15명령줄·참조명령줄·참조

이 가이드(와 Check Point 문서 전반)는 명령·파라미터·옵션을 가능하면 알파벳 순으로 싣고, 구문을 다음 약속대로 표기합니다. 이걸 알아야 아래의 모든 명령 설명을 정확히 읽을 수 있습니다.

들여쓰기(TAB) 표기가 헷갈리기 쉬운데, 예를 들어 이렇게 쓰여 있으면:

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 아래 중 하나의 명령을 실행하라는 뜻입니다 — cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options>.

ike debug와 vpn debug를 제대로 쓰려면, R81.10부터 서로 다른 데몬이 서로 다른 VPN 연결을 나눠 처리한다는 배경을 알아야 합니다. 어떤 연결이 어느 데몬을 거치느냐에 따라 디버그를 켜는 명령과 로그 파일이 달라지기 때문입니다.

VPN 데몬 vpnd 는 다음 연결을 처리합니다.

vpnd는 Security Gateway에서 다음 포트를 엽니다(수신 대기).

vpnd는 FWD 프로세스의 자식 프로세스입니다(Security Gateway의 $FWDIR/conf/fwauthd.conf 파일 참고).

IKE 데몬 iked(R81.10에서 도입)는 다음 연결을 처리합니다.

iked는 다음 포트 범위를 엽니다.

iked는 CLI에서 vpn iked 명령으로 다룹니다. R81.20부터 iked 인스턴스는 최대 64개까지 둘 수 있고, 그 개수는 다음 공식으로 계산됩니다.

IKED 인스턴스 수 = (CoreXL Firewall 인스턴스 수) / (커널 파라미터 'ike_num_instances_per_daemon' 값)

CCC 데몬 cccd(R81.10에서 도입)는 Circuit Cross-Connect(CCC) 프로토콜을 담당합니다. 이때 같은 클라이언트의 IKE는 iked에서, CCC TLS는 vpnd에서 돌아갑니다. cccd는 CLI에서 vpn cccd 명령으로 다루며, 역시 FWD 프로세스의 자식 프로세스입니다.

IKE 데몬 iked를 끄고 레거시 모드로 돌리기

Security Gateway를 레거시 모드(R81 이하처럼 vpnd가 모든 VPN 연결을 처리)로 돌리려면 IKE 데몬 iked를 비활성화할 수 있습니다. 절차는 다음과 같습니다.

vpn iked status의 출력은 두 가지입니다.

비활성화했던 iked를 다시 켜려면 vpn iked enable을 실행합니다.

CCC 데몬 cccd를 끄고 레거시 모드로 돌리기

마찬가지로 CCC 데몬 cccd를 끄고 vpnd가 모든 VPN 연결을 처리하는 레거시 모드로 돌릴 수 있습니다.

vpn cccd status의 출력도 vpn: 'cccd' is enabled(켜짐, 기본값) 또는 vpn: 'cccd' is disabled(꺼짐, 레거시) 두 가지입니다. 다시 켜려면 vpn cccd enable을 실행합니다. 위 iked와 똑같이, 이 명령들도 fwkern.conf를 수정하고 로컬 정책을 설치하며(SSH 끊김 가능) 재부팅해도 유지됩니다.

ike debug 명령은 IKE 데몬 iked가 디버그 메시지를 로그 파일에 쓰도록 지시합니다. 로그는 인스턴스마다 따로 쌓입니다.

IKE 데몬 디버그는 Debug Topic(디버그 주제) 와 Debug Level(디버그 수준) 두 축으로 동작합니다.

함께 보면 좋은 명령은 아래 vpn debug 입니다.

ike debug
      on [<Debug_Topic>=<Debug_Level>]
      off
      ikeon [-s <Size_in_MB>]
      ikeoff
[-i <IKED Index>] trunc [<Debug_Topic>=<Debug_Level>]
      truncon [<Debug_Topic>=<Debug_Level>]
      truncoff
      timeon [<Seconds>]
      timeoff
      ikefail [-s <Size_in_MB>]
      mon
      moff
      say ["String"]
      tunnel [<Level>]

각 파라미터의 뜻은 다음과 같습니다.

