Контролна тачка: оптимизација ЦПУ-а и РАМ-а

Здраво колеге! Данас бих желео да разговарам о веома релевантној теми за многе Цхецк Поинт администраторе: „Оптимизација ЦПУ-а и РАМ-а.” Често постоје случајеви када мрежни пролаз и/или сервер за управљање неочекивано троше много ових ресурса, а ја бих желео да разумем где они „теку” и, ако је могуће, да их користим интелигентније.

1. Анализа

За анализу оптерећења процесора, корисно је користити следеће команде, које се уносе у експертском режиму:

врх приказује све процесе, количину ЦПУ и РАМ ресурса утрошених као проценат, време непрекидног рада, приоритет процеса и други у реалном временуи

цпвд_админ листа Цхецк Поинт ВатцхДог Даемон, који приказује све модуле апликације, њихов ПИД, статус и број покретања

цпстат -ф ЦПУ ос Коришћење ЦПУ-а, њихов број и дистрибуција процесорског времена у процентима

цпстат -ф меморија ос коришћење виртуелне РАМ меморије, колико активног, слободног РАМ-а и још много тога

Тачна напомена је да се све команде цпстат могу видети помоћу услужног програма цпвиев. Да бисте то урадили, само треба да унесете команду цпвиев из било ког режима у ССХ сесији.

пс ауквф дуга листа свих процеса, њихов ИД, заузета виртуелна меморија и меморија у РАМ-у, ЦПУ-у

Друге варијације команде:

пс-аФ показаће најскупљи процес

фв цтл афинитет -л -а дистрибуција језгара за различите инстанце заштитног зида, односно ЦореКСЛ технологије

фв цтл пстат Анализа РАМ-а и општи индикатори везе, колачићи, НАТ

фрее -м РАМ бафер

Тим заслужује посебну пажњу нетсат и његове варијације. На пример, нетстат -и може помоћи у решавању проблема праћења међуспремника. Параметар, РКС дроппед пацкетс (РКС-ДРП) у излазу ове команде, по правилу, расте сам од себе због пада нелегитимних протокола (ИПв6, Бад / Унинтендед ВЛАН тагови и други). Међутим, ако се падови дешавају из неког другог разлога, требало би да користите ово чланакда почне да истражује и разуме зашто дати мрежни интерфејс испушта пакете. Након што се открије разлог, рад апликације се такође може оптимизовати.

Ако је бладе Мониторинг омогућен, ове метрике можете да видите графички у СмартЦонсоле тако што ћете кликнути на објекат и изабрати „Информације о уређају и лиценци“.

Не препоручује се стално укључивање Мониторинг бладеа, али за један дан за тестирање је сасвим могуће.

Штавише, можете додати још параметара за праћење, један од њих је веома користан - Битес Тхроугхпут (пропусност апликације).

Ако постоји неки други систем за праћење, на пример, бесплатан Заббик, заснован на СНМП-у, такође је погодан за идентификацију ових проблема.

2. РАМ временом цури

Често се поставља питање да током времена мрежни пролаз или сервер за управљање почиње да троши све више и више РАМ-а. Желим да вас уверим: ово је нормална прича за системе сличне Линук-у.

Гледајући излаз команди фрее -м и цпстат -ф меморија ос у апликацији из стручног режима, можете израчунати и видети све параметре који се односе на РАМ.

На основу расположиве меморије на мрежном пролазу у овом тренутку Фрее Мемори + Буфферс Мемори + Кеширана меморија = +-1.5 ГБ, обично.

Као што ЦП каже, временом мрежни пролаз/сервер за управљање оптимизује и користи све више меморије, достижући око 80% искоришћености, и престаје. Можете поново покренути уређај, а затим ће индикатор бити ресетован. 1.5 ГБ бесплатног РАМ-а је тачно довољно да мрежни пролаз може да изврши све задатке, а управљање ретко достиже такве граничне вредности.

Такође излази поменутих команди ће показати колико имате Мало меморије (РАМ у корисничком простору) и Висока меморија (РАМ у простору кернела).

