Vorzwei Jahren haben wir berichtet, dass jeder Check Point-Administrator früher oder später vor der Frage steht, auf eine neue Version zu aktualisieren. In diesemArtikel wurde das Update von R77.30 auf R80.10 beschrieben. Übrigens wurde R77.30 im Januar 2020 zur zertifizierten Version von FSTEC. In den letzten zwei Jahren hat sich jedoch bei Check Point viel geändert. Im Artikel “ Check Point Gaia R80.40. Was ist neu?Es gibt zwei Implementierungsvarianten für Check Point: Standalone und Distributed, also ohne dedizierten Management-Server und mit dediziertem. Die Distributed-Variante wird aus mehreren Gründen dringend empfohlen:
die Belastung der Gateway-Ressourcen wird minimiert;
es ist kein Wartungsfenster erforderlich, um Arbeiten am Management-Server durchzuführen;
eine angemessene Funktionalität von SmartEvent, da sie im Standalone-Modus kaum zuverlässig funktioniert;
ein Cluster aus Gateways sollte unbedingt in einer Distributed-Konfiguration aufgebaut werden.
Es wird dringend empfohlen, einen Cluster aus Gateways in Distributed-Konfiguration aufzubauen.
Angesichts aller Vorteile der verteilten Konfiguration werden wir das Update des Management-Servers und des Sicherheitsgateways separat betrachten.
Aktualisierung des Security Management Servers (SMS)
Es gibt 2 Möglichkeiten zur Aktualisierung des SMS:
über CPUSE (über das Gaia Portal)
über Migration Tools (eine Neuinstallation ist erforderlich — frische Installation)
Die Aktualisierung über CPUSE wird von den Kollegen von Check Point nicht empfohlen, da dabei die Version des Dateisystems und des Kernels nicht aktualisiert wird. Diese Methode erfordert jedoch keine Übertragung von Richtlinien und ist viel schneller und einfacher als die zweite Methode.
Eine Neuinstallation und die Migration von Richtlinien über Migration Tools sind die empfohlene Methode. Neben dem neuen Dateisystem und dem Betriebssystemkernel kann es häufig vorkommen, dass die SMS-Datenbank "überfüllt" wird, und eine Neuinstallation ist in dieser Hinsicht eine ausgezeichnete Lösung, um die Servergeschwindigkeit zu erhöhen.
1) Der erste Schritt bei jedem Update besteht darin, Backups und Snapshots zu erstellen. Wenn Sie einen physischen Management-Server haben, sollte das Backup über die Weboberfläche des Gaia Portals erstellt werden. Gehen Sie zu Wartung > System Backup > Backup. Anschließend geben Sie den Speicherort für das Backup an. Dies kann ein SCP-, FTP- oder TFTP-Server sein oder lokal auf dem Gerät, wobei Sie das Backup später auf den Server oder Computer übertragen müssen.
Abbildung 1. Erstellung eines Backups im Gaia Portal
2) Als Nächstes sollte ein Snapshot im Tab Wartung → Snapshot-Verwaltung → Neu, erstellt werden. Der Unterschied zwischen Backups und Snapshots besteht darin, dass Snapshots mehr Informationen enthalten, einschließlich aller installierten Hotfixes. Dennoch ist es besser, beides zu machen.
Wenn Ihr Management-Server als virtuelle Maschine installiert ist, wird empfohlen, das Backup der virtuellen Maschine mit den integrierten Mitteln des Hypervisors durchzuführen. Das ist einfach schneller und zuverlässiger.
Abbildung 2. Erstellung eines Snapshots im Gaia Portal
3) Konfiguration des Geräts im Gaia Portal speichern. Sie können alle Einstellungen im Gaia Portal screenshoten oder im Clish den Befehl save configuration. Anschließend sollten Sie die Datei mit WinSCP oder einem anderen Client auf Ihren PC übertragen.
Abbildung 3. Speicherung der Konfiguration in einer Textdatei)
Hinweis: Wenn WinSCP keine Verbindung herstellen kann, ändern Sie den Shell-Benutzer auf /bin/bash, entweder im Web-Interface unter dem Tab Benutzer oder indem Sie den Befehl eingeben. chsh –s /bin/bash.
