15명령줄 참조명령줄 참조

다른 장과 마찬가지로 이 참조도 명령·파라미터를 가능하면 알파벳 순 으로 싣고, 다음 약속을 따릅니다.

예를 들어 아래처럼 쓰여 있으면

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options> 중 하나의 명령 을 실행하라는 뜻입니다.

contract_util 은 Check Point 서비스 계약(Service Contract) 파일을 다룹니다. 게이트웨이가 업그레이드 자격이 있는지 확인하고, 계약 정보를 내려받거나 게이트웨이로 전달합니다(자세한 배경은 sk33089 참고).

contract_util [-d]
    check <options>
    cpmacro <options>
    download <options>
    mgmt
    print <options>
    summary <options>
    update <options>
    verify

contract_util check / verify

업그레이드 자격을 확인합니다. verify 는 같은 검사를 하되 결과를 사람이 읽기 좋은 문장으로 풀어 줍니다.

contract_util check {-h | -help}
    hfa
    maj_upgrade
    min_upgrade
    upgrade

contract_util download

contract_util download {-h | -help}
    local [{hfa | maj_upgrade | min_upgrade | upgrade}] <Service Contract File>
    uc [-i] [{hfa | maj_upgrade | min_upgrade | upgrade}] <Username> <Password> [<Proxy Server> [<Proxy Username>:<Proxy Password>]]

contract_util update

contract_util update [-proxy <Proxy Server>:<Proxy Port>] [-ca_path <Path to ca-bundle.crt File>]

cp_conf 는 설치된 Check Point 제품을 구성·재구성합니다. 관리 서버에서는 관리자·자동 시작·ICA·GUI 클라이언트·지문·라이선스를 다룹니다.

    -h
    admin <options>
    auto <options>
    ca <options>
    client <options>
    finger <options>
    lic <options>
    snmp <options>

cp_conf admin

관리 서버의 시스템 관리자를 구성합니다(Multi-Domain Server에서는 미지원).

cp_conf admin
    -h
    add [<UserName> <Password> {a | w | r}]
    add -gaia [{a | w | r}]
    del <UserName1> <UserName2> ...
    get

cp_conf auto

부팅 시 어떤 Check Point 제품이 자동 시작될지 보여 주고 제어합니다.

cp_conf auto
    -h
    {enable | disable} <Product1> <Product2> ...
    get all

cp_conf ca

내부 인증 기관(ICA)의 설정을 바꿉니다.

cp_conf ca
    -h
    fqdn <FQDN Name>
    init

cp_conf client

SmartConsole로 접속할 수 있는 GUI 클라이언트를 구성합니다(Multi-Domain Server 미지원).

cp_conf client
    add <GUI Client>
    createlist <GUI Client 1> <GUI Client 2> ...
    del <GUI Client 1> <GUI Client 2> ...
    get

<GUI Client> 는 IPv4/IPv6 주소 하나, 호스트명, "Any"(모든 주소), IP 범위(192.168.10.0/255.255.255.0), 또는 와일드카드(192.168.10.*) 가 될 수 있습니다. createlist 는 기존 목록을 지우고 새 목록을 만듭니다.

cp_conf finger

ICA의 지문(Fingerprint) 을 보여 줍니다. SmartConsole로 접속할 때 서버 신원을 확인하는 데 씁니다.

cp_conf finger
    -h
    get

cp_conf lic

로컬 라이선스를 보고·추가·삭제합니다(각각 cplic 의 해당 명령과 동등).

cp_conf lic
    -h
    add -f <Full Path to License File>
    add -m <Host> <Date> <Signature Key> <SKU/Features>
    del <Signature Key>
    get [-x]

cp_log_export 는 Check Point 로그를 syslog로 내보냅니다(Log Exporter). Expert mode에서만 실행하고, Multi-Domain Server에서는 해당 Domain Management Server 컨텍스트에서 실행합니다.

cp_log_export <command-name> help

대표 예:

cp_log_export add name <Name> target-server <Target-Server> target-port <Target-Server-Port> protocol {udp | tcp} [Optional Arguments]
cp_log_export reexport name <Name> start-position <Pos> end-position <Pos> --apply-now

주요 인자(대부분 add/set에서 선택적):

cpca_client 는 ICA에 대해 인증서 발급·폐기·검색 같은 작업을 합니다. Multi-Domain Server에서는 mdsenv 로 도메인 컨텍스트에 들어가서 실행합니다. -d 는 디버그 모드(문제 해결 시에만, 출력은 파일로 리디렉션 권장).

