BolеDua taun ka tukang, kami nyerat yén unggal administrator Check Point engké atanapi engké nyanghareupan masalah ngamutahirkeun kana versi énggal. Dina ieu pamutahiran ti versi R77.30 mun R80.10 digambarkeun. Ku jalan kitu, dina Januari 2020, R77.30 janten versi anu disertipikasi FSTEC. Sanajan kitu, loba geus robah di Check Point dina 2 taun. Dina artikel "” ngajelaskeun sagala inovasi, anu seueur pisan. Artikel ieu bakal ngajelaskeun prosedur update saloba mungkin.
Sakumaha anjeun terang, aya 2 pilihan pikeun ngalaksanakeun Check Point: Mandiri sareng Distribusi, nyaéta, tanpa server manajemén khusus sareng anu khusus. Pilihan Distribusi disarankeun pisan pikeun sababaraha alesan:
-
beban dina sumber gateway diminimalkeun;
-
Anjeun teu kudu ngajadwalkeun jandela pangropéa pikeun gawé dina server manajemén;
-
operasi nyukupan tina SmartEvent, saprak éta saperti teu mirip dianggo dina versi Mandiri;
-
Disarankeun pisan ngawangun gugusan gateway dina konfigurasi Distribusi.
Dibikeun sagala kauntungan tina konfigurasi Distributed, urang bakal mertimbangkeun ningkatkeun server manajemén jeung gateway kaamanan misah.
Server Manajemén Kaamanan (SMS) Update
Aya 2 cara pikeun ngapdet SMS:
-
via CPUSE (via Gaia Portal)
-
ngagunakeun Alat Migrasi (peryogi pamasangan bersih - seger install)
Ngamutahirkeun nganggo CPUSE henteu disarankeun ku kolega Check Point sabab moal ngamutahirkeun versi sistem file sareng kernel anjeun. Sanajan kitu, metoda ieu teu merlukeun migrasi kawijakan sarta leuwih gancang sarta basajan ti metoda kadua.
Pamasangan sareng migrasi kawijakan anu bersih nganggo Alat Migrasi mangrupikeun metode anu disarankeun. Salian sistem file anyar sareng kernel OS, sering kajadian yén pangkalan data SMS macét, sareng pamasangan anu bersih dina hal ieu mangrupikeun solusi anu saé pikeun nambihan kacepetan kana server.
1) Léngkah munggaran dina apdet naon waé nyaéta nyiptakeun cadangan sareng snapshot. Upami anjeun gaduh server manajemén fisik, teras cadangan kedah dilakukeun tina antarmuka wéb Gaia Portal. Pindah ka tab Pangropéa> Nyadangkeun Sistem> Nyadangkeun. Salajengna, anjeun nangtukeun lokasi pikeun nyimpen cadangan. Ieu tiasa janten SCP, FTP, server TFTP, atanapi lokal dina alat, tapi teras anjeun kedah unggah cadangan ieu ka server atanapi komputer engké.
Gambar 1. Nyieun cadangan dina Gaia Portal
2) Salajengna anjeun kedah nyandak snapshot dina tab Pangropéa → Manajemén Snapshot → Anyar. Beda antara cadangan sareng jepretan nyaéta jepretan nyimpen langkung seueur inpormasi, kalebet sadaya perbaikan hotfix anu dipasang. Sanajan kitu, éta hadé pikeun ngalakukeun duanana.
Upami server manajemén anjeun dipasang salaku mesin virtual, maka disarankeun pikeun nyadangkeun mesin virtual nganggo alat hypervisor anu diwangun. Éta langkung gancang sareng langkung dipercaya.
Gambar 2. Nyieun snapshot di Gaia Portal
3) Simpen konfigurasi alat tina Gaia Portal. Anjeun tiasa screenshot sadaya tab setélan anu aya dina Gaia Portal, atanapi lebetkeun paréntah ti Clish simpen konfigurasi. Teras, bawa file ka PC anjeun nganggo WinSCP atanapi klien anu sanés.
Gambar 3. Nyimpen konfigurasi kana file téks)
nyarios: lamun WinSCP teu ngidinan Anjeun pikeun nyambung, ngarobah cangkang pamaké kana / bin / bash boh dina panganteur web dina tab Pamaké, atawa ku cara nuliskeun paréntah. chsh –s /bin/bash.
