Check Point-ის განახლების პროცედურა R80.20/R80.30-დან R80.40-მდე

ბოლеორი წლის წინ ჩვენ დავწერეთ, რომ ყოველი Check Point ადმინისტრატორი ადრე თუ გვიან აწყდება ახალ ვერსიაზე განახლების პრობლემას. Ამაში მუხლი აღწერილი იყო განახლება R77.30 ვერსიიდან R80.10-მდე. სხვათა შორის, 2020 წლის იანვარში R77.30 გახდა FSTEC-ის სერტიფიცირებული ვერსია. თუმცა, ჩეკ პოინტში ბევრი რამ შეიცვალა 2 წელიწადში. სტატიაში "Check Point Gaia R80.40. Რა არის ახალი?” აღწერს ყველა სიახლეს, რომელთაგან ბევრია. ეს სტატია მაქსიმალურად დეტალურად აღწერს განახლების პროცედურას. 

მოგეხსენებათ, არსებობს Check Point-ის დანერგვის 2 ვარიანტი: დამოუკიდებელი და განაწილებული, ანუ გამოყოფილი მართვის სერვერის გარეშე და გამოყოფილი სერვერით. განაწილებული ვარიანტი რეკომენდირებულია რამდენიმე მიზეზის გამო:

• კარიბჭის რესურსებზე დატვირთვა მინიმუმამდეა დაყვანილი;

• მენეჯმენტ სერვერზე მუშაობისთვის არ გჭირდებათ ტექნიკური ფანჯრის დაგეგმვა;

• SmartEvent-ის ადეკვატური ფუნქციონირება, რადგან ნაკლებად სავარაუდოა, რომ ის იმუშაოს დამოუკიდებელ ვერსიაში;

• რეკომენდირებულია კარიბჭეების კლასტერის შექმნა განაწილებულ კონფიგურაციაში.

განაწილებული კონფიგურაციის ყველა უპირატესობის გათვალისწინებით, განვიხილავთ მართვის სერვერის და უსაფრთხოების კარიბჭის განახლებას ცალკე.

უსაფრთხოების მართვის სერვერის (SMS) განახლება

SMS-ის განახლების 2 გზა არსებობს:

• CPUSE-ის საშუალებით (გაია პორტალის მეშვეობით)

• მიგრაციის ინსტრუმენტების გამოყენებით (საჭიროა სუფთა ინსტალაცია - ახალი ინსტალაცია)

CPUSE-ის გამოყენებით განახლება არ არის რეკომენდებული Check Point-ის კოლეგების მიერ, რადგან ის არ განაახლებს თქვენი ფაილური სისტემის ვერსიას და ბირთვს. თუმცა, ეს მეთოდი არ საჭიროებს პოლიტიკის მიგრაციას და ბევრად უფრო სწრაფი და მარტივია, ვიდრე მეორე მეთოდი.

მიგრაციის ხელსაწყოების გამოყენებით პოლიტიკის სუფთა ინსტალაცია და მიგრაცია რეკომენდებული მეთოდია. ახალი ფაილური სისტემისა და OS ბირთვის გარდა, ხშირად ხდება, რომ SMS მონაცემთა ბაზა იკეტება და ამ მხრივ სუფთა ინსტალაცია შესანიშნავი გამოსავალია სერვერზე სიჩქარის დასამატებლად.

1) ნებისმიერი განახლების პირველი ნაბიჯი არის სარეზერვო ასლების და სნეპშოტების შექმნა. თუ თქვენ გაქვთ ფიზიკური მართვის სერვერი, მაშინ სარეზერვო ასლი უნდა გაკეთდეს Gaia Portal ვებ ინტერფეისიდან. გადადით ჩანართზე მოვლა > სისტემის სარეზერვო > სარეზერვო. შემდეგი, თქვენ მიუთითეთ ადგილმდებარეობა სარეზერვო ასლის შესანახად. ეს შეიძლება იყოს SCP, FTP, TFTP სერვერი ან ლოკალურად მოწყობილობაზე, მაგრამ მოგვიანებით მოგიწევთ ამ სარეზერვო ასლის ატვირთვა სერვერზე ან კომპიუტერზე.

