Bolepřed dvěma lety jsme psali o tom, že před každým administrátorem Check Point dříve nebo později vyvstane otázka aktualizace na novou verzi. V tomto byla popsána aktualizace z verze R77.30 na R80.10. Mimochodem, v lednu 2020 se R77.30 stala certifikovanou verzí FSTEC. Nicméně za dva roky se v Check Point změnilo mnoho. V článku "" jsou popsány všechny novinky, kterých je mnoho. V tomto článku bude proces aktualizace popsán co nejpodrobněji.
Jak je známo, existují dva způsoby nasazení Check Point: Standalone a Distributed, tedy bez vyhrazeného serveru pro správu a s vyhrazeným. Varianta Distributed je silně doporučována z několika důvodů:
minimalizuje zátěž na zdroje brány;
není nutné plánovat údržbové okno, aby se provedly práce se serverem správy;
správná činnost SmartEvent, protože v variantě Standalone těžko funguje;
cluster brán se silně doporučuje stavět v Distributed konfiguraci.
S ohledem na všechny výhody Distributed konfigurace se podíváme na aktualizaci serveru správy a bezpečnostní brány zvlášť.
Aktualizace Security Management Server (SMS)
Existují dva způsoby aktualizace SMS:
pomocí CPUSE (přes Gaia Portal)
pomocí Migration Tools (vyžaduje čistou instalaci — fresh install)
Aktualizace pomocí CPUSE není doporučována kolegy z Check Point, protože se vám neaktualizuje verze souborového systému a jádro. Nicméně tento způsob nevyžaduje migraci politik a je mnohem rychlejší a jednodušší než druhý způsob.
Čistá instalace a migrace politik pomocí Migration Tools — to je doporučená metoda. Kromě nových souborových systémů a jádra OS se často stává, že databáze SMS se "znečišťuje", a čistá instalace v tomto ohledu je skvělým východem pro zvýšení rychlosti serveru.
1) Prvním krokem při jakékoli aktualizaci je vytvoření záloh a snímků. Pokud máte fyzický server správy, je nutné zálohu vytvořit z webového rozhraní Gaia Portal. Přejděte na záložku Maintenance > System Backup > Backup. Dále uvedete místo uložení zálohy. To může být SCP, FTP, TFTP server nebo lokálně na zařízení, avšak v takovém případě bude potřeba později tuto zálohu přenést na server nebo počítač.
Obrázek 1. Vytvoření zálohy v Gaia Portal
2) Následně spusťte snímek na záložce Údržba → Správa snímků → Nový. Rozdíl mezi zálohami a snímky je v tom, že snímky obsahují více informací, včetně všech nainstalovaných hotfixů. Nicméně, je lepší provést obojí.
Pokud máte správu serveru nainstalovánu jako virtuální stroj, doporučuje se provést zálohu virtuálního stroje vestavěnými prostředky hypervizoru. Je to jednoduše rychlejší a spolehlivější.
Obrázek 2. Vytváření snímku v Gaia Portalu
3) Uložte konfiguraci zařízení z Gaia Portalu. Můžete pořídit screenshot všech nastavení na záložkách Gaia Portalu, nebo pomocí Clish zadat příkaz save configuration. Poté je třeba soubor stáhnout pomocí WinSCP nebo jiného klienta na váš počítač.
Obrázek 3. Uložení konfigurace do textového souboru)
Poznámka: pokud WinSCP neumožňuje připojení, změňte uživatelský shell na /bin/bash buď v uživatelském rozhraní na záložce Uživatelé, nebo zadejte příkaz chsh –s /bin/bash.
Aktualizace pomocí CPUSE
4) Prvních 3 kroky jsou povinné pro jakoukoli variantu aktualizace. Pokud jste se rozhodli jít jednodušší cestou aktualizace, přejděte v uživatelském rozhraní na záložku Aktualizace (CPUSE) > Stav a akce > Hlavní verze > Check Point R80.40 Gaia Fresh Install and Upgrade. Klikněte pravým tlačítkem myši na tuto aktualizaci a vyberte Verifier. Spustí se proces kontroly na několik minut, po kterých uvidíte zprávu, že zařízení může být aktualizováno. Pokud uvidíte chyby, je nutné je opravit.
