Check Point berritze prozedura R80.20/R80.30-tik R80.40-ra

BolеDuela bi urte, idatzi genuen Check Pointeko administratzaile guztiek lehenago edo beranduago bertsio berri batera eguneratzeko arazoa izango dutela. Honetan Artikulu было описано обновление с версии R77.30 до R80.10. К слову, в январе 2020-го R77.30 стала сертифицированной версией ФСТЭК. Однако за 2 года в Check Point многое изменилось. В статье “Check Point Gaia R80.40. Zer berri?” berrikuntza guztiak deskribatzen ditu, eta horietako asko daude. Artikulu honek eguneratze prozedura ahalik eta xehetasun gehienetan deskribatuko du. 

Dakizuenez, Check Point ezartzeko 2 aukera daude: Standalone eta Banatua, hau da, kudeaketa zerbitzari dedikaturik gabe eta dedikatu batekin. Banatutako aukera oso gomendagarria da hainbat arrazoirengatik:

• atebideko baliabideen karga gutxitu egiten da;

• можно не планировать окно для обслуживания, чтобы провести работы с сервером управления;

• SmartEvent-en funtzionamendu egokia, nekez funtzionatuko duelako Standalone bertsioan;

• кластер из шлюзов крайне рекомендуется строить в Distributed конфигурацией.

Banatutako konfigurazioaren abantaila guztiak kontuan hartuta, kudeaketa zerbitzaria eta segurtasun atebidea bereizita berritzea aztertuko dugu.

Обновление Security Management Server (SMS)

SMSak eguneratzeko 2 modu daude:

• CPUSE bidez (Gaia Portal bidez)

• Migrazio tresnak erabiliz (instalazio garbia behar da - instalazio berria)

Обновление с помощью CPUSE не рекомендуется коллегами из Check Point, так как у вас не обновится версия файловой системы и ядро. Однако данный способ не требует миграции политик и является намного более быстрым и простым, нежели второй способ.

Migrazio Tresnak erabiliz politikak instalatu eta migratzea gomendatzen da metodoa. Fitxategi sistema eta OS kernel berriaz gain, askotan gertatzen da SMS datu-basea trabatu egiten dela, eta horri dagokionez instalazio garbi bat zerbitzariari abiadura gehitzeko irtenbide bikaina da.

1) Eguneratzeen lehen urratsa babeskopiak eta argazkiak sortzea da. Kudeaketa fisikoko zerbitzari bat baduzu, Gaia Portaleko web-interfazetik babeskopia egin behar da. Joan fitxara Mantentzea > Sistemaren babeskopia > Babeskopia. Далее вы указываете место сохранения бэкапа. Это может быть SCP, FTP, TFTP сервер или же локально на устройстве, однако тогда придется позже это бэкап скинуть на сервер или компьютер.

1. Irudia Gaia Portalean babeskopia bat sortzea

2) Ondoren, fitxan argazki bat atera beharko zenuke Mantentzea → Argazkien kudeaketa → Berria. Babeskopia eta argazkien arteko aldea da argazkien informazio gehiago gordetzen dutela, instalatutako konponketa guztiak barne. Hala ere, hobe da biak egitea.

Zure kudeaketa zerbitzaria makina birtual gisa instalatuta badago, makina birtualaren babeskopia bat egitea gomendatzen da integratutako hipervisor tresnak erabiliz. Besterik gabe, azkarragoa eta fidagarriagoa da.

2. Irudia Gaia Portalean argazki bat sortzea

3) Сохранить конфигурацию устройства из Gaia Portal. Можно заскриншнотить все вкладки настроек, которые есть в Gaia Portal, либо же из Clish ввести команду save configuration <filename>. Ondoren, eraman fitxategia zure ordenagailura WinSCP edo beste bezero bat erabiliz.

3. Irudia. Konfigurazioa testu-fitxategi batean gordetzea)

Kontuan izan: если WinSCP не дает подключиться, смените пользователю shell на /bin/bash либо в веб-интерфейсе во вкладке Users, либо введя команду chsh –s /bin/bash.

CPUSErekin eguneratzen

4) Lehen 3 urratsak derrigorrezkoak dira edozein eguneratze aukerarako. Eguneratze bide errazagoa hartzea erabakitzen baduzu, web interfazean joan fitxara Berrikuntzak (CPUSE) > Egoera eta ekintzak > Bertsio nagusiak > Check Point R80.40 Gaia Fresh Install and Update. Egin klik eskuineko botoiarekin eguneraketa honetan eta hautatu Egiaztatzailea. Egiaztapen-prozesua minutu batzuetan hasiko da, eta ondoren gailua eguneratu daitekeen mezu bat ikusiko duzu. Akatsak ikusten badituzu, zuzendu egin behar dira.