Update über CPUSE
4) Die ersten 3 Schritte sind für jede Upgrade-Option zwingend erforderlich. Wenn Sie sich für den einfacheren Upgrade-Weg entschieden haben, gehen Sie im Web-Interface zum Tab Upgrades (CPUSE) > Status und Aktionen > Hauptversionen > Check Point R80.40 Gaia Neuinstallation und Upgrade. Klicken Sie mit der rechten Maustaste auf dieses Update und wählen Sie Verifier. Der Überprüfungsprozess wird einige Minuten dauern, nach dessen Ablauf Sie die Mitteilung erhalten, dass das Gerät aktualisiert werden kann. Wenn Sie Fehler sehen, müssen diese behoben werden.
Abbildung 4. Update über CPUSE
5) Aktualisieren Sie auf die neueste Version des CDT (Central Deployment Tool) — ein Dienstprogramm, das auf dem Management-Server läuft und es ermöglicht, Updates, Update-Pakete, Backups, Snapshots, Skripte und vieles mehr zu verwalten. Eine veraltete Version von CDT kann zu Problemen beim Update führen. Sie können CDT herunterladen unter .
6) Nachdem Sie das heruntergeladene Archiv über WinSCP in ein beliebiges Verzeichnis auf SMS übertragen haben, verbinden Sie sich per SSH mit SMS und wechseln Sie in den Expertenmodus. Ich erinnere daran, dass der WinSCP-Benutzer Zugang zur Shell haben muss. /bin/bash!
7) Geben Sie die folgenden Befehle ein:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv --force CPcdt-00-00.i386.rpm
Abbildung 5. Installation des Central Deployment Tools (CDT)
8) Der nächste Schritt besteht darin, das Image R80.40 zu installieren. Klicken Sie mit der rechten Maustaste auf das Update. Herunterladen, dann Installieren. Bitte beachten Sie, dass das Update etwa 20-30 Minuten dauert und der Management-Server während dieser Zeit nicht verfügbar sein wird. Daher ist es sinnvoll, ein Wartungsfenster zu vereinbaren.
9) Alle Lizenzen und Sicherheitsrichtlinien bleiben erhalten, daher sollten Sie als Nächstes die neue .
10) Verbinden Sie sich mit dem neuen SMS über die SmartConsole und implementieren Sie die Sicherheitsrichtlinien. Der Button Richtlinie installieren oben links.
11) Ihr SMS ist aktualisiert, nun müssen Sie das neueste Hotfix installieren. Gehen Sie im Tab Upgrades (CPUSE) > Status und Aktionen > Hotfixes klicken Sie mit der rechten Maustaste auf Verifier, dann Update installieren. Das Gerät wird sich nach der Installation des Updates selbst neu starten.
Abbildung 6. Installation des letzten Hotfixes über CPUSE
Update mithilfe von Migration Tools
4) Zuerst sollten Sie ebenfalls auf die neueste Version von CDT aktualisieren – Punkte 5, 6, 7 aus dem Abschnitt „Update über CPUSE“.
5) Installieren Sie das Migration Tools-Paket, das für die Migration von Richtlinien vom Management-Server erforderlich ist. Laut den Angaben Migration Tools für die Versionen: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40 finden Sie hier. Laden Sie die Migration Tools der Version herunter, auf die Sie aktualisieren möchten,, und nicht die Version, die Sie derzeit haben! In unserem Fall ist das R80.40.
6) Gehen Sie im Web-Interface von SMS zum Tab Upgrades (CPUSE) > Status und Aktionen > Paket importieren > Durchsuchen > Wählen Sie die heruntergeladene Datei aus > Importieren.
