Network Security Platform アクティブフェールオープンキット

アクティブフェールオープンキットクイックスタートガイド
改訂 B
McAfee Network Security Platform
McAfee Network Security Platform IPS Sensor はインラインで配備されると、指定したポートペア
経由ですべての受信トラフィックをルーティングします。ただし、メンテナンスを行う場合や停電でポ
ートが使用できない場合など、Sensor をオフにしなければならないときがあります。このようなとき、
トラフィックを中断せず継続させたい場合があります。このような条件下では、フェールオープンスイ
ッチと呼ばれる外部デバイスを使用できます。フェールオープンスイッチには、アクティブフェールオ
ープンスイッチとパッシブフェールオープンスイッチがあります。
アクティブフェールオープンスイッチは常に Sensor の状態を監視します。これはポートからハート
ビート信号を送信することによって行われます。ハートビート信号は [Monitor] のいずれかのポートか
ら送信され、別のポートで受信することにより、Sensor が正常に動作していることを示します。
以下の表に、アクティブフェールオープンスイッチの各種モデルを示します。
フェールオープンス
イッチ
SKU
NS-9x00 NS-7x00 M-8000、 M-4050、 M-2950、
M-6050 M-3050 M-2850
アクティブ光ファイ
バー (850 nm)
IAC-AF85010-
はい
はい
はい
はい
いいえ
IAC-AF131010- はい
はい
はい
はい
いいえ
はい
はい
はい
はい
はい
IAC-AF131085- はい
はい
はい
はい
はい
KT1
10G (62.5 µm)
アクティブ銅線
(1310 nm)
KT1
10G (8.5 µm)
アクティブ光ファイ
バー (850 nm)
IAC-AF85062KT1
1G (62.5 µm)
アクティブ光ファイ
バー (1310 nm)
KT1
1G (8.5 µm)
1
フェールオープンス
イッチ
SKU
NS-9x00 NS-7x00 M-8000、 M-4050、 M-2950、
M-6050 M-3050 M-2850
アクティブ銅線
IAC-AFOCG-
はい
はい
はい
はい
はい
10/100/1000 モ
ジュール
KT2
アクティブフェール
オープン
IAC-AFOCH-
はい
はい
はい
はい
はい
KT2
シャーシ
また、選択する際は、必要となる SFP/SFP+ または XFP があることを確認する必要もあります。
光ファイバーフェールオープンスイッチは、シングルモード光ファイバーとマルチモード光ファイバーの 2 種類で構
成されています。これらの種類の光ファイバーフェールオープンスイッチに関する詳細を以下の表に示します。この
情報は重要です。使用するフェールオープンスイッチの種類を決める前に、組織のネットワークで使用する光ファイバー
の種類を決める必要があるためです。また、フェールオープンキットのすべての製品マニュアルと、フェールオープン
スイッチのデカールでは、これらのパラメーターが頻繁に使用されます。シングルモード光ファイバーとマルチモード光
ファイバーの仕様の違いを以下の表に示します。
種類
光ファイバーの太さ
波長帯
シングルモード (ロングリーチ)
8.5 µm
1300 nm から 1550 nm
マルチモード (ショートリーチ)
50 µm または 62.5 µm
850 nm から 1300 nm
フェールオープンキットの詳細については、『Fail-Open operation in Sensors』 (「Sensor でのフェール
オープン操作」) の章 (『McAfee Network Security Platform IPS Administration Guide』 (『McAfee
Network Security Platform IPS 管理ガイド』)) を参照してください。この章には、本クイックスタートガ
イドの内容と関連する情報が多く記載されています。このガイドのコピーを準備しておくと、フェールオープ
ンスイッチの取り付けと構成を行う際に役立ちます。
動作
まず、Sensor とフェールオープンスイッチを適切に配線する必要があります。次に、Sensor のポートをフェールオー
プン動作用に構成します。 Sensor のモニタリングポート構成の詳細については、
「Sensor のモニタリングポートの構
成10 ページの「」」を参照してください。
Sensor とフェールオープンスイッチを接続して構成すると、スイッチが Sensor にハートビート信号を送信し始めま
す。各ハートビート信号が送信されると、Sensor からフェールオープンスイッチに応答が戻ります。指定した期間内
にフェールオープンスイッチは、この応答を Sensor から受信しなかった場合、データパスから Sensor を除外し、自
