चेक प्वाइंट: सीपीयू और रैम ऑप्टिमाइज़ेशन

नमस्कार साथियों! आज मैं "सीपीयू और रैम के अनुकूलन" विषय पर चर्चा करना चाहूंगा जो कई चेक प्वाइंट प्रशासकों के लिए बहुत प्रासंगिक है। अक्सर ऐसे मामले होते हैं जब गेटवे और / या प्रबंधन सर्वर अप्रत्याशित रूप से इन संसाधनों का बहुत अधिक उपभोग करते हैं, और मैं यह समझना चाहूंगा कि वे "लीक" कहाँ हैं, और, यदि संभव हो, तो उनका बेहतर उपयोग करें।

1. विश्लेषण

प्रोसेसर लोड का विश्लेषण करने के लिए, निम्नलिखित कमांड का उपयोग करना उपयोगी है, जो विशेषज्ञ मोड में दर्ज किए गए हैं:

शीर्ष सभी प्रक्रियाओं को दिखाता है, सीपीयू और रैम का प्रतिशत खपत, अपटाइम, प्रक्रिया प्राथमिकता और वास्तविक समय में और अधिक



cpwd_admin सूची चेक प्वाइंट वॉचडॉग डेमन, जो एप्लिकेशन के सभी मॉड्यूल, उनकी पीआईडी, स्थिति और प्रारंभ की संख्या दर्शाता है



cpstat -f cpu os CPU उपयोग, उनकी संख्या और प्रोसेसर समय वितरण प्रतिशत के रूप में



वर्चुअल रैम का उपयोग करते हुए cpstat -f मेमोरी ओएस , सभी सक्रिय, मुफ्त रैम और अधिक कितना है



सही अवलोकन यह है कि सभी cpstat कमांड को cpview उपयोगिता का उपयोग करके देखा जा सकता है। ऐसा करने के लिए, आपको बस SSH सत्र में किसी भी मोड से cpview कमांड दर्ज करने की आवश्यकता है।




पीएस ऑक्सफ ने सभी प्रक्रियाओं की लंबी सूची, उनकी आईडी, रैम और सीपीयू में वर्चुअल मेमोरी और मेमोरी पर कब्जा कर लिया



आदेश की एक और विविधता:

ps -aF सबसे महंगी प्रक्रिया दिखाएगा



फ़ायरवॉल के विभिन्न उदाहरणों के लिए fw ctl आत्मीयता -l -a का वितरण, यानी CoreXL तकनीक



fw ctl pstat RAM विश्लेषण और कनेक्शन, कुकीज़, NAT के सामान्य संकेतक



फ्री-एम रैम बफर



नेटसेट टीम और इसकी विविधताओं पर विशेष ध्यान दिया जाता है। उदाहरण के लिए, netstat -i क्लिपबोर्ड की निगरानी की समस्या को हल करने में मदद कर सकता है। इस आदेश के आउटपुट में पैरामीटर, RX गिरा पैकेट (RX-DRP), एक नियम के रूप में, नाजायज प्रोटोकॉल (IPv6, Bad / Unintended VLAN टैग और अन्य) की बूंदों के कारण अपने आप बढ़ता है। हालांकि, अगर ड्रॉप किसी अन्य कारण से होता है, तो आपको इस लेख का उपयोग एक जांच शुरू करने और यह समझने के लिए करना चाहिए कि यह नेटवर्क इंटरफ़ेस पैकेट क्यों छोड़ता है। कारण जानने के बाद, परिशिष्ट के संचालन को भी अनुकूलित किया जा सकता है।



यदि मॉनिटरिंग ब्लेड सक्षम किया गया है, तो आप इन संकेतकों को स्मार्टकॉन कंसोल में किसी ऑब्जेक्ट पर क्लिक करके और "डिवाइस और लाइसेंस" का चयन करके देख सकते हैं।

निगरानी ब्लेड को निरंतर आधार पर शामिल करने की अनुशंसा नहीं की जाती है, लेकिन परीक्षण के लिए दिन काफी संभव है।