Процеси кернела (укључујући активне модуле као што су Цхецк Поинт модули кернела) користе само мало меморије. Међутим, кориснички процеси могу да користе и ниску и високу меморију. Штавише, Лов мемори је приближно једнак Укупна меморија.

Требало би да бринете само ако постоје грешке у евиденцији „модули се поново покрећу или процеси се убијају да би повратили меморију због ООМ-а (Нема меморије)“. Затим бисте требали поново покренути мрежни пролаз и контактирати подршку ако поновно покретање не помогне.

Потпуни опис се може наћи у скКСНУМКС и скКСНУМКС.

3. Оптимизација

Испод су питања и одговори о оптимизацији ЦПУ-а и РАМ-а. На њих треба искрено одговорити себи и послушати препоруке.

3.1. Да ли је апликација правилно изабрана? Да ли је постојао пилот пројекат?

Упркос правилном димензионисању, мрежа би једноставно могла да расте, а ова опрема једноставно не може да се носи са оптерећењем. Друга опција је да није било величине као такве.

3.2. Да ли је ХТТПС инспекција омогућена? Ако јесте, да ли је технологија конфигурисана у складу са најбољом праксом?

Погледајте чланак, ако сте наш клијент, или да скКСНУМКС.

Редослед правила у политици ХТТПС инспекције игра велику улогу у оптимизацији отварања ХТТПС сајтова.

Препоручени редослед правила:

1. Заобиђите правила са категоријама/УРЛ-овима
2. Прегледајте правила са категоријама/УРЛ-овима
3. Прегледајте правила за све друге категорије

По аналогији са политиком заштитног зида, Цхецк Поинт тражи подударање по пакетима од врха до дна, тако да је боље поставити правила заобилажења на врх, пошто гејтвеј неће трошити ресурсе на пролазак кроз сва правила ако је овом пакету потребно да се прође.

3.3 Да ли се користе објекти опсега адреса?

Објекти са опсегом адреса, на пример, мрежа 192.168.0.0-192.168.5.0, заузимају знатно више РАМ-а од 5 мрежних објеката. Уопштено говорећи, сматра се добром праксом да се уклоне некоришћени објекти у СмартЦонсоле, јер сваки пут када се политика инсталира, мрежни пролаз и сервер за управљање троше ресурсе и, што је најважније, време, верификацију и примену политике.

3.4. Како је конфигурисана политика превенције претњи?

Пре свега, Цхецк Поинт препоручује постављање ИПС-а у посебан профил и креирање засебних правила за овај блејд.

На пример, администратор верује да ДМЗ сегмент треба да буде заштићен само коришћењем ИПС-а. Због тога, да би се спречило да гатеваи троши ресурсе на обраду пакета од стране других блејдова, потребно је креирати правило посебно за овај сегмент са профилом у којем је омогућен само ИПС.

Што се тиче подешавања профила, препоручује се да га подесите у складу са најбољим праксама у овоме документ(странице 17-20).

3.5. У подешавањима ИПС-а, колико потписа има у режиму детекције?

Препоручљиво је пажљиво проучити потписе у смислу да оне које се не користе треба онемогућити (на пример, потписи за рад Адобе производа захтевају велику рачунарску снагу, а ако купац нема такве производе, има смисла онемогућити потписе). Затим ставите Превент уместо Детецт где је то могуће, јер мрежни пролаз троши ресурсе на обраду целе везе у режиму Превент, он одмах одбацује везу и не троши ресурсе на потпуну обраду пакета.

3.6. Које датотеке обрађују емулација претње, екстракција претњи, антивирусни блејдови?

Нема смисла опонашати и анализирати датотеке екстензија које ваши корисници не преузимају или сматрате непотребним на вашој мрежи (на пример, бат, еке датотеке могу се лако блокирати помоћу бладе-а за свест о садржају на нивоу заштитног зида, тако да мање пролаза средства ће се потрошити). Штавише, у подешавањима емулације претње можете да изаберете Енвиронмент (оперативни систем) да емулирате претње у сандбок-у и инсталирање окружења Виндовс 7 када сви корисници раде са верзијом 10 такође нема смисла.

