BoleKét évvel ezelőtt arról írtunk, hogy minden Check Point adminisztrátor előtt előbb vagy utóbb felmerül a kérdés az új verzióra való frissítéssel kapcsolatban. Ezt a R77.30-ról R80.10-re való frissítésről írtuk. Érdekességként említhető, hogy 2020 januárjában az R77.30 a FSTEK által tanúsított verzió lett. Azóta a Check Pointnál sok minden megváltozott két év alatt. A “” című cikkben minden újítást részletezünk, amelyekből sok van. Ebben a cikkben a frissítési eljárást a lehető legrészletesebben ismertetjük.
Ismeretes, hogy kétféle Check Point bevezetési lehetőség létezik: Standalone és Distributed, azaz dedikált kezelőszolgáltató szerver nélkül és dedikáltal. A Distributed opció rendkívül ajánlott több okból is:
minimalizálja a híd erőforrásaira nehezedő terhet;
nem szükséges karbantartási időablakot tervezni a kezelőszolgáltató szerver munkálataihoz;
a SmartEvent megfelelő működése, hiszen a Standalone kegyelménél aligha fog működni;
a híd klónozása mindenképpen a Distributed konfigurációval javasolt.
Figyelembe véve a Distributed konfiguráció összes előnyét, külön vizsgáljuk meg a kezelőszolgáltató és a biztonsági híd frissítését.
A Security Management Server (SMS) frissítése
Két módszer létezik az SMS frissítésére:
CPUSE segítségével (a Gaia Portalon keresztül)
Migration Tools segítségével (tiszta telepítést igényel — friss telepítés)
A CPUSE segítségével történő frissítést a Check Point kollégái nem ajánlják, mivel nem frissül a fájlrendszer verziója és az operációs rendszer magja. E módszer azonban nem igényel politikamigrálást, és sokkal gyorsabb és egyszerűbb, mint a második módszer.
A tiszta telepítés és a politikák migrálása Migration Tools segítségével a javasolt módszer. Az új fájlrendszer és az operációs rendszer magja mellett gyakran előfordul, hogy az SMS adatbázisa "eldugul", és ebben az esetben a tiszta telepítés remek megoldás, hogy fokozza a szerver teljesítményét.
1) Az első lépés bármilyen frissítés során a biztonsági mentések és pillanatfelvételek készítése. Ha fizikai kezelőszolgáltató szerverrel rendelkezik, akkor a biztonsági mentést a Gaia Portal webes felületéről kell elvégezni. Lépjen be a Karbantartás > Rendszer biztonsági mentés > Biztonsági mentés. Ezután megadja a biztonsági mentés tárolási helyét. Ez lehet SCP, FTP, TFTP szerver vagy helyben az eszközön, de ebben az esetben később a mentést a szerverre vagy számítógépre kell áttölteni.
1. ábra: Biztonsági mentés készítése a Gaia Portalon
2) Ezután készítsen pillanatfelvételt a Karbantartás → Pillanatfelvétel kezelés → Új. A bővítmények és a pillanatképek közötti különbség az, hogy a pillanatképek több információt tárolnak, beleértve az összes telepített hotfixet is. Ennek ellenére a legjobb, ha mindkettőt elvégezzük.
Ha a kezelő szerver virtuális gépként van telepítve, akkor javasolt, hogy a hypervisor beépített eszközeivel készítsen biztonsági másolatot a virtuális gépről. Ez egyszerűen gyorsabb és megbízhatóbb.
2. ábra. Pillanatkép létrehozása a Gaia Portálban
3) Mentse el az eszköz konfigurációját a Gaia Portálból. Minden beállítási fülről készíthet képernyőképet a Gaia Portálban, vagy a Clish-ből adja meg a parancsot save configuration. Ezután a fájlt WinSCP vagy más kliens segítségével töltse le a számítógépére.
3. ábra. Konfiguráció mentése szöveges fájlba)
Megjegyzés: ha a WinSCP nem engedi a csatlakozást, változtassa meg a felhasználó shell-jét /bin/bash-re, vagy a webes felületen a Felhasználók fül alatt, vagy adja meg a parancsot chsh –s /bin/bash.