Abbildung 7. Import der Migration Tools
7) Überprüfen Sie im Expertenmodus von SMS, ob das Paket Migration Tools mit dem Befehl installiert ist (die Ausgabe des Befehls sollte mit der Zahl im Namen des Migration Tools-Archivs übereinstimmen):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Abbildung 8. Überprüfung der Installation der Migration Tools
8) Wechseln Sie in das Verzeichnis $FWDIR/scripts auf dem Management-Server:
cd $FWDIR/scripts
9) Starten Sie den Pre-Upgrade-Überprüfer (Überprüfungsskript) mit dem Befehl (beheben Sie etwaige Fehler, bevor Sie mit den nächsten Schritten fortfahren):
./migrate_server verify -v R80.40
Hinweis: wenn Sie den Fehler sehen „Fehler beim Abrufen des Upgrade-Tools-Pakets“, aber Sie haben überprüft, dass das Archiv erfolgreich importiert wurde (siehe Punkt 4), verwenden Sie den Befehl:
./migrate_server verify -v R80.40 -skip_upgrade_tools_check
Abbildung 9. Start des Überprüfungsskripts
10) Exportieren Sie die Sicherheitsrichtlinien mit dem Befehl:
./migrate_server export -v R80.40 //.tgz
Abbildung 10. Export der Sicherheitsrichtlinie
Hinweis: wenn Sie den Fehler sehen „Fehler beim Abrufen des Upgrade-Tools-Pakets“, aber Sie haben überprüft, dass das Archiv erfolgreich importiert wurde (Punkt 7), verwenden Sie den Befehl:
./migrate_server export -skip_upgrade_tools_check -v R80.40 /<Vollständiger Pfad>/<Name der exportierten Datei>.tgz
11) Berechnen Sie die MD5-Prüfzsumme und speichern Sie sich die Ausgabe des Befehls:
md5sum /<Vollständiger Pfad>/<Name der exportierten Datei>.tgz
Abbildung 11. Berechnung der MD5-Prüfzsumme
12) Übertragen Sie diese Datei mit WinSCP auf Ihren Computer.
13) Geben Sie den Befehl ein df -h und speichern Sie sich das prozentuale Verhältnis der Verzeichnisse basierend auf dem belegten Speicherplatz.
Abbildung 12. Prozentuales Verhältnis der Verzeichnisse auf SMS
14.1) Falls Sie ein echtes SMS haben
14.1.1) Mit Hilfe von erstellen Sie einen bootfähigen USB-Stick mit dem Abbild .
14.1.2) Ich empfehle, mindestens 2 bootfähige Sticks vorzubereiten, da es vorkommen kann, dass der Stick nicht immer gelesen wird.
14.1.3) Führen Sie als Administrator auf dem Computer aus ISOmorphic.exe. Wählen Sie in Punkt 1 das heruntergeladene Abbild Gaia R80.40, in Punkt 4 den USB-Stick. Die Punkte 2 und 3 müssen nicht geändert werden. nicht nötig!
Abbildung 13. Erstellung des bootfähigen Sticks
14.1.4) Wählen Sie den Punkt „Automatisch installieren ohne Bestätigung“ und es ist wichtig, das Modell Ihres Verwaltungsservers anzugeben. Im Falle von SMS sollten Sie die 3. oder 4. Zeile auswählen.
Abbildung 14. Auswahl des Gerätetyps zum Erstellen eines bootfähigen USB-Sticks
14.1.5) Danach schalten Sie das Appliance aus, stecken den USB-Stick in den USB-Port, verbinden sich über ein Konsolenkabel mit dem COM-Port des Geräts und schalten SMS ein. Der Installationsprozess verläuft automatisch. Die Standard-IP-Adresse ist 192.168.1.1/24, und die Zugangsdaten sind admin / admin.
14.1.6) Der nächste Schritt besteht darin, sich mit der Weboberfläche im Gaia Portal (Standardadresse ) zu verbinden, wo Sie die Geräteinitialisierung durchführen. Während der Initialisierung drücken Sie hauptsächlich Weiter, da fast alle Einstellungen später geändert werden können. Sie können jedoch sofort die IP-Adresse, die DNS-Einstellungen und den Hostnamen ändern.
