Dverokyspäť sme písali o tom, že pred každým administrátorom Check Point skôr či neskôr vyvstáva otázka aktualizácie na novú verziu. V tomto bolo popísané aktualizovanie z verzie R77.30 na R80.10. Mimochodom, v januári 2020 sa R77.30 stala certifikovanou verziou FSTEK. Avšak za 2 roky sa v Check Point veľa zmenilo. V článku “” sú popísané všetky novinky, ktorých je mnoho. V tomto článku bude procedúra aktualizácie popísaná maximálne podrobne.
Ako je známe, existujú 2 možnosti implementácie Check Point: Samostatná a Distribuovaná, teda bez vyhradeného riadiaceho servera a s vyhradeným. Distribuovaná možnosť je mimoriadne odporúčaná z niekoľkých dôvodov:
minimalizuje sa záťaž na zdroje brány;
není potrebné plánovať okno na údržbu, aby sa vykonali práce s riadiacim serverom;
adekvátna práca SmartEvent, pretože v Samostatnej možnosti ťažko bude fungovať;
klaster brán je veľmi odporúčaný konštruovať v Distribuovanej konfigurácii.
Vzhľadom na všetky výhody Distribuovanej konfigurácie, zvážime aktualizáciu riadiaceho servera a bezpečnostného brány osobitne.
Aktualizácia Security Management Server (SMS)
Sú 2 spôsoby aktualizácie SMS:
pomocou CPUSE (cez Gaia Portal)
pomocou Migration Tools (vyžaduje čistú inštaláciu — fresh install)
Aktualizácia pomocou CPUSE nie je odporúčaná kolegami z Check Point, pretože sa vám neaktualizuje verzia súborového systému a jadra. Avšak tento spôsob nevyžaduje migráciu politík a je omnoho rýchlejší a jednoduchší ako druhý spôsob.
Čistá inštalácia a migrácia politík s pomocou Migration Tools — to je odporúčaný spôsob. Okrem nových súborových systémov a jadra OS sa často stáva, že databáza SMS je "zanesená", a čistá inštalácia v tomto ohľade je skvelým riešením na zvýšenie rýchlosti práce servera.
1) Prvým krokom pri akomkoľvek aktualizovaní je vytvorenie záloh a snímok. Ak máte fyzický riadiaci server, zálohu je potrebné urobiť z webového rozhrania Gaia Portal. Choďte na kartu Údržba > Zálohovanie systému > Záloha. Potom určíte miesto uloženia zálohy. Môže to byť SCP, FTP, TFTP server alebo miestne na zariadení, avšak v takom prípade bude potrebné neskôr túto zálohu preniesť na server alebo počítač.
Obrázok 1. Vytvorenie zálohy v Gaia Portáli
2) Potom je potrebné vytvoriť snímku v záložke Údržba → Správa snímok → Nové. Rozdiel medzi zálohami a snímkami spočíva v tom, že snímky obsahujú viac informácií, vrátane všetkých nainštalovaných hotfixov. Napriek tomu je lepšie urobiť oboje.
Ak je váš riadiaci server nainštalovaný ako virtuálna mašina, odporúča sa vykonať zálohu virtuálnej mašiny zabudovanými prostriedkami hypervízora. Je to jednoducho rýchlejšie a spoľahlivejšie.
Obrázok 2. Vytvorenie snímky v Gaia Portáli
3) Uložte konfiguráciu zariadenia z Gaia Portálu. Môžete urobiť screenshot všetkých nastavení, ktoré sú v Gaia Portáli, alebo v Clish zadať príkaz save configuration. Následne je potrebné súbor stiahnuť pomocou WinSCP alebo iného klienta na váš počítač.
Obrázok 3. Uloženie konfigurácie do textového súboru)
Poznámka: ak WinSCP nedáva pripojiť, zmeňte shell používateľa na /bin/bash buď v webovom rozhraní v záložke Používatelia, alebo zadaním príkazu chsh –s /bin/bash.
