Актуализиране на Check Point от R77.30 на 80.20

През есента на 2019 г. Check Point спря да поддържа версии R77.XX и беше необходимо да се актуализира. Вече беше казано много за разликата между версиите, плюсовете и минусите на преминаването към R80. Нека по-добре да поговорим за това как всъщност да актуализираме виртуалните устройства на Check Point (CloudGuard за VMware ESXi, Hyper-V, KVM Gateway NGTP) и какво може да се обърка.

И така, имахме 2 инженера на CCSE, повече от дузина виртуални клъстери Check Point R77.30, няколко облака, няколко актуални корекции и цяло море от различни грешки, проблеми и всичко това, от всички цветове и размери, и също много кратки срокове. Да тръгваме!

Съдържание:

Обучение
Актуализиране на сървъра за управление
Актуализиране на клъстера

Ето как изглежда облачната инфраструктура на типичен клиент с виртуална Check Point

Обучение

Първата стъпка е да проверите дали има достатъчно ресурси за актуализацията. Препоръчителните минимални изисквания за R80.20 в момента изглеждат така:

Приспособление

процесор

RAM

HDD

Шлюз за сигурност

сърцевина 2

4 Gb

От 15 GB

SMS

сърцевина 2

6 Gb

-

Препоръките са описани в документа CP_R80.20_GA_Бележки по изданието.

Но ще бъдем реалисти. Ако това е достатъчно в най-минималната конфигурация, тогава, както показва практиката, обикновено имаме активирана https проверка, SmartEvent работи на SMS и т.н., което, разбира се, изисква напълно различен капацитет. Но като цяло не повече от R77.30.

Но има нюанси. И те се отнасят преди всичко до размера на физическата памет. Много операции директно по време на процеса на актуализиране ще изискват място на твърдия диск.

За сървъра за управление размерът на свободното дисково пространство ще зависи много от обема на текущите регистрационни файлове (ако искаме да ги запазим) и от броя на запазените ревизии на базата данни, въпреки че вече няма да имаме нужда от тях в големи количества. Разбира се, за клъстерните възли (освен ако не съхранявате регистрационни файлове локално) всичко това няма значение. Ето как да проверите дали имате необходимото място:

1. Свързваме се със Smart Management Server чрез ssh, отиваме в експертен режим и въвеждаме командата:

   [Expert@cp-sms:0]# df -h

2. На изхода ще видим нещо като тази конфигурация:

   Използван размер на файловата система Наличност Използване % Монтирано на
   /dev/mapper/vg_splat-lv_current 30G 7.4G 21G 27% /
   /dev/sda1 289M 24M 251M 9% /обув
   tmpfs 2.0G 0 2.0G 0% /dev/shm
   /dev/mapper/vg_splat-lv_log 243G 177G 53G 78% /var/log

3. В момента се интересуваме от секцията / Var / дневник

Моля, обърнете внимание, че в зависимост от правилата за съхраняване и изтриване на стари регистрационни файлове, както и от размера на експортираната база данни, може да е необходимо повече място. Ако при създаването на архив има по-малко свободно място от посоченото в правилата за съхранение на лог файлове, системата ще започне да изтрива стари журнали и НЯМА да ги включи в архива.

Също така, за самия процес на актуализиране, системата ще се нуждае от поне 13 GB неразпределено пространство на твърдия диск. Можете да проверите наличието му с командата:

[Expert@cp-sms:0]# pvs

Ще видим нещо подобно:

PV VG Fmt Attr PSize PFree
/dev/sda3 vg_splat lvm2 a- 141.69G 43.69G

В случая имаме 43 GB. Има достатъчно ресурси. Можете да започнете да актуализирате.

