체크 포인트: CPU 및 RAM 최적화

안녕 동료들! 오늘 저는 많은 Check Point 관리자에게 "CPU 및 RAM 최적화"와 매우 관련된 주제에 대해 논의하고 싶습니다. 게이트웨이 및/또는 관리 서버가 이러한 리소스를 예기치 않게 많이 소비하는 것은 드문 일이 아니며, 리소스가 "누수"되는 위치를 이해하고 가능하면 보다 유능하게 사용하기를 원합니다.

1. 분석

프로세서 부하를 분석하려면 전문가 모드에서 입력되는 다음 명령을 사용하는 것이 유용합니다.

상단 모든 프로세스, CPU 및 RAM 리소스 사용량(%), 가동 시간, 프로세스 우선 순위 및 다른 실시간и

cpwd_admin 목록 모든 appline 모듈, 해당 PID, 상태 및 실행 횟수를 표시하는 Check Point WatchDog Daemon

cpstat -f CPU OS CPU 사용량, 프로세서 시간의 수 및 분포(%)

cpstat -f 메모리 OS 가상 RAM 사용, 활성 용량, 여유 RAM 등

올바른 설명은 유틸리티를 사용하여 모든 cpstat 명령을 볼 수 있다는 것입니다. cpview. 이렇게 하려면 SSH 세션의 모든 모드에서 cpview 명령을 입력하기만 하면 됩니다.

추신 auxwf 모든 프로세스의 긴 목록, 해당 ID, 점유 가상 메모리 및 RAM의 메모리, CPU

명령의 또 다른 변형:

ps-aF 가장 비싼 공정을 보여줍니다

fw ctl 선호도 -l -a 방화벽의 다른 인스턴스, 즉 CoreXL 기술에 대한 코어 배포

fw ctl pstat RAM 분석 및 연결, 쿠키, NAT의 일반 지표

무료 -m RAM 버퍼

팀은 특별한 관심을 받을 자격이 있습니다. 넷새트 그리고 그 변형. 예를 들어, netstat -i 클립보드 모니터링 문제를 해결하는 데 도움이 될 수 있습니다. 이 명령의 출력에서 ​​매개변수 RX-DRP(RX Drop Packets)는 잘못된 프로토콜(IPv6, 잘못된/의도하지 않은 VLAN 태그 등)의 삭제로 인해 자체적으로 증가하는 경향이 있습니다. 그러나 다른 이유로 드롭이 발생하는 경우 이를 사용해야 합니다. 조이 네트워크 인터페이스가 패킷을 삭제하는 이유를 조사하기 시작합니다. 원인을 알면 appline의 작동도 최적화할 수 있습니다.

모니터링 블레이드가 활성화된 경우 개체를 클릭하고 장치 및 라이센스 정보를 선택하여 SmartConsole에서 이러한 메트릭을 그래픽으로 볼 수 있습니다.

지속적으로 모니터링 블레이드를 활성화하는 것은 권장되지 않지만 테스트를 위해 하루 정도는 가능합니다.

또한 모니터링을 위해 더 많은 매개변수를 추가할 수 있으며 그 중 하나는 매우 유용합니다. 바이트 처리량(appline bandwidth)입니다.

예를 들어 무료와 같은 다른 모니터링 시스템이 있는 경우 자 비츠, SNMP 기반으로 이러한 문제를 식별하는 데에도 적합합니다.

2. 시간 경과에 따른 RAM "누수"

시간이 지남에 따라 게이트웨이 또는 관리 서버가 점점 더 많은 RAM을 사용하기 시작한다는 질문이 자주 발생합니다. 나는 당신을 안심시키고 싶습니다. 이것은 Linux와 같은 시스템의 일반적인 이야기입니다.

명령 출력을 보면 무료 -m и cpstat -f 메모리 OS 전문가 모드의 앱라인에서 RAM과 관련된 모든 매개변수를 계산하고 볼 수 있습니다.

현재 게이트웨이에서 사용 가능한 메모리를 기반으로 합니다. 여유 메모리 + 버퍼 메모리 + 캐시된 메모리 = +-1.5GB, 대개.

SR이 말했듯이 시간이 지남에 따라 게이트웨이/관리 서버는 최적화되고 점점 더 많은 메모리를 사용하여 최대 약 80%까지 사용하다가 중지됩니다. 장치를 재부팅하면 표시기가 재설정됩니다. 1.5GB의 여유 RAM은 게이트웨이가 모든 작업을 수행하기에 충분하며 관리가 이러한 임계값에 도달하는 경우는 거의 없습니다.

또한 언급된 명령의 출력에는 얼마나 많은 권한이 있는지 표시됩니다. 메모리 부족 (사용자 공간의 RAM) 및 높은 메모리 (커널 공간의 RAM) 사용됨.