Ngamutahirkeun kalawan CPUSE
4) 3 léngkah munggaran anu wajib pikeun sagala pilihan update. Upami anjeun mutuskeun nyandak jalur update anu langkung saderhana, teras dina antarmuka wéb angkat ka tab Ngaronjatkeun (CPUSE)> Status sareng Laku lampah> Versi Utama> Pariksa Point R80.40 Gaia Pasang sareng Ngaronjatkeun. Klik katuhu dina apdet ieu tur pilih Verifier. Prosés verifikasi bakal ngamimitian sababaraha menit, saatos éta anjeun bakal ningali pesen yén alatna tiasa diropéa. Upami anjeun ningali kasalahan, éta kedah dilereskeun.
angka 4. Update via CPUSE
5) Apdet kana versi panganyarna tina CDT (Central Deployment Tool) - utilitas anu dijalankeun dina server manajemén sareng ngamungkinkeun anjeun masang apdet, pakét jasa, ngatur cadangan, snapshot, naskah sareng seueur deui. Versi CDT anu kadaluarsa tiasa nyababkeun masalah sareng pembaruan. Anjeun tiasa ngundeur CDT di .
6) Saatos nempatkeun arsip anu diunduh dina SMS dina diréktori mana waé via WinSCP, sambungkeun via SSH ka SMS sareng lebetkeun modeu ahli. Hayu atuh ngingetan yén pamaké WinSCP kudu boga cangkang / bin / bash!
7) Lebetkeun paréntah:
cd /somepathtoCDT/
tar -zxvf .tgz
rpm -Uhv —force CPcdt-00-00.i386.rpm
Gambar 5. Masang Central Deployment Tool (CDT)
8) Lengkah saterusna nyaéta masang gambar R80.40. Klik katuhu dina apdet download, terus Masang. Émut yén pembaruan bakal nyandak 20-30 menit sareng pangladén manajemén moal sayogi pikeun sababaraha waktos. Ku alatan éta, asup akal pikeun satuju kana jandela layanan.
9) Sadaya lisénsi sareng kawijakan kaamanan disimpen, janten salajengna anjeun kedah ngaunduh anu énggal .
10) Sambungkeun ka SMS SmartConsole anyar sareng nyetél kawijakan kaamanan. Tombol Kawijakan Pasang di belah kénca juru luhur.
11) SMS anjeun parantos diropéa, teras anjeun kedah masang hotfix panganyarna. Dina tab Ningkatkeun (CPUSE) > Status sareng Aksi > Hotfix klik dina tombol mouse katuhu Verifiersaterusna Masang Ngamutahirkeun. Alat bakal reboot sorangan saatos masang apdet.
Gambar 6. Masang hotfix panganyarna via CPUSE
Ngamutahirkeun sareng Alat Migrasi
4) Kahiji, anjeun ogé kedah ngapdet kana versi CDT panganyarna - poin 5, 6, 7 tina bagian "Update nganggo CPUSE."
5) Pasang pakét Alat Migrasi anu diperyogikeun pikeun migrasi kawijakan ti server manajemén. Nurutkeun ieu anjeun tiasa manggihan Migrasi Pakakas pikeun versi: R80.20, R80.20 M1, R80.20 M2, R80.30, R80.40. Anjeun kedah ngaunduh Alat Migrasi versi na ka nu Anjeun hoyong apdet, sareng sanés anu anjeun gaduh ayeuna! Dina hal urang éta R80.40.
6) Salajengna dina panganteur web SMS buka tab Ningkatkeun (CPUSE)> Status sareng Aksi> Impor Paket> Kotektak> Pilih file anu diunduh> Impor.
Gambar 7. Ngimpor Pakakas Migrasi
7) Tina modeu ahli dina SMS, pariksa yén pakét Alat Migrasi dipasang nganggo paréntah (kaluaran paréntah kedah cocog sareng nomer dina nami arsip Alat Migrasi):
cpprod_util CPPROD_GetValue CPupgrade-tools-R80.40 BuildNumber 1
Gambar 8. Verifikasi pamasangan Alat Migrasi
8) Buka folder $FWDIR/scripts dina server manajemén:
cd $ FWDIR / naskah
9) Jalankeun verifikasi pre-upgrade nganggo paréntah (upami aya kasalahan, ngalereskeunana sateuacan léngkah salajengna):
./migrate_server pariksa -v R80.40
nyarios: lamun ningali kasalahan "Gagal nyandak pakét Alat Ngaronjatkeun", tapi anjeun parantos mariksa yén arsip parantos suksés diimpor (tingali titik 4), nganggo paréntah:
./migrate_server verifikasi -v R80.40 -skip_upgrade_tools_check
Gambar 9. Ngajalankeun naskah verifikasi
10) Kabijakan kaamanan ékspor nganggo paréntah:
./migrate_server ékspor -v R80.40 / / .tgz
angka 10. Exporting kawijakan kaamanan
nyarios: lamun ningali kasalahan "Gagal nyandak pakét Alat Ngaronjatkeun", tapi anjeun parantos pariksa yén arsip parantos suksés diimpor (léngkah 7), nganggo paréntah:
./migrate_server ékspor -skip_upgrade_tools_check -v R80.40 / / .tgz
11) Ngitung jumlah hash MD5 sareng simpen kaluaran paréntah:
md5sum / / .tgz
Angka 11. Ngitung jumlah hash MD5
12) Ngagunakeun WinSCP, mindahkeun file ieu ka komputer Anjeun.
