Duediera stata descritta la procedura di aggiornamento da R77.30 a R80.10. A proposito, a gennaio 2020 R77.30 è diventata una versione certificata da FSTEC. Tuttavia, in 2 anni in Check Point sono cambiate molte cose. Nell'articolo “ ” sono state descritte tutte le novità, molte delle quali. In questo articolo la procedura di aggiornamento sarà descritta in modo molto dettagliato.siete stati descritti. In questo articolo tratteremo separatamente l'aggiornamento del server di gestione e del gateway di sicurezza.
Come è noto, ci sono 2 varianti di implementazione di Check Point: Standalone e Distributed, cioè senza server di gestione dedicato o con uno. La variante Distributed è altamente raccomandata per diversi motivi:
si riduce il carico sulle risorse del gateway;
non è necessario programmare una finestra di manutenzione per eseguire lavori con il server di gestione;
funzionalità adeguata di SmartEvent, poiché nella variante Standalone difficilmente funzionerà;
è altamente raccomandato costruire un cluster di gateway in configurazione Distributed.
Tenendo presenti tutti i vantaggi della configurazione Distributed, considereremo l'aggiornamento del server di gestione e del gateway di sicurezza separatamente.
Aggiornamento del Security Management Server (SMS)
Ci sono 2 modi per aggiornare l'SMS:
utilizzando CPUSE (tramite Gaia Portal)
utilizzando Migration Tools (richiesta installazione pulita — installazione fresca)
L'aggiornamento tramite CPUSE non è raccomandato dai colleghi di Check Point, in quanto non aggiornerà la versione del file system e del kernel. Tuttavia, questo metodo non richiede migrazione delle politiche ed è molto più veloce e semplice rispetto al secondo metodo.
L'installazione pulita e la migrazione delle politiche utilizzando Migration Tools è il metodo raccomandato. Oltre ai nuovi file system e kernel, spesso accade che il database SMS si 'intasi', e un'installazione pulita in questo senso è un'ottima soluzione per aumentare la velocità di funzionamento del server.
1) Il primo passo in qualsiasi aggiornamento è la creazione di backup e snapshot. Se disponete di un server di gestione fisico, il backup dovrebbe essere effettuato tramite l'interfaccia web di Gaia Portal. Andate nella scheda Manutenzione > Backup di sistema > Backup. Dopodiché, indicate il luogo in cui salvare il backup. Può essere un server SCP, FTP, TFTP oppure localmente sul dispositivo, ma in questo caso dovrete successivamente copiare il backup sul server o sul computer.
Figura 1. Creazione di un backup nel Gaia Portal
2) Successivamente, è necessario creare uno snapshot nella scheda Manutenzione → Gestione Snapshot → Nuovo. La differenza tra i backup e gli snapshot è che gli snapshot contengono più informazioni, inclusi tutti i hotfix installati. Tuttavia, è meglio fare entrambe le operazioni.
Se il server di gestione è installato come macchina virtuale, si consiglia di eseguire un backup della macchina virtuale utilizzando gli strumenti integrati del hypervisor. È semplicemente più veloce e più sicuro.
Figura 2. Creazione di uno snapshot nel Gaia Portal
3) Salvare la configurazione del dispositivo dal Gaia Portal. È possibile fare uno screenshot di tutte le schede delle impostazioni disponibili nel Gaia Portal, oppure inserire il comando da Clish save configuration. Successivamente, prelevare il file con WinSCP o un altro client sul proprio PC.
Figura 3. Salvataggio della configurazione in un file di testo)
Nota: se WinSCP non consente la connessione, cambiare la shell dell'utente in /bin/bash, o nel web interface sotto la scheda Utenti, oppure inserendo il comando chsh –s /bin/bash.
Aggiornamento tramite CPUSE
4) I primi 3 passaggi sono obbligatori per qualsiasi opzione di aggiornamento. Se però si decide di seguire un percorso di aggiornamento più semplice, nella interfaccia web andare alla scheda Aggiornamenti (CPUSE) > Stato e Azioni > Versioni Maggiori > Check Point R80.40 Gaia Fresh Install and Upgrade. Fai clic con il tasto destro su questo aggiornamento e seleziona Verifier. Avvierà il processo di verifica per alcuni minuti, al termine dei quali vedrai un messaggio che indica che il dispositivo può essere aggiornato. Se vedi errori, è necessario correggerli.
