SURFNAVI への Windows Server 2003 Service Pack2 適用時の注意 作成 2007/06/13 該当リリース SURFNAVI イントラ /DMZ サーバ Ver2.0 [UL1138-101] SURFNAVI インターネットサーバ Ver2.0 [UL1138-102] Express5800 シリーズへの ServicePack 適用は Express5800 用差分モジュールを使用し インストール手順書に従って 適用して頂く必要があります 注意 特に SP2 環境にて SURFNAVI 上書きセットアップを行うと重大な影響が発生する可能性があります 必ず 1. 適用時の発生問題と回避方法 に従ってください Express5800 用差分モジュールが公開されていない場合は 公開されるまで しばらくお待ちいただくようお願い致します Express5800 用差分モジュールは NEC[8 番街 ](http://www.express.nec.co.jp/index.html) の [ サポート情報 ] より入手可能です 目次 1. 適用時の発生問題と回避方法...2 2. ServicePack2 の機能の使用について...3 2.1. 制限事項...3 2.2. SURFNAVI と Windows ファイアウォール共存時の注意事項...4 1
要注意 1. 適用時の発生問題と回避方法 SURFNAVI に Windows Server 2003 ServicePack2 を適用する時発生する問題は 下記に従って回避してください 問題 1 現象 DTC サービスが無効という警告メッセージが表示され ServicePack2 をインストールできない (SURFNAVI イントラ /DMZ サーバでは SURFNAVI 用セキュリティポリシーを適用している場合にのみ発生 ) 回避策 SURFNAVI のセキュリティポリシー適用により DTC サービスが無効化されるため発生します ServicePack2 のインストール前に OS のサービスツールを使用して DTC サービス (Distributed Transaction Coordinator) の スタートアップの種類 を 手動 に変更してください 問題 2 現象 回避策 システム起動時の SURFNAVI Management Console の自動起動ができない SP2 での OS セキュリティ強化により 自動起動パスチェックが強化され その影響で自動起動できません Management Console を自動起動させたい場合には 代替策として OS のスタートアップに手動で登録してください [ 登録方法 ] 1. SURFNAVI システムに administrator 権限でログオンします 2. エクスプローラから下記のファイルをドラッグし [ スタート ] メニューの上に持ってきて [ スタート ] メニュー配下を開いてください ( まだドロップはしないでください ) インターネットサーバ :C: Websrvr Mconsole.exe イントラ DMZ サーバ :<SURFNAVI インストール先 > Mconsole.exe 3. 同様に [ すべてのプログラム ]-[ スタートアップ ] と順に開いて [ スタートアップ ] の配下にドロップしてください ( ショートカットが作成されます ) なお SP2 適用環境では Management Console のメニュー [ オプション ]-[Management Console の自動起動 ] の機能は使用できません 問題 3 セキュリティ上危険です 必ず回避策を実施してください 現象 SURFNAVI の上書きインストールにて パケットフィルタの登録に失敗し 全てのパケットが通過してしまう 回避策 SURFNAVI 上書きインストール直後のシステム再起動後に SURFNAVI パケットフィルタ登録のためのバッチが自動実行されないため発生します システム再起動後 下記のバッチを実行し 上書きインストールを完了させてください インターネットサーバ :C: Websrvr cfg SecDGSign_ON.bat イントラ /DMZ サーバ : <SURFNAVI インストール先 > cfg SecDGSign_ON.bat その後 OS のサービスツールを使用して ICPFSrv サービスを再起動してください 2
2. ServicePack2 の機能の使用について 2.1. 制限事項 SURFNAVI システムでの Windows Server 2003 ServicePack2 の機能の使用については 以下の制限があります (1) Windows ファイアウォールの使用同じ LAN ボードに対して SURFNAVI パケットフィルタと OS の Windows ファイアウォールの重複使用はできません ただし 重複使用しない限りは SURFNAVI システム上で Windows ファイアウォールを有効にすることは可能です その場合の注意事項は 2.2 SURFNAVI と Windows ファイアウォール共存時の注意事項 を参照してください (2) セキュリティ構成ウィザード (SCW) の使用セキュリティ構成ウィザードは使用できません ただし SURFNAVI イントラ /DMZ サーバで SURFNAVI のセキュリティポリシーを適用していない場合は使用可能です < 注意 > この場合にも セキュリティ構成ウィザードで Windows ファイアウォールを設定することは不可 ( セキュリティ構成ウィザードを使用し Windows ファイアウォールの設定を行うと システムの全ての LAN ポートに反映されるため ) (3) Scalable Networking Pack の使用 SURFNAVI パケットフィルタと同時利用はできません SURFNAVI パケットフィルタが存在する場合 Scalable Networking Pack 機能は自動的に OFF されます 3
