목차/08. Security Group 관리

08Security Group 관리Managing Security Groups in Maestro

이 장은 Maestro에서 Security Group 을 일상적으로 다룰 때 필요한 작업들을 빠짐없이 모았습니다. 특정 Security Group Member의 명령줄에 직접 들어가는 법, Dual Site에서 Standby Site에 사이트별 고유 IP(UIPS)를 붙이는 법, Orchestrator 포트를 보고 설정하는 법, 그리고 핫픽스를 무중단으로 설치·제거하는 절차 까지 순서대로 풀어 둡니다. Security Group을 처음 만드는 단계는 Security Group 구성을 참고하세요.

특정 Security Group Member에 접속하기

Security Group은 여러 Security Group Member(SGM)로 이루어집니다. 특정 멤버 한 대의 명령줄에 들어가려면 어디서 출발하느냐에 따라 길이 두 가지입니다.

Quantum Maestro Orchestrator에서 멤버로 들어가기

Quantum Maestro Orchestrator(오케스트레이터)의 명령줄에서 원하는 멤버로 이동하는 절차입니다.

단계할 일
1Quantum Maestro Orchestrator의 명령줄에 접속합니다.
2구성된 Security Group과 그 멤버들을 확인합니다(아래 명령).
3반드시 Expert mode 로 로그인해 둡니다.
4아래 두 명령 중 하나로 원하는 멤버에 접속합니다.
5로그인합니다.

2단계의 확인 명령은 셸에 따라 다릅니다.

# Gaia Clish에서
show maestro security-group id <Security Group ID>

# Expert mode에서
clish -c "show maestro security-group id <Security Group ID>"

4단계에서 멤버로 옮겨갈 때는 Security Group ID와 Member ID를 함께 지정합니다. member 와 짧은 별칭 m 은 같은 명령입니다.

member <Security Group ID> <Member ID>
m <Security Group ID> <Member ID>

실제로 멤버 3(Security Group 1)으로 들어가는 모습은 이렇습니다.

[Expert@Orch:0]# member 1 3
Moving to member 3 in security group 1 (198.51.101.3)
admin@198.51.101.1's password: *****
Last login: Mon Jan 28 17:05:23 2019 from 198.51.101.126
You have logged into the system.
[Expert@SG1-ch01-03:0]#

한 멤버에서 같은 그룹의 다른 멤버로 이동하기

이미 어떤 멤버에 들어와 있다면, 같은 Security Group 안의 다른 멤버로 곧장 건너뛸 수 있습니다.

단계할 일
1Security Group의 IP 주소로 SSH 접속합니다(<IP Address of Security Group>).
2Expert mode 로 로그인합니다.
3아래 명령으로 같은 그룹의 다른 멤버에 접속합니다.

같은 그룹 안에서는 Member ID만 적으면 됩니다(Security Group ID 생략).

member <Member ID>
m <Member ID>

멤버 2로 옮겨가는 예시입니다.

[Expert@SG1-ch01-03:0]# m 2
Moving to member 1_2
This system is for authorized use only.
Last login: Mon Jan 28 17:07:45 2019 from 192.0.2.1
You have logged into the system.
[Expert@SG1-ch01-02:0]#

알아 둘 점이 몇 가지 있습니다.

  • 직전 멤버로 되돌아가려면 exit 명령을 실행합니다.
  • 멤버들로 여러 개의 SSH 세션을 동시에 열어 둘 수 있습니다.
  • 오케스트레이터에서든 다른 멤버에서든, 멤버로 새로 맺는 SSH 연결은 내부 Quantum Maestro Orchestrator 네트워크 를 통해 흐릅니다.

Maestro Dual Site에서 사이트별 고유 IP(UIPS) 설정

Maestro Dual Site(두 사이트로 구성한 배치)에서는 다음과 같은 곤란한 상황이 생길 수 있습니다.

  • Active Site 에 부하가 심하면 SMO 로 네트워크 연결을 맺어 관리 작업을 하기 어렵습니다.
  • DOWN 상태인 멤버처럼 문제를 풀려면 Standby Site 에 직접 접속해야 할 때가 있는데, SMO로는 Standby Site에 접속할 수 없 습니다.

