Check Pointi värskendamise protseduur R80.20/R80.30-st R80.40-le

Bolekaks aastat tagasi kirjutame sellest, et iga Check Pointi administraatori ees seab varem või hiljem küsimus uuendamisest uuele versioonile. Käesolevas artiklis oli kirjeldatud uuendamist versioonilt R77.30 versioonile R80.10. Muide, jaanuaris 2020 sai R77.30 FSTEKi sertifitseeritud versiooniks. Kuid kahe aasta jooksul on Check Pointis palju muutunud. Artiklis “Check Point Gaia R80.40. Mis on uut?” on kirjeldatud kõiki uuendusi, mida on palju. Käesolevas artiklis kirjeldame uuendamise protseduuri võimalikult üksikasjalikult. 

Nagu teada, on olemas kaks võimalust Check Pointi rakendamiseks: Standalone ja Distributed, see tähendab ilma eraldi juhtimiserverita ja eraldi serveriga. Distributed variant on väga soovitatav mitmete põhjuste tõttu:

• minimeeritakse koormus värava ressurssidele;

• ei pea plaanima hooldusakent, et viia läbi tööd juhtimiserveriga;

• SmartEventi korralik töö, kuna Standalone variandis ei pruugi see hästi töötada;

• väravate klastrit on äärmiselt soovitatav ehitada Distributed konfiguratsiooniga.

Arvestades kõiki Distributed konfiguratsiooni eeliseid, vaatame separaalselt juhtimiserveri ja turvavärava uuendamist.

Turvahalduse serveri (SMS) uuendamine

SMSi uuendamiseks on kaks meetodit:

• kasutades CPUSE (Gaia Portali kaudu)

• kasutades Migration Tools (vajalik on puhas installatsioon — puhtalt install,)

CPUSE abil uuendamist ei soovita Check Pointi kolleegid, kuna teie faili süsteemi ja tuum ei uuene. Siiski, see meetod ei vaja poliitikate migreerimist ja on palju kiirem ja lihtsam kui teine meetod.

Puhas installatsioon ja poliitikate migreerimine Migration Toolsi abil — see on soovitatud meetod. Lisaks uutele faili süsteemidele ja operatsioonisüsteemi tuumale juhtub sageli, et SMSi andmebaas ”saastub”, ja puhas installatsioon on selle osas suurepärane lahendus, et lisada serveri töökiirus.

1) Iga uuendamise esimene samm on varukoopiate ja snehšottide loomine. Kui teil on füüsiline juhtimiserver, tuleks varukoopia teha Gaia Portali veebiliidese kaudu. Minge vahekaardile Hooldus > Süsteemi varukoopia > Varukoopia. Seejärel määrate varukoopia salvestamise koha. See võib olla SCP, FTP, TFTP server või kohalikult seadmel, kuid siis tuleb hiljem see varukoopia serverisse või arvutisse edasi saata.

Kujutis 1. Varukoopia loomine Gaia Portalis

2) Järgmiseks tehke sisselogimisaken vahekaardil Haldus → Snapshot Management → Uus. Varunduste ja sisselogimiste vahel on erinevus selles, et sisselogimised sisaldavad rohkem teavet, sealhulgas kõiki installitud hotfix-e. Siiski on parem teha mõlemad.

Kui teie serveri haldus on no107;võrgu masina kujul, siis on soovitatav varundada virtuaalmasinat hüperviisori sisseehitatud vahenditega. See on lihtsalt kiirem ja usaldusväärsem.

Joonis 2. Sisselogimise loomine Gaia Portalis

3) Salvestage seadme konfiguratsioon Gaia Portalis. Saate ekraanipildi teha kõigist seadete vahekaartidest, mis on Gaia Portalis, või sisestades Clishis käsu save configuration. Seejärel peate faili WinSCP või mõne muu kliendi kaudu oma arvutisse tõmbama.

Joonis 3. Konfiguratsiooni salvestamine tekstifaili)

Märkus: kui WinSCP ei luba ühendust luua, muutke kasutaja shell'i aadressiks /bin/bash kas veebiliideses vahekaardil Kasutajad või sisestades käsu chsh –s /bin/bash.