Актуализиране на сървъра за управление на Check Point SMS

Преди да започнете работа, трябва да направите следното:

1. Инсталирайте пакета с инструменти за мигриране на сървъра за управление. За да направите това, трябва да изтеглите изображението от портала Check Point.
2. Качете архива на сървъра за управление чрез WinSCP в папката /var/log/UpgradeR77.30_R80.20 (ако е необходимо, първо създайте папка).
3. Свържете се със сървъра за управление чрез SSH и отидете в папката с архива:cd /var/log/UpgradeR77.30_R80.20/
4. Разархивирайте файла:tar -zxvf ./<име на файл>.tgz
5. Стартираме помощната програма pre_upgrade_verifier с командата: ./pre_upgrade_verifier -p $FWDIR -c R77 -t R80.20
6. При изпълнение на командата ще се генерира отчет за несъвместими настройки. Наличен е на: /opt/CPsuite-R77/fw1/log/pre_upgrade_verification_report.(xls, html, txt). По-удобно е да го качите през SCP и да го гледате през браузър.
   За да разрешите всички несъвместими настройки, използвайте SK117237.
7. След това стартирайте отново помощната програма pre_upgrade_verifier, за да се уверите, че всички причини за несъвместимост са елиминирани.
8. След това събираме информация за мрежовите интерфейси, таблицата за маршрутизиране и качваме конфигурацията на GAIA:
   ip a > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
   ip r > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
   clish -c "покажи конфигурация" > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
9. Качете получения файл чрез SCP.
10. Правим моментна снимка на ниво виртуализация.
11. Увеличаваме времето за изчакване на SSH сесията до 8 часа. Зависи от вашия късмет: в зависимост от размера на експортираната база данни може да продължи от няколко минути до няколко часа. За това: 
    [Expert@HostName]# clish -c "покажи време за изчакване на неактивност" погледнете текущото изчакване,

    [Expert@HostName]# clish -c "set inactivity-timeout 720" посочете новото изчакване (в минути),

    [Expert@HostName]# ехо $TMOUT погледнете експертния режим на изчакване в момента,

    [Expert@HostName]# експорт TMOUT=3600 задайте новия експертен режим за изчакване (в секунди), ако зададете стойността на 0, тогава изчакването ще бъде деактивирано.

12. Изтегляме и монтираме инсталационния образ на SMS.iso към виртуалната машина.

    Преди следващата стъпка НЕ ​​ЗАВЕРЕТЕ да проверите отново дали имате достатъчно неразпределено място на вашия твърд диск (не забравяйте, че имате нужда от 13 GB). 

13. Преди да започнете да експортирате конфигурацията, променете лог файла с командата: fw logswitch

Експортиране на конфигурация и регистрационни файлове

1. Стартирайте помощната програма migrate_export, за да изтеглите конфигурацията. За да направите това, отидете в предварително създадената папка: cd /var/log/UpgradeR77.30_R80.20/ и използвайте командата: ./migrate export -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

   или

   отидете в папката: cd $FWDIR/bin/upgrade_tools/ и
   изпълнете командата от там: ./migrate export -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

2. Премахваме контролната сума от архива: md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz
3. Запазете получената стойност в бележника.
4. Свързваме се към SMS чрез SCP и качваме архива с конфигурацията на работната станция. Не забравяйте да използвате прехвърляне на файлове в двоичен формат.

Експортиране на база данни SmartEvent

Тук се нуждаем от предварително инсталираната SMS версия R80. Всеки тест ще свърши работа. 

1. От SMS имаме нужда от скрипт, намиращ се тук:$RTDIR/bin/eva_db_backup.csh
2. Заредете скрипта чрез SCP eva_db_backup.csh към папка: /var/log/UpgradeR77.30_R80.20/
3. Свържете се чрез SSH към SMS. Копирайте файла в папка: cp /var/log/UpgradeR77.30_R80.20/eva_db_backup.csh
   $RTDIR/bin/eva_db_backup.csh
4. Промяна на кодирането: dos2unix $RTDIR/bin/eva_db_backup.csh
5. Добавяне на собственик: chown -v администратор: корен $RTDIR/bin/eva_db_backup.csh
6. Добавете права: chmod -v 0755 $RTDIR/bin/eva_db_backup.csh
7. Нека започнем да експортираме базата данни SmartEvent: $RTDIR/bin/eva_db_backup.csh
8. Качете получените файлове чрез SCP: $RTDIR/bin/<дата>-db-backup.backup и $RTDIR/bin/eventiaUpgrade.tar към работната станция.