სურათი 1. სარეზერვო ასლის შექმნა Gaia Portal-ში

2) შემდეგ თქვენ უნდა გადაიღოთ სნეპშოტი ჩანართში ტექნიკური მომსახურება → Snapshot Management → ახალი. სარეზერვო ასლებსა და სნეპშოტებს შორის განსხვავება იმაში მდგომარეობს, რომ სნეპშოტები ინახავს მეტ ინფორმაციას, მათ შორის ყველა დაინსტალირებულ ცხელ გამოსწორებას. თუმცა, უმჯობესია ორივეს გაკეთება.

თუ თქვენი მართვის სერვერი დაინსტალირებულია როგორც ვირტუალური მანქანა, მაშინ რეკომენდებულია ვირტუალური მანქანის სარეზერვო ასლის გაკეთება ჩაშენებული ჰიპერვიზორის ხელსაწყოების გამოყენებით. ის უბრალოდ უფრო სწრაფი და საიმედოა.

სურათი 2. სნეპშოტის შექმნა Gaia პორტალში

3) შეინახეთ მოწყობილობის კონფიგურაცია Gaia პორტალიდან. შეგიძლიათ გადაიღოთ ყველა პარამეტრის ჩანართი, რომელიც არის Gaia პორტალში, ან შეიყვანოთ ბრძანება Clish-დან კონფიგურაციის შენახვა. შემდეგი, გადაიტანეთ ფაილი თქვენს კომპიუტერში WinSCP ან სხვა კლიენტის გამოყენებით.

სურათი 3. კონფიგურაციის შენახვა ტექსტურ ფაილში)

შენიშვნა: თუ WinSCP არ გაძლევთ დაკავშირების საშუალებას, შეცვალეთ მომხმარებლის გარსი /bin/bash ან ვებ ინტერფეისში მომხმარებლების ჩანართში, ან ბრძანების შეყვანით. ჩშ –ს /ბინ/ბაშ.

განახლება CPUSE-ით

4) პირველი 3 ნაბიჯი სავალდებულოა ნებისმიერი განახლების ვარიანტისთვის. თუ გადაწყვეტთ განახლების უფრო მარტივ გზას, მაშინ ვებ ინტერფეისში გადადით ჩანართზე განახლებები (CPUSE) > სტატუსი და მოქმედებები > ძირითადი ვერსიები > Check Point R80.40 Gaia Fresh Install and Upgrade. დააწკაპუნეთ ამ განახლებაზე მარჯვენა ღილაკით და აირჩიეთ შემმოწმებელი. გადამოწმების პროცესი დაიწყება რამდენიმე წუთის განმავლობაში, რის შემდეგაც ნახავთ შეტყობინებას, რომ მოწყობილობა შეიძლება განახლდეს. თუ ხედავთ შეცდომებს, ისინი უნდა გამოსწორდეს.

სურათი 4. განახლება CPUSE-ის საშუალებით

5) CDT-ის (Central Deployment Tool) უახლესი ვერსიის განახლება - პროგრამა, რომელიც მუშაობს მართვის სერვერზე და გაძლევთ საშუალებას დააინსტალიროთ განახლებები, სერვის პაკეტები, მართოთ სარეზერვო ასლები, სნეპშოტები, სკრიპტები და მრავალი სხვა. მოძველებულმა CDT ვერსიამ შეიძლება გამოიწვიოს პრობლემები განახლებასთან დაკავშირებით. შეგიძლიათ ჩამოტვირთოთ CDT აქ ლინკები.

6) ჩამოტვირთული არქივის SMS-ზე ნებისმიერ დირექტორიაში WinSCP-ის საშუალებით განთავსების შემდეგ, SSH-ის საშუალებით დაუკავშირდით SMS-ს და შედით ექსპერტის რეჟიმში. შეგახსენებთ, რომ WinSCP მომხმარებელს უნდა ჰქონდეს ჭურვი / ბინ / ბაში!

