Check Pointi uuendamise protseduur R80.20/R80.30-lt R80.40-le

Kaksaastat tagasi kirjutasime, et iga Check Pointi administreerija seisab varem või hiljem silmitsi küsimusega uuendamisest uuele versioonile. Selleskaks aastat tagasi kirjutasime sellest, et iga Check Pointi administraatori ees kerkib varem või hiljem küsimus uuele versioonile üleminekust. Antud artiklis oli kirjeldatud uuendamist versioonist R77.30 versioonile R80.10. Üks asi, jaanuaris 2020 sai R77.30 FSTEK-i sertifitseeritud versiooniks. Kuid kahe aastaga on Check Pointis palju muutunud. Artiklis “Check Point Gaia R80.40. Mis uudised on tulemas?” on kirjeldatud kõiki uuendusi, mida on palju. Selles artiklis on uuendamise protseduur võimalikult detailselt kirjeldatud. 

Nagu teada, on Check Pointi rakendamiseks kaks võimalust: Standalone ja Distributed, st ilma spetsiaalse haldusserverita ja koos spetsiaalsega. Distributed variant on mitmel põhjusel äärmiselt soovitatav:

• minimeeritakse värava ressursikoormus;

• ei ole vaja planeerida hooldusaken, et hooldustöid haldusserveriga teostada;

• SmartEvent töötab tõhusamalt, kuna Standalone variandis ei pruugi see toimida;

• väravate klastrit soovitatakse ehitada Distributed konfiguratsioonis.

Arvestades kõiki Distributed konfiguratsiooni eeliseid, käsitleme juhtimisserveri ja turvagateway uuendamist eraldi.

Turvahalduse Serveri (SMS) uuendamine

SMS-i uuendamiseks on olemas 2 meetodit:

• kasutades CPUSE (Gaia Portali kaudu)

• kasutades Migration Tools (nõuab puhtalt installi — fresh install)

CPUSE kasutamine ei ole Check Pointi kolleegide poolt soovitatav, kuna see ei uuenda failisüsteemi versiooni ega kernelit. Kuid see meetod ei nõua poliitikate migreerimist ja on palju kiirem ja lihtsam kui teine meetod.

Puhas install ja poliitikate rände tegemine Migration Tools abil on soovitatav meetod. Lisaks uutele failisüsteemidele ja operatsioonisüsteemi kernelile juhtub tihti, et SMS-i andmebaas muutub „saastatuks”, ja puhas install on selles osas suurepärane lahendus, et suurendada serveri töökiirus.

1) Iga uuendamise esimene samm on varukoopiate ja snipe-shootide loomine. Kui teil on füüsiline juhtimisserver, siis tehke varukoopia Gaia Portali veebiliidese kaudu. Minge vahekaardile Maintenance > System Backup > Backup. See for backup location. It can be SCP, FTP, TFTP server, or stored locally on the device; however, later you will need to transfer this backup to the server or computer.

Figure 1. Creating a backup in Gaia Portal

2) Next, take a snapshot under the tab Maintenance → Snapshot Management → New. The difference between backups and snapshots is that snapshots contain more information, including all installed hotfixes. However, it's best to do both.

If your management server is set up as a virtual machine, it's recommended to back up the virtual machine using the hypervisor's built-in tools. It's simply faster and more reliable.

Figure 2. Creating a snapshot in Gaia Portal

3) Save the device configuration from Gaia Portal. You can take screenshots of all the settings tabs in Gaia Portal, or enter the command in Clish save configuration. Next, you should transfer the file to your PC using WinSCP or another client.

Figure 3. Saving configuration to a text file)

Märkus: if WinSCP does not allow connection, change the user shell to /bin/bash either in the web interface under Users or by entering the command chsh –s /bin/bash.

Uuendamine CPUSE abil

4) Esimesed 3 sammu on igasuguste uuenduste jaoks kohustuslikud. Kui soovite minna lihtsamat teed, minge veebiliideses vahekaardile Upgrades (CPUSE) > Status and Actions > Major Versions > Check Point R80.40 Gaia Fresh Install and Upgrade. Kui olete eelmise uuenduse kohal paremklõpsanud, valige Verifier. Tõukeprotsess kestab paar minutit, pärast mida näete teadet, et seadet saab uuendada. Kui näete tõrkeid, tuleb need parandada.