Uuendamine CPUSE kaudu

4) Esimesed 3 sammu on kohustuslikud mis tahes uuendamise variandi puhul. Kui aga otsustate minna lihtsama uuendamise teed, siis minge veebiliideses vahekaardile Uuendused (CPUSE) > Oleku ja tegevuste > Suured versioonid > Check Point R80.40 Gaia värske installimine ja uuendamine. Klõpsake hiire parema nupuga selle uuenduse peal ja valige Kontrollija. Käivitage kontrollimisprotsess mõneks minutiks, mille lõppedes näete teatist, et seade võib olla uuendatud. Kui näete vigu, tuleb need parandada.

Joonis 4. Uuendamine CPUSE kaudu

5) Uuendage até viimase versioonini CDT (Central Deployment Tool) - tööriist, mis töötab haldusserveris ja võimaldab installida uuendusi, uuenduste pakette, hallata varukoopiaid, sisselogimisi, skripte ja palju muud. Vananenud versioon CDT-st võib põhjustada probleeme uuendamisel. CDT-d saab alla laadida aadressilt lingil.

6) Pannes allalaaditud arhiivi SMS-i igasse kausta WinSCP kaudu, ühendage SMS-i SSH kaudu ja minge ekspertrežiimi. Meenutan, et WinSCP kasutajal peab olema shell /bin/bash!

7) Sisestage käsud: 

cd /somepathtoCDT/

tar -zxvf .tgz

rpm -Uhv --force CPcdt-00-00.i386.rpm

Joonis 5. Central Deployment Tool (CDT) installimine

8) Järgmine samm on R80.40 pildi installimine. Parema hiire klõpsuga uuendusel Laadi alla, seejärel Installeeri. Pidage meeles, et uuendamine võtab aega 20-30 minutit ning haldusserver ei ole teatud aja jooksul ligipääsetav. Seega on mõttekas kokku leppida teenindusaken.

9) Kõik litsentsid ja turvapoliitikad jäävad kehtima, seega tuleks teil alla laadida uus SmartConsole R80.40.

10) Ühendage uus SmartConsole SMS-iga ja seadistage turvapoliitikad. Nupp Install Policy lehe vasakus ülanurgas.

11) Teie SMS on uuendatud, nüüd on vaja paigaldada viimased hotfixid. Sakil Upgrades (CPUSE) > Status and Actions > Hotfixes klõpsake paremklahviga Verifier, seejärel Install Update. Seade taaskäivitub pärast uuenduse installimist automaatselt.

Joonis 6. Viimase hotfixi paigaldamine läbi CPUSE

Uuendamine Migration Tools'i kasutamisega

4) Esiteks tuleb samuti uuendada viimase versioonini CDT - punktid 5, 6, 7 jaotises „Uuendamine CPUSE'i kaudu”.

5) Paigaldage Migration Tools pakett, mis on vajalik poliitikate migreerimiseks haldusserverilt. Antud lingil leiab Migration Tools versioonide jaoks: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Laadige alla Migration Tools versioon, kuhu soovite uuendada,mitte see, mis teil praegu on! Meie puhul on see R80.40.

6) Järgmisena läheme SMS-i veebiliideses alla sakk Upgrades (CPUSE) > Status and Actions > Import Package > Browse > Valige alla laaditud fail > Import.

Joonis 7. Migration Tools'i importimine

7) Kontrollige eksperti režiimis SMS-is, et Migration Tools pakett on paigaldatud, käivitades käsu (käskluse väljund peaks olema kooskõlas Migration Tools arhiivi nime numbriga):

cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1

Joonis 8. Migration Tools'i paigalduse kontrollimine

8) Liikuge haldusserveris kausta $FWDIR/scripts:

cd $FWDIR/scripts

9) Käivitage enne uuendust kontrollimise skript järgmise käsuga (kui esineb vigu, parandage need enne edasisi samme):

./migrate_server verify -v R80.40

Märkus: kui näete tõrget „Failed to retrieve Upgrade Tools package”, kuid olete kontrollinud, et arhiiv on edukalt imporditud (vt punkt 4), kasutage käsku:

./migrate_server verify -v R80.40 -skip_upgrade_tools_check

Joonis 9. Kontrollimise skripti käivitamine

10) Ekspordige turvapoliitikad järgmise käsuga:

./migrate_server export -v R80.40 //.tgz

Joonis 10. Turvapoliitikate eksportimine

Märkus: kui näete tõrget „Failed to retrieve Upgrade Tools package”, kuid olete kontrollinud, et arhiiv on edukalt imporditud (punkt 7), kasutage käsku:

./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz

11) Kalkuleerige MD5 hash-summa ja salvestage käsku väljund:

md5sum //.tgz

Joonis 11. MD5 hash-summa arvutamine

12) Kasutage WinSCP, et edastada see fail oma arvutisse.