Figura 4. Aggiornamento tramite CPUSE
5) Aggiorna all'ultima versione di CDT (Central Deployment Tool) — l'utilità che è in esecuzione sul server di gestione e consente di installare aggiornamenti, pacchetti di aggiornamento, gestire backup, snapshot, script e molto altro. Una versione obsoleta di CDT può causare problemi durante l'aggiornamento. Puoi scaricare CDT da .
6) Dopo aver posizionato l'archivio scaricato su SMS in qualsiasi directory tramite WinSCP, connettiti via SSH a SMS e accedi alla modalità esperto. Ricorda che l'utente di WinSCP deve avere la shell /bin/bash!
7) Inserisci i comandi:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv —force CPcdt-00-00.i386.rpm
Figura 5. Installazione di Central Deployment Tool (CDT)
8) Il passaggio successivo è installare l'immagine R80.40. Fai clic con il tasto destro sull'aggiornamento Download, poi Install. Tieni presente che l'aggiornamento richiede circa 20-30 minuti e il server di gestione non sarà disponibile per un certo periodo di tempo. Pertanto, ha senso concordare una finestra per la manutenzione.
9) Tutte le licenze e le politiche di sicurezza vengono mantenute, quindi successivamente dovresti scaricare il nuovo .
10) Collegati a SMS con la nuova SmartConsole e imposta le politiche di sicurezza. Il pulsante Install Policy si trova in alto a sinistra.
11) Il tuo SMS è aggiornato, ora devi installare l'ultimo hotfix. Nella scheda Upgrades (CPUSE) > Status and Actions > Hotfixes fai clic con il tasto destro del mouse su Verifier, quindi Install Update. Il dispositivo si riavvierà automaticamente dopo l'installazione dell'aggiornamento.
Figura 6. Installazione dell'ultimo hotfix tramite CPUSE
Aggiornamento con Migration Tools
4) Per iniziare, è necessario aggiornare anche alla versione più recente di CDT - punti 5, 6, 7 della sezione “Aggiornamento tramite CPUSE”.
5) Installa il pacchetto Migration Tools necessario per la migrazione delle politiche dal server di gestione. Qui puoi trovare Migration Tools per le versioni: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Dovresti scaricare Migration Tools per la versione alla quale desideri aggiornarti , e non quella che hai attualmente! Nel nostro caso si tratta di R80.40.6) Poi, nell'interfaccia web di SMS, vai sulla scheda
Upgrades (CPUSE) > Status and Actions > Import Package > Browse > Seleziona il file scaricato > Importa Figura 7. Importazione di Migration Tools.
7) Dalla modalità esperto su SMS, verifica che il pacchetto Migration Tools sia installato con il comando (l'output del comando deve corrispondere al numero nel nome dell'archivio Migration Tools):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Figura 8. Verifica dell'installazione di Migration Tools
8) Vai nella cartella $FWDIR/scripts sul server di gestione:
cd $FWDIR/scripts
9) Esegui il pre-upgrade verifier (script di verifica) con il comando (se ci sono errori, correggili prima di procedere ulteriormente):
./migrate_server verify -v R80.40
: se vedi l'errore
Nota“Failed to retrieve Upgrade Tools package” , ma hai verificato che l'archivio sia stato importato correttamente (vedi punto 4), usa il comando:./migrate_server verify -v R80.40 -skip_upgrade_tools_check
Figura 9. Esecuzione dello script di verifica
10) Esporta le politiche di sicurezza con il comando:
./migrate_server export -v R80.40 //.tgz
Figura 10. Esportazione delle politiche di sicurezza
, ma hai verificato che l'archivio sia stato importato correttamente (punto 7), usa il comando:
Nota“Failed to retrieve Upgrade Tools package” , ma hai verificato che l'archivio sia stato importato correttamente (vedi punto 4), usa il comando:./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
11) Calcola l'hash MD5 e salva l'output del comando:
md5sum //.tgz
Figura 11. Calcolo dell'hash MD5
12) Utilizza WinSCP per trasferire questo file sul tuo computer.
