スタックの作成

新しい物理 QRadar® Network Packet Capture スタックを作成して、キャプチャー・データに使用可能なストレージ・スペースを増やします。

始める前に

スタックを作成する前に環境を準備します。
  • 最大で 16 台のアプライアンス (スタック・コントローラーを含む) をスタックできます。 2 つのアプライアンス間の最大物理ケーブル接続距離は、10 メートルです。
  • スタック内のすべてのアプライアンスが同じバージョンの QRadar Network Packet Capture ソフトウェアを実行していることを確認します。
  • すべてのアプライアンスが 1 つのグループ内にあるようにします。 詳しくは、 グループ化されたアプライアンスを参照してください。
  • すべてのアプライアンスが互いに通信できるように、アプライアンスを接続してリングを形成します。 ケーブル接続図の例については、 トポロジーのスタッキングを参照してください。
    注: ルーティングと切り替えは許可されません。 ピアツーピア接続のみが許可されます。

手順

  1. スタック・コントローラーで、(TAP ポイントである) モニター対象のスイッチまたは SPAN ポートにポート 2 を接続します。
  2. オプション。 スタック・コントローラーで、ポート 3 を QRadar QNI アプライアンスに接続します。
    ポート 3 は、すべてのキャプチャー・データを QNI アプライアンスに再送するために使用されます。 データは、高精度のデータ・キャプチャー・タイム・スタンプがフレームに埋め込まれた特殊なフォーマットで再送されます。
  3. スタック・ノードでポート 0 とポート 1 を接続してリングを形成します。
    注: スタック・ノードの場合、ポート 2 および 3 を使用してはなりません。

例

以下の図では、1 つのスタック・コントローラー (アプライアンス A) および 3 つのスタック・ノード (アプライアンス B、C、およびP) が含まれたサンプル・トポロジーを示します。

リングを形成するために、ポート 0 および 1 を使用して NT40E3-4 ポートを接続します。
  1. アプライアンス A (ポート 0) がアプライアンス B (ポート 1) に接続されている。
  2. アプライアンス B (ポート 0) がアプライアンス C (ポート 1) に接続されている。
  3. アプライアンス C (ポート 0) がアプライアンス A (ポート 1) に接続されている。
図 1. QRadar Network Packet Capture のサンプル・トポロジー。
スタック・コントローラーは、着信キャプチャー・データと発信再送キャプチャー・データとともに、ダイアグラムの下部に表示されます。 スタック・コントローラーは、スタック・ノードと相互接続されています (コントローラーを含め、最大 16 ノードがあります)。 スタック・コントローラーはスタック・ノードでもあります。 各スタック・ノードには SmartNIC とデータベースがあり、スイッチと管理ネットワークへの双方向接続があります。