身のポートを通じてネットワークにトラフィックをルーティングし始めます。
1G の光ファイバーまたは銅線フェールオープンスイッチは 1 秒ごとにハートビート信号を送信します。フェールオー
プンスイッチは、応答を 3 秒以内に受信しなかった場合、動作モードを「不明」に変更し、自身を通じてトラフィック
をルーティングし始めます。
10G の光ファイバーフェールオープンスイッチは 10 ミリ秒 (ms) ごとにハートビート信号を送信します。フェール
オープンスイッチは、Sensor からの応答を 100 ミリ秒以内に受信しなかった場合、データパスから Sensor を除外
し、自身のポートを通じてトラフィックをルーティングし始めます。
2
1
梱包内容
すべてのフェールオープンキットは同様のコンポーネントで構成されています。モデルによってケーブルやスイ
ッチの種類は異なりますが、キット自体のアイテムの内容は同じです。アイテムのリストを以下の表に示します。
数
量
項目
説明
1
フェールオープンスイッチモジ
ュール
•
10/100/1000 銅線フェー
ルオープンモジュール、ま
たは
•
10G 850 nm 光ファイバ
ー (62.5 µm) フェールオ
ープンモジュール、または
•
1G 850 nm 光ファイバー
(62.5 µm) フェールオー
プンモジュール、または
•
10G 1310 nm 光ファイ
バー (8.5 µm) フェール
オープンモジュール
•
1G 1310 nm 光ファイバ
ー (8.5 µm) フェールオ
ープンモジュール、または
1
4 つのフェールオープンスイッ
チ対応のアクティブフェールオ
ープンスイッチ 1U シャーシ
標準ラックで最大 4 つのフェールオープンスイッチの差し込みが可能
な 1RU ホストハードウェア。
2
ホストシステム用の電源装置と
電源コード
1 つの電源装置はプライマリとして、もう 1 つは障害が発生した場合の
冗長電源装置として機能します。
4
銅線: RJ-45-RJ-45 ケーブル
(3m)
ネットワークデバイスと Sensor にフェールオープンスイッチを接続
します。
光ファイバー: LC-LC (3m)
1
2
RS232 RJ-11 プログラミング
ケーブル
光ファイバーフェールオープンキットでは、購入時の要件に応
じてこれらのケーブルがシングルモードケーブルになるかマ
ルチモードケーブルになるかが決まります。
フェールオープンスイッチをコンピューターに接続し、スイッチパラメ
ーターの構成に使用するスイッチ CLI にアクセスします。
アクティブフェールオープンスイッチとシャーシを取り付ける
開始する前に
•
フェールオープンシャーシの取り付け先となるラックを決めます。
•
物理的な Sensor を使用する場合は、モニタリングポートを使用してシャーシに物理的に接続で
きることを確認してください。
3
1 つのシャーシに最大 4 つのフェールオープンスイッチを取り付けることができます。
アクティブフェールオープンスイッチモジュールは、ラック内のシャーシに電源を入れたままの状態で
取り付けできます。
a
シャーシにラックマウントを取り付けます。
b
シャーシのいずれかの開口部にスイッチを差し込みます。スイッチの前面プレートがシャーシに接するまで差
し込んでください。
c
フェールオープンスイッチの前面プレートの穴とパネルの穴を重ねて付属のネジを差し込み、スイッチをシャ
ーシに固定します。
シャーシの電源を入れたままスイッチを取り付ける場合、スイッチを差し込んでネジを締めた後、4
秒間待機する必要があります。
d
標準の 19 インチラックの前面に 1U シャーシを取り付けます。
e
シャーシのラックマウントの穴にネジを差し込んでシャーシを固定します (このセクションの「『開始する前
に』」の手順を参照してください)。
f
(オプション) スイッチを追加するには (最大 3 つまで)、以下の手順を実行します。
a
シャーシの前面で、何も記載されていない取り外し可能なプレートの両側を固定しているネジを外しま
す。
b
追加のフェールオープンスイッチをシャーシに取り付ける場合は、この手順の 1 と 2 を実行します。
これでフェールオープンスイッチを Sensor に接続できます。
3
アクティブフェールオープンスイッチをシャーシから取り外す
開始する前に
フェールオープンスイッチをシャーシから取り外す前に、スイッチの電源が完全に切れていることを確
認してください。
4
このセクションの手順に従い、フェールオープンスイッチの電源をオフにして取り外してください。
a
b
4
Web インターフェースまたは CLI コマンドプロンプトを使用してフェールオープンスイッチの電源をオフ
にします。
•
Web インターフェースを使用する場合は、[[Rescue]] (修復) タブをクリックし、[[System Restore]]
(システムの復元) セクションの [[Power Off]] (電源オフ) チェックボックスをオンにします。 Web
インターフェースにアクセスする場合は、「Web インターフェースを通じてフェールオープンスイッチ
