{"id":94118,"date":"2020-09-13T07:42:29","date_gmt":"2020-09-13T05:42:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii"},"modified":"2020-09-13T07:42:29","modified_gmt":"2020-09-13T05:42:29","slug":"7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","title":{"rendered":"7. NGFW pentru micile afaceri. Performan\u021b\u0103 \u0219i recomand\u0103ri generale","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7.<\/p>\n

A venit vremea pentru \u00eencheierea ciclului de articole despre noua genera\u021bie SMB Check Point (seria 1500). Sper\u0103m c\u0103 a fost o experien\u021b\u0103 util\u0103 pentru voi \u0219i c\u0103 ve\u021bi continua s\u0103 fi\u021bi al\u0103turi de noi pe blogul TS Solution. Tema articolului final este mai pu\u021bin cunoscut\u0103, dar nu mai pu\u021bin important\u0103 \u2014 optimizarea performan\u021bei SMB. \u00cen el vom discuta despre op\u021biunile de configurare a componentelor hardware \u0219i software ale NGFW, vom descrie comenzile disponibile \u0219i metodele de interac\u021biune.<\/p>\n

Toate articolele ciclului despre NGFW pentru micile afaceri: <\/p>\n

    \n
  1. \n

    Noua gam\u0103 CheckPoint 1500 Security Gateway<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  2. \n

    Deschiderea \u0219i configurarea<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  3. \n

    Transmiterea wireless a datelor: WiFi \u0219i LTE<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  4. \n

    VPN<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  5. \n

    Managementul cloud SMP<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  6. \n

    Smart-1 Cloud<\/u><\/a><\/noindex><\/p>\n<\/li>\n<\/ol>\n

    \u00cen prezent, exist\u0103 pu\u021bine surse de informa\u021bii despre tunarea performan\u021bei pentru solu\u021biile SMB din cauza limit\u0103ri<\/u><\/a><\/noindex> sistemul de operare intern \u2014 Gaia 80.20 Embedded. \u00cen articolul nostru vom folosi un layout cu gestionare centralizat\u0103 (Server de Management dedicat) \u2014 acesta permite aplicarea unui num\u0103r mai mare de instrumente \u00een lucrul cu NGFW.<\/p>\n

    Partea hardware<\/h2>\n

    \u00cenainte de a aborda arhitectura familiei Check Point SMB, pute\u021bi s\u0103 contacta\u021bi partenerul dumneavoastr\u0103 pentru a utiliza utilitarul Appliance Sizing Tool<\/em>, pentru a determina solu\u021bia optim\u0103 conform specifica\u021biilor date (l\u0103\u021bime de band\u0103, num\u0103rul estimat de utilizatori etc.).<\/p>\n

    Note importante \u00een interac\u021biunea cu partea hardware a NGFW-ului dumneavoastr\u0103<\/p>\n

      \n
    1. \n

      Solu\u021biile NGFW din familia SMB nu permit upgrade-uri hardware ale componentelor sistemului (CPU, RAM, HDD), \u00een func\u021bie de model exist\u0103 suport pentru carduri SD, ceea ce permite extinderea capacit\u0103\u021bii discului, dar nu semnificativ.<\/p>\n<\/li>\n

    2. \n

      Func\u021bionarea interfe\u021belor de re\u021bea necesit\u0103 control. \u00cen Gaia 80.20 Embedded nu exist\u0103 multe instrumente pentru monitorizare, dar pute\u021bi s\u0103 folosi\u021bi \u00eentotdeauna comanda cunoscut\u0103 \u00een CLI prin modul Expert <\/p>\n

      # ifconfig<\/em><\/p>\n

      \"7.<\/p>\n

      Re\u021bine\u021bi liniile subliniate, acestea v\u0103 vor permite s\u0103 evalua\u021bi num\u0103rul de erori pe interfa\u021b\u0103. Este extrem de recomandat s\u0103 verifica\u021bi ace\u0219ti parametri la implementarea ini\u021bial\u0103 a NGFW-ului dumneavoastr\u0103, precum \u0219i periodic \u00een timpul utiliz\u0103rii.<\/p>\n<\/li>\n

    3. \n

      Pentru Gaia complet\u0103 exist\u0103 comanda: <\/p>\n

      > show diag <\/p>\n

      Prin intermediul acestuia este posibil s\u0103 ob\u021bine\u021bi informa\u021bii despre temperatura hardware-ului. Din p\u0103cate, \u00een 80.20 Embedded aceast\u0103 op\u021biune nu este disponibil\u0103, a\u0219a c\u0103 vom men\u021biona cele mai populare SNMP-traps:<\/p>\n

