체크포인트를 R77.30에서 80.20으로 업데이트

2019년 가을, Check Point는 R77.XX 버전 지원을 중단했으며 업데이트가 필요했습니다. 버전 간의 차이점, R80으로 전환할 때의 장단점에 대해 이미 많은 이야기가 있었습니다. Check Point 가상 어플라이언스(CloudGuard for VMware ESXi, Hyper-V, KVM Gateway NGTP)를 실제로 업데이트하는 방법과 무엇이 잘못될 수 있는지 이야기해 보겠습니다.

그래서 우리는 CCSE 엔지니어 2명, Check Point R77.30 가상 클러스터 XNUMX개 이상, 클라우드 여러 개, 핫픽스 몇 개, 다양한 색상과 크기의 다양한 버그, 결함 등의 바다 전체를 보유하고 있었습니다. 마감일도 매우 촉박합니다. 갑시다!

Содержание :

훈련
관리 서버 업데이트
클러스터 업데이트

가상 Check Point를 갖춘 일반적인 클라이언트의 클라우드 인프라는 다음과 같습니다.

훈련

첫 번째 단계는 업데이트에 필요한 리소스가 충분한지 확인하는 것입니다. R80.20에 권장되는 최소 요구 사항은 현재 다음과 같습니다.

장치

CPU

램

HDD

보안 게이트웨이

2 코어

4 GB

15GB부터

SMS

2 코어

6 GB

-

권장사항은 문서에 설명되어 있습니다. CP_R80.20_GA_Release_Notes.

그러나 우리는 현실적이 될 것입니다. 이것이 가장 최소한의 구성으로 충분하다면 실습에서 알 수 있듯이 일반적으로 https 검사를 활성화하고 SMS에서 SmartEvent를 실행하는 등 완전히 다른 용량이 필요합니다. 그러나 일반적으로 R77.30을 넘지 않습니다.

그러나 뉘앙스가 있습니다. 그리고 그것은 무엇보다도 물리적 메모리의 크기와 관련이 있습니다. 업데이트 프로세스 중에 직접 수행되는 많은 작업에는 하드 디스크 공간이 필요합니다.

관리 서버의 경우 여유 디스크 공간의 크기는 현재 로그의 볼륨(저장하려는 경우)과 저장된 데이터베이스 개정 수에 따라 크게 달라집니다. 단, 더 이상 대량으로 필요하지는 않습니다. 물론 클러스터 노드의 경우(로그를 로컬에 저장하지 않는 한) 이 모든 것은 중요하지 않습니다. 필요한 공간이 있는지 확인하는 방법은 다음과 같습니다.

1. SSH를 통해 Smart Management Server에 연결하고 전문가 모드로 이동하여 다음 명령을 입력합니다.

   [전문가@cp-sms:0]# df -h

2. 출력에서 다음과 같은 구성을 볼 수 있습니다.

   사용된 파일 시스템 크기 사용 가능 사용% 마운트됨
   /dev/mapper/vg_splat-lv_current 30G 7.4G 21G 27% /
   /dev/sda1 289M 24M 251M 9% /boot
   tmpfs 2.0G 0 2.0G 0% /dev/shm
   /dev/mapper/vg_splat-lv_log 243G 177G 53G 78% /var/log

3. 우리는 현재 해당 섹션에 관심이 있습니다. / var / log

오래된 로그 파일의 저장 및 삭제 정책과 내보낸 데이터베이스의 크기에 따라 더 많은 공간이 필요할 수 있습니다. 아카이브를 생성할 때 로그 파일 저장 정책에 지정된 것보다 여유 공간이 적은 경우 시스템은 오래된 로그를 지우기 시작하고 해당 로그를 아카이브에 포함하지 않습니다.

또한 업데이트 프로세스 자체를 위해서는 시스템에 할당되지 않은 최소 13GB의 하드 디스크 공간이 필요합니다. 다음 명령을 사용하여 존재 여부를 확인할 수 있습니다.

