7. ছোট ব্যবসার জন্য NGFW. কর্মক্ষমতা এবং সাধারণ সুপারিশ

নতুন প্রজন্মের এসএমবি চেক পয়েন্ট (1500 সিরিজ) সম্পর্কে নিবন্ধগুলির সিরিজ সম্পূর্ণ করার সময় এসেছে। আমরা আশা করি এটি আপনার জন্য একটি পুরস্কৃত অভিজ্ঞতা ছিল এবং আপনি টিএস সলিউশন ব্লগে আমাদের সাথে থাকবেন। চূড়ান্ত নিবন্ধের বিষয়টি ব্যাপকভাবে কভার করা হয়নি, তবে কম গুরুত্বপূর্ণ নয় - SMB পারফরম্যান্স টিউনিং। এতে আমরা NGFW-এর হার্ডওয়্যার এবং সফ্টওয়্যারের কনফিগারেশন বিকল্পগুলি নিয়ে আলোচনা করব, উপলব্ধ কমান্ড এবং মিথস্ক্রিয়া পদ্ধতিগুলি বর্ণনা করব।

ছোট ব্যবসার জন্য NGFW সম্পর্কে সিরিজের সমস্ত নিবন্ধ:

1. নতুন চেকপয়েন্ট 1500 নিরাপত্তা গেটওয়ে লাইন

2. আনবক্সিং এবং সেটআপ

3. ওয়্যারলেস ডেটা ট্রান্সমিশন: ওয়াইফাই এবং এলটিই

4. ভিপিএন

5. ক্লাউড এসএমপি ব্যবস্থাপনা

6. স্মার্ট-১ ক্লাউড

বর্তমানে, কারণে SMB সমাধানের জন্য কর্মক্ষমতা টিউনিং সম্পর্কে তথ্যের অনেক উত্স নেই বিধিনিষেধ অভ্যন্তরীণ OS - Gaia 80.20 এমবেডেড। আমাদের নিবন্ধে আমরা কেন্দ্রীভূত ব্যবস্থাপনা (ডেডিকেটেড ম্যানেজমেন্ট সার্ভার) সহ একটি লেআউট ব্যবহার করব - এটি আপনাকে NGFW এর সাথে কাজ করার সময় আরও সরঞ্জাম ব্যবহার করার অনুমতি দেয়।

হার্ডওয়্যার অংশ

চেক পয়েন্ট এসএমবি ফ্যামিলি আর্কিটেকচার স্পর্শ করার আগে, আপনি সর্বদা আপনার সঙ্গীকে ইউটিলিটি ব্যবহার করতে বলতে পারেন অ্যাপ্লায়েন্স সাইজিং টুল, নির্দিষ্ট বৈশিষ্ট্য (থ্রুপুট, ব্যবহারকারীর প্রত্যাশিত সংখ্যা, ইত্যাদি) অনুযায়ী সর্বোত্তম সমাধান নির্বাচন করতে।

আপনার NGFW হার্ডওয়্যারের সাথে ইন্টারঅ্যাক্ট করার সময় গুরুত্বপূর্ণ নোট

1. এসএমবি পরিবারের এনজিএফডাব্লু সলিউশনগুলিতে সিস্টেমের উপাদানগুলি (সিপিইউ, র‌্যাম, এইচডিডি) হার্ডওয়্যার আপগ্রেড করার ক্ষমতা নেই; মডেলের উপর নির্ভর করে, এসডি কার্ডগুলির জন্য সমর্থন রয়েছে, এটি আপনাকে ডিস্কের ক্ষমতা প্রসারিত করতে দেয়, তবে উল্লেখযোগ্যভাবে নয়।

2. নেটওয়ার্ক ইন্টারফেসের অপারেশন নিয়ন্ত্রণ প্রয়োজন। Gaia 80.20 এমবেডেডের অনেকগুলি পর্যবেক্ষণের সরঞ্জাম নেই, তবে আপনি সর্বদা বিশেষজ্ঞ মোডের মাধ্যমে CLI-তে সুপরিচিত কমান্ড ব্যবহার করতে পারেন 

