14명령줄·참조명령줄·참조

먼저 모든 명령에 공통으로 적용되는 실행 환경 규칙 부터 짚어 둡니다. 거의 모든 adlog·pdp·pep 명령 설명에 똑같은 "Important" 주의가 반복되므로, 한 번만 정리하고 이후로는 다시 적지 않겠습니다.

이 가이드와 Check Point 문서 전반은 명령·파라미터·옵션을 가능하면 알파벳 순 으로 싣고, 구문을 다음 약속대로 표기합니다. 이 규칙을 알아야 아래 명령 설명을 정확히 읽을 수 있습니다.

들여쓰기(TAB) 표기가 가장 헷갈리기 쉽습니다. 예를 들어 이렇게 쓰여 있으면:

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 아래 중 하나의 명령 만 실행하라는 뜻입니다 — cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options>. 이 장의 모든 구문 블록은 이 규칙으로 읽으면 됩니다.

adlog 는 AD Query(예전 이름 AD Log) 프로세스를 제어·모니터링 하는 명령을 모아 둔 도구입니다. 이 명령은 실행되는 위치에 따라 두 가지 동작 모드 로 나뉘고, 모드를 첫 인자로 반드시 지정합니다.

  adlog a <parameter> [<option>]
  

  adlog l <parameter> [<option>]
  

아무 파라미터 없이 adlog만 입력하면 쓸 수 있는 옵션을 보여 주고 종료 합니다. 모드(a/l)는 위 설명대로 작업 환경에 맞게 고릅니다. 그 뒤에 올 수 있는 주요 파라미터는 다음과 같습니다.

adlog control — AD Query에 제어 명령 보내기

AD Query에 제어 명령을 보냅니다. 구문은 다음과 같습니다.

adlog {a | l} control
      muh <options>
      reconf
      srv_accounts <options>
      stop

muh 옵션 — Multi-User Host 목록을 다룹니다.

  adlog {a | l} control muh show
  

  adlog {a | l} control muh mark
  

  adlog {a | l} control muh unmark
  

srv_accounts 옵션 — 서비스 계정을 다룹니다. 서비스 계정이란 실제 사람 사용자가 아니라 컴퓨터에서 돌아가는 서비스에 속한 계정 으로, 일정 횟수 이상 로그인하면 의심 계정으로 분류됩니다.

  adlog {a | l} control srv_accounts show
  

  adlog {a | l} control srv_accounts clear
  

  adlog {a | l} control srv_accounts find
  

  adlog {a | l} control srv_accounts unmark
  

adlog dc — 도메인 컨트롤러 연결 상태

Active Directory 도메인 컨트롤러와의 연결 상태를 보여 줍니다. 모드에 따라 다음 둘 중 하나로 실행합니다.

adlog a dc
adlog l dc

adlog debug — 디버그 출력 켜고 끄기

adlog의 디버그 출력을 켜고 끕니다. 디버그 로그가 기록되는 파일은 실행 환경에 따라 다릅니다.

구문은 다음과 같습니다.

adlog {a | l} debug
      extended
      mode
      off
      on

adlog query — 취득한 신원 데이터베이스 조회

AD Query가 취득한 신원 데이터베이스 를, 지정한 필터에 따라 보여 줍니다. 구문은 다음과 같습니다.

adlog {a | l} query
      all
      ip <IP Address>
      machine <Computer Name>
      string <String>
      user <Username>

adlog statistics — NT 이벤트 로그 통계

adlog가 받은 NT 이벤트 로그 에 대한 통계를 IP 주소별과 전체로 보여 주고, 아울러 식별된 IP 주소의 개수 도 보여 줍니다. 모드에 따라 다음 둘 중 하나로 실행합니다.

adlog a statistics
adlog l statistics

adlogconfig 는 텍스트 메뉴를 통해 AD Query의 고급 설정 을 구성하는 명령입니다. 각 설정에는 기본값이 정해져 있고, 기본값을 바꾸거나 직접 값을 설정하면 그 변경이 $FWDIR/conf/ad_log_override.C 파일에 저장 됩니다.

