説明
これは、デュアル サイト環境でセキュリティ グループを構成する方法の 1 つではありません。これは、Maestro Orchestrator (MHO) 間のサイト間通信にロード バランサが必要またはサポートされていないためです。
MHO は、サイト同期ポートと VLAN を使用して、サイト間のリソースと接続を同期します。
デュアル サイト構成の有効なシナリオは次の 3 つです。
*リモート サイトのオーケストレーター間の直接接続: このシナリオでは、サイトごとに 1 つずつ、2 つのオーケストレーターと、サイト同期ポートを使用したオーケストレーター間の直接接続が必要です。
*同じサイト上の 2 つのオーケストレーターは、2 つの異なるスイッチを介してリモート サイトのオーケストレーターに接続されます。このシナリオでは、サイトごとに 2 つずつ、計 4 つのオーケストレーターが必要であり、サイト同期ポートと QinQ および MTU をサポートする 2 つの外部スイッチを使用したオーケストレーター間の接続が必要です。インクリメント。
*同じサイト上の 2 つのオーケストレーターが 1 つのスイッチを介してリモート サイトのオーケストレーターに接続されます。このシナリオでは、サイトごとに 2 つずつ、計 4 つのオーケストレーターと、サイト同期ポートと QinQ および MTU をサポートする 1 つの外部スイッチを使用したオーケストレーター間の接続も必要です。インクリメント。
参考文献
*L2 スイッチを介した直接接続による Maestro デュアル サイト構成
*[デュアル サイト シングル Maestro ハイパースケール オーケストレーター クラスター (デュアル サイト シングル MHO 冗長性)]
*[マエストロのよくある質問 (FAQ)]

説明
Check Point Maestro HyperScale Orchestrator MHO-175 のポート マッピングに関するドキュメント 1 によると、ポート 1 ～ 4 は、MHO を SmartConsole や SmartDomain Manager などの顧客の管理インフラストラクチャに接続するために使用される管理ポートです。ポート 5 ～ 26 は、MHO をスイッチ、ルーター、ファイアウォールなどの顧客のネットワーク インフラストラクチャに接続するために使用されるアップリンク ポートです。ポート 27 -
47 は、MHO をセキュリティ グループ内のセキュリティ グループ モジュール（SGM）に接続するために使用されるダウンリンク ポートです。ポート 49 ～ 55 は、デュアル オーケストレータ環境で MHO を別の MHO に接続するために使用されるバックプレーン ポートです。
参考文献:
*マエストロ エキスパート (CCME) コース - チェック ポイント ソフトウェア、42 ページ
*Check Point Certified Maestro Expert (CCME) R81.X - グローバル ナレッジ、コース概要3
*Check Point Maestro HyperScale Orchestrator MHO-1751 のポート マッピング

説明
MHO (Maestro Hyperscale Orchestrator) 自体にはライセンスは必要ありませんが、MHO に接続されている各 SGM (Security Group Module) にはライセンスが必要です。ライセンス タイプは、SGM で有効になっている機能とブレードによって異なります。たとえば、SGM が VSX を実行している場合は、VSX ライセンスが必要です。
参考文献:
*マエストロ エキスパート (CCME) コース - チェック ポイント ソフトウェア、71 ページ
*Check Point Certified Maestro Expert (CCME) R81.X - グローバル ナレッジ、コース概要

説明
デュアル MHO 環境で MHO1 と MHO2 を SGM ラインカードに接続する正しい方法は、MHO1 に偶数番号のポートを使用し、MHO2 に奇数番号のポートを使用することです。これは、各 SGM が各 MHO への 2 つのダウンリンクを持ち、ダウンリンクが異なる NIC およびリンク間でバランスがとれるようにするためです。これにより、SGM と MHO 間のトラフィック フローに冗長性と高可用性が提供されます。
参考文献
*R81.20 Maestro チートシート バージョン 7 - Check Point CheckMates、2 ページ
*マエストロ エキスパート (CCME) コース - チェック ポイント ソフトウェア、18 ページ
*マエストロ テクニカル トレーニング、モジュール 2: マエストロ セキュリティ グループと単一管理オブジェクト、スライド 16

説明
コレクション レイヤは、同じ接続からのパケットがマルチ アプライアンス システム内の同じセキュリティ グループ モジュール（SGM）によって処理されることを保証する Maestro コンポーネントです。これは、クライアントからサーバに送信されたパケットが、サーバからクライアントに送信された同じセッションのパケットとは異なる SGM に分散される可能性があるため、NAT が関係する場合に特に重要です。その後、修正層はパケットを正しい SGM に転送する必要があります。
参考文献:
*セキュリティ ゲートウェイ上の NAT と修正層 - Check Point Software1
*解決済み: Maestro クエリ - Check Point CheckMates