13) Lebetkeun paréntah dF -h sarta simpen diri persentase directories dumasar kana spasi nempatan.
Gambar 12. Persentase diréktori per SMS
14.1) Bisi anjeun boga SMS nyata
14.1.1) Ngagunakeun USB flash drive bootable kalawan gambar dijieun .
14.1.2) Abdi nyarankeun nyiapkeun sahenteuna 2 bootable flash drive, saprak éta kajadian yén flash drive teu salawasna bisa dibaca.
14.1.3) Salaku administrator dina komputer Anjeun, ngajalankeun ISOmorphic.exe. Dina lengkah 1, pilih gambar diundeur Gaia R80.40, dina hambalan 4 flash drive. Robah titik 2 sareng 3 teu peryogi!
Gambar 13. Nyieun hiji bootable USB flash drive
14.1.4) Pilih hiji item "Pasang otomatis tanpa konfirmasi" jeung hal anu penting pikeun nangtukeun model server manajemén Anjeun. Dina kasus SMS, anjeun kedah milih jalur 3 atanapi 4.
Gambar 14. Milih model alat pikeun nyieun USB flash drive bootable
14.1.5) Salajengna, Anjeun mareuman upline, selapkeun flash drive kana port USB, sambungkeun kabel konsol via port COM ka alat jeung ngaktipkeun SMS. Prosés instalasi lumangsung otomatis. Alamat IP standar - 192.168.1.1/24, sareng inpormasi login admin/admin.
14.1.6) Lengkah saterusna nyaéta nyambungkeun kana panganteur wéb dina Gaia Portal (alamat standar ), dimana anjeun ngalangkungan inisialisasi alat. Salila initialization anjeun dasarna pencét Teras, sabab ampir kabéh setélan bisa dirobah dina mangsa nu bakal datang. Nanging, anjeun tiasa langsung ngarobih alamat IP, setélan DNS sareng hostname.
14.2) Upami anjeun gaduh SMS virtual
14.2.1) Dina kaayaan naon waé anjeun kedah ngahapus SMS lami; jieun mesin virtual énggal sareng sumber daya anu sami (CPU, RAM, HDD) sareng alamat IP anu sami. Ku jalan kitu, Anjeun bisa nambah RAM na HDD, saprak versi R80.40 téh saeutik leuwih nuntut. Pikeun ngahindarkeun konflik alamat IP, pareuman SMS anu lami sareng mimitian masang anu énggal.
14.2.2) Salila instalasi Gaia, ngonpigurasikeun alamat IP ayeuna tur pilih diréktori a / akar jumlah spasi nyukupan. Persentase diréktori anu anjeun gaduh kedah kirang langkung salamet, ngagunakeun kaluaran dF -h.
15) Dina momen milih jinis pamasangan "Jenis Pamasangan" milih pilihan kahiji, saprak paling dipikaresep anjeun teu boga MDS (Multi-Domain Server). Lamun MDS, mangka anjeun junun loba domain ti entitas SMS béda dina waktos anu sareng. Dina hal ieu, anjeun kudu milih item kadua.
angka 15. Milih tipe instalasi Gaia
16) Titik pangpentingna anu teu tiasa dilereskeun tanpa reinstalling nyaéta pilihan éntitas. Kedah milih Manajemén kaamanan tur pencét Teras. Sagalana sejenna nyaeta sacara standar.
angka 16. Milih hiji tipe éntitas nalika masang Gaia
17) Sakali alat reboots, sambungkeun ka panganteur web ngagunakeun atanapi alamat IP anu béda upami anjeun ngarobih.
18) Mindahkeun setélan tina screenshot ka sadaya tab Gaia Portal dimana aya anu dikonpigurasi, atanapi ngajalankeun paréntah tina clish konfigurasi beban .TXT. Berkas konfigurasi ieu kedah diunggah heula ka SMS.
nyarios: Alatan kanyataan yén OS anyar, WinSCP moal ngidinan Anjeun pikeun nyambung salaku administrator, ngarobah cangkang pamaké kana / bin / bash boh dina panganteur web dina tab Pamaké, atawa ku cara nuliskeun paréntah. chsh –s /bin/bash atawa nyieun pamaké anyar.