Obrázek 4. Aktualizace přes CPUSE
5) Aktualizujte na nejnovější verzi CDT (Central Deployment Tool) — nástroj, který běží na řídicím serveru a umožňuje instalovat aktualizace, balíčky aktualizací, spravovat zálohy, snímky, skripty a mnoho dalšího. Neaktuální verze CDT může způsobit problémy při aktualizaci. Stáhněte si CDT na .
6) Umístěním staženého archivu na SMS do libovolného adresáře přes WinSCP se připojte přes SSH k SMS a přejděte do expertního režimu. Připomínám, že uživatel WinSCP by měl mít shell /bin/bash!
7) Zadejte příkazy:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv —force CPcdt-00-00.i386.rpm
Obrázek 5. Instalace Central Deployment Tool (CDT)
8) Dalším krokem je instalace obrazu R80.40. Pravým tlačítkem myši na aktualizaci Stáhnout, poté Instalovat. Mějte na paměti, že aktualizace trvá 20-30 minut, a správcovský server nebude nějakou dobu dostupný. Je tedy rozumné naplánovat čas na údržbu.
9) Všechny licence a bezpečnostní politiky jsou uchovány, proto si nyní stáhněte nový .
10) Připojte se k novému SMS SmartConsole a nastavte bezpečnostní politiky. Tlačítko Nainstalovat politiku je v levém horním rohu.
11) Váš SMS byl aktualizován, nyní je potřeba nainstalovat poslední hotfix. Na kartě Upgrades (CPUSE) > Status and Actions > Hotfixes klikněte pravým tlačítkem myši Verifier, poté Nainstalovat aktualizaci. Zařízení se po instalaci aktualizace samo restartuje.
Obrázek 6. Instalace posledního hotfixu přes CPUSE
Aktualizace pomocí Migration Tools
4) Nejdříve je také potřeba aktualizovat na poslední verzi CDT – body 5, 6, 7 z kapitoly „Aktualizace pomocí CPUSE“.
5) Nainstalujte balíček Migration Tools potřebný pro migraci politik ze správcovského serveru. Podle tohoto můžete nalézt Migration Tools pro verze: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Stahujte Migration Tools té verze, na kterou se chcete aktualizovat,nikoli té, kterou máte nyní! V našem případě je to R80.40.
6) Nyní v webovém rozhraní SMS přejděte na kartu Upgrades (CPUSE) > Status and Actions > Import Package > Browse > Vyberte stažený soubor > Import.
Obrázek 7. Import Migration Tools
7) Z expert režimu na SMS zkontrolujte, že balíček Migration Tools byl nainstalován pomocí příkazu (výstup příkazu by měl odpovídat číslu v názvu archivu Migration Tools):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Obrázek 8. Kontrola instalace Migration Tools
8) Přejděte do složky $FWDIR/scripts na správcovském serveru:
cd $FWDIR/scripts
9) Spusťte předaktualizační verifier (ověřovací skript) pomocí příkazu (pokud jsou chyby, opravte je před dalšími kroky):
./migrate_server verify -v R80.40
Poznámka: pokud vidíte chybu „Nebylo možné získat balíček Upgrade Tools“, ale zkontrolovali jste, že archiv byl úspěšně importován (viz bod 4), použijte příkaz:
./migrate_server verify -v R80.40 -skip_upgrade_tools_check
Obrázek 9. Spuštění skriptu pro ověření
10) Exportujte bezpečnostní politiky pomocí příkazu:
./migrate_server export -v R80.40 //.tgz
Obrázek 10. Export bezpečnostní politiky
Poznámka: pokud vidíte chybu „Nebylo možné získat balíček Upgrade Tools“, ale zkontrolovali jste, že archiv byl úspěšně importován (bod 7), použijte příkaz:
./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
11) Vypočítejte MD5 hash a uložte si výstup příkazu:
md5sum //.tgz
Obrázek 11. Vypočítání MD5 hash
12) Pomocí WinSCP přeneste tento soubor na svůj počítač.
