15、SecurePlatform：高效安全平台的全方位指南

SecurePlatform：高效安全平台的全方位指南

1. 引言

SecurePlatform 是运行 Check Point 产品的一个简单、高效、快速且经济实惠的平台。自 Check Point Next Generation Feature Pack 2 推出以来，SPLAT（SecurePlatform）逐渐占领市场。在 NGX 版本中，Check Point 推出了 SecurePlatform Pro，扩展了该操作系统的功能和性能。随着市场上设备的普及以及使用基于英特尔硬件的成本效益，Check Point 不断发展 SecurePlatform 操作系统，提供更灵活、经济的解决方案。

2. 安装

SecurePlatform 的安装过程设计得非常简单，可通过多种方式进行。
- 可引导 CD 安装
1. 将 SecurePlatform CD-ROM 放入驱动器，开机后安装程序自动启动。
2. 欢迎屏幕出现时，按 Enter 键，安装程序加载硬件驱动。
3. 选择安装版本，一般若无高级路由需求，选择 SecurePlatform。
4. 提供本地化信息，选择以太网设备，通常将主接口设为外部地址。
5. 决定是否启用 https 服务器，确认硬盘格式化，安装程序复制文件，最后重启机器。
- 硬件考虑 ：购买硬件前，需查看 Check Point 的硬件兼容性指南，因为 SecurePlatform 仅支持有限的硬件平台，可在 此处 查看支持列表。
- 可引导软盘和网络安装
1. 将 CD 中“SecurePlatform”目录内容复制到 UNIX 服务器。
2. 用空白格式化软盘和 Windows PC 创建可引导软盘，将 bootnet.img 文件拖到 cprawrite 图标上。
3. 插入软盘开机，安装程序启动，选择网络服务器类型、网络接口卡，设置 IP，输入连接参数，后续安装与 CD 安装相同。
4. 若机器无 CD 或软盘驱动器，可参考 Check Point 网站的“SecurePlatform/SecurePlatform Pro 用户指南”中的附录。

graph LR
    A[开始安装] --> B[CD 安装/软盘或网络安装]
    B --> C{选择安装版本}
    C -->|SecurePlatform| D[配置本地化信息]
    C -->|SecurePlatform Pro| E[配置高级路由等信息]
    D --> F[配置以太网设备]
    E --> F
    F --> G[决定是否启用 https 服务器]
    G --> H[确认硬盘格式化]
    H --> I[复制文件]
    I --> J[重启机器]

3. Web 用户界面

Web 用户界面（WUI）是配置 SecurePlatform 的首选方法，NGX 版本的 WUI 已完全重新设计。使用 WUI 需在管理工作站安装 Internet Explorer（5.5 或更高版本）或 Netscape（7.1 或更高版本）。
- 操作系统配置
1. 打开浏览器，连接到 https://<安装时使用的 IP 地址> ，接受许可协议。
2. 使用默认用户名（admin）和密码（admin）登录，按要求更改密码，新密码长度为 6 - 32 个字符，且不能是字典中的单词。
3. 可点击 Token 按钮保存认证文件，点击“Save and Login”继续。
4. 进入首次配置向导，依次配置网络连接、路由表、DNS 服务器、主机名和域名、日期和时间、Web 和 SSH 客户端、安装选项、产品选择、网关类型、SIC 激活密钥、SmartCenter 类型、GUI 客户端、SmartCenter 管理员等。
5. 完成向导步骤后，确认配置，机器自动重启，安装和初始配置完成。