14.2) Falls Sie eine virtuelle SMS haben,
14.2.1) Sollten Sie auf keinen Fall die alte SMS löschen, erstellen Sie eine neue virtuelle Maschine mit den gleichen Ressourcen (CPU, RAM, HDD) und der gleichen IP-Adresse. Übrigens können Sie RAM und HDD erhöhen, da die Version R80.40 etwas anspruchsvoller ist. Um IP-Adresskonflikte zu vermeiden, schalten Sie die alte SMS aus und beginnen Sie mit der Installation der neuen.
14.2.2) Stellen Sie bei der Installation von Gaia die aktuelle IP-Adresse ein und reservieren Sie für das Verzeichnis /root eine angemessene Menge Speicherplatz. Das prozentuale Verhältnis der Verzeichnisse sollte ungefähr speichern, verwenden Sie die Ausgabe df -h.
15) Bei der Auswahl des Installationstyps „Installationstyp“ wählen Sie die erste Option, da Sie wahrscheinlich kein MDS (Multi-Domain-Server) haben. Wenn doch, bedeutet dies, dass Sie mehrere Domains gleichzeitig unter verschiedenen SMS-Entitäten verwaltet haben. In diesem Fall sollten Sie die zweite Option wählen.
Abbildung 15. Auswahl des Installationstyps für Gaia
16) Der wichtigste Punkt, den man ohne Neuinstallation nicht korrigieren kann — die Auswahl der Entität. Wählen Sie Security Management und klicken Sie auf Weiter. Anschließend alles auf Standard.
Abbildung 16. Auswahl der Entität bei der Installation von Gaia
17) Sobald das Gerät neu gestartet wurde, verbinden Sie sich mit der Webschnittstelle über oder eine andere IP-Adresse, falls Sie diese geändert haben.
18) Übertragen Sie die Einstellungen aus den Screenshots auf alle Registerkarten im Gaia Portal, in denen etwas konfiguriert wurde, oder führen Sie im clish den Befehl aus load configuration .txt. Diese Konfigurationsdatei sollte zuvor auf das SMS hochgeladen werden.
Hinweis: Da das Betriebssystem neu ist, wird WinSCP keine Verbindung als Administrator erlauben. Ändern Sie das Shell des Benutzers auf /bin/bash, entweder im Web-Interface unter dem Tab Benutzer oder durch Eingabe des Befehls chsh –s /bin/bash oder erstellen Sie einen neuen Benutzer.
19) Laden Sie die exportierten Richtlinien von dem alten Verwaltungsserver in ein beliebiges Verzeichnis hoch. Gehen Sie dann in die Konsole in den Expertenmodus und überprüfen Sie, ob der MD5-Hash übereinstimmt. Andernfalls muss der Export erneut durchgeführt werden:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Wiederholen Sie Punkt 6 und installieren Sie die Upgrade-Tools auf dem neuen SMS im Gaia Portal unter dem Tab Upgrades (CPUSE) > Status und Aktionen.
21) Geben Sie im Expertenmodus den Befehl ein:
./migrate_server import -v R80.40 -skip_upgrade_tools_check /<Full Path>/<Name of Exported File>.tgz
Abbildung 17. Import der Sicherheitsrichtlinie auf das neue SMS
22) Aktivieren Sie die Dienste mit dem Befehl cpstart.
23) Laden Sie die neue und verbinden Sie sich mit dem Verwaltungsserver. Gehen Sie zu Menu > Manage Licenses and Packages (SmartUpdate) und überprüfen Sie, ob Ihre Lizenz erhalten geblieben ist.
Abbildung 18. Überprüfung der installierten Lizenzen
24) Setzen Sie die Sicherheitsrichtlinie auf dem Gateway oder Cluster ein — Richtlinie installieren.
Aktualisierung des Security Gateway (SG)
Das Sicherheitsgateway kann über CPUSE aktualisiert werden, genau wie der Verwaltungsserver, oder neu installiert werden — frische Installation. In meiner Erfahrung installieren 99% der Fälle alle Security Gateways neu, da dies nahezu die gleiche Zeit in Anspruch nimmt wie das Update über CPUSE. Dabei erhalten Sie ein sauberes, aktualisiertes Betriebssystem ohne Fehler.
