Check Point: אופטימיזציה של CPU ו-RAM

שלום עמיתים! היום אני רוצה לדון בנושא מאוד רלוונטי עבור מנהלי צ'ק פוינט רבים: "אופטימיזציה של מעבד ו-RAM." לעיתים קרובות ישנם מקרים בהם השער ו/או שרת הניהול צורכים באופן בלתי צפוי הרבה ממשאבים אלו, וברצוני להבין לאן הם "זורמים" ובמידת האפשר להשתמש בהם בצורה חכמה יותר.

1. ניתוח

כדי לנתח עומס מעבד, כדאי להשתמש בפקודות הבאות, המוזנות במצב מומחה:

חלק עליון מציג את כל התהליכים, כמות משאבי המעבד וה-RAM הנצרכים באחוזים, זמן פעולה, עדיפות תהליכים ו אחר בזמן אמתи

cpwd_admin רשימה Check Point WatchDog Daemon, המציג את כל מודולי היישום, ה-PID שלהם, הסטטוס ומספר ההתחלות שלהם

cpstat -f cpu OS שימוש במעבד, מספרם וחלוקת זמן המעבד באחוזים

cpstat -f זיכרון מערכת הפעלה שימוש בזיכרון RAM וירטואלי, כמה פעיל, זיכרון RAM פנוי ועוד

ההערה הנכונה היא שניתן לצפות בכל פקודות cpstat באמצעות כלי השירות cpview. כדי לעשות זאת, אתה רק צריך להזין את הפקודה cpview מכל מצב בהפעלת SSH.

ps auxwf רשימה ארוכה של כל התהליכים, המזהה שלהם, זיכרון וירטואלי תפוס וזיכרון ב-RAM, CPU

וריאציות פקודה אחרות:

ps-aF יציג את התהליך היקר ביותר

fw ctl זיקה -ל -א הפצה של ליבות עבור מופעי חומת אש שונים, כלומר, טכנולוגיית CoreXL

fw ctl pstat ניתוח RAM ומחווני חיבור כלליים, עוגיות, NAT

ללא תשלום מאגר RAM

הצוות ראוי לתשומת לב מיוחדת netsat והווריאציות שלו. לדוגמה, netstat -i יכול לעזור לפתור את הבעיה של ניטור לוחות כתיבה. הפרמטר, RX droped packets (RX-DRP) בפלט של פקודה זו, ככלל, גדל מעצמו עקב נפילות של פרוטוקולים לא לגיטימיים (IPv6, Bad / Unintended VLAN ואחרים). עם זאת, אם נפילות קורות מסיבה אחרת, עליך להשתמש בזה מאמריםלהתחיל לחקור ולהבין מדוע ממשק רשת נתון מפיל מנות. לאחר שגילינו את הסיבה, ניתן לבצע אופטימיזציה של פעולת האפליקציה.

אם להב הניטור מופעל, אתה יכול להציג מדדים אלה בצורה גרפית ב-SmartConsole על ידי לחיצה על האובייקט ובחירה ב"מידע על מכשיר ורישיון".

לא מומלץ להפעיל את להב הניטור באופן קבוע, אבל ליום בדיקה זה בהחלט אפשרי.

יתרה מכך, ניתן להוסיף פרמטרים נוספים לניטור, אחד מהם שימושי מאוד - Bytes Throughput (תפוקת אפליקציה).

אם יש מערכת ניטור אחרת, למשל, בחינם זאביקס, המבוסס על SNMP, הוא מתאים גם לזיהוי בעיות אלו.

2. דליפות זיכרון RAM לאורך זמן

לעתים קרובות עולה השאלה שעם הזמן, השער או שרת הניהול מתחילים לצרוך יותר ויותר זיכרון RAM. אני רוצה להרגיע אותך: זה סיפור נורמלי למערכות כמו לינוקס.

מסתכל על הפלט של הפקודות ללא תשלום и cpstat -f זיכרון מערכת הפעלה באפליקציה ממצב מומחה, אתה יכול לחשב ולהציג את כל הפרמטרים הקשורים ל-RAM.

מבוסס על הזיכרון הזמין בשער כרגע זיכרון חופשי + זיכרון חוצץ + זיכרון מטמון = +-1.5 GB, בדרך כלל.

כפי שאומר CP, עם הזמן שרת השער/ניהול מייעל ומשתמש ביותר ויותר זיכרון, מגיע לכ-80% ניצול, ועוצר. אתה יכול לאתחל את המכשיר, ואז המחוון יאופס. 1.5 ג'יגה-בייט של זיכרון RAM פנוי מספיק בדיוק בשביל שהשער יבצע את כל המשימות, והניהול רק לעתים רחוקות מגיע לערכי סף כאלה.

