{"id":94118,"date":"2020-09-13T07:42:29","date_gmt":"2020-09-13T05:42:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii"},"modified":"2020-09-13T07:42:29","modified_gmt":"2020-09-13T05:42:29","slug":"7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","title":{"rendered":"7. NGFW dla ma\u0142ych firm. Wydajno\u015b\u0107 i og\u00f3lne zalecenia","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7.<\/p>\n

Nadesz\u0142a pora na zako\u0144czenie cyklu artyku\u0142\u00f3w o nowej generacji SMB Check Point (seria 1500). Mamy nadziej\u0119, \u017ce by\u0142 to dla Pa\u0144stwa przydatny do\u015bwiadczenie i \u017ce pozostan\u0105 Pa\u0144stwo z nami na blogu TS Solution. Temat ostatniego artyku\u0142u nie jest powszechnie omawiany, ale jest r\u00f3wnie wa\u017cny \u2014 optymalizacja wydajno\u015bci SMB. Om\u00f3wimy mo\u017cliwo\u015bci konfiguracji sprz\u0119towej i programowej pracy NGFW, opiszemy dost\u0119pne polecenia oraz metody interakcji.<\/p>\n

Wszystkie artyku\u0142y z cyklu o NGFW dla ma\u0142ych firm: <\/p>\n

    \n
  1. \n

    Nowa linia CheckPoint 1500 Security Gateway<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  2. \n

    Rozpakowywanie i konfiguracja<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  3. \n

    Bezprzewodowe przesy\u0142anie danych: WiFi i LTE<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  4. \n

    VPN<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  5. \n

    Zarz\u0105dzanie w chmurze SMP<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  6. \n

    Smart-1 Cloud<\/u><\/a><\/noindex><\/p>\n<\/li>\n<\/ol>\n

    Na chwile obecn\u0105 istnieje niewiele \u017ar\u00f3de\u0142 informacji o tuningu wydajno\u015bci dla rozwi\u0105za\u0144 SMB ze wzgl\u0119du na ogranicze\u0144<\/u><\/a><\/noindex> systemu operacyjnego \u2014 Gaia 80.20 Embedded. W naszym artykule b\u0119dziemy korzysta\u0107 z uk\u0142adu z centralnym zarz\u0105dzaniem (dedykowany serwer zarz\u0105dzaj\u0105cy) \u2014 pozwala to na zastosowanie wi\u0119kszej liczby narz\u0119dzi w pracy z NGFW.<\/p>\n

    Cz\u0119\u015b\u0107 sprz\u0119towa<\/h2>\n

    Zanim przejdziemy do architektury rodziny SMB Check Point, zawsze mo\u017cesz skontaktowa\u0107 si\u0119 ze swoim partnerem, aby skorzysta\u0142 z narz\u0119dzia Appliance Sizing Tool<\/em>, aby dobra\u0107 optymalne rozwi\u0105zanie zgodnie z okre\u015blonymi parametrami (przepustowo\u015b\u0107, oczekiwana liczba u\u017cytkownik\u00f3w itd.).<\/p>\n

    Wa\u017cne uwagi przy interakcji ze sprz\u0119tem Waszego NGFW<\/p>\n

      \n
    1. \n

      Rozwi\u0105zania NGFW z rodziny SMB nie maj\u0105 mo\u017cliwo\u015bci sprz\u0119towej modernizacji komponent\u00f3w systemowych (CPU, RAM, HDD), w zale\u017cno\u015bci od modelu wspierane s\u0105 karty SD, co pozwala na zwi\u0119kszenie pojemno\u015bci dysku, ale nie w znacznym stopniu.<\/p>\n<\/li>\n

    2. \n

      Praca interfejs\u00f3w sieciowych wymaga kontroli. W Gaia 80.20 Embedded nie ma zbyt wielu narz\u0119dzi do monitorowania, ale zawsze mo\u017cesz u\u017cy\u0107 znanego polecenia w CLI w trybie Expert <\/p>\n

      # ifconfig<\/em><\/p>\n

      \"7.<\/p>\n

      Zwr\u00f3\u0107 uwag\u0119 na podkre\u015blone linie, pozwol\u0105 Ci oceni\u0107 liczb\u0119 b\u0142\u0119d\u00f3w na interfejsie. Zdecydowanie zaleca si\u0119 sprawdzenie tych parametr\u00f3w przy pierwszym wdro\u017ceniu Waszego NGFW, a tak\u017ce okresowo podczas eksploatacji.<\/p>\n<\/li>\n

    3. \n

      Dla pe\u0142noprawnej Gaia istnieje polecenie: <\/p>\n

      > show diag <\/p>\n

      Dzi\u0119ki niemu mo\u017cna uzyska\u0107 informacje o temperaturze sprz\u0119tu. Niestety, w wersji 80.20 Embedded ta opcja nie jest dost\u0119pna, przedstawimy najpopularniejsze pu\u0142apki SNMP:<\/p>\n