13) Zadejte příkaz df -h a uložte si procentuální rozložení adresářů podle zabraného místa.
Obrázek 12. Procentuální rozložení adresářů na SMS
14.1) Pokud máte skutečný SMS
14.1.1) Pomocí se vytvoří bootovací USB flash disk s obrazem .
14.1.2) Doporučuji připravit alespoň 2 bootovací flash disky, protože ne vždy je flash disk čitelný.
14.1.3) Spusťte ISOmorphic.exe jako správce na počítači. V bodě 1 vyberete stažený obraz Gaia R80.40 a v bodě 4 flash disk. Body 2 a 3 měnit nelze!
Obrázek 13. Vytvoření bootovacího flash disku
14.1.4) Vyberete položku „Instalovat automaticky bez potvrzení“ a důležité je uvést model vašeho řídicího serveru. V případě SMS byste měli vybrat 3. nebo 4. řádek.
Obrázek 14. Výběr modelu zařízení pro vytvoření bootovacího flash disku
14.1.5) Poté vypněte appliance, vložte flash disk do USB portu, připojte se konzolovým kabelem přes COM port k zařízení a zapněte SMS. Proces instalace probíhá automaticky. Výchozí IP adresa — 192.168.1.1/24, a přihlašovací údaje admin / admin.
14.1.6) Dalším krokem je připojení k webovému rozhraní na Gaia Portalu (výchozí adresa ), kde projdete inicializací zařízení. Během inicializace většinou stisknete Další, protože téměř všechna nastavení lze změnit v budoucnu. Můžete však ihned změnit IP adresu, nastavení DNS a hostname.
14.2) Pokud máte virtuální SMS
14.2.1) V žádném případě byste neměli mazat starý SMS, vytvořte novou virtuální stroj se stejnými zdroji (CPU, RAM, HDD) se stejnou IP adresou. Mimochodem, RAM a HDD můžete přidat, protože verze R80.40 je o něco náročnější. Aby nedošlo ke konfliktu IP adres, vypněte starý SMS a začněte instalaci nového.
14.2.2) Během instalace Gaia nastavte aktuální IP adresu a vyčleňte pod adresář /root přiměřené množství místa. Procentuální rozložení adresářů by se mělo přibližně zachovat, použijte výstup df -h.
15) V okamžiku výběru typu instalace „Typ instalace“ Vyberte první variantu, protože pravděpodobně nemáte MDS (Multi-Domain Server). Pokud máte MDS, znamená to, že jste spravovali mnoho domén z různých entit SMS současně. V tomto případě byste měli vybrat druhou možnost.
Obrázek 15. Výběr typu instalace Gaia
16) Nejzásadnější okamžik, který nelze opravit bez reinstalace — výběr entity. Je třeba vybrat Security Management a klikněte na Další. Další vše výchozí.
Obrázek 16. Výběr typu entity při instalaci Gaia
17) Jakmile se zařízení restartuje, připojte se k webovému rozhraní na nebo na jinou IP adresu, pokud jste ji změnili.
18) Přeneste nastavení ze snímků do všech záložek Gaia Portalu, kde bylo něco nastaveno, nebo spusťte z clish příkaz load configuration .txt. Tento konfigurační soubor je třeba předem nahrát na SMS.
Poznámka: Vzhledem k tomu, že je OS nová, WinSCP vám nedovolí připojit se jako admin, změňte uživatelský shell na /bin/bash buď v uživatelském rozhraní v záložce Uživatelé, nebo zadejte příkaz chsh –s /bin/bash nebo vytvořte nového uživatele.
