Boleprije dvije godine pisali smo o tome kako se pred svakim administratorom Check Point рано ili поздно postavlja pitanje ažuriranja na novu verziju. U ovoj bilo je opisano ažuriranje s verzije R77.30 na R80.10. Usput, u siječnju 2020. R77.30 je postala certificirana verzija FSTEK-a. Međutim, tijekom 2 godine u Check Point-u se mnogo promijenilo. U članku “” opisane su sve novine, kojih ima mnogo. U ovom članku postupak ažuriranja bit će opisan maksimalno detaljno.
Kao što je poznato, postoje 2 opcije implementacije Check Point-a: Samostalni i Distribuirani, dakle bez posvećenog upravljačkog poslužitelja i s posvećenim. Opcija Distribuirani se krajnje preporučuje iz nekoliko razloga:
minimalizira opterećenje na resurse gateway-a;
nije potrebno planirati prozor za održavanje kako bi se obavile radnje s upravljačkim serverom;
prikladan rad SmartEvent-a, jer u samostalnoj opciji teško da će raditi;
klaster od gateway-a je krajnje preporučljiv graditi u Distribuiranoj konfiguraciji.
Uzimajući u obzir sve prednosti Distribuirane konfiguracije, razmotrit ćemo ažuriranje upravljačkog servera i sigurnosnog gateway-a odvojeno.
Ažuriranje Security Management Server-a (SMS)
Postoje 2 načina ažuriranja SMS-a:
pomoću CPUSE (kroz Gaia Portal)
pomoću Migration Tools-a (potrebna čista instalacija — fresh install)
Ažuriranje korištenjem CPUSE nije preporučeno kolegama iz Check Point-a, jer vaša verzija datotečnog sustava i jezgre neće biti ažurirana. Međutim, ovaj način ne zahtijeva migraciju politika i mnogo je brži i jednostavniji nego drugi način.
Čista instalacija i migracija politika pomoću Migration Tools-a — to je preporučena metoda. Osim novih datotečnih sustava i jezgre OS-a, često se dešava da baza podataka SMS-a postane 'zaprljana', a čista instalacija u tom smislu je odličan izlaz za povećanje brzine rada servera.
1) Prvi korak prilikom bilo kojeg ažuriranja je izrada sigurnosnih kopija i snimaka stanja. Ako imate fizički upravljački server, sigurnosna kopija treba biti napravljena iz web sučelja Gaia Portal. Idite na karticu Maintenance > System Backup > Backup. Zatim odredite mjesto za pohranu sigurnosne kopije. To može biti SCP, FTP, TFTP server ili lokalno na uređaju, no tada ćete tu sigurnosnu kopiju kasnije morati prebaciti na server ili računalo.
Slika 1. Izrada sigurnosne kopije u Gaia Portalu
2) Zatim napravite snapshot u odjeljku Održivost → Upravljanje snapshot-ima → Novi. Razlika između backup-a i snapshot-a je u tome što snapshot sadrži više informacija, uključujući sve instalirane hotfixe. Ipak, bolje je napraviti i jedno i drugo.
Ako je vaš upravljački server instaliran kao virtualna mašina, preporučuje se napraviti backup virtualne mašine ugrađenim sredstvima hypervizora. To je jednostavno brže i pouzdanije.
Slika 2. Izrada snapshot-a u Gaia Portal
3) Spremite konfiguraciju uređaja iz Gaia Portala. Možete snimiti sve kartice postavki u Gaia Portalu, ili iz Clisha unijeti naredbu save configuration. Zatim prebacite datoteku na svoj PC pomoću WinSCP-a ili drugog klijenta.
Slika 3. Spremanje konfiguracije u tekstualnu datoteku)
Napomena: Ako WinSCP ne omogućava povezivanje, promijenite shell korisnika u /bin/bash ili u web sučelju u odjeljku Korisnici, ili upišite naredbu chsh –s /bin/bash.