4. Irudia CPUSE bidez eguneratzea

5) Eguneratu CDT (Central Deployment Tool) azken bertsiora - kudeaketa zerbitzarian exekutatzen den erabilgarritasuna eta eguneraketak, zerbitzu-paketeak, babeskopiak, argazkiak, script-ak eta askoz gehiago instalatzeko aukera ematen dizu. CDT bertsio zaharkitu batek arazoak sor ditzake eguneratzean. CDT helbidean deskargatu dezakezu link.

6) Поместив скачанный архив на SMS в любую директорию через WinSCP, подключитесь по SSH к SMS и зайдите в экспертный режим. Напомню, что пользователь WinSCP должен иметь shell / bin / bash!

7) Sartu komandoak: 

cd /somepathtoCDT/

tar -zxvf <NameofCDTPackage>.tgz

rpm -Uhv —force CPcdt-00-00.i386.rpm

Рисунок 5. Установка Central Deployment Tool (CDT)

8) Hurrengo urratsa R80.40 irudia instalatzea da. Egin klik eskuineko botoiarekin eguneratzean Download, gero Instalatu. Имейте в виду, что обновление занимает минут 20-30, и сервер управления будет недоступен какое-то время. Следовательно, имеет смысл согласовать окно для обслуживания.

9) Lizentzia eta segurtasun politika guztiak gordetzen dira, beraz, hurrengo bat deskargatu beharko zenuke SmartConsole R80.40.

10) Konektatu SMS SmartConsole berrira eta ezarri segurtasun-politikak. Botoia Instalatu politika goiko ezkerreko izkinan.

11) Zure SMSa eguneratu da, orduan azken konponketa instalatu beharko zenuke. Fitxan Berritzeak (CPUSE) > Egoera eta ekintzak > Konponketak egin klik saguaren eskuineko botoian egiaztatzailearen, gero Instalatu eguneratzea. Eguneraketa instalatu ondoren gailua berrabiaraziko da.

6. Irudia. Azken konponketa CPUSE bidez instalatzea

Migrazio tresnekin eguneratzen

4) Lehenik eta behin, CDTren azken bertsiora ere eguneratu beharko zenuke - ataleko 5, 6, 7 puntuak “Обновление с помощью CPUSE”.

5) Установите пакет Migration Tools необходимый для миграции политик с сервера управления. По данной link bertsioetarako Migrazio Tresnak aurki ditzakezu: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Bertsioaren Migrazio Tresnak deskargatu behar dituzu eguneratu nahi duzuna, eta ez orain daukazun hori! Gure kasuan R80.40 da.

6) Ondoren, SMS web interfazean joan fitxara Berritzeak (CPUSE) > Egoera eta ekintzak > Inportatu paketea > Arakatu > Hautatu deskargatutako fitxategia > Inportatu.

7. irudia. Migrazio-tresnak inportatzea

7) SMS-en adituen modutik, egiaztatu Migration Tools paketea instalatuta dagoela komandoa erabiliz (komandoaren irteera Migration Tools artxiboaren izenean dagoen zenbakiarekin bat etorri behar da):

cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1

8. irudia. Migrazio tresnen instalazioa egiaztatzea

8) Joan kudeaketa zerbitzariko $FWDIR/scripts karpetara:

cd $FWDIR/scripts

9) Exekutatu bertsio berritze aurreko egiaztatzailea komandoa erabiliz (akatsak badaude, zuzendu urrats gehiago egin aurretik):

./migrate_server egiaztatu -v R80.40

Kontuan izan: erroreren bat ikusten baduzu "Ezin izan da Berritze Tresnen paketea berreskuratu", baina artxiboa behar bezala inportatu dela egiaztatu duzu (ikus 4. puntua), erabili komandoa:

./migrate_server verify -v R80.40 -skip_upgrade_tools_check

9. Irudia. Egiaztapen-scripta exekutatzen

10) Esportatu segurtasun-politikak komandoa erabiliz:

./migrate_server export -v R80.40 / / .tgz

Рисунок 10. Экспорт политики безопасности

Kontuan izan: erroreren bat ikusten baduzu "Ezin izan da Berritze Tresnen paketea berreskuratu", baina artxiboa behar bezala inportatu dela egiaztatu duzu (7. urratsa), erabili komandoa:

./migrate_server export -skip_upgrade_tools_check -v R80.40 / / .tgz

11) Kalkulatu MD5 hash batura eta gorde komandoaren irteera:

md5sum /<Full Path>/<Name of Exported File>.tgz

Рисунок 11. Высчитывание MD5 хэш-суммы

12) С помощью WinSCP переместите данный файл к себе на компьютер.

