05관리 서버 설치관리 서버 설치

어떤 관리 서버든 크게 두 단계로 나뉩니다.

마법사에서 무엇을 고르느냐가 곧 서버의 정체가 됩니다. 단일 도메인 관리 서버 계열(Security Management, 전용 Log/SmartEvent, Endpoint, CloudGuard)은 Installation Type에서 Security Gateway and/or Security Management 를 고른 뒤 Products에서 Security Management only 를 선택합니다. Multi-Domain 계열은 Installation Type에서 바로 Multi-Domain Server 를 고릅니다.

여러 종류에서 똑같이 반복되는 두 가지 화면을 먼저 익혀 두면 이후 절차가 쉽습니다.

GUI Clients 화면 — SmartConsole로 이 서버에 접속을 허용할 컴퓨터를 정하는 곳입니다.

Check Point Host 객체 만들기 — SmartConsole에서 Secondary나 전용 서버를 추가할 때 쓰는 방법으로, 다음 세 경로 중 하나를 씁니다.

만든 뒤 General Properties 페이지에서 Name 과 IPv4/IPv6 Address 를 채우고, Platform 섹션에서 Hardware(해당 옵션)·Version(R82)·OS(Gaia)를 지정합니다.

가장 기본인 Security Management Server 입니다. 한 대만 두거나, 가용성을 위해 Management High Availability 로 Primary·Secondary 두 대를 둘 수 있습니다.

단독 또는 Primary Security Management Server

1단계 — 서버 설치

3단계에서 마법사에 지정할 값은 이렇습니다.

2단계 — SmartConsole에서 초기 구성

Secondary Security Management Server

가용성을 위해 두 번째 서버를 둘 때입니다.

1단계 — Secondary 서버 설치

Gaia를 설치하고 첫 구성을 진행한 뒤, 마법사에서 아래 값을 설정하고 라이선스를 넣습니다.

2단계 — SmartConsole에서 초기 구성

로그·인덱스용 디스크 공간

Log Indexing을 켜면 Security Management Server는 로그 내용에 빠르게 접근하기 위해 인덱스 파일을 만들어 쓰며, 기본 위치는 $RTDIR/log_indexes/ 입니다. 디스크가 부족해지지 않도록, 가용 공간이 정해진 최소값 아래로 떨어지면 오래된 인덱스부터 삭제 합니다. 기본 최소값은 5000 MB 또는 가용 공간의 15% 입니다.

최소값을 조정하려면 SmartConsole에서 다음과 같이 합니다.

더 자세한 내용은 R82 Security Management Administration Guide를 참고하세요.

로그만 따로 받는 전용 Log Server 나 이벤트 분석용 SmartEvent Server 도 같은 패턴입니다.

1단계 — Log Server / SmartEvent Server 설치

Gaia를 설치하고 첫 구성을 진행한 뒤, 마법사에서 아래 값을 설정하고 라이선스를 넣습니다.

2단계 — SmartConsole에서 초기 구성

디스크 공간 관리는 Security Management Server와 같습니다 — Log Indexing을 켜면 인덱스가 $RTDIR/log_indexes/에 쌓이고, 가용 공간이 최소값(기본 5000 MB 또는 15%) 아래로 떨어지면 오래된 것부터 지웁니다. 객체 편집 → Logs > Storage 에서 조정합니다.

자세한 내용은 R82 Security Management Administration Guide, R82 Logging and Monitoring Administration Guide를 참고하세요.

Domain Dedicated Log Server 배치

Multi-Domain 환경에서는 한 단계 더 나아간 Domain Dedicated Log Server 를 둘 수 있습니다.

Multi-Domain Security Management 환경에서 Security Gateway는 로그를 Domain Management Server와 전용 Domain Log Server로 보냅니다. Multi-Domain Server가 이 로그를 통합하며, 통합된 로그는 Multi-Domain Server 자체나 전용 Multi-Domain Log Server에 저장됩니다. R81부터는 특정 Domain 전용 Log Server를 별도 컴퓨터에 설치 할 수 있습니다.