이 문제를 풀려고 각 Standby Site에 고유 IP 주소(UIPS, Unique IP per Site) 를 부여할 수 있습니다. 이는 Security Group에 지정된 관리 인터페이스에 별칭(alias) IP를 하나 더 붙이는 것입니다. SMO에 부하가 높을 때 이 고유 IP로 Standby Site에 접속합니다. Standby Site의 멤버들은 항상 "UP" 상태 이고 Gaia gClish 명령을 받을 수 있습니다.

알아 둘 점은 다음과 같습니다.

  • UIPS 기능은 Maestro에서 기본적으로 꺼져 있습니다.
  • UIPS는 IPv6 주소를 지원하지 않 습니다(알려진 제한 MBS-9128).
  • Maestro의 UIPS는 Security Group에 지정된 관리 인터페이스만 지원합니다.
  • 한 멤버만 "UIPS" 작업 을 맡습니다("SMO" 작업과 비슷). CLI 출력에는 이 작업이 UIPC 로 표시되는데, 이 기능의 옛 이름이 "Unique IP Address per Chassis"였기 때문입니다.

UIPS는 Gaia gClish의 set cluster configuration unique-ip ... 명령으로 Standby Site에 고유 IP를 부여합니다.

구문

조회·설정·삭제 명령은 다음과 같습니다.

show cluster configuration unique-ip site-id <ID of Standby Site> interface <Name of Mgmt Interface>

set cluster configuration unique-ip <ID of Standby Site> interface <Name of Mgmt Interface> ipv4-address <IPv4 Address> mask-length <Length of Subnet Mask>

set cluster configuration unique-ip <ID of Standby Site> apply_unique_config

delete cluster configuration unique-ip site-id <ID of Standby Site> interface <Name of Mgmt Interface>

파라미터

파라미터설명
<ID of Standby Site>Standby Site의 ID. 유효값: 1(Site #1), 2(Site #2), all(모든 사이트).
<Name of Mgmt Interface>Security Group에 지정된 관리 인터페이스 이름. 예: eth1-Mgmt1.
<IPv4 Address>멤버 인터페이스 중 하나와 같은 네트워크에 있는 별칭 IPv4 주소.
<Length of Subnet Mask>IPv4 서브넷 마스크 길이.

예제 1 — UIPS 추가하기

[Expert@HostName-ch0x-0x:0]# gclish
[Global] HostName-ch01-01 > set cluster configuration unique-ip 1 interface eth1-Mgmt4 ipv4-address 172.16.6.186 mask-length 24
1_01:
Adding Alias address 172.16.6.186 of eth1-Mgmt4
1_02:
Adding Alias address 172.16.6.186 of eth1-Mgmt4
2_01:
2_02:
Alias IP was added successfully to Site 1
Alias IP address should be added to the policy rulebase in SmartDashBoard
[Global] HostName-ch01-01 >

예제 2 — UIPS 삭제하기

[Expert@HostName-ch0x-0x:0]# gclish
[Global] HostName-ch01-01 > delete cluster configuration unique-ip site-id 1 interface eth1-Mgmt4
1_01:
Deleting Alias IP 172.16.6.186 of eth1-Mgmt4
1_02:
Deleting Alias IP 172.16.6.186 of eth1-Mgmt4
2_01:
2_02:
Alias IP of Site 1 was deleted successfully
Alias IP address should be removed from the policy rulebase in SmartDashBoard
[Global] HostName-ch01-01 >

Orchestrator 포트 관리

오케스트레이터의 포트 정보를 보고 설정을 바꿀 수 있습니다. Gaia Portal(웹 UI), Gaia Clish, Expert mode 세 가지 길이 있습니다.

Gaia Portal에서 관리

R82부터 Gaia Portal은 전용 페이지를 제공합니다. Orchestrator Management 섹션에서 Ports 페이지를 클릭합니다. 상단 도구 모음에는 다음 항목들이 있습니다(Table 보기 기준).

