Dueanni fa abbiamo scritto che ogni amministratore di Check Point prima o poi si trova di fronte alla necessità di aggiornare alla nuova versione. In questoarticolo abbiamo descritto l'aggiornamento da R77.30 a R80.10. A proposito, a gennaio 2020, R77.30 è diventata una versione certificata da FSTEC. Tuttavia, negli ultimi due anni ci sono state molte novità in Check Point. Nell'articolo “ Check Point Gaia R80.40. Quali sono le novità?Come è noto, ci sono due modalità di implementazione di Check Point: Standalone e Distributed, ovvero senza un server di gestione dedicato e con uno dedicato. La modalità Distributed è fortemente consigliata per diversi motivi:
si minimizza il carico sulle risorse del gateway;
non è necessario pianificare una finestra di manutenzione per eseguire operazioni sul server di gestione;
è garantito un funzionamento adeguato di SmartEvent, poiché nella modalità Standalone difficilmente funzionerà;
è fortemente raccomandato costruire un cluster di gateway in configurazione Distributed.
è altamente consigliato costruire un cluster di gateway in configurazione Distributed.
Tenendo conto di tutti i vantaggi della configurazione distribuita, esamineremo l'aggiornamento del server di gestione e del gateway di sicurezza separatamente.
Aggiornamento del Server di Gestione della Sicurezza (SMS)
Ci sono due modi per aggiornare l'SMS:
tramite CPUSE (attraverso Gaia Portal)
tramite Migration Tools (richiede un'installazione pulita — fresh install)
L'aggiornamento tramite CPUSE non è raccomandato dai colleghi di Check Point, poiché non aggiornerà la versione del filesystem e del kernel. Tuttavia, questo metodo non richiede la migrazione delle politiche ed è molto più veloce e semplice rispetto al secondo metodo.
Un'installazione pulita e la migrazione delle politiche tramite Migration Tools è il metodo raccomandato. Oltre ai nuovi filesystem e kernel dell'OS, spesso può succedere che il database SMS si 'intasi', e un'installazione pulita è un'ottima soluzione per migliorare la velocità del server.
1) Il primo passo in qualsiasi aggiornamento è la creazione di backup e snapshot. Se hai un server di gestione fisico, il backup deve essere effettuato tramite l'interfaccia web di Gaia Portal. Vai alla scheda Maintenance > System Backup > Backup. Successivamente, si indica il luogo di archiviazione del backup. Può essere un server SCP, FTP, TFTP o localmente sul dispositivo, ma in questo caso sarà necessario trasferire il backup sul server o sul computer in seguito.
Figura 1. Creazione di un backup in Gaia Portal
2) Dopo, è necessario creare uno snapshot nella scheda Manutenzione → Gestione degli snapshot → Nuovo. La differenza tra backup e snapshot è che gli snapshot contengono più informazioni, inclusi tutti i hotfix installati. Tuttavia, è meglio fare entrambi.
Se il server di gestione è installato come macchina virtuale, è consigliabile eseguire il backup della macchina virtuale utilizzando gli strumenti integrati dell'iperdispositivo. È semplicemente più veloce e più affidabile.
Figura 2. Creazione di uno snapshot in Gaia Portal
3) Salvare la configurazione del dispositivo da Gaia Portal. Puoi fare uno screenshot di tutte le schede delle impostazioni disponibili in Gaia Portal, oppure inserire il comando da Clish save configuration. Successivamente, il file deve essere trasferito sul PC utilizzando WinSCP o un altro client.
Figura 3. Salvataggio della configurazione in un file di testo)
Nota: se WinSCP non si connette, cambia la shell dell'utente in /bin/bash sia nell'interfaccia web nella scheda Utenti, sia inserendo il comando chsh –s /bin/bash.
Aggiornamento tramite CPUSE
4) I primi 3 passaggi sono obbligatori per qualsiasi opzione di aggiornamento. Se hai deciso di seguire un percorso di aggiornamento più semplice, vai all'interfaccia web e seleziona la scheda Aggiornamenti (CPUSE) > Stato e Azioni > Versioni Maggiori > Check Point R80.40 Gaia Fresh Install and Upgrade. Fai clic con il tasto destro su questo aggiornamento e seleziona Verifier. Il processo di verifica durerà alcuni minuti, trascorsi i quali vedrai un messaggio che informa che il dispositivo può essere aggiornato. Se ricevi errori, è necessario risolverli.