13) Sisestage käsk df -h ja salvestage kaustade protsendiline vahekord, lähtudes hõivatud ruumist.

Joonis 12. Kaustade protsendiline vahekord SMS-is

14.1) Kui teil on reaalseid SMS-e

14.1.1) Kasutades Isomorphic Tool looge käivitatav USB-mälupulk pildiga Gaia R80.40. 

14.1.2) Soovitan ette valmistada vähemalt 2 käivitatavat mälupulka, kuna mõnikord ei pruugi mälupulk töötada. 

14.1.3) Käivitage arvutis administraatori õigustes programm ISOmorphic.exe. 1. punktis valige alla laaditud pilt Gaia R80.40, 4. punktis valite mälupulga. 2. ja 3. punkte ei pea muutma ei ole vaja!

Joonis 13. Käivitatava mälupulga loomine

14.1.4) Valige punkt „Install automatically without confirmation” ja on oluline märkida teie haldusserveri mudel. SMS-ide puhul tuleks valida 3. või 4. rida.

Joonis 14. Seadmestiku mudeli valimine käivitatava mälupulga loomiseks

14.1.5) Järgmine samm on välja lülitada apteek, sisestada mälupulk USB-porti, ühendada seadmega konsoolikaabli kaudu COM-porti ja lülitada SMS sisse. Installimisprotsess toimub automaatselt. Vaikimisi IP-aadress on 192.168.1.1/24, sisse logimise andmed admin / admin.

14.1.6) Järgmine samm on ühendamine veebiliidese kaudu Gaia Portali (vaikimisi aadress https://192.168.1.1), kus teete seadme initsialiseerimise. Initsialiseerimise ajal peate suuresti vajutama Next, kuna enamik seadeid saab tulevikus muuta. Kuid saate kohe muuta IP-aadressi, DNS-seadeid ja hostinime.

14.2) Kui teil on virtuaalne SMS

14.2.1) Kunagi ei tohi vana SMS-i kustutada, looge uus virtuaalmasin samade ressursidega (CPU, RAM, HDD) sama IP-aadressiga. Üldiselt võite RAM-i ja HDD-d suurendada, kuna R80.40 versioon on pisut nõudlikum. IP-aadressi konfliktide vältimiseks lülitage vana SMS välja ja alustage uue installimist.

14.2.2) Gaia installimise ajal seadke päevakohane IP-aadress ja eraldage kaustale /root soodne ruum. Kaustade protsendiline vahekord peaks ligikaudu säilima, kasutades väljundit df -h.

15) Paigaldamis tüübi valimise hetkel „Installation Type” Valige esimene valik, kuna tõenäoliselt teil ei ole MDS (Multi-Domain Server). Kui on MDS, siis tähendab see, et olete hallanud mitut domeeni eri SMS-teenuste alt samaaegselt. Sel juhul tuleks valida teine punkt.

Joonis 15. Gaia installatsiooni tüübi valik

16) Kõige olulisem punkt, mida ei saa muuta ilma uuesti installimata — üksuse valik. Tuleb valida Security Management ja vajuta Next. Seejärel on kõik vaikimisi.

Joonis 16. Üksuse valiku tegemine Gaia installatsiooni käigus

17) Kui seade on taaskäivitunud, ühendage veebiliidese kaudu aadressiga https://192.168.1.1 või muu IP-aadressiga, kui olete seda muutnud.

18) Kandke seaded üle ekraanipiltidelt kõikidesse Gaia Portali vahekaartidesse, kus midagi on seadistatud, või käivitage clishis käsk load configuration .txt. See konfiguratsioonifail tuleb eelnevalt üles laadida SMS-ile.

Märkus: Kuna operatsioonisüsteem on uus, ei võimalda WinSCP adminiga ühenduda, muutke kasutaja shelli väärtuseks /bin/bash, kas veebiliideses vahekaardil Users või sisestades käsu chsh –s /bin/bash või looge uus kasutaja.