19) Nahrajte do libovolného adresáře soubor s exportovanými politikami ze starého serveru správy. Poté se přihlaste do konzole do expertního režimu a zkontrolujte, že MD5 hash se shoduje s předchozím. V opačném případě byste měli export provést znovu:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Opakujte bod 6 a nainstalujte Upgrade Tools na nový SMS v Gaia Portalu v záložce Upgrades (CPUSE) > Status and Actions.
21) Zadejte příkaz v expertním režimu:
./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz
Obrázek 17. Import politiky zabezpečení na nový SMS
22) Aktivujte služby příkazem cpstart.
23) Stáhněte nové a připojte se k řídicímu serveru. Přejděte na Menu > Manage Licenses and Packages (SmartUpdate) a zkontrolujte, zda máte licenci zachovanou.
Obrázek 18. Kontrola nainstalovaných licencí
24) Nainstalujte politiku zabezpečení na bránu nebo klastr — Nainstalovat politiku.
Aktualizace Security Gateway (SG)
Bránu zabezpečení lze aktualizovat prostřednictvím CPUSE, stejně jako řídicí server, nebo ji nainstalovat znovu — fresh install. Z mé praxe v 99% případů všichni znovu instalují Security Gateway, protože to trvá prakticky stejně dlouho jako aktualizace přes CPUSE, ale získáte čistý aktualizovaný OS bez chyb.
Podobně jako u SMS je nejprve třeba vytvořit zálohu a snapshot, a také uložit nastavení z Gaia Portalu. Odkazujte na body 1, 2 a 3 v sekci „Aktualizace Security Management Serveru“.
Aktualizace pomocí CPUSE
Aktualizace Security Gateway přes CPUSE probíhá stejně jako aktualizace Security Management Serveru, proto se obraťte na začátek článku.
Důležitý bod: aktualizace SG vyžaduje restart! Proto provádějte aktualizaci v okně údržby. Pokud máte cluster, nejprve aktualizujte pasivní uzel, potom přepněte role a aktualizujte druhý uzel. Při použití clusteru lze okno údržby v některých případech vynechat.
Instalace nové verze OS na Security Gateway
1.1) V případě, že máte skutečný SG
1.1.1) Pomocí se vytvoří bootovací USB flash disk s obrazem . Obraz je stejný jako na SMS, ale proces vytvoření spouštěcí flash disku vypadá malinko jinak.
1.1.2) Doporučuji připravit minimálně 2 spouštěcí flash disky, protože se někdy stává, že flash disk není čitelný.
1.1.3) Jako administrátor spusťte na počítači ISOmorphic.exe jako správce na počítači. V bodě 1 vyberete stažený obraz Gaia R80.40 a v bodě 4 flash disk. Body 2 a 3 měnit nelze!
Obrázek 19. Vytvoření spouštěcího flash disku
1.1.4) Vyberete položku „Instalovat automaticky bez potvrzení“, a důležité je uvést model vašeho Security Gateway – řádek 2 nebo 3. Pokud se jedná o fyzickou pískovišťku (SandBlast Appliance), vyberte řádek 5.
Obrázek 20. Výběr modelu zařízení pro vytvoření spouštěcího flash disku
1.1.5) Dále vypněte appliance, vložte flash disk do USB portu, připojte se konzolovým kabelem přes COM port k zařízení a zapněte gateway. Proces instalace probíhá automaticky. Výchozí IP adresa je 192.168.1.1/24, a přihlašovací údaje admin / admin. Nejprve je třeba aktualizovat pasivní uzel, poté na něj nainstalovat politiku, přepnout role a potom aktualizovat druhý uzel. Je pravděpodobné, že budete potřebovat okno údržby.
1.1.6) Dalším krokem je připojení k webovému rozhraní na Gaia Portalu, kde projdete prvotní inicializací zařízení. Během inicializace většinou stisknete Další, protože téměř všechna nastavení lze změnit v budoucnu. Můžete však ihned změnit IP adresu, nastavení DNS a hostname.