Figura 4. Aggiornamento tramite CPUSE
5) Aggiorna all'ultima versione di CDT (Central Deployment Tool) — uno strumento che viene eseguito sul server di gestione e consente di installare aggiornamenti, pacchetti di aggiornamento, gestire backup, istantanee, script e molto altro. Una versione obsoleta di CDT può causare problemi nell'aggiornamento. Puoi scaricare CDT da .
6) Dopo aver caricato l'archivio scaricato su SMS in una qualsiasi directory tramite WinSCP, connettiti a SMS tramite SSH e accedi alla modalità esperto. Ricorda che l'utente di WinSCP deve avere accesso shell. /bin/bash!
7) Inserisci i comandi:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv --force CPcdt-00-00.i386.rpm
Figura 5. Installazione del Central Deployment Tool (CDT)
8) Il passo successivo è l'installazione dell'immagine R80.40. Clicca con il tasto destro sull'aggiornamento Download, poi Install. Tieni presente che l'aggiornamento richiede circa 20-30 minuti e il server di gestione sarà non disponibile per un certo periodo. Pertanto, ha senso concordare una finestra per la manutenzione.
9) Tutte le licenze e le politiche di sicurezza vengono conservate, quindi dovresti scaricare la nuova .
10) Collegati a SMS con la nuova SmartConsole e imposta le politiche di sicurezza. Il pulsante Install Policy è in alto a sinistra.
11) Il tuo SMS è stato aggiornato, ora dovresti installare l'ultimo hotfix. Nella scheda Upgrades (CPUSE) > Status and Actions > Hotfixes clicca con il tasto destro Verifier, poi Install Update. Il dispositivo si riavvierà automaticamente dopo aver installato l'aggiornamento.
Figura 6. Installazione dell'ultimo hotfix tramite CPUSE
Aggiornamento con Migration Tools
4) Per iniziare, è necessario aggiornare anche all'ultima versione di CDT — punti 5, 6, 7 della sezione “Aggiornamento tramite CPUSE”.
5) Installare il pacchetto Migration Tools necessario per la migrazione delle politiche dal server di gestione. Puoi trovare Migration Tools per le versioni: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. È importante scaricare Migration Tools per la versione alla quale desideri aggiornarti,e non per quella che hai attualmente! Nel nostro caso, si tratta di R80.40.
6) Successivamente, nell'interfaccia web di SMS, vai alla scheda Upgrades (CPUSE) > Status and Actions > Import Package > Browse > Seleziona il file scaricato > Importa.
Figura 7. Importazione di Migration Tools
7) In modalità esperto su SMS, verifica che il pacchetto Migration Tools sia installato utilizzando il comando (l'output del comando dovrebbe coincidere con il numero nel nome dell'archivio Migration Tools):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Figura 8. Verifica dell'installazione di Migration Tools
8) Vai nella cartella $FWDIR/scripts sul server di gestione:
cd $FWDIR/scripts
9) Esegui il pre-upgrade verifier (script di verifica) utilizzando il comando (se ci sono errori, correggili prima di procedere):
./migrate_server verify -v R80.40
Nota: se vedi l'errore “Failed to retrieve Upgrade Tools package”, ma hai verificato che l'archivio è stato importato correttamente (vedi punto 4), usa il comando:
./migrate_server verify -v R80.40 -skip_upgrade_tools_check
Figura 9. Avvio dello script di verifica
10) Esporta le politiche di sicurezza utilizzando il comando:
./migrate_server export -v R80.40 /<Percorso Completo>/<Nome del File Esportato>.tgz
Figura 10. Esportazione della politica di sicurezza
Nota: se vedi l'errore “Failed to retrieve Upgrade Tools package”, ma hai verificato che l'archivio è stato importato correttamente (punto 7), usa il comando:
./migrate_server export -skip_upgrade_tools_check -v R80.40 /<Percorso Completo>/<Nome del File Esportato>.tgz
11) Calcola l'hash MD5 e annota l'output del comando:
md5sum /<Percorso Completo>/<Nome del File Esportato>.tgz
Figura 11. Calcolo dell'hash MD5
12) Utilizza WinSCP per spostare questo file sul tuo computer.
