הליך השדרוג של Check Point מ-R80.20/R80.30 ל-R80.40

Bolеלפני שנתיים כתבנו שכל מנהל צ'ק פוינט מתמודד במוקדם או במאוחר בבעיה של עדכון לגרסה חדשה. בזה статье תואר שדרוג מגרסה R77.30 ל-R80.10. אגב, בינואר 2020, R77.30 הפך לגרסה מוסמכת של FSTEC. עם זאת, הרבה השתנה בצ'ק פוינט בשנתיים. במאמר "צ'ק פוינט גאיה R80.40. מה חדש?” מתאר את כל החידושים, שיש רבים מהם. מאמר זה יתאר את הליך העדכון בפירוט רב ככל האפשר. 

כידוע, ישנן 2 אפשרויות להטמעת צ'ק פוינט: Standalone ו-Distributed, כלומר ללא שרת ניהול ייעודי ועם שרת ייעודי. האפשרות המבוזרת מומלצת מאוד מכמה סיבות:

• העומס על משאבי השער ממוזער;

• אינך צריך לתזמן חלון תחזוקה כדי לעבוד על שרת הניהול;

• פעולה נאותה של SmartEvent, מכיוון שלא סביר שהוא יעבוד בגרסה העצמאית;

• מומלץ מאוד לבנות אשכול שערים בתצורת ה-Distributed.

בהתחשב בכל היתרונות של התצורה המבוזרת, נשקול לשדרג בנפרד את שרת הניהול ואת שער האבטחה.

עדכון שרת ניהול אבטחה (SMS).

ישנן 2 דרכים לעדכן SMS:

• דרך CPUSE (דרך Gaia Portal)

• с помощью Migration Tools (требуется чистая установка — טרי להתקין)

עדכון באמצעות CPUSE אינו מומלץ על ידי עמיתים בצ'ק פוינט מכיוון שהוא לא יעדכן את גרסת מערכת הקבצים והקרנל שלך. עם זאת, שיטה זו אינה מצריכה הגירה של מדיניות והיא הרבה יותר מהירה ופשוטה מהשיטה השנייה.

השיטה המומלצת היא התקנה והעברה נקיים של מדיניות באמצעות כלי Migration. בנוסף למערכת הקבצים החדשה ולקרנל מערכת ההפעלה, קורה לא פעם שמסד הנתונים של ה-SMS נסתם, והתקנה נקייה בהקשר זה היא פתרון מצוין להוספת מהירות לשרת.

1) השלב הראשון בכל עדכון הוא יצירת גיבויים ותמונות מצב. אם יש לך שרת ניהול פיזי, אז יש לבצע גיבוי מממשק האינטרנט של Gaia Portal. עבור אל הכרטיסייה תחזוקה > גיבוי מערכת > גיבוי. לאחר מכן, אתה מציין את המיקום לשמירת הגיבוי. זה יכול להיות שרת SCP, FTP, TFTP או מקומי במכשיר, אבל אז תצטרך להעלות את הגיבוי הזה לשרת או למחשב מאוחר יותר.

איור 1. יצירת גיבוי ב- Gaia Portal

2) לאחר מכן עליך לצלם תמונת מצב בלשונית תחזוקה ← ניהול תמונת מצב ← חדש. ההבדל בין גיבויים לתצלומי מצב הוא שתצלומי מצב מאחסנים מידע נוסף, כולל כל התיקונים החמים המותקנים. עם זאת, עדיף לעשות את שניהם.

אם שרת הניהול שלך מותקן כמכונה וירטואלית, אז מומלץ לבצע גיבוי של המכונה הוירטואלית באמצעות כלי ההיפרוויזר המובנים. זה פשוט מהיר יותר ואמין יותר.

איור 2. יצירת תמונת מצב בפורטל גאיה

3) שמור את תצורת המכשיר מפורטל גאיה. אתה יכול לצלם מסך את כל לשוניות ההגדרות שנמצאות ב- Gaia Portal, או להזין את הפקודה מ-Clish לשמור תצורה. לאחר מכן, קח את הקובץ למחשב שלך באמצעות WinSCP או לקוח אחר.

