R80.20/R80.30에서 R80.40으로 체크포인트 업그레이드 절차

볼е2년 전 우리는 모든 Check Point 관리자가 조만간 새 버전으로 업데이트해야 하는 문제에 직면하게 된다고 썼습니다. 이에 기사 버전 R77.30에서 R80.10으로의 업그레이드에 대해 설명했습니다. 그런데 2020년 77.30월 R2이 FSTEC 인증 버전이 되었습니다. 하지만 XNUMX년 만에 체크포인트에는 많은 변화가 있었습니다. 기사에서 “체크포인트 가이아 R80.40. 새로운 소식은 무엇인가요?"는 많은 혁신을 설명합니다. 이 문서에서는 업데이트 절차를 최대한 자세히 설명합니다. 

아시다시피 Check Point를 구현하는 데는 독립 실행형과 분산형, 즉 전용 관리 서버가 없고 전용 관리 서버가 있는 두 가지 옵션이 있습니다. 분산 옵션은 다음과 같은 여러 가지 이유로 적극 권장됩니다.

• 게이트웨이 리소스에 대한 로드가 최소화됩니다.

• 관리 서버에서 작업하기 위해 유지 관리 기간을 예약할 필요는 없습니다.

• SmartEvent의 적절한 작동(독립형 버전에서는 작동하지 않을 가능성이 높음)

• 분산 구성에서 게이트웨이 클러스터를 구축하는 것이 좋습니다.

분산 구성의 모든 이점을 고려하여 관리 서버와 보안 게이트웨이를 별도로 업그레이드하는 것을 고려할 것입니다.

보안 관리 서버(SMS) 업데이트

SMS를 업데이트하는 방법에는 두 가지가 있습니다.

• CPUSE를 통해 (Gaia Portal을 통해)

• 마이그레이션 도구 사용(새로 설치 필요 - 설치 신선한)

CPUSE를 사용한 업데이트는 파일 시스템 버전과 커널을 업데이트하지 않으므로 Check Point 동료는 권장하지 않습니다. 그러나 이 방법은 정책 마이그레이션이 필요하지 않으며 두 번째 방법보다 훨씬 빠르고 간단합니다.

마이그레이션 도구를 사용하여 정책을 새로 설치하고 마이그레이션하는 것이 권장되는 방법입니다. 새로운 파일 시스템 및 OS 커널 외에도 SMS 데이터베이스가 막히는 경우가 종종 발생하며, 이와 관련하여 새로 설치하는 것은 서버 속도를 높이는 탁월한 솔루션입니다.

1) 업데이트의 첫 번째 단계는 백업과 스냅샷을 생성하는 것입니다. 물리적 관리 서버가 있는 경우 Gaia Portal 웹 인터페이스에서 백업을 수행해야 합니다. 탭으로 이동 유지 관리 > 시스템 백업 > 백업. 다음으로 백업을 저장할 위치를 지정합니다. SCP, FTP, TFTP 서버일 수도 있고 장치의 로컬일 수도 있지만 나중에 이 백업을 서버나 컴퓨터에 업로드해야 합니다.

그림 1. Gaia Portal에서 백업 생성

2) 다음으로 탭에서 스냅샷을 찍어야 합니다. 유지 관리 → 스냅샷 관리 → 신규. 백업과 스냅샷의 차이점은 스냅샷은 설치된 모든 핫픽스를 포함하여 더 많은 정보를 저장한다는 것입니다. 그러나 둘 다 수행하는 것이 좋습니다.

관리 서버가 가상 머신으로 설치된 경우 내장된 하이퍼바이저 도구를 사용하여 가상 머신을 백업하는 것이 좋습니다. 더 빠르고 안정적입니다.

그림 2. Gaia Portal에서 스냅샷 생성

3) Gaia Portal에서 장치 구성을 저장합니다. Gaia Portal에 있는 모든 설정 탭을 스크린샷하거나 Clish에서 명령을 입력할 수 있습니다. 구성 저장 . 그런 다음 WinSCP 또는 다른 클라이언트를 사용하여 파일을 PC로 가져옵니다.

