04Gaia 운영체제 설치와 첫 구성Gaia 운영체제 설치와 첫 구성

원문 "The Gaia Operating System" 절은 다음 주제를 차례로 다룹니다 — appliance에 Gaia 설치, open server에 Gaia 설치, Blink 이미지로 게이트웨이 구성, 설치 중 디스크 파티션 크기 변경, 무인 USB 설치, 첫 구성 마법사(Gaia Portal·CLI 두 방식), 관리 인터페이스 IP 설정, 설치된 Gaia의 파티션 크기 변경, IPv6 활성화. 이 장도 같은 순서를 따릅니다.

Check Point appliance에 깨끗한 Gaia를 까는 길은 세 가지입니다.

1) Factory defaults로 초기화

가장 간단한 방법입니다. 이 작업은 appliance를 Clean Install 방식으로 설치했던 마지막 Gaia 버전 으로 되돌립니다.

부팅 중 화면에는 다음과 같은 메시지가 보입니다.

Loading the system
Press any key to see the boot menu [Booting in 5 seconds]

2) Bootable USB로 Clean Install

3) CPUSE로 Clean Install

이 방법은 Gaia가 이미 깔려 있을 때만 쓸 수 있습니다. 패키지 설치 절차(원문 "Installing Software Packages on Gaia")의 로컬 설치 액션 플랜을 따르면 됩니다. 자세한 흐름은 독립형 설치와 설치 후 작업에서 다룹니다.

Open server는 미디어 선택이 더 넓습니다. 세 가지 길이 있습니다.

1) DVD-ROM으로 Clean Install

2) Bootable USB로 Clean Install

부팅 가능한 USB 제작은 sk65205 를 참고합니다.

3) CPUSE로 Clean Install

appliance와 마찬가지로 Gaia가 이미 깔려 있을 때만 가능하며, 패키지 설치 절차의 로컬 설치 액션 플랜을 따릅니다.

Blink 는 Gaia를 빠르게 배포하는 절차 입니다. Blink 유틸리티를 쓰면 아직 첫 구성 마법사를 돌리지 않은 appliance에 깨끗한 Security Gateway를 5~7분 안 에 깔 수 있습니다.

Blink 설치가 끝나면 깨끗한 Security Gateway, Hotfix, 최신 Software Blade 시그니처가 한꺼번에 설치 되며, 수동으로 첫 구성 마법사를 돌리는 과정을 대신합니다.

Blink Gaia 이미지는 USB로 굽거나 appliance로 직접 내려받아 쓸 수 있습니다.

설치가 끝난 뒤에는 웹 브라우저로 appliance에 접속해 간소화된 Blink 구성을 마무리합니다.

또한 Blink는 특별한 XML 파일 로 미리 값을 정해 두고 무인(unattended) 설치 를 돌리는 것도 지원합니다. XML 파일에 미리 담을 수 있는 값은 다음과 같습니다.

자세한 내용은 sk120193 을 참고하세요.

Check Point appliance에서는 디스크 파티션 크기가 미리 정해져 있습니다.

다만 다음 모델에서는 설치 시작 후 첫 20초 안 에만 기본 파티션을 바꿀 수 있습니다. 이 창을 놓치면 비대화식(non-interactive) 설치가 그대로 이어집니다.

Open server에 Gaia를 깔 때는 다음 네 파티션이 기본 크기로 잡힙니다.

이 가운데 system-root 와 logs 파티션 크기를 바꿀 수 있고, 그러면 backup and upgrade 파티션에 할당되는 용량이 그에 맞춰 자동으로 조정 됩니다. 파티션 크기를 바꾸는 방법은 sk95566 을 참고하세요.

Check Point appliance에는 이동식 USB 드라이브의 ISO로도 Gaia를 설치 할 수 있습니다(USB 제작은 sk65205).

appliance에서는 ISOmorphic 도구가 관리자에게 무인 설치 를 허용합니다. 무인 설치의 흐름은 다음과 같습니다.

Gaia를 처음 깔고 나면 First Time Configuration Wizard 로 시스템과 그 위의 Check Point 제품을 구성합니다. 마법사는 두 방식으로 돌릴 수 있습니다.

Gaia Portal에서 마법사 돌리기

https://<Gaia 관리 인터페이스 IP 주소>

"Deployment Options" 창

Gaia 운영체제를 어떻게 배포할지 고르는 창입니다.

