Network Security Platform パッシブフェールオープンキットクイックスタートガイド

Size: px

Start display at page:

Download "Network Security Platform パッシブフェールオープンキットクイックスタートガイド"

まともやすこ
7 years ago
Views:

1 パッシブフェールオープンキットクイックスタートガイド改訂 A McAfee Network Security Platform McAfee Network Security Platform IPS Sensor はインラインで配備されると指定したポートペア経由ですべての受信トラフィックをルーティングしますただしメンテナンスを行う場合や停電でポートが使用できない場合など Sensor をオフにしなければならないときがありますこのようなときトラフィックを中断せず継続させたい場合がありますこのような条件下ではフェールオープンスイッチと呼ばれる外部デバイスを使用できますフェールオープンスイッチにはアクティブフェールオープンスイッチとパッシブフェールオープンスイッチがありますパッシブフェールオープンスイッチは Sensor からコントロールケーブル経由で供給される電気信号により動作します Sensor のコントロールポートはコントロールケーブルによってフェールオープンスイッチのコントロールポートに接続されています Sensor の動作中スイッチはオンになりすべてのトラフィックが Sensor を通じて直接ルーティングされます Sensor で障害が発生するとスイッチが自動的にバイパス状態に切り替わりますインラインのトラフィックは引き続きネットワークリンクを通過しますが Sensor を通じてルーティングされなくなります Sensor の動作が回復するとスイッチがオンの状態に戻りインラインモードでの監視が再度有効になります各 Sensor のコントロールポート数は Sensor モデルに応じて決まります各 Sensor のコントロールポートは対応するモニタリングポートペアに内部的に配線されますたとえばコントロールポート X2 は常にモニタリングポートペア 2A-2B とともに使用する必要があります以下の表にパッシブフェールオープンスイッチの各種モデルを示しますフェールオープンスイッチパッシブ光ファイバー (850 nm) 10G (50 µm) SKU NS9x00 NS7x00 M-8000 M-6050 KT1 M-4050 M-3050 M-2950 M-2850 いいえはいはいはいいいえパッシブ光ファイバー (850 nm) 10/1G (62.5 µm) パッシブ光ファイバー (1310 nm) 10/1G (8.5 µm) パッシブ銅線 10/100/1000 IAC-PF IAC-PF KT1 IAC-PF KT1 IAC-PFOCG- KT2 いいえはいはいはいはいいいえはいはいはいはいいいえはいはいはいはい 1

2 光ファイバーフェールオープンスイッチはシングルモード光ファイバーとマルチモード光ファイバーの 2 種類で構成されていますこれらの種類の光ファイバーフェールオープンスイッチに関する詳細を表に示しますこの情報は重要です使用するフェールオープンスイッチの種類を決める前に組織のネットワークが使用する光ファイバーの種類を決める必要があるためですまた光ファイバーフェールオープンキットのすべての製品マニュアルとフェールオープンスイッチのステッカーにはこれらのパラメーターが表記されているため各種類について理解することも重要ですシングルモード光ファイバーとマルチモード光ファイバーの仕様の違いを以下の表に示します種類光ファイバーの太さ波長帯シングルモード ( ロングリーチ ) 8.5 µm 1300 nm から 1550 nm マルチモード ( ショートリーチ ) 50 µm または 62.5 µm 850 nm から 1300 nm NS-9x00 Sensor にはコントロールポートがないためパッシブフェールオープンキットをサポートしません各種フェールオープンキットと Sensor との互換性の詳細については Fail-Open operation in Sensors ( Sensor でのフェールオープン操作 ) の章 ( McAfee Network Security Platform IPS Administration Guide ( McAfee Network Security Platform IPS 管理ガイド )) を参照してくださいフェールオープンキットの詳細については Fail-Open operation in Sensors ( Sensor でのフェールオープン操作 ) の章 ( McAfee Network Security Platform IPS Administration Guide ( McAfee Network Security Platform IPS 管理ガイド )) を参照してくださいこの章には本クイックスタートガイドの内容と関連する情報が多く記載されていますこのガイドのコピーを準備しておくとフェールオープンスイッチの取り付けと構成を行う際に役立ちます 1 梱包箱の内容すべてのフェールオープンキットは同じコンポーネントで構成されていますモデルによってケーブルやスイッチの種類は異なりますがキット自体のアイテムの内容は同じですアイテムのリストを表に示します数量アイテム説明 1 フェールオープンスイッチ 1 19 インチラックマウントパネル ( 最大 3 つのスイッチを設置可能 ) 1 RJ-45/RJ-11 ケーブル (3 m) 4 銅線 : RJ-45/RJ-45 ケーブル (3 m) 光ファイバー : LC-LC (3 m) 銅線 : 1000Base-T スイッチ Sensor に内蔵のコントロールポート経由ですべての該当する Sensor モデルの GE ポートに接続します光ファイバー : Sensor に内蔵のコントロールポート経由ですべての該当する Sensor モデルの 1-Gigait または 10-Gigait ポートに接続します標準のラックに最大 3 つのバイパススイッチを設置できる 1RU のマウンティングハードウェアです Sensor のコントロールポートをフェールオープンスイッチに接続しますネットワークデバイスと Sensor にフェールオープンスイッチを接続します光ファイバーフェールオープンキットでは購入時の要件に応じてこれらのケーブルがシングルモードケーブルになるかマルチモードケーブルになるかが決まります 2