-i <IKED Index> 옵션을 붙이면 특정 IKE 데몬 인스턴스만 디버그할 수 있습니다.

반환 값 — 성공은 0, 실패는 그 외 값(보통 -1 또는 1)입니다.

R82 이상의 Security Gateway에서, probemon은 구성된 Network Probe를 바탕으로 Site-to-Site VPN 터널의 상태를 보여 줍니다(sk181994 참고). 이 명령은 Security Gateway의 Probe Monitor 데몬 probemond 를 제어합니다.

알아 둘 점이 여럿 있습니다.

probemon [-d]
      help
      start
      status
      stop
      report [<parameters>]
      debug [<parameters>]

report에 붙일 수 있는 파라미터는 다음과 같습니다.

상태를 확인한 예시와, 프로브가 하나도 없을 때의 보고서 예시입니다.

[Expert@MyGW:0]# probemon status
Probe monitor daemon has been up and running for: 148h, 14m, 50s.
[Expert@MyGW:0]#

[Expert@MyGW:0]# probemon report
Report:
Monitored probes:
No probes.
Statistics:
Probes up:                   0
Probes down:                 0
Probes with unknown status:  0
Total probes:                0
[Expert@MyGW:0]#

vpn 명령은 VPN 설정을 구성하고 VPN 정보를 보여 주는, 이 장의 가장 중심이 되는 명령입니다. 하위 명령이 매우 많습니다.

      check_ttm
      compreset
      compstat
      crl_zap
      crlview
      debug
      dll
      drv
      dump_psk
      ipafile_check
      ipafile_users_capacity
      macutil
      mep_refresh
      neo_proto
      nssm_topology
      overlap_encdom
      rim_cleanup
      rll
      set_slim_server
      set_snx_encdom_groups
      set_trac
      shell
      show_tcpt
      sw_topology
      {tunnelutil | tu}
      ver

vpn check_ttm

지정한 TTM 파일이 유효한 구문을 담고 있는지 확인합니다.

vpn check_ttm <Path to TTM file>

먼저 시스템의 .ttm 파일을 찾은 뒤 검사하는 예시입니다.

[Expert@MyGW:0]# find / -name \*.ttm -type f
/var/opt/CPsuite-R82/fw1/conf/fw_client_1.ttm
/var/opt/CPsuite-R82/fw1/conf/trac_client_1.ttm
... ... ...
[Expert@MyGW:0]# vpn check_ttm /var/opt/CPsuite-R82/fw1/conf/trac_client_1.ttm
Summary for the file: trac_client_1.ttm
result: the file passed the check without any problems
[Expert@MyGW:0]#

vpn compreset

압축·압축 해제 통계 카운터를 초기화합니다.

vpn compreset

[Expert@MyGW:0]# vpn compreset
Compression statistics were reset.
[Expert@MyGW:0]#

vpn compstat

압축·압축 해제 통계 카운터를 보여 줍니다. 압축 전/후 바이트 수, 압축 오버헤드, 압축되지 않은 바이트, 압축 패킷 수, 오류, 순수·실효 압축률 등과, 같은 항목들의 압축 해제 통계를 함께 출력합니다.

vpn compstat

[Expert@MyGW:0]# vpn compstat
Compression:
Bytes before compression        : 0
Bytes after compression         : 0
Compression overhead (bytes)     : 0
Compressed packets               : 0
Pure compression ratio           : 0.000000
Effective compression ratio      : 0.000000
Decompression:
Bytes before decompression       : 0
Bytes after decompression        : 0
Pure decompression ratio         : 0.000000
[Expert@MyGW:0]#

vpn crl_zap

캐시에서 모든 CRL(Certificate Revocation List)을 지웁니다.

vpn crl_zap

반환 값 — 성공은 0, 실패는 그 외 값입니다.

vpn crlview

여러 배포 지점(distribution point)에서 CRL을 가져와 사용자에게 보여 줍니다.

vpn crlview [-d]
      -obj <Network Object Name> -cert <Certificate Object Name>
      -f <Certificate File>
      -view