19) Unggah file sareng kawijakan anu diékspor ti pangladén manajemén lami ka diréktori mana waé. Teras angkat ka konsol dina modeu ahli sareng pariksa yén jumlah hash MD5 cocog sareng anu sateuacana. Upami teu kitu, ékspor kedah dilakukeun deui:
jumlah md5 / / .tgz
20) Ulang deui lengkah 6 sareng pasang Upgrade Tools dina SMS anyar dina Gaia Portal dina tab Ningkatkeun (CPUSE) > Status sareng Aksi.
21) Lebetkeun paréntah dina modeu ahli:
./migrate_server import -v R80.40 -skip_upgrade_tools_check / / .tgz
angka 17. Importing kawijakan kaamanan ka SMS anyar
22) Aktipkeun jasa kalayan paréntah cpstart.
23) Ngundeur nu anyar tur sambungkeun ka server manajemén. Pindah ka Menu > Atur Lisensi sareng Paket (SmartUpdate) jeung pariksa yen Anjeun masih boga lisénsi Anjeun.
angka 18. Mariksa lisénsi dipasang
24) Setel kawijakan kaamanan dina gateway atanapi klaster - Kawijakan Pasang.
Kaamanan Gateway (SG) Update
Gerbang Kaamanan tiasa diropéa nganggo CPUSE, sapertos server manajemén, atanapi dipasang deui - seger install. Tina pangalaman kuring, dina 99% kasus, sadayana masang deui Security Gateway kusabab kanyataan yén waktuna ampir sami sareng ngamutahirkeun via CPUSE, tapi anjeun nampi OS anu bersih sareng diropéa tanpa bug.
Kalayan analogi sareng SMS, anjeun kedah nyiptakeun cadangan sareng snapshot, sareng ogé nyimpen setélan tina Gaia Portal. Tingali titik 1, 2 sareng 3 dina bagian "Update Server Manajemén Kaamanan".
Ngamutahirkeun kalawan CPUSE
Ngamutahirkeun Gerbang Kaamanan liwat CPUSE sami sareng ngamutahirkeun Server Manajemén Kaamanan, janten mangga tingal awal tulisan.
titik penting: update SG merlukeun reboot! Ku alatan éta, update salila jandela pangropéa. Upami anjeun gaduh klaster, ningkatkeun heula titik pasip, teras gentos peran sareng ningkatkeun titik anu sanés. Dina kasus klaster, jandéla pangropéa tiasa dihindari.
Masang versi OS anyar dina Security Gateway
1.1) Upami anjeun gaduh SG nyata
1.1.1) Ngagunakeun USB flash drive bootable kalawan gambar dijieun . Gambarna sami sareng dina SMS, tapi prosedur pikeun nyiptakeun flash drive bootable katingalina rada béda.
1.1.2) Abdi nyarankeun nyiapkeun sahenteuna 2 bootable flash drive, saprak éta kajadian yén flash drive teu salawasna bisa dibaca.
1.1.3) Salaku administrator dina komputer Anjeun, ngajalankeun ISOmorphic.exe. Dina lengkah 1, pilih gambar diundeur Gaia R80.40, dina hambalan 4 flash drive. Robah titik 2 sareng 3 teu peryogi!
Gambar 19. Nyieun hiji bootable USB flash drive
1.1.4) Pilih hiji item "Pasang otomatis tanpa konfirmasi", sareng hal anu penting pikeun nunjukkeun modél gateway Kaamanan anjeun - garis 2 atanapi 3. Upami ieu mangrupikeun kotak pasir fisik (SandBlast Appliance), teras pilih jalur 5.
Gambar 20. Milih model alat pikeun nyieun USB flash drive bootable
1.1.5) Salajengna, Anjeun mareuman upline, selapkeun flash drive kana port USB, sambungkeun kabel konsol via port COM ka alat jeung ngahurungkeun gateway nu. Prosés instalasi lumangsung otomatis. Alamat IP standar - 192.168.1.1/24, sareng inpormasi login admin/admin. Anjeun kedah ngapdet heula titik pasip, teras pasang kawijakan dina éta, gentos kalungguhan teras ngapdet titik anu sanés. Anjeun paling dipikaresep bakal butuh jandela pangropéa.
1.1.6) Lengkah saterusna nyaéta nyambungkeun kana panganteur web on Gaia Portal, dimana anjeun ngaliwatan initialization mimiti alat. Salila initialization anjeun dasarna pencét Teras, sabab ampir kabéh setélan bisa dirobah dina mangsa nu bakal datang. Nanging, anjeun tiasa langsung ngarobih alamat IP, setélan DNS sareng hostname.