      Denumire <\/strong><\/p>\n

      Descriere<\/strong><\/p>\n

      Interface disconnected<\/em><\/p>\n

      Interfa\u021b\u0103 deconectat\u0103<\/p>\n

      VLAN removed<\/em><\/p>\n

      Vlan eliminat<\/p>\n

      High memory utilization<\/em><\/p>\n

      Utilizare RAM ridicat\u0103<\/p>\n

      Low disk space<\/em><\/p>\n

      Spa\u021biu pe HDD insuficient<\/p>\n

      High CPU utilization<\/em><\/p>\n

      Utilizare CPU ridicat\u0103<\/p>\n

      High CPU interrupts rate<\/em><\/p>\n

      Frecven\u021b\u0103 mare a \u00eentreruperilor<\/p>\n

      High connection rate<\/em><\/p>\n

      Flux mare de noi conexiuni<\/p>\n

      High concurrent connections<\/em><\/p>\n

      Nivel ridicat de sesiuni concurente<\/p>\n

      Debitul ridicat al Firewall-ului<\/em><\/p>\n

      Nivel ridicat de capacitate a Firewall-ului<\/p>\n

      Rat\u0103 ridicat\u0103 de pachete acceptate<\/em><\/p>\n

      Nivel ridicat de primire a pachetelor<\/p>\n

      Starea membrului cluster-ului s-a schimbat<\/em><\/p>\n

      Schimbarea st\u0103rii cluster-ului<\/p>\n

      Eroare de conexiune cu serverul de loguri<\/em><\/p>\n

      Pierderea conexiunii cu Log-Server<\/p>\n<\/li>\n

    4. \n

      Func\u021bionarea gateway-ului dvs. necesit\u0103 monitorizarea RAM. Pentru func\u021bionarea Gaia (sistem de operare similar Linux) aceasta este o situa\u021bie normal\u0103<\/u><\/a><\/noindex>, atunci c\u00e2nd consumul de RAM atinge 70-80% din utilizare. <\/p>\n

      \u00cen arhitectura solu\u021biilor SMB nu este prev\u0103zut\u0103 utilizarea memoriei SWAP, spre deosebire de modelele mai vechi Check Point. Cu toate acestea, \u00een fi\u0219ierele sistemului Linux a fost observat <vm.swappiness>, ceea ce sugereaz\u0103 o posibilitate teoretic\u0103 de a modifica parametrul SWAP.<\/p>\n<\/li>\n<\/ol>\n

      Componenta software<\/h2>\n

      La momentul public\u0103rii articolului versiunea actual\u0103<\/u><\/a><\/noindex> versiunea Gaia \u2014 80.20.10. Trebuie s\u0103 \u0219ti\u021bi c\u0103 exist\u0103 restric\u021bii \u00een utilizarea CLI: \u00een modul Expert sunt acceptate anumite comenzi Linux. Pentru a evalua func\u021bionarea NGFW, este necesar\u0103 evaluarea func\u021bion\u0103rii demonilor \u0219i serviciilor, iar mai multe detalii pot fi g\u0103site \u00een pe care l-a\u021bi citit<\/u><\/a><\/noindex> articolul colegului meu. Vom analiza comenzile posibile pentru SMB.<\/p>\n

      Lucrul cu Gaia OS<\/p>\n

        \n
      1. \n

        Vizualizarea \u0219abloanelor SecureXL<\/p>\n

        # fwaccel stat<\/strong><\/p>\n

        \"7.<\/li>\n

      2. \n

        Vizualizarea \u00eenc\u0103rc\u0103rii pe nuclee<\/p>\n

        # fw ctl multik stat<\/strong><\/p>\n

        \"7.<\/li>\n

      3. \n

        Vizualizarea num\u0103rului de sesiuni (conexiuni).<\/p>\n

        # fw ctl pstat<\/strong><\/p>\n

        \"7.<\/li>\n

      4. \n

        *Vizualizarea st\u0103rii cluster-ului<\/p>\n

        # cphaprob stat<\/strong><\/p>\n

        \"7.<\/li>\n

      5. \n

        Comanda clasic\u0103 Linux TOP<\/p>\n<\/li>\n<\/ol>\n

        Logare<\/h3>\n

        Dup\u0103 cum \u0219ti\u021bi deja, exist\u0103 trei modalit\u0103\u021bi de a lucra cu jurnalele NGFW (stocare, procesare): local, centralizat \u0219i \u00een cloud. Ultimele dou\u0103 variante presupun existen\u021ba unei entit\u0103\u021bi \u2014 Management Server. <\/p>\n

        Schemele posibile de gestionare a NGFW\"7.<\/p>\n

        Cele mai valoroase fi\u0219iere de loguri<\/p>\n

          \n
        1. \n

          Mesajele sistemului (con\u021bin mai pu\u021bine informa\u021bii dec\u00e2t \u00een Gaia complet\u0103)<\/p>\n

          # tail -f \/var\/log\/messages2<\/strong><\/p>\n

          \"7.<\/li>\n

        2. \n

          Mesaje de eroare \u00een func\u021bionarea blade-urilor (un fi\u0219ier destul de util \u00een c\u0103utarea problemelor)<\/p>\n

          # tail -f \/var\/log\/log\/sfwd.elg<\/strong><\/p>\n

          \"7.<\/li>\n

        3. \n

          Vizualizarea mesajelor din buffer-ul la nivel de kernel al sistemului.<\/p>\n

          # dmesg<\/strong><\/p>\n

          \"7.<\/li>\n<\/ol>\n

          Configurarea blade-urilor<\/h2>\n

          Aceast\u0103 sec\u021biune nu va con\u021bine instruc\u021biuni complete pentru configurarea NGFW-ului Check Point, ci doar recomand\u0103rile noastre, ob\u021binute prin experien\u021b\u0103. <\/p>\n

          Application Control \/ URL Filtering<\/p>\n