גם הפלטים של הפקודות שהוזכרו יראו כמה יש לך זיכרון נמוך (RAM בחלל המשתמש) ו זיכרון גבוה (RAM בחלל ליבה) בשימוש.

תהליכי ליבה (כולל מודולים פעילים כגון מודולי ליבת צ'ק פוינט) משתמשים רק בזיכרון נמוך. עם זאת, תהליכי משתמש יכולים להשתמש גם בזיכרון נמוך וגם בזיכרון גבוה. יתר על כן, זיכרון נמוך שווה בערך ל סה"כ זיכרון.

אתה צריך לדאוג רק אם יש שגיאות ביומנים "מודולים מופעלים מחדש או תהליכים מומתים כדי להחזיר זיכרון עקב OOM (לא בזיכרון)". אז אתה צריך לאתחל את השער וליצור קשר עם התמיכה אם האתחול לא עוזר.

תיאור מלא ניתן למצוא ב sk99547 и sk99593.

3. אופטימיזציה

להלן שאלות ותשובות על אופטימיזציה של מעבד ו-RAM. כדאי לענות עליהם בכנות לעצמך ולהקשיב להמלצות.

3.1. האם האפליקציה נבחרה נכון? האם היה פרויקט פיילוט?

למרות הגודל הנכון, הרשת יכולה פשוט לגדול, והציוד הזה פשוט לא יכול להתמודד עם העומס. האפשרות השנייה היא אם לא היה גודל כזה.

3.2. האם בדיקת HTTPS מופעלת? אם כן, האם הטכנולוגיה מוגדרת לפי Best Practice?

מתייחס מאמר, אם אתה לקוח שלנו, או ל sk108202.

סדר הכללים במדיניות בדיקת HTTPS משחק תפקיד גדול באופטימיזציה של פתיחת אתרי HTTPS.

סדר הכללים המומלץ:

1. עוקף כללים עם קטגוריות/כתובות אתרים
2. בדוק כללים עם קטגוריות/כתובות אתרים
3. בדוק את הכללים עבור כל הקטגוריות האחרות

באנלוגיה למדיניות חומת האש, צ'ק פוינט מחפשת התאמה לפי מנות מלמעלה למטה, לכן עדיף למקם את חוקי העקיפה בראש, מכיוון שהשער לא יבזבז משאבים על ריצה של כל הכללים אם חבילה זו צריכה שיעבור.

3.3 האם נעשה שימוש באובייקטים בטווח כתובות?

אובייקטים עם טווח כתובות, למשל, הרשת 192.168.0.0-192.168.5.0, תופסים יותר RAM באופן משמעותי מ-5 אובייקטי רשת. באופן כללי, זה נחשב לנוהג טוב להסיר אובייקטים שאינם בשימוש ב-SmartConsole, שכן בכל פעם שמתקין מדיניות, השער ושרת הניהול מבזבזים משאבים, והכי חשוב, זמן, אימות ויישום המדיניות.

3.4. כיצד מוגדרת המדיניות למניעת איומים?

קודם כל, צ'ק פוינט ממליצה למקם את IPS בפרופיל נפרד וליצור כללים נפרדים עבור הלהב הזה.

לדוגמה, מנהל מערכת סבור שיש להגן על קטע DMZ רק באמצעות IPS. לכן, כדי למנוע מהשער לבזבז משאבים על עיבוד מנות על ידי להבים אחרים, יש צורך ליצור כלל ספציפי עבור מקטע זה עם פרופיל שבו רק IPS מופעל.

לגבי הגדרת פרופילים, מומלץ להגדיר זאת לפי שיטות עבודה מומלצות בכך המסמך(עמודים 17-20).

3.5. בהגדרות IPS, כמה חתימות יש במצב Detect?

מומלץ ללמוד היטב חתימות במובן זה שיש להשבית את החתימות שאינן בשימוש (לדוגמה, חתימות להפעלת מוצרי Adobe דורשות כוח מחשוב רב, ואם אין ללקוח מוצרים כאלה, הגיוני להשבית חתימות). לאחר מכן, שימו Prevent במקום Detect במידת האפשר, מכיוון שהשער מוציא משאבים בעיבוד החיבור כולו במצב Detect; במצב Prevent, הוא משליך מיד את החיבור ואינו מבזבז משאבים על עיבוד מלא של החבילה.

3.6. אילו קבצים מעובדים על ידי אמולציית איומים, חילוץ איומים, להבי אנטי וירוס?

זה לא הגיוני לחקות ולנתח קבצים של הרחבות שהמשתמשים שלך לא מורידים, או שאתה מחשיב מיותרים ברשת שלך (לדוגמה, קבצי bat, exe ניתן לחסום בקלות באמצעות להב המודעות לתוכן ברמת חומת האש, כך שפחות שער יושקעו משאבים). יתרה מכך, בהגדרות האמולציה של איומים ניתן לבחור בסביבה (מערכת הפעלה) כדי לחקות איומים בארגז החול וגם התקנת Environment Windows 7 כאשר כל המשתמשים עובדים עם גרסה 10 אינה הגיונית.