Aktualizácia pomocou CPUSE
4) Prvé 3 kroky sú povinné pre akúkoľvek variantu aktualizácie. Ak ste sa rozhodli ísť jednoduchšou cestou aktualizácie, prejdite v webovom rozhraní na záložku Aktualizácie (CPUSE) > Stav a akcie > Hlavné verzie > Check Point R80.40 Gaia Fresh Install and Upgrade. Kliknite pravým tlačidlom myši na túto aktualizáciu a vyberte Verifier. Spustí sa proces kontroly na niekoľko minút, po uplynutí ktorých uvidíte správu, že zariadenie môže byť aktualizované. Ak vidíte chyby, je potrebné ich opraviť.
Obrázok 4. Aktualizácia cez CPUSE
5) Aktualizujte na najnovšiu verziu CDT (Central Deployment Tool) — nástroj, ktorý je spustený na riadiacom serveri a umožňuje inštalovať aktualizácie, balíky aktualizácií, spravovať zálohy, snímky, skripty a mnoho ďalšieho. Neaktuálna verzia CDT môže spôsobiť problémy pri aktualizácii. Stiahnuť CDT môžete na .
6) Po umiestnení stiahnutého archívu na SMS do ľubovoľného adresára cez WinSCP, pripojte sa cez SSH k SMS a prejdite do expertného režimu. Pripomínam, že používateľ WinSCP by mal mať shell /bin/bash!
7) Zadajte príkazy:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv —force CPcdt-00-00.i386.rpm
Obrázok 5. Inštalácia Central Deployment Tool (CDT)
8) Nasledujúcim krokom je inštalácia obrazu R80.40. Pravým tlačidlom myši na aktualizáciu Stiahnuť, potom Inštalovať. Majte na pamäti, že aktualizácia trvá 20-30 minút a server správy nebude chvíľu k dispozícii. Preto je rozumné dohodnúť si okno pre údržbu.
9) Všetky licencie a bezpečnostné politiky zostávajú zachované, takže by ste mali stiahnuť novú .
10) Pripojte sa k SMS novej SmartConsole a nastavte bezpečnostné politiky. Tlačidlo Install Policy v ľavom hornom rohu.
11) Váš SMS je aktualizovaný, teraz by ste mali nainštalovať najnovší hotfix. Na karte Upgrades (CPUSE) > Status and Actions > Hotfixes kliknite pravým tlačidlom myši Verifier, potom Install Update. Zariadenie sa po nainštalovaní aktualizácie automaticky reštartuje.
Obrázok 6. Inštalácia posledného hotfixu cez CPUSE
Aktualizácia pomocou Migration Tools
4) Najprv je potrebné aktualizovať aj na najnovšiu verziu CDT — body 5, 6, 7 z oddielu „Aktualizácia pomocou CPUSE“.
5) Nainštalujte balík Migration Tools potrebný na migráciu politík zoServeru správy. Podľa tejto môžete nájsť Migration Tools pre verzie: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Stiahnuť by ste mali Migration Tools tej verzie, na ktorú sa chcete aktualizovať, nie tej, ktorú momentálne používate! V našom prípade to je R80.40.
6) Ďalej v webovom rozhraní SMS prejdite na kartu Upgrades (CPUSE) > Status and Actions > Import Package > Browse > Vyberte stiahnutý súbor > Import.
Obrázok 7. Import Migration Tools
7) Z odborného režimu na SMS skontrolujte, či je balík Migration Tools nainštalovaný pomocou príkazu (výstup príkazu by mal zodpovedať číslu v názve archívu Migration Tools):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Obrázok 8. Kontrola inštalácie Migration Tools
8) Prejdite do priečinka $FWDIR/scripts na serveri správy:
cd $FWDIR/scripts
9) Spustite pre-upgrade verifier (overovací skript) pomocou príkazu (ak sú prítomné chyby, opravte ich pred ďalšími krokmi):
./migrate_server verify -v R80.40
Poznámka: ak vidíte chybu “Failed to retrieve Upgrade Tools package”, ale skontrolovali ste, že archív bol úspešne importovaný (pozri bod 4), použite príkaz:
./migrate_server verify -v R80.40 -skip_upgrade_tools_check
Obrázok 9. Spustenie skriptu kontroly
10) Exportujte bezpečnostné politiky pomocou príkazu:
./migrate_server export -v R80.40 //.tgz
Obrázok 10. Export bezpečnostnej politiky
Poznámka: ak vidíte chybu “Failed to retrieve Upgrade Tools package”, ale skontrolovali ste, že archív bol úspešne importovaný (bod 7), použite príkaz:
./migrate_server export -skip_upgrade_tools_check -v R80.40 //.tgz
11) Vypočítajte MD5 hash a uložte si výstup príkazu:
md5sum //.tgz
Obrázok 11. Vypočítavanie MD5 hash
12) Pomocou WinSCP presuňte tento súbor na svoj počítač.