7) შეიყვანეთ ბრძანებები: 

cd /somepathtoCDT/

tar -zxvf .თგზ

rpm -Uhv — ძალის CPcdt-00-00.i386.rpm

სურათი 5. ცენტრალური განლაგების ხელსაწყოს (CDT) ინსტალაცია

8) შემდეგი ნაბიჯი არის R80.40 სურათის დაყენება. დააწკაპუნეთ მარჯვენა ღილაკით განახლებაზე ჩამოტვირთვა, მაშინ დააინსტალირეთ. გაითვალისწინეთ, რომ განახლებას დასჭირდება 20-30 წუთი და მართვის სერვერი გარკვეული დროით მიუწვდომელი იქნება. აქედან გამომდინარე, აზრი აქვს სერვისის ფანჯარაზე შეთანხმებას.

9) ყველა ლიცენზია და უსაფრთხოების პოლიტიკა შენახულია, ასე რომ შემდეგ თქვენ უნდა ჩამოტვირთოთ ახალი SmartConsole R80.40.

10) დაუკავშირდით SMS ახალ SmartConsole-ს და დააყენეთ უსაფრთხოების პოლიტიკა. ღილაკი დააინსტალირეთ პოლიტიკა ზედა მარცხენა კუთხეში.

11) თქვენი SMS განახლებულია, შემდეგ თქვენ უნდა დააინსტალიროთ უახლესი ცხელი შესწორება. ჩანართში განახლებები (CPUSE) > სტატუსი და მოქმედებები > Hotfixes დააჭირეთ მაუსის მარჯვენა ღილაკს Verifier, მაშინ დააინსტალირეთ განახლება. განახლების დაყენების შემდეგ მოწყობილობა თავად გადაიტვირთება.

ნახაზი 6. უახლესი ცხელი ფიქსის დაყენება CPUSE-ის საშუალებით

განახლება Migration Tools-ით

4) პირველ რიგში, თქვენ ასევე უნდა განაახლოთ CDT-ის უახლესი ვერსია - პუნქტები 5, 6, 7 განყოფილებიდან "განახლება CPUSE-ის გამოყენებით."

5) დააინსტალირეთ Migration Tools პაკეტი, რომელიც საჭიროა მართვის სერვერიდან პოლიტიკის მიგრაციისთვის. Ამის მიხედვით ლინკები შეგიძლიათ იპოვოთ მიგრაციის ინსტრუმენტები ვერსიებისთვის: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. თქვენ უნდა ჩამოტვირთოთ ვერსიის Migration Tools რომლის განახლებაც გსურთ, და არა ის, რაც ახლა გაქვთ! ჩვენს შემთხვევაში ეს არის R80.40.

6) შემდეგ SMS ვებ ინტერფეისში გადადით ჩანართზე განახლებები (CPUSE) > სტატუსი და მოქმედებები > იმპორტის პაკეტი > დათვალიერება > აირჩიეთ გადმოწერილი ფაილი > იმპორტი.

სურათი 7. მიგრაციის ინსტრუმენტების იმპორტი

7) SMS-ის საექსპერტო რეჟიმიდან შეამოწმეთ, რომ Migration Tools პაკეტი დაინსტალირებულია ბრძანების გამოყენებით (ბრძანების გამომავალი უნდა ემთხვეოდეს მიგრაციის ხელსაწყოების არქივის სახელს მითითებულ ნომერს):

cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1

სურათი 8. მიგრაციის ინსტრუმენტების ინსტალაციის შემოწმება

8) გადადით $FWDIR/scripts საქაღალდეში მართვის სერვერზე:

cd $FWDIR/სკრიპტები

9) გაუშვით წინასწარი განახლების დამადასტურებელი ბრძანების გამოყენებით (თუ არის შეცდომები, შეასწორეთ ისინი შემდგომი ნაბიჯების წინ):

./migrate_server verify -v R80.40

შენიშვნა: თუ ხედავთ შეცდომას "განახლების ხელსაწყოების პაკეტის მოძიება ვერ მოხერხდა", მაგრამ თქვენ შეამოწმეთ, რომ არქივი წარმატებით იქნა იმპორტირებული (იხ. პუნქტი 4), გამოიყენეთ ბრძანება:

