পয়েন্ট R80.10 API চেক করুন। CLI, স্ক্রিপ্ট এবং আরও অনেক কিছুর মাধ্যমে ব্যবস্থাপনা

আমি নিশ্চিত যে প্রত্যেকের সাথে যারা কখনও কাজ করেছেন চেক পয়েন্ট, সম্পর্কে একটি অভিযোগ ছিল কমান্ড লাইন থেকে কনফিগারেশন সম্পাদনা করার অসম্ভবতা. এটি তাদের জন্য বিশেষত অদ্ভুত যারা পূর্বে সিসকো এএসএর সাথে কাজ করেছেন, যেখানে একেবারে সবকিছু সিএলআই-তে কনফিগার করা যেতে পারে। চেক পয়েন্টের সাথে এটি অন্য উপায় - সমস্ত নিরাপত্তা সেটিংস গ্রাফিকাল ইন্টারফেস থেকে একচেটিয়াভাবে সঞ্চালিত হয়েছিল। যাইহোক, কিছু জিনিস GUI এর মাধ্যমে করা সম্পূর্ণ অসুবিধাজনক (এমনকি একটি চেক পয়েন্টের মতো সুবিধাজনক)। উদাহরণস্বরূপ, 100টি নতুন হোস্ট বা নেটওয়ার্ক যোগ করার কাজটি একটি দীর্ঘ এবং ক্লান্তিকর পদ্ধতিতে পরিণত হয়। প্রতিটি বস্তুর জন্য আপনাকে একাধিকবার মাউস ক্লিক করতে হবে এবং IP ঠিকানা লিখতে হবে। সাইটগুলির একটি গোষ্ঠী তৈরি করা বা আইপিএস স্বাক্ষরগুলিকে ব্যাপকভাবে সক্রিয়/অক্ষম করার ক্ষেত্রেও একই কাজ হয়৷ এই ক্ষেত্রে, একটি ভুল করার একটি উচ্চ সম্ভাবনা আছে।

তুলনামূলকভাবে সম্প্রতি একটি "অলৌকিক ঘটনা" ঘটেছে। নতুন সংস্করণ প্রকাশের সাথে সাথে গাইয়া R80 সুযোগ ঘোষণা করা হয় API ব্যবহার, যা স্বয়ংক্রিয় সেটিংস, প্রশাসন, পর্যবেক্ষণ ইত্যাদির জন্য বিস্তৃত সুযোগ উন্মুক্ত করে। এখন তুমি পার:

• বস্তু তৈরি;
• অ্যাক্সেস তালিকা যোগ বা সম্পাদনা;
• ব্লেড সক্রিয়/অক্ষম করুন;
• নেটওয়ার্ক ইন্টারফেস কনফিগার করুন;
• নীতিগুলি ইনস্টল করুন;
• এবং আরো অনেক কিছু

সত্যি কথা বলতে কি, এই খবর হাবরের কাছ থেকে কীভাবে গেল বুঝতে পারছি না। এই নিবন্ধে আমরা সংক্ষেপে বর্ণনা করব কিভাবে API ব্যবহার করতে হয় এবং বেশ কিছু বাস্তব উদাহরণ প্রদান করব। স্ক্রিপ্ট ব্যবহার করে চেকপয়েন্ট সেটিংস.

আমি এখনই একটি রিজার্ভেশন করতে চাই যে API শুধুমাত্র ম্যানেজমেন্ট সার্ভারের জন্য ব্যবহার করা হয়। সেগুলো. ম্যানেজমেন্ট সার্ভার ছাড়া গেটওয়ে পরিচালনা করা এখনও অসম্ভব।

নীতিগতভাবে কে এই API ব্যবহার করতে পারেন?