cpca_client [-d]
    create_cert <options>
    double_sign <options>
    get_crldp <options>
    get_pubkey <options>
    init_certs <options>
    lscert <options>
    revoke_cert <options>
    revoke_non_exist_cert <options>
    search <options>
    set_ca_services <options>
    set_cert_validity <options>
    set_mgmt_tool <options>
    set_sign_hash <options>

cpca_client create_cert

관리 서버용 SIC 인증서를 발급합니다.

cpca_client [-d] create_cert [-p <CA port number>] -n "CN=<Common Name>" -f <Full Path to PKCS12 file> [-w <Password>] [-k {SIC | USER | IKE | ADMIN_PKG}] [-c "<Comment>"]

cpca_client double_sign

인증서에 두 번째 서명을 만듭니다.

cpca_client [-d] double_sign [-p <CA port number>] -i <Certificate File in PEM format> [-o <Output File>]

cpca_client get_crldp / get_pubkey

get_crldp 는 ICA에 구성된 FQDN을 보여 줍니다(CRL DP·CRL URL 구성에 사용, 기본 포트 18264). get_pubkey 는 ICA 인증서의 공개 키 인코딩을 파일로 저장합니다.

cpca_client [-d] get_crldp [-p <ICA port number>]
cpca_client [-d] get_pubkey [-p <CA port number>] <Full Path to Output File>

cpca_client init_certs

사용자 DN 목록을 가져와 각 사용자별 등록 키 파일을 만듭니다. 입력 파일에서 각 DN 사이에는 빈 줄을 두어야 합니다.

cpca_client [-d] init_certs [-p <CA port number>] -i <Input File> -o <Output File>

cpca_client lscert

ICA가 발급한 모든 인증서를 보여 줍니다(필터링 가능).

cpca_client [-d] lscert [-dn <SubString>] [-stat {Pending | Valid | Revoked | Expired | Renewed}] [-kind {SIC | IKE | User | LDAP}] [-ser <Serial>] [-dp <Distribution Point>]

cpca_client revoke_cert / revoke_non_exist_cert

revoke_cert 는 발급된 인증서를 폐기합니다(-n CN, -s 일련번호 — 둘 중 하나 또는 함께). revoke_non_exist_cert 는 lscert 출력 형식의 목록 파일(-i)을 받아 존재하지 않는 인증서를 폐기합니다.

cpca_client [-d] revoke_cert [-p <CA port number>] -n "CN=<Common Name>" -s <Serial Number>
cpca_client [-d] revoke_non_exist_cert -i <Input File>

cpca_client search

ICA에서 인증서를 검색합니다.

cpca_client [-d] search <String> [-where {dn | comment | serial | device_type | device_id | device_name}] [-kind {SIC | IKE | User | LDAP}] [-stat {Pending | Valid | Revoked | Expired | Renewed}] [-max <N>] [-showfp {y | n}]

cpca_client set_ca_services

관리 서버 TCP 포트 18268의 인증 기관 서비스 포털 을 켜고/끕니다. 이 포털에서 ICA 인증서를 내려받아 게이트웨이·VPN 피어·원격 접속 클라이언트에 신뢰용으로 설치합니다.

cpca_client set_ca_services {on | off}

cpca_client set_cert_validity

새 인증서의 기본 유효 기간을 구성합니다(이후 만드는 인증서에만 적용).

cpca_client set_cert_validity -k {SIC | IKE | USER} [-y <Years>] [-d <Days>] [-h <Hours>] [-s <Seconds>]

cpca_client set_mgmt_tool

ICA 관리 도구(기본 비활성)를 제어합니다. 포털은 SSL로 보호되며 TCP 18265에서 인증서로만 접속합니다(sk102837 참고).

cpca_client [-d] set_mgmt_tool {on | off | add | remove | clean | print} [-p <CA port number>] [{-a <Administrator DN> | -u <User DN> | -c <Custom User DN>}]

cpca_client set_sign_hash

CA가 파일 해시에 서명할 때 쓰는 해시 알고리즘을 설정합니다(기본 SHA-256).

cpca_client [-d] set_sign_hash {sha1 | sha256 | sha384 | sha512}

cpca_create 는 새 내부 인증 기관 데이터베이스를 만듭니다.

cpca_create [-d] -dn <CA DN>

cpconfig 는 Check Point Configuration Tool 을 띄우는 대화형 메뉴입니다(설치 제품에 따라 항목이 달라짐). Multi-Domain Server에서는 mdsconfig 를 씁니다.