./migrate_server verify -v R80.40 -skip_upgrade_tools_check

სურათი 9. ვერიფიკაციის სკრიპტის გაშვება

10) უსაფრთხოების პოლიტიკის ექსპორტი ბრძანების გამოყენებით:

./migrate_server export -v R80.40 / / .თგზ

ნახაზი 10. უსაფრთხოების პოლიტიკის ექსპორტირება

შენიშვნა: თუ ხედავთ შეცდომას "განახლების ხელსაწყოების პაკეტის მოძიება ვერ მოხერხდა", მაგრამ თქვენ შეამოწმეთ, რომ არქივი წარმატებით იქნა იმპორტირებული (ნაბიჯი 7), გამოიყენეთ ბრძანება:

./migrate_server export -skip_upgrade_tools_check -v R80.40 / / .თგზ

11) გამოთვალეთ MD5 ჰეშის ჯამი და შეინახეთ ბრძანების გამომავალი:

md5sum / / .თგზ

სურათი 11. MD5 ჰეშ ჯამის გამოთვლა

12) WinSCP-ის გამოყენებით გადაიტანეთ ეს ფაილი თქვენს კომპიუტერში.

13) შეიყვანეთ ბრძანება df -h და შეინახეთ დირექტორიების პროცენტი დაკავებული სივრცის მიხედვით.

ნახაზი 12. დირექტორიების პროცენტი SMS-ზე

14.1) თუ თქვენ გაქვთ რეალური SMS

14.1.1) გამოყენება იზომორფული ინსტრუმენტი იქმნება ჩამტვირთავი USB ფლეშ დრაივი გამოსახულებით Gaia R80.40. 

14.1.2) გირჩევთ მოამზადოთ მინიმუმ 2 ჩამტვირთავი ფლეშ დრაივი, რადგან ხდება, რომ ფლეშ დრაივი ყოველთვის არ იკითხება. 

14.1.3) როგორც ადმინისტრატორი თქვენს კომპიუტერში, გაუშვით ISOmorphic.exe. ნაბიჯ 1-ში აირჩიეთ Gaia R80.40-ის გადმოწერილი სურათი, მე-4 ნაბიჯში ფლეშ დრაივი. შეცვალეთ პუნქტები 2 და 3 არა!

სურათი 13. ჩამტვირთავი USB ფლეშ დრაივის შექმნა

14.1.4) აირჩიეთ ელემენტი "ავტომატური ინსტალაცია დადასტურების გარეშე" და მნიშვნელოვანია თქვენი მართვის სერვერის მოდელის მითითება. SMS-ის შემთხვევაში უნდა აირჩიოთ ხაზი 3 ან 4.

სურათი 14. მოწყობილობის მოდელის შერჩევა ჩამტვირთავი USB ფლეშ დრაივის შესაქმნელად

14.1.5) შემდეგ გამორთავთ upline-ს, ჩასვით ფლეშ დრაივი USB პორტში, აერთებთ კონსოლის კაბელს COM პორტის საშუალებით მოწყობილობასთან და ჩართავთ SMS-ს. ინსტალაციის პროცესი ავტომატურად ხდება. ნაგულისხმევი IP მისამართი - 192.168.1.1/24და შესვლის ინფორმაცია ადმინ / ადმინისტრატორი.

14.1.6) შემდეგი ნაბიჯი არის Gaia Portal-ის ვებ ინტერფეისთან დაკავშირება (ნაგულისხმევი მისამართი https://192.168.1.1), სადაც გადიხართ მოწყობილობის ინიციალიზაციას. ინიციალიზაციის დროს თქვენ ძირითადად დააჭირეთ შემდეგი, რადგან თითქმის ყველა პარამეტრი შეიძლება შეიცვალოს მომავალში. თუმცა, თქვენ შეგიძლიათ დაუყოვნებლივ შეცვალოთ IP მისამართი, DNS პარამეტრები და ჰოსტის სახელი.