1. সিস্টেম অ্যাডমিনিস্ট্রেটর যারা রুটিন চেক পয়েন্ট কনফিগারেশন কাজগুলিকে সহজ বা স্বয়ংক্রিয় করতে চান;
2. যেসব কোম্পানি চেক পয়েন্টকে অন্যান্য সমাধানের সাথে একীভূত করতে চায় (ভার্চুয়ালাইজেশন সিস্টেম, টিকিট সিস্টেম, কনফিগারেশন ম্যানেজমেন্ট সিস্টেম ইত্যাদি);
3. সিস্টেম ইন্টিগ্রেটর যারা সেটিংস মানসম্মত করতে চান বা অতিরিক্ত চেক পয়েন্ট-সম্পর্কিত পণ্য তৈরি করতে চান।

সাধারণ স্কিম

সুতরাং, আসুন চেক পয়েন্টের সাথে একটি সাধারণ স্কিম কল্পনা করি:

যথারীতি আমাদের একটি গেটওয়ে আছে (SG), ব্যবস্থাপনা সার্ভার (খুদেবার্তা) এবং অ্যাডমিন কনসোল (স্মার্টকনসোল) এই ক্ষেত্রে, স্বাভাবিক গেটওয়ে কনফিগারেশন প্রক্রিয়া এই মত দেখায়:

সেগুলো. প্রথমে আপনাকে অ্যাডমিনিস্ট্রেটরের কম্পিউটারে চালাতে হবে স্মার্টকনসোল, যার সাহায্যে আমরা ম্যানেজমেন্ট সার্ভারের সাথে সংযোগ করি (খুদেবার্তা) নিরাপত্তা সেটিংস এসএমএসে তৈরি করা হয়, এবং শুধুমাত্র তারপর প্রয়োগ করা হয় (নীতি ইনস্টল করুন) গেটওয়ে (SG).

ব্যবহার করার সময় পরিচালনা API, আমরা মূলত প্রথম পয়েন্টটি এড়িয়ে যেতে পারি (স্মার্টকনসোল চালু করুন) এবং ব্যবহার করুন API কমান্ড সরাসরি ম্যানেজমেন্ট সার্ভারে (এসএমএস)।

API ব্যবহার করার উপায়

API ব্যবহার করে কনফিগারেশন সম্পাদনা করার চারটি প্রধান উপায় রয়েছে:

1) mgmt_cli ইউটিলিটি ব্যবহার করে

উদাহরণ - # mgmt_cli হোস্টের নাম যোগ করুন host1 ip-address 192.168.2.100
এই কমান্ডটি পরিচালনা সার্ভার (SMS) কমান্ড লাইন থেকে চালিত হয়। আমি মনে করি কমান্ডের সিনট্যাক্স পরিষ্কার - হোস্ট 1 192.168.2.100 ঠিকানা দিয়ে তৈরি করা হয়েছে।

2) ক্লিশের মাধ্যমে API কমান্ড লিখুন (বিশেষজ্ঞ মোডে)

মূলত, আপনাকে যা করতে হবে তা হল কমান্ড লাইনে লগ ইন করুন (mgmt লগইন) অ্যাকাউন্টের অধীনে যা SmartConsole (বা রুট অ্যাকাউন্ট) এর মাধ্যমে সংযোগ করার সময় ব্যবহৃত হয়। তারপর আপনি প্রবেশ করতে পারেন API কমান্ড (এই ক্ষেত্রে প্রতিটি কমান্ডের আগে ইউটিলিটি ব্যবহার করার প্রয়োজন নেই mgmt_cli) আপনি পূর্ণাঙ্গ তৈরি করতে পারেন BASH স্ক্রিপ্ট. একটি স্ক্রিপ্টের একটি উদাহরণ যা হোস্ট তৈরি করে:

ব্যাশ স্ক্রিপ্ট

#!/bin/bash

main() {
    clear

    #LOGIN (don't ask for username and password, user is already logged in to Management server as 'root' user)
    mgmt_cli login --root true > id_add_host.txt
    on_error_print_and_exit "Error: Failed to login, check that the server is up and running (run 'api status')"

    #READ HOST NAME
    printf "Enter host name:n"
    read -e host_name
    on_empty_input_print_and_exit "$host_name" "Error: The host's name cannot be empty."

    #READ IP ADDRESS
    printf "nEnter host IP address:n"
    read -e ip
    on_empty_input_print_and_exit "$ip" "Error: The host's IP address cannot be empty."

