Точка за проверка: оптимизација на процесорот и RAM меморијата

Здраво колеги! Денес би сакал да разговарам за многу релевантна тема за многу администратори на Check Point: „Оптимизирање на процесорот и RAM меморијата“. Често има случаи кога портата и/или серверот за управување трошат неочекувано многу од овие ресурси и би сакал да разберам каде „течат“ и, ако е можно, да ги користам поинтелигентно.

1. Анализа

За да се анализира оптоварувањето на процесорот, корисно е да се користат следните команди, кои се внесуваат во експертски режим:

врв ги прикажува сите процеси, количината на потрошени ресурси на процесорот и RAM меморијата како процент, времето на работа, приоритетот на процесот и други во реално времеи

cpwd_admin листа Check Point WatchDog Daemon, кој ги прикажува сите модули на апликацијата, нивниот PID, статусот и бројот на стартувања

cpstat -f процесорски систем Користење на процесорот, нивниот број и распределба на времето на процесорот како процент

cpstat -f мемориски оперативен систем виртуелна употреба на RAM меморија, колку е активна, бесплатна RAM и многу повеќе

Точната забелешка е дека сите команди cpstat може да се видат со помош на алатката cpview. За да го направите ова, само треба да ја внесете командата cpview од кој било режим во сесијата SSH.

ps auxwf долга листа на сите процеси, нивниот ID, окупирана виртуелна меморија и меморија во RAM, процесорот

Други варијации на команди:

ps-aF ќе го покаже најскапиот процес

fw ctl афинитет -l -a дистрибуција на јадра за различни инстанци на заштитен ѕид, односно технологија CoreXL

fw ctl pstat Анализа на RAM и општи индикатори за поврзување, колачиња, NAT

free-m бафер на RAM меморија

Тимот заслужува посебно внимание нетсат и неговите варијации. На пример, нетстат -и може да помогне во решавањето на проблемот со следењето на таблата со исечоци. Параметарот, RX испуштени пакети (RX-DRP) на излезот од оваа команда, како по правило, расте сам по себе поради падови на нелегитимни протоколи (IPv6, Bad / Ненамерни VLAN ознаки и други). Меѓутоа, ако капките се случат поради друга причина, тогаш треба да го користите ова статиида се започне со истражување и разбирање зошто даден мрежен интерфејс испушта пакети. Откако ја дознавме причината, работата на апликацијата исто така може да се оптимизира.

Ако сечилото за следење е овозможено, можете да ги видите овие метрики графички во SmartConsole со кликнување на објектот и избирање „Информации за уред и лиценца“.

Не се препорачува постојано вклучување на сечилото за следење, но тоа е сосема можно за еден ден за тестирање.

Покрај тоа, можете да додадете повеќе параметри за следење, еден од нив е многу корисен - Бајти пропустливост (пропусната моќ на апликацијата).

Ако има некој друг систем за следење, на пример, бесплатен Zabbix, врз основа на SNMP, исто така е погоден за идентификување на овие проблеми.

2. RAM меморијата протекува со текот на времето

Често се поставува прашањето дека со текот на времето, портата или серверот за управување почнува да троши се повеќе и повеќе RAM меморија. Сакам да ве уверам: ова е нормална приказна за системи слични на Линукс.

Гледајќи го излезот од командите free-m и cpstat -f мемориски оперативен систем на апликацијата од експертски режим, можете да ги пресметате и прегледате сите параметри поврзани со RAM меморијата.

Врз основа на достапната меморија на портата во моментот Слободна меморија + Бафери меморија + Кеширана меморија = +-1.5 GB, обично.

Како што вели ЦП, со текот на времето серверот за портата/менаџментот оптимизира и користи се повеќе меморија, достигнувајќи околу 80% искористеност и запира. Можете да го рестартирате уредот, а потоа индикаторот ќе се ресетира. 1.5 GB бесплатна RAM меморија е точно доволно за портата да ги извршува сите задачи, а управувањето ретко достигнува такви прагови.

Исто така, излезите од споменатите команди ќе покажат колку имате Ниска меморија (RAM во кориснички простор) и Висока меморија (RAM во просторот на јадрото) се користи.

