VPN-1/FireWall-1 アップグレード手順書

IPSO6.2 / R7x VRRP 構成

2011 年 8 月 株式会社アズジェント テクニカルサポートセンター

文書番号： IPFW-00007-01

1 / 20

IPFW-00007-01

目次

はじめに.................................................................................................................................2 1. 準備するもの .....................................................................................................................4 2. 構成図 ..............................................................................................................................5 3. アップグレード作業 ............................................................................................................6

3-1． Security Management を R75 にアップグレードしライセンスを投入する .............7 3-２． gw02 を R75 にアップグレードしライセンスを投入する.......................................13 3-３． gw02 にポリシーインストールを行う...................................................................14 3-４． VRRP master を gw01 から gw02 に切り替える ..............................................16 3-５． gw01 を R75 にアップグレードしライセンスを投入する.......................................17 3-６． gw01 にポリシーインストールを行う...................................................................18 3-７． VRRP master を gw02 から gw01 に切り替える ..............................................20

本書で使用する製品名は各社の商標または登録商標です。 本文中では、®、©マークは省略しています。 Copyright © 2011 Asgent, Inc. All rights reserved. 本書は株式会社アズジェントが権利を有します。 本書に記載された事項は将来予告なしに変更することがあります。 本書の作成には細心の注意を払っておりますが、本書の内容に起因する直接的および間接的な

損害の一切につき、株式会社アズジェントは何ら責任を負わないものとします。

2 / 20

IPFW-00007-01

はじめに

対象読者 本文書は、Check Point IP アプライアンス、Check Point Software Blade のユーザを対象に書

かれています。したがって読者が次の事項についての基本的な理解と実務知識を持つものと仮定

します。 ・ TCP/IP ・ システム管理 ・ UNIX および Windows OS の基礎的なオペレーション 概要 この文書は、Check Point IP アプライアンスのルータ冗長化プロトコル VRRP と Check Point R7x のステート同期機能を併用する構成で、IPSO と Check Point R7x のアップグレードを行う際

の手順の概要について説明するものです。手順の詳細については関連する各ドキュメントをご参

照ください。 対象バージョン

アップグレード前： IPSO 6.2 以降、Check Point R70 以降 アップグレード後： IPSO 6.2 以降、Check Point R70 以降

本文書のベース： アップグレード前： IPSO 6.2 GA024、Check Point R70 アップグレード後： IPSO 6.2 GA055B01、Check Point R75

表記規則

AaBbCc123 画面表示を示します AaBbCc123 ユーザの入力を示します AaBbCc123 コメントを示します

注意事項

本書に記載の手順の詳細については関連する各ドキュメントをご参照ください。 本書に記載の手順は、リスクを 小限に抑えることを考慮しておりますが、通信断が発生しな

いことを保障するものではありません。 本書に記載の手順は、本書指定の構成において有効なものであり、異なる環境下では必要と

3 / 20

IPFW-00007-01

なる手順が異なる場合があります。 作業途中で、サポート対象外の構成となる段階があります。作業開始後は速やかに 後まで

作業を行ってください。 HFA、Hotfix を適用する場合は、本書に記載のアップグレード作業の手順を全て完了してか

ら適用してください。またその場合は VRRP を構成する全ての Security Gateway に同じバ

ージョンの HFA、Hotfix を適用してください。

4 / 20

IPFW-00007-01

1. 準備するもの

● Software Blade 用ライセンス ※ 現在 NGX ライセンスを使用している場合には Software Blade ライセンスを用意する必要があ

ります。 Security Management 用ライセンス ×1 Security Gateway 用ライセンス ×2 ● R75 のインストールイメージ ※ インストール CD 及びライセンスを入手するには弊社保守サポート Web でお手続きください。 http://www.asgent.co.jp/Maintenance/CPFW1/informations/ngx_versionup.html ※ IPSO 用の R75 インストールイメージは弊社保守サポート Web より入手できます。 http://www.asgent.co.jp/Maintenance/CPFW1/R75/index.html ● FTP サーバ IPSO のインストール用（FTP インストールを行う場合のみ） ● 参考資料 ・ Check Point IP Appliance インストール&アップグレードガイド ・ VRRP & Check Point IP Appliance ステート同期設定手順書 ・ Check Point R7x Release Notes （英語） ・ Installation and Upgrade Guide （英語） ※これらのドキュメントは弊社保守サポート Web より入手できます。