[전문가@cp-sms:0]# pvs

우리는 다음과 같은 것을 보게 될 것입니다:

PV VG Fmt Attr PSize PFree
/dev/sda3 vg_splat lvm2 a- 141.69G 43.69G

이 경우에는 43GB가 있습니다. 자원이 충분합니다. 업데이트를 시작할 수 있습니다.

Check Point SMS 관리 서버 업데이트

작업을 시작하기 전에 다음을 수행해야 합니다.

1. 관리 서버에 마이그레이션 도구 패키지를 설치합니다. 이렇게 하려면 포털에서 이미지를 다운로드해야 합니다. 체크 포인트.
2. WinSCP를 통해 관리 서버에 아카이브를 폴더로 업로드합니다. /var/log/UpgradeR77.30_R80.20 (필요하다면 먼저 폴더를 생성하세요)
3. SSH를 통해 관리 서버에 연결하고 아카이브가 있는 폴더로 이동합니다.CD /var/log/UpgradeR77.30_R80.20/
4. 파일의 압축을 푼다:tar -zxvf ./<파일 이름>.tgz
5. 다음 명령을 사용하여 pre_upgrade_verifier 유틸리티를 시작합니다. ./pre_upgrade_verifier -p $FWDIR -c R77 -t R80.20
6. 명령을 실행하면 호환되지 않는 설정에 대한 보고서가 생성됩니다. 다음에서 이용 가능합니다: /opt/CPsuite-R77/fw1/log/pre_upgrade_verification_report.(xls, html, txt). SCP를 통해 업로드하고 브라우저를 통해 보는 것이 더 편리합니다.
   호환되지 않는 설정을 해결하려면 다음을 사용하세요. SK117237.
7. 그런 다음 pre_upgrade_verifier 유틸리티를 다시 실행하여 비호환성의 모든 원인이 제거되었는지 확인하십시오.
8. 다음으로 네트워크 인터페이스, 라우팅 테이블에 대한 정보를 수집하고 GAIA 구성을 업로드합니다.
   IP a > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
   ip r > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
   clish -c "구성 표시" > /var/log/UpgradeR77.30_R80.20/cp-sms-config.txt
9. SCP를 통해 결과 파일을 업로드하십시오.
10. 가상화 수준에서 스냅샷을 찍습니다.
11. SSH 세션의 시간 초과를 8시간으로 늘립니다. 운에 따라 다릅니다. 내보낸 데이터베이스의 크기에 따라 몇 분에서 몇 시간까지 지속될 수 있습니다. 이를 위해: 
    [Expert@HostName]# clish -c "show inactivity-timeout" 현재 시간 초과 Clish를 확인하세요.

    [Expert@HostName]# clish -c "set inactivity-timeout 720" 새로운 시간 제한 종료(분)를 지정합니다.

    [전문가@호스트 이름]# 에코 $TMOUT 현재 시간 제한 전문가 모드를 살펴보세요.

    [Expert@HostName]# 내보내기 TMOUT=3600 새로운 시간 초과 전문가 모드(초 단위)를 지정합니다. 값을 0으로 설정하면 시간 초과가 비활성화됩니다.

12. SMS.iso 설치 이미지를 다운로드하여 가상 머신에 마운트합니다.

    다음 단계를 진행하기 전에 하드 드라이브에 할당되지 않은 공간이 충분한지 다시 확인하세요(13GB 필요). 

