配置Check Point防火墙

防火墙分析仪可以从大多版本的CheckPoint处导入日志，并支持R54或者更高的LEA。

查看Check Point版本号

要查看所运行的Check Point的版本号，使用以下命令：

$FWDIR/bin/fw ver

这里$FWDIR 是安装Check Point的目录。

以下指导有助于在防火墙分析仪和Check Point管理服务器之间设置认证的或者未认证的连接，其它信息请参见Check Point文档或者和Check Point技术支持联系。

配置Check Point防火墙之前，在防火墙分析仪上添加 LEA服务器来连接防火墙。

前提:

需要在Check Point防火墙的智能面板上做以下操作。

智能面板的修改 :

1. 打开显示所有规则的"智能面板"。把"Track"值由"log"设定为"Account"，可以在各规则上右键点击 "Track"并选择"Account"。设定之后CheckPoint 防火墙将按照字节数生成日志。
2. 把所有规则的"Track"值改为"Account"后，请重新提交所有策略。

如果要导入所产生的日志，需要执行以下修改。如果不导入日志文件则可以跳过以下步骤。

在智能面板追踪上的修改：

1. 打开"智能面板追踪"并点击"View" --> "Query Properties".
2. 请选择以下属性:
• Elapsed
• Bytes
• Client InBound Bytes
• Client OutBound Bytes
• Server InBound Bytes
• Server OutBound Bytes
• Status
• URL

导入Check Point日志文件

对于非-LEA连接，有两种方法来生成并导出check point的文本日志文件，该文件可以导入到防火墙分析仪。对于LEA连接，可以跳过以下内容直接查看LEA配置指导。

方法1 :

在Check Point防火墙的命令行上执行以下命令

这里, -d指表示分隔符, -i表示输入的日志文件，-o表示输 出的 ASCII文件，-n表示在日志文件中不对IP地址执行 DNS解析(该选项将明显示提升处理速度)。

详细信息请参见Check Point文件或者与Check Point的技术支持联系。

上述命令创建一个名为exportresult.log的ascii文件。拷贝或者传送该文件到防火墙分析仪，然后 就可以在防火墙分析仪上导入该日志文件。

方法2 :

1. 在Check Point智能追踪UI上 (在Check Point管理站上可看到所有日志), 在左边的树上选择所有记录选项。
2. 点击"File" --> "Export".
3. 输入正确文件名，例如exportresult.log. 拷贝或者传送该文件到防火墙分析仪，然后就可以在防火墙分析仪上导入该日志文件。

LEA配置 :

下面解释，管理LEA服务器需 要对不同的check point防火墙进行不同的配置：

• 设置非认证LEA连接
• 为4.x版本设置认证的LEA连接
• 为NG设置认证的LEA连接
• LEA配置文件

设置非认证LEA连接

按照下面步骤来从Check Poing防火墙配置非认证连接：

1. 在安装Check Point管理服务器的FWDIR\conf 目录下，编辑fwopsec.conf文 件并添加以下行：
   lea_server port 18184
lea_server auth_port 0
2. 重启防火墙服务
   [4.1] fwstop ; fwstart
   [NG] cpstop ; cpstart
3. 在策略上添加规则来允许从防火墙分析仪访问Check Point管理服务器的上面定义的端口，18184是缺省LEA连接端口。
4. 安装该策略

在防火墙分析仪上添加LEA服务器列表

设置了未认证LEA连接后，执行添加 LEA服务器中的步骤给 防火墙分析仪添加LEA服务器。

为4.x设置认证的LEA连接

从Check Point v4.x防火墙上执行以下步骤来配置认证的连接：

1. 在安装Check Point管理服务器的FWDIR\conf 目录下，编辑fwopsec.conf文 件来定义认证的LEA连接所使用的端口。
   lea_server port 0
lea_server auth_port 18184
lea_server auth_type auth_opsec
2. 重启防火墙服务
   fwstop ; fwstart
3. 为防火墙分析仪(例如10.1.1.2)的LEA服务器设定密码(例如:abc123)
   fw putkey -opsec -p abc123 10.1.1.2
4. 在策略上添加规则来允许从防火墙分析仪访问Check Point管理服务器的上面定义的端口
5. 安装该策略

在防火墙分析仪上修改LEA服务器

完成上步后，为Check Point防火墙编辑LEA配置文件:

1. 定义IP地址(例如. 10.1.1.1), 端口(例如. 18184),以及认证的LEA连结的认证类型。
   lea_server ip 10.1.1.1
lea_server port 18184
lea_server auth_type auth_opsec
2. 认定连接到Check Point管理服务器的密码，这与设定在Check Point管理服务器的密码一致。
   opsec_putkey -p abc123 10.1.1.1

为NG设置认证的LEA连接

以下步骤用于配置到Check Point NG管理服务器的sslca认证连接：

1. 在安装Check Point管理服务器的FWDIR\conf 目录下，编辑fwopsec.conf文 件来定义认证的LEA连接所使用的端口。
   lea_server port 0
lea_server auth_port 18184
lea_server auth_type sslca
2. 重启防火墙服务
   cpstop ; cpstart
3. 使用以下内容新建Opsec应用对象：
   1. Name (eg. myclient)
   2. Vendor: user defined
   3. Server Entities: none
   4. Client Entities: LEA
4. 对该Opsec应用程序初始化安全内部通讯 (SIC)，并输入激活键(例如def456)。记录下该激活键，以后将需要。
5. 写下该Opsec应用对象的DN。这是客户端名称，这以后也需要。
6. 打开该Check Point管理服务的对象并写下该对象的DN。这是服务器的名称。
7. 添加规则到策略来允许上面定义的端口。比如端口18210/tcp(FW1_ica_pull)用于从防火墙分析仪引导 PKCS#12证书到Check Point服务服务器。该端口在成功建立从防火墙分析仪到Check Point服务服务器的连接后可以被关掉。
8. 安装该策略

在防火墙分析仪在修改LEA服务器

完成上步后，为该CheckPoint防火墙编辑LEA配置文件：

1. 为认证的LEA连接定义IP地址(例如10.1.1.1), 端口(例如18184), 认证类型以及SIC名称。
   (该SIC名称为客户端Client DN并且服务DN参照以前 记录的内容)
   lea_server ip 10.1.1.1
lea_server port 18184
lea_server auth_type sslca
opsec_sslca_file opsec.p12
opsec_sic_name "CN=myleaclient,O=cpmodule..gysidy"
lea_server opsec_entity_sic_name "cn=cp_mgmt,o=cpmodule..gysidy"

2. 从opsec-tools.tar.gz 或者工程网页上或者直接从OPSEC SDK得到opsec_pull_cert 工具。该工具用于在防火墙分析仪和Check Point管理服务器之间建立安全内部通讯Secure Internal Communication (SIC)。
3. 从Check Point管理服务器(例如 10.1.1.1)得到客户端证书。激活键应该和在防火墙策略上指定的一致。然后拷贝结果文件PKCS#12 (缺省为: opsec.p12)到<FirewallAnalyzer_Home>/server/default/leaconf 目录。
   opsec_pull_cert -h 10.1.1.1 -n myleaclient -p def456

LEA配置文件

LEA配置文件在<FirewallAnalyzer_Home>/server/default/leaconf 目录下，缺省情况下，只有leaclient.conf 文件。如果添加单个Check Point防火墙，使用该文件来配置LEA客户端参数。

如果配置多个Check Point防火墙，当在防火墙分析仪上添加LEA服务器后，使用与输入的主机名同 样的名字创建另外的 .conf文件。

在LEA客户端配置文件中设置的参数说明如下：