7. छोटे व्यवसायों के लिए एनजीएफडब्ल्यू। प्रदर्शन और सामान्य सिफ़ारिशें

एसएमबी चेक प्वाइंट (1500 श्रृंखला) की नई पीढ़ी के बारे में लेखों की श्रृंखला को पूरा करने का समय आ गया है। हमें उम्मीद है कि यह आपके लिए एक फायदेमंद अनुभव था और आप टीएस सॉल्यूशन ब्लॉग पर हमारे साथ बने रहेंगे। अंतिम लेख का विषय व्यापक रूप से कवर नहीं किया गया है, लेकिन कम महत्वपूर्ण नहीं है - एसएमबी प्रदर्शन ट्यूनिंग। इसमें हम एनजीएफडब्ल्यू के हार्डवेयर और सॉफ्टवेयर के लिए कॉन्फ़िगरेशन विकल्पों पर चर्चा करेंगे, उपलब्ध कमांड और इंटरैक्शन के तरीकों का वर्णन करेंगे।

छोटे व्यवसायों के लिए एनजीएफडब्ल्यू के बारे में श्रृंखला के सभी लेख:

1. नई चेकप्वाइंट 1500 सुरक्षा गेटवे लाइन

2. अनबॉक्सिंग और सेटअप

3. वायरलेस डेटा ट्रांसमिशन: वाईफाई और एलटीई

4. वीपीएन

5. क्लाउड एसएमपी प्रबंधन

6. स्मार्ट-1 क्लाउड

वर्तमान में, एसएमबी समाधानों के लिए प्रदर्शन ट्यूनिंग के बारे में जानकारी के कई स्रोत नहीं हैं प्रतिबंध आंतरिक ओएस - गैया 80.20 एंबेडेड। हमारे लेख में हम केंद्रीकृत प्रबंधन (समर्पित प्रबंधन सर्वर) के साथ एक लेआउट का उपयोग करेंगे - यह आपको एनजीएफडब्ल्यू के साथ काम करते समय अधिक टूल का उपयोग करने की अनुमति देता है।

हार्डवेयर हिस्सा

चेक प्वाइंट एसएमबी परिवार आर्किटेक्चर को छूने से पहले, आप हमेशा अपने साथी से उपयोगिता का उपयोग करने के लिए कह सकते हैं उपकरण आकार देने का उपकरण, निर्दिष्ट विशेषताओं (थ्रूपुट, उपयोगकर्ताओं की अपेक्षित संख्या, आदि) के अनुसार इष्टतम समाधान का चयन करने के लिए।

आपके एनजीएफडब्ल्यू हार्डवेयर के साथ इंटरैक्ट करते समय महत्वपूर्ण नोट्स

1. एसएमबी परिवार के एनजीएफडब्ल्यू समाधानों में सिस्टम घटकों (सीपीयू, रैम, एचडीडी) को हार्डवेयर अपग्रेड करने की क्षमता नहीं है; मॉडल के आधार पर, एसडी कार्ड के लिए समर्थन है, यह आपको डिस्क क्षमता का विस्तार करने की अनुमति देता है, लेकिन महत्वपूर्ण रूप से नहीं।

2. नेटवर्क इंटरफेस के संचालन के लिए नियंत्रण की आवश्यकता होती है। गैया 80.20 एंबेडेड में कई निगरानी उपकरण नहीं हैं, लेकिन आप विशेषज्ञ मोड के माध्यम से सीएलआई में हमेशा प्रसिद्ध कमांड का उपयोग कर सकते हैं 

   # मैंfconfig

   

   रेखांकित पंक्तियों पर ध्यान दें, वे आपको इंटरफ़ेस पर त्रुटियों की संख्या का अनुमान लगाने की अनुमति देंगे। आपके एनजीएफडब्ल्यू के प्रारंभिक कार्यान्वयन के साथ-साथ संचालन के दौरान समय-समय पर इन मापदंडों की जांच करने की अत्यधिक अनुशंसा की जाती है।

3. पूर्ण गैया के लिए एक आदेश है:

   > डायग दिखाएं

   इसकी मदद से हार्डवेयर के तापमान के बारे में जानकारी प्राप्त करना संभव है। दुर्भाग्य से, यह विकल्प 80.20 एंबेडेड में उपलब्ध नहीं है; हम सबसे लोकप्रिय एसएनएमपी ट्रैप का संकेत देंगे:

   नाम 

   विवरण

   इंटरफ़ेस डिस्कनेक्ट हो गया

   इंटरफ़ेस अक्षम करना

   वीएलएएन हटा दिया गया

   Vlans को हटाना

   उच्च मेमोरी उपयोग

   उच्च रैम उपयोग

   कम डिस्क स्थान

   पर्याप्त HDD स्थान नहीं

   उच्च CPU उपयोग

   उच्च CPU उपयोग

   उच्च CPU व्यवधान दर

   उच्च व्यवधान दर

   उच्च कनेक्शन दर

   नए कनेक्शनों का उच्च प्रवाह

   उच्च समवर्ती कनेक्शन

   प्रतिस्पर्धी सत्रों का उच्च स्तर

   उच्च फ़ायरवॉल थ्रूपुट

   उच्च थ्रूपुट फ़ायरवॉल

   उच्च स्वीकृत पैकेट दर

   उच्च पैकेट रिसेप्शन दर

   क्लस्टर सदस्य स्थिति बदल गई

   क्लस्टर स्थिति बदलना

   लॉग सर्वर त्रुटि के साथ कनेक्शन

   लॉग-सर्वर से कनेक्शन टूट गया

4. आपके गेटवे के संचालन के लिए RAM निगरानी की आवश्यकता होती है। गैया (लिनक्स जैसा ओएस) के काम करने के लिए, यह है सामान्य स्थितिजब RAM की खपत उपयोग के 70-80% तक पहुँच जाती है।

   पुराने चेक प्वाइंट मॉडल के विपरीत, एसएमबी समाधानों की वास्तुकला SWAP मेमोरी के उपयोग के लिए प्रदान नहीं करती है। हालाँकि, Linux सिस्टम फ़ाइलों में इसे देखा गया था , जो SWAP पैरामीटर को बदलने की सैद्धांतिक संभावना को इंगित करता है।

सॉफ्टवेयर हिस्सा है

लेख के प्रकाशन के समय वर्तमान गैया संस्करण - 80.20.10. आपको यह जानना होगा कि सीएलआई में काम करते समय कुछ सीमाएँ हैं: कुछ लिनक्स कमांड विशेषज्ञ मोड में समर्थित हैं। एनजीएफडब्ल्यू के प्रदर्शन का आकलन करने के लिए डेमॉन और सेवाओं के प्रदर्शन का आकलन करने की आवश्यकता है, इसके बारे में अधिक विवरण यहां पाया जा सकता है लेख मेरे सहयोगी। हम SMB के लिए संभावित कमांडों पर गौर करेंगे।

गैया ओएस के साथ काम करना

1. सिक्योरएक्सएल टेम्प्लेट ब्राउज़ करें

   #fwaccelstat

   

2. कोर द्वारा बूट देखें

   # एफडब्ल्यू सीटीएल मल्टीक स्टेट

   

3. सत्रों (कनेक्शन) की संख्या देखें.

   # एफडब्ल्यू सीटीएल पीस्टैट

   

4. *क्लस्टर स्थिति देखें

   #cphaprob स्टेट

   

5. क्लासिक लिनक्स टॉप कमांड

लॉगिंग

जैसा कि आप पहले से ही जानते हैं, एनजीएफडब्ल्यू लॉग (भंडारण, प्रसंस्करण) के साथ काम करने के तीन तरीके हैं: स्थानीय रूप से, केंद्रीय रूप से और क्लाउड में। अंतिम दो विकल्प एक इकाई - प्रबंधन सर्वर की उपस्थिति दर्शाते हैं।

संभावित एनजीएफडब्ल्यू नियंत्रण योजनाएं

सबसे मूल्यवान लॉग फ़ाइलें

1. सिस्टम संदेश (पूर्ण गैया की तुलना में कम जानकारी शामिल है)

   # टेल -f /var/log/messages2

   

2. ब्लेड के संचालन में त्रुटि संदेश (समस्याओं के निवारण के लिए काफी उपयोगी फ़ाइल)

   # टेल -f /var/log/log/sfwd.elg

   

3. सिस्टम कर्नेल स्तर पर बफ़र से संदेश देखें।

   #dmesg

   

ब्लेड विन्यास

इस अनुभाग में आपका एनजीएफडब्ल्यू चेक प्वाइंट स्थापित करने के लिए पूर्ण निर्देश शामिल नहीं होंगे; इसमें केवल अनुभव द्वारा चुनी गई हमारी सिफारिशें शामिल हैं।

एप्लिकेशन नियंत्रण/यूआरएल फ़िल्टरिंग

• नियमों में किसी भी, किसी भी (स्रोत, गंतव्य) शर्तों से बचने की सिफारिश की जाती है।