커널 프로세스(Check Point 커널 모듈과 같은 활성 모듈 포함)는 낮은 메모리만 사용합니다. 그러나 사용자 프로세스는 Low 및 High 메모리를 모두 사용할 수 있습니다. 또한 낮은 메모리는 대략 다음과 같습니다. 총 메모리.

로그에 오류가 있는 경우에만 걱정해야 합니다. "OOM(메모리 부족)으로 인해 메모리를 회수하기 위해 모듈이 재부팅되거나 프로세스가 종료됨". 그런 다음 게이트웨이를 재부팅하고 재부팅이 도움이 되지 않으면 지원팀에 문의해야 합니다.

전체 설명은 다음에서 찾을 수 있습니다. sk99547 и sk99593.

3. 최적화

다음은 CPU 및 RAM 최적화에 대한 질문과 답변입니다. 자신에게 정직하게 대답하고 권장 사항을 들어야 합니다.

3.1. 업라인이 올바르게 선택되었습니까? 파일럿 프로젝트가 있었나요?

유능한 규모에도 불구하고 네트워크는 단순히 성장할 수 있으며 이 장비는 부하를 감당할 수 없습니다. 두 번째 옵션은 크기 조정이 없는 경우입니다.

3.2. HTTPS 검사가 활성화되어 있습니까? 그렇다면 Best Practice에 따라 기술이 구성되어 있습니까?

인용하다 기사당신이 우리의 고객이거나 sk108202.

HTTPS 검사 정책의 규칙 순서는 HTTPS 사이트 열기를 최적화하는 데 큰 역할을 합니다.

권장 규칙 순서:

1. 카테고리/URL이 있는 우회 규칙
2. 카테고리/URL이 포함된 규칙 검사
3. 다른 모든 범주에 대한 규칙 검사

방화벽 정책과 유사하게 Check Point는 위에서 아래로 일치하는 패킷을 찾습니다. 따라서 이 패킷을 건너뛰어야 하는 경우 게이트웨이가 모든 규칙을 실행하는 데 리소스를 낭비하지 않기 때문에 우회 규칙은 맨 위에 배치하는 것이 가장 좋습니다.

3.3 주소 범위 개체가 사용됩니까?

네트워크 192.168.0.0-192.168.5.0과 같이 주소 범위가 있는 객체는 5개의 네트워크 객체보다 훨씬 더 많은 RAM을 소비합니다. 일반적으로 정책이 설정될 때마다 게이트웨이와 관리 서버가 리소스를 소비하고 가장 중요한 것은 정책을 확인하고 적용하는 데 시간이 걸리기 때문에 SmartConsole에서 사용하지 않는 개체를 삭제하는 것이 좋습니다.

3.4. 위협 예방 정책은 어떻게 구성됩니까?

우선 Check Point는 IPS를 별도의 프로필로 이동하고 이 블레이드에 대해 별도의 규칙을 생성할 것을 권장합니다.

예를 들어 관리자는 DMZ 세그먼트가 IPS로만 보호되어야 한다고 생각합니다. 따라서 게이트웨이가 다른 블레이드에서 패킷을 처리하는 데 리소스를 낭비하지 않도록 하려면 IPS만 활성화된 프로필을 사용하여 이 세그먼트에 대해 특별히 규칙을 만들어야 합니다.

프로필 설정과 관련하여 이 문서의 모범 사례에 따라 설정하는 것이 좋습니다. 문서(17-20페이지).

3.5. IPS 설정에서 감지 모드의 서명은 몇 개입니까?

사용하지 않는 시그니쳐는 비활성화 시켜야 한다는 의미에서 시그니쳐 작업을 열심히 하는 것이 좋습니다. 서명). 그런 다음 게이트웨이가 감지 모드에서 전체 연결을 처리하는 데 리소스를 사용하기 때문에 가능한 경우 감지 대신 방지를 설정합니다. 방지 모드에서는 즉시 연결을 끊고 전체 패킷 처리에 리소스를 낭비하지 않습니다.

3.6. 위협 에뮬레이션, 위협 추출, 바이러스 백신 블레이드에서 처리되는 파일은 무엇입니까?

사용자가 다운로드하지 않거나 네트워크에서 불필요하다고 생각하는 확장 파일을 에뮬레이션하고 분석하는 것은 의미가 없습니다(예: bat, exe 파일은 방화벽 수준에서 콘텐츠 인식 블레이드를 사용하여 쉽게 차단할 수 있으므로 게이트웨이 리소스는 덜 썼다). 또한 위협 에뮬레이션 설정에서 환경(운영 체제)을 선택하여 샌드박스에서 위협을 에뮬레이션하고 모든 사용자가 7번째 버전으로 작업할 때 환경 Windows 10을 설치할 수 있습니다.

