{"id":94118,"date":"2020-09-13T07:42:29","date_gmt":"2020-09-13T05:42:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii"},"modified":"2020-09-13T07:42:29","modified_gmt":"2020-09-13T05:42:29","slug":"7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/7-ngfw-dlya-malogo-biznesa-proizvoditelnost-i-obshhie-rekomendaczii","title":{"rendered":"7. NGFW pre mal\u00e9 podniky. V\u00fdkon a v\u0161eobecn\u00e9 odpor\u00fa\u010dania","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7.<\/p>\n

Pri\u0161iel \u010das na ukon\u010denie cyklu \u010dl\u00e1nkov o novej gener\u00e1cii SMB Check Point (s\u00e9ria 1500). D\u00fafame, \u017ee to bol pre v\u00e1s u\u017eito\u010dn\u00fd z\u00e1\u017eitok a \u017ee s nami zostanete aj v blogu TS Solution. T\u00e9ma pre z\u00e1vere\u010dn\u00fd \u010dl\u00e1nok nie je \u0161iroko pokryt\u00e1, ale je rovnako d\u00f4le\u017eit\u00e1 \u2013 tunovanie v\u00fdkonu SMB. V \u0148om sa budeme zaobera\u0165 mo\u017enos\u0165ami konfigur\u00e1cie hardv\u00e9rovej a softv\u00e9rovej \u010dasti fungovania NGFW a op\u00ed\u0161eme dostupn\u00e9 pr\u00edkazy a sp\u00f4soby interakcie.<\/p>\n

V\u0161etky \u010dl\u00e1nky cyklu o NGFW pre mal\u00e9 podniky: <\/p>\n

    \n
  1. \n

    Nov\u00e1 l\u00ednia CheckPoint 1500 Security Gateway<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  2. \n

    Rozbalenie a nastavenie<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  3. \n

    Bezdr\u00f4tov\u00fd prenos d\u00e1t: WiFi a LTE<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  4. \n

    VPN<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  5. \n

    Cloudov\u00e9 riadenie SMP<\/u><\/a><\/noindex><\/p>\n<\/li>\n

  6. \n

    Smart-1 Cloud<\/u><\/a><\/noindex><\/p>\n<\/li>\n<\/ol>\n

    V s\u00fa\u010dasnosti nie je mnoho zdrojov inform\u00e1ci\u00ed o laden\u00ed v\u00fdkonu pre SMB rie\u0161enia vzh\u013eadom na obmedzen\u00ed<\/u><\/a><\/noindex> vn\u00fatornej OS \u2013 Gaia 80.20 Embedded. V na\u0161om \u010dl\u00e1nku budeme pou\u017e\u00edva\u0165 rozlo\u017eenie s centralizovan\u00fdm mana\u017ementom (vyhraden\u00fd Management Server) \u2013 tento pr\u00edstup umo\u017e\u0148uje aplikova\u0165 viac n\u00e1strojov pri pr\u00e1ci s NGFW.<\/p>\n

    Hardv\u00e9rov\u00e1 \u010das\u0165<\/h2>\n

    Predt\u00fdm, ne\u017e sa dotkneme architekt\u00fary rodiny Check Point SMB, v\u017edy sa m\u00f4\u017eete obr\u00e1ti\u0165 na svojho partnera, aby pou\u017eil n\u00e1stroj Appliance Sizing Tool<\/em>, na v\u00fdber optim\u00e1lneho rie\u0161enia pod\u013ea zadan\u00fdch vlastnost\u00ed (priepustnos\u0165, o\u010dak\u00e1van\u00fd po\u010det pou\u017e\u00edvate\u013eov at\u010f.).<\/p>\n

    D\u00f4le\u017eit\u00e9 pozn\u00e1mky pri interakcii s hardv\u00e9rovou \u010das\u0165ou v\u00e1\u0161ho NGFW<\/p>\n

      \n
    1. \n

      NGFW rie\u0161enia rodiny SMB nemaj\u00fa mo\u017enos\u0165 hardv\u00e9rov\u00e9ho vylep\u0161enia syst\u00e9mov\u00fdch komponentov (CPU, RAM, HDD), v z\u00e1vislosti od modelu je podporovan\u00e1 SD karta, \u010do umo\u017e\u0148uje roz\u0161\u00edri\u0165 kapacitu disku, ale nie v\u00fdznamne.<\/p>\n<\/li>\n

