Migrazione da Check Point da R77.30 a R80.10

Ciao colleghi, benvenuti alla lezione sulla migrazione dei database Check Point da R77.30 a R80.10.

Quando si utilizzano i prodotti dell'azienda Check Point, prima o poi sorge la necessità di migrare le regole esistenti e il database degli oggetti per le seguenti ragioni:

1. Quando si acquista un nuovo dispositivo, è necessario migrare il database dal vecchio dispositivo al nuovo dispositivo (sulla versione corrente di GAIA OS o superiore).
2. È necessario aggiornare il dispositivo da una versione di GAIA OS a una versione superiore sulla macchina locale.

Per risolvere il primo problema, è possibile utilizzare solo uno strumento chiamato Management Server Migration Tool o semplicemente Migration Tool. Per risolvere il problema n. 2 può essere utilizzata la soluzione CPUSE o Migration Tool.
Esaminiamo successivamente più nel dettaglio entrambi i metodi.

Aggiornamento su un nuovo dispositivo

Migrazione del database prevede l'installazione dell'ultima versione di Management su una nuova macchina e quindi la migrazione del database dal server di gestione della sicurezza esistente al nuovo utilizzando lo strumento Migration Tool. Questo metodo riduce al minimo il rischio di aggiornamento per la configurazione esistente.

Per migrare il database tramite Migration Tool, è necessario soddisfare i requisiti:

1. Lo spazio libero su disco deve essere cinque volte superiore alla dimensione dell'archivio del database esportato.
2. Sul server di destinazione, le impostazioni di rete devono corrispondere a quelle del server sorgente.
3. Creazione di un backup. L'esportazione del database deve essere effettuata su un server remoto.
   Nell'operating system GAIA è già installato lo strumento Migration Tool, che può essere utilizzato durante l'importazione del database o per migrare a una versione del sistema operativo identica a quella iniziale. Per migrare il database a una versione superiore del sistema operativo è necessario scaricare Migration Tool della versione appropriata dalla sezione 'Strumenti' sul sito di supporto Check Point R80.10:
4. Backup e migrazione del server SmartEvent / SmartReporter. Le utility 'backup' e 'migrate export' non includono i dati dei database SmartEvent database / SmartReporter database.
   Per il backup e la migrazione è necessario utilizzare le utility 'eva_db_backup' o 'evs_backup'.
   Nota: articolo sk110173 nel knowledge base di CheckPoint.

Esaminiamo quali funzioni contiene questo strumento:

Prima di procedere direttamente con la migrazione dei dati, è necessario prima estrarre lo strumento Migration Tool nella cartella “/opt/CPsuite-R77/fw1/bin/upgrade_tools/”, l'esportazione del database deve essere effettuata utilizzando i comandi dalla directory in cui hai estratto lo strumento.

Prima di eseguire il comando per esportare o importare, chiudi tutti i client SmartConsole o esegui cpstop sul server di gestione della sicurezza.

Per crea un file di esportazione del database di gestione sul server sorgente:

1. Accedi alla modalità esperto.
2. Esegui lo strumento di pre-verifica: pre_upgrade_verifier -p $FWDIR -c R77 -t R80.10. Se ci sono errori, correggili prima di proseguire.
3. Esegui: ./migrate export filename.tgz. Il comando esporta il contenuto del database del Security Management Server in un file TGZ.
4. Segui le istruzioni. Il database viene esportato in un file che hai denominato nel comando. Assicurati di averlo definito come TGZ.
5. Se SmartEvent è installato sul server sorgente, esporta il database degli eventi.

Successivamente importiamo i database del server di sicurezza che abbiamo esportato. Prima di iniziare: installa il R80 Security Management Server. Ti ricordo che le impostazioni di rete del nuovo Management Server R80.10 devono corrispondere alle impostazioni del vecchio server.

Per importa la configurazione del server di gestione:

1. Accedi alla modalità esperto.
2. Trasferisci (tramite FTP, SCP o simile) il file di configurazione esportato su un server remoto, assemblato dall'origine, sul nuovo server.
3. Disconnetti il server sorgente dalla rete.
4. Trasferisci il file di configurazione dal server remoto al nuovo server.
5. Calcola l'MD5 per il file trasferito e confrontalo con l'MD5 calcolato sul server sorgente: # md5sum filename.tgz
6. Importa il database: ./migrate import filename.tgz
7. Verifica dell'aggiornamento.

