चेक प्वाइंट: सीपीयू और रैम ऑप्टिमाइज़ेशन

नमस्ते सहयोगियों! आज मैं कई चेक प्वाइंट प्रशासकों के लिए एक बहुत ही प्रासंगिक विषय पर चर्चा करना चाहूंगा, "सीपीयू और रैम ऑप्टिमाइज़ेशन"। गेटवे और/या प्रबंधन सर्वर के लिए इन संसाधनों में से कई का अप्रत्याशित रूप से उपभोग करना असामान्य नहीं है, और कोई यह समझना चाहेगा कि वे "लीक" कहां हैं और यदि संभव हो तो उन्हें अधिक सक्षमता से उपयोग करें।

1. विश्लेषण

प्रोसेसर लोड का विश्लेषण करने के लिए, निम्न आदेशों का उपयोग करना उपयोगी होता है, जो विशेषज्ञ मोड में दर्ज किए जाते हैं:

ऊपर का सभी प्रक्रियाओं को दिखाता है, सीपीयू और रैम संसाधनों की खपत प्रतिशत, अपटाइम, प्रक्रिया प्राथमिकता और में अन्य वास्तविक समय मेंи

cpwd_admin सूची चेक प्वाइंट वॉचडॉग डेमन, जो सभी एपलाइन मॉड्यूल, उनके पीआईडी, स्थिति और रन की संख्या दिखाता है

सीपीस्टैट -एफ सीपीयू ओएस सीपीयू उपयोग, उनकी संख्या और प्रोसेसर समय का वितरण प्रतिशत में

cpstat -f मेमोरी os वर्चुअल रैम का उपयोग, कितना सक्रिय, मुफ्त रैम और बहुत कुछ

सही टिप्पणी यह ​​है कि सभी cpstat कमांड को यूटिलिटी का उपयोग करके देखा जा सकता है सीपीव्यू. ऐसा करने के लिए, आपको SSH सत्र में किसी भी मोड से cpview कमांड दर्ज करने की आवश्यकता है।

पुनश्च औक्सव्फ़ रैम, सीपीयू में सभी प्रक्रियाओं, उनकी आईडी, कब्जे वाली वर्चुअल मेमोरी और मेमोरी की एक लंबी सूची

कमांड का एक और रूपांतर:

पीएस-एएफ सबसे महंगी प्रक्रिया दिखाएं

fw ctl आत्मीयता -l -a फ़ायरवॉल के विभिन्न उदाहरणों के लिए कोर का वितरण, यानी CoreXL तकनीक

परिवार कल्याण सीटीएल pstat RAM विश्लेषण और कनेक्शन, कुकीज़, NAT के सामान्य संकेतक

मुक्त एम रैम बफर

टीम विशेष ध्यान देने योग्य है। नेटसैट और इसकी विविधताएँ। उदाहरण के लिए, नेटस्टैट -आई क्लिपबोर्ड की निगरानी की समस्या को हल करने में मदद कर सकता है। इस कमांड के आउटपुट में पैरामीटर, RX गिरा हुआ पैकेट (RX-DRP) अवैध प्रोटोकॉल ड्रॉप्स (IPv6, खराब / अनपेक्षित VLAN टैग और अन्य) के कारण अपने आप बढ़ने लगता है। हालांकि, अगर ड्रॉप्स किसी और वजह से होता है, तो आपको इसका इस्तेमाल करना चाहिए लेखजांच शुरू करने के लिए कि यह नेटवर्क इंटरफ़ेस पैकेट क्यों गिरा रहा है। कारण जानने के बाद, एपलाइन के संचालन को भी अनुकूलित किया जा सकता है।

यदि मॉनिटरिंग ब्लेड सक्षम है, तो आप किसी ऑब्जेक्ट पर क्लिक करके और डिवाइस और लाइसेंस जानकारी का चयन करके इन मेट्रिक्स को स्मार्ट कंसोल में ग्राफिक रूप से देख सकते हैं।