Deployment Options에서 Install from Check Point Cloud 를 골랐다면, 마법사가 Check Point Cloud 연결을 구성하라고 요청합니다. 다음 옵션이 나타나며 Security Gateway로 구성한 Check Point appliance에만 해당 됩니다.

"Authentication Details" 창

Gaia OS의 주요 암호를 정하는 창입니다.

"Management Connection" 창

주(主) Gaia 관리 인터페이스를 골라 구성하는 창입니다. Gaia Portal·CLI 세션은 이 IP 주소로 접속 합니다.

"Internet Connection" 창 (선택)

Gaia 서버를 인터넷에 연결하는 인터페이스를 구성하는 선택 사항 창입니다. 필드 구성은 Management Connection 창과 같습니다.

"Device Information" 창

Gaia의 호스트 이름, DNS 서버, 프록시 서버 를 정하는 창입니다.

"Date and Time Settings" 창

날짜·시간을 수동 또는 NTP 로 정합니다.

여기까지의 창은 어떤 제품을 깔든 거의 공통입니다. 이제부터가 이 Gaia의 역할을 가르는 핵심 분기 입니다.

"Installation Type" 창

Gaia에 어떤 종류의 Check Point 제품을 깔지 고릅니다. 크게 두 갈래입니다.

"Products" 창

Installation Type에서 고른 갈래에 따라 다른 옵션이 이어집니다.

Security Gateway and/or Security Management 를 골랐다면 다음 옵션이 나타납니다.

Unit is a part of a cluster 의 클러스터 종류는 셋 중 하나입니다.

관리 서버 쪽이면 다음을 정합니다.

Install as VSNext 에는 다음 제약이 있습니다.

Multi-Domain Server 를 골랐다면 다음 옵션이 나타납니다.

"Dynamically Assigned IP" 창

Products 창에서 Security Gateway 만 골랐을 때 나타납니다. 이 Security Gateway가 IP를 동적으로 받는 DAIP 게이트웨이 인지 고릅니다.

"Secure Communication to Management Server" 창

이 창은 다음 두 경우에만 나타납니다.

여기서 일회용 Activation Key 를 정합니다. 이 키는 나중에 SmartConsole에서 해당 객체를 만들고 SIC 를 초기화할 때 다시 입력 합니다.

"Security Management Administrator" 창

이 창은 Installation Type에서 Security Gateway and/or Security Management 를 고르고 Products에서 Security Management 만(선택적으로 다른 옵션 포함) 고른 경우 에만 나타납니다. SmartConsole 로그인용 주 관리자를 정합니다.

"Security Management GUI Clients" 창

이 Security Management Server에 SmartConsole로 접속할 수 있는 컴퓨터 를 정합니다.

"Leading VIP Interfaces Configuration" 창

이 창은 Installation Type에서 Multi-Domain Server 를 고른 경우 에만 나타납니다. 이 Multi-Domain Server 또는 Multi-Domain Log Server의 주(主) Leading VIP Interface 를 고릅니다.

"Multi-Domain Server GUI Clients" 창

이 창은 Installation Type에서 Multi-Domain Server, Products에서 Primary Multi-Domain Server 를 고른 경우 에만 나타납니다. 이 Multi-Domain Server에 SmartConsole로 접속할 컴퓨터를 정합니다.

"First Time Configuration Wizard Summary" 창

마지막 창에서 고른 설치 옵션을 한눈에 확인합니다. 창 아래에는 두 가지 링크가 있습니다.

여기서 자동 다운로드·업로드 항목을 정합니다.

마법사가 끝난 뒤 — 완료 확인

cat /var/log/ftw_install.log | egrep --color "installation succeeded|FTW: Complete"

장비 유형별 출력 예시는 다음과 같습니다.