3.7. 모범 사례에 따라 방화벽 및 애플리케이션 계층 규칙이 배치되어 있습니까?

규칙에 적중(일치)이 많으면 이를 맨 위에 놓고 적중 수가 적은 규칙은 맨 아래에 두는 것이 좋습니다. 가장 중요한 것은 서로 교차하지 않고 겹치지 않는지 확인하는 것입니다. 권장 방화벽 정책 아키텍처:

설명 :

첫 번째 규칙 - 가장 일치하는 규칙이 여기에 배치됩니다.
노이즈 규칙 - NetBIOS와 같은 스퓨리어스 트래픽을 삭제하기 위한 규칙
스텔스 규칙 - 게이트웨이 규칙에 대한 인증에 지정된 소스를 제외한 모든 게이트웨이 및 관리에 대한 액세스 금지
Clean-Up, Last 및 Drop 규칙은 일반적으로 이전에 허용되지 않았던 모든 것을 금지하는 하나의 규칙으로 결합됩니다.

모범 사례 데이터는 다음에 설명되어 있습니다. sk106597.

3.8. 관리자가 만든 서비스에 대한 설정은 무엇입니까?

예를 들어 특정 포트에서 일부 TCP 서비스가 생성되고 있으며 서비스의 고급 설정에서 "Match for Any"를 선택 취소하는 것이 좋습니다. 이 경우 이 서비스는 특별히 나타나는 규칙에 속하며 서비스 열에 임의가 있는 규칙에는 참여하지 않습니다.

서비스에 대해 말하자면 때때로 시간 제한을 조정해야 할 필요가 있다는 점을 언급할 가치가 있습니다. 이 설정을 사용하면 게이트웨이 리소스를 보다 지능적으로 사용할 수 있으므로 많은 시간 초과가 필요하지 않은 프로토콜에 대해 추가 TCP/UDP 세션 시간을 유지하지 않아도 됩니다. 예를 들어 아래 스크린샷에서 domain-udp 서비스 제한 시간을 40초에서 30초로 변경했습니다.

3.9. SecureXL이 사용되며 가속 비율은 어떻게 됩니까?

게이트웨이의 전문가 모드에서 주요 명령으로 SecureXL의 품질을 확인할 수 있습니다. fwaccel 통계 и fw accelstats -s. 다음으로 어떤 종류의 트래픽이 가속되고 있는지, 어떤 템플릿(템플릿)을 더 만들 수 있는지 파악해야 합니다.

기본적으로 드롭 템플릿은 활성화되어 있지 않으므로 활성화하면 SecureXL 작업에 긍정적인 영향을 미칩니다. 이렇게 하려면 게이트웨이 설정 및 최적화 탭으로 이동합니다.

또한 클러스터로 작업할 때 CPU를 최적화하기 위해 UDP DNS, ICMP 등과 같은 중요하지 않은 서비스의 동기화를 비활성화할 수 있습니다. 이렇게 하려면 서비스 설정 → 고급 → 연결 동기화로 이동하여 클러스터에서 상태 동기화가 활성화되어 있습니다.

모든 모범 사례는 에 설명되어 있습니다. sk98348.

3.10. CoreXl은 어떻게 사용됩니까?

방화벽 인스턴스(방화벽 모듈)에 여러 CPU를 사용할 수 있는 CoreXL 기술은 장치 성능을 최적화하는 데 확실히 도움이 됩니다. 팀 퍼스트 fw ctl 선호도 -l -a 사용된 방화벽 인스턴스와 필요한 SND(방화벽 엔티티에 트래픽을 분배하는 모듈)에 제공된 프로세서를 표시합니다. 모든 프로세서가 관련되지 않은 경우 다음 명령으로 프로세서를 추가할 수 있습니다. cpconfig 게이트웨이에서.
또한 좋은 이야기는 핫픽스 다중 대기열을 활성화합니다. 다중 대기열은 SND가 있는 프로세서가 많은 비율로 사용되고 다른 프로세서의 방화벽 인스턴스가 유휴 상태일 때 문제를 해결합니다. 그런 다음 SND는 하나의 NIC에 대해 많은 대기열을 생성하고 커널 수준에서 다양한 트래픽에 대해 서로 다른 우선 순위를 설정할 수 있습니다. 결과적으로 CPU 코어는 보다 지능적으로 사용됩니다. 방법은 에도 설명되어 있습니다. sk98348.

결론적으로 이것이 Check Point를 최적화하기 위한 모든 모범 사례는 아니지만 가장 인기 있는 방법이라고 말하고 싶습니다. 보안 정책 감사를 요청하거나 Check Point 문제를 해결하려면 다음으로 문의하십시오. [이메일 보호].

감사합니다!

출처 : habr.com