Checkpoint Endpoint FDE R73 简明安装手册@WD.doc

Checkpoint Endpoint Full Disk Encryption R73 v7.4.8 简明安装手册WD 为便捷地掌握Checkpoint Endpoint R73 Full Disk Encryption（以下简称FDE）的安装过程、配置注意事项以及需要的网络安装环境而做此手册。首先感谢原版本的作者，此版本是基于原网络上流传的R73的安装版本的基础上修改而成，澄清了部分原版本步骤不甚明确之处。第一次做手册,若有不到之处，多多见谅。另请参考官方文档 CP_ES_Full_Disk_Encryption_EW_7.4_AdminGuide.pdf, CP_ES_Full_Disk_Encryption_EW_7.4_InstallGuide.pdf。 FDE 的框架结构环境要求- 安装可在域环境中或非域环境中进行。有域环境只是为了方便设定文件夹共享而已。- 支持的操作系统中文版(英文版均可):Windows server 2008，winddows 2003，Windows Server 2000系统硬件单CPU,2G内存，4G交换空间， - Server的Fremwork必须为.NET2.0以上版本 R73 v7.4.8已经无需.NET2 的支持- 准备安装软件：Check_Point_R73_server_for_Windows.isoCheck_Point_R73_client_for_Windows.isoCheck_Point_Endpoint_Security_Full_Disk_Encryption_EW_ed_7.4.8FDE Master Server服务器安装首先将需安装FDE Master Server的服务器加入本地域点击更改按钮，在隶属于下面的单选框中选择域，在域的文本框内属于本地域名，（注意这时的DNS需要使用本地的DNS服务器）输入域管理员帐号与密码，点确定按钮，重启服务器，使用域管理员权限登录服务器。安装Check_Point_R73_server_for_Windows将Check_Point_R73_server_for_Windows.iso光盘插入FDE 服务器的光驱，自动运行选择高级安装，点击下一步选择FDE Master Installation，点击下一步点击插入按钮，插入license文件创建管理员帐号及密码，可以通过密码方式、动态令牌、智能卡的方式，同时由于产品的安全性考虑，必须要建立2个管理员帐号。这里我们选择密码方式，输入密码，点击下一步，再建立第二个管理员，建立管理员帐号和密码，帐号和密码不能和第一个管理原帐号重复。点击下一步。选择你要安装的驱动程序，一般这些驱动windows默认都有，因此可以不选择。点击下一步选择需要加密的磁盘和引导区，系统盘的引导区默认加密的，其他分区的引导区及磁盘是可选的，(对于FDE MasterServer 来说，个人认为加密是没有必要的。)选择好后点击下一步设置指定账户访问网络共享目录，目前使用域环境不需要进行设置，直接进行下一步License Server 共享文件夹的设置和License Server password 设置。这个password 就是和后面安装的License Server 进行客户端license activation 所需要的，二者必须匹配，非常重要。(Master Server - license server password or Upgrade Validation Password <-> License Server password)安装完成点击Finish点击Yes重新启动计算机（重启后FDE即会进行引导保护设置，计算机的启动画面会有不一样的信息。）然后会出现FDE的登录界面，如下图输入前面安装是设置的管理员帐号，有两个帐号，随便哪个都可以，点击确定. 可以在这里进行密码的更改，并查看登录的日志记录。如果没有必要请单击继续按钮进入windows系统使用域管理员权限登录系统这时我们可以看到在开始菜单程序checkpointEndpoint Security下面有一些组件，我们选择Management Console进入使用安装是设置的管理员帐号和密码登录，2个管理员帐号随便哪个都可以，检验服务器是否安装成功。登录后弹出如上界面说明FDE MasterServer安装成功。大规模部署FDE客户端时，一般采用在FDE MasterServer中创建模板profile，将profile打包到自动生成的静默安装包中，客户端直接静默安装包的方式进行。创建一个新的配置选择remote，点击右边new configuration set的框中的蓝色链接new set设置新配置的名称，复选框如果勾选的话则自动生成配置文件夹，使用自动配置，点击下一步（注意路径必须输入网络路径 <- 因为客户端静默安装包都要用网络路径来进行）。系统会在共享目录下再创建6个文件夹，这6个文件的功能分别是：存放客户端安装包文件install、存放profile storage文件、存放更新的update profiles、存放升级文件upgrade、存放log文件、存放磁盘恢复recovery文件。点击finish完成配置，并对各路径进行检查。有遗漏的添加上。下面对Local进行基本配置，为以后创建Profile 做好准备。<- 必须的点击install菜单，在右边的框中查看upgrade、update、recovery、log的路径是否正确，必须为网络路径。