실행은 환경에 맞게 두 가지로 합니다.

  adlogconfig a
  

  adlogconfig l
  

메뉴 화면 — 기본 출력 읽기

명령을 실행하면 위쪽에는 현재 설정 상태([ ]는 꺼짐, [X]는 켜짐, 숫자/[1]은 설정값) 가 요약되고, 아래쪽에는 1~33번 메뉴 항목 이 나옵니다. 기본 출력은 다음과 같은 모습입니다.

[ ] Override default AD Query configuration
[ ] Enable AD Query
[ ] Create logs also for logoff events
[ ] Create logs with timestamp from AD
Timeout for username-and-IP association (minutes, 0=disabled): 0
Interval for fetching Full Name for known users (days, 0=disabled): 0
Hour of the day for fetching Full Name for known users (0=disabled): 0
Threshold for Multi-User Host detection (logged in users): 7
Timeout for revoked users on single user hosts (seconds): 14400
[X] Mark hosts as Multi-User Hosts after X users logged in
Timeout for Multi-User Host mark (seconds): 2592000
Threshold for Service Account detection (logins): 10
[ ] Automatically exclude Service Accounts
[ ] Override default parameters for AD communication
Interval between AD queries for login events (seconds, 0=disabled): 0
Max returned objects for each AD query data chunk (0=unlimited): 0
[ ] Ignore login events received from other AD Domains
[X] Do not check if AD password expired
[ ] AD authentication mode
[ ] Use NTLMv1
[X] Use NTLMv2
[ ] Assume that all hosts are for single users
[ ] Ignore hostnames of users' computers
[X] Use automatic AD updates about LDAP groups membership
Timeout for accumulating LDAP group updates (seconds): 10
[X] Use LDAP group updates about users only
[ ] Prefer IPv6 addresses for Domain Controllers
[1] WMI query Type

위쪽 요약 줄과 아래쪽 메뉴 번호는 서로 짝지어집니다. 예컨대 요약의 [ ] Enable AD Query는 메뉴 2번의 켜짐 여부를, Threshold for Multi-User Host detection: 7은 메뉴 13번의 값을 그대로 보여 주는 식입니다. [ ] AD authentication mode 줄은 항상 꺼짐([ ])으로만 표시 되며, 실제 선택(NTLMv1/NTLMv2)은 바로 아래 두 줄과 메뉴 21번에서 확인합니다.

메뉴 항목 1~33 자세히

아래 표는 메뉴의 각 번호가 무엇을 설정하며, 기본값과 ad_log_override.C 파일에 어떤 키로 기록되는지를 모두 옮긴 것입니다. Default implicit value 는 기본값(파일에 명시 안 됨)일 때의 의미, Non-Default explicit value 는 기본을 벗어나 명시했을 때의 값입니다.

31번 WMI 질의 유형(WMI query type) 의 세 가지 값은 다음과 같습니다.

pdp 명령은 PDP 프로세스(pdpd)를 제어·모니터링 합니다. 기본 구문은 다음과 같습니다.

pdp <command> [<parameter> [<option>]]

아무 파라미터 없이 pdp만 입력하면 쓸 수 있는 옵션을 보여 주고 종료합니다. 사용할 수 있는 명령 그룹은 다음과 같습니다(각 그룹은 아래에서 자세히 다룹니다).

pdp ad — 신원 직접 추가·제거

AD Query용으로 게이트웨이의 신원 DB에 신원을 더하거나 빼는 명령입니다. 일반 구문은 다음과 같습니다.

pdp ad
      associate <options>
      disassociate <options>

pdp ad associate — 신원을 추가 합니다. 그룹 데이터는 AD에 있어야 합니다.

pdp ad associate ip <IP Address> u <Username> d <Domain> [m <Computer Name>] [t <Timeout>] [s]

pdp ad disassociate — 신원을 제거 합니다. 제거된 사용자는 Identity Awareness가 인증하지 않습니다.

pdp ad disassociate ip <IP Address> {u <Username> | m <Computer Name>} [r {override | probed | timeout}]

pdp auth — 인증·인가 옵션

PDP의 인증/인가 옵션을 구성합니다. 구문은 다음과 같습니다.

pdp auth
      allow_empty_result <options>
      count_in_non_ldap_group <options>
      fetch_by_sid <options>
      force_domain <options>
      kerberos_any_domain <options>
      kerberos_encryption <options>
      reauth_agents_after_policy <options>
      recovery_interval <options>
      username_password <options>

대부분의 하위 옵션은 disable(끄기)·enable(켜기)·status(상태 보기) 의 세 형태를 공통으로 가집니다.