मॉनिटरिंग ब्लेड को निरंतर आधार पर सक्षम करने की अनुशंसा नहीं की जाती है, लेकिन यह एक परीक्षण के लिए एक दिन के लिए काफी संभव है।

इसके अलावा, आप निगरानी के लिए और पैरामीटर जोड़ सकते हैं, उनमें से एक बहुत उपयोगी है - बाइट्स थ्रूपुट (एप्लिकेशन बैंडविड्थ)।

यदि कोई अन्य निगरानी प्रणाली है, उदाहरण के लिए, नि: शुल्क Zabbix, जो एसएनएमपी पर आधारित है, यह इन समस्याओं की पहचान करने के लिए भी उपयुक्त है।

2. RAM समय के साथ "लीक" होती है

अक्सर यह सवाल उठता है कि समय के साथ, गेटवे या प्रबंधन सर्वर अधिक से अधिक रैम का उपभोग करना शुरू कर देता है। मैं आपको आश्वस्त करना चाहता हूं: लिनक्स जैसी प्रणालियों के लिए यह एक सामान्य कहानी है।

कमांड आउटपुट को देखते हुए मुक्त एम и cpstat -f मेमोरी os एपलाइन पर विशेषज्ञ मोड से, आप रैम से संबंधित सभी मापदंडों की गणना और देख सकते हैं।

इस समय गेटवे पर उपलब्ध मेमोरी के आधार पर फ्री मेमोरी + बफ़र्स मेमोरी + कैश्ड मेमोरी = +-1.5 जीबी, आम तौर पर।

जैसा कि एसआर कहते हैं, समय के साथ गेटवे/प्रबंधन सर्वर अनुकूलित हो जाता है और अधिक से अधिक मेमोरी का उपयोग करता है, लगभग 80% उपयोग तक, और बंद हो जाता है। आप डिवाइस को रीबूट कर सकते हैं और फिर संकेतक रीसेट हो जाएगा। गेटवे के लिए सभी कार्यों को करने के लिए 1.5 जीबी मुफ्त रैम निश्चित रूप से पर्याप्त है, और प्रबंधन शायद ही कभी ऐसे थ्रेसहोल्ड मूल्यों तक पहुंचता है।

साथ ही, उल्लिखित कमांड का आउटपुट दिखाएगा कि आपके पास कितना है कम स्मृति (यूजर स्पेस में रैम) और उच्च स्मृति (कर्नेल स्पेस में रैम) का इस्तेमाल किया।

कर्नेल प्रक्रियाएं (चेक प्वाइंट कर्नेल मॉड्यूल जैसे सक्रिय मॉड्यूल सहित) केवल कम मेमोरी का उपयोग करती हैं। हालाँकि, उपयोगकर्ता प्रक्रियाएँ निम्न और उच्च मेमोरी दोनों का उपयोग कर सकती हैं। इसके अलावा, कम मेमोरी लगभग बराबर है कुल मेमोरी.

लॉग में त्रुटियां होने पर आपको केवल चिंता करनी चाहिए "मॉड्यूल रीबूट या ओओएम (स्मृति से बाहर) के कारण स्मृति को पुनः प्राप्त करने के लिए प्रक्रियाओं को मार दिया जा रहा है". फिर आपको गेटवे को रीबूट करना चाहिए और अगर रीबूट मदद नहीं करता है तो समर्थन से संपर्क करें।

में पूरा विवरण मिल सकता है sk99547 и sk99593.

3. अनुकूलन

नीचे CPU और RAM ऑप्टिमाइज़ेशन के बारे में प्रश्न और उत्तर दिए गए हैं। आपको उन्हें अपने आप को ईमानदारी से जवाब देना चाहिए और सिफारिशों को सुनना चाहिए।

3.1। क्या अपलाइन सही तरीके से चुनी गई थी? क्या कोई पायलट प्रोजेक्ट था?