इसके अलावा, आप निगरानी के लिए अधिक पैरामीटर जोड़ सकते हैं, उनमें से एक बहुत उपयोगी है - बाइट्स थ्रूपुट (परिशिष्ट के थ्रूपुट)।



यदि कुछ अन्य निगरानी प्रणाली है, उदाहरण के लिए, एसएनएमपी पर आधारित ज़ैबिक्स मुक्त, तो यह इन समस्याओं की पहचान करने के लिए भी उपयुक्त है।

2. रैम "रिसाव" समय के साथ

सवाल अक्सर यह उठता है कि समय के साथ, गेटवे या प्रबंधन सर्वर अधिक से अधिक रैम का उपभोग करना शुरू कर देता है। मैं आश्वस्त करना चाहता हूं: यह लिनक्स जैसी प्रणालियों के लिए एक सामान्य कहानी है।

विशेषज्ञ मोड से परिशिष्ट पर मुक्त -m और cpstat -f मेमोरी ओएस कमांड के आउटपुट को देखते हुए, आप रैम से संबंधित सभी मापदंडों की गणना और देख सकते हैं।

वास्तव में, वर्तमान में गेटवे पर उपलब्ध मेमोरी एक नियम के रूप में, फ्री मेमोरी + बफर मेमोरी + कैश्ड मेमोरी = + -1.5 जीबी है ।

सीपी के अनुसार, समय के साथ, गेटवे / प्रबंधन सर्वर अनुकूलित हो जाता है और अधिक से अधिक मेमोरी का उपयोग करता है, लगभग 80% उपयोग तक पहुंच जाता है, और बंद हो जाता है। आप डिवाइस को रिबूट कर सकते हैं, और फिर संकेतक रीसेट हो जाएगा। सभी कार्यों को पूरा करने के लिए गेटवे के लिए 1.5 जीबी मुफ्त रैम पर्याप्त है, और प्रबंधन शायद ही कभी ऐसे थ्रेसहोल्ड तक पहुंचता है।

साथ ही, उपरोक्त आदेशों के निष्कर्ष से पता चलेगा कि कितनी कम मेमोरी (यूजर स्पेस में रैम) और हाई मेमोरी (रैम इन कर्नेल स्पेस) का उपयोग किया जाता है।

कर्नेल प्रक्रिया (सक्रिय मॉड्यूल जैसे चेक प्वाइंट कर्नेल मॉड्यूल सहित) केवल कम मेमोरी का उपयोग करते हैं। हालाँकि, उपयोगकर्ता प्रक्रियाएँ निम्न और उच्च मेमोरी दोनों का उपयोग कर सकती हैं। इसके अलावा, कम मेमोरी कुल मेमोरी के लगभग बराबर है।

आपको केवल यह चिंता करनी चाहिए कि त्रुटि लॉग "OOM (मेमोरी से बाहर) के कारण मेमोरी को पुनः प्राप्त करने के लिए मॉड्यूल रिबूट या प्रक्रिया को मारा जा रहा है" । फिर आपको गेटवे को रिबूट करना चाहिए और यदि रिबूटिंग मदद नहीं करता है तो समर्थन से संपर्क करें।

एक पूर्ण विवरण sk99547 और sk99593 में पाया जा सकता है।

3. अनुकूलन

नीचे सीपीयू और रैम को अनुकूलित करने पर सवाल और जवाब दिए गए हैं। उन्हें ईमानदारी से खुद को जवाब देना चाहिए और सिफारिशों को सुनना चाहिए।

3.1। क्या उत्थान सही था? क्या कोई पायलट प्रोजेक्ट था?

सक्षम साइज़िंग के बावजूद, नेटवर्क कॉर्नी विकसित कर सकता है, और यह उपकरण बस लोड का सामना नहीं कर सकता है। दूसरा विकल्प, यदि इस तरह से कोई आकार नहीं था।

3.2। क्या HTTPS निरीक्षण सक्षम है? यदि हां, तो क्या प्रौद्योगिकी को सर्वश्रेष्ठ अभ्यास के अनुसार कॉन्फ़िगर किया गया है?