cpconfig

cpinfo 는 실행 시점의 진단 데이터를 모읍니다. Check Point Support에 문의할 때 반드시 함께 제출 해야 합니다(sk92739).

cpinfo

cplic 는 Check Point 라이선스를 관리합니다. 명령은 세 갈래입니다 — 로컬 라이선스(관리 서버·게이트웨이에서 로컬 실행), 원격 라이선스(관리 서버에서 관리 대상에 영향), 라이선스 저장소(repository)(관리 서버 전용).

cplic [-d] {-h | -help}
    check / contract / del / print / put       # 로컬
    del / get / put / upgrade                   # 원격(관리 대상)
    db_add / db_print / db_rm                    # 저장소(관리 서버)

cplic check

로컬 게이트웨이·관리 서버 라이선스가 특정 기능을 포함하는지 확인합니다.

cplic [-d] check [-p <Product>] [-v <Version>] [{-c | -count}] [-t <Date>] [{-r | -routers}] [{-S | -SRusers}] <Feature>

cplic contract

로컬 컴퓨터의 서비스 계약을 설치·삭제합니다($CPDIR/conf/cp.contract).

cplic [-d] contract
    del <Service Contract ID>
    put [{-o | -overwrite}] <Service Contract File>

cplic db_add / db_print / db_rm (저장소)

관리 서버 라이선스 저장소에 라이선스를 추가·조회·제거합니다.

cplic [-d] db_add -l <License File> [<Host>] [<Expiration Date>] [<Signature>] [<SKU/Features>]
cplic [-d] db_print {<Object Name> | -all} [{-n | -noheader}] [-x] [{-t | -type}] [{-a | -attached}]
cplic [-d] db_rm <Signature>

cplic del / del <object name>

del 은 호스트의 라이선스를 삭제(불필요·만료·평가판 포함), del <Object Name> 은 원격 관리 대상에서 Central 라이선스를 분리해 저장소에 미부착 상태로 남깁니다.

cplic [-d] del [-F <Output File>] <Signature> <Object Name>
cplic [-d] del <Object Name> [-F <Output File>] [-ip <Dynamic IP Address>] <Signature>

cplic get

관리 대상 게이트웨이·클러스터의 모든 라이선스를 저장소로 회수해 동기화합니다.

cplic [-d] get
    -all
    <IP Address>
    <Host Name>

cplic print

로컬에 설치된 라이선스 상세를 출력합니다(게이트웨이에서는 Local·Central 모두).

cplic [-d] print [{-n | -noheader}] [-x] [{-t | -type}] [-F <Output File>] [{-p | -preatures}] [-D]

cplic put / put <object name>

put 은 로컬 라이선스를 설치, put <Object Name> 은 원격 관리 대상에 Central/Local 라이선스를 부착(저장소 자동 갱신)합니다.

cplic [-d] put [{-o | -overwrite}] [{-c | -check-only}] [{-s | -select}] [-F <Output File>] [{-P | -Pre-boot}] [{-k | -kernel-only}] -l <License File> [<Host>] [<Expiration Date>] [<Signature>] [<SKU/Features>]
cplic [-d] put <Object Name> [-ip <Dynamic IP Address>] [-F <Output File>] -l <License File> ...

cplic upgrade

지정한 라이선스 파일로 저장소의 라이선스를 업그레이드합니다.

cplic [-d] upgrade -l <Input File>

cppkg 는 관리 서버의 SmartUpdate 소프트웨어 패키지 저장소 를 관리합니다. Expert mode에서만, MDS에서는 mdsenv 컨텍스트에서 실행합니다.

    add <options>
    {del | delete} <options>
    get
    getroot
    print
    setroot <options>

cpprod_util 은 Check Point 레지스트리($CPDIR/registry/HKLM_registry.data)를 직접 열지 않고 어떤 제품·기능이 켜졌는지 보고, 켜고/끕니다.

cpprod_util CPPROD_GetValue "<Product>" "<Parameter>" {0|1}
cpprod_util CPPROD_SetValue "<Product>" "<Parameter>" {1|4} "<Value>" {0|1}
cpprod_util -dump

