वर्चुअल चेक पॉइंट: सेटअप चेकलिस्ट

कई ग्राहक जो हमसे बादल संसाधन किराए पर लेते हैं वे वर्चुअल चेक पॉइंट्स का उपयोग करते हैं। उनकी मदद से, ग्राहक विभिन्न समस्याओं को हल करते हैं: कोई व्यक्ति इंटरनेट से सर्वर खंड की पहुंच को नियंत्रित करता है या हमारे उपकरणों के लिए अपनी सेवाओं को प्रकाशित करता है। किसी को आईपीएस ब्लेड के माध्यम से सभी ट्रैफ़िक चलाने की आवश्यकता होती है, जबकि किसी को शाखाओं के साथ डेटा सेंटर में आंतरिक संसाधनों तक पहुंचने के लिए वीपीएन गेटवे के रूप में चेक प्वाइंट की आवश्यकता होती है। ऐसे लोग हैं जिन्हें FZ-152 के अनुसार प्रमाणीकरण पास करने के लिए क्लाउड में अपने बुनियादी ढांचे की रक्षा करने की आवश्यकता है, लेकिन मैं आपको इसके बारे में अलग से बताऊंगा।

ड्यूटी पर, मैं चेक पॉइंट्स का समर्थन और प्रशासन करने में शामिल हूं। आज मैं आपको बताऊंगा कि एक आभासी वातावरण में चेक पॉइंट के क्लस्टर को तैनात करते समय क्या विचार करना है। मैं वर्चुअलाइजेशन, नेटवर्क, चेक प्वाइंट की सेटिंग्स और मॉनिटरिंग के स्तर पर संपर्क करूंगा।
मैं अमेरिका की खोज करने का वादा नहीं करता - विक्रेता की सिफारिशों और सर्वोत्तम प्रथाओं में बहुत कुछ है। लेकिन कोई भी उन्हें नहीं पढ़ता), इसलिए वे चले गए।

क्लस्टर मोड

हमारे पास चेक पॉइंट्स क्लस्टर में रहते हैं। सबसे आम स्थापना सक्रिय-स्टैंडबाय मोड में दो नोड्स का एक क्लस्टर है। यदि सक्रिय नोड में कुछ होता है, तो यह निष्क्रिय हो जाता है, और स्टैंडबाय नोड चालू हो जाता है। "स्पेयर" नोड पर स्विच करना आमतौर पर क्लस्टर सदस्यों, इंटरफेस की स्थिति, स्थापित सुरक्षा नीति, उपकरणों पर भारी भार के कारण सिंक्रनाइज़ेशन में समस्याओं के कारण होता है।

दो-नोड क्लस्टर में, हम सक्रिय-सक्रिय मोड का उपयोग नहीं करते हैं।

यदि नोड्स में से एक गिरता है, तो जीवित नोड केवल दोहरे भार का सामना करने में सक्षम नहीं हो सकता है, और फिर हम सब कुछ खो देंगे। यदि आप वास्तव में सक्रिय-सक्रिय चाहते हैं, तो क्लस्टर में कम से कम 3 नोड होना चाहिए।

नेटवर्क और वर्चुअलाइजेशन सेटिंग्स

नेटवर्क उपकरणों पर क्लस्टर सदस्यों के SYNC इंटरफेस के बीच मल्टीकास्ट यातायात की अनुमति है। यदि मल्टीकास्ट ट्रैफ़िक संभव नहीं है, तो सिंक्रोनाइज़ेशन प्रोटोकॉल (CCP) का उपयोग किया जाता है। चेक प्वाइंट क्लस्टर में नोड एक दूसरे के साथ सिंक्रनाइज़ होते हैं। परिवर्तनों के बारे में संदेश नोड से नोड में मल्टीकास्ट के माध्यम से प्रेषित होते हैं। चेक प्वाइंट एक गैर-मानक मल्टीकास्ट कार्यान्वयन (एक गैर-मल्टीकास्ट आईपी पते का उपयोग किया जाता है) का उपयोग करता है। इस वजह से, कुछ उपकरण, जैसे कि सिस्को नेक्सस स्विच, इन संदेशों को नहीं समझते हैं और इसलिए उन्हें ब्लॉक करते हैं। इस स्थिति में, प्रसारण पर स्विच करें।


