चेक पॉइंट: CPU आणि RAM ऑप्टिमायझेशन

नमस्कार सहकारी! आज मी बर्‍याच चेक पॉइंट प्रशासकांसाठी एका अतिशय संबंधित विषयावर चर्चा करू इच्छितो: "सीपीयू आणि रॅम ऑप्टिमाइझ करणे." गेटवे आणि/किंवा मॅनेजमेंट सर्व्हर अनपेक्षितपणे यापैकी बरीच संसाधने वापरतात तेव्हा अनेकदा प्रकरणे असतात आणि ते कुठे “प्रवाह” करतात आणि शक्य असल्यास त्यांचा अधिक हुशारीने वापर करतात हे मला समजून घ्यायचे आहे.

1. विश्लेषण

प्रोसेसर लोडचे विश्लेषण करण्यासाठी, तज्ञ मोडमध्ये प्रविष्ट केलेल्या खालील कमांड वापरणे उपयुक्त आहे:

अव्वल सर्व प्रक्रिया, टक्केवारी, अपटाइम, प्रक्रिया प्राधान्य आणि इतर वास्तविक वेळेतи

cpwd_admin यादी चेक पॉइंट वॉचडॉग डिमन, जे सर्व ऍप्लिकेशन मॉड्यूल, त्यांचे पीआयडी, स्थिती आणि प्रारंभांची संख्या दर्शविते

cpstat -f cpu os CPU वापर, त्यांची संख्या आणि टक्केवारी म्हणून प्रोसेसर वेळेचे वितरण

cpstat -f मेमरी ओएस आभासी RAM वापर, किती सक्रिय, विनामूल्य RAM आणि बरेच काही

योग्य टिप्पणी म्हणजे सर्व cpstat कमांड युटिलिटी वापरून पाहिल्या जाऊ शकतात cpview. हे करण्यासाठी, तुम्हाला SSH सत्रातील कोणत्याही मोडमधून फक्त cpview कमांड एंटर करणे आवश्यक आहे.

ps auxwf सर्व प्रक्रियांची एक लांबलचक यादी, त्यांचा आयडी, व्यापलेली आभासी मेमरी आणि RAM, CPU मधील मेमरी

इतर आदेश भिन्नता:

ps-aF सर्वात महाग प्रक्रिया दर्शवेल

fw ctl affinity -l -a वेगवेगळ्या फायरवॉल उदाहरणांसाठी कोरचे वितरण, म्हणजेच CoreXL तंत्रज्ञान

fw ctl pstat RAM विश्लेषण आणि सामान्य कनेक्शन निर्देशक, कुकीज, NAT

मुक्त-एम रॅम बफर

संघ विशेष लक्ष देण्यास पात्र आहे नेटसॅट आणि त्याची विविधता. उदाहरणार्थ, netstat -i क्लिपबोर्डचे निरीक्षण करण्याच्या समस्येचे निराकरण करण्यात मदत करू शकते. या आदेशाच्या आउटपुटमधील पॅरामीटर, RX ड्रॉप केलेले पॅकेट्स (RX-DRP), नियमानुसार, बेकायदेशीर प्रोटोकॉल (IPv6, खराब / अनपेक्षित व्हीएलएएन टॅग आणि इतर) च्या थेंबांमुळे स्वतःच वाढतात. तथापि, थेंब दुसर्या कारणास्तव होत असल्यास, आपण हे वापरावे लेखदिलेले नेटवर्क इंटरफेस पॅकेट का सोडत आहे हे तपासणे आणि समजून घेणे सुरू करणे. कारण शोधून काढल्यानंतर, अॅपचे ऑपरेशन देखील ऑप्टिमाइझ केले जाऊ शकते.

मॉनिटरिंग ब्लेड सक्षम असल्यास, ऑब्जेक्टवर क्लिक करून आणि "डिव्हाइस आणि परवाना माहिती" निवडून तुम्ही हे मेट्रिक्स ग्राफिकरित्या SmartConsole मध्ये पाहू शकता.

