Release-Notes zu GeNUGate 7.1 Achtung! - GeNUA
Release-Notes zu GeNUGate 7.1 Achtung! - GeNUA
Release-Notes zu GeNUGate 7.1 Achtung! - GeNUA
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
<strong>Release</strong>-<strong>Notes</strong> <strong>zu</strong> <strong>GeNUGate</strong> <strong>7.1</strong><br />
In diesen <strong>Release</strong>-<strong>Notes</strong> finden Sie Informationen <strong>zu</strong>r <strong>GeNUGate</strong> <strong>7.1</strong> Produktfamilie. Lesen Sie diese<br />
bitte aufmerksam durch! Wir empfehlen Ihnen, dieses Upgrade <strong>zu</strong> installieren, da wir mit diesem <strong>Release</strong><br />
neue Features und Vereinfachungen in der Bedienung <strong>zu</strong>r Verfügung stellen.<br />
<strong>Achtung</strong>!<br />
Vor einem Upgrade empfehlen wir dringend, ein Konfigurations- oder besser noch ein vollständiges<br />
Backup der <strong>GeNUGate</strong> durch<strong>zu</strong>führen. Eine ausführliche Anleitung <strong>zu</strong>r Vorgehensweise beim Upgrade<br />
finden Sie in Kapitel 7 dieser <strong>Release</strong>-<strong>Notes</strong>.<br />
Wichtig - Plattenspiegelung:<br />
Die <strong>GeNUGate</strong>-Modelle 400, 600 und 800 sind mit Spiegelplatten ausgerüstet.<br />
Es gehört <strong>zu</strong>m normalen Upgrade, dass das Mirroring auf Maschinen, die mit einem Offlinemirror (Spiegelplatten)<br />
ausgerüstet sind, im Rahmen eines Upgrades deaktiviert wird. Dies ermöglicht es, den<br />
Erfolg eines Upgradevorganges <strong>zu</strong> testen.<br />
Das Vorgehen bei Modellen mit Plattenspiegelung ist wie folgt:<br />
• Führen Sie den Upgrade durch wie in Kapitel 7 beschrieben. Die Synchronisierung der Spiegelplatten<br />
wird dadurch automatisch deaktiviert.<br />
• Test: In der Regel genügt es, das System mehrere Tage unter normalen Bedingungen laufen <strong>zu</strong><br />
lassen.<br />
• Mirror reaktivieren: Löschen Sie da<strong>zu</strong> die Datei /var/db/.NOMIRROR. Dadurch wird die Synchronisierung<br />
der Spiegelplatten wieder eingeschaltet, und der Mirror wird beim nächsten Lauf (i.d.R.<br />
jede Nacht um 2:05) aktualisiert.<br />
Wichtig - Upgrade Test im Multi-User-Mode:<br />
Mit Version <strong>7.1</strong> wurden einige Datenstrukturen in der Registry des Systems geändert. In Kapitel 6.2<br />
wird die Durchführung eines ” Test-Upgrades“ beschrieben, der eine neue Registry erzeugt und auf Konsistenz<br />
prüft.<br />
Sollte diese Prozedur Fehlermeldungen ausgeben, empfehlen wir die Inkonsistenzen vor dem eigentlichen<br />
Upgrade <strong>zu</strong> beseitigen.<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 1 von 15
INHALTSVERZEICHNIS<br />
Inhaltsverzeichnis<br />
1 Umfang der <strong>Release</strong>-<strong>Notes</strong> 3<br />
2 Neuerungen in <strong>GeNUGate</strong> <strong>7.1</strong> 3<br />
2.1 Erweiterung der Hochverfügbarkeitsfunktionalität . . . . . . . . . . . . . . . . . . . . . . . 3<br />
2.1.1 Adresstypen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3<br />
2.1.2 Passive Systeme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3<br />
2.1.3 Einschränkungen und Weiterentwicklung des Konzepts . . . . . . . . . . . . . . . 4<br />
2.1.4 Informationen für Bestandsinstallationen . . . . . . . . . . . . . . . . . . . . . . . . 4<br />
2.1.5 Benutzbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4<br />
2.2 Neue Policy: SMTP2SMTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4<br />
2.3 Aufteilung des Handbuchs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5<br />
2.4 Anpassungen seit der Veröffentlichung von <strong>GeNUGate</strong>-Version 7.0 . . . . . . . . . . . . . 5<br />
2.4.1 Systemstatus im Administratorwebinterface . . . . . . . . . . . . . . . . . . . . . . 5<br />
2.4.2 Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6<br />
2.4.3 Sonstige Sicherheitsverbesserungen . . . . . . . . . . . . . . . . . . . . . . . . . . 6<br />
3 Software-Updates und Verhaltensänderungen 7<br />
3.1 Betriebssystem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7<br />
3.2 Webcache: Squid in Version 3.1.16 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7<br />
3.3 SSH-Version 1 abgeschaltet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7<br />
3.4 Statusänderung beim Blocken von E-Mails mit der SMTP-Policy . . . . . . . . . . . . . . 7<br />
3.5 Sophos-Virenscanner: Manuelles Patternupdate nötig . . . . . . . . . . . . . . . . . . . . 7<br />
4 Verwaltung via GeNUCenter 7<br />
5 Überblick über die Versionen mit Updatesupport 8<br />
6 Vor dem Upgrade 8<br />
