{"id":94118,"date":"2020-09-13T07:42:29","date_gmt":"2020-09-13T05:42:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii"},"modified":"2020-09-13T07:42:29","modified_gmt":"2020-09-13T05:42:29","slug":"7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","title":{"rendered":"7. NGFW f\u00fcr kleine Unternehmen. Leistung und allgemeine Empfehlungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7.<\/p>\n

Die Zeit ist gekommen, den Zyklus von Artikeln \u00fcber die neue Generation der SMB Check Point (Serie 1500) abzuschlie\u00dfen. Wir hoffen, dass dies f\u00fcr Sie eine n\u00fctzliche Erfahrung war und Sie uns weiterhin im TS Solution-Blog begleiten. Das Thema des abschlie\u00dfenden Artikels ist weitgehend unerforscht, aber nicht weniger wichtig \u2014 das Tuning der Leistung von SMB. In diesem Artikel werden wir die Konfigurationsm\u00f6glichkeiten der Hardware- und Softwareseite der NGFW besprechen, g\u00e4ngige Befehle und Interaktionsmethoden beschreiben.<\/p>\n

Alle Artikel der Reihe \u00fcber NGFW f\u00fcr kleine Unternehmen: <\/p>\n

    \n
  1. \n

    Neue Reihe der CheckPoint 1500 Security Gateway<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  2. \n

    Auspacken und Konfigurieren<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  3. \n

    Kabellose Daten\u00fcbertragung: WiFi und LTE<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  4. \n

    VPN<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  5. \n

    Cloud-Management SMP<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  6. \n

    Smart-1 Cloud<\/u><\/a><\/noindex><\/p>\n<\/li>\n<\/ol>\n

    Aktuell gibt es nicht viele Informationsquellen zur Leistungsoptimierung f\u00fcr SMB-L\u00f6sungen aufgrund von Einschr\u00e4nkungen<\/u><\/a><\/noindex> der internen OS \u2014 Gaia 80.20 Embedded. In unserem Artikel werden wir ein Layout mit zentralisiertem Management verwenden (dedizierter Management-Server) \u2014 dies erm\u00f6glicht den Einsatz einer gr\u00f6\u00dferen Anzahl von Werkzeugen bei der Arbeit mit der NGFW.<\/p>\n

    Hardware<\/h2>\n

    Bevor wir die Architektur der Check Point SMB-Familie ansprechen, k\u00f6nnen Sie jederzeit Ihren Partner kontaktieren, damit er das Tool Appliance Sizing Tool<\/em>, zur Auswahl der optimalen L\u00f6sung gem\u00e4\u00df den angegebenen Eigenschaften (Durchsatz, erwartete Anzahl der Benutzer usw.) verwendet.<\/p>\n

    Wichtige Hinweise beim Umgang mit der Hardware Ihres NGFW<\/p>\n

      \n
    1. \n

      NGFW-L\u00f6sungen der SMB-Familie bieten keine M\u00f6glichkeit zur Hardwareaufr\u00fcstung der Systemkomponenten (CPU, RAM, HDD). Je nach Modell gibt es Unterst\u00fctzung f\u00fcr SD-Karten, was die Speicherkapazit\u00e4t der Festplatte erweitern kann, aber nicht erheblich.<\/p>\n<\/li>\n

    2. \n

      Der Betrieb der Netzwerkschnittstellen erfordert Kontrolle. In Gaia 80.20 Embedded stehen nicht viele Werkzeuge zur \u00dcberwachung zur Verf\u00fcgung, aber Sie k\u00f6nnen jederzeit den allgemein bekannten Befehl im CLI \u00fcber den Expert-Modus verwenden: <\/p>\n

      # ifconfig<\/em><\/p>\n

      \"7.<\/p>\n

      Bitte beachten Sie die hervorgehobenen Zeilen, sie werden Ihnen helfen, die Anzahl der Fehler an der Schnittstelle zu bewerten. Es wird dringend empfohlen, diese Parameter bei der ersten Implementierung Ihres NGFW sowie regelm\u00e4\u00dfig w\u00e4hrend des Betriebs zu \u00fcberpr\u00fcfen.<\/p>\n<\/li>\n

    3. \n

      F\u00fcr eine vollst\u00e4ndige Gaia gibt es den Befehl: <\/p>\n

      > show diag <\/p>\n

      Mit ihr ist es m\u00f6glich, Informationen \u00fcber die Temperatur der Hardware zu erhalten. Leider gibt es in 80.20 Embedded diese Option nicht, wir werden die beliebtesten SNMP-Traps angeben:<\/p>\n

