Check Point: CPU და RAM-ის ოპტიმიზაცია

გამარჯობა კოლეგებო! დღეს მსურს განვიხილო ძალიან აქტუალური თემა Check Point-ის მრავალი ადმინისტრატორისთვის: „CPU და RAM-ის ოპტიმიზაცია“. ხშირია შემთხვევები, როდესაც გეითვეი ან/და მენეჯმენტის სერვერი მოულოდნელად მოიხმარს ამ რესურსებს და მინდა გავიგო სად „მოედინება“ და, თუ შესაძლებელია, უფრო ჭკვიანურად გამოვიყენო.

1. ანალიზი

პროცესორის დატვირთვის გასაანალიზებლად სასარგებლოა შემდეგი ბრძანებების გამოყენება, რომლებიც შეყვანილია ექსპერტის რეჟიმში:

დაბრუნება აჩვენებს ყველა პროცესს, CPU და ოპერატიული მეხსიერების რესურსების რაოდენობას, როგორც პროცენტი, მუშაობის დრო, პროცესის პრიორიტეტი და სხვა რეალურ დროშიи

cpwd_admin სია შეამოწმეთ Point WatchDog Daemon, რომელიც აჩვენებს აპლიკაციის ყველა მოდულს, მათ PID-ს, სტატუსს და დაწყების რაოდენობას

cpstat -f cpu os პროცესორის გამოყენება, მათი რაოდენობა და პროცესორის დროის განაწილება პროცენტულად

cpstat -f მეხსიერება os ვირტუალური ოპერატიული მეხსიერების გამოყენება, რამდენი აქტიური, უფასო ოპერატიული მეხსიერება და სხვა

სწორი შენიშვნა არის ის, რომ ყველა cpstat ბრძანების ნახვა შესაძლებელია პროგრამის გამოყენებით cpview. ამისათვის თქვენ უბრალოდ უნდა შეიყვანოთ cpview ბრძანება ნებისმიერი რეჟიმიდან SSH სესიაში.

ps auxwf ყველა პროცესის გრძელი სია, მათი ID, დაკავებული ვირტუალური მეხსიერება და მეხსიერება RAM-ში, CPU-ში

ბრძანების სხვა ვარიაციები:

ps-aF აჩვენებს ყველაზე ძვირადღირებულ პროცესს

fw ctl კავშირი -l -a ბირთვების განაწილება სხვადასხვა firewall ინსტანციებისთვის, ანუ CoreXL ტექნოლოგია

fw ctl pstat ოპერატიული მეხსიერების ანალიზი და ზოგადი კავშირის ინდიკატორები, ქუქიები, NAT

თავისუფალი -მ RAM ბუფერი

გუნდი განსაკუთრებულ ყურადღებას იმსახურებს ნეტსატი და მისი ვარიაციები. Მაგალითად, ნეტსტატი -ი შეუძლია დაეხმაროს ბუფერების მონიტორინგის პრობლემის გადაჭრას. პარამეტრი, RX ჩამოშვებული პაკეტები (RX-DRP) ამ ბრძანების გამომავალში, როგორც წესი, თავისთავად იზრდება არალეგიტიმური პროტოკოლების ვარდნის გამო (IPv6, ცუდი / არასასურველი VLAN ტეგები და სხვა). თუმცა, თუ წვეთები სხვა მიზეზით მოხდა, მაშინ ეს უნდა გამოიყენოთ სტატიებიდაიწყოს გამოძიება და იმის გაგება, თუ რატომ ტოვებს მოცემული ქსელის ინტერფეისი პაკეტებს. მიზეზის დადგენის შემდეგ, აპლიკაციის ფუნქციონირება ასევე შეიძლება ოპტიმიზირებული იყოს.

თუ მონიტორინგის blade ჩართულია, შეგიძლიათ ნახოთ ეს მეტრიკა გრაფიკულად SmartConsole-ში ობიექტზე დაწკაპუნებით და „მოწყობილობისა და ლიცენზიის ინფორმაცია“ არჩევით.

