ચેક પોઇન્ટ: CPU અને RAM ઓપ્ટિમાઇઝેશન

હેલો સાથીદારો! આજે હું ઘણા ચેક પોઈન્ટ એડમિનિસ્ટ્રેટર્સ માટે એક ખૂબ જ સુસંગત વિષય "CPU અને RAM ઑપ્ટિમાઇઝેશન" પર ચર્ચા કરવા માંગુ છું. ગેટવે અને/અથવા મેનેજમેન્ટ સર્વર માટે આમાંના ઘણા સંસાધનોનો અણધારી રીતે ઉપયોગ કરવો અસામાન્ય નથી, અને તેઓ ક્યાંથી "લીક" થાય છે તે સમજવા માંગે છે અને જો શક્ય હોય તો, તેનો વધુ સક્ષમ ઉપયોગ કરો.

1. વિશ્લેષણ

પ્રોસેસર લોડનું વિશ્લેષણ કરવા માટે, નીચેના આદેશોનો ઉપયોગ કરવો ઉપયોગી છે, જે નિષ્ણાત મોડમાં દાખલ કરવામાં આવે છે:

ટોચ બધી પ્રક્રિયાઓ દર્શાવે છે, ટકા, અપટાઇમ, પ્રક્રિયા અગ્રતા અને અન્ય વાસ્તવિક સમયમાંи

cpwd_admin યાદી ચેક પોઈન્ટ વોચડોગ ડિમન, જે તમામ એપ્લાઈન મોડ્યુલો, તેમની પીઆઈડી, સ્થિતિ અને રનની સંખ્યા દર્શાવે છે

cpstat -f cpu os CPU વપરાશ, તેમની સંખ્યા અને ટકાવારીમાં પ્રોસેસર સમયનું વિતરણ

cpstat -f મેમરી ઓએસ વર્ચ્યુઅલ રેમનો ઉપયોગ, કેટલી સક્રિય, ફ્રી રેમ અને વધુ

યોગ્ય ટિપ્પણી એ છે કે તમામ cpstat આદેશો ઉપયોગિતાનો ઉપયોગ કરીને જોઈ શકાય છે cpview. આ કરવા માટે, તમારે SSH સત્રમાં કોઈપણ મોડમાંથી cpview આદેશ દાખલ કરવાની જરૂર છે.

ps auxwf બધી પ્રક્રિયાઓની લાંબી સૂચિ, તેમની ID, કબજે કરેલી વર્ચ્યુઅલ મેમરી અને RAM, CPU માં મેમરી

આદેશની બીજી વિવિધતા:

ps-aF સૌથી ખર્ચાળ પ્રક્રિયા બતાવો

fw ctl એફિનિટી -l -a ફાયરવોલના વિવિધ ઉદાહરણો માટે કોરોનું વિતરણ, એટલે કે, CoreXL ટેકનોલોજી

fw ctl pstat RAM વિશ્લેષણ અને જોડાણો, કૂકીઝ, NAT ના સામાન્ય સૂચકાંકો

મફત એમ રેમ બફર

ટીમ ખાસ ધ્યાન આપવાની પાત્ર છે. નેટસેટ અને તેની વિવિધતા. દાખ્લા તરીકે, netstat -i મોનિટરિંગ ક્લિપબોર્ડ્સની સમસ્યાને ઉકેલવામાં મદદ કરી શકે છે. આ આદેશના આઉટપુટમાં પેરામીટર, RX ડ્રોપ્ડ પેકેટ્સ (RX-DRP) ગેરકાયદેસર પ્રોટોકોલ્સ (IPv6, ખરાબ / અનિચ્છનીય VLAN ટૅગ્સ અને અન્ય) ના ટીપાંને કારણે પોતે જ વધે છે. જો કે, જો ટીપાં અન્ય કારણોસર થાય છે, તો તમારે આનો ઉપયોગ કરવો જોઈએ લેખોઆ નેટવર્ક ઇન્ટરફેસ શા માટે પેકેટો છોડી રહ્યું છે તેની તપાસ શરૂ કરવા માટે. કારણ જાણીને, એપ્લાઈનનું સંચાલન પણ ઑપ્ટિમાઇઝ કરી શકાય છે.

