Migration von Check Point von R77.30 auf R80.10

Hallo Kollegen, willkommen zur Lektion über die Migration von Check Point R77.30 Datenbanken auf R80.10.

Bei der Nutzung von Produkten der Firma Check Point steht man früher oder später vor der Aufgabe, bestehende Regeln und Datenbankobjekte aus folgenden Gründen zu migrieren:

1. Beim Kauf eines neuen Geräts muss die Datenbank von dem alten Gerät auf das neue Gerät (auf die aktuelle Version von GAIA OS oder höher) migriert werden.
2. Es ist erforderlich, das Gerät von einer Version von GAIA OS auf eine höhere Version auf einem lokalen Rechner zu aktualisieren.

Für die Lösung der ersten Aufgabe ist nur das Tool mit dem Namen Management Server Migration Tool, oder einfach Migration Tool, geeignet. Für die Lösung der Aufgabe Nr. 2 kann entweder die Lösung CPUSE oder das Migration Tool verwendet werden.
Im Folgenden betrachten wir beide Methoden im Detail.

Upgrade auf ein neues Gerät

Datenbankmigration beinhaltet die Installation der neuesten Version von Management auf dem neuen Gerät und dann die Migration der Datenbank von einem bestehenden Sicherheitsmanagement-Server auf den neuen mithilfe des Migration Tools. Diese Methode minimiert das Risiko eines Updates für die bestehende Konfiguration.

Um die Datenbank mit dem Migration Tool zu migrieren, müssen die folgenden Bedingungen erfüllt sein: den Anforderungen:

1. Der freie Speicherplatz auf der Festplatte muss mehr als das Fünffache der Größe des Archivs der exportierten Datenbank betragen.
2. Die Netzwerkeinstellungen auf dem Zielserver müssen mit denen des Quellservers übereinstimmen.
3. Backup erstellen. Der Export der Datenbank muss auf einen externen Server erfolgen.
   Im Betriebssystem GAIA ist das Migration Tool bereits installiert, es kann beim Importieren der Datenbank oder für die Migration auf die gleiche Version des Betriebssystems verwendet werden. Um die Datenbank auf eine höhere Version des Betriebssystems zu migrieren, muss das Migration Tool der entsprechenden Version aus dem Bereich 'Tools' auf der Support-Seite von Check Point R80.10 heruntergeladen werden:
4. Backup und Migration des SmartEvent / SmartReporter Servers. Die Tools ‚backup‘ und ‚migrate export‘ beinhalten keine Datenbanken von SmartEvent database / SmartReporter database.
   Für Backup und Migration sollten die Tools ‚eva_db_backup‘ oder ‚evs_backup‘ verwendet werden.
   Hinweis: Artikel sk110173 in der Wissensdatenbank von CheckPoint.

Überblick über die Funktionen dieses Tools:

Bevor Sie mit der Datenmigration beginnen, müssen Sie zuerst das heruntergeladene Migration Tool in den Ordner “/opt/CPsuite-R77/fw1/bin/upgrade_tools/” entpacken. Der Export der Datenbank sollte unter Verwendung der Befehle aus dem Verzeichnis erfolgen, in das Sie das Tool entpackt haben.

Bevor Sie den Befehl zum Exportieren oder Importieren ausführen, schließen Sie alle SmartConsole-Clients oder führen Sie cpstop auf dem Sicherheitsmanagement-Server aus.

Um Exportdatei erstellen der Management-Datenbank auf dem ursprünglichen Server:

1. Wechseln Sie in den Expertenmodus.
2. Starten Sie das Prüfwerkzeug: pre_upgrade_verifier -p $FWDIR -c R77 -t R80.10. Beheben Sie alle Fehler, bevor Sie fortfahren.
3. Führen Sie aus: ./migrate export filename.tgz. Der Befehl exportiert den Inhalt der Datenbank des Security Management Servers in eine TGZ-Datei.
4. Folgen Sie den Anweisungen. Die Datenbank wird in die von Ihnen in dem Befehl benannte Datei exportiert. Stellen Sie sicher, dass Sie sie als TGZ definiert haben.
5. Wenn SmartEvent auf dem ursprünglichen Server installiert ist, exportieren Sie die Ereignisdatenbank.

Jetzt importieren wir die Datenbanken des Sicherheitsservers, die wir exportiert haben. Bevor Sie beginnen: Installieren Sie den R80 Security Management Server. Ich erinnere daran, dass die Netzwerkeinstellungen des neuen Management Servers R80.10 mit den Einstellungen des alten Servers übereinstimmen müssen.

Um Konfiguration importieren des Management-Servers:

1. Wechseln Sie in den Expertenmodus.
2. Übertragen Sie (über FTP, SCP oder ähnliches) die exportierte Konfigurationsdatei vom Ursprungsserver auf den neuen Server.
3. Trennen Sie den ursprünglichen Server vom Netzwerk.
4. Übertragen Sie die Konfigurationsdatei vom Remote-Server auf den neuen Server.
5. Berechnen Sie die MD5-Prüfzahlen für die übertragenen Dateien und vergleichen Sie sie mit der MD5, die auf dem ursprünglichen Server berechnet wurde: # md5sum filename.tgz
6. Datenbank importieren: ./migrate import filename.tgz
7. Aktualisierungsprüfung.