Ähnlich wie bei SMS müssen zunächst ein Backup und ein Snapshot erstellt sowie die Einstellungen aus dem Gaia Portal gespeichert werden. Bitte konsultieren Sie die Punkte 1, 2 und 3 im Abschnitt „Update des Security Management Servers“.
Update über CPUSE
Das Update des Security Gateways über CPUSE erfolgt genau wie das Update des Security Management Servers, also verweisen Sie bitte auf den Anfang des Artikels.
Ein wichtiger Punkt: Das Update des SG erfordert einen Neustart! Daher führen Sie das Update während eines Wartungsfensters durch. Wenn Sie ein Cluster haben, aktualisieren Sie zuerst den passiven Knoten, schalten Sie dann die Rollen um und aktualisieren Sie den anderen Knoten. Im Falle eines Clusters können Wartungsfenster eventuell vermieden werden.
Installation der neuen Betriebssystemversion auf dem Security Gateway
1.1) Falls Sie einen echten SG haben
1.1.1) Mit Hilfe von erstellen Sie einen bootfähigen USB-Stick mit dem Abbild . Das Image ist das gleiche wie auf dem SMS, jedoch sieht das Verfahren zur Erstellung eines bootfähigen USB-Sticks etwas anders aus.
1.1.2) Ich empfehle, mindestens 2 bootfähige USB-Sticks vorzubereiten, da es vorkommen kann, dass der USB-Stick nicht immer gelesen wird.
1.1.3) Starten Sie im Namen des Administrators auf dem Computer ISOmorphic.exe. Wählen Sie in Punkt 1 das heruntergeladene Abbild Gaia R80.40, in Punkt 4 den USB-Stick. Die Punkte 2 und 3 müssen nicht geändert werden. nicht nötig!
Abbildung 19. Erstellung eines bootfähigen USB-Sticks
1.1.4) Wählen Sie den Punkt „Automatisch installieren ohne Bestätigung“ , und es ist wichtig, das Modell Ihres Security Gateways anzugeben – Zeilen 2 oder 3. Wenn es sich um eine physische Sandbox (SandBlast Appliance) handelt, wählen Sie Zeile 5.
Abbildung 20. Auswahl des Gerätemodells für die Erstellung des bootfähigen USB-Sticks
1.1.5) Danach schalten Sie das Appliance aus, stecken den USB-Stick in den USB-Port, verbinden sich über das Konsolenkabel über den COM-Port mit dem Gerät und schalten das Gateway ein. Der Installationsprozess erfolgt automatisch. Die Standard-IP-Adresse ist – 192.168.1.1/24, und die Zugangsdaten sind admin / admin. Zuerst sollte der passive Knoten, dann die Richtlinie auf ihn angewendet, die Rollen umgeschaltet und anschließend der andere Knoten aktualisiert werden. Wahrscheinlich wird ein Wartungsfenster benötigt.
1.1.6) Der nächste Schritt besteht darin, sich auf das Webinterface im Gaia Portal zu verbinden, wo Sie die erste Initialisierung des Geräts durchführen. Während der Initialisierung drücken Sie hauptsächlich Weiter, da fast alle Einstellungen später geändert werden können. Sie können jedoch sofort die IP-Adresse, die DNS-Einstellungen und den Hostnamen ändern.
1.2) Falls Sie ein virtuelles SG haben
1.2.1) Erstellen Sie eine neue virtuelle Maschine mit denselben oder größeren Ressourcen (CPU, RAM, HDD), da die Version R80.40 etwas höhere Anforderungen hat. Um Konflikte mit IP-Adressen zu vermeiden, schalten Sie das alte Gateway aus und beginnen Sie die Installation des neuen mit derselben IP-Adresse. Das alte SG kann problemlos entfernt werden, da darauf nichts Wertvolles gespeichert ist; die Sicherheitsrichtlinie befindet sich auf dem Management-Server.
1.2.2) Stellen Sie während der Installation des Betriebssystems die aktuelle IP-Adresse ein und reservieren Sie ausreichend Platz für das Verzeichnis. /root adäquate Menge an Platz.
3) Stellen Sie eine Verbindung über den HTTPS-Port zum Gateway her und starten Sie den Initialisierungsprozess. Wählen Sie beim Auswahltyp der Installation „Installationstyp“ die erste Option — Sicherheitsgateway und/oder Sicherheitsmanagement.