4. 命令行配置

可通过串口连接或控制台使用键盘和鼠标访问命令行。串口连接时，终端程序设置为 9600 波特率、8 数据位、无校验位和 1 停止位，可在 /etc/grub.conf 中更改。登录后需将密码更改为强密码，进入 Check Point 受限 shell（CPShell），可使用 ? 获取可用命令列表，使用 sysconfig 工具配置系统。
- sysconfig 工具
- 设置主机名 ：选择 1，输入主机名和关联的 IP 地址。
- 设置域名 ：选择 2，输入域名。
- 设置 DNS 服务器 ：选择 1 添加新的 DNS 服务器，输入 IP 地址。
- 设置日期和时间
1. 选择 1 设置时区，依次选择大洲、国家、时区区域。
2. 选择 2 设置日期，使用 MM - DD - YYYY 格式。
3. 选择 3 设置时间，使用 24 小时格式。
- 配置接口
1. 选择 2 配置连接，选择要配置的接口。
2. 可设置 IP、MTU，将静态 IP 改为动态 IP。
- 配置路由 ：选择 2 配置路由，可添加网络路由、主机路由或默认网关。
- 完成安装 ：运行选项 10，即 cpconfig ，完成产品配置。

graph LR
    A[进入命令行] --> B[更改密码进入 CPShell]
    B --> C[使用 sysconfig 工具]
    C --> D{选择配置项}
    D -->|主机名| E[设置主机名和关联 IP]
    D -->|域名| F[设置域名]
    D -->|DNS 服务器| G[添加 DNS 服务器]
    D -->|日期和时间| H[设置时区、日期、时间]
    D -->|接口| I[配置接口 IP 等信息]
    D -->|路由| J[配置路由]
    D -->|产品配置| K[运行 cpconfig]

5. CPShell

CPShell 是一个应用程序特定的配置接口，命令范围比标准 UNIX shell 窄，以下是部分可用命令：
|命令|说明|
| ---- | ---- |
|?|打印可用命令列表|
|LSMcli|SmartLSM 命令行|
|LSMenabler|启用 SmartLSM|
|SDSUtil|软件分发服务器实用程序|
|about|打印关于信息|
|addarp|添加永久 ARP 表条目|
|adduser|添加新用户|
|arp|显示/操作 arp 表|
|audit|显示/编辑 shell 中输入的命令|
|backup|备份配置|
|checkuserlock|检查用户是否被锁定|
|cp_conf|Check Point 系统配置实用程序|
|cpadmin|控制系统管理门户|
|cpca|运行 Check Point 内部 CA|
|cpca_client|管理/配置 Check Point 内部 CA|
|cpca_create|创建新的 Check Point 内部 CA 数据库|
|cpca_dbutil|打印/转换 Check Point 内部 CA 数据库|
|cpconfig|Check Point 软件配置实用程序|
|cphaprob|定义高可用性的关键进程|
|cphastart|启用机器的高可用性功能|
|cphastop|禁用机器的高可用性功能|
|cpinfo|显示 Check Point 诊断信息|
|cplic|添加/删除 Check Point 许可证|
|cpshared_ver|显示 SVN 基础版本|
|cpstart|启动安装的 Check Point 产品|
|cpstat|显示 Check Point 统计信息|
|cpstop|停止安装的 Check Point 产品|
|date|设置/显示日期|
|delarp|删除永久 ARP 表条目|
|deluser|删除现有用户|
|diag|发送系统诊断信息|
|dns|添加/删除/显示域名解析服务器|
|domainname|设置/显示域名|
|eth_set|控制以太网接口速度/双工设置|
|etmstart|启动 FloodGate - 1|
|etmstop|停止 FloodGate - 1|
|exit|切换到标准模式/注销|
|expert|切换到专家模式|
|fgate|FloodGate - 1 命令|
|fips|打开/关闭 FIPS 模式|
|fw|VPN - 1/FireWall - 1 命令|
|fwm|FW - 1/VPN - 1 管理实用程序|
|help|打印可用命令列表|
|hostname|设置/显示主机名|
|hosts|添加/删除/显示本地主机/IP 映射|
|idle|设置/显示自动注销时间（分钟）|
|ifconfig|配置/存储网络接口|
|lockout|配置锁定参数|
|log|日志轮换控制|
|netstat|显示网络统计信息|
|ntp|配置 ntp 并启动同步客户端|
|ntpstart|启动 NTP 时钟同步客户端|
|ntpstat|显示 NTP 时钟同步客户端状态|
|ntpstop|停止 NTP 时钟同步客户端|
|passwd|更改密码|
|patch|安装/升级实用程序|
|ping|ping 主机|
|pro|启用/禁用 SecurePlatform Pro|
|reboot|重启网关|
|restore|恢复配置|
|revert|恢复到保存的快照映像|
|rmdstart|启动 SmartView 报告器|
|rmdstop|停止 SmartView 报告器|
|route|配置/存储路由表|
|rtm|SmartView 监视器命令|
|rtmstart|启动 SmartView 监视器|
|rtmstop|停止 SmartView 监视器|
|rtmtopsvc|Top Services 的 SmartView 监视器|
|scroll|允许滚动各种命令的输出|
|showusers|列出 SecurePlatform 管理员|
|shutdown|关闭网关|
|snapshot|创建快照映像|
|snmp|配置 SNMP 守护进程|
|sysconfig|配置 SecurePlatform 网关|
|syslog_servers|添加/删除/显示外部 syslog 服务器|
|time|设置/显示时间|
|timezone|设置/显示时区|
|top|显示最活跃的系统进程|
|traceroute|跟踪到主机的路由|
|unlockuser|解锁用户|
|ups|配置 Smart UPS 监控|
|vconfig|配置虚拟局域网|
|ver|打印 SecurePlatform 版本|
|vpn|控制 VPN|
|webui|配置 Web UI|