सक्षम आकार के बावजूद, नेटवर्क बस बढ़ सकता है, और यह उपकरण केवल भार का सामना नहीं कर सकता। दूसरा विकल्प, अगर ऐसा कोई आकार नहीं था।

3.2। क्या HTTPS निरीक्षण सक्षम है? यदि हां, तो क्या तकनीक सर्वोत्तम अभ्यास के अनुसार कॉन्फ़िगर की गई है?

को देखें लेखयदि आप हमारे ग्राहक हैं, या करने के लिए sk108202.

HTTPS निरीक्षण नीति में नियमों के क्रम का HTTPS साइटों के उद्घाटन को अनुकूलित करने में बहुत महत्व है।

नियमों का अनुशंसित क्रम:

1. श्रेणियों/यूआरएल के साथ बाईपास नियम
2. श्रेणियों/यूआरएल के साथ नियमों का निरीक्षण करें
3. अन्य सभी श्रेणियों के लिए नियमों का निरीक्षण करें

फ़ायरवॉल नीति के अनुरूप, चेक प्वाइंट ऊपर से नीचे तक एक पैकेट मैच की तलाश करता है, इसलिए बायपास नियमों को सबसे ऊपर रखा जाता है, क्योंकि यदि इस पैकेट को छोड़ने की आवश्यकता है तो गेटवे सभी नियमों के माध्यम से संसाधनों को बर्बाद नहीं करेगा।

3.3 क्या एड्रेस-रेंज ऑब्जेक्ट का उपयोग किया जाता है?

नेटवर्क 192.168.0.0-192.168.5.0 जैसे कई पतों वाली वस्तुएं, 5 नेटवर्क ऑब्जेक्ट्स की तुलना में काफी अधिक RAM का उपभोग करती हैं। सामान्य तौर पर, SmartConsole में अप्रयुक्त वस्तुओं को हटाने के लिए अच्छा अभ्यास माना जाता है, क्योंकि हर बार जब कोई नीति निर्धारित की जाती है, तो गेटवे और प्रबंधन सर्वर संसाधन खर्च करते हैं और सबसे महत्वपूर्ण बात यह है कि नीति को सत्यापित करने और लागू करने में समय लगता है।

3.4। खतरा निवारण नीति कैसे कॉन्फ़िगर की जाती है?

सबसे पहले, चेक प्वाइंट आईपीएस को एक अलग प्रोफाइल में ले जाने और इस ब्लेड के लिए अलग नियम बनाने की सिफारिश करता है।

उदाहरण के लिए, एक व्यवस्थापक सोचता है कि DMZ खंड को केवल IPS से ही सुरक्षित किया जाना चाहिए। इसलिए, गेटवे के लिए अन्य ब्लेडों द्वारा प्रसंस्करण पैकेट पर संसाधनों को बर्बाद नहीं करने के लिए, विशेष रूप से इस खंड के लिए एक प्रोफ़ाइल के साथ एक नियम बनाना आवश्यक है जिसमें केवल आईपीएस सक्षम है।

प्रोफ़ाइल सेट करने के संबंध में, इसमें सर्वोत्तम प्रथाओं के अनुसार इसे सेट करने की अनुशंसा की जाती है दस्तावेज़(पृष्ठ 17-20)।

3.5। आईपीएस सेटिंग्स में डिटेक्ट मोड में कितने हस्ताक्षर हैं?

इस अर्थ में हस्ताक्षर पर कड़ी मेहनत करने की सिफारिश की जाती है कि अप्रयुक्त हस्ताक्षर अक्षम होने चाहिए (उदाहरण के लिए, Adobe उत्पादों के संचालन के लिए हस्ताक्षर के लिए बहुत अधिक कंप्यूटिंग शक्ति की आवश्यकता होती है, और यदि ग्राहक के पास ऐसे उत्पाद नहीं हैं, तो यह अक्षम करने के लिए समझ में आता है हस्ताक्षर)। फिर जहां संभव हो वहां डिटेक्ट के बजाय प्रिवेंट डालें, क्योंकि गेटवे डिटेक्ट मोड में पूरे कनेक्शन को संसाधित करने के लिए संसाधनों को खर्च करता है, प्रिवेंट मोड में यह तुरंत कनेक्शन को गिरा देता है और पैकेट के पूर्ण प्रसंस्करण पर संसाधनों को बर्बाद नहीं करता है।

3.6। थ्रेट एमुलेशन, थ्रेट एक्सट्रैक्शन, एंटी-वायरस ब्लेड्स द्वारा किन फाइलों को प्रोसेस किया जाता है?