예를 들어 recovery_interval 의 빈도를 설정하려면 다음과 같이 씁니다.

pdp auth recovery_interval set <Number of Seconds>

pdp broker — Identity Broker 제어

PDP Identity Broker를 제어하는 명령입니다(Broker). 구문은 다음과 같습니다.

pdp broker
      debug {set | unset} <options>
      discard <options>
      identity_cache_mode status
      reconnect <options>
      session <options>
      status [-e]
      sync <options>

debug set / unset — Broker 디버그를 제어합니다. Publisher PDP·Subscriber PDP 각각에 대해, 일반(pub/sub)·확장(pub_ext/sub_ext)·통신(pub_transport/sub_transport) 로그 를 켜고(set) 끕니다(unset). 형식은 모두 pdp broker debug {set|unset} <topic> <IP Address> 입니다.

나머지 파라미터는 다음과 같습니다.

sync 의 세부 옵션은 다음과 같습니다.

pdp broker sync pub <Publisher IP>            # 특정 Publisher에 동기화 요청
pdp broker sync pub all                       # 모든 Publisher에 동기화 요청
pdp broker sync sub <Subscriber IP>           # 특정 Subscriber와 동기화 시작
pdp broker sync sub all                       # 모든 Subscriber와 동기화 시작
pdp broker sync schedule add <Publisher IP> "<HH:MM>"     # 동기화 시각 추가
pdp broker sync schedule remove <Publisher IP> "<HH:MM>"  # 현재 스케줄 제거
pdp broker sync schedule show [<Publisher IP>]            # 현재 스케줄 보기

pdp conciliation — 세션 조정

세션 조정(conciliation) 메커니즘을 제어합니다. 각 신원 소스에 대해 "한 컴퓨터에 사용자가 한 명/여러 명 있다"는 가정 을 켜고 끄는 것이 핵심입니다. 구문은 다음과 같습니다.

pdp conciliation
      adq_single_user <option>
      api_multiple_users <option>
      idc_multiple_users <option>
      rad_multiple_users <option>

각 파라미터의 옵션은 disable(끄기)·enable(켜기)·stat(현재 상태 보기) 입니다. 예: pdp conciliation adq_single_user enable.

pdp connections — PEP·터미널 서버·IDC 연결 보기

PEP 게이트웨이·터미널 서버·Identity Collector와의 PDP 연결을 보여 줍니다.

pdp connections
      idc
      pep
      ts

pdp control — PDP 제어

PDP를 제어하는 명령입니다.

pdp control
      revoke_ip <IP address>
      sync

pdp debug — PDP 디버그

PDP의 디버그를 제어합니다. 구문은 다음과 같습니다.

pdp debug
      async1
      ccc {off | on}
      memory
      off
      on
      reset
      rotate
      set <Topic Name> <Severity>
      spaces [<0 - 5>]
      stat
      unset <Topic Name>

Debug Topic은 all, 그리고 Check Point Support가 보고된 문제에 따라 주는 더 구체적인 토픽 들이 있습니다. Severity는 all·critical·events·important·surprise 가 있습니다.

pdp idc — Identity Collector 작업

Identity Collector 관련 작업입니다. 구문은 다음과 같습니다.

pdp idc
      groups_consolidation <options>
      groups_update <options>
      muh <options>
      service_accounts <options>
      status

service_accounts 세부 옵션:

pdp idc service_accounts show                                  # 현재 모드·알려진 SA·제외 계정 통계
pdp idc service_accounts set_threshold <2-1000>                # 동시 로그인 임계값(기본 100)
pdp idc service_accounts set_auto_prevention {enable | disable} # Prevent 모드 켜기(기본)/끄기
pdp idc service_accounts mark <username>                       # 특정 사용자명을 SA로 표시
pdp idc service_accounts add_exception <username_1> <username_2> ...    # SA로 탐지 안 함
pdp idc service_accounts delete_exception <username_1> <username_2> ... # 지정 횟수 넘으면 SA로 탐지
pdp idc service_accounts unmark_service_accounts               # 특정 사용자명을 SA 목록에서 제거
pdp idc service_accounts unmark_service_accounts_all           # 모든 사용자명을 SA 목록에서 제거

pdp idp — SAML 기반 인증

SAML 기반 인증과 관련된 작업입니다.