13) Введите команду df -h eta gorde zeure burua okupatutako espazioaren arabera direktorioen ehunekoa.

12. Irudia. Direktorioen ehunekoa SMS bakoitzeko

14.1) В случае, если у вас реальный SMS

14.1.1) Erabiliz Tresna isomorfikoa irudi batekin USB flash drive abiagarri bat sortzen da Gaia R80.40. 

14.1.2) Gutxienez abiarazteko 2 flash drive prestatzea gomendatzen dut, gertatzen baita flash drive ez dela beti irakurgarria. 

14.1.3) Zure ordenagailuko administratzaile gisa, exekutatu ISOmorphic.exe. 1. urratsean, hautatu Gaia R80.40-ren deskargatutako irudia, 4. urratsean flash drive. Aldatu 2 eta 3 puntuak beharrik ez!

13. Irudia. USB flash drive abiagarri bat sortzea

14.1.4) Hautatu elementu bat "Instalatu automatikoki baieztatu gabe" eta garrantzitsua da zure kudeaketa zerbitzariaren eredua zehaztea. SMSen kasuan, 3. edo 4. lerroa hautatu behar duzu.

14. Irudia. Gailu-eredu bat hautatzea abiarazteko USB flash drive bat sortzeko

14.1.5) Ondoren, gorako linea itzali, flash drive USB atakan sartu, kontsola kablea COM atakaren bidez konektatu gailura eta SMS gaitu. Instalazio prozesua automatikoki gertatzen da. IP helbide lehenetsia - 192.168.1.1/24, а данные для входа administratzailea / administratzailea.

14.1.6) Следующим шагом следует подключение к веб интерфейсу на Gaia Portal (адрес по умолчанию https://192.168.1.1), non gailuaren hasieratik igarotzen zaren. Hasierako garaian, funtsean, sakatzen duzu Hurrengoa, ибо почти все настройки можно поменять в будущем. Однако вы можете изменить сразу IP-адрес, настройки DNS и hostname.

14.2) SMS birtuala baduzu

14.2.1) Ez duzu inolaz ere SMS zaharra ezabatu behar; sortu makina birtual berri bat baliabide berdinekin (CPU, RAM, HDD) eta IP helbide berarekin. Bide batez, RAM eta HDD gehi ditzakezu, R80.40 bertsioa apur bat zorrotzagoa baita. IP helbideen gatazkak saihesteko, itzali SMS zaharra eta hasi berri bat instalatzen.

14.2.2) Gaia instalatzean, konfiguratu uneko IP helbidea eta hautatu direktorio bat / Ezaugarria espazio kopuru egokia. Zure direktorioen ehunekoa gutxi gorabehera izan beharko litzateke biziraun, erabili irteera df -h.

15) Instalazio mota aukeratzeko momentuan "Instalazio mota" aukeratu lehen aukera, ziurrenik ez duzulako MDS (Multi-Domain Server). MDS bada, SMS entitate ezberdinetako domeinu asko kudeatu dituzu aldi berean. Kasu honetan, bigarren elementua hautatu beharko zenuke.

15. Irudia Gaia instalazio mota hautatzea

16) Berriz instalatu gabe zuzendu ezin den puntu garrantzitsuena entitatea aukeratzea da. Aukeratu beharko luke Segurtasunaren kudeaketa eta egin klik Hurrengoa. Beste guztia lehenespenez da.

Рисунок 16. Выбор типа сущности при установке Gaia

17) Gailua berrabiarazi ondoren, konektatu web interfazera erabiliz https://192.168.1.1 edo beste IP helbide bat aldatu baduzu.

18) Transferitu ezarpenak pantaila-argazkietatik zerbait konfiguratuta dagoen Gaia Portaleko fitxa guztietara, edo exekutatu komandoa Clish-etik kargatu konfigurazioa .txt. Lehenik eta behin konfigurazio-fitxategi hau SMSra igo behar da.

Kontuan izan: OS berria denez, WinSCP-k ez dizu administratzaile gisa konektatzen, erabiltzaileen shell-a /bin/bash-era aldatzen ez Erabiltzaileak fitxan, ez komandoa sartuta. chsh –s /bin/bash edo sortu erabiltzaile berri bat.