• कस्टम यूआरएल संसाधन निर्दिष्ट करते समय, नियमित अभिव्यक्तियों का उपयोग करना अधिक प्रभावी होगा जैसे: (^|..)checkpoint.com

• नियम लॉगिंग के अत्यधिक उपयोग और अवरुद्ध पृष्ठों (यूजरचेक) के प्रदर्शन से बचें।

• सुनिश्चित करें कि तकनीक सही ढंग से काम करती है "सिक्योरएक्सएल". अधिकांश यातायात गुजरना चाहिए त्वरित/मध्यम पथ. इसके अलावा, सबसे अधिक उपयोग किए जाने वाले नियमों (फ़ील्ड) के आधार पर नियमों को फ़िल्टर करना न भूलें हिट्स ).

HTTPS-निरीक्षण

यह कोई रहस्य नहीं है कि 70-80% उपयोगकर्ता ट्रैफ़िक HTTPS कनेक्शन से आता है, जिसका अर्थ है कि इसके लिए आपके गेटवे प्रोसेसर से संसाधनों की आवश्यकता होती है। इसके अलावा, HTTPS-निरीक्षण IPS, एंटीवायरस, एंटीबोट के कार्य में भाग लेता है।

संस्करण 80.40 से प्रारंभ हो रहा था अवसर लीगेसी डैशबोर्ड के बिना HTTPS नियमों के साथ काम करने के लिए, यहां कुछ अनुशंसित नियम क्रम दिए गए हैं:

• पतों और नेटवर्कों के समूह (गंतव्य) के लिए बायपास।

• यूआरएल के एक समूह के लिए बायपास.

• आंतरिक आईपी और विशेषाधिकार प्राप्त पहुंच वाले नेटवर्क के लिए बाईपास (स्रोत)।

• आवश्यक नेटवर्क, उपयोगकर्ताओं का निरीक्षण करें

• बाकी सभी के लिए बायपास.

* मैन्युअल रूप से HTTPS या HTTPS प्रॉक्सी सेवाओं का चयन करना और किसी को छोड़ना हमेशा बेहतर होता है। निरीक्षण नियमों के अनुसार ईवेंट लॉग करें।

आईपीएस

यदि बहुत अधिक हस्ताक्षरों का उपयोग किया जाता है तो आईपीएस ब्लेड आपके एनजीएफडब्ल्यू पर नीति स्थापित करने में विफल हो सकता है। के अनुसार लेख चेक प्वाइंट से, एसएमबी डिवाइस आर्किटेक्चर को पूर्ण अनुशंसित आईपीएस कॉन्फ़िगरेशन प्रोफ़ाइल चलाने के लिए डिज़ाइन नहीं किया गया है।

समस्या को हल करने या रोकने के लिए, इन चरणों का पालन करें:

1. "ऑप्टिमाइज़्ड SMB" (या अपनी पसंद का कोई अन्य) नामक ऑप्टिमाइज़्ड प्रोफ़ाइल को क्लोन करें।

2. प्रोफ़ाइल संपादित करें, IPS → Pre R80.Settings अनुभाग पर जाएँ और सर्वर सुरक्षा बंद करें।

   

3. अपने विवेक पर, आप 2010 से पुराने सीवीई को अक्षम कर सकते हैं, ये कमजोरियाँ छोटे कार्यालयों में शायद ही कभी पाई जाती हैं, लेकिन प्रदर्शन को प्रभावित करती हैं। उनमें से कुछ को अक्षम करने के लिए, प्रोफ़ाइल→आईपीएस→अतिरिक्त सक्रियण→सूची को निष्क्रिय करने के लिए सुरक्षा पर जाएं

   

इसके बजाय एक निष्कर्ष की

एसएमबी परिवार (1500) की एनजीएफडब्ल्यू की नई पीढ़ी के बारे में लेखों की एक श्रृंखला के हिस्से के रूप में, हमने समाधान की मुख्य क्षमताओं को उजागर करने की कोशिश की और विशिष्ट उदाहरणों का उपयोग करके महत्वपूर्ण सुरक्षा घटकों के कॉन्फ़िगरेशन का प्रदर्शन किया। हमें टिप्पणियों में उत्पाद के बारे में किसी भी प्रश्न का उत्तर देने में खुशी होगी। हम आपके साथ हैं, आपके ध्यान के लिए धन्यवाद!

टीएस सॉल्यूशन से चेक प्वाइंट पर सामग्रियों का बड़ा चयन. नए प्रकाशनों से न चूकने के लिए, हमारे सोशल नेटवर्क पर अपडेट का पालन करें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग, Yandeks.Dzen).

स्रोत: www.habr.com