Frissítés a CPUSE segítségével
4) Az első 3 lépés kötelező bármilyen frissítési lehetőséghez. Ha azonban a könnyebb frissítési utat választja, akkor a webes felületen lépjen a fülre Frissítések (CPUSE) > Állapot és műveletek > Fő verziók > Check Point R80.40 Gaia friss telepítés és frissítés. Jobb kattintással a frissítésre, majd válassza Ellenőrző. A vizsgálati folyamat néhány percig tart, amely után megjelenik egy üzenet, hogy az eszköz frissíthető. Ha hibákat lát, azokat javítani kell.
4. ábra. Frissítés CPUSE-n keresztül
5) Frissítse a legújabb verziójú CDT-t (Central Deployment Tool) — ez az eszköz különböző frissítések, frissítési csomagok telepítésére és biztonsági másolatok, pillanatképek, szkriptek kezelésére szolgál a kezelő szerveren. Az elavult CDT verzió problémákat okozhat a frissítés során. A CDT letölthető a következő linken .
6) Miután a letöltött archívumot a SMS bármely könyvtárába helyezte WinSCP-n keresztül, csatlakozzon SSH-n az SMS-hez, és lépjen be szakértői módba. Ne feledje, hogy a WinSCP felhasználónak shell-el kell rendelkeznie. /bin/bash!
7) Írja be a parancsokat:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv —force CPcdt-00-00.i386.rpm
5. ábra. Central Deployment Tool (CDT) telepítése
8) A következő lépés az R80.40 image telepítése. Jobb kattintás a frissítésre Letöltés, majd Telepítés. Kérjük, vegye figyelembe, hogy a frissítés körülbelül 20-30 percet vesz igénybe, és a kezelőszolgáltatás egy ideig nem lesz elérhető. Tehát érdemes egy karbantartási időszakot egyeztetni.
9) Minden licence és biztonsági politika megmarad, így le kell töltenie az újat. .
10) Csatlakozzon az új SmartConsole-hoz, és állítsa be a biztonsági politikákat. A gomb Policy Telepítése a bal felső sarokban található.
11) Az SMS frissítve van, most a legfrissebb hotfixet kell telepíteni. Az „ Frissítések (CPUSE) > Állapot és akciók > Hotfixek jobbegérgombbal kattintva Verifier, majd Frissítés telepítése. Az eszköz automatikusan újraindul a frissítés telepítése után.
6. ábra. Az utolsó hotfix telepítése CPUSE-n keresztül
Frissítés Migrációs Eszközökkel
4) Először is, frissítse a legújabb CDT verzióra — a 5, 6, 7. pontok a „ Frissítés CPUSE-n keresztül”.
5) Telepítse a Migrációs Eszközök csomagot, amely szükséges a politikák migrálásához a kezelőszolgáltatásról. Az alábbiakból megtalálhatók a Migrációs Eszközök verziói: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. A Migrációs Eszközöket az a verzió szerint kell letölteni, amelyre frissíteni szeretne, nem pedig amelyik most van Önnél! A mi esetünkben ez R80.40.
6) Ezután a webes felületen az SMS-ben megyünk az „ Frissítések (CPUSE) > Állapot és akciók > Csomag Importálása > Tallózás > Válassza ki a letöltött fájlt > Importálás.
7. ábra. Migrációs Eszközök importálása
7) Az SMS szakértői módban ellenőrizze, hogy a Migrációs Eszközök csomag telepítve van a következő parancs segítségével (a parancs kimenetének meg kell egyeznie a Migrációs Eszközök archívum nevében szereplő számokkal):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
8. ábra. A Migrációs Eszközök telepítésének ellenőrzése
8) Lépjen a $FWDIR/scripts mappába a kezelőszolgáltatásban:
cd $FWDIR/scripts
9) Indítsa el a pre-upgrade verifier-t (ellenőrző szkript) a következő paranccsal (ha hibák merülnek fel, javítsa ki őket a további lépések előtt):
./migrate_server verify -v R80.40
Megjegyzés: ha hibát lát, „Nem sikerült megkapni a Frissítő Eszközök csomagot”, de ellenőrizte, hogy az archívum sikeresen be lett importálva (lásd a 4. pontot), használja a parancsot:
./migrate_server verify -v R80.40 -skip_upgrade_tools_check
9. ábra. Az ellenőrző szkript futtatása
10) Exportálja a biztonsági politikákat a következő paranccsal:
./migrate_server export -v R80.40 //.tgz
10. ábra. A biztonsági politikák exportálása
Megjegyzés: ha hibát lát, „Nem sikerült megkapni a Frissítő Eszközök csomagot”, de ellenőrizte, hogy az archívum sikeresen be lett importálva (7. pont), használja a parancsot:
./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
11) Számolja ki az MD5 hasht és mentse el a parancs kimenetét:
md5sum //=.tgz
11. ábra. MD5 hash kiszámítása
12) A WinSCP segítségével mozgassa ezt a fájlt a számítógépére.