인자 없이 실행하면 사용 가능한 제품·기능 목록이 출력됩니다. 자주 쓰는 조회: FwIsFirewallMgmt(관리 서버 여부), FwIsStandAlone, FwIsPrimary/FwIsActiveManagement/FwIsSMCBackup(HA 역할), FwIsLogServer, RtIsAnalyzerServer(SmartEvent), UepmIsInstalled(Endpoint 정책 관리). 출력을 파일로 받으려면 stderr도 함께 리디렉션합니다: cpprod_util <options> > <file> 2>&1.

cprid(Check Point Remote Installation Daemon)는 관리 대상 게이트웨이의 원격 업그레이드·설치에 쓰입니다. Expert mode·MDS 컨텍스트에서 실행합니다.

cprinstall 은 관리 대상 게이트웨이에 제품 패키지를 설치하고 관련 작업을 수행합니다. SmartUpdate 라이선스가 필요하고, 게이트웨이에 SIC 신뢰·cpd·cprid 데몬이 있어야 합니다.

    boot / cprestart / cpstart / cpstop <options>
    delete / get / install / revert / show / snapshot / transfer / uninstall / verify <options>

설치·전송·검증·제거는 대상과 패키지 속성을 함께 지정합니다(속성 값은 cppkg print 로 확인):

cprinstall install [-boot] [-backup] [-skip_transfer] <Object Name> "<Vendor>" "<Product>" "<Major Version>" "<Minor Version>"

cpstart 는 모든 Check Point 프로세스·애플리케이션을 수동으로 시작, cpstop 은 중지합니다(cprid 데몬은 cprid 명령 사용).

cpstop

cpstat 는 Check Point 애플리케이션의 상태와 통계를 보여 줍니다. 파라미터 순서는 자유입니다.

cpstat [-d] [-h <Host>] [-p <Port>] [-s <SICname>] [-f <Flavor>] [-o <Polling Interval> [-c <Count>] [-e <Period>]] <Application Flag>

자주 쓰는 Application Flag와 flavor: os(default, cpu, memory, perf, disk, routing, all …), fw(default, policy, perf, totals …), mg(관리 서버 — default, log_server, indexer), ca(default, crl, cert, user, all), ha(고가용성), blades(켜진 블레이드 목록), vpn·ips·appi·urlf·antimalware·threat-emulation·vsx·thresholds 등. 예: cpstat os -f perf -o 2 -c 2 -e 60, cpstat -f default mg.

cpview 는 시스템(CPU·메모리·디스크)과 소프트웨어 블레이드 통계를 실시간으로 보여 주는 내장 도구입니다(sk101878).

cpview --help

화면은 Header(통계 수집 시각), Navigation(메뉴 바), View(통계)로 나뉩니다. 주요 키: 화살표(이동·스크롤), Enter(View 모드/하위 메뉴), Esc(Menu 모드), Home(개요), R(새로 고침 주기 변경, 기본 2초), W(넓은/일반 표시), P(일시정지/재개), C(현재 페이지 파일 저장), Space(즉시 새로 고침), Q(종료).

Check Point WatchDog(cpwd)는 fwm·fwd·cpd·DAService 같은 핵심 프로세스를 감시하고 실패하면 다시 띄웁니다. 감시는 Passive(비정상 종료 시에만 재시작, MON=N)와 Active(주기적으로 정상 동작 확인, MON=Y, 목록은 Check Point가 고정)로 나뉩니다. 로그는 $CPDIR/log/cpwd.elg.

    config / del / detach / exist / flist / getpid / kill / list / monitor_list / start / start_monitor / stop / stop_monitor <options>

cpwd_admin config

cpwd_admin config
    -h
    -a <Param>=<Value> ...
    -d <Param> ...
    -p
    -r

구성 파라미터(기본값): rerun_mode(1=실패 시 재시작, 0=감시·로그만), no_limit(재시작 최대 횟수, 기본 5, -1=무제한, 0=안 함), sleep_timeout(실패 후 재시작까지 대기 초, 기본 60), sleep_mode, stop_timeout(중지 명령 대기, 기본 60), reset_startups(시작 카운터 리셋 대기, 기본 3600), zero_timeout(no_limit 소진 후 재시도까지, 기본 7200), num_of_procs(감시 최대 프로세스 수, 기본 10000).

cpwd_admin start / stop

cpwd_admin start -name <Application Name> -path "<Full Path>" -command "<Command>" [-env {inherit | <Var>=<Value>}] [-slp_timeout <Timeout>] [-retry_limit {<Limit> | u}]
cpwd_admin stop -name <Application Name> [-path "<Full Path>" -command "<Command>" [-env ...]]