3 2 パッシブフェールオープンスイッチのラックへの取り付け開始する前にフェールオープンスイッチの取り付け先となるラックを決めます物理的な Sensor を使用している場合はモニタリングポートを使用してフェールオープンスイッチに物理的に接続できることを確認しますラックマウントパネルにはフェールオープンスイッチを 3 つまで取り付けることができますこのセクションで説明するラックマウントパネルはフェールオープンキットに同梱されていますラックへの取り付けは任意ですフェールオープンスイッチをラックに取り付けたくない場合は Sensor または他のネットワークデバイスの上部にスイッチを直接取り付けることもできます a ラックマウントパネルの真ん中の開口部にスイッチを差し込みますスイッチの前面プレートがパネルに接するまで差し込んでくださいフェールオープンスイッチの前面プレートの穴とパネルの穴を重ねて付属のネジを差し込みラックマウントパネルにスイッチを固定します追加のフェールオープンスイッチを取り付ける場合はラックマウントパネルをラックに設置したままの状態で取り付けることができます c d e 標準の 19 インチラックの前面に 1U パネルを取り付けますパネルの前面の穴とラックの側面の穴を重ねてネジ ( ラックマウントパネルに同梱 ) を回し入れラックマウントパネルを固定します ( 任意 ) スイッチを追加するには ( 最大 2 つまで ) 次の手順に従います a パネルの前面で開口部をカバーしている取り外し可能なプレートを固定しているネジを外しますこの手順の 1 と 2 に従いラックマウントパネルにフェールオープンスイッチを取り付けて追加しますこれでフェールオープンスイッチを Sensor に接続できるようになります 3

4 3 フェールオープンスイッチの接続攻撃を正確に検知するには Sensor でネットワークの外部からのトラフィックと内部からのトラフィックを識別する必要がありますトラフィックの方向を正確に識別するにはフェールオープンスイッチを適切に配線し Manager で Sensor のモニタリングポートを適切に構成する必要がありますパッシブフェールオープンスイッチは以下の画像に示されているポートで構成されますフィールド説明 1 Sensor のフェールオープンコントロールポートに接続 2 ネットワークデバイス ( 内部 ) に接続 3 ネットワークデバイス ( 外部 ) に接続 4 PTx/SRx - 内部 (Sensor ポート xa に接続 ) 5 STx/PRx - 外部 (Sensor ポート xb に接続 ) 4

5 ネットワークデバイスへのフェールオープンスイッチの接続開始する前に銅線フェールオープンスイッチを接続する場合は 2 つの Cat 5/Cat 5e Ethernet ケーブルがあることを確認します光ファイバーフェールオープンスイッチを接続する場合は 2 つの LC-LC ケーブルがあることを確認します番号説明 1 パッシブフェールオープンスイッチ 2 フェールオープンコントロールポート (RJ-11) 3 フェールオープンスイッチのコントロールポート (RJ-45) 4 コントロールケーブル (RJ-45 から RJ-11 に接続 ) 5 ネットワークデバイスに接続 6 ネットワークデバイスに接続 7 Sensor のモニタリングポート 5A への PTx/SRx ( 内部 ) 接続 8 Sensor のモニタリングポート 5B への STx/PRx ( 外部 ) 接続以下に銅線および光ファイバーフェールオープンスイッチの両方を接続する手順を示します a 銅線の場合はフェールオープンスイッチの [Network 0] または [Net 0] とラベル付けされた Cat 5/Cat 5e/LC ポートに光ファイバーの場合はフェールオープンスイッチの [Network A] ( 三角形付き ) とラベル付けされた Cat 5/Cat 5e/LC ポートに内部ネットワークケーブルコネクタを接続しますこのケーブルのもう一方の端を該当するネットワークデバイスに接続します 5