13) Írja be a parancsot df -h és mentse el a könyvtárak arányát a foglalt hely alapján.
12. ábra. Könyvtárak arányának százalékos megoszlása SMS-en
14.1) Ha valódi SMS-e van
14.1.1) Használja a bootolható USB flash drive létrehozására a képpel .
14.1.2) Javaslom, hogy készítsen legalább 2 bootolható flash drive-ot, mert néha előfordulhat, hogy nem olvassa a flash drive-ot.
14.1.3) Adminisztrátorként indítsa el a számítógépen ISOmorphic.exe-t. Az 1. pontban válassza ki a letöltött Gaia R80.40 képet, a 4. pontban a flash drive-ot. A 2. és 3. pontot nem kell módosítani nem kell!
13. ábra. Bootolható flash drive létrehozása
14.1.4) Válassza a „Automatikus telepítés megerősítés nélkül” opciót, és fontos, hogy adja meg a vezérlő szerverének a modelljét. SMS esetén a 3. vagy 4. sort kell választani.
14. ábra. Az eszköz modelljének kiválasztása bootolható flash drive létrehozásához
14.1.5) Ezután kikapcsolja az appline-t, bedugja a flash drive-ot az USB portba, konzol kábellel csatlakoztatja az eszközt a COM porthoz, és bekapcsolja az SMS-t. A telepítési folyamat automatikusan zajlik. Az alapértelmezett IP-cím — 192.168.1.1/24, és a bejelentkezési adatok admin / admin.
14.1.6) A következő lépés a csatlakozás a Gaia Portal webes felületéhez (alapértelmezett cím: ), ahol elvégzi az eszköz inicializálását. Az inicializálás során főként a Next gombra kell kattintania, mivel szinte minden beállítást később is megváltoztathat. Azonban az IP-címet, a DNS-beállításokat és a hostname-t azonnal megváltoztathatja.
14.2) Ha virtuális SMS-e van
14.2.1) Semmilyen körülmények között ne törölje a régi SMS-t, hozzon létre egy új virtuális gépet ugyanazon erőforrásokkal (CPU, RAM, HDD) ugyanazzal az IP-címmel. Egyébként RAM-ot és HDD-t hozzáadhat, mert az R80.40-es verzió kicsit igényesebb. Az IP-cím ütközések elkerülése érdekében kapcsolja ki a régi SMS-t és kezdje meg az új telepítését.
14.2.2) A Gaia telepítése során állítsa be a megfelelő IP-címet, és szenteljen elegendő területet a könyvtár számára /root a megfelelő mennyiségű helynek. A könyvtárak arányának hozzávetőlegesen meg kell maradnia, használja a kimenetet df -h.
15) Az installációs típus választásakor „Installation Type” Válassza az első lehetőséget, mivel valószínűleg nincs MDS (Több Domain Szolgáltatás). Ha van MDS, az azt jelenti, hogy számos domaint kezelt különböző SMS entitásokból egyszerre. Ebben az esetben a második pontot kell választania.
15. ábra: A Gaia telepítési típusának kiválasztása
16) A legfontosabb pont, amit nem lehet kijavítani újratelepítés nélkül - az entitás kiválasztása. Válassza ki Biztonsági menedzsment és kattintson Tovább. Ezután minden alapértelmezett.
16. ábra: Az entitás kiválasztása a Gaia telepítése során
17) Miután az eszköz újraindult, csatlakozzon a webes felülethez a vagy egy másik IP-címhez, ha megváltoztatta.
18) Másolja az beállításokat a képernyőfotókból a Gaia Portál összes fülére, ahol bármilyen beállítás történt, vagy a clish-ből futtassa a parancsot load configuration .txt. Ezt a konfigurációs fájlt előtte fel kell tölteni az SMS-re.
Megjegyzés: Mivel az OS új, a WinSCP nem engedi, hogy admin felhasználóval csatlakozzon, váltson a shell-re /bin/bash, akár a Felhasználók fül alatt a webes felületen, akár a parancs beírásával chsh –s /bin/bash vagy hozzon létre új felhasználót.