איור 3. שמירת התצורה לקובץ טקסט)

שים לב: אם WinSCP לא מאפשר לך להתחבר, שנה את מעטפת המשתמש ל-/bin/bash בממשק האינטרנט בלשונית Users, או על ידי הזנת הפקודה chsh –s /bin/bash.

עדכון עם CPUSE

4) 3 השלבים הראשונים הם חובה עבור כל אפשרות עדכון. אם תחליט לקחת נתיב עדכון פשוט יותר, אז בממשק האינטרנט עבור אל הכרטיסייה שדרוגים (CPUSE) > מצב ופעולות > גרסאות עיקריות > Check Point R80.40 Gaia Fresh התקנה ושדרוג. לחץ לחיצה ימנית על עדכון זה ובחר מאמת. תהליך האימות יתחיל למשך מספר דקות ולאחר מכן תראה הודעה שניתן לעדכן את המכשיר. אם אתה רואה שגיאות, יש לתקן אותן.

איור 4. עדכון באמצעות CPUSE

5) עדכון לגרסה העדכנית ביותר של CDT (Central Deployment Tool) - כלי עזר הפועל על שרת הניהול ומאפשר התקנת עדכונים, Service Packs, ניהול גיבויים, תמונות snapshot, סקריפטים ועוד ועוד. גרסת CDT לא מעודכנת עלולה לגרום לבעיות בעדכון. אתה יכול להוריד CDT ב קשר.

6) לאחר הצבת הארכיון שהורד ב-SMS בכל ספרייה דרך WinSCP, התחבר באמצעות SSH ל-SMS והיכנס למצב מומחה. תן לי להזכיר לך שלמשתמש WinSCP חייב להיות מעטפת / bin / bash!

7) הזן את הפקודות: 

cd /somepathtoCDT/

tar -zxvf .tgz

rpm -Uhv —force CPcdt-00-00.i386.rpm

איור 5. התקנת כלי הפריסה המרכזית (CDT)

8) השלב הבא הוא התקנת תמונת R80.40. קליק ימני על עדכון הורד, אז התקן. זכור שהעדכון ייקח 20-30 דקות ושרת הניהול לא יהיה זמין למשך זמן מה. לכן, הגיוני להסכים על חלון שירות.

9) כל הרישיונות ומדיניות האבטחה נשמרים, אז בשלב הבא עליך להוריד אחד חדש SmartConsole R80.40.

10) התחבר ל-SMS SmartConsole החדש והגדר מדיניות אבטחה. לַחְצָן התקנת מדיניות בפינה השמאלית העליונה.

11) ה-SMS שלך עודכן, אז עליך להתקין את התיקון החם האחרון. בכרטיסייה שדרוגים (CPUSE) > מצב ופעולות > תיקונים חמים לחץ על לחצן העכבר הימני אימותאז התקן עדכון. המכשיר יאתחל את עצמו לאחר התקנת העדכון.

איור 6. התקנת התיקון החם האחרון באמצעות CPUSE

עדכון באמצעות כלי העברה

4) ראשית, עליך לעדכן גם לגרסה העדכנית ביותר של CDT - נקודות 5, 6, 7 מהסעיף "עדכן באמצעות CPUSE."

5) התקן את חבילת כלי ההגירה הדרושה להעברת מדיניות משרת הניהול. לפי זה קשר אתה יכול למצוא כלי העברה עבור גרסאות: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. עליך להוריד את כלי הגירה של הגרסה אליו אתה רוצה לעדכן, ולא זה שיש לך עכשיו! במקרה שלנו זה R80.40.

6) הבא בממשק האינטרנט SMS עבור ללשונית שדרוגים (CPUSE) > מצב ופעולות > ייבוא ​​חבילה > עיון > בחר את הקובץ שהורדת > ייבוא.

