Настройка количества ядер CPU для асинхронных задач безопасности и управления

На устройстве Kaspersky NGFW выполняются задачи двух типов:

• задачи обработки пакетов плоскости передачи данных;
• задачи управления: запись и отправка журналов и событий, управление ОС, построение таблиц маршрутизации, применение конфигурации;
• асинхронные задачи безопасности, например:
  • проверки в Объектном антивирусе (по локальной базе или KSN);
  • проверки в KATA;
  • проверка сертификатов сервера при установлении HTTPS-соединения;
  • проверки по ICAP объектов HTTP/HTTPS-трафика.

В зависимости от типа задач выделяемые под них ядра CPU делятся на два типа:

• ядра плоскости передачи данных – ядра, выделенные под воркеры механизма обработки пакетов;
• ядра общего назначения – отдельные ядра CPU, которые не заняты воркерами механизма обработки пакетов и могут использоваться под задачи управления и асинхронные задачи безопасности.

Для обеспечения оптимальной производительности для каждого типа задач выделяется отдельное количество ядер CPU. Вы можете изменять количество выделенных ядер общего назначения с помощью командной строки. Оставшиеся ядра резервируются в качестве ядер плоскости передачи данных.

После изменения количества ядер общего назначения вам необходимо перезагрузить устройство.

Каждая модель Kaspersky NGFW имеет минимальное и максимальное количество ядер, доступных для резервирования в качестве ядер общего назначения (см. таблицу в конце статьи). Изменение минимального и максимального количества ядер общего назначения невозможно.

При настройке количества ядер учитывайте следующие особенности выполнения асинхронных задач безопасности и задач управления:

1. Проверки файловых объектов в трафике HTTP(S) и почтовом трафике выполняются только в том случае, если под эти проверки выделены отдельные ядра CPU на устройстве Kaspersky NGFW.

   В конфигурации Kaspersky NGFW по умолчанию не выделены отдельные ядра CPU для задач антивирусных проверок.

   Если отдельные ядра CPU для задач антивирусных проверок не выделены, а в профиле Антивируса включен Объектный антивирус, то при срабатывании соответствующего правила в результате обнаружения в трафике файлового объекта:

   • Срабатывание правила будет интерпретировано как ошибка обработки сессии, и Kaspersky NGFW выполнит заданное для таких случаев действие:
     • bypass – Kaspersky NGFW пропускает сессию без дальнейшей проверки соответствующим механизмом безопасности. Для DPI и IDPS Kaspersky NGFW закрывает контекст сессии и не отправляет новые пакеты этой сессии на анализ соответствующим механизмом.
     • block – Kaspersky NGFW блокирует сессию.
     • reset-both – Kaspersky NGFW блокирует TCP-сессию и отправляет TCP RST клиенту и серверу.
   • В журнале событий безопасности на уровне Ошибка будет записана одна из двух ошибок:
     • AddTask Failed to add task to av thread pool (для трафика HTTP);
     • CheckObject failed to add task to thread pool (для почтового трафика).
   • Будет увеличен счетчик пропущенных задач dropped-tasks-count (см. ниже пункт 5 этого списка).
2. Количество ядер CPU, выделенных под задачи антивирусных проверок, влияет на производительность обработки файловых объектов. Если при получении объекта из трафика все ядра CPU уже заняты проверкой других объектов, то задача на обработку нового объекта будет добавлена в очередь задач антивирусных проверок.

   По умолчанию максимальный размер очереди задач антивирусных проверок на устройстве равен av_cores * 50 , где av_cores – количество дополнительных ядер CPU, выделенных для асинхронных задач Объектного антивируса. Вы можете переопределить максимальный размер очереди задач антивирусных проверок с помощью команды object-av-tasks-queue-size семейства команд system linux-cores:

   system linux-cores> object-av-tasks-queue-size <размер очереди>

   Значение 0 означает, что очередь не имеет максимального размера.

   Использование очереди задач антивирусных проверок с неограниченным размером может привести к нестабильной работе устройства.