5 / 20

IPFW-00007-01

2. 構成図

次の構成を例にアップグレード作業の手順を説明します。gw01、gw02 の両機は正常にステート同

期が行えており、Security Management からポリシーインストールが可能な状態を前提とします。

ホスト名 バージョン インターフェース IP アドレス

外部 192.168.0.101 内部 10.10.144.101

gw01 IPSO6.2 GA024 / R70（Security Gateway）

ステート同期 172.16.0.1 外部 192.168.0.102 内部 10.10.144.102

gw02 IPSO6.2 GA024 / R70（Security Gateway）

ステート同期 172.16.0.2 外部 192.168.0.100 （仮想 IP アドレス） - 内部 10.10.144.100

mgmt Windows 2003 Server SP2 / R70（Security Management）

- 10.10.144.200

6 / 20

IPFW-00007-01

3. アップグレード作業

アップグレード作業の概要は下記の通りです。 ※gw01 が VRRP master 機、gw02 が VRRP backup 機の前提とします。

1. Security Management を R75 にアップグレードしライセンスを投入する 2. gw02 を R75 にアップグレードしライセンスを投入する 3. gw02 にポリシーインストールを行う 4. VRRP master を gw01 から gw02 に切り替える 5. gw01 を R75 にアップグレードしライセンスを投入する 6. gw01 にポリシーインストールを行う 7. VRRP master を gw02 から gw01 に切り替える

以下で、それぞれの手順について説明します。

7 / 20

IPFW-00007-01

3-1． Security Management を R75 にアップグレードしライセンスを投入する

① Security Management のバックアップを保存する upgrade_export ツールを使用してバックアップを保存します。

※ 手順の詳細については、Installation and Upgrade Guide を参照してください。

② Security Management を R70 から R75 にアップグレードする

※ 手順の詳細については、Installation and Upgrade Guide を参照してください。 ※ Security Management のバージョンが Security Gateway より上位の構成はサポー

トされています（R75 の Security Management が管理できる Security Gateway の

バージョンは R65 以上です）。 ※ Security Management サーバの再起動時に、ファイアウォールログの欠落が発生し

ます。 ※ 自動的にファイアウォールログが新しいバージョンのフォルダへコピーされる為、

Security Management に大量のファイアウォールログが保存されているとアップグレ

ードに時間がかかります。またディスク容量を圧迫する恐れもある為、ファイアウォール

ログは事前に他の場所に退避させることを推奨します。

1. インストール CD を実行してウィザードを開始し、画面の指示に従って進みます（CD が

自動実行されない場合は CD 内の setup.exe を実行します）。

8 / 20

IPFW-00007-01

2. 下記の選択画面で”Upgrade”を選択し、次に進みます。

3. 途中、support contract の投入についての画面が表示されますが、ここでは

”Continue without contract information (download later using SmartUpdate)”にチェックを入れて次へ進みます。

9 / 20

IPFW-00007-01

※Check Point R71 より、IPS contract が導入されました。IPS contract は、ユー

ザーが IPS アップデートを行う為の有効な期限のライセンス(IPS Service Blade)を所有しているかどうかを確認し、所有していない場合には、利用できる IPS プロテク

ションを制限する為のものです。IPSアップデートを利用する場合には IPS Contract 適用手順書を参照して IPS Contract を適用してください。

4. 画面の指示に従ってウィザードを完了し、サーバを再起動してください。

10 / 20

IPFW-00007-01

③ Security Management にライセンスを投入する

※これまで NGX ライセンスを使用していた場合には、Software Blade ライセンスを投入

して NGX ライセンスを削除する必要があります。 コマンドプロンプトより cpconfig コマンドを実行して ConfigrationTool を表示させ、

Software Blade ライセンスの投入と NGX ライセンスの削除を行います。

11 / 20

IPFW-00007-01

④ ポリシーインストールを行う

ルールやオブジェクトなどの設定が引き継がれていることを確認した上で、ポリシーインスト

ールを行います。 【アップグレード前（R70）】

【アップグレード後（R75）】

12 / 20

IPFW-00007-01

【ポリシーインストール完了】

13 / 20

IPFW-00007-01

3-２． gw02 を R75 にアップグレードしライセンスを投入する

※ 各手順の詳細については、Check Point IP Appliance インストール&アップグレードガイド

を参照してください。

① ga02 のネットワークケーブル（ステート同期用のケーブルを含む）を抜線してネットワーク

から切り離す （Security Management、FTP サーバ、Voyager 操作端末との接続は残す）

② Voyager で gw02 にログインし、バックアップを保存する ③ コマンドラインもしくは Voyager から IPSO をアップグレードする

④ コマンドラインもしくは Voyager からファイアウォールをアップグレードする

⑤ Software Blade ライセンスを適用して NGX ライセンスを削除する

（※NGX ライセンスを使用していた場合）

14 / 20

IPFW-00007-01

3-３． gw02 にポリシーインストールを行う ※ 以下の手順では Gateway オブジェクト gw01 を Cluster オブジェクトから分離します。しかし、