13. 구성 내보내기를 시작하기 전에 다음 명령을 사용하여 로그 파일을 변경합니다. fw 로그 스위치

구성 및 로그 내보내기

1. migration_export 유틸리티를 실행하여 구성을 다운로드하십시오. 이렇게 하려면 이전에 생성된 폴더로 이동합니다. CD /var/log/UpgradeR77.30_R80.20/ 다음 명령을 사용하십시오. ./ migration 내보내기 -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

   또는

   폴더로 이동: CD $FWDIR/bin/upgrade_tools/ и
   거기에서 명령을 실행하십시오. ./ migration 내보내기 -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

2. 아카이브에서 체크섬을 제거합니다. md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz
3. 결과 값을 메모장에 저장합니다.
4. SCP를 통해 SMS에 연결하고 구성이 포함된 아카이브를 워크스테이션에 업로드합니다. 반드시 바이너리 형식의 파일 전송을 사용하십시오.

SmartEvent 데이터베이스 내보내기

여기에는 사전 설치된 SMS 버전 R80이 필요합니다. 어떤 테스트라도 가능합니다. 

1. SMS에는 다음 위치에 있는 스크립트가 필요합니다.$RTDIR/bin/eva_db_backup.csh
2. SCP를 통해 스크립트 로드 eva_db_backup.csh 폴더로: /var/log/UpgradeR77.30_R80.20/
3. SSH를 통해 SMS에 연결합니다. 파일을 폴더에 복사: cp /var/log/UpgradeR77.30_R80.20/eva_db_backup.csh
   $RTDIR/bin/eva_db_backup.csh
4. 인코딩 변경: dos2unix $RTDIR/bin/eva_db_backup.csh
5. 소유자 추가: chown -v 관리자:루트 $RTDIR/bin/eva_db_backup.csh
6. 권한 추가: chmod -v 0755 $RTDIR/bin/eva_db_backup.csh
7. SmartEvent 데이터베이스 내보내기를 시작합니다. $RTDIR/bin/eva_db_backup.csh
8. SCP를 통해 수신된 파일을 업로드합니다. $RTDIR/bin/<날짜>-db-backup.backup и $RTDIR/bin/eventiaUpgrade.tar 워크스테이션으로.

업데이트

1. 우리는에 전달한다. WebUI GAIA SMS → CPUSE → 모든 패키지를 표시합니다.
2. CPUSE에서 Check Point 클라우드 연결 오류가 발생하면 DGW, DNS 및 프록시 설정을 확인하세요.
3. 모든 것이 정확하고 오류가 사라지지 않으면 다음 지침에 따라 CPUSE를 수동으로 업데이트해야 합니다. sk92449.
4. 이미지를 다운받아서 진행해보세요 검증자. 필요한 경우 불일치를 제거합니다.

   결과적으로 다음 메시지가 표시됩니다.

   

5. 선택 R80.20 보안 관리를 위한 새로 설치 및 업그레이드.
6. 업데이트를 설치할 때 새로 설치를 선택하세요. 설치 후 시스템이 재부팅됩니다.
7. 우리는 처음으로 통과 마법사.
8. 액세스 권한을 얻은 후 계정을 확인합니다.
9. SSH를 통해 SMS에 연결하고 사용자 쉘을 /bin/bash/로 변경합니다.

   사용자 <사용자 이름> 설정 쉘 /bin/bash/

   구성 저장 (재부팅 후 bin/bash/를 기본 쉘로 유지하려는 경우)

10. 다음으로 SCP를 통해 SMS에 연결하고 바이너리 모드의 구성으로 아카이브를 전송합니다. SMS_w_logs_export_r77_r80.tgz 폴더로 /var/log/UpgradeR77.30_R80.20/
    
11. 아카이브에서 체크섬을 제거합니다. md5sum /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz 그리고 이전 값과 비교해보세요. 체크섬이 일치해야 합니다.
12. SSH 세션의 시간 초과를 8시간으로 늘립니다. 이를 위해:

    [Expert@HostName]# clish -c "show inactivity-timeout" 현재 시간 초과 Clish를 확인하세요.

    [Expert@HostName]# clish -c "set inactivity-timeout 720" 새로운 시간 제한 종료(분)를 지정합니다.

    [전문가@호스트 이름]# 에코 $TMOUT 현재 시간 제한 전문가 모드를 살펴보세요.