반환 값 — 성공은 0, 실패는 그 외 값입니다. 동작 흐름은 세 가지 예시로 보면 명확합니다.

vpn crlview -obj <MyCA> -cert <MyCert>

VPN 데몬이 ① MyCA라는 CA에 접속해 MyCert 인증서를 찾고 → ② 인증서에서 배포 지점을 추출한 뒤 → ③ 그 배포 지점(LDAP 또는 HTTP 서버)으로 가서 CRL을 가져오고 → ④ 표준 출력으로 보여 줍니다.

vpn crlview -f /var/log/MyCert

이번에는 인증서 파일에서 배포 지점을 추출해 같은 방식으로 CRL을 가져와 보여 줍니다.

vpn crlview -view <Lastest CRL>

과거에 이미 CRL을 가져왔다면, 이 명령은 그 내용을 표준 출력에 그대로 보여 줍니다.

vpn debug — VPN 데몬·IKE 디버그

vpn debug는 VPN 데몬 vpnd가 디버그 메시지를 로그 파일에 쓰도록 지시합니다(앞의 "VPN 데몬 이해하기"의 iked·cccd 활성/비활성 절차도 이 명령과 같은 배경을 공유합니다). 로그 파일은 데몬별로 나뉩니다.

vpnd 디버그도 Debug Topic 과 Debug Level(1~5) 로 동작합니다. 예를 들어 Topic이 LDAP이면 VPN 데몬과 LDAP 서버 사이의 모든 트래픽이 로그에 기록됩니다. 자세한 내용은 sk180488을 참고하세요. 함께 보면 좋은 명령은 앞의 ike debug 입니다.

vpn debug
      on [<Debug_Topic>=<Debug_Level>]
      off
      ikeon [-s <Size_in_MB>]
      ikeoff
      trunc [<Debug_Topic>=<Debug_Level>]
      truncon [<Debug_Topic>=<Debug_Level>]
      truncoff
      timeon [<Seconds>]
      timeoff
      ikefail [-s <Size_in_MB>]
      mon
      moff
      say ["String"]
      tunnel [<Level>]

반환 값 — 성공은 0, 실패는 그 외 값(보통 -1 또는 1)입니다.

vpn dll

VPN DNS Lookup Layer 를 다룹니다 — 정보를 파일로 저장하거나, 호스트 이름을 해석(resolve)합니다.

vpn dll
      dump <File>
      resolve <HostName>

vpn drv

VPN 커널 모듈을 제어합니다.

vpn drv {off | on | stat}

[Expert@MyGW:0]# vpn drv stat
VPN-1 module active
[Expert@MyGW:0]#

vpn dump_psk

피어의 사전 공유 키(pre-shared-key)의 해시(SHA256)를 보여 줍니다.

vpn dump_psk

vpn ipafile_check

$FWDIR/conf/ipassignment.conf 파일의 후보(candidate)를 검증합니다.

vpn ipafile_check <File> [{err | warn | detail}] [verify_group_names]

vpn ipafile_users_capacity

$FWDIR/conf/ipassignment.conf 파일의 용량(저장할 수 있는 사용자 수)을 조회·설정합니다.

vpn ipafile_users_capacity get
vpn ipafile_users_capacity set <128-32768>

[Expert@MyGW:0]# vpn ipafile_users_capacity get
The gateway can currently read 1024 users from the ipassignment.conf file
[Expert@MyGW:0]#

vpn macutil

Office Mode Remote Access VPN을 쓸 때, 사용자 이름마다 생성된 MAC 주소를 보여 줍니다. DHCP로 IP 주소를 할당할 때만 쓸 수 있습니다. Office Mode 사용자는 하드웨어(MAC) 주소에 매핑된 IP 주소를 받습니다.

vpn macutil <username>

# vpn macutil John
20-0C-EB-26-80-7D, "John"

vpn mep_refresh

MEP 재결정(re-decision)을 시작합니다. "backup stickiness" 구성에서 MEP 재결정을 일으켜, 가능하면 기본(primary) Security Gateway로 다시 돌아가도록(fail back) 할 때 씁니다.

vpn mep_refresh

vpn neo_proto

NEO 클라이언트 프로토콜을 제어합니다.

