ProHoster > Blog > Administracija > Ažuriramo Check Point s R77.30 na 80.20

Ažuriramo Check Point s R77.30 na 80.20

Ažuriramo Check Point s R77.30 na 80.20

U jesen 2019. godine Check Point je obustavio podršku za verzije R77.XX, i trebalo je izvršiti nadogradnju. O razlikama između verzija, prednostima i nedostacima prelaska na R80 već je rečeno mnogo. Bolje da razgovaramo o tome kako zapravo nadograditi virtualne appliance Check Point (CloudGuard za VMware ESXi, Hyper-V, KVM Gateway NGTP) i koje se poteškoće mogu pojaviti.

Dakle, imali smo 2 CCSE inženjera, više od deset virtualnih klastera Check Point R77.30, nekoliko oblaka, par hotfixa i more raznih bugova, grešaka i svega sličnog, svih boja i veličina, a osim toga vrlo kratke rokove. Idemo!

Sadržaj:

Priprema
Nadogradnja servera za upravljanje
Nadogradnja klastera

Ažuriramo Check Point s R77.30 na 80.20

Ovako izgleda tipična cloud infrastruktura klijenta s virtualnim Check Point

Priprema

Prvo, potrebno je provjeriti dovoljnost resursa za nadogradnju. Preporučeni minimalni zahtjevi za R80.20 sada izgledaju ovako:

Device

CPU

RAM

HDD

Security Gateway

2 jezgre

4 Gb

Od 15 GB

SMS

2 jezgre

6 Gb

—

Preporuke su opisane u dokumentu CP_R80.20_GA_Release_Notes.

Ali budimo realni. Ako je u samoj minimalnoj konfiguraciji to dovoljno, praksa pokazuje da obično imamo uključenu https-inspekciju, na SMS-u radi SmartEvent itd., što zahtijeva sasvim drugačije resurse. No, u cjelini ne mnogo veće nego za R77.30.

Ali postoje neki detalji. Oni se prije svega odnose na veličinu fizičke memorije. Mnoge operacije tijekom procesa nadogradnje zahtijevat će prostor na tvrdom disku.

Za server za upravljanje, veličina slobodnog prostora na disku jako će ovisiti o volumenu trenutnih logova (ako ih želimo sačuvati) i o broju spremljenih verzija baze podataka, iako nam one u velikoj količini više neće biti potrebne. Naravno, za čvorove klastera (osim ako logove ne čuvate i lokalno) to sve nema značaj. Evo kako možete provjeriti dostupnost potrebnog prostora:

  1. Priključujemo se na Smart Management Server putem ssh, ulazimo u expert mode i unosimo naredbu:

    [Expert@cp-sms:0]# df -h

  2. Na izlazu ćemo vidjeti otprilike ovakvu konfiguraciju:

    Filesystem Size Used Avail Use% Mounted on
    /dev/mapper/vg_splat-lv_current       30G  7.4G   21G 27% /
    /dev/sda1             289M 24M 251M 9% /boot
    Trenutno nas zanima particija
    /dev/mapper/vg_splat-lv_log           243G  177G 53G  78% /var/log

  3. Нас в данный момент интересует раздел /var/log

Imajte na umu da može biti potrebno više prostora, ovisno o politici pohrane i brisanja starih log datoteka, kao i o veličini exportirane baze. Ako slobodnog prostora pri stvaranju arhiva postane manje nego što je navedeno u politici pohrane log datoteka, sustav će početi brisati stare logove i NEće ih uključiti u arhiv.

Također, za sam proces nadogradnje sustavu je potrebno minimalno 13 GB neiskorištenog prostora na tvrdom disku. Njegovu prisutnost možete provjeriti pomoću naredbe:

[Expert@cp-sms:0]# pvs

Vidjet ćemo otprilike ovakvu izlaznu informaciju:

PV     VG   Fmt  Attr PSize   PFree
/dev/sda3  vg_splat lvm2 a-   141.69G 43.69G

U ovom slučaju imamo 43 GB. Resursa je dovoljno. Možemo započeti nadogradnju.

