Performance Optimierung für virtualisierte Checkpoint Systeme

Bei neu aufgesetzten Checkpoint Systemen auf Linux Basis sind einige Default Einstellungen nicht optimal, insbesondere was das Storage Handling angeht.

Der Checkpoint KB Artikel sk104848 gibt dazu nähere Auskunft, die Silver Bullet ist das Anpassen von Queue Tiefe und ausstehenden IO Requests.

echo "256" > /sys/block/sda/queue/nr_requests
echo "128" > /sys/block/sda/device/queue_depth

Das Ergebnis kann sich sehen lassen, die erzeugten IO gehen deutlich zurück, da der Hypervisor jetzt einzelne IOs des Gastsystems zusammenfassen kann. Die Policy Installation geht deutlich schneller.

Außerdem empfiehlt des sich, die Art des Schedulers anzupassen:

echo noop > /sys/block/sda/queue/scheduler

Die Einstellungen wirken sofort, sind aber nicht rebootfest, das heißt am besten in die /etc/rc.local eintragen.


ACHTUNG: sollte sich der Wert queue_depth nicht erhöhen lassen (mit  cat /sys/block/sda/device/queue_depth kontrollieren liegt das an einem ungeeigneten virtual SCSI Adapter. In dem Fall diesen ggf. ändern.

Reverse Tunnel mit ngrok

Heute habe ich ngrok (http://www.ngrok.com) kennen gelernt, ein kleines Werkzeug um schnell einen Remote Tunnel aufzubauen, um einen lokal im LAN laufenden Dienst (hinter einer Firewall/NAT Device) aus dem Internet erreichbar zu machen.

Dieses Bild beschreibt das am besten:

Passwörter von Checkpoint Gateways zurücksetzen, ohne physischen Zugang zum Gerät

Manchmal vergisst (oder verlegt) man doch mal ein Passwort. Das ist recht ärgerlich, da man dann physischen Zugang zu den Geräten braucht.

Im Falle von Checkpoint Firewalls ist das zurücksetzen von Passwörtern aller Gateways aber ein leichtes, solang die Gateways noch einem zentralen Management unterstehen.
Von diesem aus ist es möglich, Befehle direkt auf den Gateways auszuführen, ohne sich an denen nochmal extra authentifizieren zu müssen - man hat ja die SIC (secure internal comunication).

Bei Gaia Plattformen erfolgt der Reset wie folgt:

1. Zuerst generieren wir uns den Hash eines neuen Passworts. Das Tool fragt nach einem Passwort, und liefert genau diesen Hash

[ Expert@HostName]# /sbin/grub-md5-crypt

2. Dann stellen wir sicher, das die Konfigurationsdatenbank schreibbar ist.

[Expert@HostName]# $CPDIR/bin/cprid_util -server -verbose rexec -rcmd /bin/clish -s -c ‘set config-lock on override’

3. Zum Schluss ändern wir das admin Passwort mit folgendem Befehl:

[Expert@HostName]# $CPDIR/bin/cprid_util -server -verbose rexec -rcmd /bin/clish -s -c ‘set user admin password-hash [Password_Hash_aus _Schritt_1]’

4. Das Ganze geht auch für den Expert Modus

[Expert@HostName]# $CPDIR/bin/cprid_util -server -verbose rexec -rcmd /bin/clish -s -c ‘set expert-password-hash [Password_Hash_aus _Schritt_1]’

Bei den 1100 Appliances mit GAIA Embedded funktioniert das zurücksetzen etwas anders, Hier wird bei vorhandenem Expert Mode Passwort eine Datei angelegt, die sich mit dem Remote Befehl weglöschen lässt:

$CPDIR/bin/cprid_util -server 80.153.57.248 -verbose rexec -rcmd /bin/bash -c 'rm /pfrm2.0/config1/expert_pass_'

Danach kann das Expert Mode Passwort neu gesetzt werden.

SimpliVity Omnicube - Auf welchem Knoten liegt die Maschine?

Sobald man mehr als zwei OmniCube Knoten in einem Cluster hat stellt sich die Frage, auf welchem der Knoten eine virtuelle Maschine physisch liegt. Es gibt immer zwei OmniCubes, auf denen die virtuelle Maschine abgelegt ist.

Welche das sind, findet man über die Kommandozeile eines beliebigen Omnicubes raus:

svt-vm-show --output xml | xmlstarlet sel -T -t -m /CommandResult/VM -s A:T:U "name" -v "concat (platformName,'|',owner,'|',replicaSet)" -n |awk 'BEGIN {FS = "|"} ; {printf "%s\n Owner:  %s\n   Replicas: %s\n",$1,$2,$3; }' | sed `svt-federation-show --output xml |xmlstarlet sel -T -t -m /CommandResult/Node -s A:T:U "hostName" -v "concat ('s/',id,'/',hostName,'/g;')"` | grep -A 2 [VM Name]

Beziehungsweise, wenn von Interesse ist welcher Host welche VM's beinhaltet:

svt-vm-show --output xml | xmlstarlet sel -T -t -m /CommandResult/VM -s A:T:U "name" -v "concat (platformName,'|',owner,'|',replicaSet)" -n |awk 'BEGIN {FS = "|"} ; {printf "%s\n Owner:  %s\n   Replicas: %s\n",$1,$2,$3; }' | sed `svt-federation-show --output xml |xmlstarlet sel -T -t -m /CommandResult/Node -s A:T:U "hostName" -v "concat ('s/',id,'/',hostName,'/g;')"` | grep -B 2 [Hostname]

Checkpoint Smart Event bekommt keine Events mehr

Manchmal kommt es vor, das Smart Event keine neuen Events mehr bekommt. Logfiles erreichen den Smart Event Server, kommunikation geht, alle Dienste laufen, aber Smart Event bleibt leer.

Dann ist manchmal die Event Queue voll:

# ls -l $RTDIR/distrib/* | wc -l

Wenn dort mehr als 10 - 15 Files drin sind, dann hilft es diesen Ordner zu leeren.

# evstop

# cd $RTDIR/distrib/ (Starts with "{" ) # rm --r * # evstart