ファイアウォール機能 管理者ガイド
目次 索引 前ページ次ページ
第3章 二重化システム(Solaris版)> 3.2 ネットワークの二重化> 3.2.5 環境設定> 3.2.5.2 設定手順

3.2.5.2.1 ファイアウォール（サーバ本体）上での実行環境設定

ファイアウォール（サーバ）上では、必要な製品のインストール、及び実行環境を設定します。

以下の手順で設定します。

  1. PRIMECLUSTER(GLS伝送路二重化機能)の導入

  2. PRIMECLUSTER(GLS伝送路二重化機能)の環境設定(NIC 切替え、高速切替え)

  3. PRIMECLUSTER(GLS伝送路二重化機能)の動作確認

  4. ファイアウォール機能導入

  5. ファイアウォール機能環境設定

  6. システムの再起動

    システムの再起動を行います。再起動後、管理コンソールからセキュリティポリシーを適用します。

以下に、設定手順の詳細について説明します。

■PRIMECLUSTER(GLS伝送路二重化機能)の環境設定

PRIMECLUSTER(GLS伝送路二重化機能)の環境設定では、ファイアウォール機能との連携を行うために、以下の設定を行ってください。PRIMECLUSTER(GLS伝送路二重化機能) の環境設定方法の詳細については、PRIMECLUSTER(GLS伝送路二重化機能) のマニュアルを参照してください。

◆ユーザコマンド実行スクリプト

以下に、PRIMECLUSTER(GLS伝送路二重化機能)のユーザコマンド実行スクリプトの作成方法について説明します。

  1. ユーザコマンド実行スクリプトの作成

    PRIMECLUSTER(GLS伝送路二重化機能) で提供されているユーザコマンド実行スプリプトのサンプルを利用します。

    # cd /etc/opt/FJSVhanet/script/interface
    # cp sha.interface.sam sha0

  2. ファイアウォール機能の起動コマンドの登録

    複写したスクリプトをエディタで編集し、インタフェース活性後にファイアウォールの初期化処理を実施するように、ファイアウォール機能の起動スクリプトを登録します。

  3. NIC 切替え仮想インタフェース分のスクリプトを作成

    NIC 切替え対象となるインタフェース分のスクリプトを作成します。すなわち、上記で作成したスクリプトを複写(sha1)し、ファイアウォール初期化処理の行（fwipinit_slを呼び出している行）を以下のように変更します（fwipinit_slに通知するインタフェース名（“sha1"）を変更します）。

■物理インタフェース情報設定

インタフェース情報設定コマンド（update_ifコマンド）が取り込むインタフェース情報を、インタフェース情報定義ファイルとして作成します。

以下の手順で、インタフェース情報定義ファイルを作成し、環境ファイルに反映してください。

  1. netstat コマンドの出力結果を、インタフェース情報定義ファイルにファイルに出力します。

    # /usr/bin/netstat -i -f inet > /var/opt/FSUNfwip/netstat_i

    # /usr/bin/netstat -ni -f inet > /var/opt/FSUNfwip/netstat_ni

  2. エディタを使用して、インタフェース情報定義ファイルを編集します。

    1. ファイアウォール機能が取り込まないインタフェース情報の削除

      PRIMECLUSTERで割り当てたインタフェース／IPアドレスを削除します。
      ファイアウォール機能は、システム二重化の系間パスで使用するインタフェース(cip0など)に対するフィルタリング条件は設定しません。

      ・ファイアウォール機能では、NIC 切替えの論理インタフェース(qfe0:1など)に対するフィルタリング条件は設定しません。論理インタフェースに対するフィルタ条件を設定する場合、対応する論理IPアドレス(qfe0:1など) を割り当てたホストを設定し、このホストに対するフィルタリング条件を設定してください。
      ・高速切り替えの仮想インタフェース(shaX)は、フィルタリング対象のため、削除する必要はありません。

    2. NIC 切替え時の待機インタフェースに対するIPアドレス割当て

      NIC 切替えの場合、待機中のインタフェースのIPアドレスは、0.0.0.0 で初期化されています。現用インタフェースの物理インタフェースのアドレスに変更してください。

  3. インタフェース情報定義ファイルの反映

    インタフェース情報定義ファイルに設定した物理インタフェース情報を環境設定ファイルに反映させるため、update_if コマンドを実施します。

    また、NIC 切替えの場合、待機側インタフェースはdown状態のため、物理インタフェース情報を正しく取得できません。

    このため、update_ifコマンドで物理インタフェース情報を環境設定ファイルに反映後、NIC 切替え時の待機側インタフェースのサブネット情報を設定してください。

    NIC 切替え時の待機側インタフェースのサブネット情報の設定方法については、環境設定ファイルの編集を参照してください。

    インタフェース情報定義ファイルが正しく作成されている場合、update_if コマンド実行時にインタフェースが in 側/ out 側のどちらのインタフェースであるか指定します。削除した不要なインタフェース情報について問合せが発生した場合、インタフェース情報定義ファイルが正しく作成されていません。一旦、全てのインタフェースに対して、 in または out を指定してコマンドを終了させ、ファイル内容およびパーミッションを確認し、再度、インタフェース情報の反映処理を実施してください。

物理インタフェース情報の編集方法

以下に、物理インタフェース情報の編集例について説明します。

  1. インタフェース情報の削除

    以下では、cip0の系間パスのインタフェースを削除しています。

  2. NIC 切替え時の待機インタフェースに対するIPアドレス割当て

    以下では、hme0/hme1、及びhme2/hme3 を NIC 切替えインタフェースとし、物理インタフェースのIPアドレスをそれぞれ192.168.0.1, 10.1.1.1とします。また、論理IPアドレスをそれぞれ 192.168.0.100, 10.1.1.100 とします。

    上記の編集を行い、インタフェース情報定義ファイルを保存します。

  3. ファイルアクセス権の設定

    インタフェース情報定義ファイルの owner 、アクセス権を設定します。

    設定内容

    設定値
    owner root
    アクセス権 0600

環境設定ファイルの編集

NIC 切替え時の待機系インタフェース情報の設定方法について説明します。

以下では、hme0とhme1がNIC 切替えインタフェースとし、待機系インタフェースをhme1とします。このとき、hme1のサブネットマスクは「24」が設定されていますので、適切なサブネットマスクを設定してください。

■二重化インタフェース設定

ネットワーク二重化機能で使用される論理インタフェース情報と物理インタフェース情報の設定を行います。

以下のファイルを作成してください。

以下の手順で、二重化インタフェースの設定ファイルを作成し、環境ファイルに反映してください。

  1. エディタを使用し、二重化インタフェース設定ファイルを編集します。

    ファイルの一行目には、必ず、定義開始を示す以下の文字列を設定してください。

    [REDUNDANCY]

    二重化インタフェース設定ファイルの設定方法は、利用するネットワーク二重化機能により異なりますので、注意してください。

  2. 二重化インタフェース設定ファイルの内容を動作環境に反映します。

    以下のコマンドを使用して、二重化インタフェース設定ファイルに設定した情報を、ファイアウォール機能の動作環境に反映します。

    1. 整合性チェック

      /opt/FSUNfwip/bin/fwchkclif -c

    2. 動作環境へ反映する

      /opt/FSUNfwip/bin/fwchkclif -s

      fwchkclifコマンドの詳細については、二重化情報の操作を参照してください。

目次 索引 前ページ次ページ
All Rights Reserved, Copyright (C) 富士通株式会社 2000-2006