3.7. Да ли су правила заштитног зида и нивоа апликације уређена у складу са најбољом праксом?

Ако правило има много погодака (поклапања), онда се препоручује да их ставите на сам врх, а правила са малим бројем погодака - на само дно. Главна ствар је осигурати да се не укрштају и не преклапају. Препоручена архитектура смерница заштитног зида:

Објашњење:

Прва правила - овде се постављају правила са највећим бројем утакмица
Правило о буци – правило за одбацивање лажног саобраћаја као што је НетБИОС
Стеалтх Руле – забрањује позиве ка мрежним пролазима и менаџментима за све осим оних извора који су наведени у правилима за аутентификацију на мрежни пролаз
Правила чишћења, последњег и испуштања се обично комбинују у једно правило да би се забранило све што раније није било дозвољено

Подаци о најбољој пракси су описани у скКСНУМКС.

3.8. Која подешавања имају услуге које су креирали администратори?

На пример, нека ТЦП услуга је креирана на одређеном порту и има смисла поништити избор опције „Матцх фор Ани“ у напредним подешавањима услуге. У овом случају, ова услуга ће потпасти изричито под правило у којем се појављује и неће учествовати у правилима у којима је било које наведено у колони Услуге.

Говорећи о услугама, вреди напоменути да је понекад потребно прилагодити тајм-ауте. Ово подешавање ће вам омогућити да мудро користите ресурсе мрежног пролаза, како не бисте задржавали додатно време за ТЦП/УДП сесије протокола којима није потребно велико временско ограничење. На пример, на слици испод, променио сам временско ограничење услуге домен-удп са 40 секунди на 30 секунди.

3.9. Да ли се користи СецуреКСЛ и колики је проценат убрзања?

Можете проверити квалитет СецуреКСЛ користећи основне команде у стручном режиму на мрежном пролазу фваццел стат и фв аццел статс -с. Затим морате да схватите какав се саобраћај убрзава и који други шаблони се могу креирати.

Предлошци за испуштање нису подразумевано омогућени ако их омогућите, користиће СецуреКСЛ. Да бисте то урадили, идите на подешавања мрежног пролаза и картицу Оптимизације:

Такође, када радите са кластером за оптимизацију ЦПУ-а, можете онемогућити синхронизацију некритичних услуга, као што су УДП ДНС, ИЦМП и други. Да бисте то урадили, идите на подешавања сервиса → Напредно → Синхронизујте везе стања Синхронизација је омогућена на кластеру.

Све најбоље праксе су описане у скКСНУМКС.

3.10. Како се користи ЦореКсл?

ЦореКСЛ технологија, која омогућава коришћење више процесора за инстанце заштитног зида (модули заштитног зида), дефинитивно помаже у оптимизацији рада уређаја. Тим први фв цтл афинитет -л -а ће приказати коришћене инстанце заштитног зида и процесоре додељене СНД-у (модул који дистрибуира саобраћај ентитетима заштитног зида). Ако се не користе сви процесори, могу се додати командом цпцонфиг на капији.
Такође је добра прича хитна исправка да бисте омогућили вишеструки ред. Мулти-Куеуе решава проблем када се процесор са СНД-ом користи много процената, а инстанце заштитног зида на другим процесорима не раде. Тада би СНД имао могућност да креира много редова за једну НИЦ и постави различите приоритете за различит саобраћај на нивоу кернела. Сходно томе, ЦПУ језгра ће се користити интелигентније. Методе су такође описане у скКСНУМКС.

У закључку, желео бих да кажем да ово нису све најбоље праксе за оптимизацију Цхецк Поинт-а, али су оне најпопуларније. Ако желите да наручите ревизију ваше безбедносне политике или да решите проблем у вези са Цхецк Поинт-ом, контактирајте [емаил заштићен].

Спасибо за внимание!

Извор: ввв.хабр.цом