চেক পয়েন্ট: CPU এবং RAM অপ্টিমাইজেশান

ওহে সহকর্মীরা! আজ আমি অনেক চেক পয়েন্ট অ্যাডমিনিস্ট্রেটরের জন্য একটি খুব প্রাসঙ্গিক বিষয় নিয়ে আলোচনা করতে চাই, "CPU এবং RAM অপ্টিমাইজেশান"। একটি গেটওয়ে এবং/অথবা ম্যানেজমেন্ট সার্ভারের জন্য এই সম্পদগুলির অনেকগুলি অপ্রত্যাশিতভাবে গ্রাস করা অস্বাভাবিক নয়, এবং কেউ বুঝতে চায় যে তারা কোথায় "লিক" করে এবং, যদি সম্ভব হয়, সেগুলি আরও দক্ষতার সাথে ব্যবহার করুন।

1. বিশ্লেষণ

প্রসেসর লোড বিশ্লেষণ করতে, নিম্নলিখিত কমান্ডগুলি ব্যবহার করা দরকারী, যা বিশেষজ্ঞ মোডে প্রবেশ করা হয়েছে:

শীর্ষ সমস্ত প্রসেস দেখায়, সিপিইউ এবং র‌্যাম রিসোর্সের পরিমাণ শতাংশ, আপটাইম, প্রক্রিয়া অগ্রাধিকার এবং অন্যান্য বাস্তব সময়েи

cpwd_admin তালিকা চেক পয়েন্ট ওয়াচডগ ডেমন, যা সমস্ত অ্যাপলাইন মডিউল, তাদের পিআইডি, স্থিতি এবং রানের সংখ্যা দেখায়

cpstat -f cpu os CPU ব্যবহার, তাদের সংখ্যা এবং শতাংশে প্রসেসরের সময় বন্টন

cpstat -f মেমরি ওএস ভার্চুয়াল RAM এর ব্যবহার, কতটা সক্রিয়, ফ্রি RAM এবং আরও অনেক কিছু

সঠিক মন্তব্য হল যে সমস্ত cpstat কমান্ড ইউটিলিটি ব্যবহার করে দেখা যেতে পারে cpview. এটি করার জন্য, আপনাকে SSH সেশনের যেকোনো মোড থেকে cpview কমান্ডটি প্রবেশ করতে হবে।

ps auxwf সমস্ত প্রক্রিয়ার একটি দীর্ঘ তালিকা, তাদের আইডি, দখলকৃত ভার্চুয়াল মেমরি এবং RAM, CPU-তে মেমরি

কমান্ডের আরেকটি পরিবর্তন:

ps-aF সবচেয়ে ব্যয়বহুল প্রক্রিয়া দেখান

fw ctl অ্যাফিনিটি -l -a ফায়ারওয়ালের বিভিন্ন দৃষ্টান্তের জন্য কোর বিতরণ, অর্থাৎ কোরএক্সএল প্রযুক্তি

fw ctl pstat RAM বিশ্লেষণ এবং সংযোগ, কুকিজ, NAT এর সাধারণ সূচক

মুক্ত এম RAM বাফার

দলটি বিশেষ মনোযোগের দাবি রাখে। netsat এবং এর বৈচিত্র। উদাহরণ স্বরূপ, নেটস্ট্যাট -i ক্লিপবোর্ড নিরীক্ষণের সমস্যা সমাধানে সাহায্য করতে পারে। প্যারামিটার, এই কমান্ডের আউটপুটে RX ড্রপড প্যাকেটগুলি (RX-DRP) অবৈধ প্রোটোকল ড্রপের (IPv6, খারাপ / অনিচ্ছাকৃত VLAN ট্যাগ এবং অন্যান্য) কারণে নিজেই বৃদ্ধি পেতে থাকে। যাইহোক, যদি অন্য কারণে ড্রপ হয়, তাহলে আপনার এটি ব্যবহার করা উচিত নিবন্ধকেন এই নেটওয়ার্ক ইন্টারফেস প্যাকেট ড্রপ করছে তদন্ত শুরু করতে। কারণ জেনে অ্যাপলাইনের অপারেশনও অপ্টিমাইজ করা যায়।