જો મોનિટરિંગ બ્લેડ સક્ષમ હોય, તો તમે ઑબ્જેક્ટ પર ક્લિક કરીને અને ઉપકરણ અને લાઇસન્સ માહિતી પસંદ કરીને આ મેટ્રિક્સને ગ્રાફિકલી સ્માર્ટકોન્સોલમાં જોઈ શકો છો.

મોનિટરિંગ બ્લેડને ચાલુ ધોરણે સક્ષમ કરવાની ભલામણ કરવામાં આવતી નથી, પરંતુ પરીક્ષણ માટે તે એક દિવસ માટે તદ્દન શક્ય છે.

તદુપરાંત, તમે મોનિટરિંગ માટે વધુ પરિમાણો ઉમેરી શકો છો, તેમાંથી એક ખૂબ જ ઉપયોગી છે - બાઇટ્સ થ્રુપુટ (એપ્લિન બેન્ડવિડ્થ).

જો કોઈ અન્ય મોનિટરિંગ સિસ્ટમ છે, ઉદાહરણ તરીકે, મફત ઝબ્બીક્સ, જે SNMP પર આધારિત છે, તે આ સમસ્યાઓને ઓળખવા માટે પણ યોગ્ય છે.

2. સમય જતાં RAM “લીક” થાય છે

ઘણીવાર પ્રશ્ન ઊભો થાય છે કે સમય જતાં, ગેટવે અથવા મેનેજમેન્ટ સર્વર વધુને વધુ રેમનો વપરાશ કરવાનું શરૂ કરે છે. હું તમને આશ્વાસન આપવા માંગુ છું: આ Linux જેવી સિસ્ટમ માટે સામાન્ય વાર્તા છે.

આદેશ આઉટપુટ જોઈ રહ્યા છીએ મફત એમ и cpstat -f મેમરી ઓએસ નિષ્ણાત મોડમાંથી એપ્લિકેશન પર, તમે RAM થી સંબંધિત તમામ પરિમાણોની ગણતરી કરી શકો છો અને જોઈ શકો છો.

આ ક્ષણે ગેટવે પર ઉપલબ્ધ મેમરીના આધારે મફત મેમરી + બફર્સ મેમરી + કેશ્ડ મેમરી = +-1.5 જીબી, સામાન્ય રીતે.

SR કહે છે તેમ, સમય જતાં ગેટવે/મેનેજમેન્ટ સર્વર ઑપ્ટિમાઇઝ થાય છે અને વધુને વધુ મેમરીનો ઉપયોગ કરે છે, લગભગ 80% વપરાશ સુધી, અને અટકે છે. તમે ઉપકરણને રીબૂટ કરી શકો છો અને પછી સૂચક રીસેટ થશે. ગેટવે માટે તમામ કાર્યો કરવા માટે 1.5 જીબી ફ્રી રેમ ચોક્કસપણે પૂરતી છે, અને મેનેજમેન્ટ ભાગ્યે જ આવા થ્રેશોલ્ડ મૂલ્યો સુધી પહોંચે છે.

ઉપરાંત, ઉલ્લેખિત આદેશોનું આઉટપુટ બતાવશે કે તમારી પાસે કેટલું છે ઓછી મેમરી (યુઝર સ્પેસમાં રેમ) અને ઉચ્ચ મેમરી (કર્નલ સ્પેસમાં RAM) વપરાયેલ.

કર્નલ પ્રક્રિયાઓ (ચેક પોઈન્ટ કર્નલ મોડ્યુલો જેવા સક્રિય મોડ્યુલો સહિત) માત્ર ઓછી મેમરીનો ઉપયોગ કરે છે. જો કે, વપરાશકર્તા પ્રક્રિયાઓ ઓછી અને ઉચ્ચ મેમરી બંનેનો ઉપયોગ કરી શકે છે. તદુપરાંત, ઓછી મેમરી લગભગ સમાન છે કુલ મેમરી.

