10업그레이드 옵션과 사전 준비업그레이드 옵션과 사전 준비

대상이 관리 서버든 게이트웨이든 Mobile Access든, 시작 전에 똑같이 챙겨야 하는 것이 있습니다.

업그레이드에는 절대 어기면 안 되는 순서 가 있습니다. 관리 서버를 먼저 올린 뒤에야 그것이 관리하는 Security Gateway·Cluster Member를 올릴 수 있습니다. 게이트웨이를 먼저 올리면 관리가 어긋납니다.

전용 서버에도 같은 원칙이 적용됩니다.

관리 서버 계열(Security Management Server·Multi-Domain Server·Domain Management Server·Multi-Domain Log Server·Domain Log Server·Log Server·SmartEvent Server)은 점검할 항목이 가장 많습니다. 차례대로 봅니다.

SmartConsole이 R7x 게이트웨이를 거쳐 붙는 경우

올리려는 관리 서버에 SmartConsole이 R7x Security Gateway나 Cluster를 거쳐 연결 된다면, 업그레이드 후에도 통신이 끊기지 않도록 미리 명시적 방화벽 규칙을 넣어 둬야 합니다.

커스텀 설정 기록 — 옛 파일을 그대로 복사하면 안 된다

업그레이드 과정은 기존 파일을 모두 기본 파일로 덮어쓰므로, 옛 버전의 커스텀 구성 파일을 새 버전에 그대로 복사하면 안 됩니다 — 같은 이름의 파일이라도 버전마다 내용이 다를 수 있기 때문입니다. 그래서 커스텀 변경을 미리 기록해 두고, 업그레이드 후 새 파일에 직접 다시 적용 하는 방식이 원칙입니다.

먼저 Log Exporter 구성을 수집해 두고(sk127653), 다음 프로파일 스크립트에 특히 주의하세요.

$CPDIR/tmp/.CPprofile.csh

커스텀 변경을 적어 둬야 할 디렉터리 목록은 다음과 같습니다.

$FWDIR/conf/
$CVPNDIR/conf/
/opt/CP*/lib/
/opt/CP*/conf/
$MDSDIR/conf/
$MDSDIR/customers/<Name_of_Domain>/CP*/lib/
$MDSDIR/customers/<Name_of_Domain>/CP*/conf/

로그 보존 기간 정하기 — 기본 180일

R81.20부터 관리 서버·Log Server를 새 버전으로 올릴 때, 로그 파일 마이그레이션이 최근 180일치로 제한 됩니다. 이 기간은 30~360일 사이의 정수 로 바꿀 수 있습니다. 방법은 다음과 같습니다.

   touch $FWDIR/conf/upgradeLogData.xml
   

   vi $FWDIR/conf/upgradeLogData.xml
   

   <?xml version="1.0"?>
   <config>
   <ImportLogDays>NUMBER_OF_DAYS</ImportLogDays>
   </config>
   

High Availability 환경의 업그레이드 계획

가용성 구성은 순서를 신중히 잡아야 합니다. 두 서버를 동시에 만지면 데이터베이스 동기화가 어긋날 수 있으므로, 정해진 Action Plan을 따릅니다.

Security Management Server HA 의 업그레이드 계획:

Multi-Domain Server HA 의 업그레이드 계획:

Multi-Domain Server 업그레이드 최적화 작업

Multi-Domain Server를 올리기 전에는 업그레이드 과정을 빠르고 깔끔하게 만드는 사전 작업이 권장됩니다(sk142432). 두 단계입니다.

그 밖의 사전 점검들

외부 저장 장치가 연결된 경우

관리 서버·Log Server에 외부 저장 장치(external storage device)가 연결 돼 있으면 sk66003에 따라 다음 순서를 지킵니다.

디스크 공간과 IP 구성 요건

게이트웨이 계열도 공통 출발점(최신 문서·Release Notes·Known Limitations·라이선스/계약)을 똑같이 따르고, 관리 서버를 먼저 올린 뒤에야 게이트웨이를 올린다 는 규칙을 지킵니다. 추가로, 게이트웨이·Cluster Member에서도 커스텀 구성을 기록해 두고 업그레이드 후 새 파일에 다시 적용 해야 합니다(업그레이드가 모든 파일을 기본 파일로 덮어쓰기 때문입니다).

기록해 둘 가장 중요한 디렉터리 (알파벳 순):

$FWDIR/boot/modules/
$FWDIR/conf/
$FWDIR/database/
$FWDIR/lib/
$PPKDIR/boot/modules/
/var/ace/

기록해 둘 가장 중요한 파일 (알파벳 순):