मॉनिटरिंग ब्लेड कायमस्वरूपी चालू करण्याची शिफारस केलेली नाही, परंतु चाचणीसाठी एका दिवसासाठी ते शक्य आहे.

शिवाय, तुम्ही मॉनिटरिंगसाठी आणखी पॅरामीटर्स जोडू शकता, त्यापैकी एक अतिशय उपयुक्त आहे - बाइट्स थ्रूपुट (अनुप्रयोग थ्रूपुट).

इतर काही मॉनिटरिंग सिस्टम असल्यास, उदाहरणार्थ, विनामूल्य झब्बीक्स, SNMP वर आधारित, या समस्या ओळखण्यासाठी देखील योग्य आहे.

2. कालांतराने रॅम लीक होते

प्रश्न बर्‍याचदा उद्भवतो की कालांतराने, गेटवे किंवा व्यवस्थापन सर्व्हर अधिकाधिक रॅम वापरण्यास सुरवात करतो. मी तुम्हाला आश्वस्त करू इच्छितो: ही लिनक्स सारख्या प्रणालींसाठी एक सामान्य गोष्ट आहे.

कमांड्सचे आउटपुट पहात आहे मुक्त-एम и cpstat -f मेमरी ओएस तज्ञ मोडवरून अॅपवर, तुम्ही RAM शी संबंधित सर्व पॅरामीटर्स मोजू शकता आणि पाहू शकता.

या क्षणी गेटवेवरील उपलब्ध मेमरीवर आधारित विनामूल्य मेमरी + बफर्स ​​मेमरी + कॅश्ड मेमरी = +-१.५ जीबी, सहसा.

CP ने म्हटल्याप्रमाणे, कालांतराने गेटवे/व्यवस्थापन सर्व्हर अधिकाधिक मेमरी ऑप्टिमाइझ करतो आणि वापरतो, सुमारे 80% वापरापर्यंत पोहोचतो आणि थांबतो. आपण डिव्हाइस रीबूट करू शकता आणि नंतर निर्देशक रीसेट केला जाईल. गेटवेसाठी सर्व कार्ये करण्यासाठी 1.5 GB विनामूल्य RAM पुरेसे आहे आणि व्यवस्थापन क्वचितच अशा थ्रेशोल्ड मूल्यांपर्यंत पोहोचते.

तसेच नमूद केलेल्या कमांड्सचे आउटपुट तुमच्याकडे किती आहे हे दर्शवेल कमी स्मरणशक्ती (वापरकर्ता जागेत RAM) आणि उच्च स्मृती (कर्नल स्पेसमध्ये RAM) वापरले.

कर्नल प्रक्रिया (चेक पॉइंट कर्नल मॉड्यूल्स सारख्या सक्रिय मॉड्यूल्ससह) फक्त कमी मेमरी वापरतात. तथापि, वापरकर्ता प्रक्रिया कमी आणि उच्च मेमरी दोन्ही वापरू शकतात. शिवाय, कमी मेमरी अंदाजे समान आहे एकूण मेमरी.

लॉगमध्ये त्रुटी असल्यासच आपण काळजी करावी "ओओएम (आऊट ऑफ मेमरी) मुळे मेमरी परत मिळवण्यासाठी मॉड्यूल्स रीबूट किंवा प्रक्रिया नष्ट केल्या जात आहेत". नंतर तुम्ही गेटवे रीबूट केले पाहिजे आणि रीबूट मदत करत नसल्यास समर्थनाशी संपर्क साधा.

मध्ये संपूर्ण वर्णन आढळू शकते sk99547 и sk99593.

3. ऑप्टिमायझेशन

खाली CPU आणि RAM ऑप्टिमाइझ करण्यावर प्रश्न आणि उत्तरे आहेत. आपण त्यांना प्रामाणिकपणे उत्तर दिले पाहिजे आणि शिफारसी ऐकल्या पाहिजेत.

३.१. अर्ज योग्यरित्या निवडला होता? पायलट प्रोजेक्ट होता का?

योग्य आकार असूनही, नेटवर्क सहजपणे वाढू शकते आणि हे उपकरण फक्त लोडचा सामना करू शकत नाही. दुसरा पर्याय असा आहे की जर असा आकार नसेल.