જો લોગમાં ભૂલો હોય તો જ તમારે ચિંતા કરવી જોઈએ "મોડ્યુલ્સ રીબુટ થાય છે અથવા OOM (મેમરી બહાર) ના કારણે મેમરીને પુનઃ દાવો કરવા માટે પ્રક્રિયાઓને મારી નાખવામાં આવે છે". પછી તમારે ગેટવે રીબૂટ કરવું જોઈએ અને જો રીબૂટ મદદ ન કરતું હોય તો સપોર્ટનો સંપર્ક કરો.

માં સંપૂર્ણ વર્ણન મળી શકે છે sk99547 и sk99593.

3. ઑપ્ટિમાઇઝેશન

નીચે CPU અને RAM ઑપ્ટિમાઇઝેશન વિશે પ્રશ્નો અને જવાબો છે. તમારે તેમને તમારી જાતને પ્રામાણિકપણે જવાબ આપવો જોઈએ અને ભલામણો સાંભળવી જોઈએ.

3.1. શું અપલાઇન યોગ્ય રીતે પસંદ કરવામાં આવી હતી? શું કોઈ પાયલોટ પ્રોજેક્ટ હતો?

સક્ષમ કદ હોવા છતાં, નેટવર્ક સરળતાથી વધી શકે છે, અને આ સાધનો ફક્ત ભારનો સામનો કરી શકતા નથી. બીજો વિકલ્પ, જો ત્યાં કોઈ કદ ન હોય તો.

3.2. શું HTTPS નિરીક્ષણ સક્ષમ છે? જો એમ હોય તો, શું ટેક્નોલોજી શ્રેષ્ઠ પ્રેક્ટિસ અનુસાર ગોઠવેલ છે?

નો સંદર્ભ લો લેખજો તમે અમારા ગ્રાહક છો, અથવા તો sk108202.

HTTPS નિરીક્ષણ નીતિમાં નિયમોનો ક્રમ HTTPS સાઇટ્સના ઉદઘાટનને ઑપ્ટિમાઇઝ કરવામાં મોટી ભૂમિકા ભજવે છે.

નિયમોનો ભલામણ કરેલ ક્રમ:

1. શ્રેણીઓ/URL સાથે નિયમોને બાયપાસ કરો
2. શ્રેણીઓ/URL સાથે નિયમોનું નિરીક્ષણ કરો
3. અન્ય તમામ શ્રેણીઓ માટે નિયમોનું નિરીક્ષણ કરો

ફાયરવોલ નીતિ સાથે સામ્યતા દ્વારા, ચેક પોઈન્ટ ઉપરથી નીચે સુધી પેકેટ મેચ માટે જુએ છે, તેથી બાયપાસ નિયમો ટોચ પર શ્રેષ્ઠ રીતે મૂકવામાં આવે છે, કારણ કે જો આ પેકેટને છોડવાની જરૂર હોય તો ગેટવે બધા નિયમો દ્વારા ચલાવવામાં સંસાધનોનો બગાડ કરશે નહીં.

3.3 શું સરનામાં-શ્રેણી વસ્તુઓનો ઉપયોગ થાય છે?

નેટવર્ક 192.168.0.0-192.168.5.0 જેવા સરનામાંની શ્રેણી સાથેના ઓબ્જેક્ટો 5 નેટવર્ક ઓબ્જેક્ટો કરતાં નોંધપાત્ર રીતે વધુ RAM વાપરે છે. સામાન્ય રીતે, સ્માર્ટકોન્સોલમાં બિનઉપયોગી વસ્તુઓને કાઢી નાખવાની સારી પ્રથા માનવામાં આવે છે, કારણ કે દરેક વખતે જ્યારે નીતિ સેટ કરવામાં આવે છે, ત્યારે ગેટવે અને મેનેજમેન્ટ સર્વર સંસાધનો ખર્ચ કરે છે અને સૌથી અગત્યનું, પોલિસીને ચકાસવા અને લાગુ કરવા માટેનો સમય.

3.4. ધમકી નિવારણ નીતિ કેવી રીતે ગોઠવવામાં આવે છે?