उन एक्सटेंशन फ़ाइलों का अनुकरण और विश्लेषण करने का कोई अर्थ नहीं है जिन्हें आपके उपयोगकर्ता डाउनलोड नहीं करते हैं या आप अपने नेटवर्क पर अनावश्यक मानते हैं (उदाहरण के लिए, फ़ायरवॉल स्तर पर कंटेंट अवेयरनेस ब्लेड का उपयोग करके बैट, एक्सई फ़ाइलों को आसानी से ब्लॉक किया जा सकता है, इसलिए गेटवे संसाधन होंगे कम खर्च किया)। इसके अलावा, थ्रेट एमुलेशन सेटिंग्स में, आप सैंडबॉक्स में खतरों का अनुकरण करने के लिए पर्यावरण (ऑपरेटिंग सिस्टम) का चयन कर सकते हैं और पर्यावरण विंडोज 7 स्थापित कर सकते हैं जब सभी उपयोगकर्ता 10 वें संस्करण के साथ काम कर रहे हों, तो इसका भी कोई मतलब नहीं है।

3.7। क्या फ़ायरवॉल और एप्लिकेशन लेयर नियम सर्वोत्तम अभ्यास के अनुसार रखे गए हैं?

यदि किसी नियम में बहुत अधिक हिट (मैच) हैं, तो उन्हें सबसे ऊपर रखने की सिफारिश की जाती है, और बहुत कम संख्या में हिट वाले नियम - बहुत नीचे। मुख्य बात यह सुनिश्चित करना है कि वे प्रतिच्छेद न करें और एक दूसरे को ओवरलैप न करें। अनुशंसित फ़ायरवॉल नीति संरचना:

स्पष्टीकरण:

प्रथम नियम - सबसे अधिक मिलान वाले नियम यहां रखे गए हैं
शोर नियम - NetBIOS जैसे नकली ट्रैफ़िक को छोड़ने का नियम
स्टील्थ नियम - गेटवे और प्रबंधन तक सभी के लिए पहुंच का निषेध, उन स्रोतों को छोड़कर जो गेटवे नियमों के प्रमाणीकरण में निर्दिष्ट किए गए थे
क्लीन-अप, लास्ट और ड्रॉप रूल्स को आम तौर पर एक नियम में जोड़ दिया जाता है ताकि उन सभी चीजों को प्रतिबंधित किया जा सके जिनकी पहले अनुमति नहीं थी

सर्वोत्तम अभ्यास डेटा में वर्णित है sk106597.

3.8। व्यवस्थापकों द्वारा बनाई गई सेवाओं के लिए सेटिंग्स क्या हैं?

उदाहरण के लिए, एक विशिष्ट पोर्ट पर कुछ टीसीपी सेवा बनाई जा रही है, और यह सेवा की उन्नत सेटिंग्स में "किसी के लिए मिलान" को अनचेक करने के लिए समझ में आता है। इस मामले में, यह सेवा विशेष रूप से उस नियम के अंतर्गत आएगी जिसमें यह प्रकट होता है, और उन नियमों में भाग नहीं लेगी जहां कोई भी सेवा कॉलम में है।

सेवाओं की बात करते हुए, यह उल्लेखनीय है कि कभी-कभी टाइमआउट को ट्वीक करना आवश्यक होता है। यह सेटिंग आपको गेटवे संसाधनों का अधिक बुद्धिमानी से उपयोग करने की अनुमति देगी, ताकि उन प्रोटोकॉल के लिए अतिरिक्त टीसीपी/यूडीपी सत्र समय न रखा जा सके जिन्हें बड़े टाइमआउट की आवश्यकता नहीं है। उदाहरण के लिए, नीचे दिए गए स्क्रीनशॉट में, मैंने डोमेन-udp सर्विस टाइमआउट को 40 सेकंड से 30 सेकंड में बदल दिया है।

3.9। क्या SecureXL का उपयोग किया जाता है और त्वरण का प्रतिशत क्या है?

