Download presentation
Presentation is loading. Please wait.
1
Skalowanie wydajności, konfiguracje ClusterXL, SecureXL i CoreXL
J. Prokop Check Point
2
Skalowanie wydajności oprogramowania
Trzy produkty kategorii „XL”: ClusterXL: łączenie urządzeń w klastry ClusterXL LS for VPN-1 and Connectra ClusterXL VSLS for VSX VSLS Nokia IP Clustering, Crossbeam X80 itp SecureXL (Accelerated Path) Hardware: (Nokia) ADP Software: Performance Pack (SecurePlatform, Crossbeam XOS) IPSO SecureXL implementation („fastpath”, SecureXL) CoreXL: wielordzeniowa implementacja Firewall Path / Middle Path
3
Cluster XL Cele klastrowania urzadzeń: Zwiększenie niezawodności
Zwiększenie wydajności
4
Cluster XL Problemy rozwiązywane przy klastrowaniu:
Sieć (adresy MAC, IP) Synchronizacja (asynchroniczny routing pakietów, krótkotrwałe sesje, sposoby dzielenia sesji między węzłami)
5
Cluster XL z ograniczoną liczbą adresów IP
6
Accelerated Path (brak „wzorca” – template)
Core #... Medium Path FW Queue Core #4 Medium Path FW Queue Core #... Medium Path FW Queue Core #0 Core #1 Secure Dispatcher Secure Dispatcher Performance Pack Performance Pack eth0 eth1 Syn SynAck + subsequent S2C packets Subsequent C2S packets
7
Accelerated Path (ze „wzorcem” – template)
Core #... Medium Path FW Queue Core #4 Medium Path FW Queue Core #... Medium Path FW Queue Core #0 Core #1 Secure Dispatcher Secure Dispatcher Performance Pack Performance Pack eth0 eth1 Syn + subsequent C2S packets SynAck + subsequent S2C packets
8
Medium Path – IPS Traffic
Core #... Medium Path FW Queue Core #4 Medium Path FW Queue Core #... Medium Path FW Queue Core #0 Core #1 Secure Dispatcher Secure Dispatcher Performance Pack Performance Pack eth0 eth1 Syn + subsequent C2S packets SynAck + subsequent S2C packets
9
Monitorowanie CoreXL Funkcja hash rozdzielająca sesje pomiędzy instancjami (rdzeniami): Source IP address Destination IP address Destination TCP/UDP port IP protocol number VoIP i IPSec : zawsze na instancji „0” ! Nie ma tu portu źródłowego: konserwatywna, słabo rozrzucająca funkcja Jeżeli grupa klientów pracuje za translatorem adresów na pojedynczym serwerze to wszyscy będą przetwarzani na tym samym rdzeniu.
10
Monitorowanie ścieżek pakietów: accelerated / firewall / medium
# fwaccel stat SXL on/off Templates enabled? Disabled after rule # X ? # fwaccel stats Firewall path: F2F Accelerated path: accel Medium path: PXL (* dopiero od wersji R70 *) # fwaccel conns C2S, S2C: client2server, server2client flaga „F” : firewall, connection not accelerated # fwaccel templates
11
# fwaccel stats FW path [Expert@cpmodule]# fwaccel stats
Name Value Name Value conns created conns deleted temporary conns templates nat conns accel packets accel bytes F2F packets ESP enc pkts ESP enc err ESP dec pkts ESP dec err ESP other err espudp enc pkts espudp enc err espudp dec pkts espudp dec err espudp other err AH enc pkts AH enc err AH dec pkts AH dec err AH other err memory used free memory acct update interval current total conns TCP violations conns from templates TCP conns delayed TCP conns non TCP conns delayed nonTCP conns F2F conns F2F bytes crypt conns enc bytes dec bytes partial conns anticipated conns dropped packets dropped bytes nat templates port alloc templates conns from nat tmpl port alloc conns port alloc f2f PXL templates PXL conns PXL packets PXL bytes PXL async packets FW path
12