19) Kargatu kudeaketa zerbitzari zaharretik esportatutako politikak dituen fitxategia edozein direktoriotara. Ondoren, joan kontsolara aditu moduan eta egiaztatu MD5 hash kopurua aurrekoarekin bat datorrela. Bestela, esportazioa berriro egin beharko litzateke:

md5sum / / .tgz

20) Errepikatu 6. urratsa eta instalatu Berritze Tresnak Gaia Portaleko SMS berrian fitxan Berrikuntzak (CPUSE) > Egoera eta ekintzak.

21) Sartu komandoa aditu moduan:

./migrate_server import -v R80.40 -skip_upgrade_tools_check / / .tgz

17. Irudia. Segurtasun-politika SMS berri batera inportatzea

22) Включите сервисы командой cpstart.

23) Deskargatu berri bat SmartConsole R80.40 eta konektatu kudeaketa zerbitzariarekin. Joan Menu > Manage Licenses and Packages (SmartUpdate) eta egiaztatu oraindik lizentzia duzula.

18. Irudia. Instalatutako lizentziak egiaztatzea

24) Ezarri segurtasun-politika atebidean edo klusterrean - Instalatu politika.

Security Gateway (SG) Eguneraketa

Segurtasun Gateway CPUSE bidez egunera daiteke, kudeaketa zerbitzariaren antzera, edo berriro instalatu - instalazio berria. Nire esperientziaren arabera, kasuen % 99an, denek berriro instalatzen dute Security Gateway CPUSE bidez eguneratzeak ia denbora berdina behar duelako, baina akatsik gabeko OS garbi eta eguneratua lortzen duzu.

SMSekin analogia eginez, lehenik eta behin babeskopia eta argazkia sortu behar dituzu, eta Gaia Portaleko ezarpenak ere gorde behar dituzu. Ikus ataleko 1, 2 eta 3 puntuak "Segurtasuna kudeatzeko zerbitzariaren eguneratzea".

CPUSErekin eguneratzen

Segurtasun-atebidea CPUSE bidez eguneratzea Segurtasun-kudeaketako zerbitzaria eguneratzea bezain berdina da, beraz, mesedez, ikusi artikuluaren hasiera.

Puntu garrantzitsua: SG eguneratzea beharrezkoa da berrabiarazi! Beraz, eguneratu mantentze-leihoan zehar. Kluster bat baduzu, berritu lehenik nodo pasiboa, ondoren aldatu rolak eta berritu beste nodoa. Kluster baten kasuan, mantentze-leihoak saihestu daitezke.

Security Gateway-n OS bertsio berri bat instalatzen

1.1) Benetako SG bat baduzu

1.1.1) Erabiliz Tresna isomorfikoa irudi batekin USB flash drive abiagarri bat sortzen da Gaia R80.40. Irudia SMSetan bezalakoa da, baina abiarazteko flash drive bat sortzeko prozedura apur bat desberdina da.

1.1.2) Gutxienez abiarazteko 2 flash drive prestatzea gomendatzen dut, gertatzen baita flash drive ez dela beti irakurgarria. 

1.1.3) Zure ordenagailuko administratzaile gisa, exekutatu ISOmorphic.exe. 1. urratsean, hautatu Gaia R80.40-ren deskargatutako irudia, 4. urratsean flash drive. Aldatu 2 eta 3 puntuak beharrik ez!

19. Irudia. USB flash drive abiagarri bat sortzea

1.1.4) Hautatu elementu bat "Instalatu automatikoki baieztapenik gabe", и важно указать модель вашего Security Gateway — строки 2 или 3. Если это физическая песочница (SandBlast Appliance), то выбираем строку 5.

20. Irudia. Gailu-eredu bat hautatzea abiarazteko USB flash drive bat sortzeko

1.1.5) Ondoren, gorako linea itzali, flash drive USB atakan sartu, kontsolaren kablea COM atakaren bidez konektatu gailura eta atea piztu. Instalazio-prozesua automatikoki gertatzen da. IP helbide lehenetsia - 192.168.1.1/24, а данные для входа administratzailea / administratzailea. Lehenik eta behin eguneratu beharko zenuke nodo pasiboa, затем установить на нее политику, переключить роли и потом обновить другую ноду. Скорее всего, понадобится окно для обслуживания.

1.1.6) Hurrengo urratsa Gaia Portaleko web interfazera konektatzea da, non gailuaren lehen hasierako prozesua igarotzen duzun. Hasierako garaian, funtsean, sakatzen duzu Hurrengoa, ибо почти все настройки можно поменять в будущем. Однако вы можете изменить сразу IP-адрес, настройки DNS и hostname.