Актуализация

1. Отидете на WebUI GAIA SMS → CPUSE → Показване на всички пакети.
2. Ако CPUSE даде грешка при свързване с облака на Check Point, проверете настройките на DGW, DNS и прокси.
3. Ако всичко е правилно и грешката не изчезва, тогава трябва да актуализирате CPUSE ръчно, като се ръководите от sk92449.
4. Изтеглете изображението и преминете верификатор. Ако е необходимо, отстраняваме несъответствията.

   В резултат на това трябва да видите това съобщение:

   

5. Изберете R80.20 Нова инсталация и надстройка за управление на сигурността.
6. Когато инсталирате актуализацията, изберете Чиста инсталация. След инсталирането системата ще се рестартира.
7. Преминаваме за първи път Wizard.
8. След получаване на достъп проверяваме сметките.
9. Свързваме се към SMS чрез SSH и променяме обвивката на нашия потребител на /bin/bash/:

   задайте потребителско <потребителско име> shell /bin/bash/

   запазете конфигурацията (в случай че искаме да оставим bin/bash/ като шел по подразбиране след рестартиране).

10. След това се свързваме към SMS чрез SCP и прехвърляме архива с конфигурацията в двоичен режим SMS_w_logs_export_r77_r80.tgz към папката /var/log/UpgradeR77.30_R80.20/
    
11. Премахваме контролната сума от архива: md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz и сравнете с предишната стойност. Контролната сума трябва да съвпада.
12. Увеличаваме времето за изчакване на SSH сесията до 8 часа. За това:

    [Expert@HostName]# clish -c "покажи време за изчакване на неактивност" погледнете текущото изчакване,

    [Expert@HostName]# clish -c "set inactivity-timeout 720" посочете новото изчакване (в минути),

    [Expert@HostName]# ехо $TMOUT погледнете експертния режим на изчакване в момента,

    [Expert@HostName]# експорт TMOUT=3600 задайте новия експертен режим за изчакване (в секунди). Ако зададете стойността на 0, времето за изчакване ще бъде деактивирано.

13. За да импортирате настройки, стартирайте помощната програма за мигриране на импортиране. За да направите това, отидете в папката: cd $FWDIR/bin/upgrade_tools/и стартирайте импортирането: ./мигриране имп
    ort -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

Нека се насладим на живота през следващите няколко часа. НЕ ПРЕКЪСВАЙТЕ ВАШАТА SSH СЕСИЯ по време на процедурата. В края процесът на мигриране ще покаже съобщение за успех или грешка. 

Контролен списък след актуализиране

1. Наличие на ресурси.
2. SIC с GW.
3. Лицензи. Ако лицензите се показват неправилно или не се показват в SMS, изпълнете командата vsec_central_licence за разпространение на лицензи.
4. Задаване на политиката. 

Импортиране на база данни SmartEvent

1. Активирайте острието SmartEvent.
2. Свързваме се чрез WinSCP към SMS и прехвърляме предварително изтеглени файлове в двоичен режим <дата>-db-backup.backup и eventiaUpgrade.tar към папката /var/log/UpgradeR77.30_R80.20/
3. Изпълняваме скрипта с командата: $RTDIR/bin/eventiaUpgrade.sh -upgrade /var/log/UpgradeR77.30_R80.20/eventiaUpgrade.tar
4. Проверка на състоянието: гледайте -n 10 eventiaUpgrade.sh
5. Проверка на регистрационните файлове в SmartEvent. МЕЧТА!

Актуализиране на клъстера Check Point GW (активен/резервен)

Преди започване на работа

1. Ние запазваме конфигурацията на GAIA от всеки клъстерен възел във файл, за да направите това, използвайте командата: clish -c "покажи конфигурация" > ./<Име на файл>.txt
2. Качване на файлове чрез WinSCP.
3. Свържете се с WebUI на двата възела и отидете на раздела CPUSE → Показване на всички пакети.
4. Намиране на пакета за актуализация за версията R80.20 Прясна инсталациянатиснете Свали.
5. Проверяваме дали протоколът CCP работи в режим Излъчване, за да направите това, въведете командата: cphaprob -a ако
   Ако режимът е избран Multicast, заменете го с командата: cphaconf set_ccp излъчване (командата се изпълнява на всеки възел).
6. Ние инсталираме Downtime за включените възли във вашата система за наблюдение.
7. Проверяваме дали параметрите са активирани на ниво виртуализация Промяна на MAC адреса и Ковани предавания за мрежа за синхронизиране.