6.1 Systemvorausset<strong>zu</strong>ngen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8<br />
6.2 Test-Upgrade im Multi-User-Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8<br />
7 Installation des Upgrades 9<br />
<strong>7.1</strong> Upgradepfad . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9<br />
7.2 Datensicherung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9<br />
7.3 Minimaler freier Festplattenspeicher . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9<br />
7.4 Durchführung des Upgrades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10<br />
8 Informationen im Web 14<br />
9 So erreichen Sie uns 15<br />
Seite 2 von 15 RELEASE-NOTES GENUGATE <strong>7.1</strong>
1 Umfang der <strong>Release</strong>-<strong>Notes</strong><br />
2 NEUERUNGEN IN GENUGATE <strong>7.1</strong><br />
Diese <strong>Release</strong>-<strong>Notes</strong> bieten einen Überblick über Änderungen und Erweiterungen im Funktionsumfang<br />
der <strong>GeNUGate</strong> beim Wechsel von Version 7.0 <strong>zu</strong> Version <strong>7.1</strong>. Genauere Erläuterungen <strong>zu</strong>r Konfiguration<br />
finden Sie im <strong>GeNUGate</strong>-Handbuch.<br />
Eine elektronische Variante dieser <strong>Release</strong>-<strong>Notes</strong>, die Software selbst und die aktuellen Handbücher<br />
können Sie auf unseren Kundenseiten unter www.genua.de im ” Internen Kundenbereich“ herunterladen.<br />
Gerne schicken wir Ihnen auch per Post eine CD <strong>zu</strong>; bitte senden Sie uns hier<strong>zu</strong> eine kurze E-Mail<br />
an auftrag@genua.de.<br />
2 Neuerungen in <strong>GeNUGate</strong> <strong>7.1</strong><br />
2.1 Erweiterung der Hochverfügbarkeitsfunktionalität<br />
Die größte Änderung beim Wechsel von <strong>GeNUGate</strong> 7.0 <strong>zu</strong> <strong>7.1</strong> ist die Erweiterung des bisherigen Hochverfügbarkeitsbetriebs<br />
um die Möglichkeit zwei neue Adresstypen <strong>zu</strong> verwenden. Im Gegensatz <strong>zu</strong>m<br />
bisher eingesetzten OSPF basiert die neue, <strong>zu</strong>sätzliche Funktionalität auf CARP ( ” Common Address<br />
Redundancy Protocol“, wie bei GeNUScreen und GeNUBox). Neben schnelleren Umschaltzeiten ist<br />
es damit im Balancing-Modus einfacher möglich, Verbindungen automatisch auf alle Clusterknoten <strong>zu</strong><br />
verteilen, was den maximalen Verbindungsdurchsatz steigert.<br />
Am bisher eingesetzten HA-Modus mit OSPF ändert sich nichts; die neue Funktionalität kommt nur<br />
<strong>zu</strong>sätzlich hin<strong>zu</strong> und OSPF wird auch in kommenden <strong>Release</strong>s wie bisher unterstützt.<br />
Im Administrationshandbuch finden Sie im Kapitel 5.3.9 ” <strong>GeNUGate</strong> mit CARP und PF“ weitere Hintergrundinformationen<br />
und in Kapitel 2.11 ” Load-Balancing mit CARP-HA“ ein Anwendungsbeispiel.<br />
2.1.1 Adresstypen<br />
Als neue Adresstypen stehen ” Failover-“ und ” Balancing-Adressen“ <strong>zu</strong>r Verfügung.<br />
Die Failover-Adressen verhalten sich wie die bisherigen OSPF-Übernahmeadressen, werden aber schneller<br />
umgeschaltet. Jedes System eines Clusters erhält eine dedizierte Failover-Adresse und ist über diese<br />
ansprechbar. Fällt ein System aus, übernimmt ein anderer Clusterknoten innerhalb weniger Sekunden<br />
diese Adressen.<br />
Der zweite neue Adresstyp, die Balancing-Adresse, bringt ganz neue Funktionalität in die <strong>GeNUGate</strong>-<br />
Hochverfügbarkeit. Balancing-Adressen werden immer für den gesamten Cluster konfiguriert und sind<br />
gleichzeitig im gesamten HA-Verbund aktiv. Ob ein konkretes System Verbindungen auf eine Balancing-<br />
Adresse annimmt entscheidet der Kernel anhand der Absender- und Zieladressen der Pakete. Alle anderen<br />
Systeme verwerfen die Pakete. Damit ist eine einfache automatische Verteilung von Verbindungen<br />
über den gesamten Cluster möglich. Der Performancegewinn richtet sich danach, wie gut die Verbindungen<br />
aufgrund der Adressen verteilt werden und welches Protokoll verwendet wird.<br />
2.1.2 Passive Systeme<br />
Für Balancing-Adressen können einzelne Systeme eines HA-Verbunds in den passiven Modus versetzt<br />
werden. Diese Systeme bearbeiten dann weiter bestehende Verbindungen, nehmen aber keine neuen<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 3 von 15
2 NEUERUNGEN IN GENUGATE <strong>7.1</strong><br />
an. Somit können Wartungsarbeiten langsam vorbereitet werden, da nur noch langlaufende Verbindungen<br />
unterbrochen werden müssen.<br />
Im Webinterface können Sie diesen Modus unter HA → ÜBERPRÜFUNGEN → BALANCING PASSIV aktivieren.<br />