არ არის რეკომენდებული მონიტორინგის დანა მუდმივი ჩართვა, მაგრამ ტესტირების ერთი დღის განმავლობაში ეს სავსებით შესაძლებელია.

უფრო მეტიც, თქვენ შეგიძლიათ დაამატოთ მეტი პარამეტრი მონიტორინგისთვის, ერთ-ერთი მათგანი ძალიან სასარგებლოა - Bytes Throughput (აპლიკაციის გამტარუნარიანობა).

თუ არსებობს სხვა მონიტორინგის სისტემა, მაგალითად, უფასო ზაბქსიSNMP-ზე დაფუძნებული, ის ასევე შესაფერისია ამ პრობლემების იდენტიფიცირებისთვის.

2. ოპერატიული მეხსიერება დროთა განმავლობაში ჟონავს

ხშირად ჩნდება კითხვა, რომ დროთა განმავლობაში, კარიბჭე ან მენეჯმენტის სერვერი იწყებს უფრო და უფრო მეტი ოპერატიული მეხსიერების მოხმარებას. მინდა დაგამშვიდოთ: ეს ჩვეულებრივი ამბავია Linux-ის მსგავსი სისტემებისთვის.

უყურებს ბრძანებების გამოსავალს თავისუფალი -მ и cpstat -f მეხსიერება os აპლიკაციაში საექსპერტო რეჟიმიდან შეგიძლიათ გამოთვალოთ და ნახოთ RAM-თან დაკავშირებული ყველა პარამეტრი.

ამ მომენტში კარიბჭეზე არსებულ მეხსიერებაზე დაყრდნობით უფასო მეხსიერება + ბუფერული მეხსიერება + ქეშირებული მეხსიერება = +-1.5 GB, ჩვეულებრივ.

როგორც CP ამბობს, დროთა განმავლობაში კარიბჭე/მართვის სერვერი ოპტიმიზებს და იყენებს უფრო და უფრო მეტ მეხსიერებას, აღწევს დაახლოებით 80% უტილიზაციას და ჩერდება. შეგიძლიათ გადატვირთოთ მოწყობილობა, შემდეგ კი ინდიკატორი აღდგება. 1.5 GB უფასო ოპერატიული მეხსიერება ზუსტად საკმარისია კარიბჭისთვის ყველა დავალების შესასრულებლად და მენეჯმენტი იშვიათად აღწევს ასეთ ზღვრულ მნიშვნელობებს.

ასევე, ხსენებული ბრძანებების გამოსავლები აჩვენებს, თუ რამდენი გაქვთ დაბალი მეხსიერება (RAM მომხმარებლის სივრცეში) და მაღალი მეხსიერება (RAM ბირთვის სივრცეში) გამოიყენება.

ბირთვის პროცესები (მათ შორის აქტიური მოდულები, როგორიცაა Check Point ბირთვის მოდულები) იყენებს მხოლოდ დაბალ მეხსიერებას. თუმცა, მომხმარებლის პროცესებს შეუძლიათ გამოიყენონ როგორც დაბალი, ასევე მაღალი მეხსიერება. უფრო მეტიც, დაბალი მეხსიერება დაახლოებით უდრის სულ მეხსიერება.

თქვენ უნდა ინერვიულოთ მხოლოდ იმ შემთხვევაში, თუ არსებობს შეცდომები ჟურნალებში "მოდულების გადატვირთვა ან დამუშავების პროცესი მეხსიერების აღსადგენად OOM-ის გამო (მეხსიერების ამოწურვა)". შემდეგ უნდა გადატვირთოთ კარიბჭე და დაუკავშირდეთ მხარდაჭერას, თუ გადატვირთვა არ დაეხმარება.

სრული აღწერა შეგიძლიათ იხილოთ აქ sk99547 и sk99593.

