12고급 구성과 트랜시버 모니터링고급 구성과 트랜시버 모니터링

Security Gateway의 Expert mode 암호 재설정

Expert mode 암호를 잊었다면 sk106490의 절차를 따라 다시 설정합니다. 이는 Security Gateway, Cluster Member, Scalable Platform Security Group 모두에 해당합니다.

지원되는 SSH Cipher·MAC·KexAlgorithm 구성

Gaia OS의 SSH 데몬(sshd) 은 통신 방식을 세세하게 조절할 수 있습니다. 어떤 암호화를 쓸지, 무결성을 어떻게 보장할지, 세션 키를 어떻게 교환할지, 그리고 누가 어떤 방식으로 로그인할 수 있는지를 모두 Gaia Clish에서 정할 수 있습니다. 다룰 수 있는 설정은 다음과 같습니다.

각 sshd 파라미터의 자세한 설명은 리눅스 매뉴얼 페이지 sshd_config(5)를 참고하세요.

전체 구문

set ssh server
      cipher <Cipher>{on | off}
      client-alive-interval 0-65535
      kex <Key Exchange Algorithm> {on | off}
      mac <Message Authentication Code> {on | off}
      password-authentication {yes | no}
      permit-root-login {yes | no | without-password | prohibit-password | forced-commands-only}
      use-dns {yes | no}
show ssh server
      cipher enabled
      cipher supported
      client-alive-interval
      kex enabled
      kex supported
      mac enabled
      mac supported
      password-authentication
      permit-root-login
      use-dns

SSH Cipher

지원되는 Cipher 목록은 show ssh server cipher supported, 현재 켜진 목록은 show ssh server cipher enabled로 봅니다. 켜고 끄는 명령은 다음과 같습니다.

set ssh server cipher <Cipher> {on | off}

지원되는 SSH Cipher — 3des-cbc, aes128-cbc, aes128-ctr, aes128-gcm@openssh.com, aes192-cbc, aes192-ctr, aes256-cbc, aes256-ctr, aes256-gcm@openssh.com, chacha20-poly1305@openssh.com, rijndael-cbc@lysator.liu.se

기본으로 켜진 Cipher — aes128-ctr, aes128-gcm@openssh.com, aes192-ctr, aes256-ctr, aes256-gcm@openssh.com, chacha20-poly1305@openssh.com

SSH Key Exchange Algorithm

지원 목록은 show ssh server kex supported, 켜진 목록은 show ssh server kex enabled로 보고, 다음 명령으로 켜고 끕니다.

set ssh server kex <Key Exchange Algorithm> {on | off}

지원되는 Key Exchange Algorithm — curve25519-sha256, curve25519-sha256@libssh.org, diffie-hellman-group1-sha1, diffie-hellman-group14-sha1, diffie-hellman-group14-sha256, diffie-hellman-group16-sha512, diffie-hellman-group18-sha512, diffie-hellman-group-exchange-sha1, diffie-hellman-group-exchange-sha256, ecdh-sha2-nistp256, ecdh-sha2-nistp384, ecdh-sha2-nistp521

기본으로 켜진 알고리즘 — curve25519-sha256, curve25519-sha256@libssh.org, diffie-hellman-group14-sha1, diffie-hellman-group14-sha256, diffie-hellman-group16-sha512, diffie-hellman-group18-sha512, diffie-hellman-group-exchange-sha256, ecdh-sha2-nistp256, ecdh-sha2-nistp384, ecdh-sha2-nistp521

SSH MAC(Message Authentication Code)

지원 목록은 show ssh server mac supported, 켜진 목록은 show ssh server mac enabled로 보고, 다음 명령으로 켜고 끕니다.

set ssh server mac <Message Authentication Code> {on | off}

지원되는 MAC — hmac-md5-96-etm@openssh.com, hmac-md5-etm@openssh.com, hmac-sha1, hmac-sha1-96-etm@openssh.com, hmac-sha1-etm@openssh.com, hmac-sha2-256, hmac-sha2-256-etm@openssh.com, hmac-sha2-512, hmac-sha2-512-etm@openssh.com, umac-64-etm@openssh.com, umac-64@openssh.com, umac-128-etm@openssh.com, umac-128@openssh.com