13) Inserisci il comando df -h e annota la percentuale delle directory in base allo spazio occupato.
Figura 12. Percentuale delle directory su SMS
14.1) Nel caso in cui tu abbia un SMS reale
14.1.1) Utilizza per creare un'unità flash USB avviabile con l'immagine .
14.1.2) Ti consiglio di preparare almeno 2 unità flash avviabili, poiché non sempre viene letta correttamente l'unità.
14.1.3) Esegui ISOmorphic.exe come amministratore sul computer. Nel punto 1 selezionate l'immagine scaricata di Gaia R80.40, nel punto 4 la chiavetta USB. Non è necessario modificare i punti 2 e 3. non è necessario!
Figura 13. Creazione di una chiavetta USB avviabile
14.1.4) Selezionare il punto “Installare automaticamente senza conferma” ed è importante specificare il modello del vostro server di gestione. Nel caso di SMS, selezionare la riga 3 o 4.
Figura 14. Selezione del modello del dispositivo per la creazione di una chiavetta USB avviabile
14.1.5) Successivamente spegnete l'appliance, inserite la chiavetta USB nella porta USB, collegatevi con un cavo console tramite la porta COM al dispositivo e accendete l'SMS. Il processo di installazione avviene automaticamente. L'indirizzo IP predefinito è 192.168.1.1/24, e i dati di accesso admin / admin.
14.1.6) Il passo successivo è connettersi all'interfaccia web su Gaia Portal (l'indirizzo predefinito ), dove si completa l'inizializzazione del dispositivo. Durante l'inizializzazione, dovrete principalmente premere Avanti, poiché quasi tutte le impostazioni possono essere modificate in seguito. Tuttavia, potete modificare subito l'indirizzo IP, le impostazioni DNS e il nome host.
14.2) Nel caso in cui abbiate un SMS virtuale
14.2.1) In nessun caso devi eliminare il vecchio SMS, crea una nuova macchina virtuale con le stesse risorse (CPU, RAM, HDD) e con lo stesso indirizzo IP. A proposito, puoi aumentare RAM e HDD, poiché la versione R80.40 è leggermente più esigente. Per evitare conflitti di indirizzo IP, spegni il vecchio SMS e inizia l'installazione del nuovo.
14.2.2) Durante l'installazione di Gaia imposta l'indirizzo IP attuale e assegna uno spazio adeguato per la directory. /root La proporzione delle directory deve rimanere più o meno immutata, utilizza l'output df -h.
15) Quando arriva il momento di scegliere il tipo di installazione “Installation Type” scegli la prima opzione, poiché probabilmente non stai utilizzando un MDS (Multi-Domain Server). Se hai un MDS, significa che hai gestito molti domini da diverse entità SMS contemporaneamente. In tal caso, dovresti scegliere la seconda opzione.
Figura 15. Scelta del tipo di installazione di Gaia
16) Il momento più importante, che non può essere corretto senza reinstallazione, è la scelta dell'entità. Devi selezionare Security Management e cliccare su Next. Tutto il resto va lasciato come predefinito.
Figura 16. Scelta del tipo di entità durante l'installazione di Gaia
17) Una volta che il dispositivo si è riavviato, connettiti all'interfaccia web tramite o un altro indirizzo IP, se lo hai modificato.
18) Trasferisci le impostazioni dagli screenshot in tutte le schede del Gaia Portal in cui è stata effettuata una configurazione, oppure esegui il comando load configuration .txt. Questo file di configurazione deve essere precedentemente caricato sul SMS.
Nota: poiché il sistema operativo è nuovo, WinSCP non permetterà di connettersi come amministratore, cambia la shell dell'utente a /bin/bash sia nell'interfaccia web nella scheda Utenti, sia inserendo il comando chsh –s /bin/bash oppure crea un nuovo utente.