यदि आप हमारे ग्राहक हैं, या sk108202 पर लेख देखें।

HTTPS निरीक्षण नीति के नियमों का आदेश HTTPS साइटों के उद्घाटन के अनुकूलन में बहुत महत्व है।

नियमों का अनुशंसित क्रम:

1. श्रेणियों / URL के साथ बायपास नियम
2. श्रेणियों / यूआरएल के साथ नियमों का निरीक्षण करें
3. अन्य सभी श्रेणियों के लिए नियमों का निरीक्षण करें

फ़ायरवॉल नीति के अनुरूप, चेक प्वाइंट ऊपर से नीचे तक पैकेट के मिलान के लिए दिखता है, इसलिए शीर्ष पर बाईपास नियमों को रखना बेहतर है, क्योंकि गेटवे सभी नियमों को चलाने के लिए संसाधनों को खर्च नहीं करेगा यदि आपको इस पैकेज को छोड़ने की आवश्यकता है।

3.3 क्या पता-श्रेणी की वस्तुओं का उपयोग किया जाता है?

पतों की एक श्रृंखला के साथ ऑब्जेक्ट्स, उदाहरण के लिए, नेटवर्क 192.168.0.0-192.168.5.0, अन्य मोबाइल ऑब्जेक्ट्स की तुलना में अधिक रैम का उपभोग करते हैं। सामान्य तौर पर, SmartConsole में अप्रयुक्त वस्तुओं को हटाने के लिए अच्छा अभ्यास माना जाता है, क्योंकि प्रत्येक बार पॉलिसी स्थापित होने के बाद, गेटवे और प्रबंधन सर्वर संसाधनों को खर्च करते हैं और सबसे महत्वपूर्ण बात यह है कि, समय पर, नीति को सत्यापित करने और लागू करने के लिए।

3.4। खतरा निवारण नीति कैसे कॉन्फ़िगर की जाती है?

सबसे पहले, चेक प्वाइंट एक अलग प्रोफ़ाइल पर आईपीएस को स्थानांतरित करने और इस ब्लेड के लिए अलग नियम बनाने की सिफारिश करता है।

उदाहरण के लिए, व्यवस्थापक का मानना ​​है कि DMZ खंड को केवल IPS के साथ संरक्षित किया जाना चाहिए। इसलिए, ताकि गेटवे अन्य ब्लेड के साथ संसाधन संसाधन पैकेट को बर्बाद न करे, विशेष रूप से इस सेगमेंट के लिए एक प्रोफ़ाइल के साथ एक नियम बनाना आवश्यक है जिसमें केवल IPS सक्षम है।

प्रोफाइल के कॉन्फ़िगरेशन के बारे में, यह अनुशंसा की जाती है कि आप इसे इस दस्तावेज़ में सर्वोत्तम प्रथाओं के अनुसार कॉन्फ़िगर करें (पृष्ठ 17-20)।

3.5। IPS सेटिंग्स में, डिटेक्ट मोड में कितने हस्ताक्षर हैं?

यह अनुशंसा की जाती है कि आप सावधानी से हस्ताक्षर के माध्यम से इस अर्थ में काम करें कि आपको अप्रयुक्त लोगों को अक्षम करना चाहिए (उदाहरण के लिए, Adobe उत्पादों का उपयोग करने के लिए हस्ताक्षर को बहुत कंप्यूटिंग शक्ति की आवश्यकता होती है, और यदि ग्राहक के पास ऐसे उत्पाद नहीं हैं, तो यह हस्ताक्षर को अक्षम करने के लिए समझ में आता है)। इसके बाद, जहां संभव हो, डिटेक्ट के बजाय प्रिवेंट को लगाएं, क्योंकि गेटवे डिटेक्ट मोड में पूरे कनेक्शन को प्रोसेस करने के लिए संसाधन खर्च करता है। प्रिवेंट मोड में, यह तुरंत कनेक्शन को ड्रॉप कर देता है और पैकेट को पूरी तरह से प्रोसेस करने पर रिसोर्स खर्च नहीं करता है।

3.6। थ्रोट एमुलेशन, थ्रेट एक्सट्रैक्शन, एंटी-वायरस ब्लेड द्वारा क्या फाइलें संसाधित की जाती हैं?

