🥇7. NGFW väikeettevõtetele. Jõudlus ja üldised soovitused

On jõudnud aeg lõpetada artiklite tsükkel uue põlvkonna SMB Check Point (1500 seeria) kohta. Loodame, et see oli teie jaoks kasulik kogemus ja jätkate meiega TS Solution blogis. Lõppartikli teema ei ole laialdaselt kajastatud, kuid on samas äärmiselt oluline - SMB jõudluse häälestamine. Arutame, millised on NGFW riist- ja tarkvarakomponentide konfigureerimise võimalused, kirjeldame saadaval olevaid käske ja viise interaktsiooniks.

Kõik NGFW artiklite tsükli postitused väikeettevõtetele:

Praeguseks on olemas vaid mõned teabeallikad SMB lahenduste jõudluse häälestamise kohta, arvestades piirangud sisemist OS-i — Gaia 80.20 Embedded. Meie artiklis kasutame keskselt hallatavat design'i (erinev Management Server) — see võimaldab rakendada suuremat hulka tööriistu NGFW-ga töötamisel.

Riistvara

Enne Check Point SMB arhitektuuri käsitlemist võite alati pöörduda oma partneri poole, et kasutada tööriista Appliance Sizing Tool, et valida optimaalse lahenduse vastavalt antud parameetritele (läbivool, oodatav kasutajate arv jne).

Olulised märkused riistvara interaktsioonis teie NGFW-ga

NGFW lahendustel SMB peres ei ole võimalik süsteemikomponente (CPU, RAM, HDD) füüsiliselt uuendada, sõltuvalt mudelist on SD-kaardid toetatud, mis võimaldab laiendada ketta kapatsiteeti, kuid mitte oluliselt.
Võrguliideste töö nõuab jälgimist. Gaia 80.20 Embedded'is ei ole palju jälgimisriistu, kuid võite alati kasutada tuntud käsku CLI-s Expert režiimis
# ifconfig
Pöörake tähelepanu allajoonitud ridadele, need aitavad teil hinnata vigade arvu liideses. Soovitame neid parameetreid kontrollida teie NGFW esmakordsel juurutamisel ning ka perioodiliselt selle kasutamise ajal.
Täieliku Gaia jaoks on käsk:
> show diag
Selle abil on võimalik saada teavet riistvara temperatuuri kohta. Kahjuks ei ole 80.20 Embedded'l seda võimalust; toome välja kõige populaarsemad SNMP-trapid:
Nimi
Kirjeldus
Interface disconnected
Liidese katkestamine
VLAN removed
VLAN-i eemaldamine
High memory utilization
Kõrge RAM-i kasutamine
Low disk space
HDD-l on vähe vaba ruumi
High CPU utilization
Kõrge CPU kasutamine
High CPU interrupts rate
Kõrge katkemise määr
High connection rate
Kõrge uute ühenduste voog
Kõrge samal ajal ühenduste arv
Kõrge konkurentsi seansside tase
Kõrge tulemüürü läbilaskevõime
Kõrge tulemüüripõhise läbilaskevõime tase
Kõrge vastuvõetud pakettide määr
Kõrge pakettide vastuvõtu tase
Klastri liikme olek muutus
Klastri oleku muutmine
Ühendus logiserveriga ebaõnnestus
Ühendus Log-Serveriga katkes
Teie värava töö nõuab RAM-i kontrolli. Gaia (Linuxi sarnane OP) jaoks on see normaalne olukord, kui RAM-i kasutuse osakaal tõuseb 70-80% -ni.
SMB-lahenduste arhitektuuris ei ole SWAP-mälu kasutamine ette nähtud, erinevalt vanematest Check Pointi mudelitest. Siiski, Linuxi süsteemifailides on täheldatud , mis näitab teoreetilist võimalust muuta SWAP-i parameetrit.

Tarkvaraline osa

Artikli avaldamise hetkel kehtiv Gaia versioon — 80.20.10. Teil on vaja teada, et CLI-s töötamisel on piirangud: Expert-režiimis toetatakse mõningaid Linuxi käske. NGFW töö hindamiseks on vajalik demonite ja teenuste toimimise hindamine, millest lähemalt saab lugeda artiklis minu kolleegi käest. Me vaatame SMB jaoks võimalikke käske.