vpn neo_proto {off | on}

vpn nssm_topology

NSSM 형식의 토폴로지를 생성해 NSSM 서버에 업로드합니다.

vpn nssm_topology -url <"url"> -dn <"dn"> -name <"name"> -pass <"password"> [-action {bypass | drop}] [-print_xml]

vpn overlap_encdom

겹치는(overlapping) VPN 도메인을 모두 보여 줍니다. 어떤 IP 주소가 두 개 이상의 VPN 도메인에 속할 수 있는데, 다음 중 하나라도 해당하면 이 명령이 경고합니다 — ① 두 Security Gateway에 같은 VPN 도메인이 정의됨, ② Security Gateway에 인터페이스가 여러 개인데 그중 하나 이상이 같은 IP 주소·넷마스크를 가짐.

vpn overlap_encdom [communities | traditional]

# vpn overlap_encdom communities
The objects Paris and London have overlapping encryption domains.
The overlapping domain is:
10.8.8.1 - 10.8.8.1
10.10.8.0 - 10.10.9.255
- This overlapping encryption domain generates a multiple entry points configuration in
MyIntranet and RemoteAccess communities.
- Same destination address can be reached in more than one community (Meshed, Star). This
configuration is not supported.

vpn rim_cleanup

RIM 경로를 정리(clean)합니다.

vpn rim_cleanup

vpn rll

VPN Route Lookup Layer 를 제어합니다 — 정보를 파일로 저장하거나, 라우팅 테이블을 동기화합니다.

vpn rll
      dump <File>
      sync

vpn set_slim_server

Deprecated(폐기 예정). $FWDIR/conf/slim.conf 파일을 삭제하고, SSL Network Extender는 Management Server에서 구성하세요. slim.conf 파일이 남아 있는 한, 이 파일이 Management Server의 설정을 덮어씁니다.

vpn set_snx_encdom_groups

SSL Network Extender의 사용자 그룹별 암호화 도메인(encryption domain per usergroup) 기능을 제어합니다.

vpn set_snx_encdom_groups
      off
      on

vpn set_trac

TRAC 서버를 제어합니다.

vpn set_trac
      disable
      enable

[Expert@MyGW:0]# vpn set_trac enable
Trac client enabled, Install Policy for this change to take effect
[Expert@MyGW:0]# vpn set_trac disable
Trac client disabled, Install Policy for this change to take effect
[Expert@MyGW:0]#

vpn shell — VPN 명령줄 인터페이스

vpn shell은 대화형 VPN 명령줄 인터페이스를 엽니다. IPv4는 vpn shell, IPv6는 vpn6 shell로 진입합니다.

vpn shell

진입하면 다음과 같은 메뉴가 뜹니다.

[Expert@MyGW:0]# vpn shell
? - This help
.. - Go up one level
quit - Quit
[interface] - Manipulate tunnel interfaces
[show] - Show internal data
[tunnels] - Manipulate tunnel data
[license] - Display SCM licenses
VPN shell:[/] >

메뉴의 주요 옵션은 다음과 같습니다.

show > tunnels 와 tunnels > show 의 하위 옵션은 vpn tu 메뉴·vpn tu list 명령과 똑같은 동작을 합니다.

tunnels > delete 의 하위 옵션으로 SA를 삭제합니다.

license 하위에는 license > scm > status(SCM 라이선스 현재 상태)와 license > scm > list(SCM 라이선스 장치 목록)가 있습니다.

vpn show_tcpt

Visitor Mode로 연결된 사용자를 보여 줍니다.

vpn show_tcpt

vpn sw_topology

UTM-1 Edge / Safe@Office 장치의 토폴로지를 내려받습니다.

vpn [-d] sw_toplogy -dir <directory> -name <name> -profile <profile> [-filename <filename>]

vpn tu(또는 vpn tunnelutil)는 VPN 터널을 제어하는 TunnelUtil 도구를 엽니다. 일상적인 터널 진단에서 가장 자주 쓰는 도구입니다.

vpn tu
vpn tunnelutil

실행하면 번호로 고르는 메뉴가 뜹니다.