2.1.3 Einschränkungen und Weiterentwicklung des Konzepts<br />
Mit der <strong>GeNUGate</strong>-Version <strong>7.1</strong> gibt es noch einige Einschränkungen im Betrieb der beiden neuen Adresstypen.<br />
Die wichtigsten Punkte sind:<br />
• OSPF muss weiter konfiguriert werden<br />
• die Zwischennetze der <strong>GeNUGate</strong>s müssen auf Layer 2 verbunden sein<br />
• die IP-Adressbereiche der OSPF-Adressen und der neuen Adresstypen müssen getrennt sein<br />
Eine detaillierte Auflistung der <strong>zu</strong> beachtenden Punkte finden Sie im Administrationshandbuch im Abschnitt<br />
2.11.1. Bereits für den kommenden <strong>Release</strong> 7.2 im April 2012 ist geplant, einen Teil dieser<br />
Einschränkungen auf<strong>zu</strong>heben und das Konzept <strong>zu</strong> erweitern.<br />
2.1.4 Informationen für Bestandsinstallationen<br />
Ob die neuen Adresstypen verwendet werden können, hängt bei bestehenden Installationen davon ab,<br />
inwieweit die Netzwerktopologie wie oben beschrieben angepasst werden kann. Ist dies nicht möglich,<br />
raten wir in diesem <strong>Release</strong> noch vom Einsatz der CARP-basierten Adresstypen ( Balancing-“ und<br />
”<br />
” Failover-Adresse“) ab.<br />
Falls Sie die neue Funktionalität testen möchten, eignet sich besonders gut eine PFL-DMZ, da die<br />
Netzwerktopologie dafür nicht zwingend angepasst werden muss und die verwendeten Adressen durch<br />
die DMZ isoliert sind.<br />
2.1.5 Benutzbarkeit<br />
Im Rahmen der HA-Erweiterungen wurden auch die ersten Schritte <strong>zu</strong>r Verbesserung der Benutzbarkeit<br />
gegangen. So finden Sie die überarbeiteten Konfigurationsseiten jetzt direkt über den Punkt HA in der<br />
<strong>GeNUGate</strong>-Navigation.<br />
2.2 Neue Policy: SMTP2SMTP<br />
Bisher stand <strong>zu</strong>r sicheren Übertragung von E-Mails durch die <strong>GeNUGate</strong> nur die SMTP-Policy <strong>zu</strong>r<br />
Verfügung. Diese Konfiguration hat den Nachteil, dass eingehende E-Mails immer auf der <strong>GeNUGate</strong><br />
zwischengespeichert werden und <strong>zu</strong>r endgültigen Auslieferung an die Ziele systemweit nur eine einzige<br />
Policy konfiguriert werden konnte. Dafür agiert die <strong>GeNUGate</strong> in dieser Konfiguration als vollwertiger<br />
E-Mail-Server.<br />
Mit Version <strong>7.1</strong> gibt es <strong>zu</strong>sätzlich die SMTP2SMTP-Policy, die die wichtigsten Teile der SMTP-Policy<br />
abbildet, aber keine E-Mails auf der Firewall abspeichert. Dies wird erreicht, indem bei eingehenden<br />
Verbindungen direkt der konfigurierte Zielserver kontaktiert wird. Dann werden alle eingehenden Kommandos,<br />
wie in klassischen Proxies, direkt <strong>zu</strong>m Ziel gespiegelt. Ist die Option ” Virenscan“ aktiviert,<br />
Seite 4 von 15 RELEASE-NOTES GENUGATE <strong>7.1</strong>
2 NEUERUNGEN IN GENUGATE <strong>7.1</strong><br />
werden eingehende Daten temporär auf der <strong>GeNUGate</strong> gespeichert, gescannt und ausgeliefert, bevor<br />
dem Absender der erfolgreiche Empfang signalisiert wird.<br />
Mit den Optionen SSL-Bridging und Virenscan kann also wie bisher zentral am Perimeter eine Sicherheitsrichtlinie<br />
durchgesetzt werden, bevor E-Mails ins interne Netz passieren. Gleichzeitig ist die neue<br />
Policy aber ressourcenschonender und hat eine deutlich gesteigerte Performance. Damit eignet sie sich<br />
<strong>zu</strong>m Beispiel beim Schutz von dedizierten Anti-Spam-Appliances oder Signaturgateways in der ALG-<br />
DMZ und kann auch komplexere E-Mail-Infrastrukturen abbilden.<br />
Im Kapitel 1.4.11 ” SMTP2SMTP-Relay“ des Administrationshandbuchs finden Sie weitere Informationen.<br />
2.3 Aufteilung des Handbuchs<br />
Das bisherige <strong>GeNUGate</strong>-Handbuch wurde in drei Teile aufgeteilt:<br />
• Installationshandbuch<br />
• Administrationshandbuch<br />
• GUI-Referenz<br />
Im Installationshandbuch sind alle Informationen gebündelt, die benötigt werden, um eine Grundinstallation<br />
der <strong>GeNUGate</strong> bis <strong>zu</strong>m ersten Login vor<strong>zu</strong>nehmen. Auf der CD befindet sich dieses Handbuch im<br />
Pfad docs/install-de.pdf.<br />
Das Administrationshandbuch vermittelt Hintergrundwissen <strong>zu</strong> den verwendeten Konzepten und geht<br />
auf die genaue Konfiguration einzelner Szenarien in Anwendungsbeispielen ein. Auf der CD befindet<br />
sich dieses Handbuch im Pfad docs/admin-de.pdf.<br />
Schliesslich beinhaltet die GUI-Referenz Erläuterungen <strong>zu</strong> allen Menüpunkten im Webinterface mit<br />
