安装/升级Checkpoint Full HA（网关和管理） 是用于安装或升级到R77.10的旧文章。记录该帖子是为了R77.30升级目的，其中包含更多详细信息，尽管所有步骤都与以前的版本几乎相同。 
1.独立的Check Point网关升级
Check Point产品升级并不那么复杂，Check Point提供了两种方法：
1.1 CPUSE（WebUI）
您将需要有效的许可证，并且网关将需要Internet访问才能连接到Check Point用户中心以更新可用的修补程序/软件包列表。您也可以导入从Check Point支持站点手动下载的软件包，然后从CPUSE / WebUI界面进行安装。

1.2 CLI
命令行也是安装Check Point Hotfix /升级包的流行方法。这是用于执行R77.30升级的命令。

2. Check Point网关群集升级
这些方法非常适合独立检查点实现。如果您的实施是群集（ClusterXL），则过程会有所不同。您将不得不考虑升级期间的停机时间。

Check Point具有SK107042来列出群集升级的所有方式：

• 最小的努力（将需要最大的停机时间）
• 零停机时间（用于断开旧连接的短停机时间）
• 最佳服务升级（停机时间极短，可删除旧连接）
• 连接升级（无停机时间，无连接断开）
• 全面连接升级（R75GA之后不支持）

升级方式实际上，即使您阅读了所有这些文档，也可能仍然使我困惑。哪个最适合此升级？

Check Point解释了这些方法的一些情况：

高效且省时的升级，但失去一些连接

• 简单升级（带停机时间） –如果您有一段时间允许网络停机，请选择此选项。此方法最简单，因为每个群集成员都被升级为独立的网关。
• 零停机时间 –如果您没有网络停机时间，并且需要以最少的掉线连接数量快速完成升级，请选择此选项。在这种类型的升级期间，始终至少有一个活动成员来处理流量。运行不同Check Point软件版本的群集成员之间的连接不同步。
  注意 –当集群成员升级到新版本时，在运行旧版本的集群成员上启动的连接将被丢弃。但是，网络连接在升级过程中仍然可用，并且升级的群集成员上启动的连接不会丢失。

升级确保最小的连接丢失

• 最佳服务升级（OSU） –如果最关注安全性，请选择此选项。在这种类型的升级过程中，两个群集成员处理网络流量。升级过程中启动的连接会一直持续到升级。在升级后，删除在升级之前启动的最小连接数。
• 连接升级（CU） –如果需要将Security Gateway或VSX群集升级到任何版本，并保证连接故障转移，请选择此选项。升级之前启动的连接将与​​升级的安全网关和群集成员同步，因此不会丢失任何连接。

根据我的经验，零停机时间通常适用于大多数情况。如果不需要停机，则连接升级将是唯一的选择。

无论采用哪种方式，备份始终都是您必须要做的第一件事。升级过程中发生意外故障时，快照或备份都将为您提供帮助。

快照

后备

这是我正在从R77.10升级到R77.30的集群的步骤。
2.1查找并下载Check Point升级包 升级向导

您将下载升级包 Check_Point_R77.30_T204.Gaia.tgz，其大小约为1.5G。

2.2将图像上传到Check Point网关

您可能需要使用命令将用户cli shell从Clish更改为Bash，因此您可以使用sftp将这个1.5G大小的文件上传到安装文件夹中。

要将其改回，可以从专家模式使用以下命令：

将用户CLI Shell更改为bash之后，您将能够使用sf​​tp软件（例如WinSCP）上载它。

2.3安装上传的软件包

控制台输出以重新引导：

登录到网关以验证已安装的软件包。

2.4 Check Point Mgmt服务器更改

2.4.1将网关版本更改为R77.30

2.4.2安装策略，清除选项“对于在所有成员上安装网关集群，如果失败，则根本不要安装”

由于将在活动但未升级的网关（R77.10）上安装失败，因此将成功安装到升级的网关（R77.30），并显示一些警告通知。您可以放心地忽略它。

2.5将另一个群集成员从R77.10升级到R77.30
在左侧的R77.10网关上，可以执行cpstop将活动角色故障转移到新的R77.30网关，然后在2.4上执行相同的步骤，将R77.10升级到r77.30。

在将第二个网关升级到R77.30之后，您可以再次推送策略，但是这次您将不会收到有关策略推送状态的警告通知。

2.6 Verify 状态

参考：

• sk107042 – ClusterXL升级方法和路径
• CP_R77_Gaia_Installation_and_Upgrade_Guide
• 安装/升级Checkpoint Full HA（网关和管理）