Joonis 4. Uuendamine CPUSE kaudu

5) Uuendage CDT (Central Deployment Tool) viimase versioonini — tööriist, mis töötab haldusteenuse serveris ja võimaldab installida uuendusi, uuenduspakette, hallata varukoopiaid, hetkeseisu, skripte ja palju muud. Vananenud CDT versioon võib uuendamisega probleeme tekitada. CDT-d saab alla laadida lingi kaudu.

6) Pannes allalaaditud arhiivi SMS-i mis tahes kausta WinSCP kaudu, ühendage SMS-iga SSH kaudu ja sisenega ekspertrežiimi. Tuletan meelde, et WinSCP kasutajal peab olema shell /bin/bash!

7) Sisestage käsud: 

cd /somepathtoCDT/

tar -zxvf .tgz

rpm -Uhv --force CPcdt-00-00.i386.rpm

Joonis 5. Central Deployment Tooli (CDT) installimine

8) Järgmine samm on R80.40 pildi installimine. Paremklõpsake uuendamisel Laadi alla, seejärel Installi. Pidage meeles, et uuendamine võtab aega 20-30 minutit, ning juhtimiserver on mõnda aega mittesaadav. Seetõttu on mõistlik kokku leppida hooldusaken.

9) Kõik litsentsid ja turvapoliitikad säilitavad, seega tuleks teil nüüd alla laadida uus SmartConsole R80.40.

10) Ühendage uue SmartConsole'iga SMS ja seadistage turvapoliitikad. Nupp Installi poliitika vasakus ülanurgas.

11) Teie SMS on uuendatud, järgmiseks tuleb installida kõige uuem hotfix. Vahekaardil Uuendused (CPUSE) > Seis ja tegevused > Hotfixid klõpsake paremal klahvil Verificator, seejärel Installi uuendus. Seade taaskäivitub pärast uuenduse paigaldamist automaatselt.

Joonis 6. Viimase hotfixi installimine läbi CPUSE

Uuendamine Migration Toolide abil

4) Alustuseks tuleks samuti uuendada viimaseni CDT — punktid 5, 6, 7 jaos „Uuendamine läbi CPUSE”.

5) Paigaldage migreerimiseks vajalik Migration Tools pakett turvapoliitikate migreerimiseks juhtimiserverilt. Sellega seotud lingi kaudu Leiate migreerimistööriistu versioonide jaoks: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Laadige alla migreerimistööriistad selle versiooni jaoks, kuhu soovite uuendada,, mitte selle, mis teil praegu on! Meie juhul on see R80.40.

6) Edasi liikudes SMS veebivahendis minge vahekaardile Uuendused (CPUSE) > Statuse ja toimingute > Impordi paketid > Sirvi > Valige allalaaditud fail > Impordi.

Joonis 7. Migreerimistööriistade importimine

7) Eksperdivaatest SMS-is kontrollige, et migreerimistööriistade pakett on installitud järgmise käsu abil (käsu väljund peaks vastama arhiivi nime numbrile):

cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1

Joonis 8. Migreerimistööriistade installimise kontrollimine

8) Liikuge juhtimiserveris kausta $FWDIR/scripts:

cd $FWDIR/scripts

9) Käivitage eeluuenduse verifikaator (kontrollskript) järgmise käsu abil (kui esinevad vead, parandage need enne järgmisi samme):

./migrate_server verify -v R80.40

Märkus: kui näete viga “Ebaõnnestus uuendustööriistade paketi allalaadimine”, kuid olete kontrollinud, et arhiiv on edukalt imporditud (vt punkt 4), kasutage käsu:

./migrate_server verify -v R80.40 -skip_upgrade_tools_check

Joonis 9. Kontrollskripti käivitamine

10) Ekspordige turvapoliitikad järgmise käsu abil:

./migrate_server export -v R80.40 //.tgz

Joonis 10. Turvapoliitika eksportimine

Märkus: kui näete viga “Ebaõnnestus uuendustööriistade paketi allalaadimine”, kuid olete juba kinnitanud, et arhiv on edukalt imporditud (punkt 7), kasutage käsku:

./migrate_server export -skip_upgrade_tools_check -v R80.40 /<Täis tee>/<Eksporditud faili nimi>.tgz

11) Arvutage MD5 rippkood ja salvestage käsku väljund:

md5sum /<Täis tee>/<Eksporditud faili nimi>.tgz

Joonis 11. MD5 rippkoodi arvutamine

12) Kasutades WinSCP, liigutage see fail oma arvutisse.