איור 7. ייבוא ​​כלי הגירה

7) ממצב מומחה ב-SMS, בדוק שחבילת כלי המיגרציה מותקנת באמצעות הפקודה (פלט הפקודה חייב להתאים למספר בשם של ארכיון כלי ההגירה):

cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1

איור 8. אימות התקנת כלי ההעברה

8) עבור לתיקיית $FWDIR/scripts בשרת הניהול:

cd $FWDIR/סקריפטים

9) הפעל את המאמת שלפני השדרוג באמצעות הפקודה (אם יש שגיאות, תקן אותן לפני שלבים נוספים):

./migrate_server verify -v R80.40

שים לב: אם אתה רואה שגיאה "כשל באחזור חבילת כלי השדרוג", אבל בדקת שהארכיון יובא בהצלחה (ראה נקודה 4), השתמש בפקודה:

./migrate_server verify -v R80.40 -skip_upgrade_tools_check

איור 9. הפעלת סקריפט האימות

10) ייצא מדיניות אבטחה באמצעות הפקודה:

./migrate_server export -v R80.40 / / .tgz

איור 10. ייצוא מדיניות אבטחה

שים לב: אם אתה רואה שגיאה "כשל באחזור חבילת כלי השדרוג", אבל בדקת שהארכיון יובא בהצלחה (שלב 7), השתמש בפקודה:

./migrate_server export -skip_upgrade_tools_check -v R80.40 / / .tgz

11) חשב את סכום הגיבוב של MD5 ושמור את הפלט של הפקודה:

md5sum / / .tgz

איור 11. חישוב סכום גיבוב MD5

12) באמצעות WinSCP, העבר קובץ זה למחשב שלך.

13) הזן את הפקודה df-h ותחסוך לעצמך את אחוז הספריות על סמך השטח התפוס.

איור 12. אחוז הספריות ל-SMS

14.1) למקרה שיש לך SMS אמיתי

14.1.1) באמצעות כלי איזומורפי נוצר כונן הבזק מסוג USB הניתן לאתחול עם תמונה גאיה R80.40. 

14.1.2) אני ממליץ להכין לפחות 2 כונני הבזק הניתנים לאתחול, מכיוון שקורה שכונן הבזק לא תמיד קריא. 

14.1.3) כמנהל מערכת במחשב שלך, הפעל ISOmorphic.exe. בשלב 1, בחר את התמונה שהורדת של Gaia R80.40, בשלב 4 את כונן ההבזק. שנה את נקודות 2 ו-3 לא!

איור 13. יצירת כונן הבזק מסוג USB הניתן לאתחול

14.1.4) בחר פריט "התקן אוטומטית ללא אישור" וחשוב לציין את הדגם של שרת הניהול שלך. במקרה של SMS, יש לבחור בשורה 3 או 4.

איור 14. בחירת דגם התקן ליצירת כונן הבזק USB הניתן לאתחול

14.1.5) לאחר מכן, מכבים את ה-upline, מכניסים את כונן ההבזק ליציאת ה-USB, מחברים את כבל הקונסולה דרך יציאת ה-COM למכשיר ומפעילים SMS. תהליך ההתקנה מתרחש באופן אוטומטי. כתובת IP ברירת מחדל - 192.168.1.1/24, ופרטי התחברות מנהל / admin.

14.1.6) השלב הבא הוא להתחבר לממשק האינטרנט בפורטל גאיה (כתובת ברירת המחדל https://192.168.1.1), שבו אתה עובר אתחול המכשיר. במהלך האתחול אתה בעצם לוחץ בשלב הבא, כי כמעט כל ההגדרות ניתנות לשינוי בעתיד. עם זאת, אתה יכול לשנות מיד את כתובת ה-IP, הגדרות ה-DNS ושם המארח.