3. ოპტიმიზაცია

ქვემოთ მოცემულია კითხვები და პასუხები CPU და RAM-ის ოპტიმიზაციის შესახებ. თქვენ უნდა უპასუხოთ მათ გულწრფელად და მოუსმინოთ რეკომენდაციებს.

3.1. აპლიკაცია სწორად იყო არჩეული? იყო თუ არა საპილოტე პროექტი?

სათანადო ზომის მიუხედავად, ქსელი უბრალოდ შეიძლება გაიზარდოს და ეს მოწყობილობა უბრალოდ ვერ უმკლავდება დატვირთვას. მეორე ვარიანტი არის თუ არ იყო ზომა, როგორც ასეთი.

3.2. ჩართულია HTTPS შემოწმება? თუ კი, არის თუ არა ტექნოლოგია კონფიგურირებული საუკეთესო პრაქტიკის მიხედვით?

Ეხება სტატია, თუ თქვენ ხართ ჩვენი კლიენტი, ან sk108202.

HTTPS ინსპექტირების პოლიტიკაში წესების თანმიმდევრობა დიდ როლს თამაშობს HTTPS საიტების გახსნის ოპტიმიზაციაში.

წესების რეკომენდებული თანმიმდევრობა:

1. წესების გვერდის ავლით კატეგორიებით/URL-ებით
2. შეამოწმეთ წესები კატეგორიებით/URL-ებით
3. შეამოწმეთ წესები ყველა სხვა კატეგორიისთვის

Firewall-ის პოლიტიკის ანალოგიით, Check Point ეძებს პაკეტების შესატყვისს ზემოდან ქვემოდან, ამიტომ უმჯობესია მოათავსოთ შემოვლითი წესები ზევით, რადგან კარიბჭე არ დახარჯავს რესურსებს ყველა წესის გატარებაზე, თუ ამ პაკეტს სჭირდება. ჩაბარება.

3.3 გამოიყენება თუ არა მისამართების დიაპაზონის ობიექტები?

მისამართების დიაპაზონის მქონე ობიექტები, მაგალითად, ქსელი 192.168.0.0-192.168.5.0, იკავებს მნიშვნელოვნად მეტ RAM-ს, ვიდრე 5 ქსელის ობიექტი. ზოგადად, კარგ პრაქტიკად ითვლება SmartConsole-ში გამოუყენებელი ობიექტების ამოღება, რადგან პოლიტიკის ყოველი ინსტალაციისას, კარიბჭე და მართვის სერვერი ხარჯავს რესურსებს და, რაც მთავარია, დროს, პოლიტიკის გადამოწმებასა და გამოყენებას.

3.4. როგორ არის კონფიგურირებული საფრთხეების პრევენციის პოლიტიკა?

უპირველეს ყოვლისა, Check Point გირჩევთ IPS-ის ცალკე პროფილში განთავსებას და ამ blade-სთვის ცალკე წესების შექმნას.

მაგალითად, ადმინისტრატორი თვლის, რომ DMZ სეგმენტი დაცული უნდა იყოს მხოლოდ IPS-ის გამოყენებით. ამიტომ, იმისათვის, რომ კარიბჭემ არ დახარჯოს რესურსები პაკეტების დამუშავებაზე სხვა blades-ით, აუცილებელია შეიქმნას წესი სპეციალურად ამ სეგმენტისთვის პროფილით, რომელშიც ჩართულია მხოლოდ IPS.

პროფილების დაყენებასთან დაკავშირებით, რეკომენდებულია მისი დაყენება საუკეთესო პრაქტიკის მიხედვით დოკუმენტი(გვერდები 17-20).