[Expert@MyGW:0]# vpn tu
Select Option
(1) List all IKE SAs
(2) * List all IPsec SAs
(3) List all IKE SAs for a given peer (GW)
(4) * List all IPsec SAs for a given peer (GW)
(5) Delete all IPsec SAs for a given peer (GW)
(6) Delete all IPsec SAs for a given User (Client)
(7) Delete all IPsec+IKE SAs for a given peer (GW)
(8) Delete all IPsec+IKE SAs for a given User (Client)
(9) Delete all IPsec SAs for ALL peers
(0) Delete all IPsec+IKE SAs for ALL peers
* To list data for a specific CoreXL instance, append "-i <instance number>" to your selection.
(Q) Quit

* 표시가 붙은 항목은 -i <instance number>를 덧붙여 특정 CoreXL 인스턴스의 데이터만 볼 수 있습니다.

메뉴 대신 명령줄에서 바로 쓰는 고급 구문도 있습니다.

vpn tu
      help
      del <options>
      list <options>
      mstats
      tlist <options>

vpn tu del

IPsec SA와 IKE SA를 삭제합니다. IPv4와 IPv6 구문이 조금 다릅니다.

# IPv4
vpn tu [-w] del
      all
      ipsec
            all
            <IPv4 Address>
            <IPv4 Address> <Username>
      <IPv4 Address>
      <IPv4 Address> <Username>

# IPv6
vpn tu [-w] del
      all
      ipsec
            all
            <IPv6 Address>
      <IPv6 Address>
      <IPv6 Address> <Username>

vpn tu list

IPsec SA와 IKE SA를 보여 줍니다. IPv4·IPv6 구문이 같습니다.

vpn tu [-w] list
      ike
      ipsec
      peer_ike <IP Address>
      peer_ipsec <IP Address>
      tunnels

vpn tu mstats

CoreXL Firewall 인스턴스 사이의 VPN 트래픽 분포를 보여 줍니다(sk118097 — MultiCore Support for IPsec VPN 참고). IPv4는 vpn tu [-w] mstats, IPv6는 vpn6 tu [-w] mstats입니다. -w는 화면에 여러 경고를 표시합니다.

[Expert@MyGW:0]# vpn tu mstats
Instance#   # of inSPIs   # of outSPIs
0           182           170
1           184           176
...
9           199           187
-----------------------------------------
Summary:    1940          1803
[Expert@MyGW:0]#

[Expert@MyGW:0]# vpn6 tu mstats
Instance#   # of inSPIs   # of outSPIs
0           238           228
1           224           214
-----------------------------------------
Summary:    462           442
[Expert@MyGW:0]#

vpn tu tlist

VPN 터널 정보를 보여 줍니다. IPv4는 vpn tu, IPv6는 vpn6 tu로 시작합니다.

vpn tu [-w] tlist
      {-h | -help}
      [clear]
      [start]
      [state]
      [stop]
      [<Sort Options>]

<Sort Options>(정렬 옵션)는 다음과 같습니다.

정렬 옵션을 여러 개 줄 때는 공백으로 띄우거나(-v -t -b -r) 붙여서(-vtbr) 쓸 수 있습니다.

출력은 터널 표 + 아래쪽 카운터 형태입니다. 표의 각 행은 한 VPN 피어의 정보를 담으며, 세 열로 나뉩니다.

왼쪽 열 에 나타날 수 있는 필드입니다.

MSPI 줄에 함께 나오는 지표(indicator) 값의 뜻입니다.

가운데 열 에 나타날 수 있는 필드입니다.

오른쪽 열 에 나타날 수 있는 필드입니다.

표 아래에는 카운터 가 두 묶음 나옵니다. "Site-to-Site tunnels are up:" 아래에는 연결된 Site-to-Site 터널 수가, "Number of Active Clients:" 아래에는 모드별 Remote Access 클라이언트 수가 나옵니다.

vpn ver

VPN 커널 모듈의 주 버전 번호와 빌드 번호를 보여 줍니다.

vpn ver [-k] [-f <filename>]

[Expert@MyGW:0]# vpn ver -k
This is Check Point VPN-1(TM) R82 - Build 123
kernel: R82 - Build 456
[Expert@MyGW:0]#

mcc(VPN Multi-Certificate CA) 명령은 Security Management Server 또는 Domain Management Server에서 인증서와 인증 기관(CA)을 관리합니다 — CA 보기, 인증서 보기·추가·삭제.