6. 专家模式

专家模式用于 SecurePlatform 设备的高级配置和访问文件系统。在 cpshell 命令行输入 expert ，首次进入使用初始设置的 admin 账户密码，然后需更改专家模式密码。进入专家模式后，命令提示符会变为 Expert@ 开头，拥有 root 等效权限的完整 bash shell 访问权限。
- 补丁添加 ：可通过 SmartUpdate 或命令行添加或更新软件包。命令行添加补丁的语法如下：

[Expert@cpmodule]# patch add
Usage: patch add tftp <ip> <patch_name>
patch add scp <ip> <username> <remote_filename> [password]
patch add cd [<patch_name>]
patch add <full_patch_path>
patch log

例如，从 CD 安装补丁：

[Expert@cpmodule]# patch add cd
Choose a patch to install:
1) SecurePlatform NGX R60 Upgrade Package (CPspupgrade_R60.tgz)
2) Exit
Your choice:
1
Calculating the MD5 checksum of the package.
The MD5 checksum is: 6a0b5bc83987830d571f8a2e0549e9f5
Is that right (Y/N)? y
Extracting /mnt/cdrom/SecurePlatform/patch/CPspupgrade_R60.tgz package ..
Start Upgrading ..

• 备份、定期备份和恢复
  • 备份 ：可创建系统配置文件备份，保存到本地或发送到 TFTP 或 SCP 服务器，所有备份存储在 /var/CPbackup/backups 目录。命令语法如下：

[Expert@cpmodule]# backup ?
usage:
backup
[-h] [-d] [-l]
[--purge DAYS] [--sched [on hh:mm <-m DayOfMonth> |
<-w DaysOfWeek>] | off] [--tftp <ServerIP> [-path <Path>] [<Filename>]]
[--scp <ServerIP> <Username> <Password> [-path <Path>]
[<Filename>]]
[--file [-path <Path>] [<Filename>]]
where:
-d
Show debug messages
-l, --logs
Back up log files
-h, --help
Show this help information
-t, --tftp
Transfer backup package to TFTP
server
-s, --scp
Transfer backup package to SCP
server
-f, --file
Specify local backup package filename
-e, --sched
Configure scheduled backup operation
-p, --purge
Purge local backup packages older
than DAYS

例如，备份系统并发送到 TFTP 服务器：

[Expert@cpmodule]# backup --tftp 10.0.0.254
Are you sure you want to proceed? y
Creating backup package...
Done
Transferring the backup package...
Done