아이콘/이름설명
Table포트를 표 형태로 보여 줍니다(기본 보기). 표시 항목: Port Status, Physical Port ID, Port Type, Gaia OS 안의 Interface Name, 이 포트가 할당된 Security Group, Transceiver State, MTU, QSFP Mode, Auto-Negotiation State, RX Throughput(frames/sec), TX Throughput(frames/sec). 포트를 우클릭하면 Edit Port, Blink LED, Diagnostics 를 고를 수 있습니다.
Map포트를 시각적 지도 로 보여 줍니다. 이 사이트의 각 오케스트레이터 전면 패널을 그림으로 표현하며, 포트의 서로 다른 아이콘이 서로 다른 상태를 뜻합니다(범례는 우측 상단). 포트를 좌클릭하면 아래쪽에 상세 정보가 나오고, 우클릭하면 Edit Port, Blink LED, Diagnostics 를 고를 수 있습니다.
Edit선택한 포트의 설정 창을 엽니다. 여기서 설정할 수 있는 것: 필요한 사이트에서 이 포트의 관리 상태(administrative state) 변경, 필요한 사이트에서 자동 협상(auto-negotiation) 켜기/끄기, MTU 설정, 포트 속도(QSFP Mode) 선택, 포트 종류 선택(Management, Internal Site Sync, External Site Sync, Uplink, Downlink).
Blink LED선택한 포트의 LED를 깜빡이게 합니다. 전면 패널에서 해당 포트를 찾기 쉽게 해 줍니다.
Diagnostics포트에 짧은 진단을 실행합니다.

이 밖에 상단에는 관리상 down 상태 포트 수, down 상태 포트 수, up 상태 포트 수도 표시됩니다.

Gaia Clish에서 관리

Gaia Clish에서는 다음 명령을 씁니다.

add maestro ...
set maestro ...
delete maestro ...
set interface <Name>

Gaia Clish에서 모니터링

show maestro ...
show interface <Name>
show interfaces

Expert mode에서 모니터링

cplink

Maestro에서 핫픽스 설치·제거

핫픽스는 두 종류의 장비에 따로 다룹니다 — Quantum Maestro Orchestrator 와 Security Group Member 입니다.

오케스트레이터에 핫픽스 설치·제거

오케스트레이터에서는 각 장비마다 CPUSE 를 써서 해당 핫픽스를 설치합니다.

다음을 반드시 지켜야 합니다.

  • 오케스트레이터에서는 CPUSE Agent 업그레이드가 지원되지 않 습니다.
  • CPUSE 사용법은 sk92449를 참고하세요.
  • Jumbo Hotfix Accumulator 는 설치·제거 후 오케스트레이터를 재부팅 합니다.
  • 오케스트레이터는 Jumbo Hotfix Accumulator 설치·제거가 시작되는 순간부터 재부팅으로 올라올 때까지 트래픽 처리를 멈춥 니다.
  • 모든 Maestro 사이트의 모든 오케스트레이터에 같은 Take의 Jumbo Hotfix Accumulator 를 설치해야 합니다.

오케스트레이터에 핫픽스 패키지 설치하기

오케스트레이터는 인터넷 연결 여부와 상관없이 오프라인 설치만 지원합니다.

인터넷 연결설치 방법
인터넷에 연결됨오프라인 설치만 가능합니다. 인터넷에 연결되지 않은 오케스트레이터의 절차를 따르세요.
인터넷에 연결되지 않음오프라인 설치만 가능합니다(아래 절차).

Gaia Portal에서 CPUSE 패키지 설치하기

  1. Gaia Portal에 접속하는 컴퓨터를 사용합니다.
  2. Check Point Support Center에서 해당 CPUSE 소프트웨어 패키지를 내려받습니다.
  3. 각 오케스트레이터의 Gaia Portal에 접속합니다.
  4. 해당 CPUSE 소프트웨어 패키지를 Import 합니다.
  5. 해당 패키지를 Verify 합니다.
  6. 해당 패키지를 Install 합니다.

Gaia Clish에서 CPUSE 패키지 설치하기

  1. Gaia Clish에 접속하는 컴퓨터를 사용합니다.
  2. Check Point Support Center에서 해당 CPUSE 소프트웨어 패키지를 내려받습니다.
  3. 해당 CPUSE 오프라인 패키지를 각 오케스트레이터의 어떤 디렉터리(예: /var/log/path_to_CPUSE_packages/)로 전송합니다. 반드시 바이너리 모드 로 전송하세요.
  4. 각 오케스트레이터의 명령줄에 접속해 Gaia Clish에 로그인합니다.
  5. 해당 패키지를 Import 합니다.
  6. 해당 패키지를 Verify 합니다.
  7. 해당 패키지를 Install 합니다.

