干货之：CheckPoint防火墙IPSO系列（经验总结分享）2

 本文主要介绍IPSO的：

• Network voyager（network voyager的介绍、安装IPSO 6.2等）
• IPSO 6.2以及boot manager（安装R70、在IPSO6.2上安装Gaia系统）
• Clustering（原理及案例）

目录

1 Network voyager

1.1 关于network voyager

1.2安装IPSO 6.2

1.3 支持的Check Point系统

1.4 支持的IP设备平台

2 IPSO 6.2以及boot manager

2.1 IPSO Boot manager

2.2 升级过程

2.3 案例一：重新安装IPSO 6.2和Check Point R70

2.4 案例二：将IPSO 6.2安装成Gaia R75.47

2.5 案例三：从Gaia回滚到IPSO 6.2

3 Clustering

3.1 IP Cluster介绍

3.1.1 Cluster案例

3.1.2 Cluster管理

3.1.3 Cluster术语

3.1.4 Cluster模式

3.1.5 Cluster考虑事项

3.1.5.1 网络环境

3.1.5.2 其他考虑事项

3.1.5.3  如果主要cluster协议网络不是专用的

3.2 配置一个新的cluster

3.2.1 创建和配置Cluster

3.2.1.1 使用简化clustering

3.2.1.2 详细配置

3.2.1.3 选择cluster拓扑

使用N+1拓扑的优势

3.2.1.4 选择cluster模式

3.2.1.5 配置工作分配方法

3.2.1.6 故障间隔和性能评价

3.2.1.7 配置接口

---

 

1 Network voyager

1.1 关于network voyager

Network voyager是基于web界面的，用来管理Check Point IPSO系统。IPSO是诺基亚开发的系统，该系统在2009年适用于Check Point很多IP Appliance安全产品，后来Check Point决定将该系统收购。安装好了IPSO只是相当于安装了一个底层系统，就像Gaia和SecurePlatform的底层linux系统一样，而network voyager正式管理该系统的web界面工具。

1.2安装IPSO 6.2

安装新的IPSO包括升级boot manager。

1.3 支持的Check Point系统

IPSO 6.2支持R70和R70.1，其他的Check Point系统版本不支持。

1.4 支持的IP设备平台

支持的Check Point IP Appliance平台有：IP 150；IP290；IP390；IP560；IP690；IP1280；IP2450。

其他详细资料可以查看《Rrelease Notes and Getting Started Guide》

2 IPSO 6.2以及boot manager

2.1 IPSO Boot manager

什么是boot manager？boot manager是在Check Point IPAppliance设备上用来管理boot进程的。

Boot manager的主要目的就是：

1. 新安装IPSO
2. 恢复admin密码
3. 启动不同的IPSO image，这个镜像可能是在不同的设备或者目录里面
4. 设置boot manager的密码

Boot manager从IPSO镜像启动设备，这个镜像是放在硬盘或者CF卡里面的。Boot manager安装在冗余的compact flash card里面，如果硬盘坏了，那么就可以通过boot manager来安装新的硬盘，或者安装新的image。

Boot manager命令：

Boot                                                                      启动或者载入一个镜像

Install安装一个新的镜像或IPSO系统

Halt停止系统，并重启

Setent配置环境参数

Unsetenv清除掉环境配置参数

Printenv查看环境配置参数

Passwd设置或更改密码

Ls查看目录

Sysinfo显示系统信息

Unsetalias清除系统别名

Setalias配置系统别名

Showalias查看系统别名

Set-default将boot manager恢复出厂设置

Net-config配置从网络启动，但是不支持

Raid配置磁盘冗余功能

启动不同的IPSO image使用命令：#boot [boot-device] [boot-file] [boot-flags]

安装新的版本IPSO请参考

sk39727 (Support, Support Requests, Training, Documentation, and Knowledge base for Check Point products and services)

恢复密码请查看“系统配置”——“恢复密码”

修改boot manager的密码，可以在bootmgr下直接输入：passwd修改；但是需要当前的密码，如果忘记了当前的密码，可以移除密码，然后再设置。

登录IPSO拷贝boot manager镜像

2.2 升级过程

先升级boot manager，将boot manager的bin文件拷贝到设备里面，然后利用内部工具进行升级，升级完成之后重启。

接着，安装IPSO 6.2，在重启的时候出现BOOTMGR提示的时候按任意键进入Boot manager，然后输入install，然后配置一系列的基本配置，将IPSO 6.2的压缩包通过ftp传入设备，进行安装，安装完成之后重启。

最后通过命令“uname -a”确认升级结果。

详细过程查看《how to install IPSO 6.2》

2.3 案例一：重新安装IPSO 6.2和Check Point R70

 IPSO 6.2 R70的vmware workstation版本的虚拟机使用的image是内部开发版本的，是直接拷贝过来的虚拟机vmx，里面配置的sma和密码未知，另外在使用SmartDashboard的时候总是连接不上，所以需要重新安装并部署为分布式（管理机和防火墙不在一台机器上）

 用pipe tcp proxy的时候，SecureCRT连接CheckPoint会出现乱码，将“会话选项”里面的“外观”，勾选“精确字体”就好了。但是如果使用这种方法不一定能看到Check Point在启动过程中的某些信息，所以，建议直接在虚拟机里面查看。

因为Vmware workstation版本的IPSO 6.2和正常的版本不一样

所以如果利用升级bootmgr的方法是行不通的，只好进入bootmgr直接进行安装，但是发现在进入bootmgr的时候，输入“install”命令就会出现密码，所以只好通过用bootmgr文件覆盖当前系统启动镜像，这样就能达到覆盖密码的作用。

使用命令：

dd if=/image/current/bootmgr/nkipflash-6.2.bin of=/dev/da0  用“nkipflash-6.2.bin”覆盖目前正启动的boot device da0里面的配置，这样就能将密码清除掉。

使用命令：ipsctl kern:bootmgr:bmdev 能够知道当前启动配置在哪个盘里

在bootmgr里面

使用命令：passwd能修改密码；

使用命令：install能安装IPSO；

使用printenv可以查看设置的环境；

使用命令sysinfo能查看系统信息；

使用set-defaults能恢复默认设置；

使用命令boot -s可以恢复密码；

启动的时候使用的是da1s1

在bootmgr输入install开始安装

如果安装到da0里面会出现错误，所以安装到da1里面