३.२. HTTPS तपासणी सक्षम आहे का? होय असल्यास, तंत्रज्ञान सर्वोत्तम सरावानुसार कॉन्फिगर केले आहे का?

पहा लेख, तुम्ही आमचे क्लायंट असल्यास किंवा ते sk108202.

HTTPS साइट उघडण्याच्या अनुकूलतेमध्ये HTTPS तपासणी धोरणातील नियमांचा क्रम खूप महत्त्वाचा आहे.

नियमांचा शिफारस केलेला क्रम:

1. श्रेणी/URL सह नियम बायपास करा
2. श्रेणी/URL सह नियमांचे निरीक्षण करा
3. इतर सर्व श्रेणींसाठी नियमांचे निरीक्षण करा

फायरवॉल धोरणाशी साधर्म्य साधून, चेक पॉइंट वरपासून खालपर्यंत पॅकेट्सद्वारे जुळणी शोधतो, त्यामुळे बायपासचे नियम वरच्या बाजूला ठेवणे चांगले आहे, कारण या पॅकेटला आवश्यक असल्यास गेटवे सर्व नियमांनुसार चालवताना संसाधने वाया घालवणार नाही. पास करणे.

3.3 पत्ता-श्रेणी वस्तू वापरल्या जातात का?

अॅड्रेस रेंज असलेले ऑब्जेक्ट्स, उदाहरणार्थ, नेटवर्क 192.168.0.0-192.168.5.0, 5 नेटवर्क ऑब्जेक्ट्सपेक्षा लक्षणीयरीत्या जास्त RAM घेतात. सर्वसाधारणपणे, SmartConsole मधील न वापरलेल्या वस्तू काढून टाकणे हा चांगला सराव मानला जातो, कारण प्रत्येक वेळी पॉलिसी स्थापित केल्यावर, गेटवे आणि व्यवस्थापन सर्व्हर संसाधने खर्च करतात आणि सर्वात महत्त्वाचे म्हणजे, पॉलिसीची पडताळणी आणि लागू करण्यासाठी वेळ.

३.४. धोका प्रतिबंधक धोरण कसे कॉन्फिगर केले जाते?

सर्व प्रथम, चेक पॉइंट आयपीएसला वेगळ्या प्रोफाइलमध्ये ठेवण्याची आणि या ब्लेडसाठी स्वतंत्र नियम तयार करण्याची शिफारस करतो.

उदाहरणार्थ, प्रशासकाचा असा विश्वास आहे की DMZ विभाग केवळ IPS वापरून संरक्षित केला पाहिजे. म्हणून, इतर ब्लेडद्वारे पॅकेट्सवर प्रक्रिया करण्यासाठी गेटवेला संसाधने वाया घालवण्यापासून रोखण्यासाठी, या विभागासाठी प्रोफाइलसह नियम तयार करणे आवश्यक आहे ज्यामध्ये केवळ IPS सक्षम आहे.

प्रोफाइल सेट करण्याबाबत, यातील सर्वोत्तम पद्धतींनुसार ते सेट करण्याची शिफारस केली जाते दस्तऐवज(पृष्ठ 17-20).

३.५. IPS सेटिंग्जमध्ये, डिटेक्ट मोडमध्ये किती स्वाक्षऱ्या आहेत?

न वापरलेल्या अक्षम केल्या पाहिजेत या अर्थाने स्वाक्षरींचा काळजीपूर्वक अभ्यास करण्याची शिफारस केली जाते (उदाहरणार्थ, Adobe उत्पादने ऑपरेट करण्यासाठी स्वाक्षरीसाठी भरपूर संगणकीय शक्ती आवश्यक आहे आणि ग्राहकाकडे अशी उत्पादने नसल्यास, स्वाक्षरी अक्षम करणे अर्थपूर्ण आहे). पुढे, जेथे शक्य असेल तेथे डिटेक्ट ऐवजी प्रीव्हेंट ठेवा, कारण गेटवे संपूर्ण कनेक्शनवर डिटेक्ट मोडमध्ये प्रक्रिया करण्यासाठी संसाधने खर्च करतो; प्रिव्हेंट मोडमध्ये, ते ताबडतोब कनेक्शन टाकून देते आणि पॅकेटवर पूर्णपणे प्रक्रिया करताना संसाधने वाया घालवत नाहीत.