13) Zadajte príkaz df -h a uložte si percentuálny pomer adresárov na základe obsadeného miesta.
Obrázok 12. Percentuálny pomer adresárov v SMS
14.1) V prípade, že máte reálny SMS
14.1.1) Pomocou sa vytvorí bootovacia USB pamäť s obrazom .
14.1.2) Odporúčam pripraviť minimálne 2 bootovacie USB kľúče, pretože nie vždy je pamäť čitateľná.
14.1.3) Z účtu administrátora na počítači spustite ISOmorphic.exe. V bode 1 vyberte stiahnutý obraz Gaia R80.40, v bode 4 USB kľúč. Body 2 a 3 nemeniť netreba!
Obrázok 13. Vytvorenie bootovacieho USB kľúča
14.1.4) Vyberte možnosť „Inštalovať automaticky bez potvrdenia“ a je dôležité uviesť model vášho riadiaceho servera. V prípade SMS by ste mali vybrať 3. alebo 4. riadok.
Obrázok 14. Výber modelu zariadenia pre vytvorenie bootovacieho USB kľúča
14.1.5) Ďalej vypnite appliance, vložte USB kľúč do USB portu, pripojte sa konzolovým káblom cez COM port k zariadeniu a zapnite SMS. Proces inštalácie prebieha sám. Predvolená IP adresa je 192.168.1.1/24, a prihlasovacie údaje sú admin / admin.
14.1.6) Nasledujúcim krokom sa pripojíte k webovému rozhraniu na Gaia Portali (predvolená adresa ), kde prejdete inicializáciou zariadenia. Počas inicializácie väčšinou stlačíte Next, keďže väčšinu nastavení je možné zmeniť v budúcnosti. Avšak môžete okamžite zmeniť IP adresu, nastavenia DNS a hostname.
14.2) V prípade, že máte virtuálny SMS
14.2.1) V žiadnom prípade by ste nemali odstrániť starý SMS, vytvorte novú virtuálnu mašinu s rovnakými zdrojmi (CPU, RAM, HDD) so rovnakou IP adresou. Mimochodom, RAM a HDD môžete zvýšiť, pretože verzia R80.40 je trochu náročnejšia. Aby sa predišlo konfliktom IP adries, vypnite starý SMS a začnite inštaláciu nového.
14.2.2) Počas inštalácie Gaia nastavte aktuálnu IP adresu a priraďte pod adresár /root primerané množstvo miesta. Percentuálny pomer adresárov by vám mal približne zostať, použite výstup df -h.
15) V momente výberu typu inštalácie „Installation Type“ Vyberte prvú možnosť, pretože pravdepodobne nemáte MDS (Multi-Domain Server). Ak máte MDS, znamená to, že ste spravovali viaceré domény z rôznych entít SMS súčasne. V tomto prípade by ste mali vybrať druhú možnosť.
Obrázok 15. Výber typu inštalácie Gaia
16) Najdôležitejší bod, ktorý nemožno opraviť bez preinštalovania — výber entity. Mali by ste si vybrať Správa zabezpečenia a kliknúť na Ďalej. Ďalej všetko podľa predvolených nastavení.
Obrázok 16. Výber typu entity pri inštalácii Gaia
17) Akonáhle sa zariadenie reštartuje, pripojte sa k webovému rozhraniu cez alebo inú IP adresu, ak ste ju menili.
18) Preneste nastavenia zo snímok na všetky karty Gaia Portalu, v ktorých bolo niečo nastavené, alebo vykonajte príkaz z clish load configuration .txt. Tento konfiguračný súbor by mal byť predtým nahraný na SMS.
Poznámka: Vzhľadom na to, že OS je nový, WinSCP vám nedovolí prihlásiť sa ako admin, zmeňte používateľa shell na /bin/bash buď v webovom rozhraní na karte Používatelia, alebo zadaním príkazu chsh –s /bin/bash alebo vytvorte nového používateľa.