Ažuriranje putem CPUSE-a
4) Prva 3 koraka su obavezna za bilo koju opciju ažuriranja. Ako ste se odlučili za jednostavniji put ažuriranja, idite u web sučelje i odaberite Ažuriranja (CPUSE) > Status i akcije > Glavne verzije > Check Point R80.40 Gaia Fresh Install and Upgrade. Desnom tipkom miša kliknite na ovo ažuriranje i odaberite Provjera. Započnite proces provjere koji će trajati nekoliko minuta, nakon čega ćete vidjeti poruku da se uređaj može ažurirati. Ako vidite pogreške, potrebno ih je ispraviti.
Slika 4. Ažuriranje putem CPUSE-a
5) Ažurirajte na najnoviju verziju CDT (Central Deployment Tool) — alat koji se pokreće na upravljačkom serveru i omogućuje instalaciju ažuriranja, paketa ažuriranja, upravljanje backup-ima, snapshot-ima, skriptama i mnogim drugim. Neaktualna verzija CDT može uzrokovati probleme tijekom ažuriranja. CDT možete preuzeti s .
6) Nakon što ste preuzeli arhivu na SMS, prebacite je u bilo koju direktoriju putem WinSCP-a, spojite se putem SSH na SMS i pređite u ekspertni način. Podsjećam da korisnik WinSCP mora imati shell /bin/bash!
7) Unesite naredbe:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv —force CPcdt-00-00.i386.rpm
Slika 5. Instalacija Central Deployment Tool (CDT)
8) Sljedeći korak je instalacija slike R80.40. Desnom tipkom miša kliknite na ažuriranje Preuzmi, zatim Instaliraj. Imajte na umu da ažuriranje traje 20-30 minuta, a upravljački poslužitelj neće biti dostupan neko vrijeme. Stoga, ima smisla dogovoriti prozor za održavanje.
9) Sve licence i sigurnosne politike se čuvaju, stoga bi trebali preuzeti novu .
10) Povežite se na SMS novog SmartConsole-a i postavite sigurnosne politike. Tipka Install Policy je u gornjem lijevom kutu.
11) Vaš SMS je ažuriran, sljedeće je instalirati najnoviji hitni popravak. Na kartici Upgrades (CPUSE) > Status and Actions > Hotfixes desnom tipkom miša Verifier, zatim Install Update. Uređaj će se automatski ponovno pokrenuti nakon instalacije ažuriranja.
Slika 6. Instalacija posljednjeg hitnog popravka preko CPUSE
Ažuriranje pomoću alata za migraciju
4) Na početku trebate također ažurirati na najnoviju verziju CDT - točke 5, 6, 7 iz odjeljka “Ažuriranje pomoću CPUSE”.
5) Instalirajte paket alata za migraciju potreban za migraciju politika s upravljačkog poslužitelja. Možete pronaći alate za migraciju za verzije: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Trebate preuzeti alate za migraciju one verzije, na koju se želite ažurirati , a ne one koju trenutno imate! U našem slučaju to je R80.40.6) Zatim u web sučelju SMS idite na karticu
Upgrades (CPUSE) > Status and Actions > Import Package > Browse > Odaberite preuzetu datoteku > Import Slika 7. Uvoz alata za migraciju.
7) Iz ekspertnog načina rada na SMS-u provjerite je li paket alata za migraciju instaliran pomoću komande (izlaz komande trebao bi se podudarati s brojem u nazivu arhive alata za migraciju):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Slika 8. Provjera instalacije alata za migraciju
8) Idite u mapu $FWDIR/scripts na upravljačkom poslužitelju:
cd $FWDIR/scripts
9) Pokrenite pre-upgrade verifier (provjeravajući skript) pomoću komande (ako ima grešaka, ispravite ih prije daljnjih koraka):
./migrate_server verify -v R80.40
: ako vidite grešku
Napomena“Failed to retrieve Upgrade Tools package” , ali ste provjerili da je arhiva uspješno uvezena (vidi točku 4), upotrijebite komandu:./migrate_server verify -v R80.40 -skip_upgrade_tools_check
Slika 9. Pokretanje skripta za provjeru
10) Izvezite sigurnosne politike pomoću komande:
./migrate_server export -v R80.40 //.tgz
Slika 10. Izvoz sigurnosnih politika
, ali ste provjerili da je arhiva uspješno uvezena (točka 7), upotrijebite komandu:
Napomena“Failed to retrieve Upgrade Tools package” , ali ste provjerili da je arhiva uspješno uvezena (vidi točku 4), upotrijebite komandu:./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
11) Izračunajte MD5 hash i spremite izlaz naredbe:
md5sum //.tgz
Slika 11. Izračunavanje MD5 hash-a
12) Pomoću WinSCP-a premjestite ovu datoteku na svoj računalni uređaj.
