Vận hành ClearPass qua CLI (appadmin)

Ghi chú đọc tài liệu, không phải kết quả thử trên hệ thật. Nguồn chính: ClearPass Policy Manager 6.10.x CLI Reference Guide của HPE (rev.01, 09/2021). Mỗi ý có chú thích số trang ở cuối bài; đoạn nào chưa kiểm chứng được thì ghi rõ.

Shell appadmin của ClearPass Policy Manager không phải CLI kiểu router: nó là một tập lệnh vận hành hẹp, trong đó vài lệnh xoá sạch cấu hình mà tên gọi không hề gợi ý điều đó. Ghi chú này chỉ giữ phần đáng nhớ: trình tự backup → vá → rollback → nâng cấp, các mặc định gây mất dữ liệu, và bảng lệnh phá huỷ.

Toàn bộ danh mục lệnh đầy đủ cố ý không chép vào đây — tra thẳng ở CLI Reference Guide chính xác hơn và không bị lỗi thời theo bản.

Chuẩn bị

• Tài khoản appadmin trên node cần thao tác. Một số lệnh chỉ chạy được trên publisher (cluster set-cluster-passwd, cluster set-standby-publisher, cluster sync-cluster-passwd)¹.
• Phiên console dự phòng cho mọi lệnh đụng mạng hoặc partition — xem bảng phá huỷ bên dưới.
• Bản backup để ngoài máy chủ đích. Đây không phải lời khuyên chung chung: system factory-reset xoá luôn cả các backup đang lưu trên chính server đó¹.

Các bước

1. Backup trước mọi thao tác

backup [-f <tên-file>] [-c] [-l] [-r] [-w] [-P] — không truyền tham số thì hệ tự đặt tên file và backup cấu hình¹.

Cờ	Lấy gì
-c	dữ liệu cấu hình
-l	dữ liệu session log
-r	dữ liệu Insight
-w	chỉ bản ghi một tuần gần nhất của log database
-P	không đưa các trường mật khẩu trong DB cấu hình vào bản backup

-P đáng chú ý khi bản backup sẽ rời khỏi vùng kiểm soát (gửi cho đối tác, đưa lên kho chung): mặc định bản backup có chứa trường mật khẩu.

2. Vá (patch update)

system update -i <nguồn> cài patch; -f cài lại khi lần đầu lỗi; system update -l liệt kê các patch đã cài¹. Nguồn nhận SCP, HTTPS, HTTP hoặc file đã tải lên máy.

3. Nâng cấp (upgrade)

system upgrade <nguồn> [-w] [-l] [-L]¹:

Cờ	Bản ghi Access Tracker sau nâng cấp
-w	phục hồi một tuần gần nhất
-l	phục hồi toàn bộ của bản hiện tại
-L	không backup và không phục hồi
(không cờ)	có backup nhưng KHÔNG phục hồi

Mặc định là cái bẫy: không khai cờ thì bản ghi Access Tracker vẫn được backup nhưng không được đưa trở lại¹ — sau nâng cấp mở Access Tracker sẽ thấy trống trơn và dễ tưởng là mất dữ liệu.

Nâng cấp offline: tải file từ Aruba Support Center → Administration → Agents and Software Updates → Software Updates → Import Updates → rồi mới chạy system upgrade <đường-dẫn-cục-bộ> trong CLI¹.

4. Ảnh boot và hai partition

system boot-image -l liệt kê các image đã cài kèm chỉ số và dấu [Active]; system boot-image -a <chỉ-số> đặt image hoạt động — phải khởi động lại thì mới chạy image mới¹.

5. Lệnh cụm thường dùng

• cluster list — liệt kê node, chế độ giao tiếp (IPv4/IPv6), trạng thái HA, standby publisher và failover wait time¹.
• cluster make-subscriber -i <IP> với -b bỏ qua backup publisher, -l phục hồi log database cục bộ, -V bỏ kiểm chứng chỉ publisher¹.
• cluster drop-subscriber [-f] [-i <IP>] -s — -f ép bỏ cả node đang chết, -s chặn việc reset database trên node bị bỏ. Không nêu -i thì node hiện tại tự rời cụm nếu nó là subscriber¹.
• cluster set-standby-publisher -i <IP> -t <phút> — failover wait time mặc định 10 phút, cố ý để standby không giành quyền khi publisher chỉ đang khởi động lại¹.
• cluster diagnostics dùng cổng 7432, đo cả thời gian kết nối database và thời gian gọi API HTTPS tới publisher¹.
• cluster make-publisher và cluster make-subscriber: không đóng shell, không ngắt lệnh giữa chừng¹.

