Su una macchina Check Point convivono due console che non si sovrappongono mai: Gaia governa il sistema operativo, SmartConsole governa la sicurezza. Sapere in quale delle due si apre una certa schermata vale, all’esame, quanto saperla usare.

Gaia Portal: il sistema operativo dal browser

Il Gaia Portal è, nelle parole della documentazione R82, “an advanced, web-based interface for Gaia platform configuration”: da lì si esegue quasi tutta la configurazione di sistema. Ci si arriva in HTTPS all’indirizzo della management interface; la porta predefinita è la 443. Fa eccezione un caso preciso: un Security Management Server aggiornato a R82 che aveva l’Endpoint Policy Management Software Blade disattivato e l’ha abilitato dopo l’aggiornamento — lì il traffico SSL di Endpoint Security che arriva sulla 443 viene rediretto internamente alla 4434, e il Gaia Portal si raggiunge su quella. Su un’installazione pulita di R82 la porta resta la 443 anche con l’Endpoint Policy Management attivo. I browser supportati sono Microsoft Edge, Microsoft Internet Explorer, Mozilla Firefox, Google Chrome e Apple Safari.

Al primo accesso si entra con le credenziali predefinite admin e admin, e parte il First Time Configuration Wizard. Il wizard chiede il tipo di installazione, i prodotti da attivare, la Management Connection, cioè interfaccia e indirizzo di gestione, le Authentication Details con le password di Expert Mode e Maintenance Mode, Device Information con hostname, DNS e proxy, data e ora o NTP, e infine la chiave di attivazione per la comunicazione sicura e l’amministratore che userà SmartConsole.

A regime il Portal ha due modalità di visualizzazione: Simplified, con le sole opzioni di base, e Advanced, predefinita, che mostra tutto. Qui vivono interfacce, routing, DNS, utenti di sistema, backup e snapshot, pacchetti software, System Logging. Non vive nulla della Security Policy.

Gaia CLI: Clish ed Expert Mode

La riga di comando di Gaia si chiama Gaia Clish. È la shell in cui si configurano le stesse cose del Portal con comandi strutturati e completamento automatico, ed è accessibile anche dal browser: il Portal offre “Clientless access to the Gaia Clish directly from your web browser”, quindi non serve per forza un client SSH.

Sotto Clish c’è la Expert Mode, la shell Linux della macchina, protetta dalla password impostata nella finestra Authentication Details del wizard. Serve per diagnostica, script e comandi dei prodotti Check Point; il First Time Configuration Wizard stesso può essere eseguito da lì, quando il Portal non è raggiungibile.

Due abitudini separano chi ha usato Gaia da chi l’ha solo letta. La prima: una modifica fatta in Clish va salvata con save config, altrimenti al riavvio non c’è più. La seconda: la Expert Mode non è “il Clish dei bravi”. Configurare la rete con comandi Linux produce uno stato che Gaia non conosce e che il primo riavvio cancella.

Le quattro viste di SmartConsole

La navigazione di SmartConsole è divisa in quattro viste, selezionabili dal Navigation Toolbar.

  • GATEWAYS & SERVERS serve a “Manage Security Gateways, Activate Software Blades, Add, edit, or delete Security Gateways and clusters”: è la vista degli oggetti che rappresentano le macchine, e quindi il posto in cui si abilitano i blade e si stabilisce la SIC.
  • SECURITY POLICIES contiene le rule base, divise in Access Control, con “Content Awareness, VPN, Application & URL Filtering, and Mobile Access”, e Threat Prevention, con “IPS, Anti-Bot, Anti-Virus, Threat Emulation”.
  • LOGS & EVENTS serve a “View high level graphs and plots, Search through logs, Schedule customized reports, Monitor Security Gateways”.
  • MANAGE & SETTINGS è dove si va a “review and configure the Security Management Server settings: Administrators, Permissions profiles, Trusted clients”.

Attorno alle viste ci sono tre barre che le domande di scenario danno per note: la Global Toolbar con SmartConsole Menu, Object Explorer e Install Policy; i comandi di sessione Discard changes, Session details e Publish session; e le scorciatoie F9, che apre la riga di comando per management scripting e API, e F11, che apre la barra degli oggetti.

Trappole tipiche d’esame

  • La regola cercata nel Gaia Portal. Lo scenario descrive un amministratore che si collega in HTTPS alla macchina e non trova dove aggiungere una regola. Non la troverà: il Portal configura il sistema operativo, la rule base sta in SECURITY POLICIES di SmartConsole.
  • L’indirizzo di interfaccia cambiato da SmartConsole. Indirizzi, VLAN e routing si impostano in Gaia; l’oggetto gateway in SmartConsole va semmai riallineato dopo, e la modifica arriva al traffico solo con Install Policy.
  • “Mi collego al Gaia Portal”: di quale macchina? Gaia gira sia sul Security Gateway sia sul Security Management Server, e le due console hanno lo stesso aspetto. La domanda va letta cercando il ruolo, non la schermata.
  • Porta 443 data per scontata. C’è un caso in cui il Portal risponde sulla 4434, e non è “R82 con Endpoint Policy Management”: è un Management Server aggiornato a R82 che ha abilitato quel blade dopo l’aggiornamento. Un’installazione pulita resta sulla 443. Un “non raggiungibile” può essere solo la porta sbagliata — ma la domanda d’esame sta nella condizione, non nel numero.
  • Blade cercati nella vista sbagliata. I Software Blade si attivano nelle proprietà dell’oggetto in GATEWAYS & SERVERS; SECURITY POLICIES contiene le regole che quei blade fanno rispettare.
  • Amministratori cercati in GATEWAYS & SERVERS. Account, permission profile e Trusted Clients stanno in MANAGE & SETTINGS: è lì che si risolve anche un problema di connettività iniziale fra SmartConsole e Management Server dovuto a un elenco di client ristretto.
  • Clish senza salvataggio. La configurazione applicata e funzionante, ma non salvata, sparisce al riavvio: in una domanda di troubleshooting è la causa che spiega perché “ieri funzionava”.