이 Domain Dedicated Log Server는 지정한 Domain의 로그만 받고, 다른 Domain은 그 로그에 접근할 수 없 습니다. 덕분에 규제 요건에 맞춰 Log Server를 Multi-Domain 환경과 분리된 네트워크에 둘 수 있습니다. 여기에 기록된 로그는 해당 Domain 권한을 가진 SmartConsole이라면 어디서든 볼 수 있습니다. 통신은 연결된 Domain Server하고만 직접 이루어지며, 다른 Domain은 그 로그 데이터에 접근하지 못합니다.

R82 Multi-Domain 환경에서의 절차

R82 업그레이드 후 필수 단계

SmartEvent Server나 Domain Dedicated Log Server를 쓰는 모든 환경 에서는, 어떤 원본 버전에서 R82로 업그레이드하든 업그레이드 후 다음 단계를 반드시 마쳐야 합니다. SmartEvent Server 또는 Domain Dedicated Log Server를 업그레이드한 뒤, 각 Multi-Domain Security Management Server 에서 Expert mode로 아래 명령을 실행합니다.

$MDS_FWDIR/scripts/cpm.sh -tm -op reset -d all -sd

R77.x Multi-Domain 환경에서의 절차

R77.x에서 올라오는 환경은 두 갈래 — CPUSE 또는 Advanced Upgrade — 로 진행하며, 큰 흐름은 같습니다.

먼저 모든 서버(모든 Multi-Domain Server, Multi-Domain Log Server, Domain Dedicated Log Server, SmartEvent Server)를 R77.x에서 R80.20/R80.30/R80.40 으로 올립니다. 이때 R80.40 Installation and Upgrade Guide를 따르되, CPUSE Verifier가 "업그레이드/설치가 허용됨"이라고 표시한 직후 멈춥니다. 그리고 모든 오류를 고치되, Domain Management Server 위의 Log Server에 대한 다음 오류만은 그대로 둡니다.

Log Servers on the Domain Management Server level are
not yet supported in R80.x

그다음 Pre-Upgrade Verifier가 이 업그레이드 오류를 경고(warning)로 처리 하도록 만듭니다. CPUSE로 올리는 경우, 각 Multi-Domain Security Management Server에서 Expert mode로 다음을 실행합니다(각 명령 뒤에 Enter).

cp -v $CPDIR/tmp/.CPprofile.sh{,_BKP}
cat >> $CPDIR/tmp/.CPprofile.sh << EOF
> export PUV_ERRORS_AS_WARNINGS=1
> EOF

이어서 CPUSE 데몬을 재시작합니다.

DAClient stop ; DAClient start

Advanced Upgrade로 올리는 경우에는, 활성 셸 창에서 Expert mode로 다음 한 줄을 실행하면 됩니다.

export PUV_ERRORS_AS_WARNINGS=1

그다음 두 방식 모두 R80.40 Guide에 따라 모든 서버를 각자 방식(CPUSE 또는 Advanced Upgrade)으로 업그레이드합니다. 이후 공통 마무리 절차는 다음과 같습니다.

   $MDS_FWDIR/scripts/cpm.sh -tm -op reset -d all -sd
   

규모가 크면 Multi-Domain Server(MDS) 를 깝니다. 한 대만 두거나 Primary·Secondary로 Management High Availability를 구성할 수 있습니다.

단독 또는 Primary Multi-Domain Server

1단계 — Multi-Domain Server 설치

Gaia를 설치하고 첫 구성을 진행한 뒤, 마법사에서 아래 값을 설정하고 라이선스를 넣습니다.

2단계 — SmartConsole에서 초기 구성

Secondary Multi-Domain Server

1단계 — Secondary 서버 설치

Gaia를 설치하고 첫 구성을 진행한 뒤, 마법사에서 아래 값을 설정하고 라이선스를 넣습니다.

2단계 — SmartConsole에서 초기 구성

로그 전용인 Multi-Domain Log Server(MDLS) 입니다.

1단계 — Multi-Domain Log Server 설치

Gaia를 설치하고 첫 구성을 진행한 뒤, 마법사에서 아래 값을 설정하고 라이선스를 넣습니다.