13) Unesite naredbu df -h i zabilježite postotak odnosa direktorija prema zauzetom prostoru.
Slika 12. Postotak odnosa direktorija na SMS-u
14.1) U slučaju da imate stvarni SMS
14.1.1) Pomoću kreira se bootabilni USB stick s imidžom .
14.1.2) Preporučujem da pripremite najmanje 2 bootabilna sticks, jer ponekad stick možda neće biti prepoznat.
14.1.3) Kao administrator pokrenite ISOmorphic.exe. U točki 1 odaberite preuzeti imidž Gaia R80.40, a u točki 4 stick. Točke 2 i 3 ne trebate mijenjati. ne trebate!
Slika 13. Kreiranje bootabilnog sticka
14.1.4) Odaberite opciju “Instaliraj automatski bez potvrde” i važno je navesti model vašeg kontrolnog poslužitelja. U slučaju SMS-a odaberite treći ili četvrti redak.
Slika 14. Odabir modela uređaja za kreiranje bootabilnog sticka
14.1.5) Zatim isključite uplink, umetnite stick u USB port, povežite se konzolnim kabelom preko COM porta s uređajem i uključite SMS. Proces instalacije odvija se automatski. IP adresa po defaultu — 192.168.1.1/24, a podaci za prijavu admin / admin.
14.1.6) Sljedeći korak je povezivanje s web sučeljem na Gaia Portalu (adresa po defaultu ), gdje ćete proći inicijalizaciju uređaja. Tijekom inicijalizacije uglavnom kliknite Dalje, jer gotovo sve postavke možete promijeniti kasnije. Međutim, odmah možete promijeniti IP adresu, DNS postavke i hostname.
14.2) U slučaju da imate virtualni SMS
14.2.1) Nikako ne smijete brisati stari SMS, kreirajte novu virtualnu mašinu s istim resursima (CPU, RAM, HDD) s istom IP adresom. Usput, RAM i HDD možete dodati, jer verzija R80.40 je malo zahtjevnija. Da ne bi došlo do sukoba IP adresa, isključite stari SMS i započnite instalaciju novog.
14.2.2) Tijekom instalacije Gaie postavite aktualnu IP adresu i dodijelite za direktorij /root odgovarajuću količinu prostora. Postotak odnosa direktorija trebao bi vam otprilike ostati sačuvan, koristite izlaz df -h.
15) U trenutku odabira vrste instalacije “Vrsta instalacije” Odaberite prvu opciju, jer vjerojatno nemate MDS (Multi-Domain Server). Ako imate MDS, to znači da ste upravljali mnogim domenama iz različitih SMS entiteta istovremeno. U tom slučaju trebate odabrati drugu točku.
Slika 15. Odabir tipa instalacije Gaia
16) Najvažnija točka koju nije moguće promijeniti bez ponovne instalacije — odabir entiteta. Treba odabrati Upravljanje sigurnošću i pritisnite Dalje. Sve ostalo ostavite prema zadanim postavkama.
Slika 16. Odabir tipa entiteta pri instalaciji Gaia
17) Kada se uređaj ponovo pokrene, povežite se s web sučeljem putem ili drugog IP adresa, ako ste ga promijenili.
18) Prenesite postavke iz snimaka zaslona u sve kartice Gaia Portala u kojima je nešto bilo postavljeno ili iz clish izvršite naredbu load configuration .txt. Ovu konfiguracijsku datoteku trebate prethodno prenijeti na SMS.
