利用 Cisco Secure Firewall 迁移工具将 Check Point 防火墙迁移到 Cisco Secure Firewall Threat Defense

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

利用 Cisco Secure Firewall 迁移工具将 Check Point 防火墙迁移到 Cisco Secure Firewall Threat Defense

Chapter Title

排除迁移问题

Results

已更新:
2022年11月2日

Chapter: 排除迁移问题

排除迁移问题

关于防火墙迁移工具的故障排除

在 Check Point 配置文件上传或将已迁移的配置推送到 管理中心 时，迁移通常会失败。

Check Point 配置迁移过程失败的一些常见情况如下：

  • Check Point Config.zip 中文件缺失。

  • 防火墙迁移工具在 Check Point Cofig.zip 中检测到无效文件

  • 如果 Check Point 配置文件是除 .zip 以外的任何压缩文件类型。

防火墙迁移工具支持捆绑包

防火墙迁移工具提供下载支持捆绑包的选项，以提取重要的故障排除信息，例如日志文件、数据库和配置文件。请执行以下操作：

  1. 在完成迁移 (Complete Migration) 屏幕上，点击支持 (Support) 按钮。

    系统将显示“帮助”支持页面。

  2. 选中支持捆绑包复选框，然后选择要下载的配置文件。


    注
    默认情况下，系统已选择要下载的日志和 dB 文件。

  3. 点击下载 (Download)。

    支持捆绑包文件以 .zip 格式下载到您的本地路径。解压缩 Zip 文件夹以查看日志文件、DB 和配置文件。

  4. 点击给我们发送邮件 (Email us)，通过电子邮件将故障详细信息发送给技术团队。

    您还可以将下载的支持文件附加到电子邮件中。

  5. 点击访问 TAC 页面 (Visit TAC page)，在思科支持页面上创建 TAC 支持请求。


    注
    您可以在迁移过程中随时从支持页面提交 TAC 支持请求。

用于排除故障的日志和其他文件

可在以下文件中找到有助于识别和排除问题的信息。

文件 位置

日志文件

<migration_tool_folder>\logs

迁移前报告

<migration_tool_folder>\resources

迁移后报告

<migration_tool_folder>\resources

未解析文件

<migration_tool_folder>\resources

Check Point 文件上传失败故障排除

如果 Check Point 配置文件上传失败，这通常是因为防火墙迁移工具无法解析文件中的一行或多行。

可在以下位置找到导致上传和解析失败的错误的相关信息：

  • 未解析文件 - 查看文件末尾部分，确定已成功解析的 Check Point 配置文件中最后被忽略的行。

  • 意外文件 - 检测到的 Check Point 文件无效。例如，使用 Mac 操作系统压缩时会创建 Mac 系统文件。删除 Mac 文件。

  • （仅适用于 r75-r77.30）命名不正确的文件 - 没有为 Check Point 正确命名安全策略和 NAT 策略文件。正确重命名 ACL 和 NAT 文件。

  • 缺少文件 - Check Point config.zip 文件中缺少某些文件。添加所需的文件。


    注

    对于 r77，手动提取缺失的配置文件。有关详细信息，请参阅导出 Check Point r77 配置文件。

    对于 r80，使用 Live Connect 为防火墙迁移工具提取正确的配置文件。有关详细信息，请参阅导出 Check Point r80 配置文件。

Check Point 故障排除示例：找不到对象组的成员（仅限 r75–r77.30）

在本示例中，由于一个元素的配置出错，Check Point 配置文件上传和解析失败。

过程

步骤 1

查看错误消息以确定问题。

此失败生成以下错误消息：

位置 错误消息

防火墙迁移工具消息

Check Point 配置文件解析出错。

有关解析错误，请参阅迁移前报告的错误部分；有关推送阶段发生的推送错误，请参阅迁移后报告。

日志文件

[ERROR | objectGroupRules] > "ERROR, SERVICE_GROUP_RULE not applied for port-group object [services_epacity_nt_abc] as CheckPoint object [ica] does not exist in <service> table;"

[INFO | objectGroupRules] > "Parsing object-group service:[services_gvxs06]"