   # আমিfconfig

   

   আন্ডারলাইন করা লাইনগুলিতে মনোযোগ দিন, তারা আপনাকে ইন্টারফেসে ত্রুটির সংখ্যা অনুমান করার অনুমতি দেবে। আপনার NGFW এর প্রাথমিক বাস্তবায়নের সময়, সেইসাথে অপারেশন চলাকালীন সময়ে সময়ে এই পরামিতিগুলি পরীক্ষা করার জন্য অত্যন্ত সুপারিশ করা হয়।

3. একটি পূর্ণাঙ্গ গাইয়ার জন্য একটি আদেশ রয়েছে:

   > ডায়াগ দেখান

   এর সাহায্যে হার্ডওয়্যারের তাপমাত্রা সম্পর্কে তথ্য পাওয়া সম্ভব। দুর্ভাগ্যবশত, এই বিকল্পটি 80.20 এমবেডেড-এ উপলব্ধ নয়; আমরা সবচেয়ে জনপ্রিয় SNMP ফাঁদগুলি নির্দেশ করব:

   নাম 

   বিবরণ

   ইন্টারফেস সংযোগ বিচ্ছিন্ন

   ইন্টারফেস নিষ্ক্রিয় করা হচ্ছে

   VLAN সরানো হয়েছে

   Vlans অপসারণ

   উচ্চ মেমরি ব্যবহার

   উচ্চ RAM ব্যবহার

   ডিস্কে পর্যাপ্ত স্তান নেই

   পর্যাপ্ত HDD স্থান নেই

   উচ্চ CPU ব্যবহার

   উচ্চ CPU ব্যবহার

   উচ্চ CPU বিঘ্নিত হার

   উচ্চ বাধা হার

   উচ্চ সংযোগ হার

   নতুন সংযোগের উচ্চ প্রবাহ

   উচ্চ সমসাময়িক সংযোগ

   উচ্চ পর্যায়ের প্রতিযোগিতামূলক সেশন

   উচ্চ ফায়ারওয়াল থ্রুপুট

   উচ্চ থ্রুপুট ফায়ারওয়াল

   উচ্চ গৃহীত প্যাকেট হার

   উচ্চ প্যাকেট অভ্যর্থনা হার

   ক্লাস্টার সদস্য রাষ্ট্র পরিবর্তিত হয়েছে

   ক্লাস্টার অবস্থা পরিবর্তন

   লগ সার্ভার ত্রুটির সাথে সংযোগ

   লগ-সার্ভারের সাথে সংযোগ হারিয়েছে

4. আপনার গেটওয়ের অপারেশনের জন্য RAM মনিটরিং প্রয়োজন। গাইয়া (লিনাক্সের মতো ওএস) কাজ করার জন্য, এটি স্বাভাবিক অবস্থাযখন RAM খরচ 70-80% ব্যবহারে পৌঁছায়।

   SMB সমাধানগুলির আর্কিটেকচার পুরানো চেক পয়েন্ট মডেলের বিপরীতে SWAP মেমরি ব্যবহারের জন্য প্রদান করে না। তবে, লিনাক্স সিস্টেম ফাইলগুলিতে এটি লক্ষ্য করা গেছে , যা SWAP প্যারামিটার পরিবর্তন করার তাত্ত্বিক সম্ভাবনা নির্দেশ করে।

সফটওয়্যার অংশ

নিবন্ধ প্রকাশের সময় আসল গাইয়া সংস্করণ - 80.20.10। আপনাকে জানতে হবে যে CLI-তে কাজ করার সময় সীমাবদ্ধতা রয়েছে: কিছু লিনাক্স কমান্ড বিশেষজ্ঞ মোডে সমর্থিত। NGFW-এর কর্মক্ষমতা মূল্যায়নের জন্য ডেমন এবং পরিষেবাগুলির কর্মক্ষমতা মূল্যায়ন করা প্রয়োজন, এই সম্পর্কে আরও বিশদ বিবরণ পাওয়া যাবে প্রবন্ধ আমার সহকর্মী. আমরা SMB এর জন্য সম্ভাব্য কমান্ড দেখব।