# Security Gateway 또는 Cluster Member
[Expert@GW:0]# cat /var/log/ftw_install.log | egrep --color "installation succeeded|FTW: Complete"
Dec 06, 19 19:19:51 FTW: Complete
[Expert@GW:0]#

# Security Management Server 또는 Standalone
[Expert@SA:0]# cat /var/log/ftw_install.log | egrep --color "installation succeeded|FTW: Complete"
Dec 06, 2019 03:48:38 PM installation succeeded.
06/12/19 15:48:39 FTW: Complete
[Expert@SA:0]#

# Multi-Domain Server
[Expert@MDS:0]# cat /var/log/ftw_install.log | egrep --color "installation succeeded|FTW: Complete"
Dec 06, 2019 07:43:15 PM installation succeeded.
[Expert@MDS:0]#

# Scalable Platform Security Group (g_cat 사용)
[Expert@HostName-ch0x-0x:0]# g_cat /var/log/ftw_install.log | egrep --color "installation succeeded|FTW: Complete"
Dec 06, 19 19:19:51 FTW: Complete
[Expert@HostName-ch0x-0x:0]#

CLI Expert mode에서 마법사 돌리기 — config_system

마법사를 손으로 클릭하는 대신 Expert mode의 config_system 유틸리티로 첫 구성을 자동화할 수 있습니다. 시스템 설치 직후 처음으로 첫 구성을 테스트·실행할 때 씁니다.

구문(Syntax)

설정 가능한 파라미터 보기.

config_system -l                 # 짧은 형식
config_system --list-params      # 긴 형식

지정한 구성 파일로 마법사 실행.

config_system -f <경로와 파일명>
config_system --config-file <경로와 파일명>

지정한 구성 문자열로 마법사 실행.

config_system -s <문자열>
config_system --config-string <문자열>

지정한 경로에 구성 파일 템플릿 만들기.

config_system -t <경로>
config_system --create-template <경로>

구성 파일이 유효한지 검증(dry-run).

config_system --dry-run

절차(Procedure)

구성 문자열로 실행 — Expert mode에서 다음을 실행합니다.

config_system --config-string <파라미터=값 문자열>

구성 문자열은 parameter=value 쌍을 앰퍼샌드(&) 로 이은 것 이며, 전체를 따옴표로 감싸 야 합니다. 예시는 다음과 같습니다.

config_system --config-string "hostname=myhost&domainname=somedomain.com&timezone='America/Indiana/Indianapolis'&ftw_sic_key=aaaa&install_security_gw=true&gateway_daip=false&install_ppak=true&gateway_cluster_member=true&install_security_managment=false"

유효한 파라미터·값은 config_system --list-params 로 확인합니다. 실행이 끝나면 시스템을 재부팅 합니다.

구성 파일 만들기.

구성 파일 검증 — 적용 전에 파일이 유효한지 확인합니다.

config_system --config-file <파일명> --dry-run

구성 파일로 실행.

config_system 파라미터 전체

Gaia 관리 인터페이스는 처음에 192.168.1.1 로 잡혀 있습니다. 이 IP는 첫 구성 마법사 중에 또는 나중에 바꿀 수 있습니다. 네트워크 너머로 Gaia에 접근해야 한다면, Gaia를 네트워크에 붙이기 전에 해당 인터페이스에 알맞은 IP를 먼저 할당 하세요.

마법사 중에 관리 인터페이스 IP를 바꾸면 다음 경고가 뜹니다 — 브라우저 연결을 유지하려고 기존 IP가 보조(secondary) IP로 남 는다는 안내입니다.

Your IP address has been changed. In order to maintain the browser
connection, the old IP address will be retained as a secondary IP address.

Gaia Portal에서 IP 바꾸기

Gaia Clish에서 IP 바꾸기

show management interface
set management interface <인터페이스 이름>
set interface <인터페이스 이름> ipv4-address <IPv4 주소> subnet-mask <마스크>
save config

Gaia Clish 명령 다루는 법이 낯설면 Gaia Clish 명령줄 인터페이스를 참고하세요.

디스크 공간 요구사항은 R82 Release Notes를 참고합니다.

system-root·log 파티션 크기 보기.

df -h

백업 이미지용 공간 보기.

파티션 크기 관리는 sk95566 을 참고하세요.

마법사에서 IPv6 주소를 넣었다면 IPv6가 자동으로 켜 집니다. 넣지 않았다면 나중에 수동으로 켭니다.

Gaia Portal에서 IPv6 켜기

Gaia Clish에서 IPv6 켜기

set ipv6-state on
save config
reboot

Gaia 바탕을 깔았으니, 이제 역할별 제품을 얹을 차례입니다 — 관리 서버 설치로 이어집니다.