    2. \n

      Fungovanie sie\u0165ov\u00fdch rozhran\u00ed vy\u017eaduje kontrolu. V Gaia 80.20 Embedded nie je mnoho n\u00e1strojov na monitorovanie, ale m\u00f4\u017eete v\u017edy pou\u017ei\u0165 zn\u00e1my pr\u00edkaz v CLI cez Expert re\u017eim <\/p>\n

      # ifconfig<\/em><\/p>\n

      \"7.<\/p>\n

      V\u0161imnite si pod\u010diarknut\u00e9 riadky, pom\u00f4\u017eu v\u00e1m oceni\u0165 po\u010det ch\u00fdb na rozhran\u00ed. Je mimoriadne odpor\u00fa\u010dan\u00e9 kontrolova\u0165 tieto parametre pri prvotnom nasaden\u00ed v\u00e1\u0161ho NGFW, ako aj pravidelne u\u017e po\u010das prev\u00e1dzky.<\/p>\n<\/li>\n

    3. \n

      Pre plnohodnotn\u00fa Gaiju existuje pr\u00edkaz: <\/p>\n

      > show diag <\/p>\n

      S jej pomocou je mo\u017en\u00e9 z\u00edska\u0165 inform\u00e1cie o teplote hardv\u00e9ru.  \u017dia\u013e, v 80.20 Embedded t\u00e1to mo\u017enos\u0165 nie je dostupn\u00e1, uvedieme najpopul\u00e1rnej\u0161ie SNMP-traps:<\/p>\n

      N\u00e1zov <\/strong><\/p>\n

      Popis<\/strong><\/p>\n

      Interface disconnected<\/em><\/p>\n

      Odpojenie rozhrania<\/p>\n

      VLAN removed<\/em><\/p>\n

      Odstr\u00e1nenie VLAN<\/p>\n

      High memory utilization<\/em><\/p>\n

      Vysok\u00e1 vyu\u017eite\u013enos\u0165 RAM<\/p>\n

      Low disk space<\/em><\/p>\n

      Nedostatok miesta na HDD<\/p>\n

      High CPU utilization<\/em><\/p>\n

      Vysok\u00e1 vyu\u017eite\u013enos\u0165 CPU<\/p>\n

      High CPU interrupts rate<\/em><\/p>\n

      Vysok\u00e1 frekvencia preru\u0161enia<\/p>\n

      High connection rate<\/em><\/p>\n

      Vysok\u00fd tok nov\u00fdch pripojen\u00ed<\/p>\n

      High concurrent connections<\/em><\/p>\n

      Vysok\u00e1 \u00farove\u0148 konkuren\u010dn\u00fdch rel\u00e1ci\u00ed<\/p>\n

      Vysok\u00fd priepustnos\u0165 firewallu<\/em><\/p>\n

      Vysok\u00e1 \u00farove\u0148 priepustnosti firewallu<\/p>\n

      Vysok\u00e1 prijat\u00e1 sadzba paketov<\/em><\/p>\n

      Vysok\u00e1 \u00farove\u0148 prij\u00edman\u00fdch paketov<\/p>\n

      Zmenen\u00fd stav \u010dlena klastru<\/em><\/p>\n

      Zmena stavu klastra<\/p>\n

      Chyba pripojenia s log serverom<\/em><\/p>\n

      Strata spojenia s Log-serverom<\/p>\n<\/li>\n

    4. \n

      Prev\u00e1dzka va\u0161ej br\u00e1ny vy\u017eaduje kontrolu RAM. Pre prev\u00e1dzku Gaia (podobn\u00e1 Linuxu) je to norm\u00e1lna situ\u00e1cia<\/u><\/a><\/noindex>, ke\u010f spotreba RAM dosahuje 70-80% vyu\u017eitia. <\/p>\n

      V architekt\u00fare SMB rie\u0161en\u00ed nie je predpokladan\u00fd SWAP pam\u00e4\u0165, na rozdiel od star\u0161\u00edch modelov Check Point. Napriek tomu sa v syst\u00e9mov\u00fdch s\u00faboroch Linuxu zaznamenal , \u010do nazna\u010duje teoretick\u00fa mo\u017enos\u0165 meni\u0165 parameter SWAP.<\/p>\n<\/li>\n<\/ol>\n