Nadogradnja poslužitelja za upravljanje Check Point SMS

Prije nego što započnemo radove, potrebno je učiniti sljedeće:

  1. Instaliramo paket Migration Tools na poslužitelj za upravljanje. Za to je potrebno preuzeti sliku s portala Check Point.
  2. Prenesite arhiv na poslužitelj za upravljanje putem WinSCP u mapu /var/log/UpgradeR77.30_R80.20 (ako je potrebno, prethodno stvorite mapu).
  3. Povezujemo se na poslužitelj za upravljanje preko SSH i odlazimo u mapu s arhivom:cd /var/log/UpgradeR77.30_R80.20/
  4. Raspakirajte datoteku:tar -zxvf ./.tgz
  5. Pokrećemo alat pre_upgrade_verifier s naredbom: ./pre_upgrade_verifier -p $FWDIR -c R77 -t R80.20
  6. Nakon izvršenja naredbe, bit će generirano izvješće o nespojivim postavkama. Dostupno je na adresi: /opt/CPsuite-R77/fw1/log/pre_upgrade_verification_report.(xls, html, txt). Povoljnije je preuzeti ga putem SCP-a i pregledati kroz preglednik.
    Za otklanjanje svih nespojivih postavki koristite SK117237.
  7. Zatim ponovno pokrenite alat pre_upgrade_verifier kako biste osigurali da su svi uzroci nespojivosti otklonjeni.
  8. Sljedeće prikupljamo informacije o mrežnim sučeljima, tablici usmjeravanja i izvozimo GAIA konfiguraciju:
    ip a > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
    ip r > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
    clish -c "show configuration" > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
  9. Izvezite dobivenu datoteku putem SCP-a.
  10. Napravite snapshot na razini virtualizacije.
  11. Povećajte timeout SSH sesije na 8 sati. To ovisi o veličini exportirane baze, a može trajati od nekoliko minuta do nekoliko sati. Za to: 
    [Expert@HostName]# clish -c "show inactivity-timeout" gledamo trenutni timeout clish,

    [Expert@HostName]# clish -c "set inactivity-timeout 720" navodimo novi timeout clish (u minutama),

    [Expert@HostName]# echo $TMOUT gledamo trenutni timeout expert mode,

    [Expert@HostName]# export TMOUT=3600 navodimo novi timeout expert mode (u sekundama), ako stavite vrijednost 0, timeout će biti isključen.

  12. Priključujemo i montiramo instalacijski obraz SMS.iso na virtualnu mašinu.

    Prije sljedećeg koraka OBAVEZNO još jednom provjerite imate li dovoljno neiskorištenog prostora na tvrdom disku (podsjećam, potrebno je 13 GB). 

  13. Prije početka izvoza konfiguracije mijenjamo log datoteku naredbom: fw logswitch

Izvoz konfiguracije i logova

  1. Pokrećemo alat migrate_export za izvoz konfiguracije. Za to ulazimo u ranije napravljenu mapu: cd /var/log/UpgradeR77.30_R80.20/ i koristimo naredbu: ./migrate export -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

    ili

    ulazimo u mapu: cd $FWDIR/bin/upgrade_tools/ i
    pokrećemo odatle naredbu: ./migrate export -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

  2. Dobivamo checksum iz arhive: md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz
  3. Spremamo dobivenu vrijednost u bilježnicu.
  4. Povezujemo se s SMS putem SCP i izvozimo arhivu s konfiguracijom na radnu stanicu. Obavezno koristite prijenos datoteka u Binary formatu.

Izvoz baze SmartEvent

Ovdje će nam biti potreban unaprijed instalirani SMS verzije R80. Svaka testna verzija odgovara. 

  1. Od SMS-a nam treba skripta koja se nalazi ovdje:$RTDIR/bin/eva_db_backup.csh
  2. Preko SCP-a preuzimamo skriptu eva_db_backup.csh u mapu: /var/log/UpgradeR77.30_R80.20/
  3. Povezujemo se putem SSH na SMS. Kopiramo datoteku u mapu: cp /var/log/UpgradeR77.30_R80.20/eva_db_backup.csh
    $RTDIR/bin/eva_db_backup.csh
  4. Mijenjamo kodiranje: dos2unix $RTDIR/bin/eva_db_backup.csh
  5. Dodajemo vlasnika: chown -v admin:root $RTDIR/bin/eva_db_backup.csh
  6. Dodajemo prava: chmod -v 0755 $RTDIR/bin/eva_db_backup.csh
  7. Pokrećemo izvoz baze SmartEvent: $RTDIR/bin/eva_db_backup.csh
  8. Izvozimo dobivene datoteke putem SCP-a: $RTDIR/bin/-db-backup.backup i $RTDIR/bin/eventiaUpgrade.tar na radnu stanicu.

