マルチキューを有効にするかどうかの決定

このセクションでは、マルチキュー Security Gatewayのアクセラレーション機能で、ネットワークインタフェースごとに複数のトラフィックキューを設定するもの。マルチキューは，一つのインタフェースに複数の受信パケットキュー（RX Queue）と複数の送信パケットキュー（TX Queue）を割り当てます。マルチキューは、SecureXLが有効な場合（デフォルト）にのみ適用されます。頭字語：MQ.を利用するメリットがあるかどうかを判断するのに役立ちます。

1. ネットワークインタフェースがマルチキューに対応していることを確認してください。

   これらのドライバを使用するネットワークカードのみが、マルチキューに対応できます。

   マルチキューに関するマルチキューに関する要件と制限事項事項」を参照してください。

   重要- これらのドライバをアップグレードする前に、最新バージョンがマルチキューに対応していることを確認してください。

   注: インタフェースがどのドライバを使用しているかを表示するには、エキスパートモード CheckPoint Gaiaオペレーティングシステムで完全なシステムルート権限を付与する完全なコマンドラインシェルの名前。でこのコマンドを実行します。 Security Gateway /各クラスタ 冗長構成で連携する2つ以上のセキュリティゲートウェイ（ハイアベイラビリティまたは負荷分散）をクラスタ化します。メンバ: ethtool -i <Name of Interface> スケーラブル プラットフォーム セキュリティ グループ: g_ethtool -i <Name of Interface> 新しいインタフェースをインストールするときは、Expert モードでこの 2 つのコマンドを実行する必要があります。 Security Gateway /各クラスタメンバ: mq_mng --reconf reboot スケーラブル プラットフォーム セキュリティ グループ: g_all mq_mng --reconf g_reboot -a

2. SecureXLが有効であることを確認する

   ステップ	手順
   1	Security Gateway、各クラスタメンバ、またはスケーラブル プラットフォーム セキュリティ グループのコマンドラインに接続します。
   2	Gaia Clish CheckPoint Gaiaオペレーティングシステムのデフォルトのコマンドラインシェルの名前。これは制限付きシェルです（役割ベースの管理は、シェルで使用可能なコマンドの数を制御します）。、またはExpertモードにログインしてください。 注 - Scalable Platform（Maestro、Chassis）では、Gaia gClish Check Point Quantum Maestro Orchestratorに接続されたセキュリティアプライアンスおよびスケーラブルシャーシ上のセキュリティゲートウェイモジュール用のCheck Point Gaiaオペレーティングシステムのグローバルコマンドラインシェルの名前。このシェルで実行するコマンドは、Security Group内のすべてのSecurity Gateway Module / Security Applianceに適用されます。またはExpertモードを使用する必要があります。
   3	SecureXL セキュリティゲートウェイを通過するIPv4およびIPv6トラフィックを高速化するセキュリティゲートウェイ上のCheck Point製品。 の状態を取得します（fwaccel stat 参照）。 Security Gateway（各クラスタメンバ）上で、Gaia ClishまたはExpertモードで実行します。 fwaccel stat -t Scalable Platform Security Groupでは、Gaia gClishで実行します。 fwaccel stat -t Scalable Platform Security Groupでは、Expertモードで実行します。 g_fwaccel stat -t
   4	Status カラムを調べます。 非VSXゲートウェイの例 [Expert@MyGW:0]# fwaccel stat -t +-----------------------------------------------------------------------------+ |Id|Name |Status |Interfaces |Features | +-----------------------------------------------------------------------------+ |0 |SND |enabled |eth0,eth1,eth2,eth3,eth4,| | | | | |eth5,eth6,eth7 |Acceleration,Cryptography | +-----------------------------------------------------------------------------+ [Expert@MyGW:0]#
   5	SecureXLが無効になっている場合は、有効にしてください（fwaccel on参照）。 Security Gateway（各クラスタメンバ）上で、Gaia ClishまたはExpertモードで実行します。 fwaccel on Scalable Platform Security Groupでは、Gaia gClishで実行します。 fwaccel on Scalable Platform Security Groupでは、Expertモードで実行します。 g_fwaccel on

