7. NGFW для малого бизнеса. Производительность и общие рекомендации11.09.2020 09:47

1. NGFW решения семейства SMB не имеют возможности аппаратного апгрейда системных компонентов (CPU, RAM, HDD), в зависимости от модели есть поддержка SD-карт, это позволяет расширить емкость диска, но не значительно.

2. Работа сетевых интерфейсов требует контроля. В Gaia 80.20 Embedded не так много инструментов для мониторинга, но вы всегда можете использовать общеизвестную команду в CLI через режим Expert 

   # ifconfig

   

   Обратите внимание на подчеркнутые строки, они позволят вам оценить количество ошибок на интерфейсе. Крайне рекомендуется проверять данные параметры при первичном внедрении вашего NGFW, а также периодически уже в ходе эксплуатации.

3. Для полноценной Gaia есть команда:

   > show diag

   С ее помощью возможно получить информацию о температуре аппаратного обеспечения. К сожалению, в 80.20 Embedded данной опции нет, укажем наиболее популярные SNMP-traps:

   Название	Описание
   Interface disconnected	Отключение интерфейса
   VLAN removed	Удаление Vlan
   High memory utilization	Высокая утилизация RAM
   Low disk space	Мало место на HDD
   High CPU utilization	Высокая утилизация CPU
   High CPU interrupts rate	Высокая частота прерываний
   High connection rate	Высокий поток новых подключений
   High concurrent connections	Высокий уровень конкурентных сессий
   High Firewall throughput	Высокий уровень пропускной способности Firewall
   High accepted packet rate	Высокий уровень приема пакетов
   Cluster member state changed	Изменение состояния кластера
   Connection with log server error	Потеря связи с Log-Server

4. Работа вашего шлюза требует контроля RAM. Для работы Gaia (Linux подобная OC) это нормальная ситуация, когда расход RAM доходит до 70–80% использования.

   В архитектуре SMB-решений не предусмотрено использования SWAP-памяти, в отличие от более старших моделей Check Point. Тем не менее, в системных файлах Linux был замечен , что говорит о теоретической возможности изменять параметр SWAP.

1. Просмотр шаблонов SecureXL

   # fwaccel stat

   

2. Просмотр загрузки по ядрам

   # fw ctl multik stat

   

3. Просмотр количества сессий (соединений).

   # fw ctl pstat

   

4. *Просмотр состояния кластера

   # cphaprob stat

   

5. Классическая Linux-команда TOP

1. Системные сообщения (содержит меньше информации, чем в полноценной Gaia)

   # tail -f /var/log/messages2

   

2. Cообщения об ошибках в работе блейдов (достаточно полезный файл при поиске проблем)

   # tail -f /var/log/log/sfwd.elg

   

3. Просмотр сообщений из буфера на уровне ядра системы.

   # dmesg

   

• Рекомендовано избегать в правилах условия ANY, ANY (Source, Destination).

• В случае задания кастомного URL-ресурса более действенно будет использовать регулярное выражения типа: (^|…)checkpoint.com

• Избегайте чрезмерного использования логирования по правилам и показа страниц блокировки (UserCheck).

• Убедитесь, что корректно работает технология «SecureXL». Большая часть трафика должна проходить через accelerated / medium path. Также не забывайте фильтровать правила по наиболее используемым (поле Hits ).

Ни для кого не секрет, что 70–80% пользовательского трафика приходится на HTTPS-соединения, соответственно, это требует ресурсов от процессора вашего шлюза. Кроме этого, HTTPS-Inspection участвует в работе IPS, Antivirus, Antibot.

Начиная с версии 80.40 появилась возможность работать с HTTPS-правилами без Legacy Dashboard, вот некоторый рекомендуемый порядок правил:

• Bypass для группы адресов и сетей (Destination).

• Bypass для группы URL-адресов.

• Bypass для внутренних IP и cетей с привилегированным доступом (Source).

• Inspect для необходимых сетей, пользователей

• Bypass для всех остальных.

* Всегда лучше выбирать вручную сервисы HTTPS или HTTPS Proxy, не оставлять Any. Логировать события по правилам Inspect.

Блейд IPS может вызывать ошибку при инсталляции политики на вашем NGFW, если используется слишком много сигнатур. Согласно статье от Check Point, архитектура SMB устройств не рассчитана для запуска полного рекомендуемого профиля настроек IPS.

Чтобы решить или предотвратить проблему, выполните следующие шаги:

1. Клонируйте Optimized профиль под названием «Optimized SMB» (либо другим на ваше усмотрение).

2. Отредактируйте профиль, перейдите в раздел IPS → Pre R80.Settings и выключите Server Protections.

   

3. По вашему усмотрению вы можете деактивировать CVE старше 2010, данные уязвимости могут быть редко обнаружены в малых офисах, но влияют на производительность. Чтобы отключить некоторые из них , перейдите в Profile→ IPS→ Additional Activation → Protections to deactivate list