読者です 読者をやめる 読者になる 読者になる

labunix's blog

labunixのラボUnix

WatchGuard XTM-2シリーズのバージョンアップ

■WatchGuard XTM-2シリーズのバージョンアップ

 WatchGuard XTM-2シリーズを触ってみた。
 http://labunix.hateblo.jp/entry/20160920/1474300370

■まずはRS-232Cで接続してログイン
 初期ログインユーザ	:root / status
 初期パスワード	:readwrite / readonly

$ sudo screen /dev/ttyS0 115200
WatchGuard-XTM login: admin
Password: 

■XTM25のバージョンは「11.9.5.B473275」

WG#show sysinfo 
--
-- System Information
--
system name         : WatchGuard-XTM
system model        : XTM25
contact             : system contact
location            : system location
system time         : 13:31:53GMT 10/18/2016
up time             : 0 days 1 hours 14 minutes 22 seconds
serial number       : XXXXXXXXXXXXX 
version             : 11.9.5.B473275
cpu utilization     : 1%(1 min)  2%(5 min)  1%(15 min)
memory usage        : 497304 kB(total)  216944 kB(free)  280360 kB(used)
time zone           : GMT+0:00 Greenwich Mean Time

■タイムゾーンの変更

WG(config)#system timezone 45
WG(config)#show sysinfo
...
time zone           : GMT+9:00 Osaka; Sapporo; Tokyo

■TrustedのIPアドレスを変更してWebUIで接続
 普通にIPアドレスを割り当てようとするとDHCPが。。。で失敗するので、
 セカンダリIPを割り当てる。

WG#show interface 
Enabled If-#  Name                    Address    Type/MTU  Status IP-Assignment IP-Node-Type  
 yes    0    External                0.0.0.0/0  EX/1500   down   DHCP          IPv4 Only     
 yes    1    Trusted                10.0.1.1/24 TR/1500   down   Static        IPv4 Only     
 yes    2    Optional-1             10.0.2.1/24 OP/1500   down   Static        IPv4 Only     
 yes    3    Optional-2             10.0.3.1/24 OP/1500   down   Static        IPv4 Only     
 yes    4    Optional-3             10.0.4.1/24 OP/1500   down   Static        IPv4 Only     
WG#configure
WG(config)#interface fastEthernet 1
WG(config/if-fe1)#ip address 172.31.31.249/24
Error: "The DHCP address pool 10.0.1.2-10.0.1.254 don't have available server address."

WG(config/if-fe1)#secondary 172.31.31.249/24

■WebUIの管理画面にログイン
 同じアカウントで二重にログイン出来ないので、コンソールはログオフしておく。
 初期セットアップウイザードで機能キーを有効にする。

 https://172.31.31.249:8080/

WatchGuard-XTM login: status
Password:

WG>show feature-key 
--
-- Total 1 Feature-Key(s)
--
Feature-Key ID      Feature-Key Name              Expiration Date     
XXXXXXXXXXXXX       XX-XX-20XX_07:07              never 

■一つ前の「Fireware v11.11.2」か最新版の「Fireware v11.11.4 Update 1」がアップグレード先。
 WebUIからアップグレードするためのZIPファイルをサポートサイトから入手。
 リリースノート(英語)で「Fireware XTM v11.9 or higher」の前提条件を満たしていることを確認、
 WebUIの「システム」->「OS のアップグレード」でアップグレードする。
 「Technical Search」で「Known Issue」を確認する限り、どちらでも良さそうなので、
 とりあえず「11.11.2」を適用する。

 Fireware 11.11.2 Sysa-dl for OS updates from the Web UI
 Fireware 11.11.4 Update 1 Sysa-dl for OS updates from the Web UI

$ openssl sha1 < xtm_xtm2a6_11_11_2.zip 
(stdin)= 5d9e14f83c203b2880554c05aebcd68c4a5ae8d1

$ unzip xtm_xtm2a6_11_11_2.zip
Archive:  xtm_xtm2a6_11_11_2.zip

■アップグレード、再起動後の確認

WatchGuard-XTM login: status
Password: 

WG>show sysinfo
...
version             : 11.11.2.B508770
...