6 c d 銅線の場合はフェールオープンスイッチの [Network 1] または [Net 1] とラベル付けされた Cat 5/Cat 5e/LC に光ファイバーの場合はフェールオープンスイッチの [Network B] ( 三角で表示 ) とラベル付けされた Cat 5/Cat 5e/LC に外部ネットワークケーブルコネクタを接続しますこのケーブルのもう一方の端を該当するネットワークデバイスに接続しますこのフェールオープンスイッチが内部ネットワークおよび外部ネットワークのネットワークデバイスに接続されます次にフェールオープンスイッチを Sensor に接続します ( いずれか ) 銅線フェールオープンスイッチの接続開始する前にフェールオープンスイッチを Sensor に接続するには 2 つの Cat 5/Cat 5e Ethernet ケーブルが必要です 2 つの銅線 SFP モジュールを Sensor 上の対応する 2 つの未使用のモジュラーソケットに差し込みます Sensor と SFP モジュールの詳細については該当するモデルの Sensor Product Guide ( Sensor 製品ガイド ) を参照してくださいフェールオープンキットに同梱されるコントロールケーブル a c d e f ポート [xa] (x は 1 から 6 まで ) の銅線 SFP に Cat 5/Cat 5e Ethernet ケーブル ( 内部 ) を接続しますフェールオープンスイッチで [Monitor 0] というラベルの付いたポートにケーブルのもう一方の端を接続します対応する [xb] ピアポートに Cat 5/Cat 5e Ethernet ケーブル ( 外側 ) を接続しますたとえば手順 1 で [2A] を使用した場合はケーブルをポート [2B] に差し込みますフェールオープンスイッチの [Monitor 1] というラベルの付いたポートにケーブルのもう一方の端を接続しますコントロールケーブルの片側の端をフェールオープンスイッチの [ コントロール ] ポートに接続しますもう一方の端を Sensor のコントロールポート [Xy] に接続します [y] はいずれかのモニタリングポートに対応するポート番号です接続する Sensor のコントロールポートは使用するポートペアに対応している必要がありますたとえば Sensor で 2A-2B のポートペアを使用する場合は X2 を使用する必要がありますこの配線では Sensor のモニタリングポート [xa] でネットワークの内部から送信されるトラフィックが監視されポート [xb] でネットワークの外部から送信されるトラフィックが監視されますこの構成 ([xa] が外部で [xb] が内部 ) は Sensor のポート構成と一致させる必要がありますまたこれらのポートがそのように構成されている必要があります ( または ) 光ファイバーフェールオープンスイッチの接続開始する前にフェールオープンスイッチを Sensor に接続するには 2 つの LC-LC ケーブルが必要です 1-Gigait フェールオープンスイッチを接続する場合は 2 つの光ファイバー SFP モジュールを Sensor 上の対応する 2 つの未使用のモジュラーソケットに差し込みます 6