19) Nahrajte do akéhokoľvek adresára súbor s exportovanými politikami zo starého správcovského servera. Potom prejdite do konzoly do expertného režimu a skontrolujte, či sa MD5 hash suma zhoduje s predchádzajúcou. V opačnom prípade by ste mali export vykonať znova:
md5sum /<Full Path>/<Name of Exported File>.tgz
20) Opakujte bod 6 a nainštalujte Upgrade Tools na nový SMS v Gaia Portale na karte Upgrades (CPUSE) > Status and Actions.
21) Zadajte príkaz v expertnom režime:
./migrate_server import -v R80.40 -skip_upgrade_tools_check //.tgz
Obrázok 17. Importovanie bezpečnostnej politiky na nový SMS
22) Aktivujte služby príkazom cpstart.
23) Stiahnite novú a pripojte sa k správcovskému serveru. Prejdite do Menu > Spravovať licencie a balíky (SmartUpdate) a skontrolujte, či máte zachovanú licenciu.
Obrázok 18. Kontrola nainštalovaných licencií
24) Nainštalujte bezpečnostnú politiku na bránu alebo klaster — Install Policy.
Aktualizácia Security Gateway (SG)
Bezpečnostnú bránu môžete aktualizovať cez CPUSE rovnako ako správcovský server, alebo ju znova nainštalovať — fresh install. Z mojej praxe v 99% prípadoch všetci znova inštalujú Security Gateway, pretože to trvá takmer rovnaký čas ako aktualizácia cez CPUSE, avšak získate čistý aktualizovaný OS bez chýb.
Podobne ako pri SMS je najprv potrebné vytvoriť zálohu a snímku, ako aj uložiť nastavenia z Gaia Portalu. Odkážte sa na body 1, 2 a 3 v sekcii Aktualizácia Security Management Server.
Aktualizácia pomocou CPUSE
Aktualizácia Security Gateway cez CPUSE prebieha rovnako ako aktualizácia Security Management Server, preto sa vráťte na začiatok článku.
Dôležitá poznámka: aktualizácia SG si vyžaduje reštart! Preto vykonajte aktualizáciu v okne údržby. Ak máte klaster, najprv aktualizujte pasívnu uzol, potom prepnite úlohy a aktualizujte druhú uzol. V prípade klastera sa okno údržby môže vyhnúť.
Inštalácia novej verzie OS na Security Gateway
1.1) V prípade, že máte reálny SG
1.1.1) Pomocou sa vytvorí bootovacia USB pamäť s obrazom . Obraz je rovnaký ako na SMS, avšak procedúra vytvorenia zavádzacej flashky vyzerá trochu inak.
1.1.2) Odporúčam pripraviť minimálne 2 zavádzacie flashky, pretože sa stáva, že flashka nie vždy funguje.
1.1.3) Z pozície administrátora na počítači spustite ISOmorphic.exe. V bode 1 vyberte stiahnutý obraz Gaia R80.40, v bode 4 USB kľúč. Body 2 a 3 nemeniť netreba!
Obrázok 19. Vytvorenie zavádzacej flashky
1.1.4) Vyberte položku „Instalovať automaticky bez potvrdenia“, a je dôležité uviesť model vášho Security Gateway — riadky 2 alebo 3. Ak ide o fyzickú pieskovisku (SandBlast Appliance), vyberte riadok 5.
Obrázok 20. Výber modelu zariadenia na vytvorenie zavádzacej flashky
1.1.5) Potom vypnite appliance, vložte flashku do USB portu, pripojte sa konzolovým káblom cez COM port k zariadeniu a zapnite bránu. Proces inštalácie prebieha automaticky. Predvolená IP adresa je 192.168.1.1/24, a prihlasovacie údaje sú admin / admin. Najprv by sa mala aktualizovať pasívna uzol, potom nainštalovať politiku, prepnúť úlohy a potom aktualizovať druhú uzol. Pravdepodobne bude potrebné okno údržby.
1.1.6) Ďalším krokom je pripojenie sa k webovému rozhraniu na Gaia Portal, kde absolvujete prvotné nastavenie zariadenia. Počas inštalácie prevažne stlačíte Next, keďže väčšinu nastavení je možné zmeniť v budúcnosti. Avšak môžete okamžite zmeniť IP adresu, nastavenia DNS a hostname.