-name 은 list 출력의 APP 열 이름(FWM·FWD·CPD·CPM 등), -path 는 실행 파일 전체 경로, -command 는 실행할 명령(모두 큰따옴표). 프로세스별 정확한 구문은 sk97638 참고. list 의 주요 열: APP·PID·STAT(E 실행/T 종료)·#START(시작 횟수)·START_TIME·MON(Y/N)·COMMAND.

dbedit 는 관리 서버의 데이터베이스 파일($FWDIR/conf/objects_5_0.C)을 직접 편집합니다.

dbedit [-globallock] [{-local | -s <Management_Server>}] [{-u <Username> | -c <Certificate>}] [-p <Password>] [-f <File_Name> [ignore_script_failure] [-continue_updating]] [-r "<Reason>"] [-d <Database_Name>] [-listen] [-readonly] [-session]

주요 내부 명령: create(객체 생성), delete(삭제), modify(속성 값 변경), rename(이름 변경), update / update_all(객체 저장), print / _print_set / printxml / printbyuid(객체·속성 출력), query(테이블 객체 조회), whereused(사용처 확인), addelement / rmelement / rmbyindex(다중 필드 요소 추가·제거), lock(객체 잠금), set_pass(사용자 비밀번호), savedb / savesession(저장), quit(종료, -update_all·-no_update). 예:

dbedit> create tcp_service my_service
dbedit> modify services My_Service color red
dbedit> query network_objects, management='true'

fw 는 보안/감사 로그 파일 작업, 프로세스 종료, 의심 활동 감시(SAM) 규칙 관리를 한데 묶은 명령입니다.

fw [-d]
    fetchlogs / hastat / kill / log / logswitch / lslogs / mergefiles / repairlog / sam / sam_policy <options>

fw fetchlogs

지정한 컴퓨터에서 보안($FWDIR/log/.log)·감사(.adtlog) 로그 파일을 가져옵니다.

fw [-d] fetchlogs [-f <Log File Name>]... <Target>

fw hastat

고가용성 구성의 컴퓨터와 상태를 보여 줍니다.

fw hastat [<Target1>] [<Target2>] ... [<TargetN>]

fw kill

지정한 Check Point 프로세스를 종료합니다.

fw [-d] kill [-t <Signal Number>] <Name of Process>

-t 는 보낼 시그널 번호(미지정 시 15/SIGTERM). 프로세스 이름은 ps auxwf 로 확인. 종료한 프로세스는 다시 시작되는지 확인하거나 수동으로 재시작 하세요(sk97638).

fw log

보안·감사 로그 파일 내용을 보여 줍니다.

fw [-d] log [-a] [-b "<Start>" "<End>"] [-c <Action>] [{-f | -t}] [-g] [-H] [-h <Origin>] [-i] [-k {<Alert> | all}] [-l] [-m {initial | semi | raw}] [-n] [-o] [-p] [-q] [-S] [-s "<Start>"] [-e "<End>"] [-u <Scheme File>] [-w] [-x <Start>] [-y <End>] [-z] [-#] [<Log File>]

날짜·시간 형식은 MMM DD, YYYY, HH:MM:SS, 또는 둘 다(예: June 11, 2018 14:20:00).

fw logswitch

현재 활성 로그(fw.log·fw.adtlog)를 회전시켜 새 활성 로그를 시작합니다. 회전된 파일은 별도 이름으로 보존됩니다(이후 fw fetchlogs·fw lslogs 등으로 처리).

fw lslogs

로컬 또는 원격 컴퓨터의 로그 파일 목록(크기·이름)을 보여 줍니다.

fw mergefiles

여러 로그 파일을 하나로 병합합니다.

fw repairlog

로그 파일의 포인터 파일을 다시 만듭니다.

fw sam

의심 활동 감시(SAM) 규칙을 관리해, 정책 변경·재설치 없이 특정 IP로/에서의 연결을 차단합니다(sk112061). 적용된 규칙은 $FWDIR/log/sam.dat 에 저장(10만 건 도달 시 정리).

fw [-d] sam [-v] [-s <SAM Server>] [-S <SIC Name>] [-f <Security Gateway>] [-t <Timeout>] [-l <Log Type>] [-C] [-e <key=val>]+ [-r] -{n|i|I|j|J} <Criteria>
fw [-d] sam ... -D                          # 모든 SAM 규칙 삭제
fw [-d] sam ... [-r] -M -{i|j|n|b|q} all     # 모든/조건별 SAM 규칙 감시