を管理する12 ページの「」」を参照してください。
•
CLI コマンドプロンプトを使用している場合は、power_off と入力し、[Enter] を押します。 CLI コ
マンドプロンプトにアクセスする場合は、「フェールオープンスイッチのパラメーターを構成する8
ページの「」」を参照してください。
フェールオープンスイッチの電源がオフになったら、拘束ネジを取り外し、シャーシから引き出します。
フェールオープンスイッチの接続
攻撃を正確に検知するには、Sensor でネットワークの外部からのトラフィックと内部からのトラフィックを識別
する必要があります。トラフィックの方向を正確に識別するには、フェールオープンスイッチを正しく配線し、
Manager で Sensor のモニタリングポートを適切に構成する必要があります。トラフィックが Sensor を通過
しているかどうかは、LED で判断できます。
5
ネットワークデバイスへのフェールオープンスイッチの接続
番号
説明
1
10/100/1000 銅線フェールオープンスイッチモジュール
2
ネットワークデバイスとの接続 (内部)
3
ネットワークデバイスとの接続 (外部)
4
Sensor モニタリングポート [G3/1] (内部)
5
Sensor モニタリングポート [G3/2] (外部)
6
NS9200 の Sensor モニタリングポート
以下に、銅線および光ファイバーフェールオープンスイッチの両方を接続する手順を示します。
a
銅線の場合は、フェールオープンスイッチの [Network 0] または [Net 0] とラベル付けされた Cat 5/Cat
5e/LC ポートに、光ファイバーの場合は、フェールオープンスイッチの [Network A] (三角形付き) とラベ
ル付けされた Cat 5/Cat 5e/LC ポートに内部ネットワークケーブルコネクタを差し込みます。
b
このケーブルのもう一方の端を、該当するネットワークデバイスに差し込みます。
c
銅線の場合は、フェールオープンスイッチの [Network 1] または [Net 1] とラベル付けされた Cat 5/Cat
5e/LC ポートに、光ファイバーの場合は、フェールオープンスイッチの [Network B] (三角で表示) とラベ
ル付けされた Cat 5/Cat 5e/LC ポートに外部ネットワークケーブルコネクタを差し込みます。
d
このケーブルのもう一方の端を、該当するネットワークデバイスに差し込みます。
このフェールオープンスイッチが、内部ネットワークおよび外部ネットワークのネットワークデバイスに接続され
ます。次に、フェールオープンスイッチを Sensor に接続します。
6
(いずれか) 銅線フェールオープンスイッチの接続
開始する前に
•
フェールオープンスイッチを Sensor に接続するには、2 つの Cat 5/Cat 5e Ethernet ケーブル
が必要です。
•
2 つの銅線 SFP を、Sensor 上の対応する 2 つの空のポートに差し込みます。
Sensor の詳細については、該当するモデルの『Sensor Product Guide』 (『Sensor
製品ガイド』) を参照してください。
a
ポート [Gx/a] または [xA] (x および a はポート番号) の銅線 SFP に Cat 5/Cat 5e Ethernet ケーブル
(内部) を接続します。
b
フェールオープンスイッチで [Port 0] というラベルの付いたポートにケーブルのもう一方の端を接続しま
す。
c
対応する [Gx/b] または [xB] ピアポートに Cat 5/Cat 5e Ethernet ケーブル (外側) を接続します (たと
えば、手順 1 で [G1/1] を使用した場合は、ケーブルをポート [G1/2] に差し込みます)。
d
バイパススイッチの [Port 1] というラベルの付いたポートにケーブルのもう一方の端を接続します。
この配線では、Sensor のモニタリングポート [G1/1] でネットワークの内部から送信されるトラフィックが監視
され、ポート [G1/2] でネットワークの外部から送信されるトラフィックが監視されます。この構成 ([G1/1] が
外部で [G1/2] が内部) は、Sensor のポート構成と一致させる必要があります。また、これらのポートがそのよう
に構成されている必要があります。
(または) 光ファイバーフェールオープンスイッチの接続
開始する前に
•
フェールオープンスイッチを Sensor に接続するには、2 つの LC-LC ケーブルが必要です。
•
1 Gigabit フェールオープンスイッチを接続する場合は、2 つの光ファイバー SFP を、Sensor
上の対応する 2 つの空のポートに差し込みます。
•
10 Gigabit フェールオープンスイッチを接続する場合は、2 つの光ファイバー XFP/SFP+ を、
Sensor 上の対応する 2 つの空のポートに差し込みます。
Sensor と互換性のある SFP/XFP/SFP+ の詳細については、該当するモデルの