pdp idp groups <options>

groups 는 외부 그룹과 가져온 그룹의 통합 방식을 설정·조회합니다.

pdp idp groups set {only | prefer | union | ignore}
pdp idp groups status

pdp monitor — 연결된 세션 모니터링

연결된 PDP 세션 상태를 모니터링합니다. 다양한 필터로 원하는 출력을 얻을 수 있습니다.

pdp monitor
      all
      client_type <Client Type>
      cv_ge <Version>
      cv_le <Version>
      groups <Group Name>
      ip <IP address>
      machine <Computer Name>
      machine_exact
      mad
      network
      s_port
      summary
      user <Username>
      user_exact

pdp muh — Multi-User Host 보기

Multi-User Host(MUH)를 보여 줍니다.

pdp muh status

pdp nested_groups — LDAP 중첩 그룹

게이트웨이가 LDAP 중첩 그룹(Nested Group)을 질의하는 방식을 구성하고, 현재 구성을 보여 줍니다.

pdp nested_groups
      auto_tune {enable | disable}
      clear
      depth <options>
      disable
      enable
      show
      status
      __set_state <options>

__set_state 의 네 가지 상태:

pdp network — 네트워크 정보

네트워크 관련 기능 정보를 보여 줍니다.

pdp network {info | registered}

pdp radius — RADIUS 어카운팅

RADIUS 어카운팅 옵션을 보고 설정합니다. 구문은 다음과 같습니다.

pdp radius
      ip
            reset
            set <options>
      groups
            fetch <options>
            reset
            set <options>
      parser
            reset
            set <options>
      roles
            fetch <options>
            reset
            set <options>
      status

groups·roles 의 set 은 머신(-m)·사용자(-u)별로 다음 형태를 씁니다.

pdp radius groups set -m <attribute index> [-a <vendor specific attribute index>] [-c <vendor code>] [-d <delimiter>]
pdp radius groups set -u <attribute index> [-a <vendor specific attribute index>] [-c <vendor code>] [-d <delimiter>]

pdp roles — 역할 정보

사용자 역할 정보를 다룹니다. 일반 구문은 다음과 같습니다.

pdp roles
      extract
      fetch <options>

pdp roles extract — pdp roles fetch 로 만든 $FWDIR/tmp/roles_command_output.txt 파일에서 역할을 추출해 보여 줍니다.

pdp roles extract

pdp roles fetch — 제공한 Access Role 정보와 일치하는 역할을 가져와 같은 파일에 저장합니다.

pdp roles fetch [-ip <IP Address>]
      -u "<Username>" -is "<Identity Source>"
      -ug "<User Group 1>","<User Group 2>",...
      -mg "<Machine Group 1>","<Machine Group 2>",...

pdp status — PDP 상태

시작 시각·구성 시각 등 PDP 상태 정보를 보여 줍니다.

pdp status show

pdp tasks_manager — 작업 상태

PDP 작업의 상태(현재 실행 중·이전·대기 중)를 보여 줍니다.

pdp tasks_manager status

pdp timers — 타이머 정보

세션별 PDP 타이머 정보를 보여 줍니다.

pdp timers show

보여 주는 타이머는 다음과 같습니다 — User Auth Timer, Machine Auth Timer, Pep Cache Timer, Compliance Timer, Keep Alive Timer, Ldap Fetch Timer.

pdp topology_map — 토폴로지

모든 PDP·PEP 주소의 토폴로지를 보여 줍니다.

pdp topology_map

pdp tracker — TRACKER 토픽

PDP 디버그 중 TRACKER 디버그 토픽 을 PDP 로그에 추가합니다(기본으로 켜져 있음). 분산 환경에서 PDP-to-PEP 신원 공유와 통신을 모니터링 할 때 매우 유용합니다.

pdp tracker {off | on}

pdp update — 그룹 멤버십 재계산

모든 사용자·컴퓨터의 그룹 멤버십을 다시 계산 합니다.

pdp update {all | specific}

pdp vpn — 연결된 VPN 게이트웨이

VPN 원격 접속 클라이언트의 신원 데이터를 보내는 연결된 VPN 게이트웨이 를 보여 줍니다.