기본으로 켜진 MAC — hmac-sha1, hmac-sha1-etm@openssh.com, hmac-sha2-256, hmac-sha2-256-etm@openssh.com, hmac-sha2-512, hmac-sha2-512-etm@openssh.com, umac-64-etm@openssh.com, umac-64@openssh.com, umac-128-etm@openssh.com, umac-128@openssh.com

SSH Client Alive Interval

현재 간격은 show ssh server client-alive-interval로 보고, 원하는 간격(초)은 다음으로 설정합니다.

set ssh server client-alive-interval 0-65535

SSH Password Authentication

현재 허용 여부는 show ssh server password-authentication로 보고, 다음으로 설정합니다.

set ssh server password-authentication {yes | no}

SSH Permit Root Login

현재 허용 여부는 show ssh server permit-root-login로 보고, 다음으로 설정합니다.

set ssh server permit-root-login {yes | no | without-password | prohibit-password | forced-commands-only}

SSH DNS Usage

현재 설정은 show ssh server use-dns로 보고, 다음으로 설정합니다.

set ssh server use-dns {yes | no}

Multi-Domain 서버에 IPv6 주소 구성하기

R82부터는 Check Point 내부 통신에 IPv6 주소 를 쓸 수 있습니다. 적용되는 통신은 다음과 같습니다.

새 IPv6 주소를 구성하는 절차

1부 — Multi-Domain 서버 구성

   https://<IP Address or Gaia Management Interface>/api_docs/#introduction
   

mgmt_cli 형태로는 다음과 같습니다.

   mgmt_cli --domain 'System Data' set-mds name <Name of Multi-Domain Server Object> ipv6-address "<IPv6 Address Configured on Leading Interface>"
   

기존 Domain Management Server / Domain Log Server 객체를 갱신하고 재시작 하려면:

   mgmt_cli set domain name "<Name of Domain Object>" servers.update.multi-domain-server "Name of Multi-Domain Server Object" servers.update.name "Name of Domain Management Server or Domain Log Server Object" servers.update.ipv6-address "<IPv6 Address of Domain Management Server or Domain Log Server Object>" servers.update.restart-domain-server true
   

IPv4·IPv6를 모두 가진 새 Domain Management Server 를 만들고 시작하려면:

   mgmt_cli add domain name "Name of Domain Object" servers.1.multi-domain-server "<Name of Multi-Domain Security Management Server Object>" servers.1.name "<Name of Domain Management Server Object>" servers.1.type "management server" servers.1.ipv4-address "<IPv4 Address of Domain Management Server Object>" servers.1.ipv6-address "<IPv6 Address of Domain Management Server Object>"
   

새 Domain Log Server 를 만들고 시작하려면:

   mgmt_cli add domain name "Name of Domain Object" servers.1.multi-domain-server "<Name of Multi-Domain Log Server Object>" servers.1.name "<Name of Domain Log Server Object>" servers.1.type "log server" servers.1.ipv4-address "<IPv4 Address of Domain Log Server Object>" servers.1.ipv6-address "<IPv6 Address of Domain Log Server Object>"
   

2부 — Security Gateway·Cluster Member 구성

3부 — SmartConsole에서 Security Gateway·Cluster 객체 구성

R82 Security Management Administration Guide를 따릅니다.

기존 IPv6 주소를 변경하는 절차

   mdsconfig -n disable_ipv6 <Name of Leading Interface>
   

   mgmt_cli set domain name "<Name of Domain Object>" servers.update.multi-domain-server "<Name of Multi-Domain Server Object>" servers.update.name "<Name of Domain Management Server or Domain Log Server Object>" servers.update.ipv6-address "<IPv6 Address of Domain Management Server or Domain Log Server Object>" servers.update.restart-domain-server true
   

Security Gateway의 전역 파라미터(Global Parameters) 다루기

배경

Security Gateway, Cluster Member, Scalable Platform Security Group에서는 Check Point 전역 파라미터의 값을 바꿔 특정 기능의 기본 동작을 제어 할 수 있습니다.