14.2) თუ თქვენ გაქვთ ვირტუალური SMS

14.2.1) არავითარ შემთხვევაში არ წაშალოთ ძველი SMS; შექმენით ახალი ვირტუალური მანქანა იგივე რესურსებით (CPU, RAM, HDD) და იგივე IP მისამართი. სხვათა შორის, შეგიძლიათ დაამატოთ ოპერატიული მეხსიერება და HDD, რადგან R80.40 ვერსია ცოტა უფრო მოთხოვნადია. IP მისამართის კონფლიქტის თავიდან ასაცილებლად, გამორთეთ ძველი SMS და დაიწყეთ ახლის ინსტალაცია.

14.2.2) Gaia-ს ინსტალაციის დროს დააკონფიგურირეთ მიმდინარე IP მისამართი და აირჩიეთ დირექტორია / Root საკმარისი რაოდენობის სივრცე. თქვენ გაქვთ დირექტორიების პროცენტი დაახლოებით უნდა იყოს გადარჩება, გამოიყენეთ გამომავალი df -h.

15) ინსტალაციის ტიპის არჩევის მომენტში "ინსტალაციის ტიპი" აირჩიეთ პირველი ვარიანტი, რადგან დიდი ალბათობით არ გაქვთ MDS (მულტი-დომენის სერვერი). თუ MDS, მაშინ თქვენ ერთდროულად მართეთ მრავალი დომენი სხვადასხვა SMS სუბიექტიდან. ამ შემთხვევაში, თქვენ უნდა აირჩიოთ მეორე ელემენტი.

სურათი 15. Gaia ინსტალაციის ტიპის შერჩევა

16) ყველაზე მნიშვნელოვანი პუნქტი, რომლის გამოსწორება შეუძლებელია ხელახლა ინსტალაციის გარეშე, არის ობიექტის არჩევანი. უნდა აირჩიოს უსაფრთხოების მენეჯმენტი და დააჭირეთ შემდეგი. დანარჩენი ყველაფერი ნაგულისხმევია.

სურათი 16. ერთეულის ტიპის შერჩევა Gaia-ს დაყენებისას

17) მოწყობილობის გადატვირთვის შემდეგ, დაუკავშირდით ვებ ინტერფეისს გამოყენებით https://192.168.1.1 ან სხვა IP მისამართი თუ შეცვლით.

18) გადაიტანეთ პარამეტრები ეკრანის ანაბეჭდებიდან Gaia Portal-ის ყველა ჩანართზე, რომლებშიც რაღაც იყო კონფიგურირებული, ან გაუშვით ბრძანება კლიშიდან დატვირთვის კონფიგურაცია .ტექსტი. ეს კონფიგურაციის ფაილი ჯერ უნდა აიტვირთოს SMS-ში.

შენიშვნა: იმის გამო, რომ ოპერაციული სისტემა ახალია, WinSCP არ მოგცემთ უფლებას დაუკავშირდეთ როგორც ადმინისტრატორს, შეცვალოთ მომხმარებლის ჭურვი /bin/bash ან ვებ ინტერფეისში მომხმარებლების ჩანართში, ან ბრძანების შეყვანით. ჩშ –ს /ბინ/ბაშ ან შექმენით ახალი მომხმარებელი.

19) ატვირთეთ ფაილი ექსპორტირებული პოლიტიკით ძველი მართვის სერვერიდან ნებისმიერ დირექტორიაში. შემდეგ გადადით კონსოლზე ექსპერტის რეჟიმში და შეამოწმეთ, რომ MD5 ჰეშის რაოდენობა ემთხვევა წინას. წინააღმდეგ შემთხვევაში, ექსპორტი კვლავ უნდა განხორციელდეს:

md5 სუმ / / .თგზ

20) გაიმეორეთ ნაბიჯი 6 და დააინსტალირეთ განახლების ხელსაწყოები ახალ SMS-ზე Gaia Portal-ში ჩანართში განახლებები (CPUSE) > სტატუსი და მოქმედებები.

21) შეიყვანეთ ბრძანება ექსპერტის რეჟიმში:

./migrate_server import -v R80.40 -skip_upgrade_tools_check / / .თგზ

ნახაზი 17. უსაფრთხოების პოლიტიკის იმპორტი ახალ SMS-ში

22) ჩართეთ სერვისები ბრძანებით cpstart.