制限版ライセンスを使用している場合、Gateway オブジェクトを Cluster オブジェクトから分

離するとサイト数の制限が原因でポリシーインストールを行えなくなる可能性があります。そ

の場合は、Clusterオブジェクトから分離したGatewayオブジェクトgw01をいったん削除し、

gw01 のアップグレード後に再度オブジェクトを作成し SIC を張り直してください。なお、

SmartDashboard 上で gw01 のオブジェクトを削除しても gw01 の通信処理の動作に影響は

ありませんが、ログ送信など Security Management との通信は行えなくなります。

① SmartDashboard で Cluster オブジェクトから gw01 を分離する オブジェクトのリストから gw01 を選択して右クリックし、”Detach from Cluster”を選択しま

す。

15 / 20

IPFW-00007-01

② Cluster オブジェクトにポリシーインストールを行う 1. Cluster オブジェクトのバージョンを”R75”に変更します。

2. Installation Targets から gw01 を除外して Cluster オブジェクトにのみポリシーインス

トールを行います。

16 / 20

IPFW-00007-01

3-４． VRRP master を gw01 から gw02 に切り替える

① 抜線していた gw02 のネットワークケーブルを結線する （ステート同期用のケーブルは抜線したままにする）

② ga01 のネットワークケーブルを抜線してネットワークから切り離す

（Security Management、FTP サーバ、Voyager 操作端末との接続は残す） ※通信断が発生します。

③ gw02 が VRRP master となることを確認する

Voyager もしくはコマンドライン（clish –c ”show vrrp”）で gw01、gw02 の VRRP 状態を

確認します。

gw01 gw02

※ VRRP を構成しているインターフェースの

内、リンクアップしているインターフェースの数

が”In Backup state”に表示されます。

※ VRRP を構成している全てのインターフェー

スの数が”In Master state”に表示されます。

17 / 20

IPFW-00007-01

3-５． gw01 を R75 にアップグレードしライセンスを投入する

※ 各手順の詳細については、Check Point IP Appliance インストール&アップグレードガイド

を参照してください。

① Voyager で gw01 にログインし、バックアップを保存する ② コマンドラインもしくは Voyager から IPSO をアップグレードする

③ コマンドラインもしくは Voyager からファイアウォールをアップグレードする

④ Software Blade ライセンスを適用して NGX ライセンスを削除する

（※NGX ライセンスを使用していた場合）

18 / 20

IPFW-00007-01

3-６． gw01 にポリシーインストールを行う ① SmartDashboard で Cluster オブジェクトに gw01 を追加する

1. gw01 の Gateway オブジェクトのバージョンを R75 に変更します。 （gw01 のオブジェクトを削除している場合には、オブジェクトを再作成して SIC の張り直し

を行ってください。）

2. Gateway Cluster Properties で gw01 を Cluster メンバーに追加します。

19 / 20

IPFW-00007-01

② Cluster オブジェクトにポリシーインストールを行う 1. Cluster オブジェクトが対象となっていることを確認してポリシーインストールを行いま

す。

2. ポリシーインストールが成功したことを確認します。

20 / 20

IPFW-00007-01

3-７． VRRP master を gw02 から gw01 に切り替える ① gw01 と gw02 のステート同期用のケーブルを接続して同期の状況を確認する ※ ステート同期の動作確認方法は VRRP & Check Point IP Appliance ステート同期設定

手順書を参照してください。 ※ Full Sync を行わせたい場合は同期インターフェースを接続した上で gw01 において

cpstop / cpstart を実行してください。

② gw01 のインターフェースをすべて接続し、gw01 が VRRP Master となることを確認する Voyager もしくはコマンドライン（clish –c ”show vrrp”）で gw01、gw02 の VRRP 状態を

確認します。

gw01 gw02

※ VRRP を構成している全てのインターフェー

スの数が”In Master state”に表示されます。

※ VRRP を構成している全てのインターフェー

スの数が”In Backup state”に表示されます。

以上でアップグレード作業は完了です。