7 10 Gigait フェールオープンスイッチを接続する場合は 2 つの光ファイバー XFP/SFP+ モジュールを Sensor 上の対応する 2 つの未使用のモジュールソケットに差し込みます Sensor または SFP/XFP/SFP+ モジュールの詳細については該当するモデルの Sensor 製品ガイドを参照してくださいフェールオープンキットに同梱されるコントロールケーブル a LC-LC ケーブルをポート [xa] または [Gx/a] の LC レセプタクルに接続します x および a は対応する 1 Gigait または 10 Gigait ポート番号です c d e フェールオープンスイッチの [Monitor A] というラベルの付いた LC レセプタクルに LC ケーブルのもう一方の端を接続します対応するピアポート [xb] または [Gx/] に LC-LC ケーブルを接続しますたとえば手順 1 で [G1/1] を使用した場合はケーブルをポート [G1/2] に差し込みますフェールオープンスイッチの [Monitor B] というラベルの付いたポートにケーブルのもう一方の端を接続しますコントロールケーブルの片側の端をフェールオープンスイッチの [ コントロール ] ポートに接続します接続する Sensor のコントロールポートは使用するポートペアに対応している必要がありますたとえば Sensor で 2A-2B のポートペアを使用している場合はコントロールポート X2 を使用する必要がありますこの配線では Sensor のモニタリングポート [xa] でネットワークの内部から送信されるトラフィックが監視されポート [xb] でネットワークの外部から送信されるトラフィックが監視されますこの構成 ([xa] が外部で [xb] が内部 ) は Sensor のポート構成と一致させる必要がありますまたこれらのポートがそのように構成されている必要があります 4 Sensor のモニタリングポートの構成開始する前に Sensor は Manager サーバーと信頼関係を確立するよう設定する必要があります Sensor にはインラインフェールオープンモードで配備できるフリーなポートペアが備わっています Sensor およびフェールオープンスイッチの配線を完了している場合必要なトランシーバーモジュールは Sensor に挿入されています初めて Sensor を設定する場合ポートはデフォルトで無効になっていますインラインフェールオープン動作を有効にするには Sensor のポートを手動で構成する必要があります a Manager で [Devices ( デバイス )] [<Admin_Domain_Name>] [Devices ( デバイス )] [<Device_Name>] [Setup ( セットアップ )] [Physical Ports ( 物理ポート )] の順に選択しますいずれかの構成可能なポート ([G0/1] など ) をダブルクリックしますウィンドウの右側に構成パネルが表示されます 7

8 c [State] ( 状態 ) ドロップダウンをクリックし [Enaled] ( 有効 ) を選択しますこの構成はポート [G0/2] にも影響するため続行するかどうか確認されます d [Yes] ( はい ) をクリックして続行しますこれでポート G0/1-G0/2 が有効になります e f g h [Auto Negotiate] ( オートネゴシエーション ) チェックボックスをオンにし [Speed (Duplex)] ( 速度 ( 二重モード )) が [1 Gps (Full)] (1 Gps ( 全 )) に設定されていることを確認します [Mode] ( モード ) ドロップダウンをクリックし [In-line Fail-Open Passive] ( インラインフェールオープンパッシブ ) を選択します [Placement] ( 配置 ) ドロップダウンをクリックしポートの構成方法に応じて [Inside Network] ( 内部ネットワーク ) または [Outside Network] ( 外部ネットワーク ) を選択します McAfee[Gx/1] または [xa] を内部ネットワークとして [Gx/2] または [xb] を [ 外部ネットワーク ] として選択することをお勧めします [Response Port] ( 応答ポート ) ドロップダウンをクリックし割り当てるポートを選択しますインラインフェールオープンまたはインラインフェールクローズ設定では同一のポートを応答ポートとして構成できます i [Save] ( 保存 ) をクリックします Sensor およびフェールオープンスイッチが設定されますトラフィックがポートを通過するときはポートリンクのステータスが [Up] に変わって緑色になります 5 取り付けの確認これらの手順に従って設定が想定どおりに動作していることを確認します a Manager でインラインフェールオープンパッシブとして構成したポートの横にあるアイコンを確認します [Up] と表示されている必要がありますフェールオープンスイッチの電源の LED を確認します 8

9 LED ステータス ON ( オン ) OFF ( オフ ) 説明スイッチはフェールオープンモードになっておらず Sensor のモニタリングポートは通常どおり動作していますスイッチはフェールオープンモードになっており Sensor のモニタリングポートはトラフィックを監視していません c Gigait インラインフェールオープンモードのポートのステータスと動作モードのステータスを確認しますインラインフェールオープンポートのステータスインラインフェールオープン - パッシブ (a/ とペア ) Sensor のポートの色緑動作モードのステータスインラインフェールオープンデバイスはインラインフェールオープンモードですバイパス黄インラインフェールオープンデバイスはインラインバイパスモードですバイパススイッチはアクティブになっていますこの間 Sensor は監視を行いませんスイッチが存在しない赤フェールオープンコントロールコントロールケーブルまたはバイパススイッチが存在しません 3 つのコンポーネントがすべて正しく接続されているか確認しますすべてのコンポーネントが正しく接続されている場合は動作ステータスを確認します該当なしグレー該当なし動作モードがインラインフェールオープンモードではありません 6 トラブルシューティング Sensor が通常のインラインフェールオープンで動作している間フェールオープンスイッチは常にハートビート信号を Sensor に送信しますフェールオープンスイッチが設定された間隔で信号を受信しない場合フェールオープンスイッチはデータパスから Sensor を除外しバイパスモードに移行しますこのためネットワークはほとんど中断されませんフェールオープンスイッチがバイパスモードで動作している間トラフィックは Sensor をバイパスして直接スイッチを通過します Sensor で通常の動作が回復したら Manager のインターフェースから手動でモニタリングポートを有効にする必要がありますただし Sensor で発生した障害の原因によっては手動で有効にする必要がない場合もあります次のセクションでは Sensor をインラインモードに戻す方法について説明します 9