『『Sensor 製品ガイド』
』を参照してください。
a
LC-LC ケーブルをポート [Gx/a] または [xA] の LC レセプタクルに接続します。x および a は、対応する 1
Gigabit または 10 Gigabit ポート番号です。
b
フェールオープンスイッチの [Monitor A] というラベルの付いた LC レセプタクルに LC ケーブルのもう一
方の端を接続します。
c
対応するピアポート [Gx/b] または [xB] に LC-LC ケーブルを接続します。たとえば、手順 1 で [G1/3]
を使用した場合は、ケーブルをポート [G1/4] に差し込みます。
d
フェールオープンスイッチの [Monitor B] というラベルの付いたポートにケーブルのもう一方の端を接続し
ます。
7
この配線では、Sensor のモニタリングポート [G1/3] でネットワークの内部から送信されるトラフィックが監視
され、ポート [G1/4] でネットワークの外部から送信されるトラフィックが監視されます。この構成 ([G1/3] が
外部で [G1/4] が内部) は、Sensor のポート構成と一致させる必要があります。また、これらのポートがそのよう
に構成されている必要があります。
5
フェールオープンスイッチのパラメーターを構成する
フェールオープンスイッチではさまざまなパラメーターを構成できます。すべての構成オプション、ステータス、
統計情報は、フェールオープンスイッチのコマンドラインインターフェース (CLI) からアクセスできます。基本
ネットワーク設定 (IP アドレス、ゲートウェイ、サブネットマスク) を構成すると、SSH を通じてフェールオープ
ンスイッチにアクセスできるようになります。デフォルトではすべてのフェールオープンスイッチで SSH が有
効になっており、CLI を使用して無効化できます。
フェールオープンスイッチは IPv4 アドレスのみをサポートします。
以下に、フェールオープンスイッチのパラメーターを構成する手順を示します。
a
RJ-11 ケーブルをモジュールの前面に接続します。
b
ケーブルのもう一方の端を、ハイパーターミナルや PuTTY などのターミナルエミュレーションソフトウェア
を実行しているコンピューターに接続します。
c
ターミナルエミュレーションソフトウェアを起動し、通信パラメーターを以下のように設定します。
•
ボーレート: 9600
•
ストップビット: 1
•
フロー制御: なし
管理ポートのボーレートは変更し
ないことをお勧めします。
d
•
データビット: 8
•
パリティ: なし
フェールオープンスイッチの電源を入れます。
CLI バナーとログインプロンプトが表示されます。
e
ログインプロンプトで、McAfee00 と入力し、[Enter] を押します。
f
パスワードプロンプトで、McAfee00 と入力し、[Enter] を押します。
フェールオープンスイッチの CLI プロンプトが表示されます。
g
8
以下のコマンドを使用して、フェールオープンスイッチのアクセスおよびポートに関連するパラメーターを構
成または変更します。
コマンド
説明
set_ip
xxx.xxx.xxx.xxx
フェールオープンスイッチの IPv4 アドレスを構成します。
set_netmask
xxx.xxx.xxx.xxx
set_gateway
xxx.xxx.xxx.xxx
set_link <port>
<on/off>
新しい IPv4 アドレスを有効にするには、フェールオープンスイッチを再起動し
ます。
フェールオープンスイッチのサブネットマスクを構成します。
新しいサブネットマスクを有効にするには、フェールオープンスイッチを再起
動する必要があります。
デフォルトのゲートウェイの IPv4 アドレスを構成します。
新しいゲートウェイの IPv4 アドレスを有効にするには、フェールオープンスイ
ッチを再起動します。
1G の銅線フェールオープンスイッチのポートをオートネゴシエーションに設
定します。
<port> には、mon0、mon1、net0、net1 のいずれかを指定します。
set_link <port> off
fd 100m
ポートを 100 Mbps 全二重に設定します。
set_link <port>
<enable/
disable>_autoneg
1G の光ファイバーフェールオープンスイッチのポートをオートネゴシエーシ
ョンに設定します。
<port> には、上で説明したいずれかの値を指定します。
<port> には、mon0、mon1、net0、net1 のいずれかを指定します。
10G の光ファイバーフェールオープンスイッチの場合はデフォルト
でオートネゴシエーションが有効になっているため、こうしたコマンド
は用意されていません。
h
以下のコマンドを使用して、フェールオープンスイッチでその他の設定に使用するパラメーターを構成または
変更します。
9
コマンド
説明
set_ssh_state <on/off>