Screenshots. Auf der CD befindet sich dieses Handbuch im Pfad docs/guiref-de.pdf.<br />
2.4 Anpassungen seit der Veröffentlichung von <strong>GeNUGate</strong>-Version 7.0<br />
Die folgenden Änderungen sind bereits in Patches für die <strong>GeNUGate</strong>-Version 7.0 veröffentlicht worden<br />
und damit auch im <strong>7.1</strong>-<strong>Release</strong> enthalten. An dieser Stelle finden Sie eine Übersicht, da sie in den<br />
letzten <strong>Release</strong>-<strong>Notes</strong> nicht erwähnt wurden. Viele dieser Anpassungen gehen dabei auf die CC EAL4+-<br />
Zertifizierung des 7.0-<strong>Release</strong>s <strong>zu</strong>rück.<br />
2.4.1 Systemstatus im Administratorwebinterface<br />
Die Statusübersicht für den Administrator wurde stark erweitert, vor allem, um Beeinträchtigungen im<br />
HA-Betrieb sichtbarer <strong>zu</strong> machen.<br />
• HA-Status mit Remote-Überwachung: Die einzelnen HA-Systeme fragen jetzt gegenseitig ihren<br />
Status ab und bewerten damit den HA-Status des HA-Clusters. Probleme auf einzelnen Systemen<br />
können so einfacher identifiziert werden.<br />
• NTP: Bei größeren Zeitabweichungen zwischen HA-Systemen wird der Konfigurations- und Dateiabgleich<br />
ausgesetzt. Auch dieser Zustand wird jetzt auf den Start- und Statusseiten prominent<br />
angezeigt.<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 5 von 15
2 NEUERUNGEN IN GENUGATE <strong>7.1</strong><br />
• Bootinstallskripte: Einige Teile der <strong>GeNUGate</strong>-Konfiguration, <strong>zu</strong>m Beispiel der Prozessmaster,<br />
können nur durch Bootinstallskripte angepasst werden. Damit klar wird, dass die angezeigte Konfiguration<br />
im Webinterface noch nicht aktiviert wurde, wird jetzt auf den einzelnen Seiten und in<br />
der Statusübersicht angezeigt, wenn ein Bootinstallskript aktiv ist.<br />
2.4.2 Logging<br />
Im Bereich des Loggings gab es kleine Verbesserungen in der Usability und Betriebstransparenz.<br />
• Operating Key-Warnungen entfernt: Die Warnungen, dass kein “Operating Key” gefunden werden<br />
konnte, z.B. beim Booten, wurden entfernt.<br />
• SSL-Logging: Im Accounting wird jetzt für die passenden Policies mitgeloggt, ob SSL aufgebrochen<br />
wurde und ob die Verbindungen Richtung Client oder Server verschlüsselt waren. Ausserdem<br />
wird bei angenommenen SMTP-Verbindungen (SMTP-Policy) eine Meldung in die E-Mail-Header<br />
eingefügt, wenn eine SSL-gesicherte Verbindung ( ” STARTTLS“) verwendet wurde.<br />
• Logwatch verbessert: Wiederholte Alarme durch die Logwatch-Funktionalität werden jetzt sinnvoller<br />
<strong>zu</strong>sammengefasst.<br />
2.4.3 Sonstige Sicherheitsverbesserungen<br />
Ganz generell wurden auch in verschiedenen Bereichen Sicherheitsverbesserungen durchgeführt.<br />
• ” localhost“ in /etc/hosts: Die Adresse von ” localhost“ wird direkt über die Datei /etc/hosts<br />
aufgelöst. Damit können DNS-Probleme diese Auflösung nicht mehr beeinflussen.<br />
• Behandlung <strong>zu</strong>rückgezogener SSL-Zertifikate: Herausgeber, bzw. Eigentümer von SSL-Zertifikaten<br />
können üeber Certificate Revocation Lists (CRL) kompromittierte Zertifikate <strong>zu</strong>rückziehen. Eine<br />
Reihe der wichtigen CRLs werden jetzt mit der <strong>GeNUGate</strong> ausgeliefert und die eingetragenen<br />
Zertifikate damit blockiert. Ausserdem werden im laufenden Betrieb Informationen über weitere<br />
CRL-URLs gesammelt, so dass diese bei Bedarf auch eingebunden werden können.<br />
• schwache kryptographische Algorithmen ersetzt: Die beiden Algorithmen MD5 und SHA1 wurden<br />
vorsichtshalber in allen sicherheitskritischen Bereichen durch SHA256 und SHA512 ersetzt.<br />
• Robustheit der Proxyprozesse: Der bestehende <strong>GeNUGate</strong>-Code wird jetzt noch umfassender<br />
mit statischen Codeanalyse-Werkzeugen überprüft. Ausserdem wird der smtp-gwd in einem weiter<br />
gesicherten Modus ausgeführt, um <strong>zu</strong> verhindern, dass eingehende E-Mails Auswirkungen auf<br />
den Betrieb haben können.<br />
• Fehler- und Bannermeldungen: Um <strong>zu</strong> verschleiern, dass eine <strong>GeNUGate</strong>-Firewall in Verbindungen<br />
involviert ist, wurden Referenzen auf ” <strong>GeNUGate</strong>“ und ” <strong>GeNUA</strong>“ aus Fehler- und Bannermeldungen<br />
entfernt.<br />
• IPv6-Kernelsicherheit: Durch Anpassungen am Kernel wurde die Sicherheit des IPv6-Betriebs<br />
gesteigert.<br />
Seite 6 von 15 RELEASE-NOTES GENUGATE <strong>7.1</strong>
3 Software-Updates und Verhaltensänderungen<br />
3.1 Betriebssystem<br />
4 VERWALTUNG VIA GENUCENTER<br />