그림 3. 구성을 텍스트 파일에 저장)

주의: WinSCP에서 연결을 허용하지 않는 경우 웹 인터페이스의 사용자 탭에서 또는 다음 명령을 입력하여 사용자 셸을 /bin/bash로 변경합니다. chsh –s /bin/bash .

CPUSE로 업데이트

4) 모든 업데이트 옵션에 대해 처음 3단계는 필수입니다. 더 간단한 업데이트 경로를 선택하려면 웹 인터페이스에서 탭으로 이동하세요. 업그레이드(CPUSE) > 상태 및 작업 > 주요 버전 > Check Point R80.40 Gaia 새로 설치 및 업그레이드. 이 업데이트를 마우스 오른쪽 버튼으로 클릭하고 검증자. 확인 프로세스가 몇 분 동안 시작된 후 장치를 업데이트할 수 있다는 메시지가 표시됩니다. 오류가 표시되면 수정해야 합니다.

그림 4. CPUSE를 통한 업데이트

5) 최신 버전의 CDT(중앙 배포 도구)로 업데이트 - 관리 서버에서 실행되며 업데이트, 서비스 팩 설치, 백업 관리, 스냅샷, 스크립트 등을 수행할 수 있는 유틸리티입니다. 오래된 CDT 버전으로 인해 업데이트에 문제가 발생할 수 있습니다. 다음에서 CDT를 다운로드할 수 있습니다. 링크.

6) 다운로드한 아카이브를 WinSCP를 통해 SMS의 임의 디렉터리에 배치한 후 SSH를 통해 SMS에 연결하고 전문가 모드로 들어갑니다. WinSCP 사용자에게는 쉘이 있어야 함을 상기시켜 드리겠습니다. / bin / bash!

7) 다음 명령을 입력합니다. 

CD /somepathtoCDT/

tar -zxvf .tgz

rpm -Uhv —CPcdt-00-00.i386.rpm 강제

그림 5. 중앙 배포 도구(CDT) 설치

8) 다음 단계는 R80.40 이미지를 설치하는 것입니다. 업데이트를 마우스 오른쪽 버튼으로 클릭하세요. 다운로드, 다음 설치합니다. 업데이트에는 20~30분 정도 소요되며 한동안 관리 서버를 사용할 수 없다는 점에 유의하세요. 따라서 서비스 창구에 동의하는 것이 합리적입니다.

9) 모든 라이선스와 보안 정책이 저장되었으므로 다음에는 새 라이선스를 다운로드해야 합니다. 스마트콘솔 R80.40.

10) SMS의 새로운 SmartConsole에 연결하고 보안 정책을 설정합니다. 단추 설치 정책 왼쪽 상단 모서리에 있습니다.

11) SMS가 업데이트되었으면 최신 핫픽스를 설치해야 합니다. 탭에서 업그레이드(CPUSE) > 상태 및 작업 > 핫픽스 마우스 오른쪽 버튼을 클릭하세요 검증 자, 그 다음에 업데이트를 설치하다. 업데이트를 설치한 후 장치가 자동으로 재부팅됩니다.

그림 6. CPUSE를 통해 최신 핫픽스 설치

마이그레이션 도구로 업데이트

4) 먼저 최신 버전의 CDT로 업데이트해야 합니다(섹션의 5, 6, 7번 항목). “CPUSE를 사용하여 업데이트하세요.”

5) 관리 서버에서 정책을 마이그레이션하는 데 필요한 마이그레이션 도구 패키지를 설치합니다. 이에 따르면 링크 R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40 버전의 마이그레이션 도구를 찾을 수 있습니다. 해당 버전의 마이그레이션 도구를 다운로드해야 합니다. 업데이트하려는 항목, 그리고 지금 가지고 있는 것은 아닙니다! 우리의 경우에는 R80.40입니다.