23) ჩამოტვირთეთ ახალი SmartConsole R80.40 და დაუკავშირდით მართვის სერვერს. Წადი მენიუ > ლიცენზიებისა და პაკეტების მართვა (SmartUpdate) და შეამოწმეთ, რომ ჯერ კიდევ გაქვთ თქვენი ლიცენზია.

სურათი 18. დაინსტალირებული ლიცენზიების შემოწმება

24) დააყენეთ უსაფრთხოების პოლიტიკა კარიბჭეზე ან კლასტერზე - დააინსტალირეთ პოლიტიკა.

უსაფრთხოების კარიბჭის (SG) განახლება

უსაფრთხოების კარიბჭე შეიძლება განახლდეს CPUSE-ით, ისევე როგორც მართვის სერვერი, ან ხელახლა დააინსტალიროთ - ახალი ინსტალაცია. ჩემი გამოცდილებიდან გამომდინარე, 99% შემთხვევაში, ყველა ხელახლა აყენებს Security Gateway-ს იმის გამო, რომ თითქმის იგივე დრო სჭირდება, რაც CPUSE-ით განახლებას, მაგრამ თქვენ მიიღებთ სუფთა, განახლებულ OS-ს შეცდომების გარეშე.

SMS-ის ანალოგიით, ჯერ უნდა შექმნათ სარეზერვო და სნეპშოტი, ასევე შეინახოთ პარამეტრები Gaia Portal-იდან. იხილეთ პუნქტები 1, 2 და 3 განყოფილებაში "უსაფრთხოების მართვის სერვერის განახლება".

განახლება CPUSE-ით

უსაფრთხოების კარიბჭის განახლება CPUSE-ის საშუალებით ზუსტად იგივეა, რაც უსაფრთხოების მართვის სერვერის განახლება, ამიტომ გთხოვთ იხილოთ სტატიის დასაწყისში.

მნიშვნელოვანი წერტილი: საჭიროა SG განახლება გადატვირთვა! ამიტომ განაახლეთ ტექნიკური ფანჯრის დროს. თუ თქვენ გაქვთ კლასტერი, ჯერ განაახლეთ პასიური კვანძი, შემდეგ შეცვალეთ როლები და განაახლეთ სხვა კვანძი. კასეტურის შემთხვევაში, ტექნიკური ფანჯრების თავიდან აცილება შესაძლებელია.

OS-ის ახალი ვერსიის დაყენება Security Gateway-ზე

1.1) თუ თქვენ გაქვთ რეალური ს.გ

1.1.1) გამოყენება იზომორფული ინსტრუმენტი იქმნება ჩამტვირთავი USB ფლეშ დრაივი გამოსახულებით Gaia R80.40. სურათი იგივეა, რაც SMS-ზე, მაგრამ ჩამტვირთავი ფლეშ დრაივის შექმნის პროცედურა ცოტა განსხვავებულად გამოიყურება.

1.1.2) გირჩევთ მოამზადოთ მინიმუმ 2 ჩამტვირთავი ფლეშ დრაივი, რადგან ხდება, რომ ფლეშ დრაივი ყოველთვის არ იკითხება. 

1.1.3) როგორც ადმინისტრატორი თქვენს კომპიუტერში, გაუშვით ISOmorphic.exe. ნაბიჯ 1-ში აირჩიეთ Gaia R80.40-ის გადმოწერილი სურათი, მე-4 ნაბიჯში ფლეშ დრაივი. შეცვალეთ პუნქტები 2 და 3 არა!

სურათი 19. ჩამტვირთავი USB ფლეშ დრაივის შექმნა

1.1.4) აირჩიეთ ელემენტი "ავტომატური ინსტალაცია დადასტურების გარეშე", და მნიშვნელოვანია მიუთითოთ თქვენი უსაფრთხოების კარიბჭის მოდელი - ხაზები 2 ან 3. თუ ეს არის ფიზიკური ქვიშის ყუთი (SandBlast Appliance), აირჩიეთ ხაზი 5.