    #CREATE HOST
    printf "Creating new host: $host_name with IP address: $ipn"
    new_host_response=$(mgmt_cli add host name $host_name ip-address $ip -s id_add_host.txt 2> /dev/null)
    on_error_print_and_exit "Error: Failed to create host object. n$new_host_response"

    #PUBLISH THE CHANGES
    printf "nPublishing the changesn"
    mgmt_cli publish --root true -s id_add_host.txt &> /dev/null
    on_error_print_and_exit "Error: Failed to publish the changes."

    #LOGOUT
    logout
	
	printf "Done.n"
}

logout(){
	mgmt_cli logout --root true -s id_add_host.txt &> /dev/null
}

on_error_print_and_exit(){
    if [ $? -ne 0 ]; then
        handle_error "$1" 
	fi
}

handle_error(){
    printf "n$1n" #print error message
    mgmt_cli discard --root true -s id_add_host.txt &> /dev/null
    logout
    exit 1
}

on_empty_input_print_and_exit(){
	if [ -z "$1" ]; then
		printf "$2n" #print error message
		logout
		exit 0
	fi
}

# Script starts here. Call function "main".
main

আপনি আগ্রহী হলে, আপনি সংশ্লিষ্ট ভিডিও দেখতে পারেন:

3) CLI উইন্ডো খুলে SmartConsole এর মাধ্যমে

আপনাকে যা করতে হবে তা হল উইন্ডোটি খুলুন CLI সোজা থেকে স্মার্টকনসোল, নীচের ছবিতে দেখানো হয়েছে.

এই উইন্ডোতে, আপনি অবিলম্বে API কমান্ড প্রবেশ করা শুরু করতে পারেন।

4) ওয়েব পরিষেবা। HTTPS পোস্ট অনুরোধ ব্যবহার করুন (REST API)

আমাদের মতে, এটি সবচেয়ে প্রতিশ্রুতিশীল পদ্ধতিগুলির মধ্যে একটি, কারণ আপনি উপর ভিত্তি করে সম্পূর্ণ অ্যাপ্লিকেশন "বিল্ড" করতে পারবেন ব্যবস্থাপনা সার্ভার ব্যবস্থাপনা (টাউটোলজির জন্য দুঃখিত)। নীচে আমরা এই পদ্ধতিটি আরও বিশদে দেখব।

সংক্ষেপ:

1. API + cli যারা সিসকোতে অভ্যস্ত তাদের জন্য আরও উপযুক্ত;
2. API + শেল স্ক্রিপ্ট প্রয়োগ এবং রুটিন কাজ সম্পাদনের জন্য;
3. বিশ্রাম এপিআই অটোমেশনের জন্য।

API সক্রিয় করা হচ্ছে

ডিফল্টরূপে, 4GB-এর বেশি RAM এবং 8GB-এর বেশি RAM সহ স্বতন্ত্র কনফিগারেশন সহ ম্যানেজমেন্ট সার্ভারগুলিতে API সক্রিয় থাকে৷ আপনি কমান্ড ব্যবহার করে স্থিতি পরীক্ষা করতে পারেন: এপিআই স্ট্যাটাস

যদি দেখা যায় যে এপিআই অক্ষম করা হয়েছে, তাহলে স্মার্টকনসোলের মাধ্যমে এটি সক্ষম করা বেশ সহজ: পরিচালনা এবং সেটিংস > ব্লেড > ব্যবস্থাপনা API > উন্নত সেটিংস

তারপর প্রকাশ করুন (প্রকাশ করা) পরিবর্তন করুন এবং কমান্ড চালান এপিআই পুনরায় চালু করুন.

ওয়েব অনুরোধ + পাইথন

API কমান্ডগুলি চালানোর জন্য, আপনি ব্যবহার করে ওয়েব অনুরোধগুলি ব্যবহার করতে পারেন পাইথন এবং লাইব্রেরি অনুরোধ, JSON. সাধারণভাবে, একটি ওয়েব অনুরোধের গঠন তিনটি অংশ নিয়ে গঠিত:

1) ঠিকানা

(https://<managemenet server>:<port>/web_api/<command>) 

2) HTTP শিরোনাম

content-Type: application/json
x-chkp-sid: <session ID token as returned by the login command>