• Enthaltene Patches: In dieser Version sind alle Änderungen und Patches der Version 7.0 bis<br />
einschließlich Patch 6 enthalten.<br />
• Update auf OpenBSD Version 4.9: Das Betriebssystem OpenBSD wurde mit sämtlichen Komponenten<br />
auf die Version 4.9 aktualisiert.<br />
3.2 Webcache: Squid in Version 3.1.16<br />
Der Webcache Squid wurde auf die neueste Version aktualisiert.<br />
3.3 SSH-Version 1 abgeschaltet<br />
Im Rahmen des Zertifizierungsverfahrens von <strong>GeNUGate</strong> 7.0 wurde die SSH-Version 1 aus Sicherheitsgründen<br />
komplett deaktiviert und es steht nur noch die aktuelle Version 2 <strong>zu</strong>r Verfügung. Betroffen sind<br />
davon:<br />
• Remote-Access<br />
• Adminlogin<br />
• Paniclogin<br />
Bitte aktualisieren Sie bei Bedarf Ihre verwendete Clientsoftware und Benutzern <strong>zu</strong>geordnete alte SSH-<br />
Schlüssel.<br />
3.4 Statusänderung beim Blocken von E-Mails mit der SMTP-Policy<br />
Ab Version <strong>7.1</strong> geben Regeln mit SMTP-Policy beim Blocken von E-Mails aufgrund eines RBL-Checks<br />
den permanenten Fehler ‘550’ <strong>zu</strong>rück, statt wie bisher ‘421’. Damit verhalten sich die SMTP- und<br />
SMTP2SMTP-Policies gleich.<br />
3.5 Sophos-Virenscanner: Manuelles Patternupdate nötig<br />
Wie bereits der Virenscanner von Avira, steht nach dem Update auch der von Sophos nur noch in der<br />
moderneren Streaming-Version <strong>zu</strong>r Verfügung. Deshalb muss bei Verwendung des Sophos-Virenscanners<br />
nach dem Update von 7.0 auf <strong>7.1</strong> eine manuelle Aktualisierung durchgeführt werden.<br />
Im Webinterface ist dies unter SYSTEM → VIRENSCANNER → AKTUALISIEREN möglich.<br />
4 Verwaltung via GeNUCenter<br />
<strong>GeNUGate</strong> <strong>7.1</strong> ist nicht für die Verwaltung mittels GeNUCenter vorgesehen. Die nächste Integration<br />
der <strong>GeNUGate</strong> erfolgt erst in der GeNUCenter 3-Produktlinie ab Mai 2012 mit dem dann <strong>zu</strong>r Verfügung<br />
stehenden <strong>GeNUGate</strong>-<strong>Release</strong>.<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 7 von 15
6 VOR DEM UPGRADE<br />
Bitte verwenden Sie weiterhin die <strong>GeNUGate</strong>-Version 7.0wenn Sie <strong>GeNUGate</strong> mit GeNUCenter verwalten<br />
möchten. Sie profitieren dabei von der Zertifizierung und dem längeren Produktsupport bis Oktober<br />
2014.<br />
5 Überblick über die Versionen mit Updatesupport<br />
Neben <strong>GeNUGate</strong>-Version 7.0 werden aktuell noch folgende <strong>GeNUGate</strong>-Versionen mit Korrekturen und<br />
Sicherheitsupdates versorgt:<br />
• <strong>GeNUGate</strong> 6.3: Diese Version wird als CC EAL4+ zertifizierte <strong>GeNUGate</strong>-Version noch bis Ende<br />
2012 unterstützt.<br />
• <strong>GeNUGate</strong> 7.0: Im Dezember 2011 ist mit einer Zertifizierung nach CC EAL 4+ für die Version 7.0<br />
Z <strong>zu</strong> rechnen. Dieser <strong>Release</strong> wird bis Oktober 2014 mit Sicherheitsupdates und nötigen Korrekturen<br />
versorgt.<br />
Frühere Softwareversionen werden, wie auch in unseren allgemeinen Vertragsbedingungen für die Pflege<br />
von Software beschrieben, seit dem <strong>Release</strong> von <strong>GeNUGate</strong> 7.0 nicht mehr unterstützt. Dies betrifft<br />
insbesondere auch <strong>GeNUGate</strong> Version 6.2. Bitte upgraden Sie noch aktive ältere Systeme so bald wie<br />
möglich.<br />
Bereits im April 2012 wird die nächste Version 7.2 veröffentlicht und danach ein halbjährlicher Rhythmus<br />
eingehalten. Deshalb wird <strong>GeNUGate</strong> <strong>7.1</strong> nur bis April 2013 mit Sicherheitsupdates gepflegt. Nach 7.0<br />
ist die nächste Zertifizierung mit <strong>GeNUGate</strong> 8.0 für Oktober 2013 geplant. Diese zertifizierte Version<br />
enthält dann auch wieder einen längeren Produktsupport.<br />
6 Vor dem Upgrade<br />
6.1 Systemvorausset<strong>zu</strong>ngen<br />
• Der Upgrade auf Version <strong>7.1</strong> wird von jedem Patchlevel der Version 7.0 unterstützt.<br />
• Zum Betrieb der Version <strong>7.1</strong> werden mindestens 512MB RAM im ALG und 128 MB RAM im PFL<br />
empfohlen.<br />
• Um den Upgrade erfolgreich durchführen <strong>zu</strong> können, muss ausreichend freier Festplattenspeicher<br />
auf dem ALG vorhanden sein. Die Prozedur <strong>zu</strong>r Feststellung des Plattenspeichers wird in Kapitel<br />
7.3 beschrieben.<br />
6.2 Test-Upgrade im Multi-User-Mode<br />
Um in der aktuellen Konfiguration Inkonsistenzen, die <strong>zu</strong> Problemen beim Upgrade führen, rechtzeitig<br />
erkennen und beheben können, sollte unbedingt ein ” Test-Upgrade“ des Systems durchgeführt werden.<br />