# fwaccel stats Accelerated path (SecureXL)
fwaccel stats Name Value Name Value conns created conns deleted temporary conns templates nat conns accel packets accel bytes F2F packets ESP enc pkts ESP enc err ESP dec pkts ESP dec err ESP other err espudp enc pkts espudp enc err espudp dec pkts espudp dec err espudp other err AH enc pkts AH enc err AH dec pkts AH dec err AH other err memory used free memory acct update interval current total conns TCP violations conns from templates TCP conns delayed TCP conns non TCP conns delayed nonTCP conns F2F conns F2F bytes crypt conns enc bytes dec bytes partial conns anticipated conns dropped packets dropped bytes nat templates port alloc templates conns from nat tmpl port alloc conns port alloc f2f PXL templates PXL conns PXL packets PXL bytes PXL async packets Accelerated path (SecureXL)
13
# fwaccel stats Medium path (IPS) Middle Path pojawia się
fwaccel stats Name Value Name Value conns created conns deleted temporary conns templates nat conns accel packets accel bytes F2F packets ESP enc pkts ESP enc err ESP dec pkts ESP dec err ESP other err espudp enc pkts espudp enc err espudp dec pkts espudp dec err espudp other err AH enc pkts AH enc err AH dec pkts AH dec err AH other err memory used free memory acct update interval current total conns TCP violations conns from templates TCP conns delayed TCP conns non TCP conns delayed nonTCP conns F2F conns F2F bytes crypt conns enc bytes dec bytes partial conns anticipated conns dropped packets dropped bytes nat templates port alloc templates conns from nat tmpl port alloc conns port alloc f2f PXL templates PXL conns PXL packets PXL bytes PXL async packets Middle Path pojawia się w R70 do obsługi nowego IPS (nie ma tych statystyk w R65) Medium path (IPS)
14
Konfiguracja CoreXL/SecureXL: cpconfig
[CP-R70]# cpconfig This program will let you re-configure your Check Point products configuration. Configuration Options: (1) Licenses and contracts (2) Administrator (3) GUI Clients (4) SNMP Extension (5) PKCS#11 Token (6) Random Pool (7) Certificate Authority (8) Certificate's Fingerprint (9) Disable Advanced Routing (10) Disable Check Point SecureXL (11) Configure Check Point CoreXL (12) Automatic start of Check Point Products (13) Exit Enter your choice (1-13) :
15
Monitorowanie konfiguracji wielordzeniowej za pomocą ” top ”
16
Które rdzenie obsługują interfejsy sieciowe (affinity) ?
Affinity interfejsów sieciowych jest podzielone pomiędzy CPU na których działa SND (Secure Network Dispatcher)
17
„ fwpprof ” : analiza # ./fwpprof
Data collection stopped after 0 minutes and 53 seconds. Analyzing results... Performance Statistics: CPU Component Average load Maximal load 0 N/A % % 1 N/A % % 2 fw_ % % 3 fw_ % % 4 fw_ % % 5 fw_ % % 6 fw_ % % 7 fw_ % % Current core optimization grade: 62%
18
„ fwpprof ” : zalecenia konfiguracyjne
Recommended configuration: CPU Component 0 Network |-Sync ...... |-Mgmt |-Lan1 |-Lan8 1 fw_6 2 fw_5 3 fw_4 4 fw_3 5 fw_2 6 fw_1 7 fw_0 VPN and VoIP traffic percentage 0% Expected optimization grade following recommended changes: 68% Summary of recommendations: 1. Increase number of active instances from 6 to 7
19
Podsumowanie i tematy ciekawych rozważań związanych z wydajnością
CoreXL jest częścią każdej instalacji wielordzeniowej (nie wymaga dodatkowej licencji). CoreXL: R65: przerwania (SPLAT kernel 2.4 / 2.6) R70: przerwania, konfigurowalna liczba instancji, fwpprof, możliwość ignorowania procesorów
20
Dziękuję za uwagę!
Similar presentations
