インタフェースのアフィニティーを設定する

特定のインタフェースと特定の処理用CPUコアの関連付けを、そのCPUコアとのインタフェースのaffinity と呼びます。このアフィニティ閉じた 指定されたCoreXL Firewall インスタンス、VSX Virtual System、インタフェース、ユーザスペースプロセス、またはIRQ を1 つ以上の指定されたCPU コアに割り当てます。により、インタフェースのトラフィックはそのCPUコアに向けられ、CoreXL SND閉じた セキュアネットワークディストリビュータ。以下を担当するCoreXLの一部：ネットワークインタフェースからの着信トラフィックを処理します。許可されたパケットを安全に加速します（SecureXLが有効になっている場合）。ファイアウォールカーネルインスタンス間で高速化されていないパケットを配布します（SNDは、CoreXLファイアウォールインスタンスに割り当てられた接続をマップするグローバルディスパッチテーブルを維持します）。CoreXLファイアウォールインスタンス間のトラフィック分散は、送信元IPアドレス、宛先IPアドレス、およびIPの「プロトコル」タイプに静的に基づいています。CoreXL SNDは、実際にはパケットに「タッチ」しません。特定のFWKデーモンに固執するという決定は、他の何よりも先に、非常に高いレベルの接続の最初のパケットで行われます。SecureXLの設定によっては、ほとんどの場合、SecureXLは復号の計算をオフロードする可能性があります。ただし、ルートベースVPNの場合など、他のいくつかのケースでは、FWKデーモンによって実行されます。はそのCPUコアで実行されるようになります。

Security Gatewayは、CoreXL閉じた マルチコア処理プラットフォーム上のセキュリティゲートウェイのパフォーマンス向上テクノロジー。複数のCheck Point Firewallインスタンスが、複数のCPUコアで並行して実行されています。設定ファイルからブート中にインタフェースのアフィニティをロード（Scalable Platform Security Group Members load）します$FWDIR/conf/fwaffinity.conf 。この設定ファイルでは、"i"で始まる行で、インタフェースのアフィニティを定義しています。

ワークフロー:

ステップ

手順

1

CoreXL Firewallインスタンスを実行する処理CPUコアと、インタフェースからのトラフィックを処理するCPUコアを確認します。

fw ctl affinity参照してください。

2

残りのCPUコアをCoreXL SNDインスタンスの実行に割り当てる。

そのためには、該当するCPUコアへのインタフェースのアフィニティーを設定します。

詳しくは、「処理用CPUコアの割り振り」をご覧ください。

注:

  • VLANインタフェースのアフィニティを設定するには、その物理インタフェースを使用します。

  • CoreXL SNDに複数の処理用CPUコアを割り当てる場合、残りのCPUコアに対して明示的にインタフェースのアフィニティを設定する必要があります。複数のインタフェースがある場合、どのインタフェースをどのCPUコアにアフィンさせるかを決めます。CPUコア間で予想されるトラフィックのバランスを取るようにする。top コマンドでトラフィックバランスを調べます。

インタフェースに明示的にアフィニティーを設定すること。

ステップ

手順

1

Security Gateway、各クラスタメンバ、またはスケーラブル プラットフォーム セキュリティ グループのコマンドラインに接続します。

2

エキスパートモード閉じた CheckPoint Gaiaオペレーティングシステムで完全なシステムルート権限を付与する完全なコマンドラインシェルの名前。にログインします。

3

$FWDIR/conf/fwaffinity.conf ファイルに各インタフェースのアフィニティを設定します。

アフィニティーの設定」を参照してください。

各インタフェースごとに、"i"で始まる別の行を用意する必要があります。

これらの行はそれぞれこのような構文でなければなりません。

i <Name of Interface> <CPU ID>

例えば、eth0 とeth1 (eth1-05 とeth1-07) からのトラフィックが CPU コア#0 に、eth2 (eth1-09) からのトラフィックが CPU コア#1 に行く必要がある場合は、以下の行を追加します。

  • Security Gateway /各クラスタメンバ:

    i eth0 0

    i eth1 0

    i eth2 1

  • スケーラブル プラットフォーム セキュリティ グループ:

    i eth1-05 0

    i eth1-07 0

    i eth1-09 1

 

また、1つの処理CPUコアに対してのみ明示的にインタフェースのアフィニティを設定し、他のCPUコアは残りのインタフェースのデフォルトアフィニティとして定義することも可能です。

i default <CPU ID>

例えば，eth2 (eth1-05) からのトラフィックを CPU コア#1 に，それ以外のインタフェースからのトラフィックを CPU コア#0 に送る必要がある場合は，以下の行を追加してください．

  • Security Gateway /各クラスタメンバ:

    i eth2 1

    i default 0

  • スケーラブル プラットフォーム セキュリティ グループ:

    i eth1-05 1

    i default 0

4

新しいコンフィギュレーションをロードします。

  • すぐに読み込むには

    • Security Gateway /各クラスタメンバ:

      $FWDIR/scripts/fwaffinity_apply

    • スケーラブル プラットフォーム セキュリティ グループ:

      g_all $FWDIR/scripts/fwaffinity_apply

  • 後で読み込むには、再起動します。

    • Security Gateway /各クラスタメンバ:

      reboot

    • スケーラブル プラットフォーム セキュリティ グループ:

      g_reboot -a

ベストプラクティス- CoreXL SNDに1つのCPUコアしか割り当てない場合、そのCPUコアが自動的に選択されるようにすることがベストです。そのためには、デフォルトの自動インタフェースアフィニティのまま、CPUコアへのインタフェースに明示的なアフィニティを設定しないようにします。

$FWDIR/conf/fwaffinity.conf ファイルにこの行が含まれていることを確認してください。

i default auto

$FWDIR/conf/fwaffinity.conf ファイルに "i" で始まる他の行が含まれていないことを確認し、設定されているインタフェースの明示的なアフィニティがないようにします。これにより、Security Gatewayは、すべてのトラフィックを残りのCPUコアに向ける（Scalable Platform Security Group Membersが向ける）ようになります。

ベストプラクティス- さらに、マルチマルチキュー参照してください。