还可定期备份，如每周日午夜备份：

[Expert@cpmodule]# backup --sched on 00:00 -w sunday

取消定期备份：

[Expert@cpmodule]# backup --sched off

- **恢复**：可从本地文件、TFTP 服务器或 SCP 服务器恢复备份。命令语法如下：

[Expert@cpmodule]# restore ?
usage:
restore
[-h] [-d]
[[--tftp <ServerIP> <Filename>] |
[--scp <ServerIP> <Username> <Password> <Filename>] |
[--file <Filename>]]
where:
-d
Show debug messages
-h, --help
Show this help information
-t, --tftp
Transfer backup package from TFTP
server
-s, --scp
Transfer backup package from SCP
server
-f, --file
Specify local backup package filename

例如，从本地备份恢复：

[Expert@cpmodule]# restore
Choose one of the following:
------------------------------------------------------------------
[L]
Restore local backup package
[T]
Restore backup package from TFTP server
[S]
Restore backup package from SCP server
[R]
Remove local backup package
[Q]
Quit
------------------------------------------------------------------
Your choice:
L
Choose backup package to restore:
------------------------------------------------------------------
[1]
backup_cpmodule_21_9_2005_09_47.tgz
[2]
backup_cpmodule_21_9_2005_09_44.tgz
[Q]
Quit
------------------------------------------------------------------
Your choice: 1
All information will be restored.
------------------------------------------------------------------
Choose one of the following:
------------------------------------------------------------------
[C]
Continue.
[M]
Modify which information to restore.
[Q]
Quit.
------------------------------------------------------------------
Your choice: C

• 快照、恢复和快照映像管理
  • 创建快照 ：使用 snapshot 命令创建系统快照，可选择本地、TFTP 服务器或 SCP 服务器存储。

[Expert@cpmodule]# snapshot
Choose one of the following:
------------------------------------------------------------------
[L]
Create new local Snapshot Image
[T]
Create new Snapshot Image on TFTP server
[S]
Create new Snapshot Image on SCP server
[R]
Remove local Snapshot Image
[Q]
Quit
------------------------------------------------------------------
Your choice: T
Enter the TFTP server IP/host name:10.0.0.254
Enter new Snapshot Image filename or [Quit]: snapshot_21_9_2005_10_35
Are you sure you want to proceed? y
Creating the Snapshot Image. This can take up to 20 minutes...
Note that all Check Point products will be stopped
and re-started after the snapshot completes.
Done
Transferring the Snapshot Image...
Done

- **恢复到快照**：使用 `revert` 命令恢复到之前的快照。

[Expert@cpmodule]# revert
Choose one of the following:
------------------------------------------------------------------
[L]
Revert to local Snapshot Image
[T]
Revert to Snapshot Image from TFTP server
[S]
Revert to Snapshot Image from SCP server
[R]
Remove local Snapshot Image
[Q]
Quit
------------------------------------------------------------------
Your choice: l
Revert to:
------------------------------------------------------------------
[1]
snapshot_21_9_2005_10_35.tgz
[Q]
Quit
------------------------------------------------------------------
Your choice: 1
Do you want to save Snapshot Image before revert? n
Reverting to a saved Snapshot Image. This can take up to 25 minutes...

恢复完成后，系统会重启。还可在开机时选择 Snapshot Image Management 选项，输入专家密码，恢复到存储在 TFTP 或 SCP 服务器的快照。

7. 动态路由

SecurePlatform Pro 是 NGX 版本的新特性，需额外购买许可证，支持多种动态路由和多播协议。
- 单播协议 ：RIP - 1、RIP - 2、OSPF 和 BGP。
- 多播协议 ：PIM - DM、PIM - SM 和 IGMP。
- 配置动态路由
1. 以管理员权限登录机器，在 cpshell 或专家命令行输入 router 进入路由器接口。
2. 输入 enable 进入特权模式，命令提示符改变。
3. 输入 configure terminal 进入路由器配置状态，可使用 ip 命令进行高级路由功能配置。
4. 配置完成后，输入 exit 退出配置状态，输入 write memory 保存配置到 /etc/gated.ami 文件。
5. 输入 quit 退出路由器命令。

graph LR
    A[登录机器] --> B[输入 router 进入路由器接口]
    B --> C[输入 enable 进入特权模式]
    C --> D[输入 configure terminal 进入配置状态]
    D --> E[使用 ip 命令配置路由]
    E --> F[输入 exit 退出配置状态]
    F --> G[输入 write memory 保存配置]
    G --> H[输入 quit 退出路由器命令]

