चेक पोइन्ट: CPU र RAM अनुकूलन

नमस्ते सहकर्मीहरू! आज म धेरै चेक पोइन्ट प्रशासकहरूको लागि एक धेरै सान्दर्भिक विषयमा छलफल गर्न चाहन्छु: "CPU र RAM लाई अनुकूलन गर्दै।" त्यहाँ प्रायः केसहरू हुन्छन् जब गेटवे र/वा व्यवस्थापन सर्भरले अप्रत्याशित रूपमा यी धेरै स्रोतहरू उपभोग गर्दछ, र म बुझ्न चाहन्छु कि तिनीहरू कहाँ "प्रवाह" र, यदि सम्भव छ भने, तिनीहरूलाई अधिक बुद्धिमानी रूपमा प्रयोग गर्नुहोस्।

1. विश्लेषण

प्रोसेसर लोड विश्लेषण गर्न, विशेषज्ञ मोडमा प्रविष्ट गरिएका निम्न आदेशहरू प्रयोग गर्न उपयोगी छ:

शीर्ष सबै प्रक्रियाहरू देखाउँदछ, प्रतिशत, अपटाइम, प्रक्रिया प्राथमिकता र सीपीयू र RAM स्रोतहरूको मात्रा। अन्य वास्तविक समयमाи

cpwd_admin सूची चेक प्वाइन्ट वाचडग डेमोन, जसले सबै एप्लिकेसन मोड्युलहरू, तिनीहरूको PID, स्थिति र सुरुहरूको संख्या देखाउँछ।

cpstat -f cpu os CPU उपयोग, तिनीहरूको संख्या र प्रतिशतको रूपमा प्रोसेसर समयको वितरण

cpstat -f मेमोरी ओएस भर्चुअल RAM उपयोग, कति सक्रिय, नि: शुल्क RAM र थप

सही टिप्पणी यो हो कि सबै cpstat आदेशहरू उपयोगिता प्रयोग गरेर हेर्न सकिन्छ cpview। यो गर्नको लागि, तपाईंले SSH सत्रमा कुनै पनि मोडबाट cpview आदेश प्रविष्ट गर्न आवश्यक छ।

ps auxwf सबै प्रक्रियाहरूको लामो सूची, तिनीहरूको आईडी, ओगटेड भर्चुअल मेमोरी र RAM मा मेमोरी, CPU

अन्य आदेश भिन्नताहरू:

ps-aF सबैभन्दा महँगो प्रक्रिया देखाउनेछ

fw ctl affinity -l -a विभिन्न फायरवाल उदाहरणहरूको लागि कोरहरूको वितरण, त्यो हो, CoreXL प्रविधि

fw ctl pstat RAM विश्लेषण र सामान्य जडान संकेतकहरू, कुकीहरू, NAT

मुक्त -एम RAM बफर

टोली विशेष ध्यानको योग्य छ netsat र यसको भिन्नताहरू। उदाहरणका लागि, netstat - i क्लिपबोर्ड अनुगमनको समस्या समाधान गर्न मद्दत गर्न सक्छ। प्यारामिटर, RX ड्रप प्याकेटहरू (RX-DRP) यस आदेशको आउटपुटमा, नियमको रूपमा, अवैध प्रोटोकलहरू (IPv6, खराब / अप्रत्याशित VLAN ट्यागहरू र अन्य) को ड्रपहरूको कारणले आफै बढ्छ। यद्यपि, यदि ड्रपहरू अर्को कारणले हुन्छ भने, तपाईंले यसलाई प्रयोग गर्नुपर्छ लेखकिन दिइएको नेटवर्क इन्टरफेसले प्याकेटहरू छोड्दैछ भनेर अनुसन्धान गर्न र बुझ्न सुरु गर्न। कारण पत्ता लगाएपछि, एपको सञ्चालन पनि अनुकूलित गर्न सकिन्छ।

यदि मोनिटरिङ ब्लेड सक्षम छ भने, तपाईंले वस्तुमा क्लिक गरेर र "उपकरण र इजाजतपत्र जानकारी" चयन गरेर SmartConsole मा ग्राफिक रूपमा यी मेट्रिकहरू हेर्न सक्नुहुन्छ।

यो स्थायी आधारमा निगरानी ब्लेड खोल्न सिफारिस गरिएको छैन, तर परीक्षणको लागि एक दिनको लागि यो एकदम सम्भव छ।

