Ciao colleghi, benvenuti al corso sulla migrazione dei database Check Point da R77.30 a R80.10.
Utilizzando i prodotti della Check Point, prima o poi sorge il problema della migrazione delle regole esistenti e del database degli oggetti per le seguenti ragioni:
- Acquistando un nuovo dispositivo, è necessario migrare il database dal vecchio dispositivo al nuovo (alla versione attuale di GAIA OS o superiore).
- Occorre aggiornare il dispositivo da una versione di GAIA OS a una versione superiore su una macchina locale.
Per affrontare il primo problema, è utile solo il tool chiamato Management Server Migration Tool, o semplicemente Migration Tool. Per risolvere il problema n. 2 si può utilizzare la soluzione CPUSE o Migration Tool.
Esaminiamo più nel dettaglio entrambi i metodi.
Aggiornamento su un nuovo dispositivo
Migrazione del database prevede l'installazione dell'ultima versione di Management su una nuova macchina, e poi la migrazione del database dal server di gestione della sicurezza esistente al nuovo utilizzando lo strumento Migration Tool. Questo metodo minimizza il rischio di aggiornamento per la configurazione esistente.
Per migrare un database utilizzando il Migration Tool, è necessario soddisfare i requisiti:
- Lo spazio libero sul disco deve essere maggiore di cinque volte la dimensione dell'archivio del database esportato.
- Le impostazioni di rete sul server di destinazione devono corrispondere a quelle del server sorgente.
- Creazione di un backup. L'esportazione del database deve essere effettuata su un server remoto.
Il sistema operativo GAIA ha già installato lo strumento Migration Tool, che può essere utilizzato durante l'importazione del database o per la migrazione a una versione del sistema operativo identica a quella di origine. Per migrare il database a una versione superiore del sistema operativo, è necessario scaricare il Migration Tool della versione corrispondente dalla sezione ‘Strumenti’ nel sito di supporto Check Point R80.10: - Backup e migrazione del Server SmartEvent / SmartReporter. Gli strumenti ‘backup’ e ‘migrate export’ non includono i dati delle basi dati SmartEvent / SmartReporter.
Per il backup e la migrazione, è necessario utilizzare gli strumenti ‘eva_db_backup’ o ‘evs_backup’.
Nota: articolo sk110173 nel knowledge base di CheckPoint.
Vediamo quali funzioni contiene questo strumento:
Prima di procedere alla migrazione dei dati, è necessario prima estrarre lo strumento Migration Tool nella cartella “/opt/CPsuite-R77/fw1/bin/upgrade_tools/”. L'esportazione del database deve essere effettuata utilizzando i comandi dalla directory in cui hai estratto lo strumento.
Prima di eseguire il comando per l'esportazione o l'importazione, chiudi tutti i client SmartConsole oppure esegui cpstop sul Server di gestione della sicurezza.
Per creare un file di esportazione del database di gestione sul server di origine: Inizia creando il file di esportazione. Accedi alla modalità esperto.
- Esegui lo strumento di pre-verifica: pre_upgrade_verifier -p $FWDIR -c R77 -t R80.10. Se ci sono errori, correggili prima di procedere.
- Esegui: ./migrate export filename.tgz. Il comando esporta il contenuto del database del Server di gestione della sicurezza in un file TGZ.
- Segui le istruzioni. Il database viene esportato in un file che hai nominato nel comando. Assicurati di averlo definito come TGZ.
- Se SmartEvent è installato sul server di origine, esporta il database degli eventi.
- Se SmartEvent è installato sul server sorgente, esporta il database degli eventi.
Successivamente, importeremo i database del server di sicurezza che abbiamo esportato. Prima di iniziare: installa il R80 Security Management Server. Ti ricordo che le impostazioni di rete del nuovo Management Server R80.10 devono corrispondere alle impostazioni del vecchio server.
Per creare un file di esportazione del database di gestione sul server di origine: importa la configurazione del server di gestione:
- Esegui lo strumento di pre-verifica: pre_upgrade_verifier -p $FWDIR -c R77 -t R80.10. Se ci sono errori, correggili prima di procedere.
- Trasferisci (via FTP, SCP o simili) il file di configurazione esportato sul server remoto, composto da fonti sul nuovo server.
- Disconnetti il server sorgente dalla rete.
