Panda MOP のファイアウォール設定方法

さて、前回は Panda MOP (Managed Office Protection) インストールのトラブルについて書いたのですが、うまくインストールできた MOP の設定もぼちぼち始めています。WebAdmin と比較すると、アンチウィルス機能にファイアウォール機能が追加になっているところが大幅なアップグレードなのではないかと思います。

　アンチウィルスとファイアウォールのどちらをインストールするかは、Web 管理画面（https://managedprotection.pandasecurity.com/console/）のプロファイルで設定します。
　最初は DEFAULT プロファイルしかありませんが、新しいプロファイルを追加していくことによって、アンチウィルスとファイアウォール機能のインストールおよび設定条件を細かく指定していくことができます。

　
　ファイアウォールの設定は、プロファイルページの左に表示される「ファイアウォール」をクリックします。同じプロファイルを持つコンピュータに対し、まとめてファイアウォールを適用することも、クライアント側で個別にファイアウォールを適用することができるのも特長です。管理するコンピュータ台数が多い場合は、サーバ側で一括管理するのが楽かもしれません。

　デフォルトで Panda ルールが適用されるので、基本的なファイアウォール設定は自動的に行われますが、管理者が個別にルールを追加することもできます。使用する通信系プログラムがわかっている場合は「プログラム」、ポート別に管理する場合は「システム」を選択して設定項目を入力します。

　この設定はリアルタイムに反映されるわけではないので、設定後に次回自動更新のタイミングまで待つか、クライアント側で個別にアップデートを実行します。
　

Panda Managed Office Protection に泣かされる

　Panda WebAdmin AntiVirus （以下Webadmin）の後継版として Panda Managed Office Protection （以下 MOP）がリリースされました。これにより、WebAdmin の提供は今年一杯になるそうです...。
　ということは、WebAdmin を適用済みのすべてのコンピュータに於いて今年中に MOP への移行が必要になるというわけです。

　WebAdmin の提供が近々終了になるだろうということはある程度予想していたため、英語ベータ版としてリリースされていた MOP を 8 月中旬あたりから少しずつテストインストールしてきたのですが、インストールなんて簡単という予想に反し、トラブルが続出してしまったため、ベータ版の段階から MOP に対する不安が一気に募ってしまいました。

　当方で発生したトラブルはこのような感じです。

1. Vista に MOP をインストールした後に Panda アイコンをマウスで右クリックして表示される Update メニューで定義ファイルの更新を行おうとすると、以下のメッセージが出てプログラムがクラッシュする。

Panda Interface Manager Application [Local and Mail Alerts] は動作を停止しました。

2. 弊社の Windows XP 機においては、MOP インストール途中に再起動を促すメッセージが表示され、その指示に従って再起動を行うと、また同じ再起動メッセージが表示され、延々と再起動のループから抜けられなくなる。

3. Windows Server 2008 で MOP をインストール中に、「Downloading signature file」でエラーが発生してしまい、先に進めなくなる。
　　この現象については、SonicWall のセキュリティ設定を修正したところ、無事インストールが続行できるようになりました。


　一応その他の Windows Server 2000, 2003, Windows XP マシンには MOP のインストールに成功したのでホッとしておりますが、上記 1.、2. については未決のまま....。まだ泣かされております。

　現在、WebAdmin お使いで MOP について御存じない方は、この機会に以下の情報をご覧になることを強くお勧めしたいと思います。
　Panda WebAdmin Antivirus製品の販売及びサポート終了(END OF LIFE)
　および後継製品Panda Managed Office Protectionへのマイグレーションのご案内

拠点間VPNネットワークの構築 (2) --- 回線の冗長化

近年、インターネット回線やルータなどのネットワーク機器はかなり安定してきているようですが、回線かルータのいずれかが落ちると拠点間の通信は一切できなくなるので、冗長化する --- 回線とルータを複数用意する--- ことが重要です。　

【回線とルータの冗長化イメージ図】

上図のように、重要な拠点間の回線とルータは二重化または多重化しておきます。　回線は異なるキャリアのものを使用し、一つのキャリアの回線（例：NTT Bflets）が落ちても、生きている他のキャリア（KDDI）に切り替えて運用を継続します。　回線の切替は自動的に実行される（SonicWALLによる冗長化の例）が理想ですが、そのようなネットワーク構成は通常、高額になります。　よって、規模の大きくない拠点においては、障害発生時は手動によりTCP/IPプロパティのデフォルトゲートウェイを切り替えれば良いでしょう。　また、回線にかかる負荷を分散させるために、拠点にあるPCの何台かを1つの回線へ、残りのPCをもう一つの回線へと、通信をゲートウェイの指定により割り振るのも良いと思います。


デフォルト ゲートウェイの冗長化に関するメモ
TCP/IPプロパティのデフォルトゲートウェイに複数のルータのIPアドレスを指定して冗長化すれば、ルータの障害発生時に自動的にゲートウェイを切り替えてくれる筈だが、冗長設定を行うと、通信が不安定になる（断続的に切断される）ので要注意。