R81.20 이하에서는 이런 값을 여러 구성 파일에 직접 적어 넣어야 했습니다. 예를 들어 방화벽 커널 파라미터는 $FWDIR/boot/modules/fwkern.conf, SecureXL 커널 파라미터는 $PPKDIR/conf/simkern.conf 파일에 두었습니다.

R82부터는 다음 두 가지 방식으로 전역 파라미터를 조회·구성할 수 있습니다.

방식 1 — 중앙 데이터베이스(Config Point, 권장)

레거시 구성 파일을 고치는 대신, 중앙 데이터베이스에서 값을 바꾸는 새 방식입니다. 이 기능을 Config Point 라 부르며, 현재 세션에만 또는 영구적으로 값을 바꿀 수 있습니다.

쓸 수 있는 방법은 세 갈래입니다.

  https://<IPv4 Address of Gaia>/gaia_docs/#web/show-global-params~v1.8%20
  https://<IPv4 Address of Gaia>/gaia_docs/#web/set-global-params~v1.8%20
  

방식 2 — 레거시 구성 파일

R81.20 이하처럼 레거시 구성 파일에서 값을 바꾸는 방식입니다. 예를 들어 커널 파라미터는 $FWDIR/boot/modules/fwkern.conf와 $PPKDIR/conf/simkern.conf에 둡니다. Gaia Clish 또는 Expert mode에서 다음 명령으로 커널 파라미터를 다룹니다.

fw ctl get int ...
fw ctl get str ...
fw ctl set [-f] int ...
fw ctl set [-f] str ...

커널 파라미터 구성의 전체 절차는 R82 Quantum Security Gateway Guide의 "Working with Kernel Parameters" 챕터를 참고하세요.

Gaia Clish / Gaia gClish에서 전역 파라미터 조회 구문

show global-param all
[filter-by]
            modified [format {json | table}]
            not-default [format {json | table}]
            with-comments [format {json | table}]
[format {json | table}]
show global-param path {all | <Full Path in DB> | <Path with Wildcards in DB>}
[filter-by]
            modified [format {json | table}]
            not-default [format {json | table}]
            with-comments [format {json | table}]
[format {json | table}]

Gaia Clish / Gaia gClish에서 전역 파라미터 구성 구문

set virtual-system <ID>
set global-param path <Parameter Path in DB>
      comment "Comment Text"
      param-value <Parameter Value>
            comment "Comment Text"
            use-regex {true | false} dry-run {true | false}
            volatile true use-regex {true | false} dry-run {true | false}
      use-default {true | false}
            comment "Comment Text"
            use-regex {true | false} dry-run {true | false}
            volatile true use-regex {true | false} dry-run {true | false}
      volatile {true | false} use-regex {true | false} dry-run {true | false}

Expert mode에서 전역 파라미터 조회·구성 구문

confp_cli show
[-p <Parameter Path in DB>]
[{-fo | --format} {json | table}]
[{-fi | --filter} {modified | not-default | with-comments}]
[-vsid <ID>]
[--member-id <Member ID>]
['<JSON input>']
confp_cli set
[-p <Parameter Path in DB>]
[-v <Parameter Value>]
[-c "<Comment Text>"]
[-d {true | false}]
[-vsid {<ID> | all}]
[{-vo | --volatile} {true | false}]
[--regex {true | false}]
[--dry-run {true | false}]
[--distribute {true | false}]
['<JSON input>']
confp_cli fetch
confp_cli get
[-p <Parameter Path in DB>]
[-vsid <ID>]
confp_cli get_value
[-p <Parameter Path in DB>]
[-vsid <ID>]
[{-fo | --format} {json | string | fwset}]

Expert mode에서 'Config Point' 제어 구문

      confirm_fixed_warnings
      generate_docs [{-s|--schema} <Full Path to Schema File>]
      restart
      start
      stop
      validate_schema [{-s|--schema} <Full Path to Schema File>]

Gaia Portal 웹 서버 구성하기

배경

Gaia Portal을 담당하는 웹 서버 동작을 구성 할 수 있습니다.