যদি মনিটরিং ব্লেড সক্ষম করা থাকে, আপনি একটি বস্তুতে ক্লিক করে এবং ডিভাইস এবং লাইসেন্স তথ্য নির্বাচন করে SmartConsole-এ গ্রাফিকভাবে এই মেট্রিকগুলি দেখতে পারেন।

এটি একটি চলমান ভিত্তিতে মনিটরিং ব্লেড সক্রিয় করার সুপারিশ করা হয় না, কিন্তু এটি একটি পরীক্ষার জন্য একটি দিনের জন্য বেশ সম্ভব।

তদুপরি, আপনি নিরীক্ষণের জন্য আরও পরামিতি যুক্ত করতে পারেন, তাদের মধ্যে একটি খুব দরকারী - বাইট থ্রুপুট (অ্যাপলাইন ব্যান্ডউইথ)।

যদি অন্য কিছু মনিটরিং সিস্টেম থাকে, উদাহরণস্বরূপ, বিনামূল্যে Zabbix, যা SNMP ভিত্তিক, এটি এই সমস্যাগুলি সনাক্ত করার জন্যও উপযুক্ত।

2. সময়ের সাথে RAM "লিক" হয়

প্রায়শই প্রশ্ন ওঠে যে সময়ের সাথে সাথে, গেটওয়ে বা ম্যানেজমেন্ট সার্ভার আরও বেশি র‌্যাম গ্রহণ করতে শুরু করে। আমি আপনাকে আশ্বস্ত করতে চাই: এটি লিনাক্সের মতো সিস্টেমের জন্য একটি সাধারণ গল্প।

কমান্ড আউটপুট খুঁজছেন মুক্ত এম и cpstat -f মেমরি ওএস বিশেষজ্ঞ মোড থেকে অ্যাপলাইনে, আপনি RAM সম্পর্কিত সমস্ত পরামিতি গণনা করতে এবং দেখতে পারেন।

এই মুহূর্তে গেটওয়েতে উপলব্ধ মেমরির উপর ভিত্তি করে অব্যবহৃত মেমরি + বাফার মেমরি + ক্যাশে মেমরি = +-1.5 জিবি, সাধারণত.

যেমন SR বলেছেন, সময়ের সাথে সাথে গেটওয়ে/ম্যানেজমেন্ট সার্ভারটি অপ্টিমাইজ হয়ে যায় এবং আরও বেশি মেমরি ব্যবহার করে, প্রায় 80% পর্যন্ত ব্যবহার করে এবং বন্ধ হয়ে যায়। আপনি ডিভাইসটি পুনরায় বুট করতে পারেন এবং তারপর সূচকটি পুনরায় সেট করা হবে। 1.5 গিগাবাইট ফ্রি র‍্যাম অবশ্যই গেটওয়ের সমস্ত কাজ সম্পাদন করার জন্য যথেষ্ট, এবং ব্যবস্থাপনা খুব কমই এই ধরনের থ্রেশহোল্ড মানগুলিতে পৌঁছায়।

এছাড়াও, উল্লিখিত কমান্ডগুলির আউটপুট দেখাবে আপনার কতটা আছে কম মেমরি (ইউজার স্পেসে RAM) এবং উচ্চ স্মৃতি (কার্নেল স্পেসে RAM) ব্যবহার করা হয়েছে।

কার্নেল প্রসেস (সক্রিয় মডিউল যেমন চেক পয়েন্ট কার্নেল মডিউল সহ) শুধুমাত্র কম মেমরি ব্যবহার করে। যাইহোক, ব্যবহারকারীর প্রক্রিয়াগুলি নিম্ন এবং উচ্চ উভয় মেমরি ব্যবহার করতে পারে। তাছাড়া, লো মেমরি প্রায় সমান সকল স্মৃতি.