6. Khoá tài khoản SSH

ssh lockout count <n> | duration <N phút> | mode <basic|advanced> | reset¹:

• Mặc định tắt; ra lệnh count hoặc duration chính là hành động bật.
• count mặc định 5 lần sai, nhận giá trị 1–1000.
• Theo từng node — cụm nhiều node phải cấu hình trên mọi node.
• Cấu hình và trạng thái khoá sống sót qua reboot, update và upgrade; cluster reset-database không động tới tính năng này.
• Trong thời gian khoá: đăng nhập console vẫn vào được, SSH bằng public key vẫn vào được, chỉ SSH bằng mật khẩu bị chặn. Tiếp tục thử sai thì mốc mở khoá bị đẩy lùi tính từ lần thất bại cuối.
• Sự kiện khoá/mở khoá/đăng nhập thất bại đều vào Event Viewer.

Chưa kiểm chứng. Tài liệu tự mâu thuẫn ở đây: phần tham số ghi count mặc định là 5, nhưng đoạn mô tả hành vi ngay phía trên lại viết tài khoản bị khoá sau ba lần sai liên tiếp. Chưa xác minh được bên nào đúng — kiểm bằng show ssh trên hệ thật trước khi dựa vào con số này.

7. Dịch vụ

service <action> <service-name> với action list | start | stop | restart | status¹. service list in ra toàn bộ tên dịch vụ thật (cpass-radius-server, cpass-tacacs-server, cpass-policy-server, cpass-radsec, cpass-dbwrite-server, cpass-domain-server@<tên-miền>, cpg-background…), nên khi cần đúng tên thì chạy service list chứ không chép từ tài liệu¹.

Kiểm tra

• show version — phiên bản phần mềm và model phần cứng¹.
• system update -l — danh sách patch đã cài kèm ngày cài và mô tả cumulative patch¹.
• system boot-image -l — image nào đang [Active]¹.
• cluster list — node, HA, standby publisher¹.
• cluster diagnostics -c <IP> / -s — throughput, MTU đang cấu hình, độ trễ ping, và hai phép kiểm [OK]: kết nối database tới publisher và kết nối HTTPS tới host¹.
• show ssh — cấu hình khoá tài khoản SSH¹.

Quay lui

system patch-rollback đưa hệ về bản cài ngay trước đó, dành cho tình huống phát hiện lỗi ở production sau khi vá¹. Các giới hạn phải biết trước khi trông cậy vào nó:

• Chỉ hỗ trợ từ Policy Manager 6.7 trở lên.
• Chỉ lùi một cumulative patch gần nhất trong cùng major version. Cài theo thứ tự 6.x.0 → 6.x.1 → 6.x.2 thì rollback đưa về thời điểm ngay trước khi cài 6.x.2.
• Cài 6.x.3 đè lên 6.x.0 thì chỉ lùi được về 6.x.0, không lùi về 6.x.2 — vì 6.x.0 mới là bản đã cài trước đó.
• Không dùng được để lùi qua major version sau khi đã upgrade.
• Muốn lùi từ 6.10.x về 6.10.0 thì phải tải và cài gói 6.10.0_source-rollback-package trước từ trang Software Updates.
• Rollback xoá luôn các thay đổi cấu hình và database được thực hiện ở bước post-installation của lần vá đó.
• Xong phải khởi động lại.

Nhiều hotfix nằm trong một cumulative patch thì lùi được từng cái một tới đúng hotfix cần¹.

Bảng lệnh phá dữ liệu

Nhóm này nguy hiểm vì tên lệnh không nói lên hậu quả:

Lệnh	Hậu quả thật
configure fips-mode <0|1>	Xoá sạch cấu hình Policy Manager, đưa database về mặc định, tắt mọi ứng dụng rồi reboot. Bật hay tắt FIPS đều vậy1
cluster reset-database	Xoá cấu hình, đưa database cục bộ về mặc định1
system factory-reset	Về mặc định nhà máy: mất dữ liệu, mất license trên partition hiện tại, mất cả backup đang lưu trên server. Chỉ có trên appliance vật lý, không có trên máy ảo, không có trên AWS/Azure1
system install-image	Cài image mới lên partition thứ hai: dữ liệu ở partition đó bị xoá, license không được mang theo, sau reboot phải khai lại toàn bộ tham số từ màn hình bootstrap. Chỉ trên appliance vật lý1
system cleanup <số-ngày>	Xoá log hệ thống/ứng dụng, bản ghi xác thực cũ, bản ghi audit, tài khoản khách hết hạn, các backup tự động và thủ công cũ, báo cáo đã lưu — và cảnh báo trên màn hình còn liệt kê cả endpoints1
system morph-vm <model>	Morph máy ảo lên size lớn hơn ở 6.7+ xoá toàn bộ license (cấu hình thì giữ); phải nhờ TAC kích hoạt lại. Cần tắt máy, gắn thêm đĩa, chỉnh CPU/RAM khớp model đích trước khi chạy1
system refresh-network · configure mtu	Có thể mất kết nối mạng và phải đăng nhập lại; refresh-network còn cần reboot mới có hiệu lực. Giữ sẵn console1
system reset-server-certificate	Reset chứng chỉ HTTPS (RSA/ECC), RADIUS/EAP hoặc Database — chọn 0 là reset cả ba nhóm; dịch vụ tự khởi động lại1
cluster set-communication-mode <ipv4|ipv6>	Đổi định dạng địa chỉ cho mọi giao tiếp cụm; tài liệu yêu cầu reset chứng chỉ trên tất cả node và reboot từng node, nếu không cụm sẽ mất đồng bộ1
system update-luks-key	Đặt passphrase LUKS (tối thiểu 8 ký tự) thay cho key mặc định. Sau đó mỗi lần reboot hoặc mở phiên mới đều phải nhập tay — hết khả năng khởi động lại không người trực1

