{"id":94118,"date":"2020-09-13T07:42:29","date_gmt":"2020-09-13T05:42:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii"},"modified":"2020-09-13T07:42:29","modified_gmt":"2020-09-13T05:42:29","slug":"7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","title":{"rendered":"7. NGFW f\u00fcr kleine Unternehmen. Leistung und allgemeine Empfehlungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7.<\/p>\n

Die Zeit ist gekommen, den Zyklus von Artikeln \u00fcber die neue Generation der SMB Check Point (Serie 1500) abzuschlie\u00dfen. Wir hoffen, dass dies f\u00fcr Sie eine n\u00fctzliche Erfahrung war und dass Sie uns weiterhin im Blog von TS Solution begleiten. Das Thema des abschlie\u00dfenden Artikels ist zwar wenig beleuchtet, aber nicht minder wichtig \u2013 das Tuning der SMB-Performance. Darin werden wir die M\u00f6glichkeiten zur Konfiguration der Hardware- und Softwarekomponenten des NGFW er\u00f6rtern, die verf\u00fcgbaren Befehle und Interaktionsmethoden beschreiben.<\/p>\n

Alle Artikel des Zyklus \u00fcber NGFW f\u00fcr kleine Unternehmen: <\/p>\n

    \n
  1. \n

    Neue Reihe CheckPoint 1500 Security Gateway<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  2. \n

    Entpacking und Konfiguration<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  3. \n

    Drahtlose Daten\u00fcbertragung: WiFi und LTE<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  4. \n

    VPN<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  5. \n

    Cloud-Management SMP<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  6. \n

    Smart-1 Cloud<\/u><\/a><\/noindex><\/p>\n<\/li>\n<\/ol>\n

    Momentan gibt es nicht so viele Informationsquellen \u00fcber das Tuning der Leistung f\u00fcr SMB-L\u00f6sungen aufgrund von Einschr\u00e4nkungen<\/u><\/a><\/noindex> der internen OS \u2013 Gaia 80.20 Embedded. In unserem Artikel werden wir ein Layout mit zentralisierter Verwaltung (dedizierter Management Server) verwenden \u2013 es erm\u00f6glicht die Anwendung einer gr\u00f6\u00dferen Anzahl von Tools bei der Arbeit mit dem NGFW.<\/p>\n

    Hardware<\/h2>\n

    Bevor Sie die Architektur der Check Point SMB-Familie ansprechen, k\u00f6nnen Sie sich jederzeit an Ihren Partner wenden, damit er das Werkzeug Appliance Sizing Tool<\/em>, zur Auswahl der optimalen L\u00f6sung gem\u00e4\u00df den festgelegten Anforderungen (Durchsatz, erwartete Benutzeranzahl usw.) verwendet.<\/p>\n

    Wichtige Hinweise bei der Interaktion mit der Hardware Ihrer NGFW<\/p>\n

      \n
    1. \n

      NGFW-L\u00f6sungen der SMB-Familie bieten keine M\u00f6glichkeit zur Hardwareaufr\u00fcstungen der Systemkomponenten (CPU, RAM, HDD). Je nach Modell gibt es Unterst\u00fctzung f\u00fcr SD-Karten, was die Kapazit\u00e4t der Festplatte erweitert, jedoch nicht signifikant.<\/p>\n<\/li>\n

    2. \n

      Der Betrieb der Netzwerkschnittstellen erfordert Kontrolle. In Gaia 80.20 Embedded gibt es nicht viele Werkzeuge zur \u00dcberwachung, aber Sie k\u00f6nnen immer den bekannten Befehl in der CLI \u00fcber den Expertenmodus verwenden. <\/p>\n

      # ifconfig<\/em><\/p>\n

      \"7.<\/p>\n

      Beachten Sie die hervorgehobenen Zeilen; sie erm\u00f6glichen Ihnen, die Anzahl der Fehler an der Schnittstelle zu bewerten. Es wird dringend empfohlen, diese Parameter bei der ersten Implementierung Ihrer NGFW sowie regelm\u00e4\u00dfig w\u00e4hrend des Betriebs zu \u00fcberpr\u00fcfen.<\/p>\n<\/li>\n

    3. \n

      F\u00fcr das vollst\u00e4ndige Gaia gibt es den Befehl: <\/p>\n

      > show diag <\/p>\n

      Damit k\u00f6nnen Sie Informationen \u00fcber die Temperatur der Hardware erhalten. Leider ist diese Option in 80.20 Embedded nicht verf\u00fcgbar, wir werden die beliebtesten SNMP-Traps angeben:<\/p>\n