Da<strong>zu</strong> muss wie folgt vorgegangen werden:<br />
• Legen Sie im normalen Multi-User-Mode die CD in das Laufwerk Ihres Systems ein<br />
• Führen Sie als Benutzer ’root’ das Kommando ’ggupgrade’ aus<br />
Seite 8 von 15 RELEASE-NOTES GENUGATE <strong>7.1</strong>
7 INSTALLATION DES UPGRADES<br />
Im Rahmen dieses Test-Upgrades wird als Erstes die Registry des Systems konvertiert und in die Datei<br />
/etc/configfw/fw.cfg.pretty-G710 000 geschrieben ( ” human readable“). Die Registry des<br />
laufenden Systems wird jedoch nicht modifiziert. Sollte es hierbei <strong>zu</strong> Problemen kommen, werden entsprechende<br />
Hinweise ausgegeben. Probleme mit weitreichenden Konsequenzen müssen außerdem<br />
explizit bestätigt werden.<br />
Beachten Sie bitte, dass der Test-Upgrade nicht sicher feststellen kann, ob der Plattenplatz in älteren<br />
Systemen ausreicht. Die Prozedur <strong>zu</strong>r Feststellung des Plattenspeichers wird in 7.3 beschrieben.<br />
Im Anschluss an die Probekonvertierung der Registry wird ein configfw-Lauf angestoßen. Dieser<br />
stellt sicher, dass die Erzeugung der Konfigurationsdateien aus der konvertierten Registry reibungslos<br />
funktioniert. Anschliessend kann das System entweder unverändert weiterbetrieben werden, oder der<br />
eigentliche Upgrade (wie unter 7 beschrieben) durchgeführt werden.<br />
Sollten bei der Durchführung des Test-Upgrades Probleme auftreten, wenden Sie sich bitte an Ihren<br />
Service-Partner. Zusätzliche Informationen <strong>zu</strong>m Upgrade werden in den Dateien<br />
/var/gg/patches/G710 000.upgrade.log (Registry-Upgrade) und<br />
/var/gg/patches/G710 000.configfw.log abgelegt.<br />
7 Installation des Upgrades<br />
<strong>7.1</strong> Upgradepfad<br />
<strong>GeNUGate</strong>-Systeme ab der Version 7.0 können auf die Version <strong>7.1</strong> aktualisiert werden.<br />
Ein bestimmtes Patchlevel der Version 7.0 ist hierbei nicht erforderlich.<br />
7.2 Datensicherung<br />
Bei dem Upgrade auf <strong>GeNUGate</strong> <strong>7.1</strong> bleiben die Logdateien und E-Mails im Spool-Verzeichnis auf dem<br />
System erhalten.<br />
Trotzdem sollten Sie vor dem Upgrade mittels<br />
# cfgbu -s<br />
ein Backup Ihrer Konfiguration durchführen.<br />
Um ebenfalls E-Mails und Logdateien <strong>zu</strong> sichern muss ein Komplettbackup des Systems erstellt werden.<br />
Das Vorgehen hier<strong>zu</strong> ist im Handbuch, Kapitel 6.1 ” Datensicherung“, beschrieben.<br />
7.3 Minimaler freier Festplattenspeicher<br />
Um den Upgrade erfolgreich durch<strong>zu</strong>führen, muss auf den verschiedenen Partitionen der Festplatte<br />
genügend freier Speicher vorhanden sein. Insbesondere sollten die Partitionen / und /usr mehr als<br />
das Doppelte des bereits belegten Platzes als freien Speicherplatz <strong>zu</strong>r Verfügung haben. Durch Eingabe<br />
des Kommandos df -h können Sie die Belegung der Festplatte prüfen.<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 9 von 15
7 INSTALLATION DES UPGRADES<br />
admin@ggd132:˜# df -h<br />
Filesystem Size Used Avail Capacity Mounted on<br />
/dev/sd0a 126M 40.8M 78.9M 34% /<br />
/dev/sd0f 1.5G 113M 1.3G 8% /cage<br />
mfs:6239 62.9M 2.0K 59.8M 0% /tmp<br />
/dev/sd0d 502M 238M 239M 50% /usr<br />
/dev/sd0e 251M 33.5M 205M 14% /var<br />
In der Spalte ” Capacity“ wird der Füllgrad des jeweiligen Dateisystems angegeben.<br />
7.4 Durchführung des Upgrades<br />
Bitte beachten Sie:<br />
Sie benötigen <strong>zu</strong>r Durchführung des Upgrades physikalischen Zugang <strong>zu</strong>r <strong>GeNUGate</strong>, da CD-<br />
ROM und USB-Stick eingelegt bzw. gewechselt werden müssen.<br />
Legen Sie die <strong>GeNUGate</strong> <strong>7.1</strong> CD-ROM in das Laufwerk, loggen Sie sich als Benutzer ” admin“ auf das<br />
System ein und verwenden Sie das Kommando su um ” root“ <strong>zu</strong> werden.<br />
admin@ggd132:˜# su -<br />
Password:<br />
Sep 18 08:06:33 ggd132 su: admin to root on /dev/console<br />
root@ggd132:˜#<br />
Starten Sie ggupgrade, um den Upgrade <strong>zu</strong> beginnen.<br />
root@ggd132:˜# /usr/local/gg/sbin/ggupgrade<br />
Executing upgrade script from cdrom.<br />
Starting /cdrom/usr/local/gg/sbin/ggupgrade ...<br />
Vor dem Upgrade werden jetzt die Patches fuer das neue <strong>Release</strong><br />
geholt. Daher wird Ihr <strong>GeNUGate</strong> nach dem Upgrade gleich mit dem<br />
aktuellsten Patchlevel arbeiten.<br />
Before the upgrade the patches for the new release are fetched now.<br />