19) Laadige mis tahes katalooge üles fail eksporditud poliitikatega vanalt haldustootest. Seejärel minge ekspertrežiimi konsooli ja kontrollige, kas MD5 räsisumma vastab varasemale. Vastasel juhul tuleb eksport uuesti teha:

md5sum /<Full Path>/<Name of Exported File>.tgz

20) Korrake punkti 6 ja installige Upgrade Tools uuele SMS-ile Gaia Portalis vahekaardil Upgrades (CPUSE) > Status and Actions.

21) Sisestage ekspertrežiimi käsk:

./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz

Joonis 17. Turvapoliitika import uuele SMS-ile

22) Käitage teenuseid käsuga cpstart.

23) Laadige alla uus SmartConsole R80.40 ja ühendage haldusserveriga. Minge Menu > Manage Licenses and Packages (SmartUpdate) ja kontrollige, et litsents oleks säilinud.

Joonis 18. Paigaldatud litsentside kontrollimine

24) Paigaldage turvapoliitika väravale või klastrile — Install Policy.

Security Gateway (SG) värskendamine

Turvaväravat saab värskendada CPUSE kaudu, samamoodi nagu haldusteenust, või installida uuesti — puhtalt install,. Minu praktikas paigaldavad 99% juhtudest kõik Security Gateway uuesti, kuna selleks kulub praktiliselt sama kaua aega nagu värskendamiseks CPUSE kaudu, kuid saate puhta, värskendatud operatsioonisüsteemi ilma vigadeta.

Sarnaselt SMS-iga tuleb esmalt luua varukoopia ja snapshots, samuti salvestada seaded Gaia Portalis. Viidake punktidele 1, 2 ja 3 jaotises „Turvahalduse Serveri uuendamine“.

Uuendamine CPUSE kaudu

Security Gateway uuendamine CPUSE kaudu toimub täpselt samamoodi nagu Security Management Serveri uuendamine, seega pöörduge artikli algusesse.

Oluline punkt: SG uuendamine nõuab taaskäivitamist! Seega viige uuendamine läbi hooldusaknas. Kui teil on klaster, uuendage esmalt passiivset sõlme, seejärel vahetage rolle ja uuendage teist sõlme. Klusteri puhul on hooldusakna vältimine võimalik.

Uue operatsioonisüsteemi installimine Security Gateway’le

1.1) Kui teil on füüsiline SG

1.1.1) Kasutades Isomorphic Tool looge käivitatav USB-mälupulk pildiga Gaia R80.40. Kujutis on sama, mis SMS-il, kuid käivitusflashi loomise protseduur on veidi erinev.

1.1.2) Soovitan valmistada ette vähemalt 2 käivitusbitti, kuna mõnikord ei loeta bitti alati. 

1.1.3) Käivitage administraatorina arvutis ISOmorphic.exe. 1. punktis valige alla laaditud pilt Gaia R80.40, 4. punktis valite mälupulga. 2. ja 3. punkte ei pea muutma ei ole vaja!

Joonis 19. Käivitusbitti loomine

1.1.4) Valige punkt „Installige automaatselt ilma kinnitamiseta“, ja on oluline määrata teie Security Gateway mudel — read 2 või 3. Kui see on füüsiline liivakast (SandBlast Appliance), valige rida 5.

Joonis 20. Seadmestiku mudeli valimine käivitusbitti loomisel

1.1.5) Järgmisena välissetegevust katkestate, sisestate bitti USB-porti, ühendate konsooli kaabli kaudu COM-porti seadmega ja lülitate värava sisse. Installimise protsess toimub automaatselt. Vaikimisi IP-aadress on 192.168.1.1/24, sisse logimise andmed admin / admin. Kõigepealt tuleb uuendada passiivne sõlm, seejärel seadistada sellele poliitika, vahetada rolle ja seejärel uuendada teist sõlme. Tõenäoliselt on vaja hooldusakna.

1.1.6) Järgmine samm on ühendamine Gaia Portali veebiliidese kaudu, kus viiakse läbi seadme esialgne seadistamine. Seadistamise ajal vajutate peamiselt Next, kuna enamik seadeid saab tulevikus muuta. Kuid saate kohe muuta IP-aadressi, DNS-seadeid ja hostinime.