Töö Gaia OS-iga

SecureXL mallide vaatamine
# fwaccel stat
Ydede koormuse vaatamine
# fw ctl multik stat
Seansside (ühenduste) arvu vaatamine.
# fw ctl pstat
*Klastri oleku vaatamine
# cphaprob stat
Klassikaline Linuxi käsk TOP

Logimine

Kuidas te juba teate, on NGFW logidega töötamiseks kolm viisi (salvestamine, töötlemine): kohalik, keskne ja pilves. Viimased kaks võimalust eeldavad juhtimisteenuse olemasolu.

NGFW haldamise võimalikud skeemid

Kõige väärtuslikumad logifailid

Süsteemi sõnumid (sisaldab vähem teavet kui täisversioon Gaia-st)
# tail -f /var/log/messages2
Vead bleyidide töös (kasulik fail probleemide otsimisel)
# tail -f /var/log/log/sfwd.elg
Süsteemi tasandi tuumapuhvri sõnumite vaatamine.
# dmesg

Bleyidide konfiguratsioon

See osa ei sisalda täielikke juhiseid teie NGFW Check Pointi seadistamiseks, see sisaldab ainult meie soovitusi, mis on välja töötatud praktilise kogemuse põhjal.

Rakenduste kontroll / URL-i filtreerimine

Soovitatav on reeglite tingimustes vältida ANY, ANY (Allikas, Sihtkoht).
Kohandatud URL-resursi määramisel on tõhusam kasutada regulaaravaldisi, nagu: (^|..)checkpoint.com
Vältige liigset logimist reeglite järgi ja blokeerimise lehtede kuvamist (UserCheck).
Veenduge, et tehnoloogia “SecureXL”töötaks õigesti. Enamik liiklust peaks minema läbi kiiruselt / keskmise tee. Samuti ei unustage filtreerida reegleid kõige sagedamini kasutatavate järgi (välja Klõpsud ).

Ei ole saladus, et 70-80% kasutajate liiklusest langeb HTTPS-ühendustele, seega nõuab see teie värava protsessorilt ressursse. Lisaks osaleb HTTPS-Inspektsioon IPS, Antivirus ja Antiboti töös.

Versioonist 80.40 alates on võimalik

töötada HTTPS-reeglitega ilma Legacy Dashboardita, siin on mõned soovitatud reeglite järjekorrad: võimaluse Bypass aadresside ja võrkude grupile (Sihtkoht).

Bypass URL-ade gruppidele.
Bypass sisemiste IP-de ja privileegide juurdepääsu võrkudele (Allikas).
Inspekteerimine vajalike võrkude ja kasutajate jaoks
Bypass kõigi ülejäänute jaoks.
* Alati on parem valida käsitsi HTTPS-teenused või HTTPS-proksi, mitte jätta Any. Logige Inspect reeglitega seotud sündmused.

IPS-bloki puhul võib teie NGFW-le poliitika kehtestamisel ilmuda viga, kui kasutatakse liiga palju signatuure. Vastavalt

IPS

Check Pointile ei ole SMB seadmete arhitektuur muudetud täieliku soovitatava IPS seadistuste profiili käitamiseks. artiklis Probleemi lahendamiseks või ennetamiseks tehke järgmised toimingud:

Kloonige Optimeeritud profiil nimega “Optimeeritud SMB” (või mõni muu teie valikul).

Muuda profiili, mine IPS → Pre R80 seadetesse ja lülita välja Server Protections.
Võite oma äranägemise järgi deaktiveerida CVE-d, mis on vanemad kui 2010, need haavatavused võivad vähe ilmuda väikestes kontorites, kuid mõjutavad jõudlust. Mõnede neist väljalülitamiseks minge Profil → IPS → Täiendav Aktiveerimine → Kaitsete deaktiveerimise loend
Uue põlvkonna NGFW SMB perekonna (1500) artiklite tsükli raames oleme püüdnud välja tuua lahenduse peamised võimalused, demonstreerides oluliste turvakomponentide seadistusi konkreetsete näidete kaudu. Ootame hea meelega küsimusi toote kohta kommentaarides. Jätkame teiega, aitäh tähelepanu eest!