同事们大家好! 今天,我想讨论一个与许多 Check Point 管理员非常相关的主题:“优化 CPU 和 RAM”。 通常情况下,网关和/或管理服务器会意外消耗大量此类资源,我想了解它们“流向”的位置,如果可能,更智能地使用它们。
1. 分析
要分析处理器负载,使用以下在专家模式下输入的命令很有用:
最佳 显示所有进程、消耗的 CPU 和 RAM 资源量(百分比)、正常运行时间、进程优先级和
cpwd_管理员列表 Check Point WatchDog Daemon,显示所有应用程序模块、其 PID、状态和启动次数
cpstat -f cpu 操作系统 CPU 使用率、数量以及处理器时间的分布(百分比)
cpstat -f 内存操作系统 虚拟 RAM 使用情况、活动 RAM 数量、可用 RAM 等
正确的说法是可以使用该实用程序查看所有 cpstat 命令 cpview。 为此,您只需在 SSH 会话中的任何模式下输入 cpview 命令即可。
辅助文件 所有进程的长列表、它们的 ID、占用的虚拟内存和 RAM、CPU 中的内存
其他命令变体:
ps-aF 将显示最昂贵的过程
fw ctl 亲和力-l -a 不同防火墙实例的核心分布,即CoreXL技术
fw ctl pstat RAM分析和一般连接指标、cookie、NAT
免费-m 内存缓冲区
该团队值得特别关注 网络卫星 及其变体。 例如, 网络统计 -i 可以帮助解决监控剪贴板的问题。 通常,此命令输出中的参数 RX 丢弃的数据包 (RX-DRP) 会由于非法协议(IPv6、不良/意外 VLAN 标记等)的丢弃而自行增长。 但是,如果由于其他原因导致掉落,那么您应该使用此方法
如果启用了“监控”边栏选项卡,您可以通过单击对象并选择“设备和许可证信息”,在 SmartConsole 中以图形方式查看这些指标。
不建议永久打开监控刀片,但进行一天的测试是很有可能的。
而且,您可以添加更多参数进行监控,其中之一非常有用——Bytes Throughput(应用程序吞吐量)。
如果还有其他的监控系统,比如免费的
2. RAM 随着时间的推移而泄漏
经常出现的问题是,随着时间的推移,网关或管理服务器开始消耗越来越多的 RAM。 我想向您保证:对于类似 Linux 的系统来说,这是一个正常的情况。
查看命令的输出 免费-m и cpstat -f 内存操作系统 在专家模式下的应用程序上,您可以计算和查看与 RAM 相关的所有参数。
基于当前网关上的可用内存 可用内存 + 缓冲区内存 + 缓存内存 = +-1.5 GB, 通常。
正如 CP 所说,随着时间的推移,网关/管理服务器会优化并使用越来越多的内存,达到约 80% 的利用率,然后停止。 您可以重新启动设备,然后指示灯将被重置。 1.5 GB 的可用 RAM 足以让网关执行所有任务,并且管理很少达到这样的阈值。
此外,上述命令的输出将显示您有多少 记忆不足 (用户空间中的 RAM)和 高内存 (内核空间中的 RAM)已使用。
内核进程(包括活动模块,例如 Check Point 内核模块)仅使用低内存。 但是,用户进程可以使用低内存和高内存。 此外,低内存约等于 总内存.
您只需担心日志中是否有错误 “由于 OOM(内存不足),模块重新启动或进程被终止以回收内存”。 然后,您应该重新启动网关,如果重新启动没有帮助,请联系支持人员。
3. 说明
以下是有关优化 CPU 和 RAM 的问题和解答。 您应该诚实地回答自己并听取建议。
3.1. 是否正确选择了应用程序? 有试点项目吗?
尽管规模适当,网络仍可能增长,而该设备根本无法应对负载。 第二种选择是如果没有这样的尺寸。
3.2. 是否启用 HTTPS 检查? 如果是,该技术是否根据最佳实践进行配置?
HTTPS 检查策略中的规则顺序对于优化 HTTPS 站点的打开起着很大的作用。
推荐的规则顺序:
- 使用类别/URL 绕过规则
- 使用类别/URL 检查规则
- 检查所有其他类别的规则
类比防火墙策略,Check Point 从上到下按数据包搜索匹配项,因此最好将绕过规则放在顶部,因为如果该数据包需要,网关不会浪费资源运行所有规则。待通过。
3.3 是否使用了地址范围对象?