3) পেলোডের জন্য অনুরোধ করুন

JSON ফরম্যাটে পাঠ্য যেখানে বিভিন্ন প্যারামিটার রয়েছে

বিভিন্ন কমান্ড কল করার উদাহরণ:

def api_call(ip_addr, port, command, json_payload, sid):
    url = 'https://' + ip_addr + ':' + str(port) + '/web_api/' + command
    if sid == “”:
        request_headers = {'Content-Type' : 'application/json'}
    else:
        request_headers = {'Content-Type' : 'application/json', 'X-chkp-sid' : sid}
    r = requests.post(url,data=json.dumps(json_payload), headers=request_headers,verify=False)
    return r.json()                                        
'xxx.xxx.xxx.xxx' -> Ip address GAIA

এখানে কয়েকটি সাধারণ কাজ রয়েছে যা চেক পয়েন্ট পরিচালনা করার সময় আপনি প্রায়শই সম্মুখীন হন।

1) অনুমোদন এবং লগআউট ফাংশনের উদাহরণ:

লিপি

    payload = {‘user’: ‘your_user’, ‘password’ : ‘your_password’}
    response = api_call('xxx.xxx.xxx.xxx', 443, 'login',payload, '')
    return response["sid"]

    response = api_call('xxx.xxx.xxx.xxx', 443,'logout', {} ,sid)
    return response["message"]

2) ব্লেড চালু করা এবং নেটওয়ার্ক সেট আপ করা:

লিপি

new_gateway_data = {'name':'CPGleb','anti-bot':True,'anti-virus' : True,'application-control':True,'ips':True,'url-filtering':True,'interfaces':
                    [{'name':"eth0",'topology':'external','ipv4-address': 'xxx.xxx.xxx.xxx',"ipv4-network-mask": "255.255.255.0"},
                     {'name':"eth1",'topology':'internal','ipv4-address': 'xxx.xxx.xxx.xxx',"ipv4-network-mask": "255.255.255.0"}]}
new_gateway_result = api_call('xxx.xxx.xxx.xxx', 443,'set-simple-gateway', new_gateway_data ,sid)
print(json.dumps(new_gateway_result))

3) ফায়ারওয়াল নিয়ম পরিবর্তন:

লিপি

new_access_data={'name':'Cleanup rule','layer':'Network','action':'Accept'}
new_access_result = api_call('xxx.xxx.xxx.xxx', 443,'set-access-rule', new_access_data ,sid)
print(json.dumps(new_access_result))

4) অ্যাপ্লিকেশন স্তর যোগ করা:

লিপি

add_access_layer_application={ 'name' : 'application123',"applications-and-url-filtering" : True,"firewall" : False}
add_access_layer_application_result = api_call('xxx.xxx.xxx.xxx', 443,'add-access-layer', add_access_layer_application ,sid)
print(json.dumps(add_access_layer_application_result))

set_package_layer={"name" : "Standard","access":True,"access-layers" : {"add" : [ { "name" : "application123","position" :2}]} ,"installation-targets" : "CPGleb"}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443,'set-package', set_package_layer ,sid)
print(json.dumps(set_package_layer_result))

5) নীতি প্রকাশ করুন এবং সেট করুন, কমান্ডের বাস্তবায়ন পরীক্ষা করুন (টাস্ক-আইডি):

লিপি

publish_result = api_call('xxx.xxx.xxx.xxx', 443,"publish", {},sid)
print("publish result: " + json.dumps(publish_result))
new_policy = {'policy-package':'Standard','access':True,'targets':['CPGleb']}
new_policy_result = api_call('xxx.xxx.xxx.xxx', 443,'install-policy', new_policy ,sid)
print(json.dumps(new_policy_result)

task_id=(json.dumps(new_policy_result ["task-id"]))
len_str=len(task_id)
task_id=task_id[1:(len_str-1)]
show_task_id ={'task-id':(task_id)}
show_task=api_call('xxx.xxx.xxx.xxx',443,'show-task',show_task_id,sid)
print(json.dumps(show_task))

6) হোস্ট যোগ করুন:

লিপি

new_host_data = {'name':'JohnDoePc', 'ip-address': '192.168.0.10'}
new_host_result = api_call('xxx.xxx.xxx.xxx', 443,'add-host', new_host_data ,sid)
print(json.dumps(new_host_result))