   При превышении максимального размера очереди в нее не будет добавлена задача на обработку нового объекта, и эта ситуация будет интерпретирована как ошибка обработки сессии (см. выше пункт 1 этого списка).

3. С помощью командной строки вы можете указать количество выделенных ядер общего назначения. Чтобы выделить количество ядер непосредственно под антивирусные проверки, необходимо указать количество ядер общего назначения исходя из следующего расчета:

   av_cores = cores - mgmt_cores,

   где av_cores – требуемое количество ядер под антивирусные проверки, cores – общее количество выделенных ядер общего назначения, mgmt_cores – количество ядер, зарезервированных под задачи управления (соответствует минимальному количеству ядер для платформы, см. таблицу в конце статьи).

4. Для максимальной производительности работы Объектного антивируса мы рекомендуем выделять в качестве ядер общего назначения половину от общего количества ядер, доступных для данной модели устройства Kaspersky NGFW. При этом необходимо учитывать, что задействованные в антивирусной обработке ядра не участвуют в обработке и перенаправлении трафика, поэтому увеличение их количества в ущерб количеству ядер плоскости передачи данных может негативно сказаться на общей пропускной способности Kaspersky NGFW.
5. Для диагностики и подбора оптимальной конфигурации под ваш профиль трафика вы можете использовать команду просмотра статистики проверки файлов:

   show security antivirus async-threadpool-stats

   Ненулевое значение свойства dropped-tasks-count говорит о случаях переполнения очереди и исключении файлов из проверки.`

   Пример вывода команды:

   {

   "ngfw-antivirus-ext:async-threadpool-stats": {

   "dropped-tasks-count": "0",

   "current-queue-length": 0

   }

   }

Изменение количества ядер общего назначения невозможно на устройствах, входящих в отказоустойчивый кластер. В этом случае вам необходимо сначала выполнить разборку отказоустойчивого кластера, затем изменить количество ядер на всех нужных устройствах и перезагрузить их, после чего пересобрать кластер.

Чтобы изменить количество ядер общего назначения:

1. Выполните вход на устройство Kaspersky NGFW.
2. Перейдите в подменю настройки выделения ядер:

   system linux-cores

3. С помощью команды cores укажите нужное число ядер общего назначения:

   system linux-cores> cores <число ядер общего назначения>

4. Примените новые параметры на устройстве:

   commit

   config save

5. Перезагрузите устройство, чтобы изменения вступили в силу.

После перезагрузки устройства асинхронные задачи безопасности и управления задачи будут выполняться с учетом указанного количества ядер общего назначения.

Вы можете просмотреть текущее распределение ядер с помощью команды health show или show health. В выведенном отчете о состоянии компонентов системы используемые ядра перечислены в свойстве ngfw-health:health.probes.cpu-cores-usage. Тип ядра указан в свойстве load-type:

• "load-type": "VPP" – ядра плоскости передачи данных;
• "load-type": "Management and security tasks" – ядра общего назначения.

Пример вывода команд:

ngfw> show health

{

"ngfw-health:health": {

"probes": {

"cpu-cores-usage": [

{

"core-id": 0,

"load-type": "Management and security tasks",

"core-usage": "0.0"

},

{

"core-id": 1,

"load-type": "Management and security tasks",

"core-usage": "0.0"

},

{

"core-id": 2,

"load-type": "VPP",

"core-usage": "0.01"

},

{

"core-id": 3,

"load-type": "VPP",

"core-usage": "1.14"

},

{

"core-id": 4,

"load-type": "VPP",

"core-usage": "2.38"

},

{

"core-id": 5,

"load-type": "VPP",

"core-usage": "2.43"

},

{

"core-id": 6,

"load-type": "VPP",

"core-usage": "2.52"

},

{

"core-id": 7,

"load-type": "VPP",

"core-usage": "2.37"

}

],

...

Пороговые значения для изменения количества ядер общего назначения в зависимости от модели Kaspersky NGFW