ( 事前準備編 ) サブスクリプション (UTM ライセンス等の有効期限付きライセンス ) におけるライセンスキー取得には SRX をインターネットへ直接接続するための環境が必要となります ( プロキシ経由不可 ) ライセンスの確認 root> show system license ( 現在インポートされているライセンスを確認可能です ) License usage: Licenses Licenses Licenses Expiry Feature name used installed needed dynamic-vpn permanent ax411-wlan-ap permanent Licenses installed: none コンフィグレーションモードへ移行 root> configure 既存設定の削除 ( 工場出荷時のコンフィグが設定されている場合等 root# delete 装置の再設定が必要な場合のみ実施してください ) This will delete the entire configuration Delete everything under this level? [yes,no] (no) yes インターネットへの接続設定 ( 接続環境に合わせて 以降の設定を実施してください 既にインターネットへの接続環境がある場合は 3-2. の設定を新たに投入する必要はありません ) Hitachi Solutions, Ltd All rights reserved. 5

7 3-2 Internet への接続設定例 1( 固定 IP アドレス ) Internet OpenDNS 1: OpenDNS 2: DNS Router ge-0/0/ / 24 UNTRUST SRX Global-IP / 24 ライセンスキー取得のため Internet 上にある Juniper 社のライセンスサーバへ SRX を接続する必要があります ライセンスキー取得には DNS(UDP:53) および https(tcp:443) 通信が行われます したがって これらの通信が上位 Router / FW にて許可されていることを確認してください 固定 IP アドレス, DNS サーバ, Default Gateway 設定例 root# set system time-zone Asia/Tokyo set system name-server set system name-server set interfaces ge-0/0/0 unit 0 family inet address /24 set routing-options static route /0 next-hop set security zones security-zone UNTRUST interfaces ge-0/0/0.0 SRX100 の場合 10/100 Mbps の Interface のみを実装しているため Interface 名は fe-0/0/0 となります Hitachi Solutions, Ltd All rights reserved. 6

8 3-2 Internet への接続設定例 2(DHCP クライアント ) Internet OpenDNS 1: OpenDNS 2: DNS DHCP Server ge-0/0/0.0 DHCP Client UNTRUST SRX Global-IP / 24 ライセンスキー取得のため Internet 上にある Juniper 社のライセンスサーバへ SRX を接続する必要があります ライセンスキー取得には DNS(UDP:53) および https(tcp:443) 通信が行われます したがって これらの通信が上位 Router / FW にて許可されていることを確認してください DHCP クライアント IP アドレス取得, DNS サーバ設定例 root# set system time-zone Asia/Tokyo set system name-server set system name-server set interfaces ge-0/0/0 unit 0 family inet dhcp set security zones security-zone UNTRUST interfaces ge-0/0/0.0 host-inbound-traffic system-services dhcp SRX100 の場合 10/100 Mbps の Interface のみを実装しているため Interface 名は fe-0/0/0 となります Hitachi Solutions, Ltd All rights reserved. 7

9 3-2 Internet への接続設定例 3(PPPoE クライアント ) Internet OpenDNS 1: OpenDNS 2: DNS Global-IP fe-0/0/0.0 PPPoE Client UNTRUST SRX 例 : PPPoE 設定 UserID: srx@hitachi-solutions.com Password: Juniper PPPoEクライアントIPアドレス取得, DNSサーバ設定例 root# set system time-zone Asia/Tokyo set system name-server set system name-server PPPoE 接続可能です set interfaces fe-0/0/0 unit 0 encapsulation ppp-over-ether set interfaces pp0 unit 0 ppp-options chap default-chap-secret "Juniper" PAP/CHAP 認証設定 PAP 認証または CHAP 認証のどちらを使用しているかが事前に判明している場合はいずれか片方の設定のみで set interfaces pp0 unit 0 ppp-options chap local-name "srx@hitachi-solutions.com" set interfaces pp0 unit 0 ppp-options chap passive set interfaces pp0 unit 0 ppp-options pap local-name "srx@hitachi-solutions.com" (Password はハッシュされます ) set interfaces pp0 unit 0 ppp-options pap local-password "Juniper" set interfaces pp0 unit 0 ppp-options pap passive set interfaces pp0 unit 0 pppoe-options underlying-interface fe-0/0/0.0 set interfaces pp0 unit 0 pppoe-options auto-reconnect 10 set interfaces pp0 unit 0 pppoe-options client set interfaces pp0 unit 0 family inet mtu 1454 set interfaces pp0 unit 0 family inet negotiate-address set routing-options static route /0 next-hop pp0.0 set security zones security-zone UNTRUST interfaces pp0.0 set security flow tcp-mss all-tcp mss 1414 SRX100 以外の場合 10/100/1000 Mbps の Interface を実装しているため Interface 名は ge-0/0/0 となります (Password はハッシュされます ) Hitachi Solutions, Ltd All rights reserved. 8