    [Expert@HostName]# 내보내기 TMOUT=3600 새로운 시간 제한 전문가 모드(초)를 지정합니다. 값을 0으로 설정하면 시간 제한이 비활성화됩니다.

13. 설정을 가져오려면 마이그레이션 가져오기 유틸리티를 실행하십시오. 이렇게 하려면 다음 폴더로 이동하세요. CD $FWDIR/bin/upgrade_tools/가져오기를 실행합니다. ./img 마이그레이션
    ort -l /var/log/UpgradeR77.30_R80.20/SMS_w_logs_export_r77_r80.tgz

앞으로 몇 시간 동안 인생을 즐기자. 절차가 진행되는 동안 SSH 세션을 연결 해제하지 마십시오. 마지막에 마이그레이션 프로세스는 성공 메시지나 오류를 표시합니다. 

업데이트 후 체크리스트

1. 자원의 가용성.
2. GW와 SIC.
3. 라이센스. 라이센스가 잘못 표시되거나 SMS에 표시되지 않으면 다음 명령을 실행하십시오. vsec_central_licence 라이센스 배포를 위해.
4. 정책을 설정합니다. 

SmartEvent 데이터베이스 가져오기

1. SmartEvent 블레이드를 활성화합니다.
2. WinSCP를 통해 SMS에 연결하고 이전에 다운로드한 파일을 바이너리 모드로 전송합니다. <날짜>-db-backup.backup и eventiaUpgrade.tar 폴더로 /var/log/UpgradeR77.30_R80.20/
3. 다음 명령을 사용하여 스크립트를 실행합니다. $RTDIR/bin/eventiaUpgrade.sh -upgrade /var/log/UpgradeR77.30_R80.20/eventiaUpgrade.tar
4. 상태 확인 중: 시계 -n 10 eventiaUpgrade.sh
5. SmartEvent에서 로그를 확인하는 중입니다. 꿈!

Check Point GW 클러스터 업데이트(활성/백업)

일을 시작하기 전에

1. 각 클러스터 노드의 GAIA 구성을 파일에 저장합니다. 이를 수행하려면 다음 명령을 사용합니다. clish -c "구성 표시" > ./<파일 이름>.txt
2. WinSCP를 사용하여 파일 업로드.
3. 두 노드의 WebUI에 연결하고 탭으로 이동합니다. CPUSE → 모든 패키지를 표시합니다.
4. 버전에 대한 업데이트 패키지 찾기 R80.20 새로 ​​설치, 프레스 다운로드 할 수 있습니다.
5. CCP 프로토콜이 모드에서 작동하는지 확인합니다. 방송, 이렇게 하려면 다음 명령을 입력하세요. cphaprob -a if
   모드를 선택한 경우 멀티 캐스트, 다음 명령으로 바꿉니다. cphaconf set_ccp 브로드캐스트 (명령은 각 노드에서 실행됩니다).
6. 모니터링 시스템의 관련 노드에 대해 Downtime을 설치합니다.
7. 가상화 수준에서 매개변수가 활성화되어 있는지 확인합니다. MAC 주소 변경 и 위조된 전송 동기화 네트워크의 경우.