フェールオープンスイッチ上の SSH ステータスの有効と無効を切り替え
ます。
set_web_https_state
<on/off>
フェールオープンスイッチインターフェースに対する Web アクセスの有
効と無効を切り替えます。
set_snmp_srv_ip
SNMP サーバーの IPv4 アドレスを構成します。
SNMP サーバーの IPv4 アドレスは、Web インターフェースで設定するこ
ともできます。
以下の SNMP トラップの有効と無効を切り替えます。
set_trap <parameter>
<on/off>
i
•
[appl fail]: アプリケーシ
ョン状態変更トラップ。
•
[net link]: ネットワーク
ポート状態変更トラップ。
•
[bypass]: バイパス状態変
更トラップ。
•
[error]: エラー通知トラッ
プ。
•
[mon link]: ポート状態変
更監視トラップ。
•
[update]: 更新完了トラッ
プ。
表示されたコマンドを使用して、フェールオープンスイッチの重要なパラメーターを参照します。フェール
オープンスイッチのパラメーターをこれまで構成したことがない場合は、工場出荷時の設定が表示されます。
コマンド
説明
get_ip
フェールオープンスイッチの IPv4 アドレスを表示します。
get_netmask
フェールオープンスイッチのサブネットマスクを表示します。
get_gateway
デフォルトゲートウェイアドレスを表示します。
get_ssh_state
SSH のステータスを表示します。このステータスはデフォルトで有効になって
います。
get_snmp_srv_ip
SNMP サーバーの IPv4 アドレスを表示します。
get_params
フェールオープンスイッチのパラメーターを表示します。
get_web_https_state フェールオープンスイッチインターフェースに対する Web アクセスのステー
タスを表示します。
get_link <port>
ポートのステータスを表示します。
<port> には、mon0、mon1、net0、net1 のいずれかを指定します。
6
Sensor のモニタリングポートの構成
開始する前に
10
•
Sensor は Manager サーバーと信頼関係を確立するよう設定する必要があります。
•
Sensor にはインラインフェールオープンモードで配備できるフリーなポートペアが備わってい
ます。
•
Sensor およびフェールオープンスイッチの配線を完了している場合、必要なトランシーバーモ
ジュールは Sensor に挿入されています。
初めて Sensor を設定する場合、ポートはデフォルトで無効になっています。インラインフェールオープン動作
を有効にするには、Sensor のポートを手動で構成する必要があります。
a
Manager で、 [Devices (デバイス)] 、 [<Admin_Domain_Name>] 、 [Devices (デバイス)] 、
[<Device_Name>] 、 [Setup (セットアップ)] 、 [Physical Ports (物理ポート)]に移動します。
b
[G2/1] などの構成可能なポートを 1 つダブルクリックします。
ウィンドウの右側に構成パネルが表示されます。
c
[State] (状態) ドロップダウンをクリックし、[Enabled] (有効) を選択します。
この構成はポート [G2/2] にも影響するため、続行するかどうか確認されます。
d
[Yes] (はい) をクリックして続行します。
これで、ポート G2/1-G2/2 が有効になります。
e
[Auto Negotiate] (オートネゴシエーション) チェックボックスをオンにし、[Speed (Duplex)] (速度 (二
重モード)) が [1 Gbps (Full)] (1 Gbps (全)) に設定されていることを確認します。
f
[Mode] (モード) ドロップダウンをクリックし、[In-line Fail-Open – Active] (インラインフェールオープ
ン - アクティブ) を選択します。
g
[Placement] (配置) ドロップダウンをクリックし、ポートの構成方法に応じて [Inside Network] (内部ネッ
トワーク) または [Outside Network] (外部ネットワーク) を選択します。
[Gx/1] または [xA] を [内部ネットワーク] として、[Gx/2] または [xB] を [外部ネットワーク] として選択
することをお勧めします。
h
[Save] (保存) をクリックします。
Sensor およびフェールオープンスイッチが設定されます。トラフィックがポートを通過するときは、ポートリ
ンクのステータスが [Up] に変わって緑色になります。
11
7
Web インターフェースを通じてフェールオープンスイッチを管理する
フェールオープンスイッチの IPv4 アドレスを構成している場合は、Web インターフェースを通じてフェールオ
ープンスイッチを管理できます。