8. 总结

SecurePlatform 是运行 Check Point 产品的优秀平台，可通过 WUI 或命令行配置。WUI 方便配置，命令行配置更全面。CPShell 提供防火墙管理必要命令，限制对底层操作系统的访问，专家模式用于高级配置和系统维护。SecurePlatform Pro 增加了动态路由协议支持，虽需额外许可证，但增加了新功能。

9. 常见问题解答

• Q ：能否使用任何基于英特尔的硬件运行 SecurePlatform？
  • A ：不能，Check Point 仅支持有限的硬件平台，可在 此处 查看支持列表。
• Q ：SecurePlatform 不支持某个包，能否添加 RPM？
  • A ：可以，但 Check Point 不支持非自带的包，安装其他包可能冲突并影响系统支持，且运行应用所需的某些库可能不可用。
• Q ：SecurePlatform 支持哪些 Check Point 应用程序？
  • A ：支持 VPN - 1 Pro、SmartCenter 和 Eventia Reporter 等主要应用程序，但不能在 SecurePlatform 上运行 SMART 客户端。
• Q ：安装 SecurePlatform 后，系统未识别一个或多个 NIC，能否添加驱动？
  • A ：可以添加，但 Check Point 不一定支持，操作系统升级可能导致驱动问题，建议使用常见制造商的支持 NIC。

SecurePlatform：高效安全平台的全方位指南

10. 配置方法对比

为了更清晰地了解不同配置方法的特点，我们对 Web 用户界面（WUI）、命令行配置和专家模式进行了对比：
|配置方法|优点|缺点|适用场景|
| ---- | ---- | ---- | ---- |
|Web 用户界面（WUI）|操作直观，通过向导逐步引导配置，适合初学者；无需记忆复杂命令|配置功能相对有限，部分高级配置无法完成|初始配置和简单日常配置|
|命令行配置|可进行较全面的系统配置，能精确控制各项参数；适合批量配置和自动化脚本编写|需要一定的命令行操作基础，学习成本较高|对系统有一定了解，需要进行较为复杂配置的场景|
|专家模式|拥有最高权限，可进行高级系统配置、文件系统操作和系统维护；能解决复杂问题|操作风险大，误操作可能导致系统故障；不适合新手|处理系统故障、进行深度定制和高级维护时使用|

11. 安全建议

在使用 SecurePlatform 时，为了确保系统的安全性，我们提供以下建议：
- 密码管理 ：设置强密码，并定期更换。避免使用简单易猜的密码，如生日、电话号码等。对于不同的账户（如 admin 账户、专家模式账户），使用不同的密码。
- 网络访问控制 ：通过 WUI 或命令行配置，限制对 SecurePlatform 的网络访问。仅允许来自受信任的管理工作站或网络的连接，防止未经授权的访问。
- 及时更新 ：定期使用 SmartUpdate 或命令行进行系统补丁更新，以修复已知的安全漏洞。在更新前，仔细阅读发布说明，确保更新不会对系统造成负面影响。
- 备份策略 ：制定合理的备份策略，定期进行系统配置备份。可以使用 backup 命令将备份保存到本地或远程服务器，并定期测试恢复功能，确保在系统出现问题时能够快速恢复。
- 监控与审计 ：使用系统自带的监控工具（如 cpinfo 命令）和日志审计功能，及时发现异常活动。定期查看系统日志，分析潜在的安全威胁。