1.2) Upami anjeun gaduh SG virtual
1.2.1) Jieun mesin virtual anyar jeung sumberdaya sarua (CPU, RAM, HDD) atawa leuwih, saprak versi R80.40 saeutik leuwih nuntut. Pikeun ngahindarkeun konflik alamat IP, pareuman gateway anu lami sareng mimitian masang anu énggal sareng alamat IP anu sami. The SG heubeul bisa aman dihapus, saprak aya nanaon berharga di dinya, sabab sagala hal pangpentingna - kawijakan kaamanan - ayana dina server manajemén.
1.2.2) Salila instalasi OS, ngonpigurasikeun alamat IP ayeuna tur pilih diréktori a / akar jumlah spasi nyukupan.
3) Sambungkeun ka gateway via port HTTPS tur mimitian prosés initialization. Dina waktu milih tipe instalasi "Jenis Pamasangan" pilih pilihan kahiji - gateway Kaamanan jeung / atawa Manajemén Kaamanan.
angka 21. Milih tipe instalasi Gaia
4) Titik pangpentingna nyaéta pilihan éntitas (Produk). Kedah milih Gerbang Kaamanan jeung, lamun boga klaster a, pariksa kotak "Unit mangrupa bagian tina klaster, tipe: ClusterXL". Upami Anjeun gaduh klaster VRRP, lajeng pilih tipe ieu, tapi teu mungkin.
angka 22. Milih hiji tipe éntitas nalika masang Gaia
5) Dina lengkah saterusna, nyetel SIC hiji-waktos sandi pikeun ngadegkeun kapercayaan jeung server manajemén. Ngagunakeun sandi ieu, sertipikat dihasilkeun, sarta server manajemén bakal komunikasi sareng gateway ngaliwatan saluran komunikasi énkripsi. tanda centang "Sambungkeun ka Manajemén anjeun salaku Jasa" kudu disetel lamun server manajemén lokasina di awan. Kami nembe nyerat perkawis ieu jeung kumaha merenah tur basajan server manajemén awan.
angka 23. Nyiptakeun SIC
6) Mimitian prosés initialization dina tab salajengna. Pas alat reboots, sambungkeun ka panganteur web tur mindahkeun setelan tina Potret layar ka sadaya tab Gaia Portal nu aya hal ieu ngonpigurasi, atawa ngajalankeun paréntah ti clish. konfigurasi beban .TXT. Berkas konfigurasi ieu kedah diunggah heula ka gerbang kaamanan.
nyarios: Alatan kanyataan yén OS anyar, WinSCP moal ngidinan Anjeun pikeun nyambung salaku administrator, ngarobah cangkang pamaké kana / bin / bash boh dina panganteur web dina tab Pamaké, atawa ku cara nuliskeun paréntah. chsh –s /bin/bash atawa jieun pamaké anyar kalawan cangkang ieu.
7) Buka sareng lebet kana objék Kaamanan Gateway anu anjeun pasang deui. Buka tab Pasipatan Umum> Komunikasi> Reset SIC sareng lebetkeun kecap akses anu ditangtukeun dina léngkah 5.
Gambar 24: Ngadegkeun kapercayaan sareng gateway kaamanan anyar
8) Versi Gaia obyék kedah robih, upami henteu robih, teras robih sacara manual. Teras pasang kawijakan dina gateway.
9) Dina Gaia Portal, buka tab Ningkatkeun (CPUSE) > Status sareng Aksi > Hotfix tur masang hotfix panganyarna. Alat bakal lebet kana reboot salila instalasi!
10) Dina kasus klaster, robih peran titik sareng laksanakeun léngkah anu sami pikeun titik anu sanés.
kacindekan
Kuring diusahakeun sangkan pituduh paling jelas tur komprehensif pikeun ngaronjatkeun tina versi R80.20 / R80.30 mun R80.40 ayeuna, saprak loba geus robah. Vérsi geus mucunghul dina modeu demo, tapi prosedur update tetep leuwih atawa kurang idéntik. Dipimpin ku pejabat ti Cék Point, anjeun tiasa angka kaluar sagala rinci diri.
Pikeun patalékan anjeun tiasa ngahubungan kami. Kami bakal resep ngabantosan pembaruan sareng kasus anu paling rumit salaku bagian tina dukungan téknis kami . Ogé di urang kasebut nyaéta dimungkinkeun pikeun mesen hiji Inok tina setélan Check Point atawa ninggalkeun eta bebas pikeun hal teknis.
. Tetep di dieu (, , , , ).
sumber: www.habr.com