a
フェールオープンスイッチの Web インターフェースにアクセスするには、構成済みのフェールオープンス
イッチの IPv4 アドレスを入力します。
フェールオープンスイッチの Web インターフェースがログオン画面に表示されます。
b
ログオンするには、デフォルトのユーザー名 McAfee00 と、デフォルトのパスワード McAfee00 を入力しま
す。
フェールオープン Web インターフェースのランディングページが開き、フェールオープンスイッチで構成されて
いる現在の設定に関する情報が表示されます。必要な設定の構成については、関連セクションで説明しています。
8
フェールオープンスイッチ用に TAP モードを有効にする
開始する前に
•
フェールオープンスイッチ用の IPv4 アドレスを設定します。
•
Web ブラウザーを使用してフェールオープンスイッチの Web インターフェースにアクセスでき
ることを確認してください。
TAP を使用してネットワークトラフィックを Sensor のモニタリングポートにルーティングする場合は、アクテ
ィブフェールオープンスイッチ用に TAP モードを有効にすることができます。
a
アクティブフェールオープンスイッチの Web インターフェースにログオンします。
デフォルトの認証情報を使用して Web インターフェースにアクセスします。 Web インターフェースの詳細
については、「Web インターフェースを通じてフェールオープンスイッチを管理する 12 ページの「」」を参
照してください。
12
b
[Bypass] (バイパス) タブをクリックして、[Bypass] (バイパス) 構成ページにアクセスします。
c
[HB active mode] (HB アクティブモード) ドロップダウンメニューをクリックして [Off] (オフ) を選択
します。
d
[Active bypass] (アクティブバイパス) セクションで [tap] を選択します。
e
[Apply] (適用) をクリックして設定内容を保存します。
これで、アクティブフェールオープンが TAP モードに設定されました。
TAP モードからインラインモードに戻す機能
a
[Bypass] (バイパス) タブをクリックして、[Bypass (バイパス)] 構成ページにアクセスします。
b
[HB Active mode] (HB アクティブモード) ドロップダウンメニューをクリックして [On] (オン) を選択
します。
c
[Apply] (適用) をクリックして構成内容を保存します。
フェールオープンスイッチがインラインモードで実行されるように構成されました。
9
SNMP トラップで通知を構成する
開始する前に
•
SNMP トラップを構成するには、SNMP サーバーとして機能するサーバーが必要になります。
iReasoning などの MIB ブラウザーがインストールされた Windows または Linux システムが、
SNMP サーバーとして機能します。
•
フェールオープンスイッチの IP アドレスにネットワーク内からアクセスできることを確認して
ください。
13
•
SNMP サーバーとフェールオープンスイッチが通信できることを確認してください。
•
また、フェールオープンスイッチによって送信されたアラートコードをデコードするには、MIB
ファイルを取得する必要もあります。これらのファイルはフェールオープンスイッチ固有のファ
イルで、テクニカルサポートに問い合わせることで取得できます。
フェールオープンスイッチの SNMP 機能は、SNMP トラップを通じて通知を送信することのみに使用で
きます。
a
フェールオープンスイッチの背面にある管理ポートに RJ-45 ケーブルを接続します。
b
もう一方の端をネットワークデバイスに接続し、ネットワークを通じて SNMP サーバーにアクセスできるよ
うにします。
c
フェールオープンスイッチの MIB ファイルを SNMP サーバーの適切な場所にコピーします。
d
Web インターフェースにログオンして、フェールオープンスイッチの IP アドレス、ネットワークマスク、
および SNMP Manager の IP アドレスを設定します。 Web インターフェースへのログオンの詳細について
は、「Web インターフェースを通じてフェールオープンスイッチを管理する 12 ページの「」」を参照してく
ださい。
ほかにも SNMP トラップに固有のさまざまなパラメーターを構成できます。これらのコマンドの
詳細については、
「フェールオープンスイッチのパラメーターを構成する 8 ページの「」」を参照し
てください。
e
Web インターフェースで、[SNMP] タブをクリックします。
[SNMP] 構成ページが表示されます。
14
f
SNMP サーバーの IPv4 アドレスを構成するには、[Server IP] (サーバー IP) フィールドに IPv4 アドレス
を入力します。
使用する認証情報は、フェールオープンスイッチのデフォルトの認証情報になります。
g