1.2) V prípade, že máte virtuálny SG
1.2.1) Vytvorte novú virtuálnu stroj s rovnakými alebo väčšími zdrojmi (CPU, RAM, HDD), pretože verzia R80.40 je o niečo náročnejšia. Aby nedošlo k konfliktu IP adries, vypnite starú bránu a začnite inštaláciu novej s rovnakou IP adresou. Starý SG môžete pokojne odstrániť, pretože na ňom nie je nič cenné, pretože všetko najdôležitejšie — bezpečnostná politika — sa nachádza na správcovskom serveri.
1.2.2) Počas inštalácie OS nastavte aktuálnu IP adresu a vyhraďte pre adresár /root primerané množstvo miesta.
3) Pripojte sa na HTTPS porte k bráne a začnite proces inicializácie. Pri výbere typu inštalácie „Installation Type“ vyberte prvú možnosť — Security Gateway and/or Security Management.
Obrázok 21. Výber typu inštalácie Gaia
4) Najdôležitejším krokom je výber entity (Products). Je potrebné vybrať Security Gateway a ak máte klaster, zaškrtnite “Unit is a part of a cluster, type: ClusterXL”. Ak máte klaster VRRP, vyberte tento typ, ale to je málo pravdepodobné.
Obrázok 22. Výber typu entity pri inštalácii Gaia
5) V ďalšom kroku nastavte jednorazové heslo SIC na nadviazanie dôvery so serverom správy. Pomocou tohto hesla sa generuje certifikát a cez šifrovaný kanál bude server správy komunikovať s bránou. Zaškrtnite “Connect to your Management as a Service” ak sa server správy nachádza v cloude. Nedávno sme o tom napísali a o tom, aké pohodlné a jednoduché je cloudové spravovanie serverov.
Obrázok 23. Vytvorenie SIC
6) Začnite proces inicializácie na ďalšej záložke. Akonáhle sa zariadenie reštartuje, pripojte sa k webovému rozhraniu a preneste nastavenia zo snímok do všetkých záložiek Gaia Portal, kde bolo niečo nastavené alebo z clish vykonajte príkaz load configuration .txt. Tento konfiguračný súbor je potrebné najprv nahrať na bránu bezpečnosti.
Poznámka: Vzhľadom na to, že OS je nový, WinSCP vám nedovolí prihlásiť sa ako admin, zmeňte používateľa shell na /bin/bash buď v webovom rozhraní na karte Používatelia, alebo zadaním príkazu chsh –s /bin/bash alebo vytvorte nového používateľa s takým shellom.
7) Otvorte a prejdite do objektu brány zabezpečenia, ktorý ste práve preinštalovali. Otvorte záložku General Properties > Communication > Reset SIC a zadajte heslo nastavené v bode 5.
Obrázok 24. Nadviazanie dôvery s novou bránou zabezpečenia
8) Verzia Gaia na objekte by sa mala zmeniť, ak sa nezmení, zmeňte ju manuálne. Potom nastavte politiku na bráně.
9) V Gaia Portal prejdite na záložku Upgrades (CPUSE) > Status and Actions > Hotfixes a nainštalujte posledný hotfix. Zariadenie sa bude reštartovať počas inštalácie!
10) V prípade klastru, zmeňte úlohy uzlov a vykonajte rovnaké kroky pre ďalší uzol.
Záver
Snažil som sa vytvoriť maximálne zrozumiteľný a komplexný sprievodca na aktualizáciu z verzie R80.20/R80.30 na aktuálnu verziu R80.40, pretože sa veľa zmenilo. Verzia už je dostupná v demo režime, avšak postup aktualizácie zostáva viac-menej identický. Riadiac sa oficiálnym od Check Point, dokážete sa aj sami vyznať vo všetkých nuansách.
Pre všetky otázky nás môžete kontaktovať. Radi vám pomôžeme s najnáročnejšími aktualizáciami a prípadmi v rámci našej technickej podpory. . Takisto na našom môžete objednať audit nastavení Check Point alebo zanechať bezplatnú na technický prípad.
. Sledujte aktualizácie (, , , , ).
Zdroj: habr.com