That way your <strong>GeNUGate</strong> will start working with the latest patchlevel<br />
right after upgrade.<br />
Get upgrade patch from cdrom ...<br />
Retrieving G710_000.tar<br />
Extracting G710_000.tar<br />
Die Patches fuer die neue Version koennen ueber das Internet von<br />
<strong>GeNUA</strong> geholt werden.<br />
The patches for the new version can be fetched from <strong>GeNUA</strong> over the<br />
internet.<br />
Patches von <strong>GeNUA</strong> (ja nein) [ja]? Patches from <strong>GeNUA</strong> (yes no) [yes]? ja<br />
Sie können bereits vor dem Neustart des Systems nach veröffentlichten Patches suchen, wenn Sie hier<br />
yes oder ja eingeben.<br />
Unter Umständen kündigt das System jetzt an, dass einige Fragen <strong>zu</strong>r Installation gestellt werden.<br />
Bestätigen Sie dies einfach mit [RETURN], das System wird die Fragen <strong>zu</strong>r Installation überspringen<br />
und mit dem Upgrade weitermachen.<br />
Seite 10 von 15 RELEASE-NOTES GENUGATE <strong>7.1</strong>
7 INSTALLATION DES UPGRADES<br />
Nun wird ein Test-Upgrade der Registry und ein testweiser Lauf von configfw durchgeführt, um heraus<strong>zu</strong>finden,<br />
ob beim Upgrade Probleme <strong>zu</strong> erwarten sind. Sollte es hierbei <strong>zu</strong> Problemen kommen,<br />
kontaktieren Sie bitte Ihren Service-Partner.<br />
Starten Sie nun das System neu.<br />
root@ggd132:˜# reboot<br />
Sep 18 08:11:42 ggd132 reboot: rebooted by admin<br />
/etc/rc.shutdown in progress...<br />
2/2 addresses added.<br />
/etc/rc.shutdown complete.<br />
syncing disks... done<br />
rebooting...<br />
Achten Sie darauf, dass das System von der eingelegten <strong>GeNUGate</strong> <strong>7.1</strong> CD-ROM bootet. Dies wird<br />
durch den Text CDBOOT 3.15 im Bootprompt bestätigt.<br />
>> OpenBSD/i386 CDBOOT 3.15<br />
boot><br />
booting cd0a:bsd.install: 5476020+1003244 [61+247792+227242]=0x6a1f18<br />
entry point at 0x200120<br />
[ using 475512 bytes of bsd ELF symbol table ]<br />
Copyright (c) 1982, 1986, 1989, 1991, 1993<br />
The Regents of the University of California. All rights reserved.<br />
Copyright (c) 1995-2011 OpenBSD. All rights reserved. http://www.OpenBSD.org<br />
OpenBSD 4.9 (ALG.install) #0: Wed Nov 9 19:14:45 CET 2011<br />
bluhm@g711.genua.de:/build/gg.71/71.D009/ALG.install<br />
cpu0: Intel(R) Xeon(R) CPU X5570 @ 2.93GHz ("GenuineIntel" 686-class) 2.94 GHz<br />
cpu0: FPU,V86,DE,PSE,TSC,MSR,PAE,MCE,CX8,APIC,SEP,MTRR,PGE,MCA,CMOV,PAT,PSE36,CFLUSH<br />
,DS,ACPI,MMX,FXSR,SSE,SSE2,SS,HTT,TM,SBF,SSE3,MWAIT,DS-CPL,VMX,EST,TM2,SSSE3,CX16,xT<br />
PR,PDCM,DCA,SSE4.1,SSE4.2,POPCNT<br />
...<br />
Nachdem der Kernel geladen ist, werden Sie von der <strong>GeNUGate</strong> <strong>7.1</strong> Installation begrüsst und müssen<br />
die Installationssprache und Tastaturbelegung auswählen. Bei der Auswahl des Installationsmodus wählen<br />
Sie upgrade.<br />
<strong>GeNUGate</strong> Installation<br />
Sprache auswaehlen.<br />
Sprache/Language (de en) [de] ? [RETURN]<br />
Belegung der an der <strong>GeNUGate</strong> angeschlossenen Tastatur auswaehlen.<br />
Tastaturbelegung (us de de.nodead ... cf.nodead lv nl nl.nodead) [de.nodead] ? [RETURN]<br />
kbd: keyboard mapping set to de.nodead<br />
Systemerkennung.<br />
Installieren, Upgrade durchfuehren oder System vom Backup restaurieren.<br />
Modus (installation upgrade restaurieren) [installation] ? upgrade<br />
Es werden nun die Festplatten geprüft, in das System eingebunden und für den Upgrade vorbereitet.<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 11 von 15
7 INSTALLATION DES UPGRADES<br />
Festplatte mounten.<br />
Boot-Festplatte festlegen.<br />
Erkenne Festplatten im System.<br />
Boot-Festplatte erfolgreich festgelegt.<br />
Alle Partition unmounten.<br />
Fstab auslesen.<br />
Dateisysteme ueberpruefen.<br />
/dev/rwd0a: file system is clean; not checking<br />
/dev/rwd0f: file system is clean; not checking<br />
/dev/rwd0d: file system is clean; not checking<br />
/dev/rwd0e: file system is clean; not checking<br />
Alle Partition mounten.<br />
Flags entfernen.<br />
<strong>GeNUGate</strong> Lizenzen.<br />
Lizenz initialisieren.<br />
Die Lizenznummer und Hardware Seriennummer Ihrer <strong>GeNUGate</strong> wird abgefragt. Die Werte aus <strong>GeNUGate</strong><br />
7.0 gelten weiterhin und Sie müssen nur [RETURN] drücken, um diese bei<strong>zu</strong>behalten.<br />
Lizenz eingeben.<br />
Der ein<strong>zu</strong>gebende Wert hat das Format 1234-PROD-ABCD-EFGH-IJKL-MNOP.<br />
Lizenz [1234-PROD-ABCD-EFGH-IJKL-MNOP] ? [RETURN]<br />
Seriennummer eingeben.<br />