- Trasferisci il file di configurazione dal server remoto al nuovo server.
- Calcola l'MD5 per il file trasferito e confrontalo con l'MD5 calcolato sul server sorgente: # md5sum nomefile.tgz
- Importa il database: ./migrate import nomefile.tgz
- Verifica l'aggiornamento.
Al termine del punto 7, riassumiamo che la migrazione del database è stata completata con successo utilizzando lo strumento di migrazione. In caso di problemi, è sempre possibile riattivare il server sorgente, garantendo così che il lavoro non venga compromesso.
Va notato che la migrazione da un server standalone non è supportata.
Aggiornamento locale
CPUSE (Check Point Upgrade Service Engine) consente di aggiornare automaticamente i prodotti Check Point per il sistema operativo Gaia. I pacchetti di aggiornamento del software sono suddivisi in categorie, ovvero release principali, release minori e hotfix. Gaia trova e mostra automaticamente i pacchetti di aggiornamento del software e le immagini pertinenti alla versione del sistema operativo Gaia a cui è possibile aggiornare. Con CPUSE è possibile effettuare una nuova installazione pulita della nuova versione di GAIA OS, oltre a eseguire un aggiornamento del sistema con migrazione del database.
Per aggiornare a una versione più recente o eseguire una nuova installazione utilizzando CPUSE, sulla macchina deve esserci spazio libero (non allocato) sufficiente — almeno pari alla dimensione della partizione principale.
La transizione a una nuova versione avviene su una nuova partizione del disco rigido, mentre la 'vecchia' partizione viene convertita in Gaia Snapshot (il nuovo spazio di partizione viene prelevato dallo spazio non allocato sul disco rigido). Inoltre, prima di aggiornare il sistema, è consigliabile eseguire uno snapshot e caricarlo su un server remoto.
Processo di aggiornamento:
- Controlla il pacchetto di aggiornamento (se non lo hai già fatto) — verifica se è possibile installare questo pacchetto senza conflitti: fai clic con il tasto destro sul pacchetto e scegli "Verifier".
Il risultato dovrebbe essere circa questo:
- L'installazione è consentita
- L'aggiornamento è consentito
- Installa il pacchetto: fai clic con il tasto destro sul pacchetto e seleziona "Upgrade":
CPUSE mostra il seguente avviso nel Gaia Portal: Dopo questo aggiornamento, ci sarà un riavvio automatico (Le impostazioni esistenti del sistema operativo e il Database Check Point sono preservati). - Vedrai il progresso corrispondente della migrazione dei dati dopo l'aggiornamento a R80.10:
- Aggiornamento dei prodotti
- Importazione del database
- Configurazione dei prodotti
- Creazione dei dati SIC
- Arresto dei processi
- Avvio dei processi
- Installato, il test automatico è superato
- Il sistema si riavvierà automaticamente
- Installazione della politica in SmartConsole
Come vedi, tutto procede piuttosto semplicemente; in caso di problemi, puoi tornare alle vecchie impostazioni utilizzando lo snapshot creato.
Pratica
Il video tutorial presentato contiene una parte teorica e pratica. La prima metà del video ripete la parte teorica descritta, mentre nell'esempio pratico viene mostrata la migrazione dei dati utilizzando entrambi i metodi.
Conclusione
In questa lezione abbiamo esaminato le soluzioni di Check Point per l'aggiornamento e la migrazione dei database di oggetti e regole. Nel caso di un nuovo dispositivo, non ci sono alternative se non utilizzare lo strumento Migration Tool. Se desiderate eseguire l'aggiornamento a GAIA OS e avete la volontà e la possibilità di ripristinare la macchina, la nostra azienda consiglia, in base all'esperienza esistente, di migrare il database tramite Migration Tool. Questo metodo riduce al minimo il rischio di aggiornamento per la configurazione esistente rispetto a CPUSE. Inoltre, durante l'aggiornamento tramite CPUSE, molti file vecchi e non necessari vengono mantenuti sul disco e per rimuoverli è necessario uno strumento aggiuntivo, comportando ulteriori azioni e nuovi rischi.
Se non volete perdere le future lezioni, seguiteci nel nostro gruppo , e . Se per qualche motivo non siete riusciti a trovare il documento necessario o a risolvere il vostro problema con Check Point, non esitate a contattare .
Fonte: habr.com