(オプション) 複数の SNMP アカウントを構成する場合は、[SNMP trap account] (SNMP トラップアカウ
ント) セクションで、[Operations] (オペレーション) ドロップダウンから [set] (セット) を選択します。
追加の SNMP トラップアカウントを構成しない場合、すべてのトラップは、ここで設定したメイン
の SNMP トラップアカウントにルーティングされます。
h
他のアカウントの IPv4 アドレスを入力します。
i
(オプション) 追加の SNMP サーバー用に代替 SNMPv3 パスワードを指定できます。
SNMP [コミュニティ] ストリングは、SNMPv1 と SNMPv2c プロトコルをサポートするデバイス
でのみ使用されます。 SNMPv3 では、ユーザー名とパスワード認証に加えて暗号化キーを使用しま
す。使用する SNMP ソフトウェアでコミュニティストリングを構成する必要がある場合は、この
ユーザーインターフェースの条件に関係なくコミュニティストリングを構成できます。
j
[Apply] (適用) をクリックして構成内容を保存します。
k
SNMP サーバーでこれらの設定を構成し、アクティブフェールオープンキット用に SNMPv3 トラップを有
効にします。
•
USM ユーザー: McAfee00
•
認証パスワード: McAfee00
•
セキュリティレベル: auth、priv
•
プライバシーアルゴリズム: AES
•
認証アルゴリズム: SHA
•
プライバシーパスワード: McAfee00
l
MIB ファイルを読み込みます。適切な MIB ファイルがない場合は、McAfee サポートに連絡してください。
m
SNMP サーバーとフェールオープンスイッチがネットワークを通じて通信できることを確認します。
SNMP トラップが SNMP サーバーに送信されるように、アクティブフェールオープンスイッチが構成されまし
た。複数の SNMP トラップアカウントを構成するオプションも使用できます。 SNMP サーバーにアクセスして
トリガーを表示します。
10 取り付けの確認
これらの手順に従って、設定が想定どおりに動作していることを確認します。
a
Manager で、インラインフェールオープンパッシブとして構成したポートの横にあるアイコンを確認しま
す。
[Up] と表示されている必要があります。
b
Sensor 上の[Bypass] (バイパス) の LED を確認します。
LED ステータス説明
ON (オン)
Sensor はインラインフェールオープンモード、インラインフェールクローズモード、
または TAP モードです。
OFF (オフ)
Sensor はバイパスモードです。
15
c
シャーシで [PWR] (電源) の LED を確認します。
使用している電源に応じて、[PWR] (電源) の LED が点灯します。
d
GE インラインフェールオープンポートのポートステータスと動作モードステータスを確認します。
以下の画像は、Sensor ポートが通常に動作しているときの通常モードのフェールオープンスイッチと、
Sensor のポートが停止しているときのバイパスモードのフェールオープンスイッチを示しています。
アイテム
説明
NRM (通常)
Sensor が通常モードで動作しているときに緑に点灯します。
WDT (ウォッチウォッチドッグタイマーを示します。 [Watch Dog Timer] (ウォッチドッグタイマ
ドッグタイマー) ー) の LED は、フェールオープンスイッチが通常モードかバイパスモードかに関係なく
常に黄色に点滅します。
点滅はハートビート信号がフェールオープン接続を通じて送信されていることを示しま
す。ウォッチドッグタイマーは、フェールオープンスイッチが Sensor を迂回している
場合でも常に点滅します。Sensor のモニタリングポートから正しいハートビートの状
態を常に送信、受信するためです。
BYP (バイパス)
フェールオープンスイッチがバイパスモードのときに赤く点灯します。
11 トラブルシューティング
Sensor が通常のインラインフェールオープンで動作している間、フェールオープンスイッチは常にハートビート
信号を Sensor に送信します。フェールオープンスイッチが設定された間隔で信号を受信しない場合、フェール
オープンスイッチはデータパスから Sensor を除外し、バイパスモードに移行します。このため、ネットワーク
はほとんど中断されません。
フェールオープンスイッチがバイパスモードで動作している間、トラフィックは Sensor をバイパスして直接ス
イッチを通過します。
Sensor で通常の動作が回復したら、Manager のインターフェースから手動でモニタリングポートを有効にする
必要があります。ただし、Sensor で発生した障害の原因によっては、手動で有効にする必要がない場合もありま
す。
16
次のセクションでは、Sensor をインラインモードに戻す方法について説明します。
Sensor に障害が発生するとどうなりますか?