WG>show upgrade 
--
-- Total Upgrade History 3 Line(s)
--
Time                  Action      Version  Build          Status   Comment            
9/27/2014:00:00:00    Install     11.9.5   473275         Success  Install completed  
10/18/2016:14:45:12   Upgrade     11.11.2  508770         Success  SYSA | Upgrade completed

■Windowsで管理するためのFirmWareとWSMをダウンロード、インストール
 WSMで接続、GatewayAntiVirusのポリシーを1つ、「Any -> Any」で作って問題なければ良しとする。

 Fireware 11.11.2
 WatchGuard System Manager 11.11.2

WG>show rule DNS-proxy
--
-- Policy Rule <DNS-proxy>
--
rule position                  : 5
name                           : DNS-proxy
enable                         : Yes
schedule                       : Always On
--
-- Traffic Specifications...
--
from alias list                : [Any]
to alias list                  : [Any]
service                        : DNS-proxy
ips                            : enable
--
-- Actions...
--
static-nat                     : None
connections are                : Allowed
proxy action                   : DNS-Outgoing
Connection rate                : 0 per second
forward traffic mgmt           : disabled
reverse traffic mgmt           : disabled
policy routing                 : disabled
Send log message               : Enabled
Send log message for reports   : Disabled
Send SNMP Trap                 : Disabled
Send notification              : Disabled
icmp handling                  : use global settings
idle timeout                   : 0 second(s)
Auto blocked                   : Disabled
global 1to1 nat                : not use
global dnat                    : not use
dnat all-traffic in policy     : not use
QoS marking type               : No Marking
QoS marking method             : Preserve
Prioritize Traffic Based On    : QoS Marking
Value                          : 0 (Normal)
Application Blocking           : None
Time and bandwidth quotas      : Disabled            
Mobile Security Management     : Disabled            
Drop connections from non-compliant managed mobile devices: Disabled 

■NTPサーバの設定変更

WatchGuard-XTM login: admin
Password: 

WG#configure
WG(config)#show ntp
--
-- NTP Properties
--
Synchronize time using NTP: enable
Device as an NTP server   : disable
number of server(s)       : 3
--
-- NTP Server(s)
--
0.pool.ntp.org
1.pool.ntp.org
2.pool.ntp.org

WG(config)#no ntp server domain 0.pool.ntp.org
WG(config)#no ntp server domain 1.pool.ntp.org
WG(config)#no ntp server domain 2.pool.ntp.org
Error: "You must configure at least one NTP server."
WG(config)#ntp server ip 172.31.31.252
WG(config)#no ntp server domain 2.pool.ntp.org
WG(config)#show ntp 
--
-- NTP Properties
--
Synchronize time using NTP: enable
Device as an NTP server   : disable
number of server(s)       : 1
--
-- NTP Server(s)
--
172.31.31.252

WG(config)#show clock 
--
-- System Clock
--
Wed Oct 19 00:13:37 JST 2016
--

■プロキシの設定

WG(config)#signature-update http-proxy-server enable 
WG(config)#signature-update http-proxy-server address ip 172.31.31.60
WG(config)#signature-update http-proxy-server port 8080
WG(config)#signature-update update GAV
WG(config)#show signature-update 
--
-- Signature Update Configuration
--
server URL                          : https://services.watchguard.com
automatic update interval           : 1(hour(s))
automatic IPS signature update      : disabled
automatic GAV signature update      : disabled
automatic DLP signature update      : disabled
automatic Botnet signature update   : enabled
--
-- Proxy Server Configuration
--
proxy server address           : 172.31.31.60
proxy server port              : 8080
server authentication          : NoAuth

■DNSの設定

WG(config)#ip dns server 172.31.31.251
WG(config)#ip dns forwarding enable 
WG(config)#show ip dns 
--
-- DNS Properties
--
Domain name   : 
DNS forwarding: Enabled
Number of server(s): 1
--
-- DNS Server(s)
--
172.31.31.251

WG(config)#exit

WG#dnslookup watchguard.com
Address: [64.94.120.2]

■ネットワークモードの確認
 gatewayがどのモードでもeth0(External)に紐付く点に注意。

WG#show network-mode 
--
-- System Mode Properties
--
mode: drop-in
address: 172.31.31.249
netmask: 255.255.255.0
gateway: 172.31.31.252
interface-name              auto-host-mapping   
External                    enable              
Optional-1                  enable              
Optional-2                  enable              
Optional-3                  enable              
Trusted                     enable              
DHCP service                  : disable
--
-- Total 1 Related Host(s)
--
          if-num    ip-address     
          eth0      172.31.31.252  

■その他CLI操作のヘルプ

 http://www.watchguard.com/help/docs/fireware/11/en-US/CLI/index.html