구문

현재 구성을 보려면:

show web
daemon-enable
session-timeout
ssl-port
ssl3-enabled
table-refresh-rate

구성하려면:

set web
daemon-enable {on | off}
session-timeout <Timeout>
ssl-port <Port>
ssl3-enabled {on | off}
table-refresh-rate <Rate>

파라미터

lightshot — 가벼운 Gaia OS 스냅샷

lightshot 은 가벼운 Gaia OS 스냅샷을 다루는 유틸리티 입니다. 로그 파일은 /var/log/lightshot.log에 남고, 스냅샷은 /mnt/lightshot 파티션에 저장됩니다.

구문

모든 하위 명령은 공통 옵션을 앞에 둘 수 있습니다.

lightshot [--ip <IP Address> [--username <Username>] [--pswd <Password>]] [--format {txt | json | yaml}
      callback
            -h
            update-token
      clone
            -h
            --reboot
            --ssh-mode
      create
            -h
            [--descr <"Description">]
            [--force]
            [<Name of Snapshot>]
      delete
            -h
            [--fcd]
            [--force]
            [--keep <Number>]
            [<Name of Snapshot>]
      expert
            -h
            mount
            show-token
            umount
            update-token
      import
            -h
            [<Name of Snapshot>]
      restore
            -h
            [--fcd]
            [--now]
            [--reboot]
            [<Name of Snapshot>]
      set
            -h
            configuration
                  -h
                  state {enabled | disabled}
                  verbosity {0 | 1 | 2 | 3}
      show
            -h
            configuration
                  -h
                  savelogs
            diff
                  -h
                  <Name of Snapshot 1> <Name of Snapshot 2>
            partition
                  -h
                  [--filter <Parameter>]
            snapshot
                  -h
                  [--name <Name of Snapshot>]
            snapshots
                  -h
                  [--verbose]

파라미터

공통 옵션부터 정리합니다.

하위 명령은 다음과 같습니다.

배경

Check Point 어플라이언스에 광케이블을 연결할 때는 SFP(Small Form-Factor Pluggable) 와 QSFP(Quad Small Form-factor Pluggable) 트랜시버를 씁니다. 아래 Gaia Clish 명령들은 어플라이언스에 꽂힌 트랜시버의 실시간 상태 데이터 를 보여 줍니다 — 온도, 전압, 레이저 바이어스 전류, 송신·수신 광 파워 등을 점검해 광링크의 건강 상태를 확인할 수 있습니다.

인터페이스 트랜시버 정보 보기

한 인터페이스의 트랜시버 요약을 보려면:

show interface <Name of Interface> xcvr

출력 예시는 다음과 같습니다. Check Point 인증 여부, 온도(°C), 전압(V), 레이저 바이어스 전류(mA), 송신 파워(dBm), 수신 파워(dBm), LOS(Loss of Signal), Transmitter Fault 가 한 줄로 나옵니다.

gaia> show interface eth1-01 xcvr
Port    Check Point   Temp   Voltage  Laser Bias   Transmit  Rec     LOS  Transmitter
        Certified     (°C)   (V)      Current(mA)  Power(dBm) Power(dBm)   Fault
----    ---           -----  -----    ------       -----     -----   -    --
eth1-01 Yes           26.53  3.35     39.19        -1.30     -0.02   Off  Off
gaia>

인터페이스 트랜시버 상세 정보 보기

한 인터페이스의 트랜시버 상세를 보려면:

show interface <Name of Interface> xcvr_detail

이 명령은 제조사·부품 번호·Check Point 부품 정보·레이저 파장·링크 거리 등 제품 식별 정보 와 함께, 온도·전압·전류·송신/수신 파워의 현재 값과 경보(Alarm)·경고(Warning)의 상·하한 임계값 을 보여 줍니다.