19) Töltse fel bármelyik könyvtárba a régi vezérlő szerverről exportált politikákat tartalmazó fájlt. Ezután lépjen be a konzolba az expert módban, és ellenőrizze, hogy az MD5 hash összeg megegyezik a korábbival. Ellenkező esetben az exportálást újra kell végezni:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Ismételje meg a 6. pontot és telepítse az Upgrade Tools-t az új SMS-re a Gaia Portálon a Frissítések (CPUSE) > Állapot és műveletek.
21) Írja be a parancsot expert módban:
./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz
17. ábra: A biztonsági politika importálása az új SMS-re
22) Indítsa el a szolgáltatásokat a parancs segítségével cpstart.
23) Töltse le az újat és csatlakozzon a vezérlő szerverhez. Lépjen be a Menü > Licenc és csomagok kezelése (SmartUpdate) és ellenőrizze, hogy megmaradt-e a licenc.
18. ábra: Az érvényes licencék ellenőrzése
24) Telepítse a biztonsági politikát a gateway-ra vagy a klaszterre - Policy Telepítése.
A Security Gateway (SG) frissítése
A biztonsági gateway frissítésére a CPUSE használható, ahogyan a vezérlő szerverét is frissítheti, vagy újratelepítheti - friss telepítés. A tapasztalataim szerint az esetek 99%-ában újratelepítik a Security Gateway-et, mivel ez szinte ugyanannyi időt vesz igénybe, mint a CPUSE-n keresztüli frissítés, azonban tiszta, friss operációs rendszert kap, hibák nélkül.
A SMS-sel kapcsolatban először biztonsági másolat és pillanatkép készítése, valamint a Gaia Portálból származó beállítások mentése szükséges. Kérjük, nézze meg az 1, 2 és 3 pontokat a szakaszban. A biztonsági menedzsment szerver frissítése.
Frissítés a CPUSE segítségével
A biztonsági átjáró frissítése a CPUSE-n keresztül pontosan ugyanúgy zajlik, mint a biztonsági menedzsment szerver frissítése, ezért kérjük, térjen vissza a cikk elejére.
Fontos megjegyzés: az SG frissítése újraindítást igényel! Ezért javasolt a frissítést karbantartási időablakban elvégezni. Ha klasztered van, először a passzív csomópontot frissítse, majd kapcsolja feladatait és frissítse a másik csomópontot. Klaszter esetén a karbantartási időablak elkerülhető.
Az új operációs rendszer telepítése a biztonsági átjáróra
1.1) Abban az esetben, ha valódi SG-ja van
1.1.1) A(z) bootolható USB flash drive létrehozására a képpel kép pontosan ugyanolyan, mint a SMS-nél, de a telepítési folyamat kissé eltérően zajlik.
1.1.2) Ajánlom, hogy készítsen elő legalább 2 bootolható USB meghajtót, mert előfordulhat, hogy nem minden esetben olvassa be a meghajtót.
1.1.3) Adminisztrátori jogosultságokkal indítsa el a(z) ISOmorphic.exe-t. Az 1. pontban válassza ki a letöltött Gaia R80.40 képet, a 4. pontban a flash drive-ot. A 2. és 3. pontot nem kell módosítani nem kell!
19. ábra. Bootolható USB meghajtó létrehozása
1.1.4) Válassza az alábbi lehetőséget: “Automatikus telepítés megerősítés nélkül”, és fontos, hogy adja meg a biztonsági átjáró modelljét — a 2. vagy 3. sor. Ha fizikai homokozóval (SandBlast Appliance) rendelkezik, válassza az 5. sorot.
20. ábra. Eszközmodell kiválasztása bootolható USB meghajtó létrehozásához
1.1.5) Ezután lekapcsolja az appliance-t, behelyezi a USB meghajtót, és konzol kábellel csatlakozik a COM porton keresztül az eszközhöz, majd bekapcsolja az átjárót. A telepítési folyamat automatikusan zajlik. Az alapértelmezett IP-cím — 192.168.1.1/24, és a bejelentkezési adatok admin / admin. Először a passzív csomópontot, majd telepítse rá a politikát, váltson feladatokat, és ezután frissítse a másik csomópontot. Valószínűleg karbantartási időablakra lesz szükség.
1.1.6) A következő lépés a csatlakozás a Gaia Portál webböngészőjéhez, ahol elvégzi az eszköz első inicializálását. Az inicializálás során főként arra kattint, hogy Next gombra kell kattintania, mivel szinte minden beállítást később is megváltoztathat. Azonban az IP-címet, a DNS-beállításokat és a hostname-t azonnal megváltoztathatja.