실행 전에 꼭 지킬 점이 있습니다.

      -h
      add <options>
      add2main <options>
      del <options>
      lca
      main2add <options>
      show <options>

mcc add

DER 형식으로 파일에 저장된 인증서를, 지정한 CA의 추가(additional) 인증서로 더합니다. 새 인증서는 기존 최대 인덱스보다 1 큰 인덱스 번호를 받습니다.

mcc add <CA Name> <Certificate File>

mcc add2main

지정한 CA의 지정한 인덱스 번호의 추가 인증서를 주(main) 위치로 복사하고, 이전 주 인증서를 덮어씁니다.

mcc add2main <CA Name> <Certificate Index Number>

mcc del

지정한 CA에서 지정한 인덱스 번호의 추가 인증서를 제거합니다. 그보다 큰 인덱스 번호(다른 추가 인증서)는 1씩 줄어듭니다.

mcc del <CA Name> <Certificate Index Number>

mcc lca

Management Server 데이터베이스에 정의된 모든 CA를, 각 CA의 추가 인증서 개수와 함께 보여 줍니다.

mcc lca

[Expert@MGMT:0]# mcc lca
MCC: Here is a list of the CAs, with the number of additional CA certificates
1. internal_ca (0)
[Expert@MGMT:0]#

mcc main2add

지정한 CA의 주 인증서를 추가 위치로 복사합니다. 복사된 인증서는 기존 최대 인덱스보다 1 큰 인덱스 번호를 받습니다.

mcc main2add <CA Name>

mcc show

지정한 CA의 지정한 인증서 상세 정보를 보여 줍니다.

mcc show <CA Name> [<Certificate Index Number>]

"internal_ca"의 주 인증서를 본 예시입니다(공개 키 Modulus·Exponent, X509 버전, Serial Number, Issuer·Subject, 유효 기간, 서명 알고리즘, Key Usage 등 확장 정보가 출력됩니다).

[Expert@MGMT:0]# mcc show internal_ca
PubKey:
  Exponent: 65537 (0x10001)
X509 Certificate Version 3
Serial Number: 1
Issuer: O=MyServer.checkpoint.com.s6t98x
Subject: O=MyServer.checkpoint.com.s6t98x
Not valid before: Sun Apr 8 13:41:00 2018 Local Time
Not valid after: Fri Jan 1 05:14:07 2038 Local Time
Signature Algorithm: RSA with SHA-256  Public key: RSA (2048 bits)
Extensions:
  Key Usage: digitalSignature keyCertSign cRLSign
  Basic Constraint (Critical): is CA
[Expert@MGMT:0]#

원문 끝에는 다른 가이드와 마찬가지로 Working with Kernel Parameters(커널 파라미터 다루기)와 Kernel Debug(커널 디버그) 절이 있습니다. 이 두 주제는 모두 Security Gateway 가이드의 공통 내용을 가리키므로, 자세한 절차는 그쪽을 참고하세요.

같은 주제를 쉬운 한국어로 푼 설명은 Security Gateway 가이드의 명령줄·커널 참조에 정리되어 있습니다.

SmartConsole의 Global properties에서 구성하는 많은 전역 VPN 설정은 기본적으로 관리되는 모든 Security Gateway에 적용됩니다. 그런데 특정 VPN 커뮤니티에 대해서만 이 전역 설정을 덮어쓸(override) 수 있습니다. 덮어쓸 수 있는 항목은 두 가지입니다 — life sign 패킷 전송 간격(초) 과, 동시에 일어나는 IKE 협상의 최대 개수 입니다.

이 작업은 Database Tool(GuiDBEdit Tool) 에서 직접 속성을 고치는 방식입니다. 절차는 다음과 같습니다.

고칠 수 있는 속성과 유효 값은 다음과 같습니다.