Ažuriranje

  1. Prelazimo u WebUI GAIA SMS → CPUSE → Prikaži sve pakete.
  2. U slučaju da CPUSE javlja grešku prilikom povezivanja s oblakom Check Point, provjeravamo DGW, DNS i postavke Proxy.
  3. Ako je sve u redu, a greška ne nestaje, trebate ručno ažurirati CPUSE prema sk92449.
  4. Preuzimamo sliku i prolazimo kroz Provjera. U slučaju potrebe rješavamo nesukladnosti.

    Kao rezultat toga trebali bismo vidjeti ovakvu poruku:

    Ažuriramo Check Point s R77.30 na 80.20

  5. Biramo R80.20 Svež instalacija i nadogradnja za upravljanje sigurnošću.
  6. Prilikom instalacije ažuriranja biramo Čistu instalaciju. Nakon instalacije sustav će se ponovno pokrenuti.
  7. Prolazimo Kroz Prvi Put Čarobnjak.
  8. Nakon dobivanja pristupa provjeravamo korisničke račune.
  9. Povezujemo se na SMS putem SSH i mijenjamo shell našeg korisnika na /bin/bash/:

    set user shell /bin/bash/

    save config (u slučaju da želimo ostaviti bin/bash/ kao zadani shell i nakon ponovnog pokretanja).

  10. Nakon toga se povezujemo na SMS putem SCP-a i u Binary modu prenosimo arhivu s konfiguracijom SMS_w_logs_export_r77_r80.tgz u mapu /var/log/UpgradeR77.30_R80.20/
  11. Dobivamo checksum iz arhive: md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz i uspoređujemo s prethodnom vrijednošću. Checksum-ovi moraju biti identični.
  12. Povećavamo timeout SSH sesije na 8 sati. Za to:

    [Expert@HostName]# clish -c "show inactivity-timeout" gledamo trenutni timeout clish,

    [Expert@HostName]# clish -c "set inactivity-timeout 720" navodimo novi timeout clish (u minutama),

    [Expert@HostName]# echo $TMOUT gledamo trenutni timeout expert mode,

    [Expert@HostName]# export TMOUT=3600 navodimo novi timeout u expert mode (u sekundama). Ako postavite vrijednost 0, timeout će biti isključen.

  13. Za uvoz postavki pokrećemo alat migrate import. Za to idemo u mapu: cd $FWDIR/bin/upgrade_tools/i pokrećemo uvoz: ./migrate imp
    ort -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

Uživamo u životu sljedećih nekoliko sati. NE ISKLJUČUJTE SSH SESEJU tijekom postupka. Na kraju, proces migrate će prikazati ili poruku o uspješnom završetku operacije, ili grešku. 

Checklist provjera nakon nadogradnje

  1. Dostupnost resursa.
  2. SIC s GW.
  3. Licencije. Ako se licencije prikazuju netočno ili se ne prikazuju na SMS-u, pokrećemo naredbu vsec_central_licence za distribuciju licencija.
  4. Postavljanje politike. 

Uvoz baze SmartEvent

  1. Aktivirajte blade SmartEvent.
  2. Povezujemo se putem WinSCP-a s SMS-om i u binary načinu šaljemo ranije izvezene datoteke -db-backup.backup i eventiaUpgrade.tar u mapu /var/log/UpgradeR77.30_R80.20/
  3. Pokrećemo skriptu naredbom: $RTDIR/bin/eventiaUpgrade.sh -upgrade /var/log/UpgradeR77.30_R80.20/eventiaUpgrade.tar
  4. Provjeravamo status: watch -n 10 eventiaUpgrade.sh
  5. Provjeravamo logove u SmartEvent. SLEEP!

Nadograđujemo clustere Check Point GW (Active/Backup)

Prije početka radova

  1. Spremamo konfiguraciju GAIA sa svake node clustera u datoteku koristeći naredbu: clish -c "show configuration" > ./.txt
  2. Izvozimo datoteke pomoću WinSCP-a.
  3. Povezujemo se na WebUI obje node i idemo na karticu CPUSE → Prikaži sve pakete.
  4. Pronađite paket nadogradnje za verziju R80.20 Fresh Install, kliknite Preuzmi.
  5. Provjeravamo radi li CCP protokol u načinu Broadcast, za to unosimo naredbu: cphaprob -a if
    Ako je odabran način Multicast, promijenite ga naredbom: cphaconf set_ccp broadcast (naredba se izvršava na svakoj nodi).
  6. Postavljamo Downtime za uključene node u vašem sustavu monitoringa.
  7. Provjeravamo da li su na razini virtualizacije uključeni parametri MAC Address Change i Forged Transmits za sync-mrežu.