লগগুলিতে ত্রুটি থাকলেই আপনার চিন্তা করা উচিত "OOM (মেমরির বাইরে) কারণে মেমরি পুনরুদ্ধার করতে মডিউলগুলি রিবুট বা প্রসেসগুলিকে হত্যা করা হচ্ছে". তারপর আপনার গেটওয়ে রিবুট করা উচিত এবং রিবুট সাহায্য না করলে সহায়তার সাথে যোগাযোগ করুন।

একটি সম্পূর্ণ বিবরণ পাওয়া যাবে sk99547 и sk99593.

3. অপ্টিমাইজেশান

নীচে CPU এবং RAM অপ্টিমাইজেশান সম্পর্কে প্রশ্ন এবং উত্তর আছে। আপনার নিজের কাছে তাদের সততার সাথে উত্তর দেওয়া উচিত এবং সুপারিশগুলি শোনা উচিত।

3.1। আপলাইনটি কি সঠিকভাবে বেছে নেওয়া হয়েছে? একটি পাইলট প্রকল্প ছিল?

উপযুক্ত আকার সত্ত্বেও, নেটওয়ার্কটি সহজভাবে বৃদ্ধি পেতে পারে এবং এই সরঞ্জামগুলি কেবল লোডের সাথে মানিয়ে নিতে পারে না। দ্বিতীয় বিকল্প, যদি এমন কোন আকার না থাকে।

3.2। HTTPS পরিদর্শন সক্ষম আছে? যদি তাই হয়, প্রযুক্তিটি কি সর্বোত্তম অনুশীলন অনুসারে কনফিগার করা হয়েছে?

নির্দেশ করে নিবন্ধআপনি যদি আমাদের ক্লায়েন্ট হন, বা sk108202.

HTTPS পরিদর্শন নীতিতে নিয়মের ক্রম HTTPS সাইট খোলার অপ্টিমাইজ করার ক্ষেত্রে অত্যন্ত গুরুত্বপূর্ণ।

নিয়মের প্রস্তাবিত ক্রম:

1. বিভাগ/ইউআরএল সহ নিয়মগুলি বাইপাস করুন
2. বিভাগ/URL দিয়ে নিয়ম পরিদর্শন করুন
3. অন্যান্য সমস্ত বিভাগের জন্য নিয়ম পরিদর্শন করুন

ফায়ারওয়াল নীতির সাথে সাদৃশ্য অনুসারে, চেক পয়েন্ট উপরের থেকে নীচের দিকে একটি প্যাকেটের মিলের সন্ধান করে, তাই বাইপাস নিয়মগুলি সবচেয়ে উপরে রাখা হয়, যেহেতু এই প্যাকেটটি এড়িয়ে যাওয়ার প্রয়োজন হলে গেটওয়ে সমস্ত নিয়মের মাধ্যমে চলার সময় সম্পদ নষ্ট করবে না।

3.3 ঠিকানা-পরিসীমা বস্তু ব্যবহার করা হয়?

নেটওয়ার্ক 192.168.0.0-192.168.5.0-এর মতো অ্যাড্রেসের পরিসর সহ অবজেক্টগুলি 5টি নেটওয়ার্ক অবজেক্টের থেকে উল্লেখযোগ্যভাবে বেশি RAM খরচ করে। সাধারণভাবে, SmartConsole-এ অব্যবহৃত বস্তুগুলি মুছে ফেলার জন্য এটি ভাল অনুশীলন হিসাবে বিবেচিত হয়, যেহেতু প্রতিবার একটি নীতি সেট করা হয়, গেটওয়ে এবং ম্যানেজমেন্ট সার্ভার সম্পদ ব্যয় করে এবং, সবচেয়ে গুরুত্বপূর্ণভাবে, নীতিটি যাচাই এবং প্রয়োগ করার সময়।

3.4। কিভাবে হুমকি প্রতিরোধ নীতি কনফিগার করা হয়?