३.६. थ्रेट इम्युलेशन, थ्रेट एक्स्ट्रॅक्शन, अँटी-व्हायरस ब्लेडद्वारे कोणत्या फाइल्सवर प्रक्रिया केली जाते?

तुमचे वापरकर्ते डाउनलोड करत नसलेल्या विस्तारांच्या फाइल्सचे अनुकरण आणि विश्लेषण करण्यात काही अर्थ नाही किंवा तुम्ही तुमच्या नेटवर्कवर अनावश्यक समजता (उदाहरणार्थ, bat, exe फाइल्स फायरवॉल स्तरावर सामग्री जागरूकता ब्लेड वापरून सहजपणे ब्लॉक केल्या जाऊ शकतात, त्यामुळे कमी गेटवे संसाधने खर्च केली जातील). शिवाय, थ्रेट इम्युलेशन सेटिंग्जमध्ये तुम्ही सँडबॉक्समधील धोक्यांचे अनुकरण करण्यासाठी पर्यावरण (ऑपरेटिंग सिस्टम) निवडू शकता आणि जेव्हा सर्व वापरकर्ते आवृत्ती 7 सह कार्य करत असतील तेव्हा पर्यावरण Windows 10 स्थापित करणे देखील अर्थपूर्ण नाही.

३.७. फायरवॉल आणि ऍप्लिकेशन स्तरावरील नियम सर्वोत्तम सरावानुसार व्यवस्था केलेले आहेत का?

जर एखाद्या नियमात बरेच हिट (सामने) असतील तर ते अगदी शीर्षस्थानी ठेवण्याची शिफारस केली जाते आणि अगदी कमी हिटसह नियम - अगदी तळाशी. मुख्य गोष्ट म्हणजे ते एकमेकांना छेदत नाहीत किंवा ओव्हरलॅप करत नाहीत याची खात्री करणे. शिफारस केलेले फायरवॉल पॉलिसी आर्किटेक्चर:

स्पष्टीकरण:

प्रथम नियम - सर्वात जास्त सामने असलेले नियम येथे ठेवले आहेत
नॉइज नियम - नेटबीआयओएस सारखी बनावट रहदारी टाकून देण्याचा नियम
स्टेल्थ नियम - गेटवे नियमांच्या प्रमाणीकरणामध्ये निर्दिष्ट केलेल्या स्त्रोतांशिवाय सर्व गेटवे आणि व्यवस्थापनांना कॉल करण्यास प्रतिबंधित करते
क्लीन-अप, लास्ट आणि ड्रॉप नियम सामान्यतः एका नियमात एकत्रित केले जातात ज्यांना आधी परवानगी नव्हती

सर्वोत्तम सराव डेटा मध्ये वर्णन केले आहे sk106597.

३.८. प्रशासकांनी तयार केलेल्या सेवांमध्ये कोणती सेटिंग्ज आहेत?

उदाहरणार्थ, काही TCP सेवा विशिष्ट पोर्टवर तयार केली जाते आणि सेवेच्या प्रगत सेटिंग्जमध्ये "कोणत्याहीसाठी जुळवा" अनचेक करणे अर्थपूर्ण आहे. या प्रकरणात, ही सेवा विशेषत: ती ज्या नियमात दिसते त्या नियमांतर्गत येईल आणि सेवा स्तंभामध्ये कोणत्याही सूचीबद्ध केलेल्या नियमांमध्ये सहभागी होणार नाही.

