Migration de Check Point de R77.30 à R80.10

Bonjour collègues, bienvenus à la leçon sur la migration des bases de données Check Point de R77.30 à R80.10.

Lors de l'utilisation des produits de l'entreprise Check Point, la question de la migration des règles existantes et de la base de données des objets se pose tôt ou tard pour les raisons suivantes :

1. Lors de l'achat d'un nouvel appareil, il est nécessaire de migrer la base de données de l'ancien appareil vers le nouvel appareil (vers la version actuelle de GAIA OS ou supérieure).
2. Il est nécessaire de mettre à jour l'appareil d'une version GAIA OS à une version plus élevée sur la machine locale.

Pour résoudre le premier problème, l'utilisation d'un outil appelé Management Server Migration Tool ou simplement Migration Tool est appropriée. Pour résoudre le problème n°2, la solution CPUSE ou le Migration Tool peuvent être utilisés.
Examinons plus en détail les deux méthodes.

Mise à jour vers un nouvel appareil

Migration de base de données implique l'installation de la dernière version de Management sur une nouvelle machine, puis la migration de la base de données depuis le serveur de gestion de sécurité existant vers le nouveau à l'aide de l'outil Migration Tool. Cette méthode minimise le risque de mise à jour pour la configuration existante.

Pour migrer la base de données via le Migration Tool, il faut respecter les exigences:

1. L'espace libre sur le disque doit être supérieur à cinq fois la taille de l'archive de la base de données exportée.
2. Les paramètres réseau sur le serveur cible doivent correspondre à ceux du serveur source.
3. Création d'une sauvegarde. L'exportation de la base de données doit être effectuée sur un serveur distant.
   Dans le système d'exploitation GAIA, l'outil Migration Tool est déjà installé, il peut être utilisé lors de l'importation de la base de données ou pour migration vers une version du système d'exploitation identique à celle d'origine. Pour migrer la base de données vers une version supérieure du système d'exploitation, il est nécessaire de télécharger le Migration Tool de la version correspondante dans la section « Outils » sur le site de support de Check Point R80.10 :
4. Sauvegarde et migration du serveur SmartEvent / SmartReporter. Les utilitaires ‘backup’ et ‘migrate export’ n'incluent pas les données des bases SmartEvent database / SmartReporter database.
   Pour la sauvegarde et la migration, il est nécessaire d'utiliser les utilitaires ‘eva_db_backup’ ou ‘evs_backup’.
   Remarque : l'article sk110173 dans la base de connaissances CheckPoint.

Examinons les fonctionnalités que contient cet outil :

Avant de procéder à la migration des données, il est d'abord nécessaire de décompresser l'outil de migration téléchargé dans le dossier “/opt/CPsuite-R77/fw1/bin/upgrade_tools/”, l'export de la base doit se faire en utilisant les commandes depuis le répertoire où vous avez décompressé l'outil.

Avant d'exécuter la commande pour l'export ou l'import, fermez tous les clients SmartConsole ou exécutez cpstop sur le serveur de gestion de la sécurité.

Pour que créer un fichier d'export de la base de données de gestion sur le serveur source :

1. Connectez-vous en mode expert.
2. Exécutez l'outil de pré-vérification : pre_upgrade_verifier -p $FWDIR -c R77 -t R80.10. S'il y a des erreurs, corrigez-les avant de continuer.
3. Exécutez : ./migrate export filename.tgz. La commande exporte le contenu de la base de données du serveur de gestion de la sécurité dans un fichier TGZ.
4. Suivez les instructions. La base de données est exportée dans le fichier que vous avez nommé dans la commande. Assurez-vous de l'avoir défini comme TGZ.
5. Si SmartEvent est installé sur le serveur source, exportez la base de données d'événements.

Ensuite, nous allons importer les bases de données du serveur de sécurité que nous avons exportées. Avant de commencer : installez le serveur de gestion de la sécurité R80. Je rappelle que les paramètres réseau du nouveau serveur de gestion R80.10 doivent correspondre aux paramètres de l'ancien serveur.

Pour que importer la configuration du serveur de gestion :

1. Connectez-vous en mode expert.
2. Transférez (via FTP, SCP ou similaire) le fichier de configuration exporté vers le nouveau serveur, qui a été assemblé à partir de la source.
3. Déconnectez le serveur source du réseau.
4. Transférez le fichier de configuration depuis le serveur distant vers le nouveau serveur.
5. Calculez l'MD5 pour le fichier transféré et comparez-le à l'MD5 qui a été calculé sur le serveur source : # md5sum filename.tgz
6. Importer la base de données : ./migrate import filename.tgz
7. Vérification de la mise à jour.