Abbildung 21. Auswahl des Installations Typs von Gaia
4) Ein entscheidender Punkt — die Auswahl der Entität (Produkte). Wählen Sie Sicherheitsgateway und, wenn Sie ein Cluster haben, setzen Sie das Häkchen bei „Einheit ist Teil eines Clusters, Typ: ClusterXL“. Wenn Sie ein VRRP-Cluster haben, wählen Sie diesen Typ, was jedoch unwahrscheinlich ist.
Abbildung 22. Auswahl der Entitätstypen bei der Installation von Gaia
5) Im nächsten Schritt legen Sie ein einmaliges SIC-Passwort fest, um Vertrauen mit dem Verwaltungsserver aufzubauen. Mit diesem Passwort wird ein Zertifikat erstellt, und über einen verschlüsselten Kommunikationskanal wird der Verwaltungsserver mit dem Gateway kommunizieren. Aktivieren Sie das Kontrollkästchen „Verbinden Sie sich mit Ihrem Management as a Service“ wird empfohlen, wenn sich der Verwaltungsserver in der Cloud befindet. Dazu haben wir erst vor kurzem geschrieben und wie praktisch und einfach das Cloud-Management für Server ist.
Abbildung 23. Erstellung des SIC
6) Beginnen Sie den Initialisierungsprozess im nächsten Tab. Sobald das Gerät neu gestartet wird, verbinden Sie sich mit der Weboberfläche und übertragen Sie die Einstellungen aus den Screenshots in alle Tabs des Gaia-Portals, in denen etwas konfiguriert wurde, oder führen Sie im clish den Befehl aus load configuration .txt. Diese Konfigurationsdatei sollte vorab auf das Sicherheitsgateway hochgeladen werden.
Hinweis: Da das Betriebssystem neu ist, wird WinSCP keine Verbindung als Administrator erlauben. Ändern Sie das Shell des Benutzers auf /bin/bash, entweder im Web-Interface unter dem Tab Benutzer oder durch Eingabe des Befehls chsh –s /bin/bash oder erstellen Sie einen neuen Benutzer mit diesem Shell.
7) Öffnen Sie und gehen Sie zu dem Sicherheitsgateway-Objekt, das Sie gerade neu installiert haben. Öffnen Sie den Tab Allgemeine Eigenschaften > Kommunikation > SIC zurücksetzen und geben Sie das Passwort ein, das in Punkt 5 festgelegt wurde.
Abbildung 24. Vertrauen mit dem neuen Sicherheitsgateway aufbauen
8) Die Gaia-Version des Objekts sollte geändert werden, andernfalls ändern Sie sie manuell. Danach legen Sie die Richtlinien am Gateway fest.
9) Gehen Sie im Gaia Portal zum Reiter Upgrades (CPUSE) > Status und Aktionen > Hotfixes und installieren Sie das letzte Hotfix. Das Gerät wird in einen Neustart gehen während der Installation!
10) Bei einem Cluster ändern Sie die Rollen der Knoten und wiederholen Sie die gleichen Schritte für einen anderen Knoten.
Fazit
Ich habe versucht, einen verständlichen und umfassenden Leitfaden für das Update von Version R80.20/R80.30 auf die derzeit aktuelle R80.40 zu erstellen, da sich vieles geändert hat. Die Version ist bereits im Demomodus verfügbar, jedoch bleibt das Update-Verfahren insgesamt mehr oder weniger identisch. Mit dem offiziellen von Check Point können Sie selbst alle Feinheiten durchschauen.
Bei Fragen können Sie sich gerne an uns wenden. Wir helfen Ihnen gerne bei den kompliziertesten Updates und Fällen im Rahmen unseres technischen Supports . Zudem haben Sie auf unserem die Möglichkeit, ein Audit der Check Point-Einstellungen zu bestellen oder einen kostenlosen auf einen technischen Fall zu stellen.
. Bleiben Sie auf dem Laufenden (, , , , ).
Quelle: habr.com