13) Sisestage käsk df -h ja salvestage kaustade protsentuaalne suhe, lähtudes kasutatavast mahust.

Joonis 12. Kaustade protsentuaalne suhe SMS-is

14.1) Juhul, kui teil on reaalne SMS

14.1.1) Kasutades Isomorphic Tool looge käivitatav USB mälupulk pildiga Gaia R80.40. 

14.1.2) Soovitan valmistada ette vähemalt 2 käivitatavat mälupulka, kuna mõnikord ei pruugi mälupulk olla loetav. 

14.1.3) Administratorina käivitage arvutis ISOmorphic.exe. Punktis 1 valige alla laaditud pilt Gaia R80.40, punktis 4 mälupulk. Punkte 2 ja 3 ei pea muutma ei tohi!

Joonis 13. Käivitatava mälupulga loomine

14.1.4) Valige punkt “Install automatically without confirmation” ja on oluline märkida teie serveri mudel. SMS-i puhul tuleks valida 3. või 4. rida.

Joonis 14. Seadmise mudeli valik alglaadimis USB-mälupulkade jaoks

14.1.5) Järgmine samm on seadme väljalülitamine, USB-porti mälupulka sisestamine, ja konsooli kaabli kaudu COM-porti ühendamine seadmega ning SMSi sisselülitamine. Paigaldusprotsess toimub automaatselt. Vaikimisi IP-aadress on 192.168.1.1/24, ja sisselogimise andmed admin / admin.

14.1.6) Järgmine samm on veebiliidese avamine Gaia Portalis (vaikimisi aadress https://192.168.1.1), kus teete seadme initsialiseerimise. Initsialiseerimise ajal vajutate põhimõtteliselt Järgmine , kuna peaaegu kõik seaded on hiljem muudetavad. Siiski saate kohe tõlkida IP-aadressi, DNS-seaded ja hostinime.

14.2) Kui teil on virtuaalne SMS

14.2.1) Ärge mingil juhul eemaldage vana SMS-i, vaid looge uus virtuaalne masin samade ressurssidega (CPU, RAM, HDD) sama IP-aadressiga. Üksikasjalikult: RAMi ja HDD-d võite lisada, kuna R80.40 versioon on veidi nõudlikum. IP-aadresside konflikti vältimiseks lülitage vana SMS välja ja alustage uue seadistamist.

14.2.2) Gaia paigaldamise ajal seadistage päevakohane IP-aadress ja eraldage kaustale /root sobiv kogus ruumi. Teie kaustade protsentuaalne suhe peaks olema umbes salvestada, kasutage väljundit df -h.

15) Paigaldus tüübi valimise hetkel „Paigaldustüüp” valige esimene variant, kuna tõenäoliselt ei ole teil MDS (Mitme Domeeni Server). Kui teil on MDS, siis olete hallanud mitut domeeni erinevate SMS-üksuste alt samaaegselt. Sel juhul valige teine punkt.

Joonis 15. Paigaldus tüübi valimine Gaia

16) Kõige olulisem hetk, mida ei saa ilma uuesti installimata parandada, on üksuse valik. Valige Security Management ja vajutage Next. Seejärel kõik vaikeseaded.

Joonis 16. Üksuse valimise valik Gaia installimise ajal

17) Kui seade taaskäivitub, ühenduge veebiliidese kaudu https://192.168.1.1 või teise IP-aadressiga, kui olete seda muutnud.

18) Edastage seaded ekraanipiltidelt kõikidesse Gaia Portaali vahekaartidesse, kus midagi on seadistatud, või täitke clish käsk load configuration .txt. See konfigureerimisfail tuleb eelnevalt üles laadida SMS-ile.

Märkus: kuna OS on uus, ei luba WinSCP adminina sisse logida, vahetage kasutaja shell /bin/bash-ks kas veebiliidese vahekaardil Users või sisestades käsu chsh –s /bin/bash või looge uus kasutaja.

