Обновление прошивки в составе кластера через SCP-сервер с версии 1.2 до 1.3

Вы можете обновить прошивку устройства Kaspersky NGFW с версии 1.2 до 1.3 в составе кластера через SCP-сервер. Сервер должен быть развернут в локальной сети в вашей инфраструктуре.

Обновляйте узлы кластера поочерёдно: сначала основной узел в пассивном режиме, затем резервный. Пока один узел обновляется, другой обрабатывает транзитный трафик в активном режиме. Перед обновлением резервного узла дождитесь синхронизации и проверьте работу основного узла в активном режиме. После переключения активного узла продолжается обработка сессий, состояние которых было синхронизировано между узлами.

Если доступ устройства к серверу системы управления или оркестратору, а также удаленный доступ с хоста управления к устройству Kaspersky NGFW обеспечивается с помощью статических или динамических маршрутов, после перезагрузки обновляемого узла задайте необходимые маршруты с помощью команды ip route. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.
При добавлении маршрутов укажите VRF, к которому привязан интерфейс управления, или VRF, который используется для подключения knbe-agent к оркестратору.
Если хост управления находится в другой подсети и основной узел недоступен после перезагрузки, подключитесь к основному узлу по SSH с резервного узла. Для подключения используйте VRF, к которому привязан интерфейс управления.

Перед обновлением прошивки создайте резервную копию и при необходимости обновите OSMP.

Чтобы обновить прошивку устройства Kaspersky NGFW в составе кластера через SCP-сервер:

1. Перед началом обновления убедитесь, что кластер включен и функционирует правильно.
2. Скопируйте архив с файлом прошивки, соответствующей типу процессора на вашем устройстве, и файл подписи из комплекта поставки на устройство, с которого есть доступ к SCP-серверу.

   Убедитесь, что версия копируемой прошивки совместима с версией прошивки, установленной на узлах:

   • При обновлении до мажорной версии совместимыми с текущей версией являются следующая и предыдущая мажорные версии.
   • При обновлении до минорной версии совместимыми с текущей версией являются все следующие и все предыдущие минорные версии.
3. Загрузите архив с файлом прошивки и файл подписи в директорию на SCP-сервере.
4. Подключитесь к Kaspersky NGFW через SSH с того устройства, через которое вы подключаетесь к SCP-серверу.
5. Скопируйте архив с файлом прошивки и файл подписи с SCP-сервера в директорию на диске Kaspersky NGFW.

   Мы рекомендуем копировать файлы обновления в директорию update_storage.

6. Перейдите к управлению параметрами резервного узла с помощью командной строки. (то есть узел с ролью secondary) и убедитесь, что он работает в пассивном режиме и через него не проходит пользовательский трафик.
7. Переведите резервный узел в активный режим:

   failover active

   Основной узел перейдет в пассивный режим.

8. Перейдите к управлению параметрами основного узла (то есть узел с ролью primary) с помощью командной строки.
9. Запустите обновление прошивки Kaspersky NGFW, выполнив следующую команду:

   software-updater start <путь к файлу прошивки>

   Появятся предупреждения о процессе обновления и затем запрос на подтверждение обновления.

10. Подтвердите запуск обновления.

    Начнется обновление прошивки Kaspersky NGFW. Во время обновления все сетевые соединения будут прерваны. Вы можете просмотреть статус в процессе обновления или результат обновления после его завершения, включая причину в случае неуспешного обновления, с помощью команды show software-updater follow.

    После окончания обновления устройство будет перезагружено.

11. Проверьте параметры подключения HTTPS к оркестратору, путь к CA-сертификату и параметры токена:

    show knbe-agent-settings

    Если параметры указаны, то перейдите к следующему шагу.

    Если параметры не указаны, то выполните следующее:

    1. Задайте протокол подключения HTTPS к оркестратору на основном узле:

       knbe-agent> protocol https

    2. Задайте путь к CA-сертификату для аутентификации оркестратора на основном узле:

       knbe-agent> ca-cert <путь к файлу сертификата>

    3. Скопируйте токен из веб-плагина Kaspersky NGFW и задайте его на основном узле, если он не задан или отличается от токена в веб-плагине Kaspersky NGFW:

       knbe-agent> token <токен>

    4. Примените изменения на основном узле:

       commit

12. Проверьте подключение основного узла к оркестратору:

    show knbe-agent-status

13. Перейдите к управлению параметрами Kaspersky NGFW с помощью Консоли Open Single Management Platform и убедитесь, что сконвертированные политики распространены на устройства. Для этого перейдите в раздел Приложения и сервисы → NGFW → Политики → Распространение политики.

