Перед обновлением/восстановлением все файлы с настройками необходимо перенести на отдельный носитель, затем после обновления/восстановления загрузить их на С-Терра Шлюз и применить.
Сохранение политики безопасности:
Управление политикой безопасности может осуществляться:
• средствами ПК «С-Терра ГСУ»;
• через конфигурационный файл (LSP);
• с помощью cisco-like консоли.
В зависимости от используемого метода управления, сохраните настройки одним из ниже приведенных способов. Если в качестве средства управления используется ПК «С-Терра ГСУ», то для переноса настроек после восстановления необходимо будет выполнить повторную установку скриптов setup_product.sh и setup_upagent.sh, а после выполнения обновления запустить с сервера управления обновление для удаления на нем предыдущей версии С-Терра Шлюз.
Сохранение cisco-like конфигурации:
Например, скопировать cisco-like конфигурацию можно следующим образом:
root@sterragate:~# su cscons
sterragate# copy running-config file:/root/home/conf.txt
Destination file path [/root/home/conf.txt] ? (после появление данного сообщения нажмите клавишуEnter)
File copied successfully
В данном примере конфигурация сохраняется в файл /root/home/conf.txt.
Более подробное описание команды copy running-config можно найти в документе «Cisco-like команды», по ссылке.
Загрузить cisco-like конфигурацию из файла можно следующим образом:
root@sterragate:~# su cscons
sterragate# configure replace file:/root/home/conf.txt
% Warning: This will replace the current running configuration with the contents of the specified configuration file, which is assumed to be a complete configuration, not a partial configuration.
Далее подтвердите загрузку конфигурации из файла введя yes:
Are you sure you want to do this?[yes/no]: yes
Проверьте загруженную конфигурацию, выполнив команду:
sterragate# show run
Более подробное описание команды configure replace можно найти в документе «Cisco-like команды», по ссылке.
Сохранение LSP конфигурации:
Например, сохранить LSP конфигурацию в файл можно выполнив команду:
root@sterragate:~# lsp_mgr show > /root/home/conf.txt
В данном примере конфигурация сохраняется в файл /root/home/conf.txt.
Загрузить LSP конфигурацию из файла можно следующим образом:
root@sterragate:~# lsp_mgr load –f /root/home/conf.txt
При успешном применении конфигурации выдается сообщение “LSP successfully loaded from file”.
Более подробное описание утилиты lsp_mgr можно найти в документе «Специализированные команды», в разделе «Утилиты для работы с LSP конфигурацией».
Сохранение прочих настроек С-Терра Шлюз:
При необходимости настройки системных файлов вы можете сохранить средствами стандартных системных команд linux, например:
root@sterragate# cat /etc/ifaliases.cf >> /root/home/conf_ifaliases.txt
где /root/home/conf_ifaliases.txt - путь к файлу, в котором будут храниться настройки.
На С-Терра Шлюз возможно сохранение следующих настроек:
• База данных С-Терра Шлюз, различный набор файлов из директории /opt/VPNagent/bin/db (LSP конфигурация, сертификаты и пр.);
• Каталог с контейнерами /var/s-terra/containers, созданными в файловой системе;
• Файл карты сетевых интерфейсов - /etc/ifaliases.cf, в котором перечислено сопоставления имен интерфейсов в cisco-like консоли системным именам интерфейсов в ОС. На исполнениях 4, 5, 6 (С-Терра Шлюз DP) дополнительно сохраните настройки сетевых интерфейсов из конфигурационного файла /opt/VPNagent/etc/ipsm_dpdk.cfg;
• Домашние каталоги пользователей cisco-like консоли - /var/cspvpn/users/* (cs_console);
• Настройки IPsec-драйвера, устанавливаемые средствами утилиты drv_mgr - /opt/VPNagent/etc/csp_ipsec_drv.cfg, а также настройки для IPsec-драйвера из конфигурационного файла /etc/modprobe.d/vpndrvr.conf. В последнем также хранятся настройки DDP. На исполнениях 4, 5, 6 (С-Терра Шлюз DP) за хранение информации о DDP отвечает конфигурационный файл /opt/VPNagent/etc/ddp.conf;
• Файл внешней гаммы - /var/s-terra/ext-gamma/eg_data, если таковая используется;
• Если С-Терра Шлюз функционирует в качестве ноды VRRP-кластера, то необходимо сохранить настройки VRRP.
• Настройки программного модуля «С-Терра L2», в зависимости от используемого способа конфигурирования необходимо сохранить либо файл /opt/l2svc/etc/global_config.yaml, либо файлы директории /var/run/l2svc/etc/* .conf.
Сохранение ключевой информации:
Рекомендуется отказаться от переноса сертификатов в пользу выпуска новых на этом же УЦ.
В случае необходимости, при импорте СА и local сертификатов лучше использовать заранее созданные дубликаты. Если дубликатов нет, то возможно перенести ключевую информацию в соответствии с описанием ниже.
Внимание! Начиная с в версии 5.0 прекращена поддержка алгоритма формирования и проверки ЭЦП - ГОСТ Р 34.10-2001.
Перенос контейнера закрытого ключа:
Начиная с версии 5.0 С-Терра Шлюз поддерживает работу с форматом контейнера закрытого ключа - file_s50. Работа формата file_p15, используемого в предыдущих версиях, также поддерживается в версии 5.0.
Переместить контейнеры можно несколькими способами:
1. С помощью команды cont_mgr save сохранить контейнер на токене, а с помощью команды cont_mgr load добавить его обратно в базу продукта. Если экспорт ключевой информации осуществляется на специализированные носители – токены, то конвертация при импорте в новый формат осуществляется автоматически.
2. Скопировать каталог с контейнерами /var/s-terra/containers из файловой системы на внешний USD-накопитель. Затем, после проведения процедуры восстановления/обновления, переместить файлы обратно в ту же директорию. В таком случае будет использоваться старый формат контейнеров. После копирования перезапустите сервис vpngate. Для конвертации контейнера закрытого ключа из строго формата (file_p15) в новый (file_s50) используется команда cont_mgr copy. Рекомендуется конвертировать контейнер.
Внимание! |
Контейнер закрытого ключа является конфиденциальной информацией, поэтому он должен передаваться на устройства доверенным способом и быть защищен при хранении. |
Перенос СА и local сертификатов:
Переместить контейнеры можно несколькими способами:
1. Скопировав сертификаты из директории базы продукта /opt/VPNagent/bin/db.
2. Начиная с версии 5.0 для экспорта сертификатов возможно использовать команду cert_mgr export.
После проведения процедуры восстановления/обновления необходимо импортировать необходимые сертификаты в базу продукта либо переместив скопированные ранее файлы директории /opt/VPNagent/bin/db и перезапустив сервис vpngate, либо импортировать необходимые сертификаты с помощью команды cert_mgr import.
Более подробное описание утилит можно найти в документе «Специализированные команды».
Сохранение системных настроек:
Сохранить конфигурацию IPtables в файл можно выполнив команду:
root@sterragate# iptables-save > /home/iptables-fw
Остальные файлы с различными настройками можно найти в директории /etc/.
Так же можно сохранить:
• Домашние каталоги пользователей: /home/;
• Имена и пароли пользователей: /etc/passwd, /etc/shadow;
• Настройки systemctl: /etc/sysctl.conf;
• Настройки SSH-сервера: /etc/ssh, /root/.ssh.