Chegou a hora de concluir o ciclo de artigos sobre a nova geração SMB Check Point (série 1500). Esperamos que tenha sido uma experiência útil para você e que continue nos acompanhando no blog da TS Solution. O tema do artigo final não é amplamente discutido, mas é igualmente importante — a otimização de desempenho do SMB. Neste artigo, discutiremos as oportunidades de configuração do hardware e software do NGFW, descreveremos os comandos disponíveis e as formas de interação.
Todos os artigos do ciclo sobre NGFW para pequenas empresas:
Atualmente, existem poucos recursos de informação sobre otimização de desempenho para soluções SMB devido a sistema operacional interno — Gaia 80.20 Embedded. Em nosso artigo, utilizaremos um layout com gerenciamento centralizado (Servidor de Gerenciamento dedicado) — isso permite aplicar um maior número de ferramentas ao trabalhar com o NGFW.
Hardware
Antes de abordar a arquitetura da família SMB da Check Point, você sempre pode consultar seu parceiro para utilizar a ferramenta Appliance Sizing Tool, para escolher a solução ideal de acordo com as especificações dadas (capacidade de processamento, número esperado de usuários, etc.).
Notas importantes ao interagir com o hardware do seu NGFW
As soluções NGFW da família SMB não têm a capacidade de upgrade de componentes de hardware (CPU, RAM, HDD), dependendo do modelo, há suporte a cartões SD, o que permite expandir a capacidade do disco, mas não significativamente.
O funcionamento das interfaces de rede requer controle. No Gaia 80.20 Embedded, existem poucos ferramentas para monitoramento, mas você sempre pode utilizar o comando conhecido no CLI através do modo Expert
# ifconfig
Observe as linhas sublinhadas, elas permitirão que você avalie a quantidade de erros na interface. É altamente recomendável verificar esses parâmetros durante a implantação inicial do seu NGFW, bem como periodicamente ao longo da operação.
Para um Gaia completo, há um comando:
> show diag
Com isso, é possível obter informações sobre a temperatura do hardware. Infelizmente, na versão 80.20 Embedded essa opção não está disponível; indicaremos os traps SNMP mais populares:
Nome
Descrição
Interface desconectada
Desconexão da interface
VLAN removida
Remoção da VLAN
Alta utilização de memória
Alta utilização da RAM
Baixo espaço em disco
Pouco espaço no HDD
Alta utilização da CPU
Alta utilização da CPU
Alta taxa de interrupções da CPU
Alta frequência de interrupções
Alta taxa de conexões
Alta taxa de novas conexões
Altas conexões simultâneas
Nível alto de sessões concorrentes
Alta taxa de throughput do firewall
Nível alto de capacidade do firewall
Alta taxa de pacotes aceitos
Nível alto de recebimento de pacotes
Estado do membro do cluster alterado
Mudança de estado do cluster
Erro de conexão com o servidor de log
Perda de conexão com o Log-Server
O funcionamento do seu gateway requer monitoramento de RAM. Para o funcionamento do Gaia (sistema operacional semelhante ao Linux) isso , quando o consumo de RAM atinge de 70-80% de utilização.
Na arquitetura de soluções SMB, o uso de memória SWAP não é previsto, ao contrário de modelos mais antigos da Check Point. No entanto, foi notado nos arquivos de sistema do Linux <vm.swappiness>, o que indica a possibilidade teórica de alterar o parâmetro SWAP.
Parte de software
No momento da publicação deste artigo do Gaia é 80.20.10. Você deve saber que existem limitações ao trabalhar no CLI: no modo Expert, alguns comandos do Linux são suportados. Para avaliar o desempenho do NGFW, é necessário avaliar o funcionamento dos demônios e serviços; mais detalhes podem ser encontrados em meu colega. Vamos explorar os comandos possíveis para SMB.
Trabalho com o Gaia OS
Visão dos templates SecureXL
# fwaccel stat
Visão da carga por núcleos
# fw ctl multik stat
Visão do número de sessões (conexões).
# fw ctl pstat
*Visão do estado do cluster
# cphaprob stat
Comando clássico do Linux TOP
Registro
Como você já sabe, existem três maneiras de trabalhar com logs do NGFW (armazenamento, processamento): localmente, centralizadamente e na nuvem. As últimas duas opções implicam a presença de uma entidade — Management Server.
Possíveis esquemas de gerenciamento do NGFW
Os arquivos de log mais valiosos
Mensagens do sistema (contém menos informações do que no Gaia completo)
# tail -f /var/log/messages2
Mensagens de erro no funcionamento dos blades (arquivo bastante útil na busca por problemas)
# tail -f /var/log/log/sfwd.elg
Visão das mensagens do buffer no nível do núcleo do sistema.
# dmesg
Configuração dos blades
Esta seção não conterá instruções detalhadas para configurar seu NGFW Check Point; apenas contém nossas recomendações, elaboradas com base na experiência.
Controle de Aplicações / Filtragem de URLs
Recomenda-se evitar nas regras a condição ANY, ANY (Fonte, Destino).
No caso de definir um recurso URL customizado, será mais eficaz utilizar expressões regulares do tipo: (^|..)checkpoint.com
Evite o uso excessivo de logging nas regras e exibição de páginas de bloqueio (UserCheck).
Certifique-se de que a tecnologia está funcionando corretamente “SecureXL”. A maior parte do tráfego deve passar por caminho acelerado / médio. Não se esqueça de filtrar as regras com base nas mais utilizadas (campo Hits ).
Inspeção HTTPS
Não é segredo para ninguém que 70-80% do tráfego dos usuários é gerado por conexões HTTPS, o que exige recursos do processador do seu gateway. Além disso, a Inspeção HTTPS participa do funcionamento do IPS, Antivírus, Antibot.
A partir da versão 80.40, foi introduzido o trabalho com regras HTTPS sem o Legacy Dashboard, aqui está uma ordem recomendada de regras:
Bypass para grupos de endereços e redes (Destino).
Bypass para grupos de URLs.
Bypass para IPs internos e redes com acesso privilegiado (Fonte).
Inspecionar para redes e usuários necessários
Bypass para todos os demais.
* É sempre melhor escolher manualmente serviços HTTPS ou HTTPS Proxy, sem deixar Any. Registrar eventos das regras de Inspeção.
IPS
O Blade IPS pode gerar um erro ao instalar políticas no seu NGFW, se muitas assinaturas forem utilizadas. De acordo com a Check Point, a arquitetura dos dispositivos SMB não é projetada para executar o perfil completo de configurações IPS recomendado.
Para resolver ou evitar problemas, siga os seguintes passos:
Clone o perfil Optimized chamado “Optimized SMB” (ou outro de sua escolha).
Edite o perfil, vá para IPS → Pre R80.Settings e desative as Proteções de Servidor.
Se desejar, você pode desativar CVEs anteriores a 2010, pois essas vulnerabilidades podem ser raramente detectadas em pequenos escritórios, mas afetam o desempenho. Para desativar algumas delas, vá para Profile→ IPS→ Additional Activation → Protections to deactivate list
Em conclusão
No âmbito da série de artigos sobre a nova geração da família NGFW SMB (1500), nos esforçamos para destacar as principais capacidades da solução, demonstrando, com exemplos concretos, a configuração de componentes de segurança importantes. Ficaríamos felizes em responder a qualquer dúvida sobre o produto nos comentários. Estamos à disposição, obrigado pela atenção!
. Para não perder novas publicações, siga as atualizações em nossas redes sociais (, , , , ).
Fonte: habr.com