      Titel <\/strong><\/p>\n

      Beschreibung<\/strong><\/p>\n

      Interface disconnected<\/em><\/p>\n

      Schnittstelle getrennt<\/p>\n

      VLAN removed<\/em><\/p>\n

      VLAN entfernt<\/p>\n

      High memory utilization<\/em><\/p>\n

      Hohe RAM-Auslastung<\/p>\n

      Low disk space<\/em><\/p>\n

      Wenig Speicherplatz auf HDD<\/p>\n

      High CPU utilization<\/em><\/p>\n

      Hohe CPU-Auslastung<\/p>\n

      High CPU interrupts rate<\/em><\/p>\n

      Hohe Interruptrate<\/p>\n

      High connection rate<\/em><\/p>\n

      Hohe Anzahl neuer Verbindungen<\/p>\n

      High concurrent connections<\/em><\/p>\n

      Hohe Anzahl gleichzeitiger Sitzungen<\/p>\n

      High Firewall throughput<\/em><\/p>\n

      Hohe Firewall-Durchsatzrate<\/p>\n

      High accepted packet rate<\/em><\/p>\n

      Hohe Paketannahmerate<\/p>\n

      Cluster member state changed<\/em><\/p>\n

      Clusterzustand ge\u00e4ndert<\/p>\n

      Connection with log server error<\/em><\/p>\n

      Verbindung zum Log-Server verloren<\/p>\n<\/li>\n

    4. \n

      Der Betrieb Ihres Gateways erfordert die Kontrolle des RAM. F\u00fcr Gaia (Linux-\u00e4hnliches OS) ist es eine normale Situation,<\/u><\/a><\/noindex>wenn der RAM-Verbrauch 70-80% erreicht. <\/p>\n

      In der Architektur der SMB-L\u00f6sungen ist keine Verwendung von SWAP-Speicher vorgesehen, im Gegensatz zu den \u00e4lteren Modellen von Check Point. Dennoch wurde in den Systemdateien von Linux <vm.swappiness> entdeckt, was auf die theoretische M\u00f6glichkeit hinweist, den SWAP-Parameter zu \u00e4ndern.<\/p>\n<\/li>\n<\/ol>\n

      Softwareseite<\/h2>\n

      Zum Zeitpunkt der Ver\u00f6ffentlichung des Artikels ist die aktuelle<\/u><\/a><\/noindex> Versionen von Gaia \u2014 80.20.10. Sie sollten wissen, dass es Einschr\u00e4nkungen bei der Arbeit im CLI gibt: Im Expert-Modus werden einige Linux-Befehle unterst\u00fctzt. Zur Bewertung der Leistung der NGFW ist eine \u00dcberpr\u00fcfung der Funktionsweise von Daemons und Diensten erforderlich, mehr dazu erfahren Sie in Artikel<\/u><\/a><\/noindex> meines Kollegen nachlesen. Wir werden die m\u00f6glichen Befehle f\u00fcr SMB betrachten.<\/p>\n

      Arbeiten mit Gaia OS<\/p>\n

        \n
      1. \n

        Anzeigen der SecureXL-Vorlagen<\/p>\n

        # fwaccel stat<\/strong><\/p>\n

        \"7.<\/li>\n

      2. \n

        Anzeigen der Kernbelastung<\/p>\n

        # fw ctl multik stat<\/strong><\/p>\n

        \"7.<\/li>\n

      3. \n

        Anzeigen der Anzahl der Sitzungen (Verbindungen).<\/p>\n

        # fw ctl pstat<\/strong><\/p>\n

        \"7.<\/li>\n

      4. \n

        *Anzeigen des Clusterzustands<\/p>\n

        # cphaprob stat<\/strong><\/p>\n

        \"7.<\/li>\n

      5. \n

        Der klassische Linux-Befehl TOP<\/p>\n<\/li>\n<\/ol>\n

        Protokollierung<\/h3>\n

        Wie Sie bereits wissen, gibt es drei M\u00f6glichkeiten, mit den Logs der NGFW (Speicherung, Verarbeitung) umzugehen: lokal, zentralisiert und in der Cloud. Die letzten beiden Optionen setzen das Vorhandensein einer Entit\u00e4t \u2014 Management Server \u2014 voraus. <\/p>\n

        M\u00f6gliche Management-Schemata f\u00fcr NGFW\"7.<\/p>\n

        Die wertvollsten Logdateien<\/p>\n

          \n
        1. \n

          Systemnachrichten (beinhalten weniger Informationen als in vollst\u00e4ndiger Gaia)<\/p>\n

          # tail -f \/var\/log\/messages2<\/strong><\/p>\n

          \"7.<\/li>\n

        2. \n

          Fehlermeldungen zum Betrieb der Blades (eine recht n\u00fctzliche Datei bei der Fehlersuche)<\/p>\n

          # tail -f \/var\/log\/log\/sfwd.elg<\/strong><\/p>\n

          \"7.<\/li>\n

        3. \n

          Anzeigen von Nachrichten aus dem Bufferspeicher auf Systemebene.<\/p>\n

          # dmesg<\/strong><\/p>\n

          \"7.<\/li>\n<\/ol>\n

          Konfiguration der Blades<\/h2>\n

          Dieser Abschnitt wird keine vollst\u00e4ndigen Anweisungen zur Konfiguration Ihres NGFW Check Point enthalten, sondern nur unsere Empfehlungen, die auf Erfahrung basieren. <\/p>\n

          Application Control \/ URL Filtering<\/p>\n