यसबाहेक, तपाइँ निगरानीको लागि थप प्यारामिटरहरू थप्न सक्नुहुन्छ, ती मध्ये एउटा धेरै उपयोगी छ - बाइट्स थ्रुपुट (एप्लिकेशन थ्रुपुट)।

यदि त्यहाँ केहि अन्य निगरानी प्रणाली छ, उदाहरण को लागी, नि: शुल्क Zabbix, SNMP मा आधारित, यो पनि यी समस्याहरू पहिचान गर्न उपयुक्त छ।

2. समयसँगै RAM लीक हुन्छ

प्रश्न अक्सर उठ्छ कि समय संग, गेटवे वा व्यवस्थापन सर्भरले अधिक र अधिक RAM खपत गर्न थाल्छ। म तपाईंलाई आश्वस्त पार्न चाहन्छु: यो लिनक्स-जस्तो प्रणालीहरूको लागि सामान्य कथा हो।

आदेशहरूको आउटपुट हेर्दै मुक्त -एम и cpstat -f मेमोरी ओएस विशेषज्ञ मोडबाट एपमा, तपाईंले RAM सँग सम्बन्धित सबै प्यारामिटरहरू गणना गर्न र हेर्न सक्नुहुन्छ।

यस समयमा गेटवेमा उपलब्ध मेमोरीमा आधारित नि: शुल्क मेमोरी + बफर मेमोरी + क्यास मेमोरी = +-१.५ जीबी, सामान्यतया।

जसरी CP ले भन्यो, समयको साथ गेटवे/व्यवस्थापन सर्भरले अनुकूलन गर्दछ र अधिक र अधिक मेमोरी प्रयोग गर्दछ, लगभग 80% उपयोगमा पुग्छ, र रोकिन्छ। तपाईं उपकरण रिबुट गर्न सक्नुहुन्छ, र त्यसपछि सूचक रिसेट हुनेछ। 1.5 GB नि: शुल्क RAM सबै कार्यहरू गर्न गेटवेको लागि ठ्याक्कै पर्याप्त छ, र व्यवस्थापनले यस्तो थ्रेसहोल्ड मानहरू विरलै पुग्छ।

साथै, उल्लेख गरिएका आदेशहरूको आउटपुटले तपाइँसँग कति छ भनेर देखाउनेछ कम मेमोरी (प्रयोगकर्ता ठाउँमा RAM) र उच्च मेमोरी (कर्नेल स्पेसमा RAM) प्रयोग गरियो।

कर्नेल प्रक्रियाहरू (सक्रिय मोड्युलहरू जस्तै चेक पोइन्ट कर्नेल मोड्युलहरू सहित) ले कम मेमोरी मात्र प्रयोग गर्दछ। यद्यपि, प्रयोगकर्ता प्रक्रियाहरूले कम र उच्च मेमोरी दुवै प्रयोग गर्न सक्छन्। यसबाहेक, कम मेमोरी लगभग बराबर छ कुल मेमोरी.

यदि लगहरूमा त्रुटिहरू छन् भने तपाईले मात्र चिन्ता गर्नुपर्छ "ओओएम (मेमोरी बाहिर) को कारण मेमोरी पुन: दावी गर्न मोड्युलहरू रिबुट वा प्रक्रियाहरू मारिएको छ"। त्यसपछि तपाईंले गेटवे रिबुट गर्नुपर्छ र यदि रिबुटले मद्दत गर्दैन भने समर्थनलाई सम्पर्क गर्नुहोस्।

पूर्ण विवरण मा पाउन सकिन्छ sk99547 и sk99593.

3. अनुकूलन

तल CPU र RAM लाई अप्टिमाइज गर्ने प्रश्न र उत्तरहरू छन्। तपाईंले तिनीहरूलाई इमानदारीपूर्वक जवाफ दिनुपर्छ र सिफारिसहरू सुन्नु पर्छ।

३.१। के आवेदन सही छनोट गरिएको थियो? त्यहाँ एक पायलट परियोजना थियो?

उचित आकारको बावजुद, सञ्जाल सजिलै बढ्न सक्छ, र यो उपकरणले लोडसँग सामना गर्न सक्दैन। दोस्रो विकल्प हो यदि त्यहाँ कुनै साइजिङ थिएन।

३.२। HTTPS निरीक्षण सक्षम छ? यदि हो भने, के प्रविधि उत्तम अभ्यास अनुसार कन्फिगर गरिएको छ?

