SecureXLデバッグ手順

デフォルトでは、SecureXL セキュリティゲートウェイを通過するIPv4およびIPv6トラフィックを高速化するセキュリティゲートウェイ上のCheck Point製品。は出力されたデバッグ情報を/var/log/messages ファイルに書き込みます。

該当する SecureXL デバッグを収集し、その解析を容易にするために、以下の手順を実行します。

注：詳しくは、「カーネルカーネルデバッグ」をご覧ください。

重要：

お客様の生産トラフィックへの影響を最小限に抑えるため、完全なメンテナンスウィンドウをスケジュールすることを強くお勧めします。
セキュリティゲートウェイ Check Point ソフトウェアを実行してトラフィックを検査し、接続されたネットワークリソースにセキュリティポリシーを適用する専用Check Pointサーバ。、各クラスタ冗長構成で連携する2つ以上のセキュリティゲートウェイ（ハイアベイラビリティまたは負荷分散）をクラスタ化します。メンバ、Scalable Platformセキュリティグループメンバにシリアルコンソールで接続することを強くお勧めします。

これは、CPUに高い負荷がかかり、CLIでの作業ができなくなるという問題が発生する可能性を防ぐためです。
クラスタでは、このデバッグをすべてのクラスタメンバから同じ方法で収集する必要があります。
特定のSecureXLインスタンスのみがトラフィックを処理していることが確認できた場合のみ、デバッグを行ってください。

手順

Security Gatewayがカーネルデバッグバッファを確保したことを確認する。

Security Gateway /各クラスタメンバ:

fw ctl debug | grep buffer

スケーラブルプラットフォームセキュリティグループ:

g_fw ctl debug | grep buffer

該当するカーネルデバッグモジュールとカーネルデバッグフラグを設定します。

Security Gateway /各クラスタメンバ:

fw ctl debug -m <Name of Kernel Debug Module> {all | + <Kernel Debug Flags>}

スケーラブルプラットフォームセキュリティグループ:

g_fw ctl debug -m <Name of Kernel Debug Module> {all | + <Kernel Debug Flags>}

該当するSecureXLデバッグモジュールおよびSecureXLデバッグフラグを設定する。

Security Gateway /各クラスタメンバ:

すべてのSecureXLインスタンスについて、実行します。

fwaccel dbg -m <Name of SecureXL Debug Module> {all | + <SecureXL Debug Flags>}

特定のSecureXLインスタンスについて、実行します。

fwaccel -i <SecureXL ID> dbg -m <Name of SecureXL Debug Module> {all | + <SecureXL Debug Flags>}

スケーラブルプラットフォームセキュリティグループ:

すべてのSecureXLインスタンスについて、実行します。

g_fwaccel dbg -m <Name of SecureXL Debug Module> {all | + <SecureXL Debug Flags>}

特定のSecureXLインスタンスについて、実行します。

g_fwaccel -i <SecureXL ID> dbg -m <Name of SecureXL Debug Module> {all | + <SecureXL Debug Flags>}

SecureXLデバッグモジュールとデバッグフラグ」を参照してください。

Firewall ConnectionsテーブルとSecureXL Connectionsテーブルの両方からすべてのエントリを削除します。

重要：

このステップでは、既存の接続に影響されない本当の問題のデバッグを収集することを確認します。
このコマンドは、既存の接続をすべて削除します。これにより、SSHを含むすべての接続が中断されます。

Security Gateway / 各クラスタメンバ / Scalable Platform Security Group Membersにシリアルコンソールで接続されている場合のみ、このコマンドを実行します。

Security Gateway /各クラスタメンバ:

fw tab -t connections -x -y

スケーラブルプラットフォームセキュリティグループ:

g_fw tab -t connections -x -y

Firewall Templatesテーブルからすべてのエントリを削除します。

注：このコマンドは、既存の接続を中断することはありません。このステップでは、既存の接続テンプレートの影響を受けない、本当の問題のデバッグを収集することを確認します。

Security Gateway /各クラスタメンバ:

fw tab -t cphwd_tmpl -x -y

スケーラブルプラットフォームセキュリティグループ:

g_fw tab -t cphwd_tmpl -x -y

カーネルデバッグの開始

ゲートウェイモードの場合。

Security Gateway /各クラスタメンバ:

fw ctl kdebug -T -f -o /var/log/kernel_debug.txt

スケーラブルプラットフォームセキュリティグループ:

g_fw ctl kdebug -T -f -o /var/log/kernel_debug.txt

VSXモードの場合 - 特定の仮想システムに対して。

VSXゲートウェイ/各VSXクラスタメンバで、以下を実行します。

fw ctl kdebug -v {"<List of VSIDs>" | all} -k -T -f -o /var/log/kernel_debug.txt

VSXモードのScalable Platform Security Groupで、実行します。

g_fw ctl kdebug -v {"<List of VSIDs>" | all} -k -T -f -o /var/log/kernel_debug.txt

問題を再現する、または問題が発生するのを待つ

問題が発生する原因となる手順を実行するか、問題が発生するのを待ちます。
カーネルデバッグの停止

CTRL+Cを押します。

デバッグ出力ファイルの解析

これらのファイルをSecurity Gateway / 各クラスタメンバ / 各Security Group Memberからコンピュータに転送します。

/var/log/kernel_debug.txt

/var/log/messages*

ベストプラクティス- これらのファイルを "tar -zxvf" コマンドで圧縮し、アーカイブをセキュリティゲートウェイ/各クラスタメンバ/各セキュリティグループメンバからコンピュータに転送してください。FTPサーバに転送する場合は、バイナリーモードで行ってください。