    Проверьте, что в процессе обновления были скопированы журналы событий и лицензии.

14. Перейдите управлению параметрами основного узла и с помощью командной строки и выполните следующую команду.:

    failover fullsync

15. Перейдите к управлению параметрами резервного узла (то есть узел с ролью secondary) с помощью командой строки и выполните следующую команду:

    show failover cts-status

    Дождитесь когда поле on_fullsync будет иметь значение done.

16. Перейдите управлению параметрами основного узла и с помощью командной строки и измените его режим на активный, выполнив следующую команду:

    failover active

    Режим резервного узла будет также автоматически изменен на пассивный.

    После выполнения команды failover active на основном узле будут установлены маршруты, полученные через knbe-agent.

17. Убедитесь, что пользовательский трафик успешно проходит через обновленный основной узел.
18. Обновите резервный узел:
    1. Перейдите к управлению параметрами резервного узла с помощью командной строки.
    2. Запустите обновление прошивки Kaspersky NGFW, выполнив следующую команду:

       software-updater start <путь к файлу прошивки>

    3. Подтвердите запуск обновления.
    4. Дождитесь завершения обновления и перезагрузки резервного узла.
    5. Вы можете просмотреть статус в процессе обновления или результат обновления после его завершения, включая причину в случае неуспешного обновления, с помощью команды show software-updater status.
    6. Убедитесь, что резервный узел вошел в состав кластера:

       show failover status

    7. Проверьте параметры подключения HTTPS к оркестратору, путь к CA-сертификату и параметры токена:

       show knbe-agent-settings

       Если параметры указаны, то перейдите к следующему шагу.

       Если параметры не указаны, то выполните следующее:

       1. Задайте протокол подключения HTTPS к оркестратору только на резервном узле:

          knbe-agent> protocol https

       2. Задайте путь к CA-сертификату для аутентификации оркестратора только на резервном узле:

          knbe-agent> ca-cert <путь к файлу сертификата>

       3. Скопируйте токен из веб-плагина Kaspersky NGFW и задайте его только на резервном узле, если он не задан или отличается от токена в веб-плагине Kaspersky NGFW:

          knbe-agent> token <токен>

       4. Примените изменения на резервном узле:

          commit

    8. Проверьте подключение резервного узла к оркестратору:

       show knbe-agent-status

    9. Проверьте, что в процессе обновления были скопированы журналы событий и лицензии.
    10. Перейдите к управлению параметрами Kaspersky NGFW с помощью Консоли Open Single Management Platform и убедитесь, что сконвертированные политики распространены на устройства. Для этого перейдите в раздел Приложения и сервисы → NGFW → Политики → Распространение политики.
19. Завершите обновление с помощью команды:

    software-updater finish

    Дождитесь завершения синхронизации данных между узлами кластера и отображения соответствующего статуса. Статус синхронизации вы можете просмотреть в журнале системных событий.

    При обновлении прошивки Kaspersky NGFW в составе кластера отобразится предупреждение о необходимости временно отключить кластер. Узел перейдет в режим обновления, при котором он не будет взаимодействовать с кластером (то есть состояние, параметры и сессии не будут синхронизироваться между узлами). Во время обновления узел может перезагрузиться несколько раз.

    После успешного завершения обновления произойдет следующее:

    • Узел автоматически выйдет из режима обновления.
    • Данные между узлами кластера синхронизируются.

    Если версии прошивок совместимы, параметры конфигурации автоматически будут перенесены на новую версию.

20. Убедитесь, что пользовательский трафик успешно проходит через обновленный основной узел в активном режиме и состояние кластера восстановлено.

Версия прошивки на узлах кластера успешно обновлена, и кластер готов к работе.

Если на каком-либо шаге обновления произошла ошибка и Kaspersky NGFW не удалось продолжить обновление (например, не удалось проверить подпись файлов прошивки или новая версия прошивки несовместима с устройством), процесс обновления автоматически завершается. Узлы кластера будут перезагружены, исходная версия прошивки будет восстановлена в состоянии до запуска обновления, кроме локальных антивирусных баз. После включения кластера вам нужно вручную обновить локальные базы. Информация о неуспешном обновлении и причина будут записаны в журнал системных событий.