13) Inserisci il comando df -h e salva la percentuale delle directory in base allo spazio occupato.
Figura 12. Percentuale delle directory su SMS
14.1) Nel caso tu abbia un SMS reale
14.1.1) Utilizzando crea una chiavetta USB avviabile con l'immagine .
14.1.2) Ti consiglio di preparare almeno 2 chiavette avviabili, poiché a volte la chiavetta non viene letta.
14.1.3) Esegui ISOmorphic.exe come amministratore sul computer. Nel punto 1 seleziona l'immagine scaricata di Gaia R80.40 e nel punto 4 la chiavetta. Non è necessario modificare i punti 2 e 3. non serve!
Figura 13. Creazione della chiavetta avviabile
14.1.4) Seleziona l'opzione “Installa automaticamente senza conferma” ed è importante specificare il modello del tuo server di gestione. Nel caso di SMS, seleziona la 3 o 4 riga.
Figura 14. Selezione del modello del dispositivo per creare la chiavetta avviabile
14.1.5) Successivamente, spegni l'appliance, inserisci la chiavetta nella porta USB, collegati con un cavo console tramite la porta COM al dispositivo e accendi l'SMS. Il processo di installazione avviene automaticamente. L'indirizzo IP predefinito è 192.168.1.1/24, e i dati per l'accesso admin / admin.
14.1.6) Nella fase successiva devi connetterti all'interfaccia web su Gaia Portal (l'indirizzo predefinito ), dove esegui l'inizializzazione del dispositivo. Durante l'inizializzazione dovrai principalmente premere Avanti, poiché puoi modificare quasi tutte le impostazioni in futuro. Tuttavia, puoi subito cambiare l'indirizzo IP, le impostazioni DNS e il nome host.
14.2) Nel caso tu abbia un SMS virtuale
14.2.1) Non devi assolutamente rimuovere il vecchio SMS, crea una nuova macchina virtuale con le stesse risorse (CPU, RAM, HDD) e lo stesso indirizzo IP. Infatti, puoi aumentare RAM e HDD, poiché la versione R80.40 è un po' più esigente. Per evitare conflitti di indirizzo IP, spegni il vecchio SMS e inizia l'installazione del nuovo.
14.2.2) Durante l'installazione di Gaia, imposta l'indirizzo IP attuale e assegna alla directory /root uno spazio adeguato. La percentuale delle directory dovrebbe rimanere approssimativamente la stessa, utilizza l'output df -h.
15) Al momento della selezione del tipo di installazione “Tipo di installazione” scegliere la prima opzione, poiché probabilmente non si dispone di MDS (Multi-Domain Server). Se si dispone di MDS, significa che si è gestito più di un dominio da entità SMS diverse contemporaneamente. In questo caso, si dovrebbe scegliere la seconda opzione.
Figura 15. Selezione del tipo di installazione di Gaia
16) Il punto più importante, che non può essere corretto senza reinstallazione, è la scelta dell'entità. Si prega di selezionare Security Management e fare clic su Avanti. Poi tutto di default.
Figura 16. Selezione del tipo di entità durante l'installazione di Gaia
17) Non appena il dispositivo si riavvia, connettiti all'interfaccia web su o su un altro indirizzo IP, se lo hai cambiato.
18) Trasferisci le impostazioni dagli screenshot in tutte le schede del Gaia Portal, in cui è stato configurato qualcosa, o esegui il comando load configuration .txt. Questo file di configurazione deve essere caricato precedentemente su SMS.
Nota: Poiché il sistema operativo è nuovo, WinSCP non consentirà di connettersi come admin, cambia la shell dell'utente in /bin/bash sia nell'interfaccia web nella scheda Utenti, sia digitando il comando chsh –s /bin/bash oppure crea un nuovo utente.