প্রথমত, চেক পয়েন্ট আইপিএসকে একটি পৃথক প্রোফাইলে সরানোর এবং এই ব্লেডের জন্য পৃথক নিয়ম তৈরি করার পরামর্শ দেয়।

উদাহরণস্বরূপ, একজন প্রশাসক মনে করেন যে একটি DMZ সেগমেন্ট শুধুমাত্র আইপিএস দিয়ে সুরক্ষিত করা উচিত। অতএব, গেটওয়ে যাতে অন্যান্য ব্লেড দ্বারা প্যাকেট প্রক্রিয়াকরণে সম্পদ নষ্ট না করে, তার জন্য বিশেষভাবে এই অংশের জন্য একটি প্রোফাইলের সাথে একটি নিয়ম তৈরি করা প্রয়োজন যেখানে শুধুমাত্র IPS সক্ষম।

প্রোফাইল সেট আপ করার বিষয়ে, এটি সেরা অনুশীলন অনুযায়ী এটি সেট আপ করার সুপারিশ করা হয় দলিল(পৃষ্ঠা 17-20)।

3.5। আইপিএস সেটিংসে ডিটেক্ট মোডে কয়টি স্বাক্ষর?

অব্যবহৃত স্বাক্ষরগুলি অক্ষম করা উচিত এই অর্থে স্বাক্ষরগুলিতে কঠোর পরিশ্রম করার পরামর্শ দেওয়া হয় (উদাহরণস্বরূপ, অ্যাডোব পণ্যগুলির পরিচালনার জন্য স্বাক্ষরগুলির জন্য প্রচুর কম্পিউটিং শক্তির প্রয়োজন হয়, এবং যদি গ্রাহকের কাছে এই জাতীয় পণ্য না থাকে তবে এটি নিষ্ক্রিয় করা বোধগম্য হয়। স্বাক্ষর)। তারপরে যেখানে সম্ভব ডিটেক্টের পরিবর্তে Prevent রাখুন, কারণ গেটওয়ে ডিটেক্ট মোডে সম্পূর্ণ সংযোগ প্রক্রিয়াকরণের জন্য সম্পদ ব্যয় করে, প্রতিরোধ মোডে এটি অবিলম্বে সংযোগটি ফেলে দেয় এবং প্যাকেটের সম্পূর্ণ প্রক্রিয়াকরণে সম্পদ নষ্ট করে না।

3.6। থ্রেট এমুলেশন, থ্রেট এক্সট্রাকশন, অ্যান্টি-ভাইরাস ব্লেড দ্বারা কোন ফাইলগুলি প্রক্রিয়া করা হয়?

আপনার ব্যবহারকারীরা যে এক্সটেনশন ফাইলগুলি ডাউনলোড করেন না বা আপনি আপনার নেটওয়ার্কে অপ্রয়োজনীয় বলে মনে করেন সেগুলিকে অনুকরণ এবং বিশ্লেষণ করার কোন মানে হয় না (উদাহরণস্বরূপ, ব্যাট, exe ফাইলগুলি ফায়ারওয়াল স্তরে সামগ্রী সচেতনতা ব্লেড ব্যবহার করে সহজেই ব্লক করা যেতে পারে, তাই গেটওয়ে সংস্থানগুলি হবে কম খরচ)। তদুপরি, থ্রেট এমুলেশন সেটিংসে, আপনি স্যান্ডবক্সে হুমকি অনুকরণ করতে পরিবেশ (অপারেটিং সিস্টেম) নির্বাচন করতে পারেন এবং এনভায়রনমেন্ট উইন্ডোজ 7 ইনস্টল করতে পারেন যখন সমস্ত ব্যবহারকারী 10 তম সংস্করণের সাথে কাজ করছেন, এটিও অর্থপূর্ণ নয়।

3.7। ফায়ারওয়াল এবং অ্যাপ্লিকেশন স্তরের নিয়মগুলি কি সর্বোত্তম অনুশীলন অনুসারে স্থাপন করা হয়েছে?