업데이트

1. SSH를 통해 활성 노드에 연결하고 명령을 실행하여 클러스터 상태를 모니터링합니다. watch -n 2 cphaprob stat
2. WebUI 대기 노드 탭으로 돌아가기 CPUSE 그리고 선택한 패키지에 대해 R80.20 새로 ​​설치 시작하다 검증자.
3. Verifier 보고서를 분석해 보겠습니다. 설치가 허용되면 계속 진행하세요.
4. 패키지를 선택하세요 R80.20 새로 ​​설치 그리고 실행 업그레이드. 업그레이드 프로세스 중에 시스템이 재부팅됩니다. GAIA 설정이 저장됩니다. 재부팅 시 클러스터 상태를 모니터링합니다. 로드 후에는 업데이트된 노드의 상태가 READY로 변경되어야 합니다. 많은 경우, 아직 업데이트되지 않은 노드가 Active Attention 상태로 전환되고 업데이트된 노드의 상태 표시가 중단되는 순간이 발생했습니다. 놀라지 마십시오. 이 옵션도 허용됩니다.
5. 업데이트가 완료되면 엽니다. 스마트대시보드.
6. 클러스터 개체를 열고 클러스터 버전을 R77.30에서 R80.20으로 변경합니다. 확인을 클릭하세요. 변경 사항을 저장할 때 오류가 나타나는 경우:
   내부 오류가 발생했습니다. (코드: 0x8003001D, 쓰기 작업을 위해 파일에 액세스할 수 없습니다),
   따르다 SK119973. 그 후 변경 사항을 저장하고 설치 정책.
7. 설정에서 옵션을 선택 해제하세요. 게이트웨이 클러스터의 경우 클러스터 구성원에 대한 설치가 실패하면 해당 클러스터에 설치하지 마십시오.
8. 우리는 정책을 설정합니다. 시스템은 아직 업데이트되지 않은 능동 노드에 대해 오류를 생성합니다.
9. SSH를 통해 업데이트된 노드에 연결하고 명령을 실행하여 클러스터 상태를 모니터링합니다. watch -n 2 cphaprob stat
10. WebUI Active 노드에 연결하고 탭으로 이동합니다. CPUSE → 모든 패키지를 표시합니다.버전에 대한 업데이트 패키지 찾기 R80.20 새로 ​​설치, 클릭 다운로드 할 수 있습니다.
11. 모니터링 시스템의 관련 노드에 대해 Downtime을 설치합니다.
12. WebUI 활성 노드 탭으로 돌아가기 CPUSE 그리고 선택한 패키지에 대해 R80.20 새로 ​​설치 시작하다 검증자.
13. Verifier 보고서를 분석해 보겠습니다. 설치가 허용되면 계속 진행하세요.
14. 패키지를 선택하세요 R80.20 새로 ​​설치 그리고 실행 업그레이드. 업그레이드 프로세스 중에 시스템이 재부팅됩니다. GAIA 설정이 저장됩니다. 재부팅 시 이미 업데이트된 노드의 클러스터 상태를 모니터링합니다. 재부팅 후 업데이트된 노드의 클러스터 상태가 READY에서 ACTIVE로 변경됩니다.
15. 업그레이드 프로세스가 완료되면 SmartDashboard를 실행하고 정책을 설치하십시오.

업데이트 후 체크리스트

• SmartLog의 이벤트 로그, VPN 터널 상태.
• 가이아 설정.
• 테스트 장애 조치 후 클러스터를 복원합니다.
• 라이센스 및 계약. 라이센스가 잘못 표시되거나 SMS에 표시되지 않으면 명령을 실행하십시오. 라이센스 배포를 위한 vsec_central_licence.
• CoreXL.
• SecureXL.
• 두 노드의 핫픽스 및 CPinfo.

결론

일반적으로 이것이 전부입니다. 업데이트가 완료되었습니다.

우리의 경우 내보낸 데이터베이스의 크기에 따라 전체 프로세스가 평균 6~12시간이 걸렸습니다. 작업은 이틀에 걸쳐 수행되었습니다. 하나는 SMS 업데이트를 위한 것이고, 다른 하나는 클러스터를 위한 것입니다.

위에서 언급한 모든 오류를 직접 확인했음에도 불구하고 트래픽 중단 시간은 없었습니다.

물론 업데이트 과정에서 때로는 완전히 새로운 어려움이 발생할 수도 있지만 이것이 체크포인트이고 우리 모두 알고 있듯이 항상 핫픽스가 있습니다!

즐거운 블랙 앤 핑크 나이트와 업데이트 되세요!

출처 : habr.com