19) Carica in qualsiasi directory il file con le politiche esportate dal vecchio server di gestione. Poi accedi alla console in modalità esperto e verifica che il checksum MD5 corrisponda a quello precedente. In caso contrario, l'esportazione deve essere effettuata nuovamente:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Ripeti il punto 6 e installa gli Upgrade Tools sul nuovo SMS nel Gaia Portal nella scheda Aggiornamenti (CPUSE) > Stato e Azioni.
21) Inserisci il comando in modalità esperto:
./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz
Figura 17. Importazione della politica di sicurezza sul nuovo SMS
22) Abilita i servizi con il comando cpstart.
23) Scarica il nuovo e connettiti al server di gestione. Vai su Menu > Gestisci Licenze e Pacchetti (SmartUpdate) e controlla che la tua licenza sia ancora valida.
Figura 18. Controllo delle licenze installate
24) Imposta la politica di sicurezza sul gateway o cluster — Install Policy.
Aggiornamento del Security Gateway (SG)
Il gateway di sicurezza può essere aggiornato tramite CPUSE, proprio come il server di gestione, oppure reinstallato — installazione fresca. Dalla mia esperienza il 99% delle volte si reinstallano completamente i Security Gateway poiché richiede praticamente lo stesso tempo dell'aggiornamento tramite CPUSE, ma si ottiene un sistema operativo pulito e aggiornato senza bug.
Analogamente a SMS, è prima necessario creare un backup e uno snapshot, oltre a salvare le impostazioni dal Gaia Portal. Fare riferimento ai punti 1, 2 e 3 nella sezione «Aggiornamento del Security Management Server».
Aggiornamento tramite CPUSE
L'aggiornamento del Security Gateway tramite CPUSE avviene esattamente come l'aggiornamento del Security Management Server, quindi, consulta l'inizio dell'articolo.
Un aspetto importante: l'aggiornamento di SG richiede un riavvio! Pertanto, effettua l'aggiornamento durante una finestra di manutenzione. Se hai un cluster, aggiorna prima il nodo passivo, poi commuta i ruoli e aggiorna l'altro nodo. Nel caso di un cluster, è possibile evitare le finestre di manutenzione.
Installazione di una nuova versione del sistema operativo sul Security Gateway
1.1) Nel caso in cui tu abbia un SG reale
1.1.1) Utilizzando crea una chiavetta USB avviabile con l'immagine . L'immagine è la stessa di quella su SMS, ma la procedura per creare la chiavetta di avvio appare leggermente diversa.
1.1.2) Raccomando di preparare almeno 2 chiavette di avvio, poiché a volte non viene letta la chiavetta.
1.1.3) Da un account amministratore sul computer, avvia ISOmorphic.exe come amministratore sul computer. Nel punto 1 seleziona l'immagine scaricata di Gaia R80.40 e nel punto 4 la chiavetta. Non è necessario modificare i punti 2 e 3. non serve!
Figura 19. Creazione della chiavetta di avvio
1.1.4) Seleziona l'opzione “Installa automaticamente senza conferma”, ed è importante specificare il modello del tuo Security Gateway — riga 2 o 3. Se si tratta di una sandbox fisica (SandBlast Appliance), scegli la riga 5.
Figura 20. Selezione del modello del dispositivo per creare la chiavetta di avvio
1.1.5) Successivamente, spegni l'appliance, inserisci la chiavetta nella porta USB, connettiti tramite un cavo console attraverso la porta COM al dispositivo e accendi il gateway. Il processo di installazione procede automaticamente. L'indirizzo IP predefinito è 192.168.1.1/24, e i dati per l'accesso admin / admin. Per prima cosa, è necessario aggiornare il nodo passivo, quindi applica la policy su di esso, commuta i ruoli e poi aggiorna l'altro nodo. Probabilmente sarà necessaria una finestra di manutenzione.
1.1.6) Il passo successivo è collegarti all'interfaccia web su Gaia Portal, dove esegui la prima inizializzazione del dispositivo. Durante l'inizializzazione, premi principalmente Avanti, poiché puoi modificare quasi tutte le impostazioni in futuro. Tuttavia, puoi subito cambiare l'indirizzo IP, le impostazioni DNS e il nome host.