સૌ પ્રથમ, ચેક પોઈન્ટ IPS ને અલગ પ્રોફાઇલમાં ખસેડવાની અને આ બ્લેડ માટે અલગ નિયમો બનાવવાની ભલામણ કરે છે.

ઉદાહરણ તરીકે, એડમિનિસ્ટ્રેટર વિચારે છે કે DMZ સેગમેન્ટ માત્ર IPS દ્વારા સુરક્ષિત હોવું જોઈએ. તેથી, ગેટવે અન્ય બ્લેડ દ્વારા પ્રોસેસિંગ પેકેટો પર સંસાધનોનો બગાડ ન કરે તે માટે, ખાસ કરીને આ સેગમેન્ટ માટે પ્રોફાઇલ સાથે એક નિયમ બનાવવો જરૂરી છે જેમાં ફક્ત IPS સક્ષમ હોય.

પ્રોફાઇલ સેટ કરવા અંગે, આમાં શ્રેષ્ઠ પ્રથાઓ અનુસાર તેને સેટ કરવાની ભલામણ કરવામાં આવે છે દસ્તાવેજ(પૃષ્ઠ 17-20).

3.5. IPS સેટિંગ્સમાં ડિટેક્ટ મોડમાં કેટલા સહીઓ છે?

બિનઉપયોગી હસ્તાક્ષરો અક્ષમ હોવા જોઈએ તે અર્થમાં સહીઓ પર સખત મહેનત કરવાની ભલામણ કરવામાં આવે છે (ઉદાહરણ તરીકે, Adobe ઉત્પાદનોના સંચાલન માટે સહીઓ માટે ઘણી કમ્પ્યુટિંગ શક્તિની જરૂર હોય છે, અને જો ગ્રાહક પાસે આવા ઉત્પાદનો ન હોય, તો તે નિષ્ક્રિય કરવા માટે અર્થપૂર્ણ છે. સહીઓ). પછી શક્ય હોય ત્યાં ડિટેક્ટને બદલે પ્રિવેન્ટ મૂકો, કારણ કે ગેટવે ડિટેક્ટ મોડમાં સમગ્ર કનેક્શનની પ્રક્રિયા કરવા માટે સંસાધનો ખર્ચે છે, પ્રિવેન્ટ મોડમાં તે તરત જ કનેક્શન છોડી દે છે અને પેકેટની સંપૂર્ણ પ્રક્રિયા પર સંસાધનોનો બગાડ કરતું નથી.

3.6. થ્રેટ ઇમ્યુલેશન, થ્રેટ એક્સટ્રેક્શન, એન્ટિ-વાયરસ બ્લેડ દ્વારા કઈ ફાઇલો પર પ્રક્રિયા કરવામાં આવે છે?

તમારા વપરાશકર્તાઓ ડાઉનલોડ કરતા નથી અથવા તમે તમારા નેટવર્ક પર બિનજરૂરી માનો છો તેવી એક્સ્ટેંશન ફાઇલોનું અનુકરણ અને વિશ્લેષણ કરવાનો કોઈ અર્થ નથી (ઉદાહરણ તરીકે, બેટ, exe ફાઇલોને ફાયરવોલ સ્તરે સામગ્રી જાગૃતિ બ્લેડનો ઉપયોગ કરીને સરળતાથી અવરોધિત કરી શકાય છે, તેથી ગેટવે સંસાધનો હશે. ઓછો ખર્ચ કર્યો). તદુપરાંત, થ્રેટ ઇમ્યુલેશન સેટિંગ્સમાં, તમે સેન્ડબોક્સમાં ધમકીઓનું અનુકરણ કરવા માટે પર્યાવરણ (ઓપરેટિંગ સિસ્ટમ) પસંદ કરી શકો છો અને જ્યારે બધા વપરાશકર્તાઓ 7મા સંસ્કરણ સાથે કામ કરી રહ્યા હોય ત્યારે એન્વાયર્નમેન્ટ વિન્ડોઝ 10 ઇન્સ્ટોલ કરી શકો છો, તેનો પણ અર્થ નથી.