<Criteria> 는 연결을 매칭하는 조건으로 src <IP>, dst <IP>, any <IP>, subsrc/subdst/subany <IP> <Netmask>, srv <Src> <Dst> <Port> <Protocol>, dstsrv, srcpr/dstpr <IP> <Protocol>, generic <key=val>(GTP — service·imsi·apn 등) 같은 조합을 씁니다.

fw sam_policy

fw sam_policy(또는 samp)는 의심 활동 정책 편집기 로 SAM 규칙과 Rate Limiting(속도 제한) 규칙을 함께 다룹니다(sk112061, sk112454). 관련 명령은 fw sam·sam_alert.

fwm 은 다양한 관리 작업·정보 조회를 수행합니다. MDS에서는 해당 도메인 컨텍스트에서 실행합니다. -d 는 디버그.

fwm [-d]
    dbload / exportcert / fetchfile / fingerprint / getpcap / ikecrypt / load / logexport / mds / printcert / sic_reset / snmp_trap / unload / ver / verify <options>

fwm exportcert / printcert

exportcert 는 관리 대상 객체의 SIC 인증서를 파일로 내보내고, printcert 는 SIC 인증서 상세를 보여 줍니다.

fwm [-d] exportcert -obj <Object> -cert <CA> -file <Output File> [-withroot] [-pem]
fwm [-d] printcert
    -obj <Object> [-cert <Nick Name>] [-verbose]
    -ca <CA Name> [-x509 <File> [-p]] [-verbose]
    -f <Binary Certificate File> [-verbose]

fwm fetchfile

원격 관리 대상에서 OPSEC 구성 파일을 가져옵니다(conf/fwopsec.conf·conf/fwopsec.v4x 만 지원).

fwm [-d] fetchfile -r <File> [-d <Local Path>] <Source>

fwm fingerprint

Check Point 지문을 보여 줍니다(SmartConsole 접속 시 신원 확인용).

fwm [-d] fingerprint [-d]
    <IP address of Target> <SSL Port>
    localhost <SSL Port>

<SSL Port> 기본은 443.

fwm getpcap

게이트웨이의 IPS 패킷 캡처 데이터를 가져옵니다($FWDIR/log/captures_repository/ 에 저장된 것만).

fwm [-d] getpcap -g <Security Gateway> -u '{<Capture UID>}' -p <Local Path>

<Capture UID> 는 SmartConsole의 Logs & Events에서 확인합니다.

fwm ikecrypt

Endpoint VPN Client 사용자 비밀번호를 IKE로 암호화합니다(결과는 LDAP DB에 저장).

fwm [-d] ikecrypt <Key> <Password>

<Key> 는 LDAP Account Unit 속성의 Encryption 탭에 정의된 IKE 키입니다.

fwm logexport

보안·감사 로그를 ASCII(표 형식) 파일로 내보냅니다.

fwm [-d] logexport [{-d <Delimiter> | -s}] [-t <Table Delimiter>] [-i <Input File>] [-o <Output File>] [{-f | -e}] [-x <Start>] [-y <End>] [-z] [-n] [-p] [-a] [-u <Scheme File>] [-m {initial | semi | raw}]

출력 필드는 $FWDIR/conf/logexport.ini 의 [Fields_Info] 에서 included_fields·excluded_fields 로 제어합니다(num 필드는 항상 첫째).

fwm mds

MDS 버전을 보여 주거나 Global VPN Community 상태 트리를 다시 만듭니다.

fwm [-d] mds
    ver
    rebuild_global_communities_status {all | missing}

fwm sic_reset

관리 서버에서 SIC를 초기화합니다(sk65764).

fwm snmp_trap

지정한 호스트로 SNMPv1 Trap을 보냅니다.

fwm [-d] snmp_trap [-v <SNMP OID>] [-g <Generic Trap Number>] [-s <Specific Trap Number>] [-p <Source Port>] [-c <SNMP Community>] <Target> ["<Message>"]

fwm unload

지정한 게이트웨이·클러스터 멤버에서 정책을 언로드합니다.

fwm [-d] unload <GW1> <GW2> ... <GWN>

fwm ver

관리 서버의 Check Point 버전을 보여 줍니다.

fwm [-d] ver [-f <Output File>]

inet_alert 는 회사 네트워크가 공격받을 때 ISP(보통 ELA Proxy 운영)에 경보 로그를 전달 합니다. ELA 프로토콜을 쓰며, SmartConsole의 Global properties > Log and Alert > Alerts에서 "Run UserDefined script"로 등록합니다. Expert mode·MDS 컨텍스트에서 실행.