Al termine del punto 7, riassumiamo che la migrazione del database è avvenuta con successo tramite lo strumento Migration Tool; in caso di insuccesso, è sempre possibile riaccendere il server sorgente, il che non comprometterà le operazioni.

Vale la pena notare che la migrazione da un server standalone non è supportata.

Aggiornamento locale

CPUSE (Check Point Upgrade Service Engine) permette di aggiornare automaticamente i prodotti Check Point per il sistema operativo Gaia. I pacchetti di aggiornamento del software sono divisi in categorie, ovvero major releases, minor releases e Hotfixes. Gaia trova automaticamente e mostra i pacchetti di aggiornamenti software e le immagini pertinenti alla versione del sistema operativo Gaia alla quale è possibile aggiornarsi. Con CPUSE è possibile effettuare sia un'installazione pulita della nuova versione di GAIA OS che un aggiornamento del sistema con migrazione del database.

Per aggiornarsi a una versione superiore o effettuare un'installazione pulita utilizzando CPUSE, sulla macchina deve essere disponibile spazio libero (non allocato) sufficiente — almeno pari alla dimensione della partizione principale.

Il passaggio a una nuova versione avviene su una nuova partizione del disco rigido, mentre la "vecchia" partizione viene convertita in Gaia Snapshot (nuovo spazio di partizione prelevato dallo spazio non allocato sul disco rigido). È anche consigliabile eseguire uno snapshot prima di aggiornare il sistema e caricarlo su un server remoto.

Processo di aggiornamento:

1. Controlla il pacchetto di aggiornamento (se non lo hai già fatto) — verifica se il pacchetto può essere installato senza conflitti: fai clic con il tasto destro sul pacchetto e seleziona "Verifier".

   Il risultato dovrebbe essere simile a questo:

   • Installazione consentita
   • Aggiornamento consentito
2. Installa il pacchetto: fai clic con il tasto destro sul pacchetto e clicca su "Upgrade":
   CPUSE mostra il seguente avviso nel Gaia Portal: Dopo questo aggiornamento, ci sarà un riavvio automatico (Le impostazioni OS esistenti e il database Check Point sono preservati).
3. Vedrai un progresso corrispondente nella migrazione dei dati dopo l'aggiornamento a R80.10:
   • Aggiornamento dei prodotti
   • Importazione del database
   • Configurazione dei prodotti
   • Creazione dei dati SIC
   • Interruzione dei processi
   • Avvio dei processi
   • Installato, auto-verifica superata
4. Il sistema si riavvierà automaticamente
5. Installazione della policy in SmartConsole

Come puoi vedere, tutto procede piuttosto semplicemente; in caso di problemi, è possibile ripristinare le vecchie impostazioni utilizzando lo snapshot effettuato.

Pratica

Nel video tutorial fornito è presente una parte teorica e una pratica. La prima metà del video ripete la parte teorica descritta, mentre nell'esempio pratico è mostrata la migrazione dei dati utilizzando entrambi i metodi.

Conclusione

In questa lezione abbiamo esaminato le soluzioni dell'azienda Check Point per l'aggiornamento e la migrazione dei database di oggetti e regole. Nel caso di un nuovo dispositivo, non ci sono altre soluzioni se non l'uso dello strumento Migration Tool. Se desiderate aggiornare GAIA OS e avete la volontà e la possibilità di reinstallare la macchina, la nostra azienda consiglia, sulla base dell'esperienza esistente, di migrare il database utilizzando il Migration Tool. Questo metodo riduce al minimo il rischio di aggiornamento per la configurazione esistente rispetto a CPUSE. Inoltre, durante l'aggiornamento tramite CPUSE, molti file obsoleti non necessari rimangono sul disco, e per rimuoverli è necessario uno strumento aggiuntivo, il che comporta ulteriori azioni e nuovi rischi.

Se non volete perdere le prossime lezioni, iscrivetevi al nostro gruppo VK, Youtube e Telegram. Se per qualche motivo non siete riusciti a trovare il documento necessario o a risolvere il vostro problema con Check Point, potete senza dubbio contattare noi.

Fonte: habr.com