      Nazwa <\/strong><\/p>\n

      Opis<\/strong><\/p>\n

      Interface disconnected<\/em><\/p>\n

      Roz\u0142\u0105czenie interfejsu<\/p>\n

      VLAN removed<\/em><\/p>\n

      Usuni\u0119cie Vlan<\/p>\n

      Wysokie wykorzystanie pami\u0119ci<\/em><\/p>\n

      Wysokie wykorzystanie RAM<\/p>\n

      Niska przestrze\u0144 dyskowa<\/em><\/p>\n

      Ma\u0142o miejsca na HDD<\/p>\n

      Wysokie wykorzystanie CPU<\/em><\/p>\n

      Wysokie wykorzystanie CPU<\/p>\n

      Wysoka cz\u0119sto\u015b\u0107 przerwa\u0144 CPU<\/em><\/p>\n

      Wysoka cz\u0119sto\u015b\u0107 przerwa\u0144<\/p>\n

      Wysoka przepustowo\u015b\u0107 po\u0142\u0105cze\u0144<\/em><\/p>\n

      Wysoki przep\u0142yw nowych po\u0142\u0105cze\u0144<\/p>\n

      Wysoka liczba wsp\u00f3\u0142bie\u017cnych po\u0142\u0105cze\u0144<\/em><\/p>\n

      Wysoki poziom sesji wsp\u00f3\u0142bie\u017cnych<\/p>\n

      Wysoka przepustowo\u015b\u0107 zapory<\/em><\/p>\n

      Wysoki poziom przepustowo\u015bci zapory<\/p>\n

      Wysoka cz\u0119sto\u015b\u0107 akceptowanych pakiet\u00f3w<\/em><\/p>\n

      Wysoki poziom akceptacji pakiet\u00f3w<\/p>\n

      Stan cz\u0142onka klastra zmieni\u0142 si\u0119<\/em><\/p>\n

      Zmiana stanu klastra<\/p>\n

      B\u0142\u0105d po\u0142\u0105czenia z serwerem log\u00f3w<\/em><\/p>\n

      Utrata po\u0142\u0105czenia z Log-Server<\/p>\n<\/li>\n

    4. \n

      Praca twojego bramki wymaga monitorowania RAM. Dla dzia\u0142ania Gaia (system operacyjny podobny do Linuxa) to normalna sytuacja<\/u><\/a><\/noindex>, kiedy zu\u017cycie RAM osi\u0105ga 70-80%. <\/p>\n

      Architektura rozwi\u0105za\u0144 SMB nie przewiduje u\u017cycia pami\u0119ci SWAP, w przeciwie\u0144stwie do starszych modeli Check Point. Niemniej jednak w plikach systemowych Linux zauwa\u017cono <vm.swappiness>, co sugeruje teoretyczn\u0105 mo\u017cliwo\u015b\u0107 zmiany parametru SWAP.<\/p>\n<\/li>\n<\/ol>\n

      Cz\u0119\u015b\u0107 oprogramowania<\/h2>\n

      W momencie publikacji artyku\u0142u aktualna<\/u><\/a><\/noindex> wersji Gaia \u2014 80.20.10. Nale\u017cy wiedzie\u0107, \u017ce istniej\u0105 ograniczenia w pracy w CLI: w trybie Expert obs\u0142ugiwane s\u0105 niekt\u00f3re polecenia Linuksa. Aby oceni\u0107 dzia\u0142anie NGFW, nale\u017cy oceni\u0107 dzia\u0142anie demon\u00f3w i us\u0142ug, o kt\u00f3rych wi\u0119cej mo\u017cna znale\u017a\u0107 w artyku\u0142<\/u><\/a><\/noindex> mojego kolegi. Rozwa\u017cymy polecenia dla SMB.<\/p>\n

      Praca z Gaia OS<\/p>\n

        \n
      1. \n

        Przegl\u0105d szablon\u00f3w SecureXL<\/p>\n

        # fwaccel stat<\/strong><\/p>\n

        \"7.<\/li>\n

      2. \n

        Przegl\u0105d obci\u0105\u017cenia procesora<\/p>\n

        # fw ctl multik stat<\/strong><\/p>\n

        \"7.<\/li>\n

      3. \n

        Przegl\u0105d liczby sesji (po\u0142\u0105cze\u0144).<\/p>\n

        # fw ctl pstat<\/strong><\/p>\n

        \"7.<\/li>\n

      4. \n

        *Przegl\u0105d stanu klastra<\/p>\n

        # cphaprob stat<\/strong><\/p>\n

        \"7.<\/li>\n

      5. \n

        Klasyczne polecenie Linux TOP<\/p>\n<\/li>\n<\/ol>\n

        Rejestrowanie<\/h3>\n

        Jak ju\u017c Pa\u0144stwo wiedz\u0105, istniej\u0105 trzy sposoby pracy z logami NGFW (przechowywanie, przetwarzanie): lokalnie, centralnie i w chmurze. Ostatnie dwa warianty wymagaj\u0105 posiadania jednostki \u2014 serwera zarz\u0105dzaj\u0105cego. <\/p>\n

        Mo\u017cliwe schematy zarz\u0105dzania NGFW\"7.<\/p>\n

        Najcenniejsze pliki log\u00f3w<\/p>\n

          \n
        1. \n

          Wiadomo\u015bci systemowe (zawieraj\u0105 mniej informacji ni\u017c w pe\u0142nej wersji Gaia)<\/p>\n

          # tail -f \/var\/log\/messages2<\/strong><\/p>\n

          \"7.<\/li>\n

        2. \n

          Wiadomo\u015bci o b\u0142\u0119dach w dzia\u0142aniu blade'\u00f3w (dosy\u0107 przydatny plik przy szukaniu problem\u00f3w)<\/p>\n

          # tail -f \/var\/log\/log\/sfwd.elg<\/strong><\/p>\n

          \"7.<\/li>\n

        3. \n

          Przegl\u0105d wiadomo\u015bci z bufora na poziomie j\u0105dra systemu.<\/p>\n

          # dmesg<\/strong><\/p>\n

          \"7.<\/li>\n<\/ol>\n

          Konfiguracja blade'\u00f3w<\/h2>\n

          Ta sekcja nie b\u0119dzie zawiera\u0107 pe\u0142nych instrukcji dotycz\u0105cych konfiguracji twojego NGFW Check Point, zawiera jedynie nasze rekomendacje, oparte na do\u015bwiadczeniu. <\/p>\n

          Kontrola aplikacji \/ Filtrowanie URL<\/p>\n