Napomena: S obzirom na to da je OS nov, WinSCP ne dopušta povezivanje kao admin, promijenite korisniku shell na /bin/bash ili u web sučelju u kartici Korisnici, ili upisom naredbe chsh –s /bin/bash ili stvorite novog korisnika.
19) Prenesite datoteku s eksportiranim politikama sa starog upravljačkog poslužitelja u bilo koji direktorij. Zatim idite u konzolu u stručni način i provjerite slaže li se MD5 hash s prethodnim. U suprotnom, izvoz treba ponoviti:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Ponovite točku 6 i instalirajte Upgrade Tools na novi SMS u Gaia Portalu u kartici Ažuriranja (CPUSE) > Status i akcije.
21) Upisite naredbu u stručnom načinu:
./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz
Slika 17. Uvoz politika sigurnosti na novi SMS
22) Uključite usluge naredbom cpstart.
23) Preuzmite novi i povežite se s upravljačkim poslužiteljem. Idite u Izbornik > Upravljanje licenci i paketa (SmartUpdate) i provjerite jeste li zadržali licencu.
Slika 18. Provjera instaliranih licenci
24) Postavite politiku sigurnosti na gateway ili klaster — Install Policy.
Ažuriranje Security Gateway (SG)
Gateway sigurnosti može se ažurirati putem CPUSE, kao i upravljački poslužitelj, ili ponovo instalirati — fresh install. Iz mog iskustva, u 99% slučajeva svi ponovo instaliraju Security Gateway jer to traje gotovo isto vrijeme kao ažuriranje putem CPUSE, a dobivate čisti ažurirani OS bez grešaka.
Na sličan način kao sa SMS-om prvo je potrebno napraviti sigurnosnu kopiju i snimak, kao i sačuvati postavke iz Gaia Portala. Obratite se točkama 1, 2 i 3 u odjeljku. Ažuriranje Security Management Servera.
Ažuriranje putem CPUSE-a
Ažuriranje Security Gatewaya putem CPUSE odvija se na isti način kao i ažuriranje Security Management Servera, stoga, vratite se na početak članka.
Važna napomena: ažuriranje SG zahtijeva ponovno pokretanje! Stoga provedite ažuriranje u prozoru za održavanje. Ako imate klaster, prvo ažurirajte pasivnu nodu, zatim prebacite uloge i ažurirajte drugu nodu. U slučaju klastera, prozore za održavanje možete izbjeći.
Instalacija nove verzije OS-a na Security Gateway
1.1) U slučaju da imate fizički SG
1.1.1) Pomoću kreira se bootabilni USB stick s imidžom . Slika je ista kao na SMS-u, međutim, postupak izrade bootable flash drivea izgleda malo drugačije.
1.1.2) Preporučujem pripremu najmanje 2 bootable flash drivea, jer se ponekad dogodi da flash drive nije prepoznat.
1.1.3) S administratorskim privilegijama na računalu pokrenite ISOmorphic.exe. U točki 1 odaberite preuzeti imidž Gaia R80.40, a u točki 4 stick. Točke 2 i 3 ne trebate mijenjati. ne trebate!
Slika 19. Izrada bootable flash drive-a
1.1.4) Odaberite opciju “Instaliraj automatski bez potvrde”, i veoma je važno navesti model vašeg Security Gatewaya — red 2 ili 3. Ako je u pitanju fizička sand box (SandBlast Appliance), birajte red 5.
Slika 20. Odabir modela uređaja za izradu bootable flash drive-a
1.1.5) Zatim isključite uređaj, umetnite flash drive u USB port, povežite se konzolnim kablom preko COM porta s uređajem i uključite gateway. Proces instalacije odvija se samostalno. Zadani IP-adres je 192.168.1.1/24, a podaci za prijavu admin / admin. Prvo treba ažurirati pasivnu nodu, zatim postaviti politiku na nju, prebaciti uloge i onda ažurirati drugu nodu. Vjerojatno će biti potrebno održavanje.
1.1.6) Sljedeći korak je povezivanje s web sučeljem na Gaia Portalu, gdje prolazite kroz prvu inicijalizaciju uređaja. Tijekom inicijalizacije uglavnom pritiskate Dalje, jer gotovo sve postavke možete promijeniti kasnije. Međutim, odmah možete promijeniti IP adresu, DNS postavke i hostname.