1.2) Abban az esetben, ha virtuális SG-ja van
1.2.1) Hozzon létre egy új virtuális gépet azonos vagy nagyobb erőforrásokkal (CPU, RAM, HDD), mivel az R80.40-es verzió kissé igényesebb. A IP-címek ütközésének elkerülése érdekében kapcsolja le a régi átjárót, és kezdje el az új telepítését ugyanazzal az IP-címmel. A régi SG-t nyugodtan törölheti, mivel semmi értékes nincs rajta, hiszen a legfontosabb dolog — a biztonsági politika — a kezelő szerveren található.
1.2.2) A telepítés során állítsa be az aktuális IP-címet, és biztosítson a könyvtár számára /root megfelelő mennyiségű helyet.
3) Csatlakozzon a HTTPS porton a gatewayhez, és kezdje el az inicializálási folyamatot. Az telepítési típus kiválasztásakor „Installation Type” válassza az első lehetőséget - Security Gateway and/or Security Management.
21. ábra. A Gaia telepítési típusának kiválasztása
4) A legfontosabb lépés - az entitás (Products) kiválasztása. Ki kell választani Security Gateway és, ha klasztert használ, jelölje be a „Az egység klaszter része, típusa: ClusterXL”. Ha VRRP klasztere van, válassza azt a típust, de ez valószínűleg nem fog megtörténni.
22. ábra. Az entitás típusának kiválasztása a Gaia telepítésekor
5) A következő lépésben adjon meg egy egyszeri SIC jelszót a bizalom létesítéséhez a kezelő szerverrel. Ezzel a jelszóval tanúsítványt hozunk létre, és a titkosított csatornán keresztül a kezelő szerver kommunikálni fog a gateway-jel. A „Csatlakozás a menedzsmenthez mint szolgáltatás” beállítást be kell kapcsolni, ha a kezelő szerver a felhőben található. Nemrégiben írtunk erről és arról, hogy mennyire kényelmes és egyszerű a felhőalapú menedzsment szerver.
23. ábra. SIC létrehozása
6) Indítsa el az inicializálási folyamatot a következő lapon. Amint az eszköz újraindul, csatlakozzon a webes felülethez, és a képernyőképek alapján vigye át a beállításokat minden Gaia Portal fülbe, ahol valami be van állítva, vagy a clish-ből hajtsa végre a parancsot load configuration .txt. Ezt a konfig fájlt először fel kell tölteni a biztonsági gateway-re.
Megjegyzés: Mivel az OS új, a WinSCP nem engedi, hogy admin felhasználóval csatlakozzon, váltson a shell-re /bin/bash, akár a Felhasználók fül alatt a webes felületen, akár a parancs beírásával chsh –s /bin/bash vagy hozzon létre egy új felhasználót a megfelelő shellel.
7) Nyissa meg és lépjen be a biztonsági gateway objektumba, amelyet éppen újra telepített. Nyissa meg a General Properties > Communication > Reset SIC fület, és írja be az 5. pontban megadott jelszót.
24. ábra. Bizalom létrehozása az új biztonsági gateway-jel
8) A Gaia verziójának meg kell változnia az objektumon, ha nem, akkor kézzel kell megváltoztatni. Ezután állítsa be a politikát a gateway-re.
9) A Gaia Portalban lépjen a Frissítések (CPUSE) > Állapot és akciók > Hotfixek fülre, és telepítse a legújabb hotfixet. Az eszköz újraindul a telepítés során! 10) Ha klaszter van, váltson szerepet a node-okon, és végezze el ugyanazokat a lépéseket a másik node-ra.
Megpróbáltam egyértelmű és átfogó útmutatót készíteni a R80.20/R80.30 verziókról a jelenlegi R80.40 verzióra való frissítéshez, mivel sok minden megváltozott. A verzió
Zárás
Gaia R81 útmutatóra támaszkodva bármikor.
Bármilyen kérdéssel forduljon hozzánk. Örömmel segítünk a legbonyolultabb frissítésekben és esetekben a technikai támogatásunk keretein belül. . Ezen kívül a lehetősége van arra, hogy auditálja a Check Point beállításait, vagy ingyenes nyújtson be egy technikai esetre.
. kövessék a frissítéseket (, , , , ).
Forrás: habr.com