যদি একটি নিয়মে প্রচুর হিট (ম্যাচ) থাকে, তবে সেগুলিকে একেবারে শীর্ষে রাখার পরামর্শ দেওয়া হয় এবং অল্প সংখ্যক হিট সহ নিয়ম - একেবারে নীচে। প্রধান জিনিসটি নিশ্চিত করা যে তারা ছেদ করে না এবং একে অপরকে ওভারল্যাপ করে না। প্রস্তাবিত ফায়ারওয়াল নীতি আর্কিটেকচার:

ব্যাখ্যা:

প্রথম নিয়ম - সর্বাধিক ম্যাচের নিয়মগুলি এখানে স্থাপন করা হয়েছে
গোলমালের নিয়ম - NetBIOS-এর মতো জাল ট্র্যাফিক ড্রপ করার জন্য একটি নিয়ম৷
স্টিলথ বিধি - গেটওয়ে বিধিতে প্রমাণীকরণে নির্দিষ্ট করা সেই উত্সগুলি ব্যতীত সকলের জন্য গেটওয়েতে অ্যাক্সেস এবং পরিচালনার নিষেধাজ্ঞা
ক্লিন-আপ, লাস্ট এবং ড্রপ বিধিগুলিকে সাধারণত একটি নিয়মে একত্রিত করা হয় যা আগে অনুমোদিত ছিল না তা নিষিদ্ধ করার জন্য

সর্বোত্তম অনুশীলন ডেটা বর্ণনা করা হয়েছে sk106597.

3.8। প্রশাসকদের দ্বারা তৈরি পরিষেবাগুলির জন্য সেটিংস কি?

উদাহরণস্বরূপ, একটি নির্দিষ্ট পোর্টে কিছু TCP পরিষেবা তৈরি করা হচ্ছে, এবং পরিষেবার উন্নত সেটিংসে "যেকোনোর জন্য ম্যাচ" আনচেক করা বোধগম্য। এই ক্ষেত্রে, এই পরিষেবাটি বিশেষভাবে সেই নিয়মের অধীনে পড়বে যেখানে এটি প্রদর্শিত হবে এবং পরিষেবা কলামে যেকোনও নিয়মগুলিতে অংশগ্রহণ করবে না৷

পরিষেবাগুলির কথা বলতে গেলে, এটি উল্লেখ করার মতো যে কখনও কখনও টাইমআউটগুলি পরিবর্তন করা প্রয়োজন। এই সেটিং আপনাকে গেটওয়ে সংস্থানগুলিকে আরও বুদ্ধিমত্তার সাথে ব্যবহার করার অনুমতি দেবে, যাতে প্রোটোকলগুলির জন্য অতিরিক্ত TCP/UDP সেশনের সময় না রাখা যায় যেগুলির জন্য একটি বড় টাইমআউটের প্রয়োজন নেই৷ উদাহরণস্বরূপ, নীচের স্ক্রিনশটে, আমি ডোমেইন-উডিপি পরিষেবার সময়সীমা 40 সেকেন্ড থেকে 30 সেকেন্ডে পরিবর্তন করেছি।

3.9। SecureXL ব্যবহার করা হয় এবং ত্বরণের শতাংশ কত?