6) 다음으로 SMS 웹 인터페이스에서 탭으로 이동합니다. 업그레이드(CPUSE) > 상태 및 작업 > 패키지 가져오기 > 찾아보기 > 다운로드한 파일 선택 > 가져오기.

그림 7. 마이그레이션 도구 가져오기

7) SMS의 전문가 모드에서 다음 명령을 사용하여 마이그레이션 도구 패키지가 설치되었는지 확인합니다(명령 출력은 마이그레이션 도구 아카이브 이름의 숫자와 일치해야 함).

cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1

그림 8. 마이그레이션 도구 설치 확인

8) 관리 서버의 $FWDIR/scripts 폴더로 이동합니다.

CD $FWDIR/스크립트

9) 다음 명령을 사용하여 사전 업그레이드 검증 도구를 실행합니다(오류가 있는 경우 추가 단계 전에 수정하십시오).

./ migration_server verify -v R80.40

주의: 오류가 표시되는 경우 "업그레이드 도구 패키지를 검색하지 못했습니다.", 그러나 아카이브를 성공적으로 가져왔는지 확인했습니다(4번 항목 참조). 다음 명령을 사용하십시오.

./ migration_server verify -v R80.40 -skip_upgrade_tools_check

그림 9. 확인 스크립트 실행

10) 다음 명령을 사용하여 보안 정책을 내보냅니다.

./ migration_server import -v R80.40 //.tgz

그림 10. 보안 정책 내보내기

주의: 오류가 표시되는 경우 "업그레이드 도구 패키지를 검색하지 못했습니다.", 그러나 아카이브를 성공적으로 가져왔는지 확인했습니다(7단계). 다음 명령을 사용하십시오.

./ migration_server import -skip_upgrade_tools_check -v R80.40 //.tgz

11) MD5 해시 합계를 계산하고 명령 출력을 저장합니다.

md5sum //.tgz

그림 11. MD5 해시 합계 계산

12) WinSCP를 사용하여 이 파일을 컴퓨터로 이동합니다.

13) 명령을 입력하십시오 df -h 점유된 공간을 기준으로 디렉토리의 비율을 저장하세요.

그림 12. SMS당 디렉터리 비율

14.1) 실제 SMS가 있는 경우

14.1.1) 사용 동형 도구 이미지가 포함된 부팅 가능한 USB 플래시 드라이브가 생성됩니다. 가이아 R80.40. 

14.1.2) 플래시 드라이브는 항상 읽을 수 있는 것이 아니기 때문에 부팅 가능한 플래시 드라이브를 2개 이상 준비하는 것이 좋습니다. 

14.1.3) 컴퓨터의 관리자로서 다음을 실행합니다. ISOmorphic.exe. 1단계에서는 다운로드한 Gaia R80.40 이미지를 선택하고, 4단계에서는 플래시 드라이브를 선택합니다. 변경점 2와 3 필요 없음!

그림 13. 부팅 가능한 USB 플래시 드라이브 만들기

14.1.4) 항목 선택 "확인 없이 자동으로 설치" 관리 서버의 모델을 지정하는 것이 중요합니다. SMS의 경우 3번 또는 4번 라인을 선택해야 합니다.

그림 14. 부팅 가능한 USB 플래시 드라이브를 생성하기 위한 장치 모델 선택

14.1.5) 그런 다음 업라인을 끄고 플래시 드라이브를 USB 포트에 삽입한 다음 COM 포트를 통해 콘솔 케이블을 장치에 연결하고 SMS를 활성화합니다. 설치 과정은 자동으로 진행됩니다. 기본 IP 주소 - 192.168.1.1/24및 로그인 정보 관리자 / 관리자.

14.1.6) 다음 단계는 Gaia Portal(기본 주소)의 웹 인터페이스에 연결하는 것입니다. https://192.168.1.1), 여기서는 장치 초기화를 진행합니다. 초기화하는 동안 기본적으로 다음을 누릅니다. 다음으로, 왜냐하면 앞으로는 거의 모든 설정을 변경할 수 있기 때문입니다. 그러나 IP 주소, DNS 설정 및 호스트 이름은 즉시 변경할 수 있습니다.