10 3-3 ライセンスキーの自動インポート ( 設定確認 / インストール編 ) サブスクリプション (UTM ライセンス等の有効期限付きライセンス ) におけるライセンスキー取得には SRX をインターネットへ直接接続するための環境が必要となります ( プロキシ経由不可 ) root 権限のパスワード設定 root# set system root-authentication plain-text-password (commitするために必要です ) New password: ***** <rootログインパスワード > Retype new password: ***** <rootログインパスワード ( 確認用 )> 設定の反映 root# commit オペレーションモードへ移行 root# exit Interface の IP アドレス確認, Default Gateway 確認 root> show interfaces terse no-more root> show route terse no-more ( 付与もしくは取得した IP アドレスが適切なことを確認してください ) ( /0 エントリの Next hop が Default Gateway となります ) ライセンスキーの取得 root> request system license update trial トライアル版のライセンスが必要な場合のみ trial オプションを設定してください Request to automatically update license keys from has been sent, use 'show system license' to check status. Hitachi Solutions, Ltd All rights reserved. 9

11 3-3 ライセンスキーの自動インポート ( インストール確認 / 適用編 ) ライセンスの再確認 root> show system license ( ライセンスが新たに追加されていることを確認してください ) License usage: Licenses Licenses Licenses Expiry Feature name used installed needed idp-sig :00:00 JST dynamic-vpn permanent ax411-wlan-ap permanent Licenses installed: License identifier: < ライセンスID> License version: 2 Valid for device: < 装置シリアルナンバー > Features: idp-sig - IDP Signature ( ライセンス有効期間が表示されます ) date-based, :00:00 JST :00:00 JST root> show system license keys ( インポートされたライセンスキーが表示されます ) JUNOS aeaqea qmifkt imrqhf aummjt g4zqma j4a4uc zgeja3 ytzo5o xxnucg mj722n mn6ih5 wvpzdw pjzmnm wnhear bl5wli pvtckj 6q2fff i 機器の再起動 root> request system reboot 以上でライセンスキーの自動インポートは完了です ( ライセンス有効期間が Expire したものを再導入した場合や 新規にライセンスを導入した場合は 必ず再起動を行ってください ) Hitachi Solutions, Ltd All rights reserved. 10

12 4-1 IDP シグネチャの導入 ( ダウンロード編 ) ( インターネット接続必須 ) IDP シグネチャ導入のため Internet 上にあるシグネチャのダウンロードサーバへ SRX を接続する必要がございます 以降の解説はライセンスサーバへの通信が可能であるという前提で記載致します シグネチャのダウンロードパッケージのダウンロードコマンド : root> request security idp security-package download full-update 初回導入時のみ full-update オプションを設定してください 2 回目以降 ( アップデート時や再導入時 ) ならば 本オプションを設定する必要はありません ダウンロード状況の確認コマンド : root> request security idp security-package download status "Done;Successfully downloaded" と表示されればダウンロード完了です ( 出力例 ) Done;Successfully downloaded from( and synchronized to backup. Version info:2011(mon Oct 17 15:13: , Detector= ) Hitachi Solutions, Ltd All rights reserved. 11