Der ein<strong>zu</strong>gebende Wert hat das Format XXXXX-XX-XXXX.<br />
Seriennummer [12345-CD-89AB] ? [RETURN]<br />
Es besteht nun die Möglichkeit, Patches vom USB-Stick, vom HA-Peer oder via Netzwerk <strong>zu</strong> beziehen.<br />
Patches vom USB-Stick holen.<br />
Patches vom USB-Medium holen (ja nein) [nein] ? [RETURN]<br />
Patches vom HA-Peer holen.<br />
Patches vom HA-Netzwerk holen (ja nein) [nein] ? [RETURN]<br />
Patches von <strong>GeNUA</strong> holen.<br />
Patches vom Netzwerk holen (ja nein) [nein] ? [RETURN]<br />
Das Upgrade wird nun begonnen, die neue Software wird auf das System kopiert und die Konfiguration<br />
durchgeführt.<br />
Upgrade beginnen.<br />
Upgrade-Patch von Cdrom kopieren.<br />
Retrieving G710_000.tar<br />
Das System wird für den Upgrade vorbereitet.<br />
Using new ggpatch /var/gg/patches/ggpatch.<br />
...<br />
Am Ende des Upgrade-Vorgangs werden Sie gefragt, ob Sie die Passwörter für den Administrator ” admin“<br />
und ” root“ neu setzen wollen. Um die bestehenden Passwörter <strong>zu</strong> übernehmen, wählen Sie nein<br />
durch Drücken von [RETURN].<br />
Administrator Passwoerter setzen.<br />
Passwoerter setzen (ja nein) [nein] ? [RETURN]<br />
Seite 12 von 15 RELEASE-NOTES GENUGATE <strong>7.1</strong>
7 INSTALLATION DES UPGRADES<br />
Der Upgrade ist nun fertig. Drücken Sie [RETURN] um das System neu <strong>zu</strong> starten und entfernen Sie<br />
die CD-ROM aus dem Laufwerk.<br />
Druecken Sie <strong>zu</strong>m Neustart und entfernen Sie nach der Meldung<br />
’rebooting...’ die CDROM aus dem Laufwerk.<br />
Jetzt neu starten (neustart) [neustart] ? [RETURN]<br />
Das System startet nun die neue Software. Nach dem Laden des Kernels werden Sie aufgefordert,<br />
das ” root“ Passwort ein<strong>zu</strong>geben, da noch ein Bootinstall-Skript für die Aktualisierung des Paketfilters<br />
ausgeführt werden muss.<br />
Es wurde mindestens ein Bootinstall-Skript gefunden. Diese Skripten koennen<br />
nur vom Systemverwalter ausgeführt werden. Daher wird jetzt nach dem<br />
Passwort des Systemverwalters (root) gefragt. Wird das Passwort dreimal<br />
falsch eingegeben, kann weiter gebootet werden, ohne dass die Bootskripten<br />
ausgefuehrt wurden. Geben Sie bitte jetzt das root Passwort ein!<br />
Sie haben 60 Sekunden sich <strong>zu</strong> authentisieren!<br />
Root Passwort eingeben<br />
Password:<br />
Wählen Sie das Script aus der Liste durch die Auswahl von 1 und [RETURN]. Führen Sie es durch<br />
Eingabe von j aus.<br />
Waehlen Sie eine Liste von Bootinstall-Skripten aus, indem Sie die<br />
entsprechenden Nummern eingeben, oder alle durch Eingabe von ’*’<br />
================================================================<br />
1) /var/gg/boot/bootinst.2011.11.02-15.12.02.exe<br />
Create PFL bootmedium<br />
Auswahl (1) []: 1<br />
1) /var/gg/boot/bootinst.2011.11.02-15.12.02.exe<br />
Create PFL bootmedium<br />
Ist das ok? (j/n) [n]: j<br />
Stecken Sie den PFL-USB-Stick in einen freien USB-Slot im ALG und schreiben das PFL-Medium.<br />
Starten Sie den PFL gemäss den Anweisungen neu.<br />
Wenn Sie sich nach Beendigung des Startvorgangs auf das ALG einloggen, werden Sie mit einer Meldung<br />
begrüsst, in der die neue Versionsnummer steht.<br />
login: admin<br />
Password:<br />
Last login: Mon Nov 02 15:05:02 on console<br />
Welcome to your <strong>GeNUGate</strong> Firewall System.<br />
This system is running <strong>GeNUGate</strong> Version <strong>7.1</strong> 000 based on OpenBSD 4.9<br />
admin@ggd132:/var/home/admin$<br />
Verwenden Sie das Kommando su um ” root“ <strong>zu</strong> werden. Anschliessend führen Sie das Kommando<br />
configfw aus. Dies ist nötig, da beim Upgrade selbst keinerlei Syntax-Checks für die erzeugten Konfigurationsdateien<br />
stattfinden, um ein reibungsloses Upgrade durchführen <strong>zu</strong> können:<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 13 von 15
8 INFORMATIONEN IM WEB<br />
root@ggd132:˜# configfw<br />
zone file /cage/ALG_2_INTERN/etc/namedb/gg.de.db: new serial (2009081061)
9 So erreichen Sie uns<br />
<strong>GeNUA</strong> Gesellschaft für Netzwerk– und Unix–Administration mbH<br />
Domagkstraße 7, 85551 Kirchheim bei München<br />
Tel. (089) 99 19 50-900, Fax. (089) 99 19 50-999<br />
E-Mail: info@genua.de, WWW: http://www.genua.de/<br />
9 SO ERREICHEN SIE UNS<br />
© 2010 <strong>GeNUA</strong> mbH, Kirchheim, Alle Rechte vorbehalten. <strong>GeNUGate</strong> und <strong>GeNUA</strong> sind eingetragene<br />
Warenzeichen der <strong>GeNUA</strong> mbH.<br />
RELEASE-NOTES GENUGATE <strong>7.1</strong> Seite 15 von 15