19) Carica il file con le policy esportate dal vecchio server di gestione in qualsiasi directory. Poi accedi alla console in modalità esperto e verifica che il checksum MD5 corrisponda a quello precedente. In caso contrario, è necessario riesportare:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Ripeti il punto 6 e installa gli Upgrade Tools sul nuovo SMS nel Gaia Portal nella scheda Upgrades (CPUSE) > Status and Actions.
21) Inserisci il comando in modalità esperta:
./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz
Figura 17. Importazione delle policy di sicurezza sul nuovo SMS
22) Attiva i servizi con il comando cpstart.
23) Scarica il nuovo e connettiti al server di gestione. Vai a Menu > Gestisci Licenze e Pacchetti (SmartUpdate) e assicurati di avere mantenuto la licenza.
Figura 18. Verifica delle licenze installate
24) Imposta la politica di sicurezza sul gateway o sul cluster — Install Policy.
Aggiornamento del Security Gateway (SG)
Il gateway di sicurezza può essere aggiornato tramite CPUSE, così come il server di gestione, oppure reinstallato da zero — fresh install. Dalla mia esperienza, nel 99% dei casi si reinstallano da zero i Security Gateway poiché richiede praticamente lo stesso tempo dell'aggiornamento tramite CPUSE, ma si ottiene un sistema operativo aggiornato e pulito senza bug.
Analogamente a SMS, è necessario prima creare un backup e uno snapshot, e anche salvare le impostazioni dal Gaia Portal. Fai riferimento ai punti 1, 2 e 3 nella sezione «Aggiornamento del Security Management Server».
Aggiornamento tramite CPUSE
L'aggiornamento del Security Gateway tramite CPUSE avviene esattamente come l'aggiornamento del Security Management Server, pertanto, fai riferimento all'inizio dell'articolo.
Un aspetto importante: l'aggiornamento SG richiede il riavvio! Pertanto, esegui l'aggiornamento durante una finestra di manutenzione. Se hai un cluster, aggiorna prima il nodo passivo, quindi cambia i ruoli e aggiorna l'altro nodo. Nel caso di un cluster è possibile evitare finestre di manutenzione.
Installazione di una nuova versione del sistema operativo sul Security Gateway
1.1) Nel caso in cui abbiate un SG reale
1.1.1) Con l'aiuto di per creare un'unità flash USB avviabile con l'immagine . L'immagine è la stessa di quella della SMS, ma il processo per creare una chiavetta USB avviabile è leggermente diverso.
1.1.2) Si consiglia di preparare almeno 2 chiavette USB avviabili, poiché a volte non vengono sempre lette.
1.1.3) Eseguire ISOmorphic.exe come amministratore sul computer. Nel punto 1 selezionate l'immagine scaricata di Gaia R80.40, nel punto 4 la chiavetta USB. Non è necessario modificare i punti 2 e 3. non è necessario!
Figura 19. Creazione della chiavetta USB avviabile
1.1.4) Seleziona l'opzione “Installa automaticamente senza conferma”, è importante specificare il modello del tuo Security Gateway — opzioni 2 o 3. Se si tratta di una sandbox fisica (SandBlast Appliance), selezionare l'opzione 5.
Figura 20. Selezione del modello del dispositivo per creare la chiavetta USB avviabile
1.1.5) Quindi spegnere l'appliance, inserire la chiavetta nella porta USB, collegarsi al dispositivo tramite un cavo console attraverso la porta COM e accendere il gateway. Il processo di installazione avviene automaticamente. L'indirizzo IP predefinito è 192.168.1.1/24, e i dati di accesso admin / admin. Prima bisogna aggiornare il nodo passivo, poi applicare la politica, cambiare i ruoli e quindi aggiornare l'altro nodo. Probabilmente sarà necessario un intervallo di manutenzione.
1.1.6) Il passo successivo è connettersi all'interfaccia web sul Gaia Portal, dove si esegue la prima inizializzazione del dispositivo. Durante l'inizializzazione, di solito si preme Avanti, poiché quasi tutte le impostazioni possono essere modificate in seguito. Tuttavia, potete modificare subito l'indirizzo IP, le impostazioni DNS e il nome host.