Актуализация

1. Свързваме се чрез ssh към активния възел и изпълняваме командата за наблюдение на състоянието на клъстера: гледане -n 2 cphaprob стат
2. Върнете се към раздела WebUI Stanby nodes CPUSE и за избрания пакет R80.20 Прясна инсталация стартиране верификатор.
3. Нека анализираме доклада на Verifier. Ако инсталацията е разрешена, продължете.
4. Изберете пакет R80.20 Прясна инсталация и бягай Upgrade. По време на процеса на надграждане системата ще се рестартира. Настройките на GAIA се запазват. По време на рестартиране ние наблюдаваме състоянието на клъстера. След зареждане състоянието на актуализирания възел трябва да се промени на ГОТОВ. В редица случаи се сблъскахме с момент, когато възел, който все още не е актуализиран, превключи към състояние на активно внимание и спря да показва състоянието на актуализирания възел. Не се тревожете - тази опция също е приемлива.
5. След като актуализацията приключи, отворете SmartDashboard.
6. Отворете обекта на клъстера и променете версията на клъстера от R77.30 на R80.20. Натиснете OK. Ако се появи грешка при запазване на промените:
   Възникна вътрешна грешка. (Код: 0x8003001D, Неуспешен достъп до файла за операция за запис),
   последвам SK119973. След това запазете промените и щракнете Правила за инсталиране.
7. В настройките премахнете отметката от опцията За клъстери на шлюз, ако инсталирането на член на клъстер е неуспешно, не инсталирайте на този клъстер.
8. Ние определяме политиката. Системата ще генерира грешка за активен възел, който все още не е актуализиран.
9. Свързваме се с актуализирания възел чрез ssh и изпълняваме командата за наблюдение на състоянието на клъстера: гледане -n 2 cphaprob стат
10. Свържете се с активния възел WebUI и отидете на раздела CPUSE → Показване на всички пакети.Намиране на пакета за актуализация за версията R80.20 Прясна инсталациякликване Свали.
11. Ние инсталираме Downtime за включените възли във вашата система за наблюдение.
12. Върнете се към раздела Активни възли на WebUI CPUSE и за избрания пакет R80.20 Прясна инсталация стартиране верификатор.
13. Нека анализираме доклада на Verifier. Ако инсталацията е разрешена, продължете.
14. Изберете пакет R80.20 Прясна инсталация и бягай Подобряване на. По време на процеса на надграждане системата ще се рестартира. Настройките на GAIA се запазват. По време на рестартиране ние наблюдаваме състоянието на клъстера на вече актуализирания възел. След рестартирането състоянието на клъстера на актуализирания възел ще се промени от ГОТОВ на АКТИВЕН.
15. Когато процесът на надстройка приключи, стартирайте SmartDashboard и задайте правилата.

Контролен списък след актуализиране

• Регистри на събития в SmartLog, състояние на VPN тунели.
• Настройки на GAIA.
• Възстановяване на клъстер след тестов отказ.
• Лицензи и договори. Ако лицензите се показват неправилно или не се показват в SMS, изпълнете командата. vsec_central_licence за разпространение на лицензи.
• CoreXL.
• SecureXL.
• Актуална корекция и CPinfo на два възела.

Заключение

Като цяло, това е всичко на този етап - вие сте актуализирани.

При нас целият процес отне средно от 6 до 12 часа, в зависимост от размера на експортираните бази данни. Работата беше извършена в продължение на две нощи: едната за актуализиране на SMS, втората за клъстера.

Нямаше прекъсване на трафика, въпреки факта, че сами проверихме всички горепосочени грешки.

Разбира се, понякога могат да възникнат напълно нови трудности по време на процеса на актуализиране, но това е Check Point и както всички знаем, винаги има актуална корекция!

Весели черни и розови нощи и актуализации!

Източник: www.habr.com