回線メモ
◇KDDI
インターネットゲートウェイ　
イーサシェア　光ファイバー、100Mベストエフォート型、￥184,800/月～（関東）　*1
Business-ADSL　下り最大12Mbps/上り最大1Mbps、ベストエフォート型、￥27,000/月～　*2

1. 田舎は使用できないところが多そう。
2. 微妙に（一部）NTTの電話網を使っているようで、NTTが落ちた場合、影響を受ける可能性有。

◇Usen
光ビジネスアクセス　　光ファイバー、100Mベストエフォート型、￥52,500/月～

• 田舎では使用できない。

拠点間VPNネットワークの構築 (1)

一昔前であれば、膨大な初期費用とランニングコストを要した拠点間の高速ネットワーク。　近年の光回線等のブロードバンドと、各種ネットワーク関連機器の普及と低価格化により、従来に比し非常に低価格で実現できるようになりました。 今回は最近、小社で手がけた小規模な支店間VPNネットワークの構築について紹介します。


要件定義（お客様、ご要望）

1. 4拠点間+α　VPNネットワーク構築
2. 回線冗長性（ルータや回線障害時に回線を切り替え、業務を継続できること）
3. 主なアプリはFileMaker Pro 5.5
4. Windows Server 2008 と Terminal Service を導入、支店でも社内LAN並みのパフォーマンスを出すこと
5. 堅牢なセキュリティ環境と集中監視・管理
6. システム管理者が拠点のネットワークを遠隔保守
7. 初期コストを最小化する
8. 社内システム管理者の負担を最小化
9. 拠点間の通信コスト限りなく０に、そしてスムーズな意思疎通

と、テンコ盛りの要件、しかも低予算...

1.　4拠点間+αのVPNネットワークを構築する

本社、工場、支店、土屋企画、出先ノートPC(緊急対応用)間のVPNネットワークを構築。 　このうち、本社、工場、土屋企画間はSite-to-Site VPN（SonicWALL TZ180同士で暗号化）、支店と出先ノートPCはVPNクライアントにGVP(SonicWALL Global VPN Client)を使用。

4.　回線冗長性

万が一の回線やルータ障害の時にも、工場で生産や配送の指図書や送状が照会・印刷できますように。　大分前ですけど、OCNが大規模回線障害で何時間も不通になってる、って、NHKの夜のニュースでやってもやってましたね。　はい、うちも被害者です。

3.　主なアプリはFileMaker Pro 5.5

少しはクライアント/サーバっぽいFileMaker 8.5とか9を使うと、クライアント⇔サーバ間のパフォーマンスもよくなると思うんですけどね…　　お客様の暗黙の（しかも強力な）要請により、既存のFileMaker Pro 5.5/FileMaker Pro Server 5.5によるシステムを継続利用。　既存システムのできる限りの延命も重要なミッションでございます。

4.　Windows Server 2008 と Terminal Service を導入

「2008でFileMaker Pro 5.5が動くん？」　---　Ans：はい、立派に動いてますね。　しかもTerminal Server 上で。　

「印刷は？　ローカルディスク利用は？」　--- Ans：お客さんの環境では、問題なく動作しておりますです。　

「で、Vistaは？」　---　Ans:動くかも…

5.　堅牢なセキュリティ環境と集中監視・管理

SonicWALL　と Panda で、統合的、集中的な管理。企業の社会的信用にかかわるセキュリティ関連リスクの低減に、万全を期しましょう。

6.　システム管理者が拠点のクライアントPCを含むデバイスを保守

遠隔地よりシステム管理者（≒小社）が、サーバ、クライアントPC、ルータ(SonicWALL)、プリンタ等を管理・保守できるようにしています。　請け賜っているのは SonicWALLの保守と各PCのセキュリティ管理だけなのですが、「これ、セキュリティの問題ではありませんね」って言えるまでの調査過程で、大体は原因が判明してしまうんですけどね。

7.　初期コストを最小化する

• Dell PowerEdge R300 (RAID 1)
• Windows　Server　2008　+　Terminal Service Client ラインセンス
• SonicWALL TotalSecure TZ-180 ×　4台
• Panda WebAdmin クライアントライセンス（追加ユーザ分）

合計60万位。　既成のハード/ソフトだけでこれだけはどうしてもかかってしまいます（クライアントPCやプリンタは既存のモノで新規導入無し）。　ホントに大変なのは、これらの機器やソフト、PC、プリンタを最適に設定して、テスト、テスト、そしてテスト。この部分は小社の営業努力で ･ﾟ･(ﾉД`)･ﾟ･

8. 社内システム管理者の負担を最小化する

経営者　　「システム、特にセキュリティなんかじゃ飯は食えんのよ」

小社　「ごもっともでございます（トホホ...）」

9.　拠点間の通信コストを抑える

IP電話より、Skypeとか、AOL IMの方が、使い勝手も、生産性が高いですね。

(続く)