Nach dem Abschluss von Punkt 7 fassen wir zusammen, dass die Datenbankmigration mit dem Migration Tool erfolgreich war. Im Falle eines Misserfolgs kann der ursprüngliche Server immer wieder eingeschaltet werden, sodass die Arbeit nicht beeinträchtigt wird.

Es ist zu beachten, dass die Migration von einem Standalone-Server nicht unterstützt wird.

Lokales Upgrade

CPUSE (Check Point Upgrade Service Engine) Ermöglicht die automatische Aktualisierung von Check Point-Produkten für das Betriebssystem Gaia. Die Software-Update-Pakete sind in Kategorien unterteilt, nämlich Hauptversionen, Nebenversionsversionen und Hotfixes. Gaia findet automatisch verfügbare Software-Update-Pakete und Images, die zur Version des Betriebssystems Gaia passen, auf die aktualisiert werden kann. Mit CPUSE können sowohl eine saubere Installation der neuen Version von GAIA OS als auch ein Upgrade des Systems mit Datenbankmigration durchgeführt werden.

Um auf eine höhere Version zu aktualisieren oder eine saubere Installation mit CPUSE durchzuführen, muss auf dem Gerät ausreichend freier (nicht zugeordneter) Speicherplatz vorhanden sein — mindestens in der Größe der Root-Partition.

Der Übergang zu einer neuen Version erfolgt auf einer neuen Partition der Festplatte, während die "alte" Partition in einen Gaia Snapshot umgewandelt wird (der neuen Partition wird nicht zugeordneter Speicherplatz auf der Festplatte zugewiesen). Außerdem ist es ratsam, vor der Systemaktualisierung einen Snapshot zu erstellen und ihn auf einen Remote-Server hochzuladen.

Aktualisierungsprozess:

1. Überprüfen Sie das Update-Paket (falls Sie dies noch nicht getan haben) — stellen Sie sicher, dass dieses Paket ohne Konflikte installiert werden kann: Klicken Sie mit der rechten Maustaste auf das Paket — wählen Sie „Verifier“.

   Das Ergebnis sollte ungefähr wie folgt aussehen:

   • Installation ist erlaubt
   • Upgrade ist erlaubt
2. Installieren Sie das Paket: Klicken Sie mit der rechten Maustaste auf das Paket und wählen Sie „Upgrade“:
   CPUSE zeigt die folgende Warnung im Gaia Portal an: Nach diesem Upgrade erfolgt ein automatischer Neustart (Die bestehenden OS-Einstellungen und die Check Point-Datenbank bleiben erhalten).
3. Sie werden den entsprechenden Fortschritt der Datenmigration nach dem Upgrade auf R80.10 sehen:
   • Produkte werden aktualisiert
   • Datenbank wird importiert
   • Produkte werden konfiguriert
   • SIC-Daten werden erstellt
   • Prozesse werden gestoppt
   • Prozesse werden gestartet
   • Installiert, Selbsttest bestanden
4. Das System wird automatisch neu gestartet
5. Richtlinieninstallation in SmartConsole

Wie Sie sehen, verläuft alles ziemlich einfach; im Falle eines Problems kann mit Hilfe des erstellten Snapshots auf die alten Einstellungen zurückgesetzt werden.

Praxis

Das bereitgestellte Video-Tutorial enthält einen theoretischen und praktischen Teil. Die erste Hälfte des Videos wiederholt den beschriebenen theoretischen Teil, während im praktischen Beispiel die Datenmigration mit beiden Methoden gezeigt wird.

Fazit

In dieser Lektion haben wir die Lösungen des Unternehmens Check Point zur Aktualisierung und Migration von Datenbanken für Objekte und Regeln betrachtet. Bei einem neuen Gerät gibt es keine anderen Lösungen als die Verwendung des Migrationstools. Wenn Sie das GAIA OS aktualisieren möchten und die Möglichkeit und den Wunsch haben, die Maschine neu zu installieren, empfiehlt unser Unternehmen, basierend auf bestehenden Erfahrungen, die Datenbank mithilfe des Migrationstools zu migrieren. Diese Methode minimiert das Risiko eines Updates für die bestehende Konfiguration im Vergleich zu CPUSE. Außerdem bleiben beim Update über CPUSE viele unnötige alte Dateien auf der Festplatte erhalten, und um diese zu entfernen, wird ein zusätzliches Tool benötigt, was zusätzliche Maßnahmen und neue Risiken mit sich bringt.

Wenn Sie zukünftige Lektionen nicht verpassen möchten, abonnieren Sie unsere Gruppe. VK, Youtube und TelegramWenn Sie aus irgendeinem Grund das benötigte Dokument nicht finden konnten oder Ihr Problem mit Check Point nicht lösen konnten, können Sie sich gerne an uns.

Quelle: habr.com