[INFO | objectGroupRules] > "Parsing object-group service:[services_iphigenia]"

[INFO | objectGroupRules] > "Parsing object-group service:[Services_KPN_ISP]"
步骤 2

打开 Check Point services.xml 文件。

步骤 3

搜索名称为 services_gvxs06 的对象组。
步骤 4

使用智能控制板创建对象组的缺失成员。
步骤 5

再次导出配置文件。有关详细信息，请参阅导出 Check Point 配置文件。

步骤 6

如果没有其他错误，将新 Check Point 配置 zip 文件上传到防火墙迁移工具并继续执行迁移。

Live Connect 的 Check Point (r80) 故障排除示例

示例 1：在 Check Point 安全管理器上请求详细信息。

在本示例中，防火墙迁移工具请求了 Check Point 安全管理器的详细信息。

查看错误消息以确定问题。此失败生成以下错误消息：

位置 错误消息

防火墙迁移工具消息

筛选请求以提供 Check Point 安全管理器的详细信息。

日志文件

[ERROR | connect_cp] > "Unable to extract the Extracted-objects.json file due to credentials with insufficient privileges, time-out issues and so on. 有关详细信息，请参阅防火墙迁移工具用户指南。

127.0.0.1 - - [20/Jul/2020 17:20:43] "POST /api/CP/connect HTTP/1.1" 500 -

凭证不正确。按照上述步骤预先配置凭证。用于 Check Point 安全管理器的 Check Point Gaia 上使用的凭证必须有 /bin/bash shell 配置文件。必须为具有正常部署的“超级用户”权限的 Check Point 安全管理器在 Check Point 智能控制台应用上部署相同的凭证。如果使用了多域部署，则权限必须是“超级用户”。有关更多信息，请参阅使用 Live Connect 预先配置 Check Point (r80) 设备以进行配置提取。

示例 2：错误的文件格式

在本例中，防火墙迁移工具迁移因文件格式错误而被阻止。

查看错误消息以确定问题。此失败生成以下错误消息：

位置 错误消息

防火墙迁移工具消息

已阻止

日志文件

[ERROR | cp_device_connection] > "Bad file format"

2020-07-20 17:10:57,347 [ERROR | connect_cp] > "Unable to download .tar file."

127.0.0.1 - - [20/Jul/2020 17:10:57] "GET /api/CP/generate_tar_file?package=Standard HTTP/1.1" 500 -

凭证不正确。按照上述步骤预先配置凭证。用于 Check Point 安全管理器的 Check Point Gaia 上使用的凭证必须有 /bin/bash shell 配置文件。必须为具有“超级用户”权限的 Check Point 安全管理器在 Check Point 智能控制台应用上部署相同的凭证。如果使用了多域部署，则必须授予“超级用户”权限。有关更多信息，请参阅使用 Live Connect 预先配置 Check Point (r80) 设备以进行配置提取。

示例 3：被阻止的 VSX 功能在 FTD 中不受支持

在本示例中，由于 FTD 中的 VSX 功能被阻止，防火墙迁移工具迁移失败。

查看错误消息以确定问题。此失败生成以下错误消息：

位置 错误消息

防火墙迁移工具消息

被阻止的 VSX 功能在 FTD 中不受支持。

日志文件

[ERROR | config_upload] > "VSX Feature is UNSUPPORTED in FTD"

Traceback (most recent call last)

问题描述 – 之所以出现该错误是因为从 Check Point r80.40 开始弃用了 fw vsx stat 命令。

解决方法是执行以下步骤：

  1. 解压缩 config.zip 文件。

  2. 打开 networking.txt 文件。

    以下是样本输出的示例：

    firewall> fw vsx stat
Deprecated command, Please see sk144112 for alternative 
Deprecated commands: cphaprob cpinfo cplic fw ips raidconfig fwaccel

    按照如下步骤手动进行更换：

    firewall> fw vsx stat 
VSX is not supported on this platform

  3. 选择所有文件并以 .zip 扩展名将它们压缩。

此文档是否有帮助?

Feedback反馈

联系我们