$FWDIR/boot/modules/fwkern.conf
$FWDIR/conf/cpha_bond_ls_config.conf
$FWDIR/conf/cpha_specific_vlan_data.conf   (sk92784)
$FWDIR/conf/discntd.if
$FWDIR/conf/fw_fast_accel_export_configuration.conf   (sk156672)
$FWDIR/conf/fwaffinity.conf
$FWDIR/conf/fwauthd.conf
$FWDIR/conf/hsm_configuration.C
$FWDIR/conf/identity_broker.C
$FWDIR/conf/ipassignment.conf
$FWDIR/conf/local.arp   (sk30197)
$FWDIR/conf/malware_config
$FWDIR/conf/prioq.conf   (sk105762)
$FWDIR/conf/rad_conf.C
$FWDIR/conf/synatk.conf
$FWDIR/conf/te.conf
$FWDIR/conf/thresholds.conf
$FWDIR/conf/trac_client_1.ttm
$FWDIR/conf/vsaffinity_exception.conf
$PPKDIR/conf/simkern.conf
/var/ace/sdconf.rec
/var/ace/sdopts.rec
/var/ace/sdstatus.12
/var/ace/securid

게이트웨이도 라이선스·Service Contract 요건은 동일합니다 — 소스·대상 모든 컴퓨터에 유효한 라이선스, 그리고 소프트웨어 업그레이드·메이저 릴리스를 포함하는 유효한 Service Contract 가 User Center에 등록돼 있어야 합니다(sk33089).

공통 사전 조건(최신 문서·Release Notes·Known Limitations·관리 서버 먼저·라이선스/계약)을 모두 충족한 뒤, 다음 절차를 따릅니다.

Mobile Access Gaia Portal 구성 파일은 Expert mode에서 다음 명령으로 찾습니다.

   find $CVPNDIR/ -name *.php -type f -exec ls {} \;
   find $CVPNDIR/ -name *.gif -type f -exec ls {} \;
   find $CVPNDIR/ -name *.jpg -type f -exec ls {} \;
   

대상에 따라 쓸 수 있는 방식이 다릅니다.

게이트웨이·Cluster Member 가 쓸 수 있는 방식:

관리 서버·Log Server 가 쓸 수 있는 방식은 세 갈래이며, 대상별로 모두 동일하게 적용됩니다.

세 방식의 차이는 이렇습니다.

즉 OS를 바꾸거나 하드웨어를 옮긴다면 CPUSE 대신 Advanced Upgrade나 Migration 을 택합니다.

이 표 옆에 붙은 중요 규칙도 다시 정리해 둡니다.

Central Deployment — SmartConsole에서 배포

Central Deployment 를 쓰면 SmartConsole에서 소프트웨어 패키지를 보내 Security Gateway·Cluster Member를 업그레이드하거나 clean install할 수 있습니다. Hotfix·Upgrade 패키지는 두 곳에서 배포합니다.

자세한 내용은 R82 Security Management Administration Guide의 Managing Gateways > Central Deployment of Hotfixes and Version Upgrades 절을 참고하세요.

Central Deployment Tool — 관리 서버의 명령줄 도구

관리 서버의 Central Deployment Tool 로도 패키지를 설치해 Security Gateway·Cluster Member를 업그레이드하거나 clean install할 수 있습니다. 자세한 내용은 sk111158을 참고하세요.

CPUSE — 같은 자리에서 올리기

CPUSE 로는 Gaia Operating System에서 도는 Check Point 컴퓨터 에 패키지를 설치해 업그레이드·clean install합니다(sk92449). 관리 서버·Log Server의 CPUSE 업그레이드 상세 절차는 대상별로 본 가이드의 해당 장에 있습니다 — 관리 서버 업그레이드부터 Multi-Domain Server, Multi-Domain Log Server, Endpoint Security Management Server까지.

Advanced Upgrade — 같은 컴퓨터, export 후 import

같은 Check Point 컴퓨터에서 다음 순서로 진행합니다.

Migration and Upgrade — 소스에서 export, 새 서버에 import

소스 컴퓨터와 별도의 대상 컴퓨터에서 다음 순서로 진행합니다.

관리 서버를 R82으로 올리기 전에 소프트웨어 업그레이드·메이저 릴리스를 포함하는 유효한 Support Contract가 User Center 계정에 등록 돼 있어야 합니다. User Center로 상태를 확인하는 이 Contract File 덕분에 현재 Check Point 라이선스 기준에 부합한 상태를 유지할 수 있습니다. 여기서도 관리 서버(Security Management Server·Multi-Domain Server)를 게이트웨이보다 먼저 올린다는 순서는 그대로입니다.

업그레이드 과정은 Contract File 이 이미 있는지 확인합니다. 없으면 나중에 User Center에서 수동으로 받아 import할 수 있습니다. 계약이 관리 서버를 덮지 않으면 "업그레이드 자격 없음" 메시지 가 뜹니다.

Contract File을 받는 세 가지 선택지:

업그레이드를 떠받치는 도구가 Upgrade Tools 입니다.

내려받는 방식은 인터넷 연결 여부에 달려 있습니다.

이 도구가 하는 일은 두 가지입니다 — 현재 관리 데이터베이스를 문제없이 올릴 수 있는지 검사(Pre-Upgrade Verifier)하고, 업그레이드를 실패시킬 수 있는 문제 목록을 담은 업그레이드 보고서를 생성 합니다. 보고서의 메시지는 세 갈래로 나뉩니다.

Upgrade Tools 패키지에서 가장 중요한 파일은 다음과 같습니다.

사전 준비를 마쳤으니, 이제 대상별 실제 업그레이드로 들어갑니다 — 먼저 관리 서버 업그레이드부터입니다.