उल्लेख लेख, यदि तपाईं हाम्रो ग्राहक हुनुहुन्छ, वा गर्न sk108202.

HTTPS निरीक्षण नीतिमा नियमहरूको क्रमले HTTPS साइटहरू खोल्न अनुकूलन गर्न ठूलो भूमिका खेल्छ।

नियमहरूको सिफारिस गरिएको क्रम:

1. कोटिहरू/यूआरएलहरूसँग बाइपास नियमहरू
2. कोटिहरू/यूआरएलहरूसँग नियमहरू निरीक्षण गर्नुहोस्
3. अन्य सबै कोटिहरूको लागि नियमहरू निरीक्षण गर्नुहोस्

फायरवाल नीतिसँग समानताद्वारा, चेक पोइन्टले माथिदेखि तलसम्म प्याकेटहरूद्वारा मिल्दो खोजी गर्छ, त्यसैले बाईपास नियमहरू शीर्षमा राख्नु राम्रो हुन्छ, किनकि गेटवेले सबै नियमहरू चलाउँदा स्रोतहरू बर्बाद गर्दैन यदि यो प्याकेटलाई आवश्यक छ भने। पारित गर्न।

3.3 के ठेगाना दायरा वस्तुहरू प्रयोग गरिन्छ?

ठेगाना दायरा भएका वस्तुहरू, उदाहरणका लागि, नेटवर्क 192.168.0.0-192.168.5.0, 5 नेटवर्क वस्तुहरू भन्दा उल्लेखनीय रूपमा बढी RAM लिन्छ। सामान्यतया, SmartConsole मा प्रयोग नगरिएका वस्तुहरू हटाउन राम्रो अभ्यास मानिन्छ, किनकि प्रत्येक पटक नीति स्थापना भएपछि, गेटवे र व्यवस्थापन सर्भरले स्रोतहरू खर्च गर्छ र, सबैभन्दा महत्त्वपूर्ण कुरा, समय, प्रमाणीकरण र नीति लागू गर्न।

३.४। खतरा रोकथाम नीति कसरी कन्फिगर गरिएको छ?

सबै भन्दा पहिले, चेक पोइन्टले IPS लाई छुट्टै प्रोफाइलमा राख्न र यस ब्लेडको लागि छुट्टै नियमहरू सिर्जना गर्न सिफारिस गर्दछ।

उदाहरण को लागी, एक प्रशासक को विश्वास छ कि DMZ खण्ड IPS को प्रयोग गरेर मात्र सुरक्षित हुनुपर्छ। तसर्थ, गेटवेलाई अन्य ब्लेडहरूद्वारा प्याकेटहरू प्रशोधन गर्दा स्रोतहरू बर्बाद गर्नबाट रोक्नको लागि, यो खण्डको लागि विशेष रूपमा एक प्रोफाइल सिर्जना गर्न आवश्यक छ जसमा IPS मात्र सक्षम छ।

प्रोफाइलहरू सेटअप गर्ने सन्दर्भमा, यसलाई यसमा उत्तम अभ्यासहरू अनुसार सेटअप गर्न सिफारिस गरिन्छ कागजात(पृष्ठ १७-२०)।

३.५ IPS सेटिङहरूमा, पत्ता लगाउने मोडमा कतिवटा हस्ताक्षरहरू छन्?

प्रयोग नगरिएकाहरूलाई असक्षम पार्नु पर्छ भन्ने अर्थमा हस्ताक्षरहरूलाई ध्यानपूर्वक अध्ययन गर्न सिफारिस गरिन्छ (उदाहरणका लागि, Adobe उत्पादनहरू सञ्चालन गर्नका लागि हस्ताक्षरहरूलाई धेरै कम्प्युटिङ पावर चाहिन्छ, र यदि ग्राहकसँग त्यस्ता उत्पादनहरू छैनन् भने, हस्ताक्षरहरू असक्षम पार्नु अर्थपूर्ण हुन्छ)। अर्को, सम्भव भएसम्म पत्ता लगाउनुको सट्टा Prevent राख्नुहोस्, किनभने गेटवेले सम्पूर्ण जडानलाई पत्ता लगाउने मोडमा प्रशोधन गर्न स्रोतहरू खर्च गर्दछ; रोकथाम मोडमा, यसले तुरुन्त जडानलाई खारेज गर्छ र प्याकेटलाई पूर्ण रूपमा प्रशोधन गर्दा स्रोतहरू बर्बाद गर्दैन।

३.६। थ्रेट इम्युलेसन, थ्रेट एक्स्ट्र्याक्शन, एन्टि-भाइरस ब्लेडहरू द्वारा कुन फाइलहरू प्रशोधन गरिन्छ?