地址范围(例如网络 192.168.0.0-192.168.5.0)的对象比 5 个网络对象占用更多的 RAM。 一般来说,删除 SmartConsole 中未使用的对象被认为是一种良好的做法,因为每次安装策略时,网关和管理服务器都会花费资源(最重要的是时间)来验证和应用该策略。
3.4. 威胁防御策略是如何配置的?
首先,Check Point 建议将 IPS 放置在单独的配置文件中,并为此刀片创建单独的规则。
例如,管理员认为 DMZ 段只能使用 IPS 进行保护。 因此,为了防止网关浪费资源处理其他刀片的报文,需要专门针对该网段创建一条规则,配置文件中只启用IPS。
关于设置配置文件,建议按照本中的最佳实践进行设置
3.5. 在IPS设置中,检测模式下有多少个签名?
建议仔细研究签名,即应禁用未使用的签名(例如,运行 Adobe 产品的签名需要大量计算能力,如果客户没有此类产品,则禁用签名是有意义的)。 接下来,尽可能使用 Prevent 而不是 Detect,因为在 Detect 模式下,网关会花费资源来处理整个连接;在 Prevent 模式下,它会立即丢弃该连接,不会浪费资源来完全处理数据包。
3.6. 威胁仿真、威胁提取、反病毒刀片会处理哪些文件?
模拟和分析用户未下载的扩展文件,或者您认为在网络上不必要的扩展文件是没有意义的(例如,使用防火墙级别的内容感知刀片可以轻松阻止 bat、exe 文件,因此需要更少的网关)资源将被消耗)。 此外,在威胁仿真设置中,您可以选择环境(操作系统)来模拟沙箱中的威胁,并且当所有用户都使用版本 7 时安装环境 Windows 10 也没有意义。
3.7. 防火墙和应用程序级别规则是否按照最佳实践安排?
如果规则有很多点击(匹配),那么建议将它们放在最顶部,而点击次数较少的规则放在最底部。 最主要的是确保它们不交叉或重叠。 推荐的防火墙策略架构:
说明:
第一条规则 - 匹配次数最多的规则放置在这里
噪声规则 - 丢弃虚假流量(例如 NetBIOS)的规则
隐秘规则 - 禁止调用网关和管理除网关规则身份验证中指定的源之外的所有源
清理、最后和丢弃规则通常合并为一条规则,以禁止以前不允许的所有内容
最佳实践数据描述于
3.8. 管理员创建的服务有哪些设置?
例如,某些 TCP 服务是在特定端口上创建的,因此在服务的高级设置中取消选中“Match for Any”是有意义的。 在这种情况下,该服务将明确属于它所出现的规则,并且不会参与“服务”列中列出的任何规则。
说到服务,值得一提的是,有时需要调整超时。 此设置将允许您明智地使用网关资源,以免为不需要大超时的协议的 TCP/UDP 会话保留额外的时间。 例如,在下面的屏幕截图中,我将domain-udp服务超时从40秒更改为30秒。
3.9. 是否使用了 SecureXL,加速百分比是多少?
您可以在网关上使用专家模式下的基本命令检查SecureXL的质量 弗瓦塞尔统计 и fw 加速统计 -s。 接下来,您需要弄清楚正在加速什么类型的流量,以及可以创建哪些其他模板。
默认情况下不启用放置模板;启用它们将使 SecureXL 受益。 为此,请转到网关设置和优化选项卡:
此外,在使用集群来优化 CPU 时,您可以禁用非关键服务的同步,例如 UDP DNS、ICMP 等。 为此,请转至服务设置 → 高级 → 同步连接,在集群上启用状态同步。
所有最佳实践均在
3.10. CoreXl是如何使用的?
CoreXL 技术允许对防火墙实例(防火墙模块)使用多个 CPU,这无疑有助于优化设备的运行。 团队第一 fw ctl 亲和力-l -a 将显示所使用的防火墙实例以及分配给 SND(将流量分发到防火墙实体的模块)的处理器。 如果没有使用所有处理器,可以使用命令添加它们 cp配置 在网关处。
还有一个好故事
总之,我想说,这些并不是优化 Check Point 的全部最佳实践,但它们是最受欢迎的。 如果您想订购对您的安全策略进行审核或解决与 Check Point 相关的问题,请联系 [电子邮件保护].
谢谢你!
来源: habr.com