12. 性能优化

为了提高 SecurePlatform 的性能，可考虑以下优化措施：
- 硬件选择 ：根据实际需求选择合适的硬件配置。确保服务器具有足够的 CPU、内存和存储资源，以满足系统运行和业务需求。参考 Check Point 的硬件兼容性指南，选择支持的硬件平台。
- 网络配置 ：合理配置网络接口，避免网络拥塞。可以通过调整接口的带宽、MTU 等参数，优化网络性能。使用静态 IP 地址，减少 DHCP 分配带来的延迟。
- 进程管理 ：使用 top 命令监控系统进程，及时发现并关闭不必要的进程，释放系统资源。优化 Check Point 产品的进程配置，确保关键进程的高效运行。
- 缓存设置 ：适当调整系统的缓存设置，提高数据访问速度。可以通过修改相关配置文件，优化文件系统缓存和网络缓存。

13. 实际案例分析

以下是一个使用 SecurePlatform 的实际案例，展示了如何在企业环境中部署和配置该平台：
- 企业背景 ：某中型企业拥有多个分支机构，需要建立安全的 VPN 连接，实现总部与分支机构之间的安全通信。同时，需要对网络流量进行监控和管理，确保企业网络的安全性和稳定性。
- 解决方案 ：
- 硬件部署 ：选择支持 SecurePlatform 的服务器，分别在总部和分支机构部署。服务器配置足够的 CPU、内存和存储资源，以满足 VPN 连接和网络监控的需求。
- 系统安装 ：使用可引导 CD 安装 SecurePlatform，并根据企业需求选择 SecurePlatform Pro 版本，以支持动态路由协议。
- 配置过程 ：
- 通过 WUI 进行初始配置，设置网络连接、路由表、DNS 服务器等基本信息。
- 使用命令行工具进行高级配置，如配置动态路由协议（OSPF），实现总部与分支机构之间的自动路由。
- 配置 VPN - 1 Pro，建立安全的 VPN 连接，确保企业内部网络的安全通信。
- 设置 SmartCenter 作为管理服务器，对整个企业网络进行集中管理和监控。
- 效果评估 ：部署 SecurePlatform 后，企业实现了总部与分支机构之间的安全 VPN 连接，网络通信更加稳定和安全。通过动态路由协议的配置，网络路由更加灵活，提高了网络的可用性。同时，使用 SmartCenter 进行集中管理，大大提高了管理效率，降低了运维成本。

14. 未来发展趋势

随着网络安全技术的不断发展，SecurePlatform 也将不断演进和完善。以下是一些可能的未来发展趋势：
- 智能化安全防护 ：引入人工智能和机器学习技术，实现对网络安全威胁的实时监测和智能分析。通过学习和分析大量的安全数据，自动识别和应对潜在的安全威胁，提高系统的安全性和响应速度。
- 多云环境支持 ：随着企业云计算的普及，SecurePlatform 可能会加强对多云环境的支持。实现对不同云平台（如 Amazon Web Services、Microsoft Azure 等）的安全集成和管理，为企业提供统一的安全防护解决方案。
- 零信任架构集成 ：零信任架构强调“默认不信任，始终验证”的原则，未来 SecurePlatform 可能会与零信任架构进行深度集成。通过对用户、设备和应用的实时认证和授权，确保只有经过授权的访问才能进入企业网络。
- 物联网安全 ：随着物联网设备的大量增加，物联网安全成为一个重要的问题。SecurePlatform 可能会加强对物联网设备的安全管理，提供对物联网网络的安全防护和监控功能。

15. 结论

SecurePlatform 作为运行 Check Point 产品的优秀平台，具有简单、高效、安全等优点。通过本文的介绍，我们详细了解了 SecurePlatform 的安装、配置、管理和维护方法，以及动态路由等高级功能。在实际应用中，我们可以根据企业的需求和网络环境，选择合适的配置方式和安全策略，确保系统的安全性和稳定性。同时，我们也应该关注 SecurePlatform 的未来发展趋势，及时调整和优化我们的安全架构，以应对不断变化的网络安全挑战。

graph LR
    A[SecurePlatform] --> B[未来发展趋势]
    B --> C[智能化安全防护]
    B --> D[多云环境支持]
    B --> E[零信任架构集成]
    B --> F[物联网安全]