तपाइँका प्रयोगकर्ताहरूले डाउनलोड नगर्ने एक्स्टेन्सनहरूको फाइलहरू अनुकरण र विश्लेषण गर्न कुनै अर्थ छैन, वा तपाइँ तपाइँको नेटवर्कमा अनावश्यक मान्नुहुन्छ (उदाहरणका लागि, ब्याट, exe फाइलहरू फायरवाल स्तरमा सामग्री जागरूकता ब्लेड प्रयोग गरेर सजिलैसँग ब्लक गर्न सकिन्छ, त्यसैले कम गेटवे। स्रोतहरू खर्च गरिनेछ)। यसबाहेक, थ्रेट इमुलेशन सेटिङहरूमा तपाईंले स्यान्डबक्समा खतराहरू अनुकरण गर्न वातावरण (अपरेटिङ सिस्टम) चयन गर्न सक्नुहुन्छ र सबै प्रयोगकर्ताहरूले संस्करण १० सँग काम गरिरहँदा वातावरण विन्डोज 7 स्थापना गर्दा पनि कुनै अर्थ हुँदैन।

३.७ के फायरवाल र अनुप्रयोग स्तर नियमहरू उत्तम अभ्यास अनुसार व्यवस्थित छन्?

यदि एक नियममा धेरै हिटहरू (मिलानहरू) छन् भने, त्यसपछि तिनीहरूलाई धेरै शीर्षमा राख्न सिफारिस गरिन्छ, र कम संख्यामा हिटहरू - धेरै तलमा नियमहरू। मुख्य कुरा यो सुनिश्चित गर्नु हो कि तिनीहरू एक अर्कालाई काट्दैनन् वा ओभरल्याप गर्दैनन्। सिफारिस गरिएको फायरवाल नीति वास्तुकला:

स्पष्टीकरण:

पहिलो नियमहरू - सबैभन्दा ठूलो संख्यामा खेल भएका नियमहरू यहाँ राखिएका छन्
आवाज नियम - NetBIOS जस्तै जाली ट्राफिक खारेज गर्ने नियम
स्टेल्थ नियम - गेटवे नियमहरूमा प्रमाणीकरणमा निर्दिष्ट गरिएका स्रोतहरू बाहेक सबैद्वारा गेटवे र व्यवस्थापनहरूमा कलहरू निषेध गर्दछ।
क्लिन-अप, लास्ट र ड्रप नियमहरू सामान्यतया एउटै नियममा जोडिन्छन् जुन पहिले अनुमति थिएन।

उत्तम अभ्यास डेटा मा वर्णन गरिएको छ sk106597.

३.८। प्रशासकहरू द्वारा सिर्जना गरिएका सेवाहरू के सेटिङहरू छन्?

उदाहरण को लागी, केहि TCP सेवा एक विशिष्ट पोर्ट मा सिर्जना गरिएको छ, र यो सेवा को उन्नत सेटिङहरु मा "कुनै को लागी मिलान" को अनचेक गर्न को लागी समझदार बनाउँछ। यस अवस्थामा, यो सेवा विशेष रूपमा देखा पर्ने नियम अन्तर्गत पर्नेछ, र सेवा स्तम्भमा सूचीबद्ध कुनै पनि नियमहरूमा भाग लिने छैन।

सेवाहरूको बारेमा बोल्दै, यो उल्लेख गर्न लायक छ कि कहिलेकाहीं यो टाइमआउट समायोजन गर्न आवश्यक छ। यो सेटिङले तपाईंलाई गेटवे स्रोतहरू बुद्धिमानीपूर्वक प्रयोग गर्न अनुमति दिनेछ, ताकि प्रोटोकलहरूको TCP/UDP सत्रहरूको लागि ठूलो टाइमआउट आवश्यक पर्दैन। उदाहरणका लागि, तलको स्क्रिनसटमा, मैले डोमेन-यूडीपी सेवाको टाइमआउट 40 सेकेन्डबाट 30 सेकेन्डमा परिवर्तन गरें।

३.९ के SecureXL प्रयोग गरिन्छ र स्पीडअप प्रतिशत के हो?