আপনি গেটওয়েতে বিশেষজ্ঞ মোডে প্রধান কমান্ড দিয়ে SecureXL-এর গুণমান পরীক্ষা করতে পারেন fwaccel স্ট্যাট и fw accelstats -s. এর পরে, আপনাকে কী ধরণের ট্র্যাফিক ত্বরান্বিত করছে তা বের করতে হবে, আপনি কী টেমপ্লেট (টেমপ্লেট) আরও তৈরি করতে পারেন।

ডিফল্টরূপে, ড্রপ টেমপ্লেটগুলি সক্ষম করা হয় না, সেগুলিকে সক্ষম করা SecureXL এর অপারেশনে ইতিবাচক প্রভাব ফেলবে৷ এটি করতে, গেটওয়ে সেটিংস এবং অপ্টিমাইজেশন ট্যাবে যান:

এছাড়াও, একটি ক্লাস্টারের সাথে কাজ করার সময়, CPU-কে অপ্টিমাইজ করার জন্য, আপনি UDP DNS, ICMP এবং অন্যান্যের মতো অ-গুরুত্বপূর্ণ পরিষেবাগুলির সিঙ্ক্রোনাইজেশন অক্ষম করতে পারেন। এটি করার জন্য, পরিষেবা সেটিংসে যান → অ্যাডভান্সড → সিঙ্ক্রোনাইজ কানেকশন অফ স্টেট সিঙ্ক্রোনাইজেশন ক্লাস্টারে সক্রিয় করা হয়েছে।

সমস্ত সর্বোত্তম অভ্যাস বর্ণনা করা হয়েছে sk98348.

3.10। কিভাবে CoreXl ব্যবহার করা হয়?

CoreXL প্রযুক্তি, যা আপনাকে ফায়ারওয়াল দৃষ্টান্তের (ফায়ারওয়াল মডিউল) জন্য একাধিক CPU ব্যবহার করতে দেয়, অবশ্যই ডিভাইসের কর্মক্ষমতা অপ্টিমাইজ করতে সাহায্য করে। প্রথম দল fw ctl অ্যাফিনিটি -l -a ব্যবহৃত ফায়ারওয়াল দৃষ্টান্ত এবং প্রয়োজনীয় SND (একটি মডিউল যা ফায়ারওয়াল সত্তায় ট্রাফিক বিতরণ করে) দেওয়া প্রসেসরগুলি দেখাবে। যদি সমস্ত প্রসেসর জড়িত না থাকে তবে সেগুলি কমান্ডের সাথে যুক্ত করা যেতে পারে cpconfig গেটওয়ে এ
এছাড়াও একটি ভালো গল্প দিতে হয় হটফিক্স মাল্টি-কিউ সক্ষম করতে। মাল্টি-কিউ সমস্যা সমাধান করে যখন SND সহ প্রসেসর অনেক শতাংশ ব্যবহার করা হয় এবং অন্যান্য প্রসেসরের ফায়ারওয়াল ইনস্ট্যান্স নিষ্ক্রিয় থাকে। তারপর SND একটি NIC-এর জন্য অনেক সারি তৈরি করতে এবং কার্নেল স্তরে বিভিন্ন ট্র্যাফিকের জন্য বিভিন্ন অগ্রাধিকার সেট করতে সক্ষম হবে। ফলস্বরূপ, CPU কোরগুলি আরও বুদ্ধিমানের সাথে ব্যবহার করা হবে। পদ্ধতিগুলিও বর্ণনা করা হয়েছে sk98348.

উপসংহারে, আমি বলতে চাই যে এগুলি চেক পয়েন্ট অপ্টিমাইজ করার জন্য সমস্ত সেরা অনুশীলন থেকে অনেক দূরে, তবে সবচেয়ে জনপ্রিয়। আপনি যদি আপনার নিরাপত্তা নীতির একটি নিরীক্ষার অনুরোধ করতে চান বা একটি চেক পয়েন্ট সমস্যা সমাধান করতে চান, অনুগ্রহ করে যোগাযোগ করুন৷ [ইমেল সুরক্ষিত].

আপনার মনোযোগের জন্য আপনাকে ধন্যবাদ!

উত্স: www.habr.com