2단계 — SmartConsole에서 초기 구성

자세한 내용은 R82 Multi-Domain Security Management Administration Guide와 위 "Domain Dedicated Log Server 배치" 절을 참고하세요.

엔드포인트 보안을 관리하는 Endpoint Security Management Server 와, 부하를 나눠 받는 Endpoint Policy Server 를 다룹니다.

Endpoint Security Management Server

1단계 — 서버 설치

Gaia를 설치하고 첫 구성을 진행한 뒤, 마법사에서 아래 값을 설정하고 라이선스를 넣습니다.

2단계 — SmartConsole에서 초기 구성

자세한 내용은 R82 Harmony Endpoint Security Server Administration Guide를 참고하세요.

Secondary Endpoint Security Management Server

1단계 — Gaia를 설치하고 첫 구성에서 Security Gateway and/or Security Management → Security Management only → Define Security Management as 에서 Secondary 를 고른 뒤, Secure Internal Communication 창에 Activation Key(4~127자) 를 넣고 라이선스를 설치합니다.

2단계 — SmartConsole에서 초기 구성

Endpoint Policy Server

부하 분산을 위한 전용 Endpoint Policy Server 는 다음 순서로 설치합니다.

서비스 연결 포트 (Endpoint)

Endpoint Policy Management 블레이드를 쓰면 SSL 포트가 달라집니다. R82(R81 이상)에서의 동작은 이렇습니다.

다음 두 경우, Security Management Server는 모든 서비스의 SSL 트래픽을 TCP 443 포트에서 수신 합니다.

이 경우 Endpoint Security SSL 트래픽이 TCP 443으로 들어오면, 서버가 내부적으로 자동으로 TCP 4434로 리디렉션 합니다. 서비스 URL은 다음과 같습니다.

반면 Endpoint Policy Management 블레이드가 켜진 상태로 R82로 업그레이드 했다면, SSL 포트 구성은 업그레이드 이전 버전 그대로 유지됩니다 — Endpoint Security SSL 트래픽은 TCP 443, 그 외 모든 서비스의 SSL 트래픽은 TCP 4434에서 수신합니다.

R81 이상에서는 관리자가 Gaia Portal(및 기타 서비스)과 Endpoint Security용 TCP 포트를 443 또는 4434로 직접 지정 할 수 있습니다(절차는 R82 Harmony Endpoint Security Server Administration Guide의 "Connection Port to Services on an Endpoint Security Management Server" 참고).

참고로 R80.40 이하 에서는 동작이 반대였습니다 — Endpoint Policy Management 블레이드를 켜면 Gaia Portal·SmartView Web Application·Management API Web Services의 SSL 포트가 기본 TCP 443에서 TCP 4434로 자동 변경 되고(예: https://<IP> → https://<IP>:4434), 블레이드를 끄면 다시 기본 443으로 돌아 갔습니다.

디스크 공간 (Endpoint)

Endpoint Security를 위해 루트 파티션에 최소 10 GB 의 여유를 두기를 권장합니다. 클라이언트 패키지와 메인 릴리스 파일이 루트 파티션에 저장됩니다.

CloudGuard Controller 는 일반 Security Management Server로 설치한 뒤 명령으로 켭니다.

1단계 — 서버 설치

Gaia를 설치하고 첫 구성에서 Security Gateway and/or Security Management → Security Management only → Define Security Management as 에서 Primary 를 고르고, Security Management GUI Clients 에서 허용 컴퓨터를 지정한 뒤 라이선스를 설치합니다.

2단계 — CloudGuard Controller 켜기

   cloudguard on
   

3단계 — Identity Awareness Software Blade 켜기

해당 Security Gateway에서 Identity Awareness Software Blade를 켭니다.

자세한 내용은 R82 CloudGuard Controller Administration Guide와 R82 Identity Awareness Administration Guide를 참고하세요.

관리 서버는 Gaia 외에 Red Hat Enterprise Linux 위에도 올릴 수 있습니다. Security Management Server나 Multi-Domain Server를 RHEL에 설치하려면 별도 절차가 필요합니다.

본부를 세웠으니, 이제 그 본부를 다룰 도구를 깝니다 — SmartConsole 설치로 넘어갑니다.