오케스트레이터에서 핫픽스 패키지 제거하기

Gaia Portal에서

  1. 각 오케스트레이터의 Gaia Portal에 접속합니다.
  2. 왼쪽 탐색 트리에서 Upgrades (CPUSE) > Status and Actions 를 클릭합니다.
  3. 해당 CPUSE 패키지를 우클릭하고 Uninstall 을 클릭합니다.

Gaia Clish에서

  1. 각 오케스트레이터의 명령줄에 접속합니다.
  2. Gaia Clish에 로그인합니다.
  3. 해당 패키지를 제거합니다.
installer uninstall [Tab 키 누름]
installer uninstall <Number of CPUSE Package>

오케스트레이터에서 핫픽스 패키지 삭제하기

이 절은 오케스트레이터에 존재하지만 설치되지는 않은 핫픽스 패키지에 해당합니다.

Gaia Portal에서

  1. 각 오케스트레이터의 Gaia Portal에 접속합니다.
  2. 왼쪽 탐색 트리에서 Upgrades (CPUSE) > Status and Actions 를 클릭합니다.
  3. 해당 CPUSE 패키지를 우클릭하고 Delete From Disk 를 클릭합니다.

Gaia Clish에서

  1. 각 오케스트레이터의 명령줄에 접속합니다.
  2. Gaia Clish에 로그인합니다.
  3. 해당 패키지를 삭제합니다.
installer delete [Tab 키 누름]
installer delete <Number of CPUSE Package>

Security Group Member에 핫픽스 설치하기

이 절은 오프라인 CPUSE 패키지를 Full Connectivity(무중단) 방식으로 설치·제거하는 법을 다룹니다.

핵심 원칙은 이렇습니다.

  • Security Group Member에서는 CPUSE Agent 업그레이드가 지원되지 않 습니다.
  • 이 절차는 Security Group의 현재 연결을 유지 합니다.
  • 이 절차는 Security Gateway 모드와 VSX 모드 양쪽에 적용됩니다. VSX 모드에서는 모든 명령을 VS0 컨텍스트 에서 실행해야 합니다.
  • 한 Security Group의 모든 멤버에 동시에 핫픽스를 설치하지 마 세요.
  • 멤버들을 두 개 이상의 논리 그룹 으로 나눕니다(아래에서는 "A", "B" 두 그룹). 한 번에 한 논리 그룹에만 설치하고, 나머지 논리 그룹은 계속 트래픽을 처리합니다. 각 논리 그룹의 멤버 수는 되도록 같게 나눕니다.

논리 그룹을 나누는 예시입니다.

환경구성
Single Site멤버 8개. 그룹 "A" = 1_1~1_4, 그룹 "B" = 1_5~1_8.
Single Site멤버 5개. 그룹 "A" = 1_1~1_3, 그룹 "B" = 1_4~1_5.
Dual Site사이트마다 멤버 4개. 그룹 "A" = Site 1의 1_1~1_4, 그룹 "B" = Site 2의 2_1~2_4.

설치 절차

1단계 — 사전 준비 (오프라인 CPUSE 패키지)

단계할 일
A해당 CPUSE 오프라인 패키지가 있는지 확인합니다.
B오프라인 패키지를 Security Group의 어떤 디렉터리(예: /var/log/)로 전송합니다.
CSecurity Group의 명령줄에 접속합니다.
D기본 셸이 /bin/bash(Expert mode)면 Gaia gClish로 들어갑니다 — gclish.
E하드 디스크에서 패키지를 가져옵니다(아래 명령).
F가져온 패키지를 확인합니다 — show installer packages imported.
G이 Security Group에 설치 가능한지 검증합니다(아래 명령).