Процесите на кернелот (вклучувајќи активни модули како што се модулите на јадрото на Check Point) користат само ниска меморија. Сепак, корисничките процеси можат да користат и ниска и висока меморија. Покрај тоа, ниската меморија е приближно еднаква на Тотална меморија.

Треба да се грижите само ако има грешки во дневниците „Модулите се рестартираат или обработуваат убивање за да ја вратат меморијата поради OOM (Надвор од меморија)“. Потоа треба да го рестартирате портата и да контактирате со поддршката ако рестартирањето не помогне.

Целосен опис може да се најде во sk99547 и sk99593.

3. Оптимизација

Подолу се дадени прашања и одговори за оптимизирање на процесорот и RAM меморијата. Треба искрено да одговорите на нив и да ги слушате препораките.

3.1. Дали апликацијата беше правилно избрана? Дали имаше пилот проект?

И покрај соодветната големина, мрежата едноставно може да расте, а оваа опрема едноставно не може да се справи со товарот. Втората опција е ако немаше димензионирање како такво.

3.2. Дали е овозможена проверка на HTTPS? Ако одговорот е да, дали технологијата е конфигурирана според најдобрата практика?

Се однесува на статија, ако сте наш клиент, или да sk108202.

Редоследот на правилата во политиката за инспекција на HTTPS игра голема улога во оптимизирањето на отворањето на HTTPS-локациите.

Препорачан редослед на правила:

1. Заобиколете ги правилата со категории/URL
2. Проверете ги правилата со категории/URL
3. Проверете ги правилата за сите други категории

По аналогија со политиката на заштитниот ѕид, Check Point бара совпаѓање по пакети од горе до долу, па затоа е подобро да се постават правилата за бајпас на врвот, бидејќи портата нема да троши ресурси за поминување низ сите правила доколку на овој пакет му треба да се помине.

3.3 Дали се користат објекти со опсег на адреса?

Објектите со опсег на адреси, на пример, мрежата 192.168.0.0-192.168.5.0, зафаќаат значително повеќе RAM од 5 мрежни објекти. Општо земено, се смета за добра практика да се отстранат неискористените објекти во SmartConsole, бидејќи секогаш кога се инсталира политика, портата и серверот за управување трошат ресурси и, што е најважно, време, потврдувајќи и применувајќи ја политиката.

3.4. Како е конфигурирана политиката за спречување закани?

Како прво, Check Point препорачува да се стави IPS во посебен профил и да се создадат посебни правила за ова сечило.

На пример, администраторот верува дека сегментот DMZ треба да биде заштитен само со користење на IPS. Затоа, за да се спречи портата да троши ресурси за обработка на пакети од други сечила, неопходно е да се создаде правило специјално за овој сегмент со профил во кој е овозможен само IPS.

Што се однесува до поставувањето профили, се препорачува да се постави според најдобрите практики во ова документот(страници 17-20).

3.5. Во поставките за IPS, колку потписи има во режимот Detect?

Се препорачува внимателно да се проучат потписите во смисла дека неискористените треба да се оневозможат (на пример, потписите за работа со производи на Adobe бараат голема компјутерска моќ, а ако клиентот нема такви производи, има смисла да се оневозможат потписите). Следно, ставете Prevent наместо Detect каде што е можно, бидејќи портата ги троши ресурсите за обработка на целата конекција во режимот Detect; во режимот Prevent, веднаш ја отфрла врската и не троши ресурси за целосно процесирање на пакетот.

3.6. Кои датотеки се обработуваат со Threat Emulation, Threat Extraction, Anti-Virus blades?

Нема смисла да се емулираат и анализираат датотеки на екстензии што вашите корисници не ги преземаат или сметате дека се непотребни на вашата мрежа (на пример, датотеките bat, exe може лесно да се блокираат со помош на сечилото за свесност за содржината на ниво на заштитен ѕид, така што помалку портал ќе се потрошат ресурси). Покрај тоа, во поставките за емулација на закани можете да изберете Environment (оперативен систем) за да ги емулирате заканите во песокот, а инсталирањето на Environment Windows 7 кога сите корисници работат со верзијата 10 нема смисла.