14.2) למקרה שיש לך SMS וירטואלי

14.2.1) בשום פנים ואופן אין למחוק את ה-SMS הישן; צור מכונה וירטואלית חדשה עם אותם משאבים (CPU, RAM, HDD) ואותה כתובת IP. אגב, אתה יכול להוסיף זיכרון RAM ו-HDD, מכיוון שגרסת ה-R80.40 קצת יותר תובענית. כדי למנוע התנגשויות כתובות IP, כבה את ה-SMS הישן והתחל להתקין חדש.

14.2.2) במהלך ההתקנה של Gaia, הגדר את כתובת ה-IP הנוכחית ובחר ספרייה / שורש כמות מספקת של מקום. אחוז הספריות שיש לך צריך להיות בערך לִשְׂרוֹד, השתמש בפלט df-h.

15) ברגע בחירת סוג ההתקנה "סוג התקנה" בחר באפשרות הראשונה, מכיוון שסביר להניח שאין לך MDS (שרת מרובה דומיינים). אם MDS, אז ניהלתם דומיינים רבים מישויות SMS שונות בו-זמנית. במקרה זה, עליך לבחור את הפריט השני.

איור 15. בחירת סוג ההתקנה של Gaia

16) הנקודה החשובה ביותר שלא ניתן לתקן ללא התקנה מחדש היא בחירת הישות. צריך לבחור ניהול אבטחה ולחץ הבא. כל השאר כברירת מחדל.

איור 16. בחירת סוג ישות בעת התקנת Gaia

17) לאחר אתחול המכשיר, התחבר לממשק האינטרנט באמצעות https://192.168.1.1 או כתובת IP אחרת אם שינית אותה.

18) העבר את ההגדרות מצילומי המסך לכל הכרטיסיות של Gaia Portal שבהן הוגדר משהו, או הפעל את הפקודה מ-clish תצורת עומס .טקסט. תחילה יש להעלות את קובץ התצורה הזה ל-SMS.

שים לב: בשל העובדה שמערכת ההפעלה חדשה, WinSCP לא תאפשר לך להתחבר כמנהל, לשנות את מעטפת המשתמש ל-/bin/bash או בממשק האינטרנט בלשונית Users, או על ידי הזנת הפקודה chsh –s /bin/bash או ליצור משתמש חדש.

19) העלה את הקובץ עם מדיניות מיוצאת משרת הניהול הישן לכל ספרייה. לאחר מכן עבור לקונסולה במצב מומחה ובדקו שכמות הגיבוב של MD5 תואמת לקודם. אחרת, הייצוא צריך להתבצע שוב:

אני md5 / / .tgz

20) חזור על שלב 6 והתקן את כלי השדרוג ב-SMS החדש ב- Gaia Portal בלשונית שדרוגים (CPUSE) > סטטוס ופעולות.

21) הזן את הפקודה במצב מומחה:

./migrate_server import -v R80.40 -skip_upgrade_tools_check / / .tgz

איור 17. ייבוא ​​מדיניות אבטחה ל-SMS חדש

22) אפשר שירותים עם הפקודה cpstart.

23) הורד אחד חדש SmartConsole R80.40 ולהתחבר לשרת הניהול. לך ל תפריט > נהל רישיונות וחבילות (SmartUpdate) ותבדוק שעדיין יש לך את הרישיון שלך.

איור 18. בדיקת רישיונות מותקנים

24) הגדר את מדיניות האבטחה בשער או באשכול - התקנת מדיניות.

עדכון שער אבטחה (SG).

ניתן לעדכן את שער האבטחה באמצעות CPUSE, בדיוק כמו שרת הניהול, או להתקין שוב - טרי להתקין. מניסיוני, ב-99% מהמקרים כולם מתקינים מחדש את Security Gateway בשל העובדה שזה לוקח כמעט אותו זמן כמו עדכון דרך CPUSE, אבל אתה מקבל מערכת הפעלה נקייה ומעודכנת ללא באגים.