Gaia OS এর সাথে কাজ করা

1. SecureXL টেমপ্লেট ব্রাউজ করুন

   #fwaccelstat

   

2. মূল দ্বারা বুট দেখুন

   # fw ctl multik stat

   

3. সেশনের সংখ্যা দেখুন (সংযোগ)।

   # fw ctl pstat

   

4. * ক্লাস্টার অবস্থা দেখুন

   #cphaprob স্ট্যাটাস

   

5. ক্লাসিক লিনাক্স টপ কমান্ড

লগিং

আপনি ইতিমধ্যেই জানেন, NGFW লগ (স্টোরেজ, প্রসেসিং): স্থানীয়ভাবে, কেন্দ্রীয়ভাবে এবং ক্লাউডে কাজ করার তিনটি উপায় আছে। শেষ দুটি বিকল্প একটি সত্তার উপস্থিতি বোঝায় - ম্যানেজমেন্ট সার্ভার।

সম্ভাব্য NGFW নিয়ন্ত্রণ স্কিম

সবচেয়ে মূল্যবান লগ ফাইল

1. সিস্টেম বার্তা (সম্পূর্ণ Gaia থেকে কম তথ্য রয়েছে)

   # tail -f /var/log/messages2

   

2. ব্লেডের অপারেশনে ত্রুটি বার্তা (সমস্যা সমাধান করার সময় বেশ দরকারী ফাইল)

   # টেল -f /var/log/log/sfwd.elg

   

3. সিস্টেম কার্নেল স্তরে বাফার থেকে বার্তা দেখুন।

   #dmesg

   

ব্লেড কনফিগারেশন

এই বিভাগে আপনার NGFW চেক পয়েন্ট সেট আপ করার জন্য সম্পূর্ণ নির্দেশাবলী থাকবে না; এতে শুধুমাত্র অভিজ্ঞতা দ্বারা নির্বাচিত আমাদের সুপারিশ রয়েছে।

অ্যাপ্লিকেশন নিয়ন্ত্রণ / URL ফিল্টারিং

• নিয়মে যেকোন, যেকোন (উৎস, গন্তব্য) শর্ত এড়ানোর পরামর্শ দেওয়া হয়।

• একটি কাস্টম URL রিসোর্স নির্দিষ্ট করার সময়, এটি নিয়মিত এক্সপ্রেশন ব্যবহার করা আরও কার্যকর হবে যেমন: (^|..)checkpoint.com

• নিয়ম লগিং এর অত্যধিক ব্যবহার এড়িয়ে চলুন এবং ব্লক করা পৃষ্ঠার প্রদর্শন (UserCheck)।

• প্রযুক্তি সঠিকভাবে কাজ করে তা নিশ্চিত করুন "সিকিউরএক্সএল". অধিকাংশ ট্রাফিক মাধ্যমে যেতে হবে ত্বরিত/মাঝারি পথ. এছাড়াও, সর্বাধিক ব্যবহৃত (ক্ষেত্র) দ্বারা নিয়মগুলি ফিল্টার করতে ভুলবেন না হিট ).

HTTPS-পরিদর্শন

এটি কোন গোপন বিষয় নয় যে 70-80% ব্যবহারকারীর ট্র্যাফিক আসে HTTPS সংযোগ থেকে, যার মানে এটির জন্য আপনার গেটওয়ে প্রসেসর থেকে সংস্থান প্রয়োজন। এছাড়াও, এইচটিটিপিএস-ইন্সপেকশন আইপিএস, অ্যান্টিভাইরাস, অ্যান্টিবটের কাজে অংশগ্রহণ করে।