3.5. IPS პარამეტრებში რამდენი ხელმოწერაა Detect რეჟიმში?

მიზანშეწონილია ხელმოწერების გულდასმით შესწავლა იმ გაგებით, რომ გამოუყენებელი უნდა იყოს გამორთული (მაგალითად, Adobe პროდუქტების მუშაობისთვის ხელმოწერები მოითხოვს დიდ გამოთვლით ძალას და თუ მომხმარებელს არ აქვს ასეთი პროდუქტები, აზრი აქვს ხელმოწერების გამორთვას). შემდეგ, სადაც ეს შესაძლებელია, Detect-ის ნაცვლად ჩადეთ Prevent, რადგან კარიბჭე ხარჯავს რესურსებს მთელი კავშირის დამუშავებაზე Detect რეჟიმში; Prevent რეჟიმში, ის მაშინვე უგულებელყოფს კავშირს და არ ხარჯავს რესურსებს პაკეტის სრულად დამუშავებაზე.

3.6. რა ფაილებს ამუშავებს Threat Emulation, Threat Extraction, Anti-Virus blades?

აზრი არ აქვს გაფართოებების ფაილების მიბაძვას და ანალიზს, რომლებსაც თქვენი მომხმარებლები არ ჩამოტვირთავენ, ან თვლით, რომ არასაჭიროა თქვენს ქსელში (მაგალითად, bat, exe ფაილები შეიძლება ადვილად დაიბლოკოს კონტენტის ცნობადობის blade-ის გამოყენებით firewall დონეზე, ასე რომ ნაკლები კარიბჭე. რესურსები დაიხარჯება). უფრო მეტიც, საფრთხის ემულაციის პარამეტრებში შეგიძლიათ აირჩიოთ Environment (ოპერაციული სისტემა) საფრთხის საცდელში ემულაციისთვის, ხოლო Windows 7-ის გარემოს დაყენება, როდესაც ყველა მომხმარებელი მუშაობს 10 ვერსიასთან, აზრი არ აქვს.

3.7. არის თუ არა firewall-ის და აპლიკაციის დონის წესები მოწყობილი საუკეთესო პრაქტიკის შესაბამისად?

თუ წესს აქვს ბევრი დარტყმა (შემთხვევა), მაშინ რეკომენდირებულია მათი განთავსება ძალიან ზევით, ხოლო წესები დარტყმების მცირე რაოდენობით - ბოლოში. მთავარია უზრუნველვყოთ, რომ ისინი ერთმანეთს არ კვეთენ ან გადახურდებიან. რეკომენდებული firewall პოლიტიკის არქიტექტურა:

განმარტება:

პირველი წესები - წესები ყველაზე მეტი შესატყვისით არის განთავსებული აქ
ხმაურის წესი - ყალბი ტრაფიკის გაუქმების წესი, როგორიცაა NetBIOS
Stealth Rule - კრძალავს ზარებს კარიბჭეებზე და მენეჯმენტზე ყველა, გარდა იმ წყაროებისა, რომლებიც მითითებული იყო ავთენტიფიკაციის Gateway-ის წესებში.
დასუფთავების, ბოლო და ჩაშვების წესები ჩვეულებრივ გაერთიანებულია ერთ წესში, რათა აიკრძალოს ყველაფერი, რაც ადრე არ იყო დაშვებული

საუკეთესო პრაქტიკის მონაცემები აღწერილია sk106597.

3.8. რა პარამეტრები აქვს ადმინისტრატორების მიერ შექმნილ სერვისებს?

მაგალითად, ზოგიერთი TCP სერვისი იქმნება კონკრეტულ პორტზე და აზრი აქვს მოხსნათ „Match for Any“ სერვისის გაფართოებულ პარამეტრებში. ამ შემთხვევაში, ეს სერვისი მიეკუთვნება კონკრეტულად იმ წესს, რომელშიც ის გამოჩნდება და არ მიიღებს მონაწილეობას წესებში, სადაც Any მითითებულია სერვისების სვეტში.