באנלוגיה ל-SMS, תחילה עליך ליצור גיבוי ותמונת מצב, וגם לשמור את ההגדרות מפורטל גאיה. עיין בנקודות 1, 2 ו-3 בסעיף "עדכון שרת ניהול אבטחה".

עדכון עם CPUSE

עדכון שער האבטחה באמצעות CPUSE זהה לחלוטין לעדכון שרת ניהול האבטחה, אז אנא עיין בתחילת המאמר.

נקודה חשובה: נדרש עדכון SG אתחול מחדש! לכן, עדכן במהלך חלון התחזוקה. אם יש לך אשכול, שדרג תחילה את הצומת הפסיבי, לאחר מכן החלף תפקידים ושדרג את הצומת השני. במקרה של אשכול, ניתן להימנע מחלונות תחזוקה.

התקנת גרסת מערכת הפעלה חדשה בשער אבטחה

1.1) למקרה שיש לך SG אמיתי

1.1.1) באמצעות כלי איזומורפי נוצר כונן הבזק מסוג USB הניתן לאתחול עם תמונה גאיה R80.40. התמונה זהה ל-SMS, אבל ההליך ליצירת כונן הבזק הניתן לאתחול נראה קצת שונה.

1.1.2) אני ממליץ להכין לפחות 2 כונני הבזק הניתנים לאתחול, מכיוון שקורה שכונן הבזק לא תמיד קריא. 

1.1.3) כמנהל מערכת במחשב שלך, הפעל ISOmorphic.exe. בשלב 1, בחר את התמונה שהורדת של Gaia R80.40, בשלב 4 את כונן ההבזק. שנה את נקודות 2 ו-3 לא!

איור 19. יצירת כונן הבזק מסוג USB הניתן לאתחול

1.1.4) בחר פריט "התקן אוטומטית ללא אישור", וחשוב לציין את הדגם של שער האבטחה שלך - שורות 2 או 3. אם זה ארגז חול פיזי (SandBlast Appliance), אז בחר שורה 5.

איור 20. בחירת דגם התקן ליצירת כונן הבזק USB הניתן לאתחול

1.1.5) לאחר מכן, מכבים את ה-upline, מכניסים את כונן הבזק ליציאת ה-USB, מחברים את כבל הקונסולה דרך יציאת ה-COM למכשיר ומפעילים את השער. תהליך ההתקנה מתרחש באופן אוטומטי. כתובת IP ברירת מחדל - 192.168.1.1/24, ופרטי התחברות מנהל / admin. כדאי לעדכן קודם צומת פסיבי, לאחר מכן התקן עליו מדיניות, החלף תפקידים ולאחר מכן עדכן צומת אחר. סביר להניח שתזדקק לחלון שירות.

1.1.6) השלב הבא הוא חיבור לממשק האינטרנט בפורטל גאיה, שם עוברים את האתחול הראשון של המכשיר. במהלך האתחול אתה בעצם לוחץ בשלב הבא, כי כמעט כל ההגדרות ניתנות לשינוי בעתיד. עם זאת, אתה יכול לשנות מיד את כתובת ה-IP, הגדרות ה-DNS ושם המארח.

1.2) במקרה שיש לך SG וירטואלי

1.2.1) צור מכונה וירטואלית חדשה עם אותם משאבים (CPU, RAM, HDD) או יותר, מכיוון שגרסת R80.40 היא קצת יותר תובענית. כדי למנוע התנגשות בין כתובות IP, כבה את השער הישן והתחל להתקין אחד חדש עם אותה כתובת IP. ניתן למחוק את ה-SG הישן בבטחה, מכיוון שאין בו שום דבר בעל ערך, מכיוון שכל הדברים החשובים ביותר - מדיניות האבטחה - נמצאים בשרת הניהול.

1.2.2) במהלך התקנת מערכת ההפעלה, הגדר את כתובת ה-IP הנוכחית ובחר ספרייה / שורש כמות מספקת של מקום.