სურათი 20. მოწყობილობის მოდელის შერჩევა ჩამტვირთავი USB ფლეშ დრაივის შესაქმნელად

1.1.5) შემდეგ, თქვენ გამორთეთ upline, ჩადეთ ფლეშ დრაივი USB პორტში, დააკავშირეთ კონსოლის კაბელი COM პორტის საშუალებით მოწყობილობასთან და ჩართეთ კარიბჭე. ინსტალაციის პროცესი ავტომატურად ხდება. ნაგულისხმევი IP მისამართი - 192.168.1.1/24და შესვლის ინფორმაცია ადმინ / ადმინისტრატორი. ჯერ უნდა განაახლოთ პასიური კვანძი, შემდეგ დააინსტალირეთ მასზე პოლიტიკა, შეცვალეთ როლები და შემდეგ განაახლეთ სხვა კვანძი. თქვენ სავარაუდოდ დაგჭირდებათ ტექნიკური ფანჯარა.

1.1.6) შემდეგი ნაბიჯი არის Gaia Portal-ის ვებ ინტერფეისთან დაკავშირება, სადაც გადიხართ მოწყობილობის პირველ ინიციალიზაციას. ინიციალიზაციის დროს თქვენ ძირითადად დააჭირეთ შემდეგი, რადგან თითქმის ყველა პარამეტრი შეიძლება შეიცვალოს მომავალში. თუმცა, თქვენ შეგიძლიათ დაუყოვნებლივ შეცვალოთ IP მისამართი, DNS პარამეტრები და ჰოსტის სახელი.

1.2) თუ თქვენ გაქვთ ვირტუალური SG

1.2.1) შექმენით ახალი ვირტუალური მანქანა იგივე რესურსებით (CPU, RAM, HDD) ან მეტი, რადგან R80.40 ვერსია ცოტა უფრო მოთხოვნადია. IP მისამართების კონფლიქტის თავიდან ასაცილებლად, გამორთეთ ძველი კარიბჭე და დაიწყეთ ახლის ინსტალაცია იგივე IP მისამართით. ძველი SG შეიძლება უსაფრთხოდ წაიშალოს, რადგან მასზე არაფერია ღირებული, რადგან ყველა ყველაზე მნიშვნელოვანი რამ - უსაფრთხოების პოლიტიკა - განთავსებულია მართვის სერვერზე.

1.2.2) OS-ის ინსტალაციის დროს, დააკონფიგურირეთ მიმდინარე IP მისამართი და აირჩიეთ დირექტორია / Root საკმარისი რაოდენობის სივრცე.

3) დაუკავშირდით კარიბჭეს HTTPS პორტის საშუალებით და დაიწყეთ ინიციალიზაციის პროცესი. ინსტალაციის ტიპის არჩევისას "ინსტალაციის ტიპი" აირჩიეთ პირველი ვარიანტი - Security Gateway და/ან უსაფრთხოების მენეჯმენტი.

სურათი 21. Gaia ინსტალაციის ტიპის შერჩევა

4) ყველაზე მნიშვნელოვანი წერტილი არის სუბიექტის (პროდუქტების) არჩევანი. უნდა აირჩიოს უსაფრთხოების კარიბჭე და თუ თქვენ გაქვთ კლასტერი, მონიშნეთ ყუთი "ერთეული არის კლასტერის ნაწილი, ტიპი: ClusterXL". თუ თქვენ გაქვთ VRRP კლასტერი, აირჩიეთ ეს ტიპი, მაგრამ ნაკლებად სავარაუდოა.

სურათი 22. ერთეულის ტიპის შერჩევა Gaia-ს დაყენებისას

5) შემდეგ ეტაპზე დააყენეთ SIC ერთჯერადი პაროლი მართვის სერვერთან ნდობის დასამყარებლად. ამ პაროლის გამოყენებით წარმოიქმნება სერტიფიკატი და მართვის სერვერი დაუკავშირდება კარიბჭეს დაშიფრული საკომუნიკაციო არხის მეშვეობით. გამშვები ნიშანი "დაუკავშირდით თქვენს მენეჯმენტს, როგორც სერვისს" უნდა დაყენდეს, თუ მართვის სერვერი მდებარეობს ღრუბელში. ჩვენ სულ ახლახან დავწერეთ ამის შესახებ მუხლი და რამდენად მოსახერხებელი და მარტივია ღრუბლოვანი მართვის სერვერი.