1.2) U slučaju da imate virtualni SG
1.2.1) Kreirajte novu virtualnu mašinu s istim resursima (CPU, RAM, HDD) ili više, jer verzija R80.40 zahtijeva malo više. Da ne bi došlo do sukoba IP-adresa, isključite stari gateway i započnite instalaciju novog s istom IP-adresom. Stari SG se može sigurno ukloniti, jer na njemu ništa vrijedno nema, jer se sve najvažnije — politika sigurnosti — nalazi na kontrolnom serveru.
1.2.2) Tijekom instalacije OS-a postavite aktualnu IP-adresu i dodijelite /root prikladnu količinu prostora za direktorij.
3) Povežite se putem HTTPS port na gateway i započnite proces inicijalizacije. Prilikom odabira vrste instalacije “Vrsta instalacije” odaberite prvu opciju — Security Gateway i/ili Security Management.
Slika 21. Odabir vrste instalacije Gaia
4) Najvažniji trenutak — odabir entiteta (Products). Trebate odabrati Security Gateway i, ako imate klaster, označite "Unit is a part of a cluster, type: ClusterXL". Ako imate klaster VRRP, odaberite takvu vrstu, ali to je malo vjerojatno.
Slika 22. Odabir vrste entiteta prilikom instalacije Gaia
5) U sljedećem koraku postavite jednokratnu SIC lozinku za uspostavljanje povjerenja s upravljačkim serverom. Ova lozinka generira certifikat, a preko šifriranog kanala interakcije upravljački server će komunicirati s gatewayem. Označite "Connect to your Management as a Service" ako je upravljački server smješten u oblaku. Nedavno smo napisali o tome i koliko je ugodno i jednostavno upravljanje serverom u oblaku.
Slika 23. Kreiranje SIC
6) Započnite proces inicijalizacije na sljedećoj kartici. Kada se uređaj ponovo pokrene, povežite se s web sučeljem i prenesite postavke iz snimki zaslona u sve kartice Gaia Portala gdje je nešto bilo postavljeno ili izvedite naredbu load configuration .txt. Ovu datoteku konfiguracije treba unaprijed prenijeti na sigurnosni gateway.
Napomena: S obzirom na to da je OS nov, WinSCP ne dopušta povezivanje kao admin, promijenite korisniku shell na /bin/bash ili u web sučelju u kartici Korisnici, ili upisom naredbe chsh –s /bin/bash ili kreirajte novog korisnika s tim shell-om.
7) Otvorite i uđite u objekt sigurnosnog gatewaya koji ste upravo ponovo instalirali. Otvorite karticu General Properties > Communication > Reset SIC i unesite lozinku zadanu u točki 5.
Slika 24. Uspostavljanje povjerenja s novim sigurnosnim gatewayem
8) Verzija Gaia na objektu trebala bi se promijeniti; ako se ne promijeni, promijenite je ručno. Zatim postavite politiku na gatewayu.
9) U Gaia Portalu idite na karticu Upgrades (CPUSE) > Status and Actions > Hotfixes i instalirajte posljednji hotfix. Uređaj će ponovo pokrenuti tokom instalacije!
10) U slučaju klastera, promijenite uloge nodova i ponovite iste korake za drugi nod.
Zaključak
Pokušao sam napraviti što jasniji i sveobuhvatniji vodič za nadogradnju s verzije R80.20/R80.30 na trenutno aktuelnu R80.40, budući da se mnogo toga promijenilo. Verzija već je dostupna u demo režimu, ali postupak nadogradnje ostaje više-manje identičan. Slijedeći službeni od Check Point, i vi sami možete razumjeti sve finese.
Za sve upite slobodno se obratite nama. Rado ćemo vam pomoći s najkompleksnijim ažuriranjima i slučajevima unutar naše tehničke podrške. . Također na našoj možete naručiti provjeru postavki Check Pointa ili zatražiti besplatnu za tehnički slučaj.
. Pratite ažuriranja (, , , , ).
Izvor: habr.com