inet_alert -s <IP Address> [-o] [-a <Auth Type>] [-p <Port>] [-f <Token> <Value>] [-m <Alert Type>]

ldapcmd 는 LDAP 캐시, 검색 통계, 경고 로깅을 제어합니다. Expert mode·MDS 컨텍스트에서 실행. 통계는 $FWDIR/log/ldap_pid_<PID>.stats 에 저장.

ldapcmd [-d <Debug Level>] -p {<Process Name> | all} <Command>

-d <Debug Level> 은 0(끄기)~5(최대).

ldapcompare 는 LDAP 디렉터리 서버에 비교(compare) 질의를 보내 일치 여부를 출력합니다.

ldapcompare [-d <Debug Level>] [<Options>] <DN> {<Attribute> <Value> | <Attribute> <Base64 Value>}

주요 공통 옵션: -D <Bind DN>(관리자 DN), -w <Password> / -W(비밀번호 / 프롬프트), -h <Server> / -H <URI>(서버), -p <Port>(기본 389), -x(단순 인증), -Z / -ZZ(TLS / 성공 요구), -P <Version>(LDAP 버전, 기본 3), -v(상세), -n(드라이런). SASL 관련 -I·-O·-Q·-R·-U·-X·-Y 도 지원합니다.

ldapmemberconvert 는 LDAP 그룹의 Member 속성 값을 멤버(사용자·템플릿) 항목의 MemberOf 속성으로 옮깁니다. "MemberOf" 모드 또는 "Both" 모드로 변환하며, 로그는 작업 디렉터리의 ldapmemberconvert.log 에 남습니다.

ldapmemberconvert [-d <Debug Level>] -h <LDAP Server> -p <Port> -D <Admin DN> -w <Password> -m <Member Attribute Name> -o <MemberOf Attribute Name> -c <Member ObjectClass Value> [-B] [-f <File> | -g <Group DN>] [-L <Server Timeout>] [-M <Number of Updates>] [-S <Size>] [-T <Client Timeout>] [-Z]

ldapmodify 는 LDIF 형식 입력 파일로 LDAP 서버에 사용자를 가져옵니다. Expert mode·MDS 컨텍스트.

ldapmodify [-d <Debug Level>] [-h <Server>] [-p <Port>] [-D <Admin DN>] [-w <Password>] [-a] [-b] [-c] [-F] [-k] [-n] [-r] [-v] [-T <Client Timeout>] [-Z] [-f <Input File>.ldif | < <Entry>]

ldapsearch 는 LDAP 디렉터리를 질의해 결과를 반환합니다. Expert mode·MDS 컨텍스트.

ldapsearch [-d <Debug Level>] [-h <Server>] [-p <Port>] [-D <Admin DN>] [-w <Password>] [-A] [-B] [-b <Base DN>] [-F <Separator>] [-l <Server Timeout>] [-s <Scope>] [-S <Sort Attribute>] [-t] [-T <Client Timeout>] [-u] [-z <Number of Entries>] [-Z] <Filter> [<Attributes>]

mgmt_cli 는 관리 서버 데이터베이스와 직접 작업하는 자동화의 중심 도구입니다. Gaia(관리 서버·게이트웨이)와 Windows SmartConsole 컴퓨터에서 모두 동작합니다.

mgmt_cli <Command Name> <Command Parameters> <Optional Switches>

Windows(64비트) SmartConsole에서는 먼저 설치 경로로 이동합니다:

cd /d "%ProgramFiles (x86)%\CheckPoint\SmartConsole\<VERSION>\PROGRAM\"
mgmt_cli.exe <Command Name> <Command Parameters> <Optional Switches>

관리 데이터베이스와 구성을 내보내고(import) 가져옵니다. 백업·업그레이드 의 핵심 도구입니다(관리 서버 운영). Expert mode에서 실행.