13 4-2 IDP シグネチャの導入 ( インストール編 ) シグネチャのインストール時に装置負荷が上昇します 比較的装置負荷の少ない深夜帯等の時間帯にインストールする事を推奨致します セキュリティパッケージのインストール下記コマンドを実行して セキュリティパッケージのインストールを行います インストールはバックグラウンドで進行するので インストール状況の確認はコマンドの実行が必要です パッケージのインストールコマンド : root> request security idp security-package install インストール状況の確認コマンド : root> request security idp security-package install status コマンド実行からインストール完了まで 10 分程度の時間がかかります "Done;Attack DB update : successful と表示されればインストール完了ですので 状況を確認しつつお待ちください ( 出力例 ) Done;Attack DB update : successful - [UpdateNumber=1985, ExportDate=Fri Sep 2 10:14: ,Detector= ] Updating control-plane with new detector : successful Updating data-plane with new attack or detector : not performed due to no existing running policy found. インストールされたシグネチャバージョンの確認 root> show security idp security-package-version Attack database version:1985(fri Sep 2 10:14: ) Detector version : Policy template version :N/A 以上でシグネチャの導入作業は完了です Hitachi Solutions, Ltd All rights reserved. 12

14 4-3 IDP シグネチャの導入 ( 自動更新編 ) ( インターネット接続必須 ) IDP シグネチャ更新のため Internet 上にあるシグネチャのダウンロードサーバへ SRX を接続する必要がございます 以降の解説はライセンスサーバへの通信が可能であるという前提で記載致します 本設定を有効化する事で IDP シグネチャのダウンロードとインストール ( 更新 ) が自動化されます 尚 IDP シグネチャの更新は平均して週に 2~3 回程度ですので お客様の運用形態に沿った更新間隔をご設定頂けますようお願い致します シグネチャの自動更新設定 root#set security idp security-package automatic interval 48 start-time :00 サンプルは 2 日に一度の更新設定です (48 時間のインターバル ) 自動更新の開始時刻です ( サンプルは 8/2 の PM23 時に開始します ) シグネチャ自動更新の有効化 root# set security idp security-package automatic enable シグネチャ更新設定完了 root# commit 以上でシグネチャの自動更新設定は完了です Hitachi Solutions, Ltd All rights reserved. 13

15 5-1 AV パターンファイルの更新 ( インターネット接続必須 ) Anti-Virus ライセンスの導入後は パターンファイル更新の為に Internet 上にある Juniper 社のサーバへ SRX を接続する必要がございます 以降の解説は Juniper 社のサーバへの通信が可能であるという前提で記載致します パターンファイル自動更新の設定 root# set security utm feature-profile anti-virus kaspersky-lab-engine pattern-update interval 120 ( サンプルは120 分毎に1 回のパターンファイル更新の設定です パターンファイル設定完了デフォルトでは 60 分毎に1 回のパターンファイル更新が行われます root# commit AVパターンファイルのアップデートは 平均して1 日に1 回程度ですが お客様の運用形態に沿った更新間隔の設定をお願い致します この際 短すぎる時間を指定すると Anti-Virusライセンスの状態確認 root> show security utm anti-virus status サーバと装置に極端な負荷がかかりますので その点をご注意ください ) UTM anti-virus status: Anti-virus key expire date: :00:00 ( ライセンス有効期限が記載されています ) Update server: Interval: 120 minutes ( 設定された更新間隔が記載されています ) Pattern update status: next update in 30 minutes ( 次回更新タイミングが記載されています ) Last result: already have latest database Anti-virus signature version: 09/02/ :41 GMT, virus records: Anti-virus signature compiler version: N/A Scan engine type: kaspersky-lab-engine Scan engine information: last action result: No error(0x ) パターンファイルの手動更新 root> request security utm anti-virus kaspersky-lab-engine pattern-update ( 初回導入時等 任意のタイミングでパターンファイルの更新を行いたい場合はこちらのコマンドを実行してください ) 以上で AV パターンファイルの設定は完了です Hitachi Solutions, Ltd All rights reserved. 14

16 END SRX ライセンス導入手順 本資料中の会社名 商品名は各社の商標及び登録商標です 本文中および図中では TM マーク (R) マークは表記しておりません 株式会社日立ソリューションズネットワークビジネス部セキュリティグループ Hitachi Solutions, Ltd All rights reserved.