Sensor でフェールオープンスイッチの障害が発生すると、次のイベントが、示されている順に発生します。
•
•
Manager の [System Health] (動作ステータス) ウィンドウに「[Sensor in bad health]」エラーまたは
「[Port pair is in bypass mode]」エラーが表示されます。
Sensor が再起動し、フェールオープンスイッチがトラフィックの転送を開始します。すべてのトラフィック
が Sensor をバイパスし、フェールオープンスイッチを経由します。これにより、トラフィックの中断を最小
限に抑えることができます。
Sensor が再起動すると、Sensor と接続されているデバイス間のリンクが切断されます。2 つのデ
バイス間のネットワークリンクを再度ネゴシエーションする必要があります。ネットワークの中
断は数秒から数分続く場合があります。これは、使用しているネットワークデバイスによって異な
ります。
•
再起動が完了すると、Sensor はハートビートを再開します。次のいずれかが実行されます。
•
前述のような通常の動作で再起動が行われた場合、フェールオープンスイッチは再び Sensor にデータ
を送信し、Sensor はインラインフェールオープンモードに戻ります。
•
エラーにより再起動が行われた場合、管理者が Manager で Sensor のポートを手動で再度有効にするま
で、フェールオープンスイッチは Sensor にトラフィックを送信しません。
ポートが有効になると、フェールオープンスイッチが Sensor 経由でのデータ送信を再開し、Sensor
がインラインモードに戻ります。
Sensor がインラインモードに切り替わる際にもリンクの再ネゴシエーションが行われるた
め、接続が短時間中断する場合があります。
•
Manager でエラーが発生しなくなり、通常の動作状態であることが報告されます。
よくある問題と解決方法
このセクションでは、設置に関する一般的な問題と解決方法について説明します。
問題
考えられる原因
解決方法
ネットワークまたはリンクに
問題がある。
配線が適切でないか、ポー送信ケーブルと受信ケーブルがフェールオープンス
トの構成が適切でない。
イッチに適切に接続されているかどうか確認してく
ださい。
Sensor の LED がオフになっ Sensor の電源が入ってい Sensor の電源を入れてください。
ている。
ない。
Sensor にケーブルが接続されているかどうか確認
Sensor のポートにケーブしてください。
ルが接続されていない。
Sensor は動作しているが、トネットワークデバイスのケーブルがネットワークデバイスとフェールオープ
ラフィックの監視を行っていケーブルが接続されていなンスイッチの両方に適切に接続されているかどうか
ない。
い。
確認してください。
Sensor で Sensor のポー Sensor で発生した障害によりポートが無効になっ
トが有効になっていない。ています。Sensor での監視を再開するには、
Manager でポートを再度有効にしてください。
17
問題
考えられる原因
スイッチとルーターでエラー
が発生する。
配線が適切でないか、ポー送信ケーブルと受信ケーブルがフェールオープンス
トの構成が適切でない。
イッチに適切に接続されているかどうか確認してく
ださい。
配線が適切でない。
Manager の [Operational
Status] (動作ステータス) ペ
ージに「Switch absent」とい
うエラーが表示される。
18
解決方法
送信ケーブルと受信ケーブルがフェールオープンス
イッチに適切に接続されているかどうか確認してく
ださい。
19
Copyright © 2015 McAfee, Inc. www.intelsecurity.com
Intel および Intel のロゴは、Intel Corporation における登録商標です。McAfee および McAfee のロゴは、McAfee, Inc. における登録商標です。
その他すべての登録商標および商標はそれぞれの所有者に帰属します。
20
700-4420B16

Download Report