सिस्को नेक्सस के साथ समस्या का विवरण और विक्रेता पोर्टल पर इसके समाधान।

वर्चुअलाइजेशन स्तर पर, हम मल्टीकास्ट ट्रैफिक के पारित होने की भी अनुमति देते हैं। यदि क्लस्टर सिंक्रनाइज़ेशन (CCP) के लिए मल्टीकास्ट निषिद्ध है, तो प्रसारण का उपयोग करें।

चेक प्वाइंट कंसोल में, cphaprob -a यदि कमांड का उपयोग करते हैं, तो आप CPP सेटिंग्स और इसके ऑपरेटिंग मोड (मल्टीकास्ट या प्रसारण) देख सकते हैं। ऑपरेटिंग मोड को बदलने के लिए, cphaconf set_ccp प्रसारण कमांड का उपयोग करें।



क्लस्टर नोड्स विभिन्न ESXi होस्ट पर होना चाहिए। यहां सब कुछ स्पष्ट है: जब भौतिक मेजबान गिरता है, तो दूसरा नोड काम करना जारी रखता है। यह डीआरएस विरोधी संबंध नियमों का उपयोग करके प्राप्त किया जा सकता है।

वर्चुअल मशीन का आयाम जिस पर चेक प्वाइंट चलेगा। विक्रेता की सिफारिशें 2 वीसीपीयू और 6 जीबी हैं, लेकिन यह न्यूनतम कॉन्फ़िगरेशन के लिए है, उदाहरण के लिए, यदि आपके पास न्यूनतम बैंडविड्थ के साथ फ़ायरवॉल है। हमारे कार्यान्वयन के अनुभव में, कई सॉफ़्टवेयर ब्लेड का उपयोग करते समय, कम से कम 4 वीसीपीयू, 8 जीबी रैम का उपयोग करने की सलाह दी जाती है।
एक नोड पर, हम औसतन 150 जीबी डिस्क आवंटित करते हैं। वर्चुअल चेक प्वाइंट को तैनात करते समय, डिस्क को विभाजित किया जाता है, और हम सिस्टम स्वैप, सिस्टम रूट, लॉग, बैकअप और अपग्रेड के लिए कितनी जगह आवंटित कर सकते हैं।

जब आप सिस्टम रूट बढ़ाते हैं, तो उनके बीच के अनुपात को बनाए रखने के लिए बैकअप और अपग्रेड विभाजन को भी बढ़ाया जाना चाहिए। यदि अनुपात का सम्मान नहीं किया जाता है, तो अगला बैकअप डिस्क फिट नहीं हो सकता है।

डिस्क प्रोविजनिंग - थिक प्रोविजन आलसी जीरो। चेक प्वाइंट बहुत सारी घटनाओं और लॉग उत्पन्न करता है, हर दूसरे 1000 प्रविष्टियाँ दिखाई देती हैं। उनके तहत, तुरंत जगह आरक्षित करना बेहतर है। ऐसा करने के लिए, एक वर्चुअल मशीन बनाते समय, हम इसके लिए एक डिस्क आवंटित करते हैं, जिसमें थिक प्रोविजनिंग तकनीक का उपयोग किया जाता है, अर्थात। हम डिस्क निर्माण के समय भौतिक संग्रहण पर स्थान आरक्षित करते हैं।

ESXi मेजबानों के बीच प्रवास के दौरान चेक प्वाइंट के लिए 100% संसाधन आरक्षण कॉन्फ़िगर किया गया। हम अनुशंसा करते हैं कि आप 100% संसाधनों को आरक्षित करें ताकि जिस वर्चुअल मशीन पर चेक प्वाइंट तैनात किया जाता है वह मेजबान पर अन्य वीएम के साथ संसाधनों के लिए प्रतिस्पर्धा न करे।

दूसरों। हम R77.30 के चेक प्वाइंट संस्करण का उपयोग करते हैं। इसके लिए, RedHat Enterprise Linux संस्करण 5 (64-बिट) को वर्चुअल मशीन पर अतिथि OS के रूप में उपयोग करने की अनुशंसा की जाती है। नेटवर्क ड्राइवरों से - VMXNET3 या इंटेल E1000।