आप गेटवे पर विशेषज्ञ मोड में मुख्य आदेशों के साथ SecureXL की गुणवत्ता की जांच कर सकते हैं fwaccel स्टेट и fw accelstats -s. अगला, आपको यह पता लगाने की आवश्यकता है कि किस प्रकार का ट्रैफ़िक बढ़ रहा है, आप कौन से टेम्प्लेट (टेम्प्लेट) बना सकते हैं।

डिफ़ॉल्ट रूप से, ड्रॉप टेम्प्लेट सक्षम नहीं होते हैं, उन्हें सक्षम करने से SecureXL के संचालन पर सकारात्मक प्रभाव पड़ेगा। ऐसा करने के लिए, गेटवे सेटिंग्स और ऑप्टिमाइज़ेशन टैब पर जाएँ:

साथ ही, क्लस्टर के साथ काम करते समय, CPU को अनुकूलित करने के लिए, आप गैर-महत्वपूर्ण सेवाओं, जैसे UDP DNS, ICMP, और अन्य के सिंक्रनाइज़ेशन को अक्षम कर सकते हैं। ऐसा करने के लिए, सेवा सेटिंग्स पर जाएं → उन्नत → क्लस्टर पर स्टेट सिंक्रोनाइज़ेशन के सिंक्रोनाइज़ कनेक्शन सक्षम हैं।

में सभी सर्वोत्तम अभ्यासों का वर्णन किया गया है sk98348.

3.10। CoreXl का उपयोग कैसे किया जाता है?

CoreXL तकनीक, जो आपको फ़ायरवॉल इंस्टेंसेस (फ़ायरवॉल मॉड्यूल) के लिए कई CPU का उपयोग करने की अनुमति देती है, निश्चित रूप से डिवाइस के प्रदर्शन को अनुकूलित करने में मदद करती है। टीम पहले fw ctl आत्मीयता -l -a उपयोग किए गए फ़ायरवॉल इंस्टेंसेस और आवश्यक एसएनडी (एक मॉड्यूल जो फ़ायरवॉल संस्थाओं को ट्रैफ़िक वितरित करता है) को दिए गए प्रोसेसर दिखाएगा। यदि सभी प्रोसेसर शामिल नहीं हैं, तो उन्हें कमांड के साथ जोड़ा जा सकता है cpconfig प्रवेश द्वार पर।
साथ ही एक अच्छी कहानी भी डालनी है HotFix मल्टी-क्यू को सक्षम करने के लिए। मल्टी-क्यू समस्या को हल करता है जब एसएनडी के साथ प्रोसेसर कई प्रतिशत उपयोग किया जाता है, और अन्य प्रोसेसर पर फ़ायरवॉल इंस्टेंसेस निष्क्रिय हैं। तब एसएनडी एक एनआईसी के लिए कई कतारें बनाने और कर्नेल स्तर पर विभिन्न ट्रैफ़िक के लिए अलग-अलग प्राथमिकताएँ निर्धारित करने में सक्षम होगा। नतीजतन, सीपीयू कोर का अधिक बुद्धिमानी से उपयोग किया जाएगा। विधियों का भी वर्णन किया गया है sk98348.

अंत में, मैं यह कहना चाहूंगा कि चेक प्वाइंट के अनुकूलन के लिए ये सभी सर्वोत्तम अभ्यास नहीं हैं, लेकिन सबसे लोकप्रिय हैं। यदि आप अपनी सुरक्षा नीति के ऑडिट का अनुरोध करना चाहते हैं या चेक प्वाइंट समस्या का समाधान करना चाहते हैं, तो कृपया संपर्क करें [ईमेल संरक्षित].

धन्यवाद!

स्रोत: www.habr.com