3.7. શું ફાયરવોલ અને એપ્લીકેશન લેયરના નિયમો શ્રેષ્ઠ પ્રથા અનુસાર મૂકવામાં આવ્યા છે?

જો કોઈ નિયમમાં ઘણી બધી હિટ (મેચ) હોય, તો તેને ખૂબ જ ટોચ પર મૂકવાની ભલામણ કરવામાં આવે છે, અને ઓછી સંખ્યામાં હિટ સાથેના નિયમો - ખૂબ જ તળિયે. મુખ્ય વસ્તુ એ સુનિશ્ચિત કરવાની છે કે તેઓ એકબીજાને છેદતા નથી અને એકબીજાને ઓવરલેપ કરતા નથી. ભલામણ કરેલ ફાયરવોલ પોલિસી આર્કિટેક્ચર:

સ્પષ્ટતાઓ:

પ્રથમ નિયમો - સૌથી વધુ મેચ ધરાવતા નિયમો અહીં મૂકવામાં આવ્યા છે
ઘોંઘાટનો નિયમ - NetBIOS જેવા નકલી ટ્રાફિકને છોડવા માટેનો નિયમ
સ્ટીલ્થ નિયમ - ગેટવે નિયમોના પ્રમાણીકરણમાં ઉલ્લેખિત સ્ત્રોતો સિવાય, બધાને ગેટવેની ઍક્સેસ અને સંચાલન પર પ્રતિબંધ
ક્લીન-અપ, લાસ્ટ અને ડ્રોપ નિયમોને સામાન્ય રીતે એક નિયમમાં જોડવામાં આવે છે જેથી તે દરેક વસ્તુને પ્રતિબંધિત કરવામાં આવે જે પહેલાં મંજૂરી ન હતી.

શ્રેષ્ઠ પ્રેક્ટિસ ડેટામાં વર્ણવેલ છે sk106597.

3.8. એડમિનિસ્ટ્રેટર્સ દ્વારા બનાવવામાં આવેલી સેવાઓ માટે સેટિંગ્સ શું છે?

ઉદાહરણ તરીકે, અમુક TCP સેવા ચોક્કસ પોર્ટ પર બનાવવામાં આવી રહી છે, અને સેવાની અદ્યતન સેટિંગ્સમાં "કોઈપણ માટે મેચ" ને અનચેક કરવાનું અર્થપૂર્ણ છે. આ કિસ્સામાં, આ સેવા ખાસ કરીને તે નિયમ હેઠળ આવશે જેમાં તે દેખાય છે અને તે નિયમોમાં ભાગ લેશે નહીં જ્યાં કોઈપણ સેવા કૉલમમાં છે.

સેવાઓ વિશે બોલતા, તે ઉલ્લેખનીય છે કે કેટલીકવાર સમયસમાપ્તિમાં ફેરફાર કરવો જરૂરી છે. આ સેટિંગ તમને ગેટવે સંસાધનોનો વધુ બુદ્ધિપૂર્વક ઉપયોગ કરવાની મંજૂરી આપશે, જેથી પ્રોટોકોલ્સ માટે વધારાનો TCP/UDP સત્ર સમય ન રાખવો કે જેને મોટા સમયસમાપ્તિની જરૂર નથી. ઉદાહરણ તરીકે, નીચેના સ્ક્રીનશોટમાં, મેં ડોમેન-યુડીપી સેવાનો સમયસમાપ્તિ 40 સેકન્ડથી 30 સેકન્ડમાં બદલ્યો છે.

3.9. શું SecureXL નો ઉપયોગ થાય છે અને પ્રવેગકની ટકાવારી કેટલી છે?

તમે ગેટવે પર નિષ્ણાત મોડમાં મુખ્ય આદેશો સાથે SecureXL ની ગુણવત્તા ચકાસી શકો છો fwaccel સ્ટેટ и fw accelstats -s. આગળ, તમારે આકૃતિ કરવાની જરૂર છે કે કયા પ્રકારનો ટ્રાફિક ઝડપી થઈ રહ્યો છે, તમે કયા નમૂનાઓ (ટેમ્પ્લેટ્સ) વધુ બનાવી શકો છો.