Ažuriranje

  1. Povezujemo se putem ssh na Active-nodu i pokrećemo naredbu za praćenje stanja clustera: watch -n 2 cphaprob stat
  2. Vraćamo se u WebUI Stanby node na karticu CPUSE i za odabrani paket R80.20 Fresh Install pokrećemo Provjera.
  3. Analiziramo izvješće Verifier. Ako je instalacija dozvoljena, idemo dalje.
  4. Odabiremo paket R80.20 Fresh Install i pokrećemo Ažuriraj. Tijekom nadogradnje, sustav će se ponovno pokrenuti. GAIA postavke se čuvaju. Tijekom ponovnog pokretanja pratimo stanje klastera. Nakon pokretanja, status ažuriranog čvora trebao bi se promijeniti u READY. U nekim slučajevima imali smo situaciju u kojoj još uvijek ne ažurirani čvor prelazi u status Active Attention i prestaje prikazivati status ažuriranog čvora. Ne brinite – takva opcija je također moguća.
  5. Nakon završetka ažuriranja otvaramo SmartDashboard.
  6. Otvorimo klaster objekat i promijenimo verziju klastera s R77.30 na R80.20. Kliknemo U redu. Ako prilikom spremanja promjena dođe do pogreške:
    Došlo je do unutarnje pogreške. (Kod: 0x8003001D, Nije moguće pristupiti datoteci za operaciju pisanja),
    slijedite SK119973. Nakon toga spremamo promjene i kliknemo Install Policy.
  7. U postavkama uklanjamo oznaku s opcije Za klastere prolaznika, ako instalacija na članu klastera ne uspije, ne instalirajte na taj klaster.
  8. Instaliramo politiku. Sustav će prijaviti pogrešku za Active čvor, koji još nije ažuriran.
  9. Povezujemo se na ažurirani čvor putem ssh i pokrećemo naredbu za nadgledanje stanja klastera: watch -n 2 cphaprob stat
  10. Povezujemo se s WebUI Active čvora i prelazimo na karticu CPUSE → Prikaži sve pakete.Pronađite paket nadogradnje za verziju R80.20 Fresh Install, kliknemo Preuzmi.
  11. Postavljamo Downtime za uključene node u vašem sustavu monitoringa.
  12. Vraćamo se u WebUI Active čvora na karticu CPUSE i za odabrani paket R80.20 Fresh Install pokrećemo Provjera.
  13. Analiziramo izvješće Verifier. Ako je instalacija dozvoljena, idemo dalje.
  14. Odabiremo paket R80.20 Fresh Install i pokrećemo Upgrade. Tijekom nadogradnje, sustav će se ponovno pokrenuti. GAIA postavke se čuvaju. Tijekom ponovnog pokretanja pratimo stanje klastera na već ažuriranom čvoru. Nakon ponovnog pokretanja stanje klastera na ažuriranom čvoru promijenit će se s READY na ACTIVE.
  15. Kada završi proces nadogradnje, pokrećemo SmartDashboard i instaliramo politiku.

Checklist provjera nakon nadogradnje

  • Dnevniki događaja u SmartLog, stanje VPN tunela.
  • GAIA postavke.
  • Obnova klastera nakon probnog Failover-a.
  • Licencije i ugovori. Ako se licencije prikazuju pogrešno ili se ne prikazuju na SMS-u, pokrećemo naredbu. vsec_central_licence za distribuciju licencija.
  • CoreXL.
  • SecureXL.
  • Hotfix i CPinfo na dva čvora.

Zaključak

U suštini, na ovom mjestu sve završava – ažurirali ste se.

Cijeli proces trajao je u prosjeku od 6 do 12 sati, ovisno o veličini izvozenih baza. Radili su se tijekom dvije noći: jedna – za ažuriranje SMS-a, druga – za klaster.

Nije bilo prekida u prometu, unatoč tome što smo sve gore navedene pogreške testirali na sebi.

Naravno, ponekad se mogu pojaviti i potpuno nove poteškoće tijekom nadogradnje, ali to je Check Point, i kao što svi znamo, uvijek postoji hotfix!

Želimo vam uspješne crno-ružičaste noći i nadogradnje!

Izvor: habr.com

Kupite pouzdan hosting za web stranice s DDoS zaštitom, VPS VDS servere 🔥 Kupite pouzdan hosting za web stranice s DDoS zaštitom, VPS VDS servere | ProHoster