7) একটি হুমকি প্রতিরোধ ক্ষেত্র যোগ করুন:

লিপি

set_package_layer={'name':'Standard','threat-prevention' :True,'installation-targets':'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443,'set-package',set_package_layer,sid)
print(json.dumps(set_package_layer_result))

8) সেশনের তালিকা দেখুন

লিপি

new_session_data = {'limit':'50', 'offset':'0','details-level' : 'standard'}
new_session_result = api_call('xxx.xxx.xxx.xxx', 443,'show-sessions', new_session_data ,sid)
print(json.dumps(new_session_result))

9) একটি নতুন প্রোফাইল তৈরি করুন:

লিপি

add_threat_profile={'name':'Apeiron', "active-protections-performance-impact" : "low","active-protections-severity" : "low or above","confidence-level-medium" : "prevent",
  "confidence-level-high" : "prevent", "threat-emulation" : True,"anti-virus" : True,"anti-bot" : True,"ips" : True,
  "ips-settings" : { "newly-updated-protections" : "staging","exclude-protection-with-performance-impact" : True,"exclude-protection-with-performance-impact-mode" : "High or lower"},
  "overrides" : [ {"protection" : "3Com Network Supervisor Directory Traversal","capture-packets" : True,"action" : "Prevent","track" : "Log"},
                  {"protection" : "7-Zip ARJ Archive Handling Buffer Overflow", "capture-packets" : True,"action" : "Prevent","track" : "Log"} ]}
add_threat_profile_result=api_call('xxx.xxx.xxx.xxx',443,'add-threat-profile',add_threat_profile,sid)
print(json.dumps(add_threat_profile_result))  

10) IPS স্বাক্ষরের জন্য ক্রিয়া পরিবর্তন করুন:

লিপি

set_threat_protection={
  "name" : "3Com Network Supervisor Directory Traversal",
  "overrides" : [{ "profile" : "Apeiron","action" : "Detect","track" : "Log","capture-packets" : True},
    { "profile" : "Apeiron", "action" : "Detect", "track" : "Log", "capture-packets" : False} ]}
set_threat_protection_result=api_call('xxx.xxx.xxx.xxx',443,'set-threat-protection',set_threat_protection,sid)
print(json.dumps(set_threat_protection_result))

11) আপনার পরিষেবা যোগ করুন:

লিপি

add_service_udp={    "name" : "Dota2_udp", "port" : '27000-27030',
"keep-connections-open-after-policy-installation" : False,
"session-timeout" : 0, "match-for-any" : True,
"sync-connections-on-cluster" : True,
"aggressive-aging" : {"enable" : True, "timeout" : 360,"use-default-timeout" : False  },
"accept-replies" : False}
add_service_udp_results=api_call('xxx.xxx.xxx.xxx',443,"add-service-udp",add_service_udp,sid)
print(json.dumps(add_service_udp_results))

12) একটি বিভাগ, সাইট বা গ্রুপ যোগ করুন:

লিপি

add_application_site_category={  "name" : "Valve","description" : "Valve Games"}
add_application_site_category_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-category",add_application_site_category,sid)
print(json.dumps(add_application_site_category_results))

add_application_site={    "name" : "Dota2", "primary-category" : "Valve",  "description" : "Dotka",
  "url-list" : [ "www.dota2.ru" ], "urls-defined-as-regular-expression" : False}
add_application_site_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site " , 
add_application_site , sid)
print(json.dumps(add_application_site_results))

add_application_site_group={"name" : "Games","members" : [ "Dota2"]}
add_application_site_group_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-group",add_application_site_group,sid)
print(json.dumps(add_application_site_group_results))

উপরন্তু, সাহায্যের সঙ্গে ওয়েব এপিআই আপনি নেটওয়ার্ক, হোস্ট, অ্যাক্সেস ভূমিকা, ইত্যাদি যোগ করতে এবং সরাতে পারেন। ব্লেড কাস্টমাইজ করা যাবে অ্যান্টিভাইরাস, অ্যান্টিবট, আইপিএস, ভিপিএন. কমান্ড ব্যবহার করে লাইসেন্স ইনস্টল করাও সম্ভব রান-স্ক্রিপ্ট. সমস্ত চেক পয়েন্ট API কমান্ড এখানে পাওয়া যাবে এখানে.