14.2) 가상 SMS가 있는 경우

14.2.1) 어떤 경우에도 기존 SMS를 삭제해서는 안 되며, 동일한 리소스(CPU, RAM, HDD) 및 동일한 IP 주소를 사용하여 새 가상 머신을 생성하세요. 그런데 R80.40 버전이 좀 더 까다롭기 때문에 RAM과 HDD를 추가할 수 있습니다. IP 주소 충돌을 방지하려면 기존 SMS를 끄고 새 SMS 설치를 시작하세요.

14.2.2) Gaia 설치 중 현재 IP 주소를 구성하고 디렉터리를 선택합니다. / 루트 적당한 공간. 보유하고 있는 디렉토리의 비율은 대략 다음과 같습니다. 생존하다, 출력 사용 df -h.

15) 설치 유형을 선택하는 순간 “설치 유형” MDS(Multi-Domain Server)가 없을 가능성이 높으므로 첫 번째 옵션을 선택하십시오. MDS의 경우 여러 SMS 엔터티의 여러 도메인을 동시에 관리했습니다. 이 경우 두 번째 옵션을 선택해야 합니다.

그림 15. Gaia 설치 유형 선택

16) 재설치 없이는 고칠 수 없는 가장 중요한 점은 엔터티의 선택입니다. 선택해야 함 보안 관리 클릭 다음. 다른 모든 것은 기본값입니다.

그림 16. Gaia 설치 시 엔터티 유형 선택

17) 장치가 재부팅되면 다음을 사용하여 웹 인터페이스에 연결합니다. https://192.168.1.1 또는 IP 주소를 변경한 경우 다른 IP 주소로 변경하세요.

18) 스크린샷의 설정을 무언가가 구성된 모든 Gaia Portal 탭으로 전송하거나 clish에서 명령을 실행합니다. 로드 구성 .txt. 이 구성 파일은 먼저 SMS에 업로드되어야 합니다.

주의: 새로운 OS이기 때문에 WinSCP에서는 관리자로 연결하거나 사용자 탭의 웹 인터페이스에서 사용자 셸을 /bin/bash로 변경하거나 다음 명령을 입력하는 것을 허용하지 않습니다. chsh –s /bin/bash 또는 새 사용자를 만드세요.

19) 이전 관리 서버에서 내보낸 정책이 포함된 파일을 임의의 디렉터리에 업로드합니다. 그런 다음 전문가 모드의 콘솔로 이동하여 MD5 해시 양이 이전 해시 양과 일치하는지 확인하십시오. 그렇지 않으면 내보내기를 다시 수행해야 합니다.

md5sum //.tgz

20) 6단계를 반복하고 탭에서 Gaia Portal의 새 SMS에 업그레이드 도구를 설치합니다. 업그레이드(CPUSE) > 상태 및 작업.

21) 전문가 모드에서 다음 명령을 입력합니다.

./ migration_server import -v R80.40 -skip_upgrade_tools_check //.tgz

그림 17. 새 SMS로 보안 정책 가져오기

22) 다음 명령으로 서비스를 활성화합니다. cpstart.

23) 새 것을 다운로드하세요 스마트콘솔 R80.40 그리고 관리서버에 접속합니다. 이동 메뉴 > 라이선스 및 패키지 관리(SmartUpdate) 아직 라이센스가 있는지 확인하세요.

그림 18. 설치된 라이센스 확인하기

24) 게이트웨이 또는 클러스터에 보안 정책을 설정합니다. 설치 정책.

보안 게이트웨이(SG) 업데이트

보안 게이트웨이는 관리 서버와 마찬가지로 CPUSE를 통해 업데이트하거나 다시 설치할 수 있습니다. 설치 신선한. 내 경험에 따르면 99%의 경우 CPUSE를 통한 업데이트와 거의 동일한 시간이 걸리기 때문에 모든 사람이 Security Gateway를 다시 설치하지만 버그 없이 깨끗하고 업데이트된 OS를 얻을 수 있습니다.

