{"id":94118,"date":"2020-09-13T07:42:29","date_gmt":"2020-09-13T05:42:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii"},"modified":"2020-09-13T07:42:29","modified_gmt":"2020-09-13T05:42:29","slug":"7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","title":{"rendered":"7. NGFW per piccole imprese. Prestazioni e raccomandazioni generali","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7.<\/p>\n

\u00c8 giunto il momento di concludere il ciclo di articoli sulla nuova generazione SMB Check Point (serie 1500). Speriamo che questa sia stata un'esperienza utile per voi e che continuiate a seguirci nel blog di TS Solution. L'argomento dell'articolo conclusivo, sebbene non molto trattato, \u00e8 altrettanto importante \u2014 il tuning delle prestazioni SMB. In questo articolo discuteremo le possibilit\u00e0 di configurazione sia hardware che software del NGFW, descrivendo i comandi disponibili e le modalit\u00e0 di interazione.<\/p>\n

Tutti gli articoli del ciclo sul NGFW per le piccole imprese: <\/p>\n

    \n
  1. \n

    Nuova linea di prodotti CheckPoint 1500 Security Gateway<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  2. \n

    Disimballaggio e configurazione<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  3. \n

    Trasmissione dati wireless: WiFi e LTE<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  4. \n

    VPN<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  5. \n

    Gestione cloud SMP<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  6. \n

    Smart-1 Cloud<\/u><\/a><\/noindex><\/p>\n<\/li>\n<\/ol>\n

    Attualmente non ci sono molte fonti di informazione sul tuning delle prestazioni per le soluzioni SMB a causa limitazioni<\/u><\/a><\/noindex> del sistema operativo interno \u2014 Gaia 80.20 Embedded. Nel nostro articolo utilizzeremo un modello con gestione centralizzata (Management Server dedicato) \u2014 questo permette di applicare un maggior numero di strumenti durante l'utilizzo del NGFW.<\/p>\n

    Parte hardware<\/h2>\n

    Prima di trattare l'architettura della famiglia Check Point SMB, potete sempre rivolgervi al vostro partner affinch\u00e9 utilizzi l'utility Appliance Sizing Tool<\/em>, per selezionare la soluzione ottimale in base alle specifiche richieste (capacit\u00e0 di trasmissione, numero previsto di utenti, ecc.).<\/p>\n

    Note importanti per l'interazione con la parte hardware del vostro NGFW<\/p>\n

      \n
    1. \n

      Le soluzioni NGFW della famiglia SMB non hanno la possibilit\u00e0 di effettuare upgrade hardware dei componenti di sistema (CPU, RAM, HDD); a seconda del modello, c'\u00e8 supporto per schede SD, il che consente di espandere la capacit\u00e0 del disco, sebbene in modo limitato.<\/p>\n<\/li>\n

    2. \n

      Il funzionamento delle interfacce di rete richiede monitoraggio. In Gaia 80.20 Embedded ci sono pochi strumenti di monitoraggio, ma potete sempre utilizzare il comando noto nel CLI in modalit\u00e0 Expert <\/p>\n

      # ifconfig<\/em><\/p>\n

      \"7.<\/p>\n

      Prestate attenzione alle righe sottolineate, poich\u00e9 vi permetteranno di valutare il numero di errori sull'interfaccia. \u00c8 altamente raccomandato controllare questi parametri durante l'implementazione iniziale del vostro NGFW, cos\u00ec come periodicamente durante il suo utilizzo.<\/p>\n<\/li>\n

    3. \n

      Per una Gaia completa, c'\u00e8 un comando: <\/p>\n

      > show diag <\/p>\n

      Con esso, \u00e8 possibile ottenere informazioni sulla temperatura dell'hardware. Purtroppo, in 80.20 Embedded questa opzione non \u00e8 disponibile, di seguito i trap SNMP pi\u00f9 comuni:<\/p>\n

      Nome <\/strong><\/p>\n

      Descrizione<\/strong><\/p>\n

      Interfaccia disconnessa<\/em><\/p>\n

      Disconnessione dell'interfaccia<\/p>\n

      VLAN rimossa<\/em><\/p>\n

      Rimozione della VLAN<\/p>\n

      Utilizzo elevato della memoria<\/em><\/p>\n

      Basso spazio disponibile su HDD<\/p>\n

      Utilizzo elevato della CPU<\/em><\/p>\n

      Utilizzo elevato della RAM<\/p>\n

      Alta frequenza di interruzioni della CPU<\/em><\/p>\n

      Alto tasso di nuove connessioni<\/p>\n

      Alto numero di sessioni concorrenti<\/em><\/p>\n

      Elevata capacit\u00e0 del firewall<\/p>\n

      Alto tasso di pacchetti accettati<\/em><\/p>\n

      Alta congestione delle interfacce<\/p>\n

      Stato del membro del cluster cambiato<\/em><\/p>\n

      Errore nella connessione con il server di log<\/p>\n

      La vostra gateway richiede monitoraggio della RAM. Per Gaia (sistema operativo simile a Linux) \u00e8<\/em><\/p>\n