      Bezeichnung <\/strong><\/p>\n

      Beschreibung<\/strong><\/p>\n

      Schnittstelle getrennt<\/em><\/p>\n

      Trennen der Schnittstelle<\/p>\n

      VLAN entfernt<\/em><\/p>\n

      Vlan entfernen<\/p>\n

      Hohe RAM-Auslastung<\/em><\/p>\n

      Hohe RAM-Nutzung<\/p>\n

      Wenig Speicherplatz<\/em><\/p>\n

      Wenig Platz auf der HDD<\/p>\n

      Hohe CPU-Auslastung<\/em><\/p>\n

      Hohe CPU-Nutzung<\/p>\n

      Hohe Rate an CPU-Interrupts<\/em><\/p>\n

      Hohe Interrupt-Frequenz<\/p>\n

      Hohe Verbindungsrate<\/em><\/p>\n

      Hoher Durchsatz neuer Verbindungen<\/p>\n

      Hohe gleichzeitige Verbindungen<\/em><\/p>\n

      Hohe Anzahl an gleichzeitigen Sitzungen<\/p>\n

      Hoher Firewall-Durchsatz<\/em><\/p>\n

      Hohe Firewall-Durchsatzrate<\/p>\n

      Hohe akzeptierte Paketrate<\/em><\/p>\n

      Hohe Empfangsrate von Paketen<\/p>\n

      Zustand des Cluster-Mitglieds ge\u00e4ndert<\/em><\/p>\n

      \u00c4nderung des Cluster-Zustands<\/p>\n

      Verbindung mit dem Log-Server fehlerhaft<\/em><\/p>\n

      Verbindung zum Log-Server verloren<\/p>\n<\/li>\n

    4. \n

      Die RAM-Nutzung Ihres Gateways erfordert \u00dcberwachung. F\u00fcr das Funktionieren von Gaia (Linux-\u00e4hnliches OS) ist dies eine normale Situation<\/u><\/a><\/noindex>, wenn der RAM-Verbrauch 70-80% erreicht. <\/p>\n

      In der SMB-L\u00f6sung-Architektur ist die Nutzung von SWAP-Speicher nicht vorgesehen, im Gegensatz zu \u00e4lteren Check Point-Modellen. Dennoch wurde in den Systemdateien von Linux <vm.swapsiness> festgestellt, was auf die theoretische M\u00f6glichkeit hinweist, den SWAP-Parameter zu \u00e4ndern.<\/p>\n<\/li>\n<\/ol>\n

      Software-Teil<\/h2>\n

      Zum Zeitpunkt der Ver\u00f6ffentlichung des Artikels aktuell<\/u><\/a><\/noindex> Versionen von Gaia \u2013 80.20.10. Sie sollten wissen, dass es Einschr\u00e4nkungen bei der Arbeit im CLI gibt: im Expert-Modus werden einige Linux-Befehle unterst\u00fctzt. F\u00fcr die Bewertung der NGFW-Leistung ist die Analyse der Daemons und Dienste erforderlich, n\u00e4here Informationen dazu finden Sie in Artikel<\/u><\/a><\/noindex> meinem Kollegen. Wir werden jedoch die m\u00f6glichen Befehle f\u00fcr SMB betrachten.<\/p>\n

      Arbeiten mit Gaia OS<\/p>\n

        \n
      1. \n

        \u00dcberblick \u00fcber SecureXL-Vorlagen<\/p>\n

        # fwaccel stat<\/strong><\/p>\n

        \"7.<\/li>\n

      2. \n

        \u00dcberblick \u00fcber die Kernlast<\/p>\n

        # fw ctl multik stat<\/strong><\/p>\n

        \"7.<\/li>\n

      3. \n

        \u00dcberblick \u00fcber die Anzahl der Sitzungen (Verbindungen).<\/p>\n

        # fw ctl pstat<\/strong><\/p>\n

        \"7.<\/li>\n

      4. \n

        *\u00dcberblick \u00fcber den Cluster-Zustand<\/p>\n

        # cphaprob stat<\/strong><\/p>\n

        \"7.<\/li>\n

      5. \n

        Klassischer Linux-Befehl TOP<\/p>\n<\/li>\n<\/ol>\n

        Protokollierung<\/h3>\n

        Wie Sie bereits wissen, gibt es drei M\u00f6glichkeiten, mit NGFW-Logs zu arbeiten (Speicherung, Verarbeitung): lokal, zentralisiert und in der Cloud. Letzte zwei Optionen setzen die Existenz einer Entit\u00e4t voraus \u2013 Management Server. <\/p>\n

        M\u00f6gliche NGFW-Management-Schemata\"7.<\/p>\n

        Die wertvollsten Protokolldateien<\/p>\n

          \n
        1. \n

          Systemnachrichten (enth\u00e4lt weniger Informationen als in einer vollst\u00e4ndigen Gaia)<\/p>\n

          # tail -f \/var\/log\/messages2<\/strong><\/p>\n

          \"7.<\/li>\n

        2. \n

          Fehlermeldungen im Betrieb der Blades (sehr n\u00fctzliche Datei bei der Fehlersuche)<\/p>\n

          # tail -f \/var\/log\/log\/sfwd.elg<\/strong><\/p>\n

          \"7.<\/li>\n

        3. \n

          \u00dcberblick \u00fcber Nachrichten aus dem Puffer auf Systemkernetze.<\/p>\n

          # dmesg<\/strong><\/p>\n

          \"7.<\/li>\n<\/ol>\n

          Blade-Konfiguration<\/h2>\n

          Dieser Abschnitt enth\u00e4lt keine vollst\u00e4ndigen Anweisungen zur Konfiguration Ihrer NGFW Check Point, sondern nur unsere Empfehlungen, die durch Erfahrung gewonnen wurden. <\/p>\n

          Application Control \/ URL Filtering<\/p>\n