Khi chạy trên đám mây thì thiếu lệnh gì

CLI Reference Guide đã ghi system factory-reset và system install-image không có trên nền đám mây; một nguồn khác xác nhận đúng điều đó cho Azure, kèm vài khác biệt vận hành khác: không sửa được IP/subnet/gateway của cổng quản trị và cổng dữ liệu, ẩn thiết lập SPAN port, chân trang web có chỉ báo [Cloud], tab Virtual IP vẫn nhập được nhưng không có tác dụng, và không hỗ trợ Common Criteria mode².

Lệnh chạm bảo mật, không phá dữ liệu

• system admin-password-reset đưa mật khẩu admin của Web UI về giá trị mặc định của hãng (ghi chú này không chép chuỗi mặc định — tra ở tài liệu gốc). system apps-access-reset gỡ các hạn chế truy cập ứng dụng¹.
• system gen-recovery-key và system gen-support-key sinh token để kỹ sư hỗ trợ đăng nhập bằng tài khoản đặc quyền arubasupport; system start-rasession mở phiên Remote Assistance có thời hạn (tối đa 12 giờ), kiểm bằng system status-rasession và đóng bằng system terminate-rasession¹. Đây là đường vào đặc quyền hợp lệ — nên nằm trong quy trình kiểm soát chứ không chỉ trong tài liệu vận hành.
• system create-api-client <Client_ID> <Client_Secret> tạo API client ngay từ CLI, thay cho thao tác trên giao diện mô tả ở Tích hợp hệ thống ngoài qua API¹.
• dump logs khi đặt lịch thu log sẽ cho dịch vụ chạy ở chế độ DEBUG, thu xong mới trả về mức log mặc định¹ — đặt lịch rồi quên là tự tạo tải và tự đầy đĩa.
• system export-endpoints-csv xuất endpoint kèm chi tiết profile ra file zip tải được ở Administration → Server Manager → Local Shared Folders. Ngược lại, import file zip chứa CSV endpoint không được hỗ trợ qua cả CLI lẫn giao diện; xuất/nhập bằng XML với số lượng rất lớn (>250K) thì hiệu năng kém, giao diện có thể treo và báo hết bộ nhớ¹.
• configure hostname: hostname có dấu chấm bị hiểu là FQDN, nên phần trước dấu chấm đầu tiên phải là duy nhất giữa các thiết bị¹.

Chưa kiểm chứng. Nguồn là CLI Reference Guide bản 6.10.x (rev.01, 09/2021). Tên lệnh và cờ đổi theo bản — kiểm lại ở tài liệu đúng phiên bản đang chạy trước khi thao tác trên production. Ghi chú này không chép mật khẩu, token hay secret xuất hiện trong ví dụ của tài liệu.

Liên quan

• ClearPass Access Tracker
• Tích hợp hệ thống ngoài qua API — system create-api-client

Nguồn

Footnotes

1. ClearPass Policy Manager 6.10.x CLI Reference Guide (rev.01, 09/2021), tr. PDF 3–9, 18, 21, 38–39, 47–51, 61–80 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶ ↩¹⁷ ↩¹⁸ ↩¹⁹ ↩²⁰ ↩²¹ ↩²² ↩²³ ↩²⁴ ↩²⁵ ↩²⁶ ↩²⁷ ↩²⁸ ↩²⁹ ↩³⁰ ↩³¹ ↩³² ↩³³ ↩³⁴ ↩³⁵ ↩³⁶ ↩³⁷ ↩³⁸ ↩³⁹ ↩⁴⁰ ↩⁴¹

2. ClearPass Microsoft Azure Integration — Part 1 (slide cộng đồng, 2021), tr. PDF 21 ↩