সংস্করণ 80.40 থেকে শুরু করে সেখানে ছিল সুযোগ লিগ্যাসি ড্যাশবোর্ড ছাড়াই HTTPS নিয়মের সাথে কাজ করতে, এখানে কিছু প্রস্তাবিত নিয়ম আদেশ রয়েছে:

• ঠিকানা এবং নেটওয়ার্কের একটি গ্রুপের জন্য বাইপাস (গন্তব্য)।

• ইউআরএলগুলির একটি গ্রুপের জন্য বাইপাস।

• অভ্যন্তরীণ আইপি এবং সুবিধাপ্রাপ্ত অ্যাক্সেস সহ নেটওয়ার্কগুলির জন্য বাইপাস (উৎস)।

• প্রয়োজনীয় নেটওয়ার্ক, ব্যবহারকারীদের জন্য পরিদর্শন করুন

• অন্য সবার জন্য বাইপাস।

* ম্যানুয়ালি HTTPS বা HTTPS প্রক্সি পরিষেবাগুলি নির্বাচন করা এবং যে কোনও ছেড়ে দেওয়া সর্বদা ভাল। পরিদর্শন নিয়ম অনুযায়ী ঘটনা লগ.

আইপিএস

IPS ব্লেড আপনার NGFW-তে নীতি ইনস্টল করতে ব্যর্থ হতে পারে যদি অনেক বেশি স্বাক্ষর ব্যবহার করা হয়। অনুসারে প্রবন্ধ চেক পয়েন্ট থেকে, SMB ডিভাইস আর্কিটেকচার সম্পূর্ণ প্রস্তাবিত IPS কনফিগারেশন প্রোফাইল চালানোর জন্য ডিজাইন করা হয়নি।

সমস্যা সমাধান বা প্রতিরোধ করতে, এই পদক্ষেপগুলি অনুসরণ করুন:

1. "অপ্টিমাইজড এসএমবি" (বা আপনার পছন্দের অন্য একটি) নামে অপ্টিমাইজ করা প্রোফাইল ক্লোন করুন।

2. প্রোফাইল এডিট করুন, IPS → Pre R80.Settings বিভাগে যান এবং সার্ভার সুরক্ষা বন্ধ করুন।

   

3. আপনার বিবেচনার ভিত্তিতে, আপনি 2010 এর থেকে পুরানো CVE নিষ্ক্রিয় করতে পারেন, এই দুর্বলতাগুলি খুব কমই ছোট অফিসে পাওয়া যেতে পারে, কিন্তু কার্যক্ষমতা প্রভাবিত করে। তাদের কিছু অক্ষম করতে, প্রোফাইল→আইপিএস→অতিরিক্ত সক্রিয়করণ→সুরক্ষা তালিকা নিষ্ক্রিয় করতে যান

   

পরিবর্তে একটি উপসংহারের

এসএমবি পরিবারের (1500) নতুন প্রজন্মের এনজিএফডব্লিউ সম্পর্কে ধারাবাহিক নিবন্ধের অংশ হিসাবে, আমরা সমাধানের প্রধান ক্ষমতাগুলি হাইলাইট করার চেষ্টা করেছি এবং নির্দিষ্ট উদাহরণ ব্যবহার করে গুরুত্বপূর্ণ সুরক্ষা উপাদানগুলির কনফিগারেশন প্রদর্শন করেছি। আমরা মন্তব্যে পণ্য সম্পর্কে কোনো প্রশ্নের উত্তর দিতে খুশি হবে. আমরা আপনার সাথে থাকি, আপনার মনোযোগের জন্য আপনাকে ধন্যবাদ!

টিএস সলিউশন থেকে চেক পয়েন্টে উপকরণের বড় নির্বাচন. নতুন প্রকাশনা মিস না করার জন্য, আমাদের সামাজিক নেটওয়ার্কগুলিতে আপডেটগুলি অনুসরণ করুন (Telegram, ফেসবুক, VK, টিএস সমাধান ব্লগ, ইয়ানডেক্স জেন).

উত্স: www.habr.com