एक्सटेंशन फ़ाइलों का अनुकरण और विश्लेषण करने का कोई मतलब नहीं है, जो आपके उपयोगकर्ता डाउनलोड नहीं करते हैं, या आपको लगता है कि आपके नेटवर्क पर अनावश्यक हैं (उदाहरण के लिए, फ़ायरवॉल स्तर पर सामग्री जागरूकता ब्लेड का उपयोग करके आसानी से अवरुद्ध किया जा सकता है, इसलिए गेटवे संसाधन कम खर्च होंगे)। इसके अलावा, थ्रेट एमुलेशन सेटिंग्स में, आप सैंडबॉक्स में खतरों का अनुकरण करने के लिए एन्वायरमेंट (ऑपरेटिंग सिस्टम) का चयन कर सकते हैं और एन्वायरनमेंट विंडोज 7 को इंस्टॉल कर सकते हैं जब सभी उपयोगकर्ता संस्करण 10 के साथ काम कर रहे हों, तो इसका कोई मतलब नहीं है।

3.7। क्या फ़ायरवॉल नियम और अनुप्रयोग स्तर के नियम सर्वोत्तम अभ्यास के अनुसार व्यवस्थित हैं?

यदि नियम में बहुत अधिक हिट (मैच) हैं, तो उन्हें बहुत ऊपर से डालने की सिफारिश की जाती है, और बहुत कम संख्या में - बहुत नीचे से नियम। मुख्य बात यह सुनिश्चित करना है कि वे ओवरलैप और ओवरलैप न करें। अनुशंसित फ़ायरवॉल नीति वास्तुकला:



स्पष्टीकरण:

प्रथम नियम - सबसे अधिक मिलान वाले नियम यहां रखे गए हैं
शोर नियम - शुद्ध ट्रैफ़िक जैसे कि NetBIOS को छोड़ने के लिए एक नियम
चुपके नियम - उन स्रोतों को छोड़कर सभी के लिए प्रवेशद्वारों और प्रबंधन तक पहुंच का निषेध जो गेटवे नियमों के प्रमाणीकरण में निर्दिष्ट थे
क्लीन-अप, अंतिम और ड्रॉप नियम, एक नियम के रूप में, उन सभी चीजों पर प्रतिबंध लगाने के लिए एक नियम में जोड़ा जाता है जिन्हें पहले अनुमति नहीं थी

सबसे अच्छा अभ्यास डेटा sk106597 में वर्णित है।

3.8। प्रशासकों द्वारा बनाई गई सेवाओं के लिए सेटिंग्स क्या हैं?

उदाहरण के लिए, किसी विशिष्ट पोर्ट पर किसी प्रकार की टीसीपी सेवा बनाई जाती है, और यह "किसी के लिए मैच" को अनचेक करने के लिए सेवा की उन्नत सेटिंग्स में समझ में आता है। इस मामले में, यह सेवा विशेष रूप से उस नियम के तहत आती है जिसमें यह दिखाई देता है, और उन नियमों में भाग नहीं लेना चाहिए जहां कोई भी सेवा कॉलम में है।



सेवाओं के बारे में बोलते हुए, यह ध्यान देने योग्य है कि कभी-कभी टाइमआउट को कसने के लिए आवश्यक है। यह सेटिंग आपको गेटवे के संसाधनों का अधिक कुशलता से उपयोग करने की अनुमति देगा, ताकि प्रोटोकॉल के टीसीपी / यूडीपी सत्रों को रखने के लिए न कि एक बड़े समय की आवश्यकता हो। उदाहरण के लिए, नीचे दिए गए स्क्रीनशॉट में, मैंने 40 सेकंड से 30 सेकंड तक डोमेन-यूडीपी सेवा टाइमआउट को पुन: व्यवस्थित किया।

3.9। SecureXL का उपयोग किया जाता है और त्वरण का प्रतिशत क्या है?

