04명령줄 인터페이스 (Gaia Clish)명령줄 인터페이스 (Gaia Clish)

Gaia 시스템에는 두 가지 길로 접속합니다.

접속한 뒤 사용자 이름·암호로 로그인합니다. 설치 직후 기본 사용자 이름과 암호는 모두 admin 입니다(첫 로그인 후 반드시 바꾸세요).

Security Group에서는 gClish

Maestro·Chassis 같은 Scalable Platform의 Security Group 을 구성할 때는 Gaia Clish 대신 Gaia gClish(Global Clish)를 씁니다. 해당 Security Group의 명령줄에 붙어 Gaia Clish에 로그인한 다음, 이렇게 진입합니다.

gclish

gClish는 쓰는 법은 Gaia Clish와 같지만, 명령이 기본적으로 "전역(global)"이라 Security Group의 모든 멤버에 적용 된다는 점이 다릅니다. 몇 가지 규칙을 알아 두어야 합니다.

  show {config-lock | config-state}     # 현재 잠금 상태 보기
  set config-lock on override            # 잠금 획득(강제)
  

여기서 반드시 기억할 것 이 있습니다. Gaia Clish로 OS 구성을 바꾸면 그 변경은 실행 중인 시스템에는 즉시 적용되지만, 재부팅하면 사라진 다는 점입니다.

이 가이드(와 Check Point 문서 전반)는 명령·파라미터·옵션을 가능하면 알파벳 순 으로 싣고, 구문을 다음 약속대로 표기합니다. 이걸 알아야 다른 장의 명령 설명도 정확히 읽을 수 있습니다.

들여쓰기(TAB) 표기가 헷갈리기 쉬운데, 예를 들어 이렇게 쓰여 있으면:

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 아래 중 하나의 명령 을 실행하라는 뜻입니다 — cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options>.

Gaia Clish는 외우지 않아도 다음 입력을 알려 주는 자동 완성이 강력합니다. 시간을 아끼고, 무엇을 칠지 모를 때 길잡이가 됩니다.

Gaia Clish 명령은 관련 기능끼리 묶여 있고, 기본 구조는 일정합니다.

<Operation> <Feature> <Parameter>

주 연산(main operations) 네 가지가 가장 자주 쓰입니다.

그 밖의 연산도 알아 두면 좋습니다.

여기서 트랜잭션 모드 가 유용합니다. start로 트랜잭션을 시작하면, 그 안에서 한 모든 변경은 한꺼번에 적용(commit)되거나, 전부 취소(rollback) 됩니다 — 중간 상태가 남지 않으니 위험한 변경을 안전하게 묶어 적용할 수 있습니다.

가능한 명령을 직접 둘러보는 방법도 있습니다.

show commands                              # 내 권한으로 쓸 수 있는 명령
show commands feature<SPACE><TAB>          # 모든 기능 목록
show commands feature <FeatureName>        # 특정 기능의 모든 명령
show commands [op <Name>] [feature <Name>] # 특정 연산/기능의 명령
show commands op<SPACE><TAB>               # 모든 연산 목록

목록이 길어 More 프롬프트가 뜨면 — <SPACE>로 다음 페이지, <ENTER>로 다음 줄, Q로 빠져나갑니다.

이미 쓴 명령은 이전 세션 것까지 불러올 수 있습니다.

단어 단위로 재사용하기

이력 명령에 단어 지정자(word designator) 를 붙이면 이전 명령의 특정 단어만 가져올 수 있습니다. 단어는 줄 처음부터 0번(연산어)·1번·2번… 으로 셉니다. 이력 명령과 단어 지정자는 콜론(:)으로 구분합니다. 예를 들어 !!:1 은 직전 명령의 첫 번째 인자를 가리킵니다(show interfaces에서 interfaces가 1번 단어).

단어 지정자 바로 뒤에는 콜론을 앞세운 수정자(modifier) 를 하나 이상 이어 붙일 수 있습니다.

명령줄을 고칠 때 쓰는 키들입니다(Emacs식 단축키와 같습니다).

Gaia 구성 데이터베이스는 한 번에 한 사용자만 Read/Write 권한 을 가질 수 있습니다. 나머지 사용자는 자신의 역할(role)이 허용하는 범위에서 Read-Only로 로그인해 설정을 보기만 합니다(역할).

로그인할 때 다른 사용자가 쓰기 권한을 쥐고 있지 않으면, 여러분이 배타적 잠금을 얻어 Read/Write가 됩니다. 이미 다른 사용자가 잠금을 쥐고 있다면, 그 잠금을 override(강제 획득) 할지 선택할 수 있습니다.

lock database / unlock database 명령

lock database override
unlock database

lock database override 는 다른 관리자의 쓰기 권한을 빼앗아 배타적 Read/Write를 얻는 명령입니다.