pdp vpn show

pep 명령은 PEP 프로세스(pepd)를 제어·모니터링 합니다. 기본 구문은 다음과 같습니다.

pep <command> [<parameter> [<option>]]

사용할 수 있는 명령은 네 가지입니다.

pep control — PEP 제어

PEP를 제어하는 명령입니다. 구문은 다음과 같습니다.

pep control
      extended_info_storage <options>
      gbuf_cache <option>
      identity_cache_mode status
      kbuf_cache <option>
      portal_dual_stack <options>
      tasks_manager status <options>

gbuf_cache 와 kbuf_cache 는 옵션 형태가 같습니다.

pep control gbuf_cache status                          # 현재 상태 보기
pep control gbuf_cache enable                          # 켜기(기본)
pep control gbuf_cache disable                         # 끄기
pep control gbuf_cache memory_limit show               # 현재 메모리 한도 보기
pep control gbuf_cache memory_limit set <Number of Bytes>  # 메모리 한도 설정(기본 100MB = 104,857,600바이트)

(kbuf_cache 도 status/enable/disable/memory_limit show/memory_limit set <Number of Bytes> 로 동일.)

pep debug — PEP 디버그

PEP의 디버그를 제어합니다. 구문은 다음과 같습니다.

pep debug
      memory
      off
      on
      reset
      rotate
      set <options>
      spaces [<options>]
      stat
      unset <options>

Debug Topic은 all 및 Check Point Support가 주는 구체 토픽, Severity는 all·critical·events·important·surprise 가 있습니다.

pep show — PEP 정보 보기

PEP 정보를 보여 줍니다. 구문은 다음과 같습니다.

pep show
    conciliation_clashes
        all
        clear
        ip <Session IP Address>
    network
        pdp
        registration
    pdp
        all
        id <ID of PDP>
    stat
    topology_map
    user
        all
        query
                cid <IP[,ID]>
                cmp <Compliance>
                mchn <Computer Name>
                mgrp <Group>
                pdp <IP[,ID]>
                role <Identity Role>
                ugrp <Group>
                uid <UID String>
                usr <Username>

user query 의 필터는 다음과 같습니다.

pep tracker — TRACKER 토픽

PEP 디버그 중 TRACKER 디버그 토픽 을 PEP 로그에 추가합니다(기본으로 켜져 있음). 분산 환경에서 PDP-to-PEP 신원 공유와 통신을 모니터링 할 때 유용합니다.

pep tracker {off | on}

test_ad_connectivity 는 Security Gateway에서 AD 도메인 컨트롤러로 연결 테스트 를 실행하는 유틸리티입니다. 신원이 안 잡힐 때 연결 자체의 문제인지 이벤트 로그 쪽 문제인지 가르는 출발점이 됩니다. 파라미터는 두 곳 중 하나로 줄 수 있습니다.

구문은 다음과 같습니다.

[Expert@HostName:0]# $FWDIR/bin/test_ad_connectivity -h
[Expert@HostName:0]# $FWDIR/bin/test_ad_connectivity <Parameter_1 Value_1> <Parameter_2 Value_2> ... <Parameters And Options>

파라미터는 다음과 같습니다(필수/선택 구분 포함).

원문 끝에는 다른 가이드와 마찬가지로 Working with Kernel Parameters·Kernel Debug 가 있는데, 이는 Security Gateway 가이드의 명령줄·커널 참조와 같은 공통 주제이니 그쪽을 참고하세요. 또 Appendix: Regular Expressions 는 신원 매칭 등에서 패턴을 쓸 때의 정규표현식 문법으로, QoS 가이드의 정규표현식 부록과 같은 Check Point 표준 메타문자(\ [ ] ( ) {min,max} . ? * + | ^ $ -)와 비출력 문자·문자 유형(\d \D \s \S \w \W 등) 표기를 따릅니다.

정리하면, 일상 운영은 SmartConsole로 하되 AD 연동 진단은 adlog·adlogconfig·test_ad_connectivity, 신원 공유 점검은 pdp·pep 로 내려가며, 모든 명령은 클러스터·Scalable Platform·VSX 환경에서 위에 정리한 공통 실행 규칙 을 지켜 실행합니다.