      Softv\u00e9rov\u00e1 \u010das\u0165<\/h2>\n

      V \u010dase publikovania \u010dl\u00e1nku aktu\u00e1lna<\/u><\/a><\/noindex> verzii Gaia \u2013 80.20.10. Mus\u00edte vedie\u0165, \u017ee pri pr\u00e1ci v CLI existuj\u00fa obmedzenia:  v re\u017eime Expert s\u00fa podporovan\u00e9 niektor\u00e9 pr\u00edkazy Linuxu. Na pos\u00fadenie chodu NGFW je potrebn\u00e9 zhodnoti\u0165 fungovanie d\u00e9monov a slu\u017eieb, podrobnej\u0161ie inform\u00e1cie mo\u017eno n\u00e1js\u0165 v \u010dl\u00e1nku<\/u><\/a><\/noindex> m\u00f4jho kolegu. My sa v\u0161ak pozrieme na mo\u017en\u00e9 pr\u00edkazy pre SMB.<\/p>\n

      Pr\u00e1ca s Gaia OS<\/p>\n

        \n
      1. \n

        Prehliadanie \u0161abl\u00f3n SecureXL<\/p>\n

        # fwaccel stat<\/strong><\/p>\n

        \"7.<\/li>\n

      2. \n

        Prehliadanie za\u0165a\u017eenia pod\u013ea jadier<\/p>\n

        # fw ctl multik stat<\/strong><\/p>\n

        \"7.<\/li>\n

      3. \n

        Prehliadanie po\u010dtu rel\u00e1ci\u00ed (pripojen\u00ed).<\/p>\n

        # fw ctl pstat<\/strong><\/p>\n

        \"7.<\/li>\n

      4. \n

        *Prehliadanie stavu klastra<\/p>\n

        # cphaprob stat<\/strong><\/p>\n

        \"7.<\/li>\n

      5. \n

        Klasick\u00fd Linux pr\u00edkaz TOP<\/p>\n<\/li>\n<\/ol>\n

        Logovanie<\/h3>\n

        Ako u\u017e viete, existuj\u00fa tri sp\u00f4soby pr\u00e1ce s logmi NGFW (uchov\u00e1vanie, spracovanie): lok\u00e1lne, centralizovane a v cloude. Posledn\u00e9 dva varianty predpokladaj\u00fa existenciu entity \u2013 Management Server. <\/p>\n

        Mo\u017en\u00e9 sch\u00e9my spr\u00e1vy NGFW\"7.<\/p>\n

        Najcennej\u0161ie s\u00fabory logov<\/p>\n

          \n
        1. \n

          Syst\u00e9mov\u00e9 spr\u00e1vy (obsahuje menej inform\u00e1ci\u00ed ako plnohodnotn\u00e1 Gaia)<\/p>\n

          # tail -f \/var\/log\/messages2<\/strong><\/p>\n

          \"7.<\/li>\n

        2. \n

          Spr\u00e1vy o chyb\u00e1ch v pr\u00e1ci blade-ov (dos\u0165 u\u017eito\u010dn\u00fd s\u00fabor pri h\u013eadan\u00ed probl\u00e9mov)<\/p>\n

          # tail -f \/var\/log\/log\/sfwd.elg<\/strong><\/p>\n

          \"7.<\/li>\n

        3. \n

          Prehliadanie spr\u00e1v z vyrovn\u00e1vacej pam\u00e4te na \u00farovni jadra syst\u00e9mu.<\/p>\n

          # dmesg<\/strong><\/p>\n

          \"7.<\/li>\n<\/ol>\n

          Konfigur\u00e1cia blade-ov<\/h2>\n

          T\u00e1to \u010das\u0165 nebude obsahova\u0165 plnohodnotn\u00e9 in\u0161trukcie na nastavenie v\u00e1\u0161ho NGFW Check Point, len obsahuje na\u0161e odpor\u00fa\u010dania, zostaven\u00e9 empiricky. <\/p>\n

          Application Control \/ URL Filtering<\/p>\n