SERVİS UPDATE ÇÖZÜMÜ HAKKINDA

Transkript

1 SERVİS UPDATE ÇÖZÜMÜ HAKKINDA Bu döküman policy install işlemi sırasında meydana gelen Application Control / URL Filtering / Anti-Bot / Anti-Virus vs. gibi blade lerin contract expiration uyarıları için yapılması önerilen adımları içermektedir. Policy install esnasında alınan örnek hata mesajı; Smart View Monitor ekran görüntüsü

2 Önerilen işlemler 1) Smart Update/ License & Contracts/ Update Contracts sekmesinden Contract file dosyasının User Center yada local den güncellenmesi ve contract file hatasının halen alınıp alınmağının kontrol edilmesi 2) Smart Dashboard/ Help / Sync with User Center (alternatif yöntem) 3) Eğer sorun hala devam ediyor ise aşağıdaki adımları uygulayınız. Önerilen çözümler: Çözüm 1: CP update services erişim kontrolü 1. Verify that the Security Management server is able to reach the Internet. 2. Verify that the Security Management server can resolve the URL. If this fails, check the DNS configuration on the Security Managment server by

3 running sysconfig. 3. Enable DNS (define DNS servers) on the gateway, as the gateway itself queries the internet to download the Application Control updates. 4. Test that the Security Management server gets a return when running curl -k 5. If the management server is on Gaia, run "curl_cli -k This will verify that the Management server is able to reach to validate the Application Control contract file. 6. If the issue happens only with URL Filtering and Application Control blades on some specific VS, allow internet access, configure DNS and allow HTTP/HTTPS access to on the VS0. 7. Run the following commands on the Security Management server: a. # cpstop b. # cd $FWDIR/conf c. # mv install_contracts.c install_contracts.c.bkp d. # rm CPMIL* e. # cpstart Çözüm 2: 1. Disable automatic updates for Application Control / URL Filtering / Anti-Bot / Anti- Virus: A. Connect with SmartDashboard to Security Management Server / Domain Management Server. B. Go to 'Application & URL Filtering' tab. C. Expand 'Advanced' in the left pane. D. Click on 'Updates'. E. In the 'Automatic Application Updates' section, uncheck both boxes: F. Go to 'Threat Prevention' tab (in R77 and lower, this tab is called 'Anti-Bot & Anti-Virus'). G. Expand 'Advanced' in the left pane.

4 H. Click on 'Updates'. I. In the 'Automatic Updates' section, uncheck all boxes: J. Save the changes: go to 'File' menu - click on 'Save'. K. Install the policy onto the relevant Security Gateway / Cluster object. 2. Connect to command line on Security Management Server / Multi-Domain Security Management Server (over SSH, or console). 3. Log in to Expert mode. 4. Check the connectivity to Check Point Update Servers from both Management Server and Security Gateway: [Expert@MGMT]# curl_cli <Proxy_IP_Address> Output should be: <response> <allsystemsok>true</allsystemsok> </response> 5. Remove these files: Important Note: On Multi-Domain Security Management Server, first switch to the context of the involved Domain Management Server with 'mdsenv Domain_Name' command. [Expert@MGMT]# rm $FWDIR/av/ca/update/incoming/* [Expert@MGMT]# rm $FWDIR/uf/sc/update/incoming/* 6. Manually download the contracts file from User Center: Important Note: On Multi-Domain Security Management Server, first switch to the context of the involved Domain Management Server with 'mdsenv Domain_Name' command.

5 $CPDIR/bin/contract_util download uc upgrade UserName Password [Proxy_IP_Address [Proxy_UserName:Proxy_Password]] 7. Restart Check Point services: o On Security Management Server: o [Expert@MGMT]# cpstop o [Expert@MGMT]# cpstart o On Multi-Domain Security Management Server: o [Expert@HostName]# mdsstop_customer Domain_Name o [Expert@HostName]# mdsstart_customer Domain_Name Verify the subscription status: o For Application Control: [Expert@HostName]# cpstat appi -f subscription_status o For URL Filtering: [Expert@HostName]# cpstat urlf -f subscription_status o For Anti-Malware: [Expert@HostName]# cpstat antimalware -f subscription_status Virus: Enable automatic updates for Application Control / URL Filtering / Anti-Bot / Anti-. Connect with SmartDashboard to Security Management Server / Domain Management Server. A. Go to 'Application & URL Filtering' tab. B. Expand 'Advanced' in the left pane. C. Click on 'Updates'. D. In the 'Automatic Application Updates' section, check both boxes. E. Go to 'Threat Prevention' tab (in R77 and lower, this tab is called 'Anti-Bot & Anti-Virus'). F. Expand 'Advanced' in the left pane. G. Click on 'Updates'. H. In the 'Automatic Updates' section, check all boxes. I. Save the changes: go to 'File' menu - click on 'Save'.