E단계의 Import 명령과 예시입니다.

installer import local /<Full Path>/<Name of the CPUSE Offline Package>
[Global] HostName-ch01-01 > installer import local /var/log/Check_Point_R82_Hotfix_Bundle_FULL.tgz

G단계의 검증 명령과 예시입니다.

installer verify [Tab 키 누름]
installer verify <Number of CPUSE Package> member_ids all
[Global] HostName-ch01-01 > installer verify 2 member_ids all
... ...
Update Service Engine
+-----------------------------------------------------------+
|Member ID    |Status                                       |
+-----------------------------------------------------------+
|1_01 (local) |Installation is allowed.                     |
|1_02         |Installation is allowed.                     |
|1_03         |Installation is allowed.                     |
|1_04         |Installation is allowed.                     |
|1_05         |Installation is allowed.                     |
|1_06         |Installation is allowed.                     |
|1_07         |Installation is allowed.                     |
|1_08         |Installation is allowed.                     |
+-----------------------------------------------------------+
[Global] HostName-ch01-01 >

2단계 — SMO Image Cloning 기능 끄기

단계할 일
ASecurity Group의 명령줄에 접속합니다.
B기본 셸이 /bin/bash(Expert mode)면 gclish 로 들어갑니다.
CSMO Image Cloning 상태를 확인합니다.
D켜져 있으면 끕니다.
E상태를 다시 확인합니다.
# 상태 확인 (C, E)
show cluster configuration image auto-clone state

# 끄기 (D)
set cluster configuration image auto-clone state off

3단계 — 논리 그룹 "A"의 멤버에 핫픽스 설치

단계할 일
A다음 중 하나로 접속합니다 — 그룹 "A"의 한 멤버에 콘솔 로 접속하거나, 그룹 "B"의 한 멤버에 SSH 로 접속합니다.
B기본 셸이 /etc/cli.sh(Gaia Clish)면 Expert mode로 들어갑니다 — expert.
C그룹 "A"의 멤버들을 "DOWN" 상태로 만듭니다.
D그룹 "A"의 한 멤버에 접속합니다 — member <Member ID> (예: member 1_1).
EExpert mode에서 Gaia gClish로 이동합니다 — /bin/bash면 gclish, /etc/cli.sh면 exit.
F그룹 "A" 멤버들에 핫픽스를 설치합니다.
GGaia gClish에서 Expert mode로 돌아갑니다 — /bin/bash면 exit, /etc/cli.sh면 expert.
H그룹 "A" 멤버들이 "UP"이 되고 다시 정책을 적용할 때까지 asg monitor 로 지켜봅니다.

C단계 명령과 예시입니다.

cluster-cli set members-admin-state ids <SGM IDs in Group "A"> down
cluster-cli set members-admin-state ids 1_1-1_4 down

F단계의 설치 명령과 예시입니다.

installer install [Tab 키 누름]
installer install <Number of CPUSE Package> member_ids <SGM IDs in Group "A">
[Global] HostName-ch01-01 > installer install 2 member_ids 1_1-1_4
... ...
Update Service Engine
+-----------------------------------------------------------+
|Member ID    |Status                                       |
+-----------------------------------------------------------+
|1_01 (local) |Package is ready for installation            |
|1_02         |Package is ready for installation            |
|1_03         |Package is ready for installation            |
|1_04         |Package is ready for installation            |
+-----------------------------------------------------------+
The machines (1_02,1_02,1_03,1_04) will automatically reboot after install.
Do you want to continue? ([y]es / [n]o) y
[Global] HostName-ch01-01 >

4단계 — 논리 그룹 "B"의 멤버에 핫픽스 설치

그룹 "B"도 3단계와 똑같은 요령으로 합니다. A단계 접속은 반대로 — 그룹 "B"의 멤버에 콘솔로, 또는 그룹 "A"의 멤버에 SSH로 붙습니다. 이후 그룹 "B"를 "DOWN"으로 내리고, 그 멤버에 들어가, Gaia gClish에서 설치하고, Expert mode로 돌아와 asg monitor 로 "UP"이 될 때까지 지켜봅니다.

cluster-cli set members-admin-state ids 1_5-1_8 down
[Global] HostName-ch01-01 > installer install 2 member_ids 1_5-1_8
... ...
Update Service Engine
+-----------------------------------------------------------+
|Member ID    |Status                                       |
+-----------------------------------------------------------+
|1_05 (local) |Package is ready for installation            |
|1_06         |Package is ready for installation            |
|1_07         |Package is ready for installation            |
|1_08         |Package is ready for installation            |
+-----------------------------------------------------------+
The machines (1_05,1_06,1_07,1_08) will automatically reboot after install.
Do you want to continue? ([y]es / [n]o) y
[Global] HostName-ch01-01 >