बिंदु सेटिंग्स की जाँच करें

गेटवे और प्रबंधन सर्वर पर नवीनतम चेक प्वाइंट अपडेट इंस्टॉल किए जाते हैं। CPUSE के माध्यम से अपडेट की जाँच करें।



सत्यापनकर्ता का उपयोग करते हुए, हम सत्यापित करते हैं कि हम जिस सर्विस पैक को स्थापित करने वाले हैं, वह सिस्टम के साथ विरोध नहीं करता है।





सत्यापनकर्ता, निश्चित रूप से, एक अच्छी बात है, लेकिन बारीकियां हैं। कुछ अपडेट ऐड-ऑन के साथ संगत नहीं हैं, लेकिन वेरिफायर इन संघर्षों को नहीं दिखाएगा और अपडेट करने की अनुमति देगा। अपडेट के अंत में, आपको एक त्रुटि मिलेगी, और केवल इससे आपको पता चलेगा कि अपडेट को क्या रोकता है। उदाहरण के लिए, यह स्थिति MABDA_001 सर्विस पैक (मोबाइल एक्सेस ब्लेड परिनियोजन एजेंट) के साथ हुई, जो IE के अलावा अन्य ब्राउज़रों में जावा प्लगिन को लॉन्च करने की समस्या को हल करती है।

IPS और अन्य सॉफ़्टवेयर ब्लेड के लिए दैनिक स्वचालित हस्ताक्षर अपडेट कॉन्फ़िगर किए गए हैं। चेक प्वाइंट रिलीज़ हस्ताक्षर जो नई कमजोरियों का पता लगाने या अवरुद्ध करने के लिए उपयोग किया जा सकता है। कमजोरियों को स्वचालित रूप से एक महत्वपूर्ण स्तर सौंपा गया है। इस स्तर और सेट फिल्टर के अनुसार, सिस्टम यह तय करता है कि हस्ताक्षर का पता लगाना या अवरुद्ध करना है या नहीं। यह महत्वपूर्ण है कि फिल्टर के साथ इसे ज़्यादा न करें, समय-समय पर जांच करें और समायोजन करें ताकि वैध यातायात अवरुद्ध न हो।


IPS प्रोफ़ाइल, जहां हम हस्ताक्षर के संबंध में कार्रवाई का चयन उसके मापदंडों के अनुसार करते हैं।


हस्ताक्षर सेटिंग्स के अनुसार इस आईपीएस प्रोफ़ाइल के लिए नीति सेटिंग्स: गंभीरता स्तर, प्रदर्शन प्रभाव, आदि।

चेक प्वाइंट हार्डवेयर को NTP समय सिंक्रनाइज़ेशन प्रोटोकॉल के साथ कॉन्फ़िगर किया गया है। सिफारिशों के आधार पर, चेक प्वाइंट को उपकरणों पर समय को सिंक्रनाइज़ करने के लिए एक बाहरी NTP सर्वर का उपयोग करना चाहिए। यह जिया वेब पोर्टल के माध्यम से किया जा सकता है।

गलत तरीके से सेट किया गया समय क्लस्टर को सिंक से बाहर कर सकता है। यदि समय गलत है, तो लॉग इन की तलाश के लिए यह अत्यंत असुविधाजनक है जो हमें रुचता है। इवेंट लॉग में प्रत्येक प्रविष्टि को तथाकथित टाइमस्टैम्प के साथ चिह्नित किया गया है।





आईपीएस, ऐप कंट्रोल, एंटी-बॉट, आदि के बारे में अलर्ट के लिए कॉन्फ़िगर स्मार्ट इवेंट। यह अपने स्वयं के लाइसेंस के साथ एक अलग मॉड्यूल है। यदि आपके पास एक है, तो इसका उपयोग करना सभी सॉफ़्टवेयर ब्लेड और उपकरणों के संचालन के बारे में जानकारी की कल्पना करना सुविधाजनक है। उदाहरण के लिए, हमले, आईपीएस संचालन की संख्या, खतरों का महत्वपूर्ण स्तर, जो निषिद्ध अनुप्रयोगों का उपयोग उपयोगकर्ताओं द्वारा किया जाता है, आदि।