तपाईंले गेटवेमा विशेषज्ञ मोडमा आधारभूत आदेशहरू प्रयोग गरेर SecureXL को गुणस्तर जाँच गर्न सक्नुहुन्छ fwaccel stat и fw accel stats -s। अर्को, तपाईले कुन प्रकारको ट्राफिकलाई गति दिइरहेको छ, र अन्य टेम्प्लेटहरू सिर्जना गर्न सकिन्छ भनेर पत्ता लगाउन आवश्यक छ।

ड्रप टेम्प्लेटहरू पूर्वनिर्धारित रूपमा सक्षम छैनन्; तिनीहरूलाई सक्षम गर्नाले SecureXL लाई फाइदा हुनेछ। यो गर्नको लागि, गेटवे सेटिङहरू र अनुकूलन ट्याबमा जानुहोस्:

साथै, CPU लाई अप्टिमाइज गर्न क्लस्टरसँग काम गर्दा, तपाईंले UDP DNS, ICMP र अन्य जस्ता गैर-महत्वपूर्ण सेवाहरूको सिङ्क्रोनाइजेसन असक्षम गर्न सक्नुहुन्छ। यो गर्नको लागि, सेवा सेटिङहरूमा जानुहोस् → उन्नत → राज्य सिंक्रोनाइजेसनको जडानहरू सिंक्रोनाइज गर्नुहोस् क्लस्टरमा सक्षम गरिएको छ।

सबै उत्तम अभ्यासहरू मा वर्णन गरिएको छ sk98348.

३.१०। CoreXl कसरी प्रयोग गरिन्छ?

CoreXL टेक्नोलोजी, जसले फायरवाल उदाहरणहरू (फायरवाल मोड्युलहरू) को लागि धेरै सीपीयूहरूको प्रयोगलाई अनुमति दिन्छ, निश्चित रूपमा उपकरणको सञ्चालनलाई अनुकूलन गर्न मद्दत गर्दछ। टोली पहिले fw ctl affinity -l -a प्रयोग गरिएको फायरवाल उदाहरणहरू र SND (एक मोड्युल जसले फायरवाल निकायहरूमा ट्राफिक वितरण गर्दछ) लाई तोकिएको प्रोसेसरहरू देखाउनेछ। यदि सबै प्रोसेसरहरू प्रयोग गरिएन भने, तिनीहरू आदेशको साथ थप्न सकिन्छ cpconfig गेटवे मा।
राम्रो कथा पनि राख्नु पर्छ हटफिक्स बहु-लाम सक्षम गर्न। SND को साथ प्रोसेसर धेरै प्रतिशतमा प्रयोग हुँदा बहु-लामले समस्या समाधान गर्छ, र अन्य प्रोसेसरहरूमा फायरवाल उदाहरणहरू निष्क्रिय छन्। त्यसपछि SND सँग एउटा NIC को लागि धेरै लामहरू सिर्जना गर्ने र कर्नेल स्तरमा विभिन्न ट्राफिकहरूको लागि फरक प्राथमिकताहरू सेट गर्ने क्षमता हुनेछ। फलस्वरूप, CPU कोरहरू अधिक बुद्धिमानी रूपमा प्रयोग गरिनेछ। विधिहरू पनि मा वर्णन गरिएको छ sk98348.

अन्तमा, म भन्न चाहन्छु कि यी सबै चेक पोइन्ट अनुकूलन गर्नका लागि सबै भन्दा राम्रो अभ्यासहरू होइनन्, तर तिनीहरू सबैभन्दा लोकप्रिय छन्। यदि तपाईं आफ्नो सुरक्षा नीतिको अडिट गर्न चाहनुहुन्छ वा चेक पोइन्टसँग सम्बन्धित समस्या समाधान गर्न चाहनुहुन्छ भने, कृपया सम्पर्क गर्नुहोस् [ईमेल सुरक्षित].

तपाईंको ध्यानको लागि धन्यबाद!

स्रोत: www.habr.com