Det er tid til at afslutte serien af artikler om den nye generation af SMB Check Point (1500-serien). Vi håber, at du har haft gavn af dette, og at du fortsat vil følge med i TS Solutions blog. Emnet for den afsluttende artikel er ikke så udbredt, men ikke mindre vigtigt — tuning af SMB-ydeevne. Her vil vi diskutere konfigurationsmulighederne for både hardware og software af NGFW, beskrive de tilgængelige kommandoer og måder at interagere på.
Alle artikler i serien om NGFW for små virksomheder:
I øjeblikket er der ikke så mange informationskilder om ydeevnetuning for SMB-løsninger på grund af det interne OS — Gaia 80.20 Embedded. I vores artikel vil vi anvende en model med centraliseret styring (dedikeret Management Server) — det giver mulighed for at anvende flere værktøjer, når man arbejder med NGFW.
Hardware
Før du berører arkitekturen af Check Point-familien af SMB, kan du altid kontakte din partner for at anvende værktøjet Appliance Sizing Tool, til at finde den optimale løsning ud fra de givne specifikationer (båndbredde, forventet antal brugere osv.).
Vigtige bemærkninger ved interaktion med hardwaredelen af din NGFW
NGFW-løsningerne i SMB-familien har ikke mulighed for hardwareopgradering af systemkomponenter (CPU, RAM, HDD), afhængigt af modellen er der støtte til SD-kort, hvilket muliggør udvidelse af diskens kapacitet, men ikke betydeligt.
Drift af netværksinterface kræver kontrol. I Gaia 80.20 Embedded er der ikke så mange værktøjer til overvågning, men du kan altid bruge den velkendte kommando i CLI gennem ekspertmode
# ifconfig
Bemærk de understregede linjer, de vil lade dig vurdere antallet af fejl på interfacet. Det er yderst anbefalet at kontrollere disse parametre ved den første implementering af din NGFW samt regelmæssigt under drift.
For fuld Gaia er der kommandoen:
> show diag
Med denne kan man få oplysninger om hardwaretemperaturen. Desværre findes denne mulighed ikke i 80.20 Embedded, vi angiver de mest populære SNMP-traps:
Navn
Description
Interface disconnected
Interface afbrudt
VLAN removed
Fjernelse af VLAN
High memory utilization
Høj RAM-udnyttelse
Low disk space
Lille plads på HDD
High CPU utilization
Høj CPU-udnyttelse
High CPU interrupts rate
Høj hastighed af afbrydelser
High connection rate
Høj strøm af nye forbindelser
High concurrent connections
Højt niveau af konkurrence-sessioner
Høj firewall-gennemstrømning
Højt niveau af firewall-gennemstrømning
Høj accepteret pakkefrekvens
Højt niveau af pakkeaccept
Cluster-medlemsstatus ændret
Ændring af clusterstatus
Forbindelse med logserverfejl
Tab af forbindelse til Log-Server
Drift af din gateway kræver overvågning af RAM. For at køre Gaia (Linux-lignende OS) er det , når RAM-forbruget når op på 70-80% af kapaciteten.
I SMB-løsningernes arkitektur er brugen af SWAP-hukommelse ikke inkluderet, i modsætning til ældre Check Point-modeller. Ikke desto mindre er der blevet observeret <vm.swappiness> i Linux-systemfiler, hvilket indikerer en teoretisk mulighed for at ændre SWAP-parameteren.
Softwaredel
På tidspunktet for artikelens udgivelse version af Gaia — 80.20.10. Du skal vide, at der er begrænsninger ved arbejde i CLI: I Expert-tilstand understøttes nogle Linux-kommandoer. For at vurdere NGFW’s ydeevne kræves der en vurdering af de dæmoner og tjenester, som mere detaljeret kan findes i min kollegas. Her vil vi se på de mulige kommandoer for SMB.