10 Sensor に障害が発生するとどうなりますか? Sensor でフェールオープンスイッチの障害が発生すると次のイベントが示されている順に発生します Manager の [System Health] ( 動作ステータス ) ウィンドウに [Sensor in ad health] エラーまたは [Port pair is in ypass mode] エラーが表示されます Sensor が再起動しフェールオープンスイッチがトラフィックの転送を開始しますすべてのトラフィックが Sensor をバイパスしフェールオープンスイッチを経由しますこれによりトラフィックの中断を最小限に抑えることができます Sensor が再起動すると Sensor と接続されているデバイス間のリンクが切断されます 2 つのデバイス間のネットワークリンクを再度ネゴシエーションする必要がありますネットワークの中断は数秒から数分続く場合がありますこれは使用しているネットワークデバイスによって異なります再起動が完了すると Sensor はハートビートを再開します次のいずれかが実行されます前述のような通常の動作で再起動が行われた場合フェールオープンスイッチは再び Sensor にデータを送信し Sensor はインラインフェールオープンモードに戻りますエラーにより再起動が行われた場合管理者が Manager で Sensor のポートを手動で再度有効にするまでフェールオープンスイッチは Sensor にトラフィックを送信しませんポートが有効になるとフェールオープンスイッチが Sensor 経由でのデータ送信を再開し Sensor がインラインモードに戻ります Sensor がインラインモードに切り替わる際にもリンクの再ネゴシエーションが行われるため接続が短時間中断する場合があります Manager でエラーが発生しなくなり通常の動作状態であることが報告されますよくある問題と解決方法このセクションでは設置に関する一般的な問題と解決方法について説明します問題考えられる原因解決方法ネットワークまたはリンクに問題がある Sensor の LED がオフになっている配線が適切でないかポートの構成が適切でない Sensor の電源が入っていない Sensor のポートにケーブルが接続されていない送信ケーブルと受信ケーブルがフェールオープンスイッチに適切に接続されているかどうか確認してください Sensor の電源を入れてください Sensor にケーブルが接続されているかどうか確認してください Sensor は動作しているがトラフィックの監視を行っていないネットワークデバイスのケーブルが接続されていない Sensor で Sensor のポートが有効になっていないケーブルがネットワークデバイスとフェールオープンスイッチの両方に適切に接続されているかどうか確認してください Sensor で発生した障害によりポートが無効になっています Sensor での監視を再開するには Manager でポートを再度有効にしてください 10

11 問題考えられる原因解決方法スイッチとルーターでエラーが発生する Manager の [Operational Status] ( 動作ステータス ) ページに Switch asent というエラーが表示される配線が適切でないかポートの構成が適切でない配線が適切でない送信ケーブルと受信ケーブルがフェールオープンスイッチに適切に接続されているかどうか確認してください送信ケーブルと受信ケーブルがフェールオープンスイッチに適切に接続されているかどうか確認してください 11

Network Security Platform NS シリーズインターフェースモジュールリファレンスガイド改訂 F

リファレンスガイド改訂 F McAfee Network Security Platform NS シリーズインターフェースモジュール著作権 Copyright 2017 McAfee LLC 商標帰属 McAfee および McAfee ロゴ McAfee Active Protection epolicy Orchestrator McAfee epo Foundstone McAfee LiveSafe

Network Security Platform パッシブ フェールオープン キット クイック スタート ガイド

Network Security Platform パッシブフェールオープンキットクイックスタートガイド