1.2) SG birtual bat baduzu

1.2.1) Sortu makina birtual berri bat baliabide berdinekin (CPU, RAM, HDD) edo gehiagorekin, R80.40 bertsioa pixka bat zorrotzagoa baita. IP helbideen gatazka saihesteko, itzali atebide zaharra eta hasi IP helbide berarekin berri bat instalatzen. SG zaharra segurtasunez ezabatu daiteke, ez baitago ezer baliotsurik, gauza garrantzitsu guztiak -segurtasun-politika- kudeaketa zerbitzarian kokatzen direlako.

1.2.2) OS instalatzean, konfiguratu uneko IP helbidea eta hautatu direktorio bat / Ezaugarria адекватное количество места.

3) Konektatu atebidera HTTPS atakaren bidez eta hasi hasierako prozesua. Instalazio mota aukeratzeko unean "Instalazio mota" hautatu lehenengo aukera - Security Gateway eta/edo Security Management.

21. Irudia Gaia instalazio mota hautatzea

4) Puntu garrantzitsuena entitatea (Produktuak) aukeratzea da. Aukeratu beharko luke Segurtasun Pasabidea eta, kluster bat baduzu, markatu laukia "Unitatea kluster baten zati bat da, idatzi: ClusterXL". VRRP kluster bat baduzu, aukeratu mota hau, baina zaila da.

Рисунок 22. Выбор типа сущности при установке Gaia

5) Hurrengo urratsean, ezarri SIC behin-behineko pasahitza kudeaketa zerbitzariarekin konfiantza ezartzeko. Pasahitz hori erabiliz, ziurtagiri bat sortzen da, eta kudeaketa zerbitzaria atebidearekin komunikatuko da enkriptatutako komunikazio kanal baten bidez. Kontrol-marka “Connect to your Management as a Service” ezarri behar da kudeaketa zerbitzaria hodeian badago. Duela gutxi idatzi dugu honi buruz artikulu bat eta zein erosoa eta erraza den hodeia kudeatzeko zerbitzaria.

Рисунок 23. Создание SIC

6) Начните процесс инициализации на следующей вкладке. Как только устройство перезагрузится, подключитесь к веб интерфейсу и перенесите настройки из скриншотов во все вкладки Gaia Portal, в которых что-то было настроено или же из clish выполните команду kargatu konfigurazioa .txt. Lehenik eta behin, konfigurazio-fitxategi hau segurtasun-atebidera igo behar da.

Kontuan izan: OS berria denez, WinSCP-k ez dizu administratzaile gisa konektatzen, erabiltzaileen shell-a /bin/bash-era aldatzen ez Erabiltzaileak fitxan, ez komandoa sartuta. chsh –s /bin/bash edo sortu erabiltzaile berri bat shell honekin.

7) Ireki SmartConsole R80.40 eta sartu berriro instalatu berri duzun Security Gateway objektura. Ireki fitxa Propietate orokorrak > Komunikazioa > Berrezarri SIC и введите пароль, заданный в пункте 5.

24. Irudia: Segurtasun atebide berriarekin konfiantza ezartzea

8) Версия Gaia у объекта должна смениться, если не изменится, то поменяйте ее руками. Затем установите политику на шлюз.

9) Gaia Portalean, joan fitxara Berritzeak (CPUSE) > Egoera eta ekintzak > Konponketak и установите последний хотфикс. Устройство уйдет в berrezarri instalazioan zehar!

10) Kluster baten kasuan, aldatu nodoen rolak eta egin urrats berdinak beste nodo baterako.

Ondorioa

Я постарался сделать максимально понятный и всеобъемлющий гайд по обновлению с версии R80.20/R80.30 до актуальной на данный момент R80.40, так как многое изменилось. Версия Gaia R81 dagoeneko demo moduan agertu da, baina eguneratzeko prozedura berdin-berdina izaten jarraitzen du. Funtzionarioak gidatuta гайдом Check Point-etik, xehetasun guztiak zuk zeuk jakin ditzakezu.

Edozein zalantza argitzeko gurekin harremanetan jar zaitezke. Pozik egongo gara eguneratze eta kasu konplexuenetan lagunduko gure laguntza teknikoaren zati gisa CPSupport. Gurean ere Online Check Point-en ezarpenen auditoria eskatzea edo libre uztea posible da eskaera kasu tekniko baterako.

TS Solution-ren Check Point-eko material aukera zabala. Egon adi (Telegrama, Facebook, VK, TS Solution Bloga, Yandex.Zen).

Iturria: www.habr.com