6 J. Install the policy onto the relevant Security Gateway / Cluster object. Çözüm 3 : Cache temizleme işlemi The cp.contract file must be removed from the Security Management server, and from each Security Gateway that reflects incorrect renewal dates during policy installation, or in SmartView Monitor. Additionally, the cache files on the Management must be removed. To complete this, log into Expert mode on each Security Management server and each affected gateway, and run the following commands to remove the problematic files: # cpstop # cd $CPDIR/conf # rm cp.contract # cd $FWDIR/conf # rm CPMIL* # rm applications.c* # cpstart Once these files have been removed, a new Service Contract File must be installed. To install the new file: 1. Launch SmartUpdate. 2. From the "Licenses & Contracts" menu, select "Update Contracts > From User Center". 3. Accept Download EULA. 4. Enter User Center credentials. To verify that the new Service Contract File has been installed, access the command line of the Security Gateway and run the command "cplic print". If the "Contract Coverage" section reports "There are no contracts for the above licenses", enter Expert mode on the Security Gateway and run the command "contract_util mgmt". Çözüm sonrasında yapılacak kontrol işlemleri 1) Smart update/license & Contacts/View Repository sekmesi üzerinde contact fileların ekli olup olmadığının mutlaka kontrol edilmesi gerekmektedir. Örneğin IPS'in contract file'ı ile ilgili bir hata alınıyorsa aşağıdaki pencerede ilgili contract file'ın CPSB-EBP-IPS şeklinde ekli olup olmadığını mutlaka kontrol etmek gerekmektedir.

7 2) Management server üzerinde "cplic print -x" komutu kullanarak contract file dosyasının hangi blade leri içerdiği ile ilgili daha detaylı bilgi sahibi olabiliriz. Örnek "cplic print -x " çıktısı : Contract Coverage: # ID Expiration SKU 1 312F729 1Nov2015 CPSB-EBP-APCL Covers: cpsm-c-2 cpsb-adn-m cpsb-npm cpsb-epm cpsb-logs CK-65F120363FE7 CPSG-C-1-50 CPSB-FW CPSB-VPN CPSB-ADN CPSB-IA CPSB-IPS-S1 CPSB- URLF CPSB-APCL-S1 CPSB-AV CPSB-ASPM CK-65F120063FE7 cpsb-adn-m-ha CK-5EA753516D6D 2 5E469G0 1Nov2015 CPSB-EBP-URLF Covers: cpsm-c-2 cpsb-adn-m cpsb-npm cpsb-epm cpsb-logs CK-65F120363FE7 CPSG-C-1-50 CPSB-FW CPSB-VPN CPSB-ADN CPSB-IA CPSB-IPS-S1 CPSB- URLF CPSB-APCL-S1 CPSB-AV CPSB-ASPM CK-65F120063FE7 cpsb-adn-mha CK-5EA753516D6D Eğer SmartUpdate ile contract file ların eklendiğinden eminseniz ve halen contract file ların olmadığı ile ilgili uyarı mesajı alıyorsanız ilgil firewall cihazı üzerinde aşağıdaki komutu çalıştırarak ilgili contract file ların gateway üzerinde olup olmadığını ayrıca kontrol edebilirsiniz; Application Control blade'i için: [Expert@HostName]# cpstat appi -f subscription_status URL Filtering blade'i için: [Expert@HostName]# cpstat urlf -f subscription_status Anti-Malware blade'i için: [Expert@HostName]# cpstat antimalware -f subscription_status Eğer dağıtık yapı üzerinde çalışılıyorsa(yani management ve firewall bileşenleri farklı cihazlar üzerinde kurulu ise) ve ilgili gateway üzerinde halen contract file ile ilgili hata mesajı varsa, gateway üzerinde expert mode a geçerek aşağıdaki komutu çalıştırıp, management üzerine eklenen contract file'ın gateway'e gönderilmesi işlemini manual olarak yapabiliriz; contract_util mgmt

8 Son durumda eğer teknik bir problem var ise yukarıdaki yöntemlerle ilgili contract file ların hatasız bir şekilde gateway üzerinde aktif edilmesi mümkün olmalıdır. Yukarıda yapılan işlemlere rağmen halen contract file lar ile ilgili bir hata mesajı alınıyorsa; adresine lisans ve contract file kontolü için(mail yolu ile) case açılması gerekmektedir. Bu sayede, user center'a eksik ya da yanlış işlenen contract file lar CheckPoint tarafından düzeltilebilmektedir.