2.2. SURFNAVI と Windows ファイアウォール共存時の注意事項 SURFNAVI システム上で Windows ファイアウォールを有効とする場合の注意点を下記に説明します [ 該当する構成例 ] SURFNAVI インターネットサーバでは 内部ネットワーク用 LAN ボードのみ Windows ファイアウォールを使用してフィルタリング ( 外部ネットワーク用 LAN ボードには SURFNAVI パケットフィルタを使用 ) SURFNAVI イントラ /DMZ サーバでは SURFNAVI パケットフィルタをインストールせず Windows ファイアウォールのみを使用 2.2.1. ポート許可について SURFNAVI を使用する上で必要な通信を Windows ファイアウォールで通過させる必要があります SURFNAVI マシンをクライアントとする通信の通過 Windows ファイアウォールに通過ポートを追加する必要はありません ( 例.SURFNAVI マシン上のプロキシからインターネットへの Web アクセス ) SURFNAVI マシンをサーバとする通信の通過 Windows ファイアウォールにポートの許可を設定する必要があります ( 例.Web サーバ メールサーバなど ) [ ポート許可設定手順 ] (1) コントロールパネルより Windows ファイアウォール を選択し Windows ファイアウォール設定ツールを開く (2) [ 詳細設定 ] タブの ネットワーク接続の設定 でフィルタリングする LAN ポートを選択し 設定ボタンクリックする (3) 詳細設定画面が開くので ここで通過させるポートの指定を行う ( デフォルトでは全てのチェック OFF) (4) SURFNAVI で使用しているサービスによって設定を追加する ( 詳細は次項以降参照 ) 2.2.2. Windows ファイアウォールに初期状態でフィルタが存在するサービス SURFNAVI を Web サーバ FTP サーバ メールサーバとして使用する場合 下記の方法でポートを許可してください HTTP FTP SMTP POP3 の各サービスの使用ポートが規定値の場合使用するサービスによって 表 1 の Windows ファイアウォールのサービス名 のチェックを ON にします ( 初期状態でフィルタが存在 ) 4
HTTP FTP SMTP POP3 の各サービスの使用ポートを規定値から変更している場合表 1 の サービス使用ポートの参照箇所 を参照して Windows ファイアウォールの設定に通過させるポートの設定を追加してください 表 1 デフォルトで追加されているサービスポート番号 サービス名 Windows ファイアウォールの サービス使用ポートの参照箇所 規定値 フ ロトコル サービス名 HTTP Web サーバー (HTTP) IIS で内部用 Web サイトにて設定してい 80 TCP るポート番号 FTP FTP サーバー IIS で内部用 FTP サイトにて設定してい 21 TCP るポート番号 SMTP インターネットメールサーバー (SMTP) SURFNAVI の [ 電子メールの管理 ] ツールの [SMTP 詳細 ] タブにあるポート番号 25 TCP POP3 Post-Office Protocol SURFNAVI の [ 電子メールの管理 ] ツール 110 TCP Version3(POP3) の [POP3 詳細 ] タブにあるポート番号 2.2.3. Windows ファイアウォールに追加する必要があるサービス 表 1 以外の SURFNAVI のサーバを使用する場合は クライアントと SURFNAVI 間の通信を通過させるため 表 2 を参照して Windows ファイアウォールの設定に通過させるポートの設定を追加してください 表 2 追加が必要なサービスポート番号 サービス名 サービス使用ポートの参照箇所 初期値 フ ロトコル DNS 53 TCP DNS 53 UDP Web Proxy プロキシ設定ツールの [ プロキシの設定 ] タブにあるポート番号 8080 TCP TELNET Proxy プロトコルプロキシ設定ツールの [TELNET] タブにあるポート番号 8023 TCP FTP Proxy プロトコルプロキシ設定ツールの [FTP] タブにあるポート番号 8021 TCP SMTP Proxy プロトコルプロキシ設定ツールの [SMTP] タブにあるポート番号 8025 TCP POP3 Proxy プロトコルプロキシ設定ツールの [POP3] タブにあるポート番号 8110 TCP Tunnel Proxy トンネルプロキシ設定ツールの [ トンネル ] タブにある [ プロキシポートの設定 ] クリックし トンネルプロキシポートの設定画面の プロキシポート番号 で設定しているポート番号 なし TCP SURFNAVI のメールサーバ ExpressMail で必要なポートについては http://www.nec.co.jp/cced/expressmail/ の OS の ServicePack 対応状況の記載をご覧ください その他の OS のサーバ機能などを追加して使用する場合は 適宜必要なポートを Windows ファイアウォールの設定に追加してください 5