19) Laadige üles eksporditud poliitikad oma vanalt haldussüsteemilt mõnda kausta. Siis avage konsool ekspertrežiimis ja kontrollige, et MD5 räsisumma vastab varasemale. Vastasel juhul tuleb eksport teha uuesti:

md5sum /<Full Path>/<Name of Exported File>.tgz

20) Korrake punkt 6 ja installige Upgrade Tools uuele SMS-ile Gaia Portali vahekaardile Upgrades (CPUSE) > Seisundi ja tegevused.

21) Sisestage käsk ekspertrežiimis:

./migrate_server import -v R80.40 -skip_upgrade_tools_check /<Täis tee>/<Eksporditud faili nimi>.tgz

Joonis 17. Turvapoliitika import uuele SMS-ile

22) Lülitage teenused sisse käsuga cpstart.

23) Laadige alla uus SmartConsole R80.40 ja ühendage haldussüsteemiga. Avage Menüü > Halda litsentse ja pakette (SmartUpdate) ja kontrollige, et teie litsents säilis.

Joonis 18. Installitud litsentside kontrollimine

24) Seadistage turvapoliitika väravale või klastrile — Installi poliitika.

Security Gateway (SG) uuendamine

Turvaväravat saab uuendada läbi CPUSE, samamoodi nagu haldussüsteemi, või paigaldada uuesti — fresh install. Minu praktika näitab, et 99% juhtudest installitakse Security Gateway uuesti, sest selleks kulub peaaegu sama palju aega kui CPUSE kaudu uuendamine, kuid saate puhta ja värskendatud operatsioonisüsteemi ilma bugideta.

Sarnaselt SMS-ile tuleb esmalt luua varukoopia ja snapshots, samuti salvestada seaded Gaia Portaalist. Vaadake punkte 1, 2 ja 3 jaotises „Security Management Serveri uuendamine“.

Uuendamine CPUSE abil

Security Gateway uuendamine CPUSE kaudu toimub täpselt samamoodi nagu Security Management Serveri uuendamine, seega vaadake artikli algust.

Oluline hetk: SG uuendamine nõuab taaskäivitamist! Seetõttu viige uuendamine läbi hooldusaknas. Kui teil on klaster, uuendage esmalt passiivne sõlm, seejärel vahetage rolle ja uuendage teist sõlme. Klasteri puhul on hooldusaken võimalik vältida.

Uue operatsioonisüsteemi installimine Security Gateway'l

1.1) Juhul, kui teil on reaalne SG

1.1.1) Kasutades Isomorphic Tool looge käivitatav USB mälupulk pildiga Gaia R80.40. Kujutis on sama mis SMS-il, kuid käivitusflashi loomise protseduur näeb natuke erinev välja.

1.1.2) Soovitan valmistada ette vähemalt 2 käivitusflashi, kuna mõnikord ei pruugi flashi lugemine õnnestuda. 

1.1.3) Käivitage administraatori õigustes arvutis ISOmorphic.exe. Punktis 1 valige alla laaditud pilt Gaia R80.40, punktis 4 mälupulk. Punkte 2 ja 3 ei pea muutma ei tohi!

Kujutis 19. Käivitatava USB-mälupulga loomine

1.1.4) Valige valik „Install automatically without confirmation” ja on oluline näidata teie Security Gateway mudelit — rida 2 või 3. Kui see on füüsiline liivakast (SandBlast Appliance), siis valige rida 5.

Kujutis 20. Seadmestiku mudeli valik käivitatava USB-mälupulga loomiseks

1.1.5) Seejärel lülitate seadme välja, sisestate mälupulga USB pessa, ühendate konsooli kaabli kaudu COM-porti seadmega ja lülitate шлюzi sisse. Paigaldamisprotsess toimub automaatselt. Vaikimisi IP-aadress — 192.168.1.1/24, ja sisselogimise andmed admin / admin. Esmalt tuleb uuendada passiivne sõlme, seejärel seadistage sellele poliitika, vahetage rolle ja seejärel uuendage teist sõlme. Tõenäoliselt on vajalik hooldusaken.

1.1.6) Järgmiseks sammuks on ühendus veebiliidese kaudu Gaia Portalis, kus teete seadme esialgse seadistamise. Seadistamise ajal peate peamiselt vajutama Järgmine , kuna peaaegu kõik seaded on hiljem muudetavad. Siiski saate kohe tõlkida IP-aadressi, DNS-seaded ja hostinime.