3) התחבר לשער דרך יציאת HTTPS והתחל בתהליך האתחול. בזמן בחירת סוג ההתקנה "סוג התקנה" בחר באפשרות הראשונה - שער אבטחה ו/או ניהול אבטחה.

איור 21. בחירת סוג התקנה של Gaia

4) הנקודה החשובה ביותר היא בחירת הישות (מוצרים). צריך לבחור שער אבטחה ואם יש לך אשכול, סמן את התיבה "היחידה היא חלק מאשכול, סוג: ClusterXL". אם יש לך אשכול VRRP, בחר בסוג זה, אבל זה לא סביר.

איור 22. בחירת סוג ישות בעת התקנת Gaia

5) בשלב הבא, הגדר את סיסמת ה-SIC החד פעמית כדי ליצור אמון עם שרת הניהול. באמצעות סיסמה זו נוצר אישור ושרת הניהול יתקשר עם השער דרך ערוץ תקשורת מוצפן. סימן ביקורת "התחבר לניהול כשירות שלך" יש להגדיר אם שרת הניהול ממוקם בענן. רק לאחרונה כתבנו על זה מאמר ועד כמה נוח ופשוט שרת ניהול הענן.

איור 23. יצירת SIC

6) התחל את תהליך האתחול בכרטיסייה הבאה. ברגע שהמכשיר מאתחל מחדש, התחבר לממשק האינטרנט והעביר את ההגדרות מצילומי המסך לכל הלשוניות של Gaia Portal שבהן הוגדר משהו, או הפעל את הפקודה מ-clish תצורת עומס .טקסט. תחילה יש להעלות את קובץ התצורה הזה לשער האבטחה.

שים לב: בשל העובדה שמערכת ההפעלה חדשה, WinSCP לא תאפשר לך להתחבר כמנהל, לשנות את מעטפת המשתמש ל-/bin/bash או בממשק האינטרנט בלשונית Users, או על ידי הזנת הפקודה chsh –s /bin/bash או צור משתמש חדש עם מעטפת זו.

7) פתח SmartConsole R80.40 והיכנס לאובייקט Security Gateway שזה עתה התקנת מחדש. פתח את הכרטיסייה מאפיינים כלליים > תקשורת > אפס SIC והזן את הסיסמה שצוינה בשלב 5.

איור 24: יצירת אמון עם שער האבטחה החדש

8) גרסת Gaia של האובייקט צריכה להשתנות, אם היא לא משתנה, אז שנה אותה באופן ידני. לאחר מכן התקן את המדיניות על השער.

9) בפורטל גאיה, עבור ללשונית שדרוגים (CPUSE) > מצב ופעולות > תיקונים חמים והתקן את התיקון החם האחרון. המכשיר ייכנס לְאַתחֵל תוך כדי התקנה!

10) במקרה של אשכול, שנה את התפקידים של הצמתים ובצע את אותם השלבים עבור צומת אחר.

מסקנה

ניסיתי להכין את המדריך הכי ברור ומקיף לשדרוג מגרסה R80.20/R80.30 ל-R80.40 הנוכחי, מאז הרבה השתנה. גִרְסָה גאיה R81 כבר הופיע במצב הדגמה, אבל הליך העדכון נשאר פחות או יותר זהה. בהנחיית הפקיד להנחות מצ'ק פוינט, אתה יכול להבין את כל הפרטים בעצמך.

לכל שאלה ניתן לפנות אלינו. נשמח לסייע בעדכונים ובמקרים המורכבים ביותר כחלק מהתמיכה הטכנית שלנו CPSupport. גם אצלנו מקוון אפשר להזמין ביקורת של הגדרות צ'ק פוינט או להשאיר בחינם בקשה למקרה טכני.

מבחר גדול של חומרים בצ'ק פוינט מבית TS Solution. המשך לעקוב (מברק, פייסבוק, VK, בלוג פתרונות TS, יאנדקס זן).

מקור: www.habr.com