મૂળભૂત રીતે, ડ્રોપ ટેમ્પલેટ્સ સક્ષમ નથી, તેમને સક્ષમ કરવાથી SecureXL ના સંચાલન પર હકારાત્મક અસર પડશે. આ કરવા માટે, ગેટવે સેટિંગ્સ અને ઑપ્ટિમાઇઝેશન ટેબ પર જાઓ:

ઉપરાંત, ક્લસ્ટર સાથે કામ કરતી વખતે, CPU ને ઑપ્ટિમાઇઝ કરવા માટે, તમે બિન-જટિલ સેવાઓ, જેમ કે UDP DNS, ICMP અને અન્યના સિંક્રનાઇઝેશનને અક્ષમ કરી શકો છો. આ કરવા માટે, સર્વિસ સેટિંગ્સ → એડવાન્સ્ડ → સિંક્રનાઇઝ કનેક્શન્સ ઑફ સ્ટેટ સિંક્રોનાઇઝેશન પર જાઓ ક્લસ્ટર પર સક્ષમ છે.

તમામ શ્રેષ્ઠ પ્રથાઓ માં વર્ણવેલ છે sk98348.

3.10. CoreXl નો ઉપયોગ કેવી રીતે થાય છે?

CoreXL ટેક્નોલોજી, જે તમને ફાયરવોલ ઇન્સ્ટન્સ (ફાયરવોલ મોડ્યુલ્સ) માટે બહુવિધ CPU નો ઉપયોગ કરવાની મંજૂરી આપે છે, તે ચોક્કસપણે ઉપકરણ પ્રદર્શનને ઑપ્ટિમાઇઝ કરવામાં મદદ કરે છે. પ્રથમ ટીમ fw ctl એફિનિટી -l -a વપરાયેલ ફાયરવોલ દાખલાઓ અને જરૂરી SND (એક મોડ્યુલ કે જે ફાયરવોલ સંસ્થાઓને ટ્રાફિકનું વિતરણ કરે છે) ને આપવામાં આવેલ પ્રોસેસર્સ બતાવશે. જો બધા પ્રોસેસરો સામેલ ન હોય, તો તેઓ આદેશ સાથે ઉમેરી શકાય છે cpconfig પ્રવેશદ્વાર પર.
તેમજ એક સારી વાર્તા મુકવાની છે હોટફિક્સ બહુ-કતાર સક્ષમ કરવા માટે. જ્યારે SND સાથેના પ્રોસેસરનો ઉપયોગ ઘણા ટકા દ્વારા કરવામાં આવે છે, અને અન્ય પ્રોસેસરો પર ફાયરવોલના દાખલાઓ નિષ્ક્રિય હોય ત્યારે બહુ-કતાર સમસ્યાનું નિરાકરણ લાવે છે. પછી SND એક NIC માટે ઘણી કતાર બનાવવા અને કર્નલ સ્તરે વિવિધ ટ્રાફિક માટે વિવિધ પ્રાથમિકતાઓ સેટ કરવામાં સક્ષમ હશે. પરિણામે, CPU કોરોનો ઉપયોગ વધુ બુદ્ધિપૂર્વક કરવામાં આવશે. પદ્ધતિઓ પણ વર્ણવેલ છે sk98348.

નિષ્કર્ષમાં, હું કહેવા માંગુ છું કે આ ચેક પોઈન્ટને ઓપ્ટિમાઇઝ કરવા માટેની તમામ શ્રેષ્ઠ પદ્ધતિઓથી દૂર છે, પરંતુ સૌથી વધુ લોકપ્રિય છે. જો તમે તમારી સુરક્ષા નીતિના ઓડિટની વિનંતી કરવા માંગતા હોવ અથવા ચેક પોઈન્ટ સમસ્યાને ઉકેલવા માંગતા હો, તો કૃપા કરીને સંપર્ક કરો [ઇમેઇલ સુરક્ષિત].

તમારું ધ્યાન બદલ આભાર!

સોર્સ: www.habr.com