सेवांबद्दल बोलणे, हे लक्षात घेण्यासारखे आहे की कधीकधी टाइमआउट समायोजित करणे आवश्यक असते. ही सेटिंग तुम्हाला गेटवे संसाधने हुशारीने वापरण्याची परवानगी देईल, जेणेकरुन मोठ्या टाइमआउटची आवश्यकता नसलेल्या प्रोटोकॉलच्या TCP/UDP सत्रांसाठी अतिरिक्त वेळ लागू नये. उदाहरणार्थ, खालील स्क्रीनशॉटमध्ये, मी डोमेन-यूडीपी सेवा कालबाह्य 40 सेकंदांवरून 30 सेकंदात बदलले आहे.

३.९. SecureXL वापरले जाते आणि स्पीडअप टक्केवारी किती आहे?

तुम्ही गेटवेवरील तज्ञ मोडमध्ये मूलभूत आदेश वापरून SecureXL ची गुणवत्ता तपासू शकता fwaccel स्टेट и fw accel stats -s. पुढे, आपल्याला कोणत्या प्रकारची रहदारी वेगवान केली जात आहे आणि इतर कोणते टेम्पलेट तयार केले जाऊ शकतात हे शोधणे आवश्यक आहे.

ड्रॉप टेम्पलेट्स डीफॉल्टनुसार सक्षम नाहीत; त्यांना सक्षम केल्याने SecureXL ला फायदा होईल. हे करण्यासाठी, गेटवे सेटिंग्ज आणि ऑप्टिमायझेशन टॅबवर जा:

तसेच, CPU ऑप्टिमाइझ करण्यासाठी क्लस्टरसह काम करताना, तुम्ही UDP DNS, ICMP आणि इतर सारख्या गंभीर नसलेल्या सेवांचे सिंक्रोनाइझेशन अक्षम करू शकता. हे करण्यासाठी, सेवा सेटिंग्ज → प्रगत → सिंक्रोनाइझ कनेक्शन्स ऑफ स्टेट सिंक्रोनाइझेशन वर जा क्लस्टरवर सक्षम केले आहे.

सर्व उत्तम पद्धतींमध्ये वर्णन केले आहे sk98348.

३.१०. CoreXl कसे वापरले जाते?

CoreXL तंत्रज्ञान, जे फायरवॉल उदाहरणांसाठी (फायरवॉल मॉड्यूल) एकाधिक CPUs वापरण्याची परवानगी देते, निश्चितपणे डिव्हाइसच्या ऑपरेशनला अनुकूल करण्यास मदत करते. प्रथम संघ fw ctl affinity -l -a वापरलेली फायरवॉल उदाहरणे आणि SND ला नियुक्त केलेले प्रोसेसर (फायरवॉल घटकांना रहदारी वितरित करणारे मॉड्यूल) दर्शवेल. जर सर्व प्रोसेसर वापरलेले नसतील, तर ते कमांडसह जोडले जाऊ शकतात cpconfig गेटवे येथे.
तसेच एक चांगली कथा मांडायची आहे हॉटफिक्स एकाधिक-रांग सक्षम करण्यासाठी. जेव्हा SND सह प्रोसेसर बर्‍याच टक्के वापरला जातो आणि इतर प्रोसेसरवरील फायरवॉल उदाहरणे निष्क्रिय असतात तेव्हा मल्टी-क्यू समस्या सोडवते. मग SND कडे एका NIC साठी अनेक रांगा तयार करण्याची आणि कर्नल स्तरावर वेगवेगळ्या रहदारीसाठी वेगवेगळे प्राधान्यक्रम सेट करण्याची क्षमता असेल. परिणामी, CPU कोर अधिक हुशारीने वापरले जातील. तंत्र देखील वर्णन केले आहे sk98348.

शेवटी, मी असे म्हणू इच्छितो की चेक पॉइंट ऑप्टिमाइझ करण्यासाठी या सर्व सर्वोत्तम पद्धती नाहीत, परंतु त्या सर्वात लोकप्रिय आहेत. तुम्ही तुमच्या सुरक्षा धोरणाचे ऑडिट करू इच्छित असल्यास किंवा चेक पॉइंटशी संबंधित समस्या सोडवू इच्छित असल्यास, कृपया संपर्क साधा [ईमेल संरक्षित].

आपण लक्ष दिल्याबद्दल धन्यवाद!

स्त्रोत: www.habr.com