1.2) Kui teil on virtuaalne SG

1.2.1) Looge uus virtuaalne masin, millel on samad või suuremad ressursid (CPU, RAM, HDD), kuna R80.40 versioon on veidi nõudlikum. IP-aadresside konfliktide vältimiseks lülitage välja vana lüli ja alustage uue paigaldamist sama IP-aadressiga. Vana SG saab rahulikult eemaldada, kuna seal pole midagi väärtuslikku, kõik oluline — turvapoliitika — asub juhtimisserveris.

1.2.2) Operatsioonisüsteemi paigaldamise ajal seadistage sobiv IP-aadress ja määrake kaustale /root mõistlik maht.

3) Ühendage HTTPS-protokolli kaudu lüli ja alustage initsialiseerimisprotsessi. Paigalduse tüübi valimise hetkel „Paigaldustüüp” valige esimene variant — Security Gateway ja/või Security Management.

Kujutis 21. Paigaldustüübi valik Gaia

4) Oluline hetk — subjekti (Products) valik. Tuleb valida Security Gateway ja kui teil on klaster, siis märkige kastikene „Unit is a part of a cluster, type: ClusterXL”. Kui teil on VRRP klaster, valige see tüüp, kuid see on tõenäoliselt ebatõenäoline.

Kujutis 22. Subjekti tüübi valik Gaia paigaldamisel

5) Järgmises etapis seadistage SIC ühekordne parool juhtimisseerveriga usalduse loomiseks. Selle parooli abil genereeritakse sertifikaat ning krüptitud kanali kaudu suheldakse juhtimisseeriga. „Ühendage oma juhtimis- kui teenus” tuleb märkida, kui juhtimisseerver asub pilves. Me just hiljuti kirjutasime sellest artiklile ja kui mugav ja lihtne on pilvepõhine serveri juhtimine.

Joonis 23. SIC loomine

6) Alustage initsialiseerimisprotsessi järgmises vahekaartis. Kui seade taaskäivitub, ühendage see veebiliidese kaudu ja viige seaded Gaia Portalis kõikidesse vahekaartidesse, kus midagi on seadistatud, või täitke clish käsk load configuration .txt. See konfiguraifail tuleb eelnevalt juhuslikult turvagateway'le laadida.

Märkus: kuna OS on uus, ei luba WinSCP adminina sisse logida, vahetage kasutaja shell /bin/bash-ks kas veebiliidese vahekaardil Users või sisestades käsu chsh –s /bin/bash või looge uus kasutaja sellise shelliga.

7) Avage SmartConsole R80.40 ja minge turvagateway objekti juurde, mille just uuesti installisite. Avage vahekaart Üldised omadused > Side > Reset SIC ja sisestage punktis 5 määratud parool.

Joonis 24. Usalduse loomine uue turvagateway'ga

8) Gaia versioon objektis peab muutuma; kui see ei muutu, vahetage see käsitsi. Seejärel seadistage poliitika värava jaoks.

9) Gaia Portalis minge vahekaardile Uuendused (CPUSE) > Seis ja tegevused > Hotfixid ja installige viimane hotfix. Seade läheb taaskäivitusele paigaldamise ajal!

10) Klustri puhul vahetage node'ide rolle ja tehke samad sammud teise node'i jaoks.

Kokkuvõte

Olen püüdnud koostada võimalikult selge ja kõikehõlmava juhendi versioonilt R80.20/R80.30 praegusele versioonile R80.40, kuna palju on muutunud. Versioon Gaia R81 on juba saadaval demo režiimis, kuid värskendamise protseduur jääb enam-vähem samaks. Juhindudes ametlikust juhendist Check Pointilt, suudate ise kõigi nüanssidega toime tulla.

Küsimuste korral võite meiega ühendust võtta. Oleme valmis aitama kõige keerulisemate uuenduste ja juhtumitega meie tehnilise toe raames CPSupport. Samuti on meie veebilehel võimalus tellida Check Pointi seadistuste auditi või esitada tasuta taotlus tehnilise juhtumi jaoks.

Suur valik materjale Check Pointi kohta TS Solutionilt. Jälgige värskendusi (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Allikas: habr.com