SMS와 유사하게 먼저 백업과 스냅샷을 생성하고 Gaia Portal의 설정을 저장해야 합니다. 섹션의 1, 2, 3번 항목을 참조하세요. "보안관리 서버 업데이트".

CPUSE로 업데이트

CPUSE를 통해 보안 게이트웨이를 업데이트하는 것은 보안 관리 서버를 업데이트하는 것과 동일하므로 글의 시작 부분을 참고하시기 바랍니다.

중요 사항: SG 업데이트에는 재부팅! 따라서 유지 관리 기간 동안 업데이트하세요. 클러스터가 있는 경우 먼저 패시브 노드를 업그레이드한 다음 역할을 전환하고 다른 노드를 업그레이드하세요. 클러스터의 경우 유지 관리 기간을 피할 수 있습니다.

Security Gateway에 새 OS 버전 설치

1.1) 실제 SG를 보유하고 있는 경우

1.1.1) 사용 동형 도구 이미지가 포함된 부팅 가능한 USB 플래시 드라이브가 생성됩니다. 가이아 R80.40. 이미지는 SMS와 동일하지만 부팅 가능한 플래시 드라이브를 만드는 절차는 약간 다릅니다.

1.1.2) 플래시 드라이브는 항상 읽을 수 있는 것이 아니기 때문에 부팅 가능한 플래시 드라이브를 2개 이상 준비하는 것이 좋습니다. 

1.1.3) 컴퓨터의 관리자로서 다음을 실행합니다. ISOmorphic.exe. 1단계에서는 다운로드한 Gaia R80.40 이미지를 선택하고, 4단계에서는 플래시 드라이브를 선택합니다. 변경점 2와 3 필요 없음!

그림 19. 부팅 가능한 USB 플래시 드라이브 만들기

1.1.4) 항목 선택 "확인 없이 자동으로 설치", 보안 게이트웨이 모델(라인 2 또는 3)을 표시하는 것이 중요합니다. 이것이 물리적 샌드박스(SandBlast Appliance)인 경우 라인 5를 선택합니다.

그림 20. 부팅 가능한 USB 플래시 드라이브를 생성하기 위한 장치 모델 선택

1.1.5) 그런 다음 업라인을 끄고 플래시 드라이브를 USB 포트에 삽입한 다음 COM 포트를 통해 콘솔 케이블을 장치에 연결하고 게이트웨이를 켭니다. 설치 과정은 자동으로 진행됩니다. 기본 IP 주소 - 192.168.1.1/24및 로그인 정보 관리자 / 관리자. 먼저 업데이트해야 합니다. 패시브 노드을 클릭한 다음 여기에 정책을 설치하고 역할을 전환한 다음 다른 노드를 업데이트하세요. 서비스 창이 필요할 가능성이 높습니다.

1.1.6) 다음 단계는 Gaia Portal의 웹 인터페이스에 연결하는 것입니다. 여기서 장치의 첫 번째 초기화를 진행합니다. 초기화하는 동안 기본적으로 다음을 누릅니다. 다음으로, 왜냐하면 앞으로는 거의 모든 설정을 변경할 수 있기 때문입니다. 그러나 IP 주소, DNS 설정 및 호스트 이름은 즉시 변경할 수 있습니다.

1.2) 가상 SG가 있는 경우

1.2.1) R80.40 버전은 좀 더 까다롭기 때문에 동일한 리소스(CPU, RAM, HDD) 이상으로 새 가상 머신을 생성합니다. IP 주소 충돌을 방지하려면 기존 게이트웨이를 끄고 동일한 IP 주소로 새 게이트웨이 설치를 시작하십시오. 가장 중요한 모든 것(보안 정책)이 관리 서버에 있기 때문에 기존 SG에는 가치 있는 것이 없기 때문에 안전하게 삭제할 수 있습니다.

1.2.2) OS 설치 중 현재 IP 주소를 구성하고 디렉터리를 선택합니다. / 루트 적당한 공간.