आप fwaccel स्टेट और fw एक्स्टेंशन -s गेटवे पर विशेषज्ञ मोड में मूल कमांड के साथ SecureXL प्रदर्शन की गुणवत्ता की जांच कर सकते हैं । अगला, आपको यह समझने की आवश्यकता है कि किस प्रकार का ट्रैफ़िक तेज हो रहा है, आप कौन से टेम्पलेट (टेम्पलेट) बना सकते हैं।

डिफ़ॉल्ट रूप से, ड्रॉप टेम्प्लेट सक्षम नहीं हैं, उनका समावेश सिक्योरएक्सएलएल के संचालन को अनुकूल रूप से प्रभावित करेगा। ऐसा करने के लिए, गेटवे सेटिंग्स और ऑप्टिमाइज़ेशन टैब पर जाएं:



इसके अलावा, सीपीयू को अनुकूलित करने के लिए एक क्लस्टर के साथ काम करते समय, आप गैर-महत्वपूर्ण सेवाओं के सिंक्रनाइज़ेशन को अक्षम कर सकते हैं, जैसे कि यूडीपी डीएनएस, आईसीएमपी और अन्य। ऐसा करने के लिए, सेवा सेटिंग्स पर जाएं → उन्नत → राज्य सिंक्रनाइज़ेशन के सिंक्रनाइज़ेशन कनेक्शन क्लस्टर पर सक्षम है।



सभी बेहतरीन प्रथाओं का वर्णन sk98348 में है ।

3.10। CoreXl का उपयोग कैसे किया जाता है?

CoreXL तकनीक, जो फ़ायरवॉल इंस्टेंस (फ़ायरवॉल मॉड्यूल) के लिए कई सीपीयू के उपयोग की अनुमति देती है, स्पष्ट रूप से डिवाइस के संचालन को अनुकूलित करने में मदद करती है। सबसे पहले, fw ctl एफिनिटी -l -a कमांड इस्तेमाल किए गए फ़ायरवॉल इंस्टेंस और एसएनडी को दिए गए प्रोसेसर (मॉड्यूल जो फ़ायरवॉल संस्थाओं को ट्रैफ़िक वितरित करता है) को दिखाएगा। यदि सभी प्रोसेसर शामिल नहीं हैं, तो उन्हें गेटवे पर cpconfig कमांड के साथ जोड़ा जा सकता है।
इसके अलावा एक अच्छी कहानी मल्टी-क्यू सक्षम करने के लिए एक हॉटफ़िक्स लगाने की है। मल्टी-क्यू समस्या को हल करता है जब एसएनडी के साथ एक प्रोसेसर का उपयोग कई प्रतिशत के लिए किया जाता है, और अन्य प्रोसेसर पर फ़ायरवॉल इंस्टेंस निष्क्रिय हैं। तब SND के पास एक NIC के लिए कई कतारें बनाने और कर्नेल स्तर पर अलग-अलग ट्रैफ़िक के लिए अलग-अलग प्राथमिकताएँ निर्धारित करने का अवसर होगा। नतीजतन, सीपीयू कोर का उपयोग अधिक सक्षम रूप से किया जाएगा। तकनीकों का वर्णन sk98348 में भी किया गया है।

अंत में, मैं कहना चाहूंगा कि चेक प्वाइंट के काम को अनुकूलित करने के लिए यह सभी सर्वश्रेष्ठ अभ्यास नहीं है, लेकिन सबसे लोकप्रिय है। यदि आप अपनी सुरक्षा नीति का ऑडिट करना चाहते हैं या चेक प्वाइंट से संबंधित समस्या का समाधान करना चाहते हैं, तो कृपया sales@tssolution.ru से संपर्क करें।

आपका ध्यान के लिए धन्यवाद!