1.2) Nel caso in cui possediate un SG virtuale
1.2.1) Creare una nuova macchina virtuale con risorse identiche (CPU, RAM, HDD) o superiori, poiché la versione R80.40 è leggermente più esigente. Per evitare conflitti di indirizzi IP, disattivate il vecchio gateway e avviate l'installazione del nuovo con lo stesso indirizzo IP. È possibile rimuovere tranquillamente il vecchio SG, poiché non contiene nulla di importante, in quanto tutto ciò che conta — la politica di sicurezza — è memorizzato sul server di gestione.
1.2.2) Durante l'installazione del sistema operativo, configurate l'indirizzo IP attuale e allocate spazio sufficiente per la directory /root adeguato.
3) Collegatevi tramite HTTPS alla porta del gateway e avviate il processo di inizializzazione. Durante la scelta del tipo di installazione “Installation Type” selezionate la prima opzione — Security Gateway and/o Security Management.
Figura 21. Selezione del tipo di installazione di Gaia
4) Un aspetto fondamentale è la scelta dell'entità (Products). È necessario selezionare Security Gateway e, se avete un cluster, selezionate l'opzione “Unit is a part of a cluster, type: ClusterXL”. Se avete un cluster VRRP, selezionate tale tipo, ma è poco probabile.
Figura 22. Selezione del tipo di entità durante l'installazione di Gaia
5) Nel passaggio successivo, imposta una password SIC temporanea per stabilire la fiducia con il server di gestione. Questa password verrà utilizzata per generare un certificato e il server di gestione comunicherà con il gateway tramite un canale crittografato. Seleziona “Connettiti al tuo Management as a Service” se il server di gestione è in cloud. Abbiamo recentemente scritto su questo e su quanto sia comodo e semplice gestire un server in cloud.
Figura 23. Creazione SIC
6) Avvia il processo di inizializzazione nella scheda successiva. Non appena il dispositivo si riavvia, accedi all'interfaccia web e trasferisci le impostazioni dagli screenshot in tutte le schede del Gaia Portal in cui qualcosa è stato configurato, oppure esegui il comando load configuration .txt. Questo file di configurazione deve essere precedentemente caricato sul gateway di sicurezza.
Nota: poiché il sistema operativo è nuovo, WinSCP non permetterà di connettersi come amministratore, cambia la shell dell'utente a /bin/bash sia nell'interfaccia web nella scheda Utenti, sia inserendo il comando chsh –s /bin/bash oppure crea un nuovo utente con quel shell.
7) Apri e accedi all'oggetto del gateway di sicurezza che hai appena reinstallato. Vai alla scheda Proprietà generali > Comunicazione > Reset SIC e inserisci la password impostata al punto 5.
Figura 24. Stabilire la fiducia con il nuovo gateway di sicurezza
8) La versione di Gaia dell'oggetto deve essere cambiata; se non cambia, modificatela manualmente. Quindi, impostate la politica sul gateway.
9) Accedete alla scheda nel Gaia Portal Upgrades (CPUSE) > Status and Actions > Hotfixes e installate l'ultimo hotfix. Il dispositivo andrà in riavvio durante l'installazione!
10) In caso di cluster, cambiate i ruoli delle nodi e ripetete gli stessi passaggi per l'altro nodo.
Conclusione
Ho cercato di creare una guida il più chiara e completa possibile per l'aggiornamento dalla versione R80.20/R80.30 all'attuale R80.40, poiché sono cambiate molte cose. La versione è già disponibile in modalità demo, tuttavia la procedura di aggiornamento rimane più o meno identica. Seguendo la guida ufficiale Per qualsiasi domanda, potete contattarci. Saremo lieti di aiutarvi con gli aggiornamenti e i casi più complessi nel nostro supporto tecnico
CPSupport è possibile richiedere un audit delle impostazioni di Check Point o lasciare una richiesta gratuita Una vasta raccolta di materiali su Check Point da TS Solution
. Rimanete aggiornati (, , , , ).
Fonte: habr.com