3. CPUのロールの割り当てを検討する

   ステップ	手順
   1	Security Gateway、各クラスタメンバ、またはスケーラブル プラットフォーム セキュリティ グループのコマンドラインに接続します。
   2	Gaia Clish、またはExpertモードにログインしてください。 注 - Scalable Platform（Maestro、Chassis）では、Gaia gClishまたはExpertモードを使用する必要があります。
   3	CPU ロールのリストを取得します (fw ctl affinity 参照)。 Security Gateway（各クラスタメンバ）上で、Gaia ClishまたはExpertモードで実行します。 fw ctl affinity -l [-a] [-v] [-r] Scalable Platform Security Groupでは、Gaia gClishで実行します。 fw ctl affinity -l [-a] [-v] [-r] Scalable Platform Security Groupでは、Expertモードで実行します。 g_fw ctl affinity -l [-a] [-v] [-r] 例 CPU0とCPU1がCoreXL SND セキュアネットワークディストリビュータ。以下を担当するCoreXLの一部：ネットワークインタフェースからの着信トラフィックを処理します。許可されたパケットを安全に加速します（SecureXLが有効になっている場合）。ファイアウォールカーネルインスタンス間で高速化されていないパケットを配布します（SNDは、CoreXLファイアウォールインスタンスに割り当てられた接続をマップするグローバルディスパッチテーブルを維持します）。CoreXLファイアウォールインスタンス間のトラフィック分散は、送信元IPアドレス、宛先IPアドレス、およびIPの「プロトコル」タイプに静的に基づいています。CoreXL SNDは、実際にはパケットに「タッチ」しません。特定のFWKデーモンに固執するという決定は、他の何よりも先に、非常に高いレベルの接続の最初のパケットで行われます。SecureXLの設定によっては、ほとんどの場合、SecureXLは復号の計算をオフロードする可能性があります。ただし、ルートベースVPNの場合など、他のいくつかのケースでは、FWKデーモンによって実行されます。インスタンスを実行します。 [Expert@GW:0]# fw ctl affinity -l Mgmt: CPU 0 eth1-04: CPU 1 eth1-05: CPU 0 eth1-06: CPU 1 eth1-07: CPU 0 fw_0: CPU 5 fw_1: CPU 4 fw_2: CPU 3 fw_3: CPU 2 [Expert@GW:0]#

4. CPUコアの使用率を調べる

   ステップ	手順
   1	Security Gateway、各クラスタメンバ、またはスケーラブル プラットフォーム セキュリティ グループのコマンドラインに接続します。
   2	Gaia Clish、またはExpertモードにログインしてください。 注 - Scalable Platform（Maestro、Chassis）では、Gaia gClishまたはExpertモードを使用する必要があります。
   3	CPUコアの使用率を取得します。 Security Gateway（各クラスタメンバ）において、Expertモードで実行します。 top Scalable Platform Security Groupで、Gaia Clishで実行します。 top Scalable Platform Security Groupでは、Expertモードで実行します。 g_top
   4	1を押すと、すべてのCPUコアが表示されます。 例 CoreXL マルチコア処理プラットフォーム上のセキュリティゲートウェイのパフォーマンス向上テクノロジー。複数のCheck Point Firewallインスタンスが、複数のCPUコアで並行して実行されています。 SNDインスタンスが動作するCPUコア（CPU0、CPU1）は、約30％アイドル状態です。 CoreXL Firewallインスタンスが動作するCPUコアは、約70％がアイドル状態です。 top - 18:02:33 up 8 days, 1:18, 1 user, load average: 1.22, 1.38, 1.48 Tasks: 137 total, 3 running, 134 sleeping, 0 stopped, 0 zombie Cpu0 : 2.0%us, 0.0%sy, 0.0%ni, 28.7%id, 5.9%wa, 0.0%hi, 63.4%si, 0.0%st Cpu1 : 0.0%us, 1.0%sy, 0.0%ni, 27.6%id, 0.0%wa, 0.0%hi, 71.4%si, 0.0%st Cpu2 : 2.0%us, 2.0%sy, 0.0%ni, 66.5%id, 0.0%wa, 4.0%hi, 25.5%si, 0.0%st Cpu3 : 1.0%us, 2.0%sy, 0.0%ni, 71.3%id, 0.0%wa, 0.0%hi, 25.7%si, 0.0%st Cpu4 : 5.0%us, 1.0%sy, 0.0%ni, 69.0%id, 0.0%wa, 0.0%hi, 25.0%si, 0.0%st Mem: 12224020k total, 70005820k used, 5218200k free, 273536k buffers Swap: 14707496k total, 0k used, 14707496k free, 484340k cached PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND 3301 root 15 0 0 O 0 R 31 0.0 747:04 [fw_worker_3] 3326 root 15 0 0 O 0 R 29 0.0 593:35 [fw_worker_0] ... ... ...

5. CoreXL SNDインスタンスを実行するために、より多くのCPUコアを割り当てることが可能かどうかを決定します。

   CoreXL SNDインスタンスを実行するために、より多くのCPUコアを割り当てることができるかどうかを決定する。

   CoreXL SNDインスタンスを実行するCPUコアよりもアクティブなネットワークインタフェースが多い場合、より多くのCPUコアを割り当てて、より多くのCoreXL SNDインスタンスを実行することができます。

   マルチキューは、以下のような場合に設定することをお勧めします。

   1. CoreXL SNDインスタンスでCPU負荷が高くなる（アイドル状態が20％未満）。

   2. CoreXL Firewallインスタンスは、CPU負荷が低い（アイドル状態が50％以上）。

   注 - インタフェースのIRQアフィニティ IRQ を1つ以上のCPU コアにバインドする状態。を変更した場合、CoreXL SNDインスタンスを実行するCPUコアを増やすことはできません。