Une fois le point 7 terminé, nous concluons que la migration de la base de données a été réussie grâce à l'outil de migration. En cas d'échec, vous pouvez toujours activer le serveur source, ce qui n'affectera pas le fonctionnement.

Il convient de noter que la migration depuis un serveur autonome n'est pas prise en charge.

Mise à jour locale

CPUSE (Check Point Upgrade Service Engine) permet de mettre à jour automatiquement les produits Check Point pour le système d'exploitation Gaia. Les packages de mise à jour des logiciels sont classés en plusieurs catégories, à savoir les versions majeures, les versions mineures et les correctifs. Gaia trouve automatiquement et affiche les packages de mise à jour des logiciels et les images liés à la version du système d'exploitation Gaia vers laquelle une mise à jour peut être effectuée. Avec CPUSE, vous pouvez faire une installation propre de la nouvelle version de GAIA OS, ainsi qu'effectuer une mise à jour du système avec migration de la base de données.

Pour passer à une version supérieure ou effectuer une installation propre à l'aide de CPUSE, la machine doit disposer d'un espace libre (non alloué) suffisant - d'au moins la taille de la partition racine.

La mise à niveau vers une nouvelle version s'effectue sur une nouvelle partition de disque dur, et l'ancienne partition est convertie en instantané Gaia (nouvel espace de partition pris à partir de l'espace non alloué sur le disque dur). De plus, avant la mise à niveau du système, il est conseillé de faire un instantané et de le télécharger sur un serveur distant.

Processus de mise à jour:

1. Vérifiez le package de mise à jour (si ce n'est pas déjà fait) - vérifiez si ce package peut être installé sans conflits : cliquez avec le bouton droit sur le package - sélectionnez « Vérificateur ».

   Le résultat doit être à peu près comme suit :

   • L'installation est autorisée
   • La mise à niveau est autorisée
2. Installez le package : cliquez avec le bouton droit sur le package et sélectionnez « Mise à niveau » :
   CPUSE affiche l'avertissement suivant dans le portail Gaia : Après cette mise à niveau, il y aura un redémarrage automatique (les paramètres du système d'exploitation existant et la base de données Check Point sont préservés).
3. Vous verrez la progression correspondante de la migration des données après la mise à niveau vers R80.10 :
   • Mise à niveau des produits
   • Importation de la base de données
   • Configuration des produits
   • Création des données SIC
   • Arrêt des processus
   • Démarrage des processus
   • Installé, auto-test réussi
4. Le système redémarrera automatiquement
5. Installation de la politique dans SmartConsole

Comme vous pouvez le voir, tout se passe assez facilement. En cas de problème, il est possible de revenir aux anciennes configurations grâce à l'instantané réalisé.

Pratique

La vidéo présentée contient une partie théorique et pratique. La première moitié de la vidéo reprend la partie théorique décrite, tandis que l'exemple pratique montre la migration des données à l'aide des deux méthodes.

Conclusion

Dans cette leçon, nous avons examiné les solutions de Check Point pour la mise à jour et la migration des bases de données des objets et des règles. Pour un nouvel appareil, il n'existe pas d'autres solutions que d'utiliser l'outil Migration Tool. Si vous souhaitez procéder à la mise à jour de GAIA OS et que vous avez l'envie et la possibilité de redéployer la machine, notre société recommande, sur la base de l'expérience existante, de migrer la base de données à l'aide de l'outil Migration Tool. Cette méthode minimise le risque de mise à jour pour la configuration existante par rapport à CPUSE. De plus, lors d'une mise à jour via CPUSE, de nombreux anciens fichiers inutiles sont conservés sur le disque, et pour les supprimer, il faut un outil supplémentaire, ce qui entraîne des actions supplémentaires et de nouveaux risques.

Si vous ne voulez pas manquer les leçons à venir, abonnez-vous à notre groupe VK, Youtube et Telegram. Si pour une raison quelconque vous n'avez pas pu trouver le document nécessaire ou résoudre votre problème avec Check Point, n'hésitez pas à contacter nous.

Source : habr.com