სერვისებზე საუბრისას, აღსანიშნავია, რომ ხანდახან საჭიროა დროების რეგულირება. ეს პარამეტრი საშუალებას მოგცემთ გონივრულად გამოიყენოთ კარიბჭის რესურსები, რათა არ დარჩეთ დამატებითი დრო პროტოკოლების TCP/UDP სესიებისთვის, რომლებსაც არ სჭირდებათ დიდი დრო. მაგალითად, ქვემოთ მოცემულ ეკრანის სურათზე, მე შევცვალე დომენის-udp სერვისის დრო 40 წამიდან 30 წამამდე.

3.9. გამოიყენება თუ არა SecureXL და როგორია სიჩქარის პროცენტი?

თქვენ შეგიძლიათ შეამოწმოთ SecureXL-ის ხარისხი ძირითადი ბრძანებების გამოყენებით ექსპერტის რეჟიმში კარიბჭეზე fwaccel stat и fw accel stats -s. შემდეგი, თქვენ უნდა გაარკვიოთ, რა სახის ტრაფიკი აჩქარებს და რა სხვა შაბლონები შეიძლება შეიქმნას.

ჩამოშლის შაბლონები ნაგულისხმევად არ არის ჩართული; მათი ჩართვა სარგებელს მოუტანს SecureXL-ს. ამისათვის გადადით კარიბჭის პარამეტრებში და ოპტიმიზაციის ჩანართზე:

ასევე, CPU-ს ოპტიმიზაციისთვის კლასტერთან მუშაობისას, შეგიძლიათ გამორთოთ არაკრიტიკული სერვისების სინქრონიზაცია, როგორიცაა UDP DNS, ICMP და სხვა. ამისათვის გადადით სერვისის პარამეტრებზე → გაფართოებული → კავშირების სინქრონიზაცია სახელმწიფოს სინქრონიზაცია ჩართულია კლასტერზე.

ყველა საუკეთესო პრაქტიკა აღწერილია sk98348.

3.10. როგორ გამოიყენება CoreXl?

CoreXL ტექნოლოგია, რომელიც საშუალებას იძლევა გამოიყენოს მრავალი CPU Firewall ინსტანციებისთვის (firewall მოდულები), ნამდვილად ეხმარება მოწყობილობის მუშაობის ოპტიმიზაციას. გუნდი ჯერ fw ctl კავშირი -l -a აჩვენებს გამოყენებული firewall-ის შემთხვევებს და SND-ზე მინიჭებულ პროცესორებს (მოდული, რომელიც ანაწილებს ტრაფიკს firewall-ის ერთეულებზე). თუ ყველა პროცესორი არ არის გამოყენებული, მათი დამატება შესაძლებელია ბრძანებით cpconfig კარიბჭესთან.
ასევე კარგი ამბავია დაყენება ცხელი შესწორება მრავალ რიგის გასააქტიურებლად. Multi-Queue წყვეტს პრობლემას, როდესაც SND პროცესორი გამოიყენება მრავალი პროცენტით, ხოლო Firewall-ის ინსტანციები სხვა პროცესორებზე უმოქმედოა. მაშინ SND-ს ექნება შესაძლებლობა შექმნას მრავალი რიგი ერთი NIC-ისთვის და დაადგინოს სხვადასხვა პრიორიტეტები სხვადასხვა ტრაფიკისთვის ბირთვის დონეზე. შესაბამისად, CPU ბირთვები უფრო ჭკვიანურად იქნება გამოყენებული. მეთოდები ასევე აღწერილია sk98348.

დასასრულს, მინდა ვთქვა, რომ ეს არ არის ყველა საუკეთესო პრაქტიკა Check Point-ის ოპტიმიზაციისთვის, მაგრამ ისინი ყველაზე პოპულარულია. თუ გსურთ შეუკვეთოთ თქვენი უსაფრთხოების პოლიტიკის აუდიტი ან მოაგვაროთ Check Point-თან დაკავშირებული პრობლემა, გთხოვთ, დაუკავშირდეთ [ელ.ფოსტით დაცულია].

დიდი მადლობა!

წყარო: www.habr.com