3.7. האם הכללים של חומת האש ורמת האפליקציה מסודרים בהתאם לשיטות העבודה המומלצות?

אם לכלל יש הרבה כניסות (התאמות), אז מומלץ לשים אותם ממש למעלה, וחוקים עם מספר קטן של כניסות - ממש בתחתית. העיקר לוודא שהם לא מצטלבים או חופפים זה את זה. ארכיטקטורת מדיניות חומת אש מומלצת:

הסברים:

כללים ראשונים - כללים עם מספר ההתאמות הגדול ביותר ממוקמים כאן
Noise Rule - כלל לביטול תעבורה מזויפת כגון NetBIOS
כלל התגנבות - אוסר על שיחות לשערים והנהלות על ידי כולם פרט לאותם מקורות שצוינו בכללי אימות לשער
כללי ניקוי, אחרון ושחרור משולבים בדרך כלל לכלל אחד כדי לאסור כל מה שלא היה מותר קודם לכן

נתוני שיטות עבודה מומלצות מתוארים ב sk106597.

3.8. אילו הגדרות יש לשירותים שנוצרו על ידי מנהלי מערכת?

לדוגמה, שירות TCP כלשהו נוצר ביציאה ספציפית, והגיוני לבטל את הסימון של "התאמה לכל" בהגדרות המתקדמות של השירות. במקרה זה, שירות זה ייפול ספציפית תחת הכלל שבו הוא מופיע, ולא ישתתף בכללים שבהם רשום Any בעמודת השירותים.

אם כבר מדברים על שירותים, כדאי להזכיר שלפעמים יש צורך להתאים פסקי זמן. הגדרה זו תאפשר לכם להשתמש בחוכמה במשאבי השער, כדי לא להחזיק זמן נוסף עבור הפעלות TCP/UDP של פרוטוקולים שאינם זקוקים לזמן קצוב גדול. לדוגמה, בצילום המסך למטה, שיניתי את פסק הזמן של שירות domain-udp מ-40 שניות ל-30 שניות.

3.9. האם נעשה שימוש ב-SecureXL ומהו אחוז המהירות?

אתה יכול לבדוק את האיכות של SecureXL באמצעות פקודות בסיסיות במצב מומחה בשער fwaccel stat и fw accel stats -s. לאחר מכן, עליך להבין איזה סוג של תעבורה מואצת, ואילו תבניות אחרות ניתן ליצור.

תבניות שחרור אינן מופעלות כברירת מחדל; הפעלתן תועיל ל-SecureXL. כדי לעשות זאת, עבור להגדרות השער ולכרטיסייה אופטימיזציות:

כמו כן, כאשר עובדים עם אשכול כדי לייעל את ה-CPU, ניתן להשבית סנכרון של שירותים לא קריטיים, כגון UDP DNS, ICMP ואחרים. לשם כך, עבור אל הגדרות השירות ← מתקדם ← סנכרון חיבורים של מצב סנכרון מופעל באשכול.

כל השיטות המומלצות מתוארות ב sk98348.

3.10. כיצד משתמשים ב-CoreXl?

טכנולוגיית CoreXL, המאפשרת שימוש במספר מעבדים עבור מופעי חומת אש (מודולי חומת אש), בהחלט עוזרת לייעל את פעולת המכשיר. צוות ראשון fw ctl זיקה -ל -א יציג את מופעי חומת האש בשימוש ואת המעבדים שהוקצו ל-SND (מודול שמפיץ תעבורה לישויות חומת אש). אם לא נעשה שימוש בכל המעבדים, ניתן להוסיף אותם באמצעות הפקודה cpconfig בשער.
גם סיפור טוב הוא לשים תיקון חם כדי להפעיל Multi-Queue. Multi-Queue פותר את הבעיה כאשר המעבד עם SND נמצא בשימוש באחוזים רבים, ומופעי חומת אש במעבדים אחרים אינם פעילים. אז ל-SND תהיה היכולת ליצור תורים רבים עבור NIC אחד ולהגדיר סדרי עדיפויות שונים עבור תעבורה שונה ברמת הקרנל. כתוצאה מכך, ליבות CPU ישמשו בצורה חכמה יותר. השיטות מתוארות גם ב sk98348.

לסיכום, אני רוצה לומר שאלו לא כל השיטות הטובות ביותר לאופטימיזציה של צ'ק פוינט, אבל הן הפופולריות ביותר. אם ברצונך להזמין ביקורת של מדיניות האבטחה שלך או לפתור בעיה הקשורה לצ'ק פוינט, אנא צור קשר [מוגן בדוא"ל].

תודה לך!

מקור: www.habr.com