如果不正确则需要双击修改到正确为止。修改 Update Validation Password. 必须和安装License Server 时设定的password一致。建立普通用户组和用户帐号UserGroup ，user1。 并设定user1密码。(但是为了大规模部署时 的简便，人性化，我们可以创建一个临时帐号，所有用户都可以第一次使用相同的临时帐号登录，登录后系统会让用户重新建立一个自己的帐号密码，以后用户就可以用自己的帐号和密码登录。)设定user1 的Remote Help： Receive "Remote Password Change"= YesReceive "One-Time Logon"= Yes在license菜单的右边双击product serials number选项，检查一下license是否正确。以上全部设置完成后点击SAVE保存配置。好啦，可以创建新的profile 了。在Remote -> Set -> Profile 下点右键，创建New Profile创建new profile 名称和保护密码。勾选base on local settings点击save，报错。必须的。错误信息为认证错误以及磁盘加密方式无定义。首先解决用户认证错误。右击用户名 -> Name and Authentication -> 输入password 。 有几个用户就修改几个用户，包含Admin 和 user。再来设定全磁盘加密设定。System Settings ->Install ->Select Volume Protection ->勾选第一个选项即可 （all disk volumes）Ok, 可以保存创建的profile1了。可以到共享目录下确认下。根据profile创建客户端安装包加载Check_Point_R73_client_for_Windows.iso，运行setup。输入profile1.isp 网络路径， 并勾选Full Disk Encryption.选择语言和安装包生成后的存放目录(建议放在共享文件夹的install目录下)，点击Create开始创建客户端安装包文件。客户端部署有多种安装方式可以采用：可以将生成的安装包通过移动介质copy到本地客户端机双击进行安装可以通过服务器的共享目录下载安装也可以通过域脚本制作组策略的方式自动安装。整个安装过程为静默方式，无需用户动手。安装完成后重启计算机就成功了客户端软件安装好后，会在共享文件夹recovery下，生成对应机器名的recovery file. 注意保存此文件。这个是唯一可以解密客户机器的钥匙。客户端license激活画面。这个需要过一段时间才能激活。具体时间似乎为0-360分钟。客户端恢复客户端加密后，如果需要解密，需要配合在加密时生成的唯一recovery file 以及生成一个启动u盘. 图示上可以看到，在recovery 文件夹下有2个recovery file，每个都和一台机器对应。要解密某机器，首先在Master Server上插入u盘，然后在Master Server 里找到对应机器的recovery file,双击。提示输入管理员帐号密码。输入RecoveryFile的网络全程路径。在select device 里找到u盘的盘符。点击ok。Master Server 开始将此u盘格式化为一个解密启动u盘。将制作好的解密启动u盘插入到对应的机器上，启动机器，按照提示输入管理员帐号密码，再选择recovery all 即可。全盘解密开始。解密速度很慢。估计是加密速度的1/4 或更低。License ServerLicense Server直接下一步就License server 截图 客户端与License Server 保持认证激活的密码。需保持2端的密码一致。此处查看客户端license激活情况过期的用户，可以deactivation。FDE客户端使用FAQ问：客户端安装后无加密过程是什么情况造成的？答：是客户端的Recovery文件没有上传到服务器共享文件夹上，请将PC连接到网络并确保和服务器通讯正常。如果以上传仍然无法加密，那可能是操作系统的问题，需要检查操作系统。问：我把FDE的登录密码忘记了怎么办？答：使用Remotehelp工具，具体使用方法请参见Full Disk Encryption 用户使用手册。问：FDE console无法运行，是什么原因？答：可能是Pointsec的服务没有启动，需要进入服务工具把这个服务启动起来。问：我的系统崩溃了怎么办？答：使用Recovery文件创建启动盘，使用该盘将磁盘先进行解密再重新安装系统。问：我的硬盘出现坏道导致系统也无法启动，怎么办？答：如果硬盘损毁不严重可以利用Dynamic_Mount_Utility工具，将加密磁盘连接到安装了Dynamic_Mount_Utility工具的PC，通过该工具解密然后将重要的数据Copy出来。问：如果windows的密码变更了，还能进行单点登陆吗？答：可以，如果windows的密码变更了，变更后的第一次需要在FDE和windows的界面各输入一次密码，以后就只需要在FDE登录界面输入一次密码即可问：我的电脑以后都不需要加密了，需要解密如何正常解密？答：需要管理员来卸载该客户端软件，卸载前会先解密，解密后自动进行卸载。问：我的PC正在加密，会对我的正常工作造成影响吗？答：不会，您可以正常工作，因为FDE客户端软件的进程优先级设置为最低，如果你运行其他程序，会优先其他程序的运行，可以放心使用。