# migrate
./migrate export [-l | -x] [-n] [--exclude-uepm-postgres-db] [--include-uepm-msi-files] /<Full Path>/<Name>
./migrate import [-l | -x] [-n] ... /<Full Path>/<Name>.tgz

# migrate_server
./migrate_server verify -v R82 [-skip_upgrade_tools_check]
./migrate_server export -v R82 [-l | -x] [--ignore_warnings] /<Full Path>/<Name>
./migrate_server import -v R82 [-l | -x] [/var/log/mdss.json] /<Full Path>/<Name>.tgz
./migrate_server migrate_import_domain -v R82 ... /<Full Path>/<Name>.tgz

queryDB_util 은 관리 데이터베이스에서 객체·정책 규칙을 검색합니다.

rs_db_tool 은 동적 IP 게이트웨이(DAIP) 데이터베이스의 항목을 관리합니다. Expert mode·MDS 컨텍스트에서 실행.

rs_db_tool [-d] -operation add -name <Object Name> -ip <IPv4 Address> -ip6 <IPv6 Address> -TTL <Time-To-Live>
rs_db_tool [-d] -operation fetch -name <Object Name>
rs_db_tool [-d] -operation delete -name <Object Name>
rs_db_tool [-d] -operation list
rs_db_tool [-d] -operation sync

-TTL 은 항목이 유효한 상대 시간(초)입니다.

sam_alert 는 표준 입력 또는 User Defined Alert 메커니즘으로 받은 정보에 따라 SAM 동작을 실행합니다(SAM v1·v2). 관리 서버에서, Expert mode·MDS 컨텍스트에서 실행. 관련 명령은 fw sam·fw sam_policy(sk110873: 포트 스캔 탐지·차단).

# SAM v1
sam_alert [-v] [-o] [-s <SAM Server>] [-t <Time>] [-f <Security Gateway>] [-C] {-n|-i|-I} {-src|-dst|-any|-srv}

# SAM v2
sam_alert -v2 [-v] [-O] [-S <SAM Server>] [-t <Time>] [-f <Security Gateway>] [-n <Name>] [-c "<Comment>"] [-o <Originator>] [-l {r | a}] -a {d | r | n | b | q | i} [-C] {-ip | -eth} {-src|-dst|-any|-srv}

stattest 는 SNMP OID를 질의하는 Check Point AMON 클라이언트로, OID가 원하는 정보를 주는지 디버그용으로 확인합니다. Expert mode·MDS 컨텍스트.

stattest get [-d] [-h <Host>] [-p <Port>] [-x <Proxy Server>] [-v <VSID>] [-t <Timeout>] <Regular_OID_1> ... <Regular_OID_N>
stattest get [-d] [-h <Host>] [-p <Port>] [-x <Proxy Server>] -l <Polling Interval> -r <Polling Duration> [-v <VSID>] [-t <Timeout>] <Statistical_OID_1> ... <Statistical_OID_N>

일반 OID는 SNMP MIB 파일(sk90470)에, 통계 OID는 $CPDIR/conf/statistical_oid.conf 에 정의됩니다. 통계 OID는 평균 계산 등을 위해 충분한 샘플 수집 시간이 필요합니다.

threshold_config 는 SNMP 트랩·경보를 발생시키는 SNMP 모니터링 임계값 을 구성하는 대화형 메뉴입니다(sk90860). 관리 서버·MDS·Domain Management Server에서만 구성하며, 정책 설치 때 게이트웨이·클러스터에 함께 적용됩니다. 설정은 $FWDIR/conf/thresholds.conf 에 저장.

threshold_config

구성 흐름: ① Expert mode 진입(MDS는 mdsenv) → ② threshold_config 실행 → ③ 메뉴에서 설정 → ④ 종료 후 CPD 데몬 재시작 → ⑤ SmartConsole에서 정책 설치.

cpwd_admin stop -name CPD -path "$CPDIR/bin/cpd_admin" -command "cpd_admin stop"
cpwd_admin start -name CPD -path "$CPDIR/bin/cpd" -command "cpd"
cpwd_admin list | egrep "STAT|CPD"

임계값 범주: Hardware(RAID·온도·팬·전압), High Availability(클러스터 상태·인터페이스), Local Logging Mode Status, Log Server Connectivity, Networking(인터페이스 상태·연결 속도·처리량·드롭), Resources(스왑·실 메모리·파티션 여유·코어 사용률·인터럽트).

---

이 장에서 본 명령들 중 다수는 다른 장에서 맥락과 함께 다시 등장합니다 — 정책·데이터베이스 설치는 정책 관리 기초, API 자동화는 API로 관리, 백업·이관·고가용성은 관리 서버 운영, 인증서·ICA는 인증 인프라에서 함께 보면 좋습니다. 전체 명령 사전과 관리 API의 모든 옵션은 CLI Reference 가이드와 Check Point Management API Reference가 담당합니다.