Arbejdet med Gaia OS
Visning af SecureXL-skabeloner
# fwaccel stat
Visning af belastning pr. kerne
# fw ctl multik stat
Visning af antal sessioner (forbindelser).
# fw ctl pstat
*Visning af clusterstatus
# cphaprob stat
Den klassiske Linux-kommando TOP
Logføring
Som du allerede ved, er der tre måder at arbejde med NGFW-logfiler (opbevaring, behandling): lokalt, centralt og i skyen. Sidste to muligheder kræver en enhed — Management Server.
Mulige styringsskemaer for NGFW
De mest værdifulde logfiler
Systemmeddelelser (indeholder mindre information end i en fuld Gaia)
# tail -f /var/log/messages2
Fejlmeddelelser for bladene (en nyttig fil ved fejlfinding)
# tail -f /var/log/log/sfwd.elg
Visning af meddelelser fra systemets kernebuffer.
# dmesg
Konfiguration af blade
Dette afsnit indeholder ikke fuldstændige instruktioner til opsætning af din NGFW Check Point, men indeholder blot vores anbefalinger, der er opnået gennem erfaring.
Application Control / URL Filtering
Det anbefales at undgå at bruge betingelserne ANY, ANY (Source, Destination) i regler.
Hvis du angiver en brugerdefineret URL-ressource, vil det være mere effektivt at bruge regulære udtryk som: (^|..)checkpoint.com
Undgå overdreven brug af logføring i regler og visning af blokeringens sider (UserCheck).
Sørg for, at teknologien fungerer korrekt "SecureXL". Størstedelen af trafik skal passere gennem accelerated / medium path. Husk også at filtrere reglerne efter de mest anvendte (felt Hits ).
HTTPS-inspektion
Det er ingen hemmelighed, at 70-80% af den brugertrafik, vi har, går gennem HTTPS-forbindelser, hvilket kræver ressourcer fra din gateways processor. Derudover deltager HTTPS-inspektion i arbejdet med IPS, Antivirus, Antibot.
Siden version 80.40 er der kommet muligheden for at arbejde med HTTPS-regler uden Legacy Dashboard; her er en anbefalet rækkefølge for reglerne:
Bypass for adresse- og netværksgrupper (Destination).
Bypass for URL-adressegrupper.
Bypass for interne IP-adresser og netværk med privilegeret adgang (Source).
Inspektion for nødvendige netværk, brugere
Bypass for alle andre.
* Det er altid bedre at vælge HTTPS-services eller HTTPS Proxy manuelt, end at lade være med at angive Any. Log hændelser efter Inspektionsreglerne.
IPS
IPS-bladet kan forårsage fejl ved installation af politikker på din NGFW, hvis der bruges for mange signaturer. Ifølge Check Point er SMB-enhedernes arkitektur ikke designet til at køre den fulde anbefalede IPS-konfiguration.
For at løse eller forhindre problemet, skal du følge disse trin:
Klone den optimerede profil med navnet "Optimized SMB" (eller et andet efter eget valg).
Rediger profilen, gå til sektionen IPS → Pre R80.Settings og deaktiver Serverbeskyttelse.
Efter eget skøn kan du deaktivere CVE'er, der er ældre end 2010; disse sårbarheder findes sjældent i små kontorer, men de påvirker ydeevnen. For at deaktivere nogle af dem, gå til Profil→ IPS→ Yderligere aktivering → Beskyttelser, der skal deaktiveres
Afslutning
Som en del af artiklerne om den nye generation af NGFW SMB-serien (1500) har vi forsøgt at belyse de vigtigste funktioner ved løsningen og demonstreret opsætningen af vigtige sikkerhedskomponenter med konkrete eksempler. Vi er glade for at svare på eventuelle spørgsmål om produktet i kommentarerne. Tak for din opmærksomhed!
. For ikke at gå glip af nye publikationer, så følg med i vores sociale medier (, , , , ).
Kilde: habr.com