5단계 — 모든 멤버에 핫픽스가 설치됐는지 확인

단계할 일
ASecurity Group의 명령줄에 접속합니다.
B기본 셸이 /etc/cli.sh(Gaia Clish)면 expert 로 Expert mode에 들어갑니다.
C아래 도구 중 하나를 씁니다.
# insights 도구 (insights 참고)
insights

# HCP 도구 (hcp 참고)
hcp --help

Security Group Member에서 핫픽스 제거하기

제거 절차는 설치와 거의 대칭입니다. 핵심 원칙도 같습니다.

  • CPUSE Agent 업그레이드는 지원되지 않습니다.
  • 현재 연결을 유지합니다.
  • Security Gateway 모드와 VSX 모드 양쪽에 적용되며, VSX 모드에서는 VS0 컨텍스트 에서 실행합니다.
  • 모든 멤버에서 동시에 제거하지 마 세요. 한 번에 한 논리 그룹씩, 먼저 "A" 그룹에서, 그다음 "B" 그룹에서 제거합니다. 나머지 그룹은 계속 트래픽을 처리합니다. 각 그룹의 멤버 수는 되도록 같게 나눕니다(논리 그룹 예시는 설치 절의 표와 동일).

1단계 — SMO Image Cloning 기능 끄기

show cluster configuration image auto-clone state
set cluster configuration image auto-clone state off

2단계 — 논리 그룹 "A"에서 핫픽스 제거

접속(그룹 "A"에 콘솔 또는 그룹 "B"에 SSH) → Expert mode → 그룹 "A"를 "DOWN"으로 → 그룹 "A"의 한 멤버에 접속 → Gaia gClish로 이동 → 제거 → Expert mode로 복귀 → asg monitor 로 "UP" 확인.

cluster-cli set members-admin-state ids 1_1-1_4 down
installer uninstall [Tab 키 누름]
installer uninstall <Number of CPUSE Package> member_ids <SGM IDs in Group "A">
[Global] HostName-ch01-01 > installer uninstall 2 member_ids 1_1-1_4
... ...
Update Service Engine
+-------------+---------------------------------------------+
|Member ID    |Status                                       |
+-------------+---------------------------------------------+
|1_01 (local) |Package is ready for uninstallation          |
|1_02         |Package is ready for uninstallation          |
|1_03         |Package is ready for uninstallation          |
|1_04         |Package is ready for uninstallation          |
+-------------+---------------------------------------------+
The machines (1_02,1_02,1_03,1_04) will automatically reboot after uninstall.
Do you want to continue? ([y]es / [n]o) y
[Global] HostName-ch01-01 >

3단계 — 논리 그룹 "B"에서 핫픽스 제거

접속(그룹 "B"에 콘솔 또는 그룹 "A"에 SSH) → expert 로 Expert mode → 그룹 "B"를 "DOWN"으로 → 멤버에 접속 → Gaia gClish로 이동 → 제거 → Expert mode로 복귀 → asg monitor 로 "UP" 확인.

cluster-cli set members-admin-state ids 1_5-1_8 down
installer uninstall [Tab 키 누름]
installer uninstall <Number of CPUSE Package> member_ids <SGM IDs in Group "B">
[Global] HostName-ch01-01 > installer uninstall 2 member_ids 1_5-1_8
... ...
Update Service Engine
+-----------------------------------------------------------+
|Member ID    |Status                                       |
+-----------------------------------------------------------+
|1_05 (local) |Package is ready for uninstallation          |
|1_06         |Package is ready for uninstallation          |
|1_07         |Package is ready for uninstallation          |
|1_08         |Package is ready for uninstallation          |
+-----------------------------------------------------------+
The machines (1_05,1_06,1_07,1_08) will automatically reboot after uninstall.
Do you want to continue? ([y]es / [n]o) y
[Global] HostName-ch01-01 >

4단계 — 모든 멤버에서 핫픽스가 제거됐는지 확인

insights        # 또는
hcp --help

문제가 생기면 문제 해결을 참고하세요.