1.2) Nel caso in cui tu abbia un SG virtuale
1.2.1) Crea una nuova macchina virtuale con le stesse risorse (CPU, RAM, HDD) o superiori, poiché la versione R80.40 è leggermente più esigente. Per evitare conflitti con gli indirizzi IP, spegni il vecchio gateway e inizia l'installazione del nuovo con lo stesso indirizzo IP. Puoi eliminare tranquillamente il vecchio SG, poiché non contiene nulla di prezioso, dato che tutto ciò che è fondamentale — la policy di sicurezza — si trova sul server di gestione.
1.2.2) Durante l'installazione del sistema operativo, configura l'indirizzo IP attuale e riserva per la directory /root uno spazio adeguato.
3) Collegati al gateway tramite la porta HTTPS e inizia il processo di inizializzazione. Nella fase di selezione del tipo di installazione “Tipo di installazione” seleziona la prima opzione — Security Gateway e/o Security Management.
Figura 21. Selezione del tipo di installazione Gaia
4) Un momento cruciale — la selezione dell'entità (Products). È necessario selezionare Security Gateway e, se hai un cluster, spuntare la casella “Unit is a part of a cluster, type: ClusterXL”. Se hai un cluster VRRP, seleziona quel tipo, ma è poco probabile.
Figura 22. Selezione del tipo di entità durante l'installazione di Gaia
5) Nella fase successiva, imposta una password SIC temporanea per stabilire la fiducia con il server di gestione. Questa password genererà un certificato, e tramite un canale crittografato il server di gestione comunicherà con il gateway. La casella “Connect to your Management as a Service” dovrebbe essere spuntata se il server di gestione è ospitato nel cloud. Abbiamo recentemente scritto su questo e su quanto sia comodo e semplice gestire un server in cloud.
Figura 23. Creazione del SIC
6) Inizia il processo di inizializzazione nella scheda successiva. Non appena il dispositivo si riavvia, collegati all'interfaccia web e riempi le impostazioni dalle schermate in tutte le schede del Gaia Portal in cui è stata effettuata una configurazione, oppure esegui il comando load configuration .txt. Questo file di configurazione deve essere precedentemente caricato sul gateway di sicurezza.
Nota: Poiché il sistema operativo è nuovo, WinSCP non consentirà di connettersi come admin, cambia la shell dell'utente in /bin/bash sia nell'interfaccia web nella scheda Utenti, sia digitando il comando chsh –s /bin/bash oppure crea un nuovo utente con tale shell.
7) Apri e accedi all'oggetto gateway di sicurezza che hai appena reinstallato. Vai alla scheda General Properties > Communication > Reset SIC e inserisci la password impostata al punto 5.
Figura 24. Stabilire la fiducia con il nuovo gateway di sicurezza
8) La versione Gaia dell'oggetto dovrebbe cambiare, se non cambia, modificala manualmente. Quindi imposta la policy sul gateway.
9) Nel Gaia Portal, vai alla scheda Upgrades (CPUSE) > Status and Actions > Hotfixes e installa l'ultimo hotfix. Il dispositivo saranno riavviato durante l'installazione! 10) In caso di cluster, cambia i ruoli dei nodi e ripeti gli stessi passaggi per l'altro nodo.
Ho cercato di creare una guida chiara e comprensiva per l'aggiornamento dalla versione R80.20/R80.30 all'attuale R80.40, poiché molte cose sono cambiate. La versione
Conclusione
Gaia R81 puoi comprendere anche tu tutte le complessità. di Check Point.
Per qualsiasi domanda, puoi contattarci. Siamo felici di aiutarti con gli aggiornamenti più complessi e i casi all'interno del nostro supporto tecnico . Inoltre, sul nostro c'è la possibilità di richiedere un audit delle impostazioni di Check Point o di lasciare una richiesta gratuita per un caso tecnico.
. Seguite gli aggiornamenti (, , , , ).
Fonte: habr.com