참고로 lock database override 는 set config-lock on override 와 똑같고, unlock database 는 set config-lock off 와 똑같습니다.

config-lock 명령

구성 잠금의 상태를 설정·조회합니다.

set config-lock
    off
    on [timeout <5-900>] override
show
    config-lock
    config-state

set config-lock on override = lock database override, set config-lock off = unlock database 로 서로 같은 명령입니다.

셸의 동작 방식은 클라이언트 환경 으로 바꿉니다. 한 세션 동안만, 또는 영구적으로 설정할 수 있습니다.

show clienv {all | config-lock | debug | echo-cmd | on-failure | output | prompt | rows | syntax-check}

set clienv
    config-lock {on | off}
    debug {0-6}
    echo-cmd {on | off}
    on-failure {continue | stop}
    output {pretty | structured | xml}
    prompt <Prompt String>
    rows <Number of Rows>
    syntax-check {on | off}

save clienv     # 변경을 영구 저장

각 파라미터의 뜻은 다음과 같습니다.

출력 형식 세 가지

같은 show user admin 명령도 출력 형식에 따라 다르게 나옵니다.

  gaia> set clienv output pretty
  gaia> show user admin
  Uid Gid Home Dir.   Shell        Real Name  Privileges
  0   0   /home/admin /bin/cli.sh  Admin      Admin-like shell
  

  gaia> set clienv output structured
  gaia> show user admin
  Uid;Gid;Home Dir.;Shell;Real Name;Privileges;
  0;0;/home/admin;/bin/bash;Admin;Admin-like shell;
  

  gaia> set clienv output xml
  gaia> show user admin
  <?xml version="1.0"?>
  <CMDRESPONSE><CMDTEXT>show user admin</CMDTEXT>
  <RESPONSE><System_User><Row>
  <Uid>0</Uid><Gid>0</Gid><Home_Dir.>/home/admin</Home_Dir.>
  <Shell>/bin/bash</Shell><Real_Name>Admin</Real_Name>
  <Privileges>Admin-like shell</Privileges>
  </Row></System_User></RESPONSE></CMDRESPONSE>
  

Gaia Clish는 보안을 위해 명령이 제한된 restricted shell 이라(역할 기반으로 쓸 수 있는 명령이 정해짐) 저수준 시스템 기능에는 닿지 않습니다. 파일 시스템 등 낮은 수준의 구성이 필요하면 더 허용적인 Expert mode 셸 로 내려갑니다(추가로 sk144112 참고).

expert     # Gaia Clish에서 Expert 셸로 진입
exit       # Expert 셸에서 Gaia Clish로 복귀

Expert mode 암호 설정은 시스템 관리의 System Passwords를 참고하세요.

여기엔 꼭 지켜야 할 원칙이 있습니다.

Gaia는 Expert mode 로그인을 /var/log/messages에 기록합니다 — 로컬 로그인은 Console connection by <user> user to Expert Shell at <시각>, SSH 로그인은 SSH connection by <user> user to Expert Shell with client IP <IP> at <시각> 형태입니다. 이 알림 기능은 다음으로 제어합니다.

show audit login-notifier        # 현재 상태
set audit login-notifier on      # 켜기(기본값)
set audit login-notifier off     # 끄기

User Defined (Extended) Commands 는 일반 Linux 명령을 Gaia Clish 명령으로 등록 하는 기능입니다. 확장 명령에는 두 종류가 있습니다 — Gaia·Check Point 제품을 구성·점검하는 내장(built-in) 확장 명령 과, 관리자가 직접 만드는 사용자 정의 명령 입니다.

확장 명령의 진짜 쓸모는 역할 기반 관리(RBA) 와 결합할 때 나옵니다 — 확장 명령을 역할에 할당하고, 그 역할을 사용자·사용자 그룹에 부여해 특정 사용자만 그 명령을 쓰게 만듭니다.

show extended commands                                   # 모든 확장 명령 보기
show command <Command>                                   # 특정 명령의 경로·설명 보기
add command <Command> path <Path> description "<Text>"   # 확장 명령 추가
delete command <Command>                                 # 확장 명령 삭제

역할에 넣을 수 있는 확장 명령 목록은 사용자 관리의 역할 항목에서 다룹니다.

예제 — `free` 명령을 john에게 부여하기

리눅스 free 명령(메모리 사용량 표시)을 systemDiagnosis 역할에 넣고, 그 역할을 사용자 john에게 주는 전체 과정입니다.

   gaia> add command free path /usr/bin/free description "Display amount of free and used memory in the system"
   

   gaia> add rba role systemDiagnosis domain-type System readwrite-features ext_free
   

   gaia> add rba user john roles systemDiagnosis
   

마지막으로, 시스템에서 쓸 수 있는 명령 전체를 직접 확인 하는 방법입니다. 모두 같은 요령으로, 연산어를 친 뒤 <TAB>을 누르는 것입니다.