ये हस्ताक्षर की संख्या और उनकी आलोचना की डिग्री के अनुसार 30 दिनों के आंकड़े हैं।


प्रत्येक सॉफ़्टवेयर ब्लेड पर पता लगाए गए हस्ताक्षर पर अधिक विस्तृत जानकारी।

निगरानी

कम से कम निम्नलिखित मापदंडों की निगरानी करना महत्वपूर्ण है:

• क्लस्टर राज्य;
• चेक प्वाइंट घटकों की उपलब्धता;
• सीपीयू लोड
• शेष डिस्क स्थान;
• मुक्त स्मृति।

चेक प्वाइंट में एक अलग सॉफ्टवेयर ब्लेड है - स्मार्ट मॉनिटरिंग (अलग लाइसेंस)। इसमें, आप अतिरिक्त रूप से चेक प्वाइंट घटकों की उपलब्धता, व्यक्तिगत ब्लेड पर लोड और लाइसेंस की स्थिति की निगरानी कर सकते हैं।




Chek प्वाइंट लोड ग्राफ। स्पलैश - यह वह ग्राहक है जिसने 800 हजार ग्राहकों को पुश नोटिफिकेशन भेजे हैं।


उसी स्थिति में फ़ायरवॉल ब्लेड पर लोड का ग्राफ।

निगरानी को तृतीय-पक्ष सेवाओं के माध्यम से भी कॉन्फ़िगर किया जा सकता है। उदाहरण के लिए, हम नागिओस का भी उपयोग करते हैं, जहाँ हम निगरानी करते हैं:

• उपकरणों की नेटवर्क उपलब्धता;
• क्लस्टर पता उपलब्धता
• सीपीयू लोडिंग कोर द्वारा। 70% से अधिक डाउनलोड करते समय, एक ईमेल अलर्ट आता है। ऐसा उच्च भार विशिष्ट ट्रैफ़िक (उदाहरण के लिए vpn) का संकेत दे सकता है। यदि यह अक्सर दोहराया जाता है, तो शायद पर्याप्त संसाधन नहीं हैं और यह पूल के विस्तार के लायक है।
• मुफ्त रैम। यदि 80% से कम रहता है, तो हम इसके बारे में पता लगाएंगे।
• कुछ विभाजनों पर डिस्क लोडिंग, उदाहरण के लिए var / log। यदि यह जल्द ही बंद हो जाता है, तो इसका विस्तार करना आवश्यक है।
• विभाजित मस्तिष्क (क्लस्टर स्तर पर)। हम उस स्थिति की निगरानी करते हैं जब दोनों नोड सक्रिय हो जाते हैं और उनके बीच सिंक्रनाइज़ेशन गायब हो जाता है।
• उच्च उपलब्धता मोड - हम मॉनिटर करते हैं कि क्लस्टर सक्रिय-स्टैंडबाय मोड में है। हम नोड्स के राज्यों को देखते हैं - सक्रिय, स्टैंडबाय, डाउन।

नागोइस में निगरानी के विकल्प।

यह उन भौतिक सर्वरों की स्थिति की निगरानी के लायक भी है जिन पर ESXi होस्ट तैनात हैं।

बैकअप

विक्रेता स्वयं अपडेट (हॉटफ़िक्स) स्थापित करने के तुरंत बाद स्नैपशॉट लेने की सलाह देता है।

परिवर्तनों की आवृत्ति के आधार पर, एक पूर्ण बैकअप सप्ताह या महीने में एक बार कॉन्फ़िगर किया जाता है। हमारे अभ्यास में, हम चेक प्वाइंट फ़ाइलों की दैनिक वृद्धिशील प्रतिलिपि और एक सप्ताह में एक बार पूर्ण बैकअप करते हैं।

वह सब है। वर्चुअल चेक पॉइंट्स की तैनाती करते समय ये सबसे बुनियादी बिंदु थे। लेकिन यहां तक ​​कि इस न्यूनतम बैठक से उनके काम के साथ समस्याओं से बचने में मदद मिलेगी।