1.2) Kui teil on virtuaalne SG

1.2.1) Looge uus virtuaalmasin sama palju ressursse (CPU, RAM, HDD) või rohkem, kuna versioon R80.40 on veidi nõudlikum. IP-aadresside konflikti vältimiseks lülitage vana värav välja ja alustage uue seadistamist sama IP-aadressiga. Vana SG võib rahulikult eemaldada, kuna sellel pole midagi väärtuslikku, kuna kõik tähtsad elemendid — turvapoliitika — asuvad haldusserveris.

1.2.2) Operatsioonisüsteemi installimise ajal seadistage asjakohane IP-aadress ja eraldage kaustale /root sobiv kogus ruumi.

3) Ühendage HTTPS-pordiga värava juurde ja alustage initsialiseerimisprotsessi. Installeerimise tüübi valimise hetkel „Installation Type” valige esimene valik — Security Gateway ja/või Security Management.

Joonis 21. Installeerimise tüübi valimine Gaia

4) Oluline detail — üksuse (Products) valimine. Tuleb valida Security Gateway ja kui teil on klaster, siis märkige ruut „Unit is a part of a cluster, type: ClusterXL”. Kui teil on klaster VRRP, valige selline tüüp, kuid see on vähe tõenäoline.

Joonis 22. Üksuse tüübi valimine Gaia paigaldamisel

5) Järgmises etapis määrake ühekordne SIC-parool usaldusväärsuse loomiseks haldusserveriga. Selle parooli abil genereeritakse sertifikaat ning krüpteeritud kanalil haldusserver suhtleb väravaga. Ruut „Connect to your Management as a Service” on vaja märkida, kui haldusserver asub pilves. Me oleme hiljuti sellest kirjutanud artiklit ja sellest, kui mugav ja lihtne on pilve juhtimisekserver.

Joonis 23. SIC loomine

6) Alustage initsialiseerimisprotsessi järgmisel vahekaardil. Kui seade on taaskäivitunud, logige veebiliidesesse ja kandke minutite jooksul sõnumid Gaia Portali kõikidesse vahekaartidesse, kus midagi oli seadistatud, või käivitage clishis käsk load configuration .txt. See konfiguratsioonifail tuleb eelnevalt väravasse üles laadida.

Märkus: Kuna operatsioonisüsteem on uus, ei võimalda WinSCP adminiga ühenduda, muutke kasutaja shelli väärtuseks /bin/bash, kas veebiliideses vahekaardil Users või sisestades käsu chsh –s /bin/bash või looge uus kasutaja sellise shelliga.

7) Avage SmartConsole R80.40 ja siseneda just uuesti installitud turvavärava objekti. Avage vahekaart General Properties > Communication > Reset SIC ja sisestage punktis 5 määratud parool.

Joonis 24. Usaldusväärsuse loomine uue turvaväravaga

8) Gaia versioon objektil peaks muutuma; kui see ei muutu, siis muutke seda käsitsi. Seejärel rakendage väravale poliitika.

9) Gaia Portalis minge vahekaardile Upgrades (CPUSE) > Status and Actions > Hotfixes ja installige viimane hotfix. Seade läheb taaskäivitusele installeerimise ajal!

10) Kui tegemist on klastri puhul, muutke node'ide rolle ja tehke samad sammud teise node jaoks.

Kokkuvõte

Olen püüdnud koostada maksimaalselt arusaadava ja kõikehõlmava juhendi versioonist R80.20/R80.30 ajakohastamiseks hetkel kehtivale R80.40, kuna palju on muutunud. Versioon Gaia R81 on juba demorežiimis saadaval, kuid uuendamise protseduur jääb enam-vähem sama. Juhtides ametlikku juhendit Check Point'ilt, suudate ise kõigis detailides orienteeruda.

Küsimuste korral võite meiega kontakteeruda. Oleme valmis aitama kõige keerukamate uuenduste ja juhtumitega meie tehnilise toe raames. CPSupport. Samuti on meie veebisaidil saadaval võimalus tellida Check Pointi seadistuste auditi või jätta tasuta taotluse tehnilise juhtumi kohta.

Suur kogumik materjale Check Pointi kohta TS Solutionilt. Jälgige uuendusi (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com