3) HTTPS 포트를 통해 게이트웨이에 연결하고 초기화 프로세스를 시작합니다. 설치 유형 선택 시 “설치 유형” 첫 번째 옵션인 보안 게이트웨이 및/또는 보안 관리를 선택합니다.

그림 21. Gaia 설치 유형 선택

4) 가장 중요한 점은 개체(제품)의 선택입니다. 선택해야 함 보안 게이트웨이 클러스터가 있는 경우 확인란을 선택하세요. "장치는 클러스터의 일부입니다. 유형: ClusterXL". VRRP 클러스터가 있는 경우 이 유형을 선택하지만 그럴 가능성은 거의 없습니다.

그림 22. Gaia 설치 시 엔터티 유형 선택

5) 다음 단계에서는 관리 서버와의 신뢰를 구축하기 위해 SIC 일회용 비밀번호를 설정합니다. 이 비밀번호를 사용하여 인증서가 생성되고 관리 서버는 암호화된 통신 채널을 통해 게이트웨이와 통신합니다. 체크 표시 “서비스로서의 관리에 연결” 관리 서버가 클라우드에 있는 경우 설정해야 합니다. 우리는 최근에 이것에 대해 썼습니다 статью 클라우드 관리 서버가 얼마나 편리하고 간단한지.

그림 23. SIC 생성

6) 다음 탭에서 초기화 프로세스를 시작합니다. 장치가 재부팅되자마자 웹 인터페이스에 연결하고 스크린샷의 설정을 무언가가 구성된 모든 Gaia Portal 탭으로 전송하거나 clish에서 명령을 실행합니다. 로드 구성 .txt. 이 구성 파일은 먼저 보안 게이트웨이에 업로드되어야 합니다.

주의: 새로운 OS이기 때문에 WinSCP에서는 관리자로 연결하거나 사용자 탭의 웹 인터페이스에서 사용자 셸을 /bin/bash로 변경하거나 다음 명령을 입력하는 것을 허용하지 않습니다. chsh –s /bin/bash 또는 이 쉘을 사용하여 새 사용자를 생성하십시오.

7) 열기 스마트콘솔 R80.40 방금 다시 설치한 보안 게이트웨이 개체로 이동합니다. 탭 열기 일반 속성 > 통신 > SIC 재설정 5단계에서 지정한 비밀번호를 입력하세요.

그림 24: 새로운 보안 게이트웨이와의 신뢰 구축

8) 객체의 Gaia 버전이 변경되어야 하며, 변경되지 않으면 수동으로 변경하세요. 그런 다음 게이트웨이에 정책을 설치합니다.

9) Gaia Portal에서 탭으로 이동합니다. 업그레이드(CPUSE) > 상태 및 작업 > 핫픽스 그리고 최신 핫픽스를 설치하세요. 장치가 들어갑니다. 재부팅 설치 중!

10) 클러스터의 경우 노드의 역할을 변경하고 다른 노드에도 동일한 단계를 수행합니다.

결론

많은 것이 변경되었기 때문에 버전 R80.20/R80.30에서 현재 R80.40으로 업그레이드하기 위한 가장 명확하고 포괄적인 가이드를 만들려고 노력했습니다. 버전 가이아 R81 이미 데모 모드에 등장했지만 업데이트 절차는 거의 동일합니다. 관계자가 안내함 가이드 Check Point에서 모든 세부 사항을 직접 알아낼 수 있습니다.

질문이 있으시면 저희에게 연락하실 수 있습니다. 기술 지원의 일환으로 가장 복잡한 업데이트 및 사례를 기꺼이 도와드리겠습니다. CP지원. 또한 우리의 온라인으로 Check Point 설정 감사를 주문하거나 무료로 남겨둘 수 있습니다. 의뢰 기술적인 경우.

TS솔루션의 체크포인트 소재 다양한 선택. 계속 지켜봐 주시기 바랍니다 (텔레그램, 페이스북, VK, TS 솔루션 블로그, Yandex.Dzena).

출처 : habr.com