চেক পয়েন্ট API + পোস্টম্যান

এছাড়াও ব্যবহার সুবিধাজনক পয়েন্ট ওয়েব API চেক করুন সাথে পিয়ন. পোস্টম্যানের উইন্ডোজ, লিনাক্স এবং ম্যাকওএসের জন্য ডেস্কটপ সংস্করণ রয়েছে। এছাড়াও, গুগল ক্রোমের জন্য একটি প্লাগইন রয়েছে। এই আমরা ব্যবহার করব কি. প্রথমে আপনাকে গুগল ক্রোম স্টোরে পোস্টম্যান খুঁজে বের করতে হবে এবং ইনস্টল করতে হবে:

এই ইউটিলিটি ব্যবহার করে, আমরা চেক পয়েন্ট API-এ ওয়েব অনুরোধ তৈরি করতে সক্ষম হব। সমস্ত API কমান্ডগুলি মনে না রাখার জন্য, তথাকথিত সংগ্রহগুলি (টেমপ্লেটগুলি) আমদানি করা সম্ভব, যাতে ইতিমধ্যে সমস্ত প্রয়োজনীয় কমান্ড রয়েছে:

এটা হল তুমি খুঁজে পাবে সংগ্রহ থেকে R80.10. আমদানি করার পরে, API কমান্ড টেমপ্লেটগুলি আমাদের কাছে উপলব্ধ হবে:

আমার মতে, এটি খুব সুবিধাজনক। আপনি চেক পয়েন্ট API ব্যবহার করে দ্রুত অ্যাপ্লিকেশন বিকাশ শুরু করতে পারেন৷

চেক পয়েন্ট + উত্তরযোগ্য

আমি যে আছে নোট করতে চাই Ansible মডিউল চেকপয়েন্ট API এর জন্য। মডিউল আপনাকে কনফিগারেশন পরিচালনা করতে দেয়, তবে এটি বহিরাগত সমস্যা সমাধানের জন্য এত সুবিধাজনক নয়। যেকোন প্রোগ্রামিং ভাষায় স্ক্রিপ্ট লেখা আরও নমনীয় এবং সুবিধাজনক সমাধান প্রদান করে।

উপসংহার

এখানেই আমরা সম্ভবত চেক পয়েন্ট API এর আমাদের সংক্ষিপ্ত পর্যালোচনা শেষ করব। আমার মতে, এই বৈশিষ্ট্যটি খুব দীর্ঘ প্রতীক্ষিত এবং প্রয়োজনীয় ছিল। API-এর উত্থান সিস্টেম অ্যাডমিনিস্ট্রেটর এবং সিস্টেম ইন্টিগ্রেটর উভয়ের জন্যই খুব বিস্তৃত সুযোগ খুলে দেয় যারা চেক পয়েন্ট পণ্যগুলির সাথে কাজ করে। অর্কেস্ট্রেশন, অটোমেশন, SIEM ফিডব্যাক... সবই এখন সম্ভব।

পিএস সম্পর্কে আরো নিবন্ধ চেক পয়েন্ট সর্বদা হিসাবে আপনি আমাদের ব্লগে এটি খুঁজে পেতে পারেন হাবর অথবা ব্লগে ওয়েবসাইট.

PSS চেক পয়েন্ট সেট আপ সম্পর্কিত প্রযুক্তিগত প্রশ্নের জন্য, আপনি করতে পারেন এখানে

শুধুমাত্র নিবন্ধিত ব্যবহারকারীরা জরিপে অংশগ্রহণ করতে পারবেন। সাইন ইন করুনকরুন।

আপনি API ব্যবহার করার পরিকল্পনা করছেন?

• 70,6%হ্যাঁ 12

• 23,5%No4

• 5,9%ইতিমধ্যে 1 ব্যবহার করছে

17 ব্যবহারকারী ভোট দিয়েছেন। 3 জন ব্যবহারকারী বিরত ছিলেন।

উত্স: www.habr.com