      una situazione normale<\/p>\n

      , quando il consumo di RAM arriva al 70-80%.<\/em><\/p>\n

      Nell'architettura delle soluzioni SMB non \u00e8 previsto l'uso della memoria SWAP, a differenza dei modelli Check Point pi\u00f9 avanzati. Tuttavia, nei file di sistema Linux \u00e8 stata trovata , il che indica la possibilit\u00e0 teorica di modificare il parametro SWAP.<\/p>\n

      Parte software<\/em><\/p>\n

      Al momento della pubblicazione dell'articolo<\/p>\n

      l'attuale<\/em><\/p>\n

      Perdita di connessione con il Log-Server<\/p>\n<\/li>\n

    4. \n

      Il funzionamento del vostro gateway richiede il monitoraggio della RAM. Per il funzionamento di Gaia (sistema operativo simile a Linux) questo \u00e8 una situazione normale<\/u><\/a><\/noindex>, quando l'uso della RAM raggiunge il 70-80%. <\/p>\n

      Nell'architettura delle soluzioni SMB non \u00e8 prevista l'uso della memoria SWAP, a differenza dei modelli pi\u00f9 vecchi di Check Point. Tuttavia, nei file di sistema di Linux \u00e8 stata notata , il che indica la possibilit\u00e0 teorica di modificare il parametro SWAP.<\/p>\n<\/li>\n<\/ol>\n

      Parte software<\/h2>\n

      Al momento della pubblicazione dell'articolo la versione attuale<\/u><\/a><\/noindex> versione di Gaia \u2014 80.20.10. Dovete sapere che ci sono limitazioni nell'uso del CLI:  in modalit\u00e0 Expert sono supportati alcuni comandi Linux. Per valutare il funzionamento del NGFW, \u00e8 necessario analizzare il funzionamento dei demoni e dei servizi; maggiori dettagli possono essere trovati nell' articolo<\/u><\/a><\/noindex> articolo del mio collega. Esamineremo i comandi disponibili per SMB.<\/p>\n

      Lavorare con Gaia OS<\/p>\n

        \n
      1. \n

        Visualizzazione dei modelli SecureXL<\/p>\n

        # fwaccel stat<\/strong><\/p>\n

        \"7.<\/li>\n

      2. \n

        Visualizzazione del carico della CPU<\/p>\n

        # fw ctl multik stat<\/strong><\/p>\n

        \"7.<\/li>\n

      3. \n

        Visualizzazione del numero di sessioni (connessioni).<\/p>\n

        # fw ctl pstat<\/strong><\/p>\n

        \"7.<\/li>\n

      4. \n

        *Visualizzazione dello stato del cluster<\/p>\n

        # cphaprob stat<\/strong><\/p>\n

        \"7.<\/li>\n

      5. \n

        Il classico comando Linux TOP<\/p>\n<\/li>\n<\/ol>\n

        Registrazione<\/h3>\n

        Come sapete, ci sono tre modalit\u00e0 per gestire i log del NGFW (archiviazione, elaborazione): localmente, centralmente e nel cloud. Le ultime due opzioni implicano la presenza di un'entit\u00e0 \u2014 Management Server. <\/p>\n

        Schema di gestione NGFW\"7.<\/p>\n

        I file di log pi\u00f9 preziosi<\/p>\n

          \n
        1. \n

          Messaggi di sistema (contiene meno informazioni rispetto a Gaia completa)<\/p>\n

          # tail -f \/var\/log\/messages2<\/strong><\/p>\n

          \"7.<\/li>\n

        2. \n

          Messaggi di errore nel funzionamento delle schede (file utile per la risoluzione dei problemi)<\/p>\n

          # tail -f \/var\/log\/log\/sfwd.elg<\/strong><\/p>\n

          \"7.<\/li>\n

        3. \n

          Visualizzazione dei messaggi dal buffer a livello di kernel.<\/p>\n

          # dmesg<\/strong><\/p>\n

          \"7.<\/li>\n<\/ol>\n

          Configurazione delle schede<\/h2>\n

          Questa sezione non conterr\u00e0 istruzioni complete per la configurazione del vostro NGFW Check Point, ma solo le nostre raccomandazioni frutto di esperienza. <\/p>\n

          Application Control \/ URL Filtering<\/p>\n