3.7. Дали правилата за заштитниот ѕид и нивото на апликација се уредени во согласност со најдобрата практика?

Ако некое правило има многу погодоци (совпаѓања), тогаш се препорачува да ги ставите на самиот врв, а правилата со мал број погодоци - на самото дно. Главната работа е да се осигура дека тие не се сечат или преклопуваат едни со други. Препорачана архитектура на политики за заштитен ѕид:

Објаснување:

Први правила - правилата со најголем број на совпаѓања се поставени овде
Правило за бучава - правило за отфрлање на лажен сообраќај како што е NetBIOS
Стелт Правило - забранува повици до портали и управи до сите, освен оние извори што се наведени во Правилата за автентикација до портал
Правилата за чистење, последно и капка обично се комбинираат во едно правило за да се забрани сè што претходно не било дозволено

Податоците за најдобра практика се опишани во sk106597.

3.8. Какви поставки имаат услугите креирани од администраторите?

На пример, некоја TCP услуга е креирана на одредена порта и има смисла да се отштиклира „Match for Any“ во Напредните поставки на услугата. Во овој случај, оваа услуга ќе потпадне конкретно под правилото во кое се појавува и нема да учествува во правилата каде што е наведено Any во колоната Услуги.

Зборувајќи за услугите, вреди да се спомене дека понекогаш е неопходно да се прилагодат тајмаутите. Оваа поставка ќе ви овозможи паметно да ги користите ресурсите на портата, за да не задржувате дополнително време за TCP/UDP сесии на протоколи на кои не им е потребен голем тајмаут. На пример, на сликата од екранот подолу, го сменив истекувањето на услугата домен-udp од 40 секунди на 30 секунди.

3.9. Дали се користи SecureXL и колкав е процентот на забрзување?

Можете да го проверите квалитетот на SecureXL користејќи основни команди во експертски режим на портата fwaccel stat и fw accel stats -s. Следно, треба да откриете каков вид на сообраќај се забрзува и кои други шаблони може да се креираат.

Шаблони за испуштање не се стандардно овозможени; нивното овозможување ќе има корист од SecureXL. За да го направите ова, одете до поставките на портата и табулаторот Оптимизации:

Исто така, кога работите со кластер за оптимизирање на процесорот, можете да ја оневозможите синхронизацијата на некритичните услуги, како што се UDP DNS, ICMP и други. За да го направите ова, одете до поставките за услугата → Напредно → Синхронизирај врски на состојбата Синхронизацијата е овозможена на кластерот.

Сите најдобри практики се опишани во sk98348.

3.10. Како се користи CoreXl?

Технологијата CoreXL, која овозможува користење на повеќе процесори за инстанци на заштитен ѕид (модули за заштитен ѕид), дефинитивно помага да се оптимизира работата на уредот. Тим прво fw ctl афинитет -l -a ќе ги прикаже употребените инстанци на заштитен ѕид и процесорите доделени на SND (модул кој го дистрибуира сообраќајот до ентитетите на заштитен ѕид). Ако не се користат сите процесори, тие можат да се додадат со командата cpconfig на портата.
Исто така добра приказна е да се стави жешка поправка за да се овозможи Multi-Queue. Multi-Queue го решава проблемот кога процесорот со SND се користи во многу проценти, а инстанците на заштитен ѕид на други процесори се неактивен. Тогаш SND би имал можност да создаде многу редици за една NIC и да постави различни приоритети за различен сообраќај на ниво на кернел. Следствено, јадрата на процесорот ќе се користат поинтелигентно. Методите се исто така опишани во sk98348.

Како заклучок, би сакал да кажам дека ова не се сите најдобри практики за оптимизирање на Check Point, но тие се најпопуларни. Ако сакате да нарачате ревизија на вашата безбедносна политика или да решите проблем поврзан со Check Point, ве молиме контактирајте [заштитена по е-пошта].

Ви благодариме!

Извор: www.habr.com