1.2) V případě, že máte virtuální SG
1.2.1) Vytvořte novou virtuální stroj se stejnými nebo vyššími zdroji (CPU, RAM, HDD), protože verze R80.40 je o něco náročnější. Aby nedošlo ke konfliktu IP adres, vypněte starý gateway a začněte instalaci nového se stejnou IP adresou. Starý SG lze klidně odstranit, protože na něm není nic cenného, protože všechno důležité – bezpečnostní politika – je na serveru správy.
1.2.2) Během instalace OS nastavte aktuální IP adresu a vyhraďte pro adresář /root přiměřené množství místa.
3) Připojte se přes port HTTPS k bráně a začněte proces iniciace. V okamžiku výběru typu instalace „Typ instalace“ vyberte první volbu — Security Gateway and/or Security Management.
Obrázek 21. Výběr typu instalace Gaia
4) Nejvýznamnější krok — výběr entity (Products). Je třeba vybrat Security Gateway a pokud máte cluster, zaškrtněte "Unit is a part of a cluster, type: ClusterXL". Pokud máte cluster VRRP, vyberte tento typ, ale to je málo pravděpodobné.
Obrázek 22. Výběr typu entity při instalaci Gaia
5) V dalším kroku nastavte jednorázové heslo SIC pro navázání důvěry s řídicím serverem. Pomocí tohoto hesla se generuje certifikát a prostřednictvím šifrovaného kanálu bude řídicí server komunikovat s bránou. Zaškrtněte "Connect to your Management as a Service" pokud se řídicí server nachází v cloudu. Nedávno jsme o tom napsali a o tom, jak pohodlné a jednoduché je cloudové řízení serveru.
Obrázek 23. Vytvoření SIC
6) Zahajte proces iniciace na další záložce. Jakmile se zařízení restartuje, připojte se k webovému rozhraní a přeneste nastavení z obrazovek do všech záložek Gaia Portalu, ve kterých bylo něco nastaveno, nebo z clish proveďte příkaz load configuration .txt. Tento konfigurační soubor je třeba předem nahrát na bezpečnostní bránu.
Poznámka: Vzhledem k tomu, že je OS nová, WinSCP vám nedovolí připojit se jako admin, změňte uživatelský shell na /bin/bash buď v uživatelském rozhraní v záložce Uživatelé, nebo zadejte příkaz chsh –s /bin/bash nebo vytvořte nového uživatele s tímto shellem.
7) Otevřete a přejděte na objekt bezpečnostní brány, který jste právě znovu nainstalovali. Otevřete záložku General Properties > Communication > Reset SIC a zadejte heslo nastavené v bodě 5.
Obrázek 24. Nastavení důvěry s novou bezpečnostní bránou
8) Verze Gaia objektu by se měla změnit, pokud se nezmění, změňte ji ručně. Poté nainstalujte politiku na bránu.
9) V Gaia Portalu přejděte na záložku Upgrades (CPUSE) > Status and Actions > Hotfixes a nainstalujte poslední hotfix. Zařízení se během instalace! restartuje 10) V případě clusteru změňte role uzlů a proveďte stejné kroky pro jiný uzel.
Snažil jsem se vytvořit co nejjasnější a nejkomplexnější průvodce aktualizací z verze R80.20/R80.30 na aktuální R80.40, protože se mnoho změnilo. Verze
Závěr
Gaia R81 průvodce od Check Point, se budete moci sami vyznat ve všech nuancích.
Pro všech dotazů nás můžete kontaktovat. Rádi vám pomůžeme s těmi nejobtížnějšími aktualizacemi a případy v rámci naší technické podpory. . Také na našem můžete objednat audit nastavení Check Point nebo si nechat zdarma pro technický případ.
. Sledujte novinky (, , , , ).
Zdroj: habr.com