სურათი 23. SIC-ის შექმნა

6) დაიწყეთ ინიციალიზაციის პროცესი მომდევნო ჩანართზე. როგორც კი მოწყობილობა გადაიტვირთება, დაუკავშირდით ვებ ინტერფეისს და გადაიტანეთ პარამეტრები ეკრანის ანაბეჭდებიდან Gaia Portal-ის ყველა ჩანართზე, რომლებშიც რაღაც იყო კონფიგურირებული, ან გაუშვით ბრძანება კლიშიდან. დატვირთვის კონფიგურაცია .ტექსტი. ეს კონფიგურაციის ფაილი ჯერ უნდა აიტვირთოს უსაფრთხოების კარიბჭეში.

შენიშვნა: იმის გამო, რომ ოპერაციული სისტემა ახალია, WinSCP არ მოგცემთ უფლებას დაუკავშირდეთ როგორც ადმინისტრატორს, შეცვალოთ მომხმარებლის ჭურვი /bin/bash ან ვებ ინტერფეისში მომხმარებლების ჩანართში, ან ბრძანების შეყვანით. ჩშ –ს /ბინ/ბაშ ან შექმენით ახალი მომხმარებელი ამ ჭურვით.

7) გახსენით SmartConsole R80.40 და გადადით Security Gateway ობიექტში, რომელიც ახლახან დააინსტალირეთ. გახსენით ჩანართი ზოგადი თვისებები > კომუნიკაცია > SIC გადატვირთვა და შეიყვანეთ მე-5 ნაბიჯში მითითებული პაროლი.

სურათი 24: ნდობის დამყარება უსაფრთხოების ახალი კარიბჭით

8) ობიექტის Gaia ვერსია უნდა შეიცვალოს, თუ არ იცვლება, შეცვალეთ ხელით. შემდეგ დააინსტალირეთ პოლიტიკა კარიბჭეზე.

9) Gaia Portal-ში გადადით ჩანართზე განახლებები (CPUSE) > სტატუსი და მოქმედებები > Hotfixes და დააინსტალირეთ უახლესი ცხელი შესწორება. მოწყობილობა შევა გადატვირთეთ ინსტალაციის დროს!

10) კლასტერის შემთხვევაში შეცვალეთ კვანძების როლები და იგივე ნაბიჯები გააკეთეთ სხვა კვანძისთვის.

დასკვნა

შევეცადე შემექმნა ყველაზე მკაფიო და ყოვლისმომცველი სახელმძღვანელო R80.20/R80.30 ვერსიიდან ახლანდელ R80.40-მდე განახლებისთვის, რადგან ბევრი რამ შეიცვალა. ვერსია Gaia R81 უკვე გამოჩნდა დემო რეჟიმში, მაგრამ განახლების პროცედურა მეტ-ნაკლებად იდენტური რჩება. თანამდებობის პირის ხელმძღვანელობით სახელმძღვანელო Check Point-დან, თქვენ თავად შეგიძლიათ გაერკვნენ ყველა დეტალი.

ნებისმიერი კითხვისთვის შეგიძლიათ დაგვიკავშირდეთ. ჩვენ მოხარული ვიქნებით დაგეხმაროთ ყველაზე რთულ განახლებებსა და საქმეებში, როგორც ჩვენი ტექნიკური მხარდაჭერის ნაწილი CPS მხარდაჭერა. ასევე ჩვენს ონლაინი შესაძლებელია შეუკვეთოთ Check Point-ის პარამეტრების აუდიტი ან დატოვოთ იგი უფასოდ თქვან ტექნიკური შემთხვევისთვის.

მასალების დიდი არჩევანი Check Point-ზე TS Solution-ისგან. Ადევნეთ თვალყური (დეპეშა, Facebook, VK, TS Solution ბლოგი, Yandex Zen).

წყარო: www.habr.com