gaia> show interface eth1-01 xcvr_detail
eth1-01 SFP is present
Product Type: 10G Base-LR
Vendor name: FINISAR CORP.
Vendor PN: FTLX1471D3BCV-CK
Vendor rev: A
Vendor SN: AWN0L3T
Check Point part number: CPAC-TR-10LR
Check Point Material ID: 309856
Laser wavelength: 1310nm
Link Length for SMF,km: 10km
Link Length for SMF: 10000m
Link Length for 50um: 0m
Link Length for 62.5um: 0m
Link Length for Copper: 0m
Link Length for OM3: 0m
No tx fault, No rx loss
QSFP Diagnostic Information
--------------------------------------------------------------------------------
                          Alarms              Warnings
                          High      Low       High      Low
--------------------------------------------------------------------------------
Temperature   26.80 C     78.00 C   -13.00 C  73.00 C   -8.00 C
Voltage       3.35 V      3.70 V    2.90 V    3.60 V    3.00 V
Current       39.21 mA    85.00 mA  7.00 mA   80.00 mA  12.00 mA
Tx Power      -1.29 dBm   2.00 dBm  -8.00 dBm 1.00 dBm  -7.00 dBm
Rx Power      -0.02 dBm   2.50 dBm  -20.00 dBm 2.00 dBm -18.01 dBm
gaia>

모든 인터페이스의 트랜시버 정보 보기

시스템의 모든 인터페이스를 한 번에 보려면:

show interfaces xcvr

트랜시버가 없는 포트는 transceiver information not available로 표시되고, 꽂힌 포트는 위 단일 인터페이스 출력과 같은 형식의 한 줄로 나옵니다.

gaia> show interfaces xcvr
Port    Check Point   Temp   Voltage  Laser Bias   Transmit  Rec     LOS  Transmitter
        Certified     (°C)   (V)      Current(mA)  Power(dBm) Power(dBm)   Fault
----    ---           -----  -----    ------       -----     -----   -    --
eth1    transceiver information not available
eth1-01 Yes           26.94  3.35     39.30        -1.30     -0.06   Off  Off
eth1-02 Yes           30.36  3.35     8.79         -2.53     -2.86   Off  Off
eth1-03 Yes           27.96  3.35     35.08        -1.43     -0.53   Off  Off
eth1-04 transceiver information not available
eth2    transceiver information not available
eth2-01 Yes           27.46  3.35     7.51         -2.18     -2.78   Off  Off
eth2-02 transceiver information not available
eth2-03 transceiver information not available
eth2-04 transceiver information not available
eth3    transceiver information not available
eth4    transceiver information not available
eth5    transceiver information not available
eth6    transceiver information not available
eth7    transceiver information not available
eth8    transceiver information not available
gaia>

모든 인터페이스의 트랜시버 상세 정보 보기

모든 인터페이스의 상세 진단을 한 번에 보려면:

show interfaces xcvr_detail

트랜시버가 없는 포트는 no information available로 표시되고, 꽂힌 포트마다 앞서 본 xcvr_detail 형식의 전체 블록(제품 정보 + 진단 임계값)이 차례로 나옵니다.

gaia> show interfaces xcvr_detail
eth1 no information available
eth1-01 SFP is present
Product Type: 10G Base-LR
Vendor name: PROLABS
Vendor PN: ER-SFP-10G-I-CPA
Vendor rev: A1__
Vendor SN: CPT111BF7903
Check Point part number: CPAC-TR-10ER-C
Check Point Material ID: 328822
Laser wavelength: 1550nm
Link Length for SMF,km: 40km
Link Length for SMF: 25500m
Link Length for 50um: 0m
Link Length for 62.5um: 0m
Link Length for Copper: 0m
Link Length for OM3: 0m
No tx fault, Yes rx loss
QSFP Diagnostic Information
--------------------------------------------------------------------------------
                          Alarms              Warnings
                          High      Low       High      Low
--------------------------------------------------------------------------------
Temperature   33.32 C     88.00 C   -43.00 C  85.00 C   -40.00 C
Voltage       3.33 V      3.60 V    3.00 V    3.50 V    3.10 V
Current       67.08 mA    120.00 mA 10.00 mA  110.00 mA 20.00 mA
Tx Power      1.08 dBm    5.00 dBm  -3.00 dBm 4.00 dBm  -2.00 dBm
Rx Power      1.88 dBm    1.50 dBm  -20.00 dBm 0.50 dBm -18.01 dBm

eth1-02 SFP is present
Product Type: 10G Base-SR
Vendor name: FINISAR CORP.
Vendor PN: FTLX8574D3BCV-CP
...
eth2-02 no information available
eth2-03 no information available
eth2-04 no information available
eth3 no information available
eth4 no information available
eth5 no information available
eth6 no information available
eth7 no information available
eth8 no information available
gaia>