هیچ محصولی در سبد خرید نیست
رفع Conserve Mode در FortiGate؛ عیب‌یابی RAM و قطعی شبکه
5 دقیقه مطالعه
FORTINET | FORTIGATE TROUBLESHOOTING
Conserve Mode در FortiGate چیست؟ عیب‌یابی مصرف بالای RAM بدون تضعیف امنیت
وقتی فایروال فورتی‌گیت به محدودیت حافظه نزدیک می‌شود، ممکن است برخی ارتباط‌ها برقرار نشوند، بازرسی امنیتی تغییر کند یا هشدار Memory Conserve Mode ظاهر شود. این راهنما از تشخیص وضعیت تا پیدا کردن علت و تصمیم ایمن برای رفع مشکل پیش می‌رود.
88%
آستانه پیش‌فرض ورود
آستانه پیش‌فرض ورود
82%
آستانه پیش‌فرض خروج
آستانه پیش‌فرض خروج
95%
آستانه پیش‌فرض Extreme
آستانه پیش‌فرض Extreme
پاسخ سریع: Conserve Mode یعنی چه؟
Conserve Mode یک وضعیت حفاظتی در FortiOS است که هنگام فشار شدید حافظه فعال می‌شود. دستگاه برای حفظ پایداری، رفتار پذیرش Session و بعضی موتورهای بازرسی را طبق تنظیمات امنیتی تغییر می‌دهد. این وضعیت معادل خرابی قطعی سخت‌افزار یا الزام به ریبوت نیست؛ ابتدا باید وضعیت واقعی حافظه و پردازش‌های مصرف‌کننده بررسی شود.
مدیر شبکه ممکن است این مشکل را با «کندی اینترنت»، «قطع‌و‌وصل شدن VPN»، «باز نشدن سایت‌ها» یا «کار نکردن برخی Policyها» اشتباه بگیرد. در واقع Conserve Mode یک نشانه است، نه تشخیص علت. ممکن است مصرف حافظه ناشی از بار عادی بالاتر از ظرفیت دستگاه، رشد تعداد Sessionها، یک پردازش خاص یا اشکال شناخته‌شده نسخه FortiOS باشد.
نشانه‌های Conserve Mode در فورتی‌گیت
هشدار در GUI
نمایش بنر مربوط به حافظه و ثبت رخداد ورود یا خروج از Conserve Mode در System Events.
اختلال ارتباطی
برخی Sessionهای جدید یا ترافیک نیازمند بازرسی ممکن است رد شوند؛ رفتار دقیق به نوع Inspection و تنظیمات Fail-open وابسته است.
مصرف RAM غیرعادی
حافظه به‌طور پیوسته بالا می‌ماند یا در زمان اوج مصرف، جهش‌های تکراری دارد.
اول وضعیت را با ۵ دستور امن CLI ثبت کنید
قبل از تغییر Policy یا ریبوت، با دسترسی مدیریتی مناسب وارد CLI شوید. دستورهای زیر برای مشاهده و جمع‌آوری شواهد هستند، نه تغییر تنظیمات. خروجی‌ها را همراه با ساعت رخداد و نسخه FortiOS ذخیره کنید.
get system status
get system performance status
diagnose hardware sysinfo conserve
diagnose sys top 5 20
diagnose sys session full-stat
get system performance status
diagnose hardware sysinfo conserve
diagnose sys top 5 20
diagnose sys session full-stat
در خروجی diagnose hardware sysinfo conserve مقدار on/off و آستانه‌های واقعی دستگاه را ببینید. در diagnose sys top با کلید m پردازش‌ها را بر اساس مصرف حافظه مرتب کنید و با q خارج شوید. تعداد Sessionها را با خط مبنای روزهای عادی مقایسه کنید؛ زیاد بودن عدد Session به‌تنهایی علت را اثبات نمی‌کند.
نکته عملی
اگر GUI کند یا غیرقابل‌دسترس است، رخدادهای Conserve Mode را از CLI و لاگ‌های مرکزی بررسی کنید. تغییر یا Restart یک پردازش بدون شناخت وابستگی‌های آن می‌تواند اختلال را شدیدتر کند.
آستانه‌های Red، Green و Extreme چه تفاوتی دارند؟
در مستندات FortiOS 7.6، مقادیر پیش‌فرض حافظه برای ورود به Conserve Mode برابر ۸۸٪ (Red)، برای خروج از آن ۸۲٪ (Green) و برای شرایط شدید ۹۵٪ (Extreme) ذکر شده‌اند. این اعداد قابل پیکربندی‌اند و در همه دستگاه‌ها الزاماً مقدار فعلی نیستند. آستانه Green پایین‌تر از Red است تا سیستم با نوسان کوچک حافظه مدام بین دو وضعیت جابه‌جا نشود.
Red — ورود
وقتی مصرف حافظه به حد تعیین‌شده برسد، دستگاه وارد وضعیت حفاظت حافظه می‌شود.
Green — خروج
وقتی مصرف به زیر این حد کاهش یابد، FortiOS می‌تواند از Conserve Mode خارج شود.
Extreme — بحرانی
در این محدوده، پذیرش Sessionهای جدید ممکن است متوقف شود؛ تأخیر در عیب‌یابی خطرناک است.
راه‌حل اشتباه: افزایش دستی آستانه Red برای مخفی کردن هشدار. این کار حافظه فیزیکی اضافه نمی‌کند و ممکن است فرصت واکنش را کمتر کند. تغییر آستانه‌ها فقط پس از تحلیل ظرفیت و با طرح تغییر تأییدشده انجام شود.
آیا Conserve Mode امنیت فایروال را کاهش می‌دهد؟
پاسخ کوتاه این است: بسته به تنظیمات، ممکن است رفتار بازرسی تغییر کند. در Proxy Inspection، گزینه av-failopen تعیین می‌کند ترافیک مرتبط با پروکسی در کمبود حافظه عبور کند یا متوقف شود. در Flow Inspection نیز تنظیمات Fail-open موتور IPS تعیین‌کننده‌اند. بنابراین «اینترنت وصل است» الزاماً به معنی «تمام بازرسی‌های امنیتی برقرارند» نیست.
هشدار مهم برای شبکه عملیاتی
برای رفع فوری اختلال، AV یا IPS را کورکورانه خاموش نکنید و Fail-open را بدون تأیید مسئول امنیت تغییر ندهید. انتخاب بین دسترس‌پذیری و سطح بازرسی باید براساس ریسک سرویس، سیاست سازمان و مستندات نسخه FortiOS انجام شود.
علت مصرف بالای RAM در FortiGate را چطور پیدا کنیم؟
به‌جای یک نسخه ثابت برای همه مدل‌ها، نتایج را در چهار سناریو دسته‌بندی کنید:
01 / رشد Session
اگر تعداد ارتباطات هم‌زمان نسبت به خط مبنا جهش کرده، منبع ترافیک، برنامه‌ها و احتمال رفتار غیرعادی را بررسی کنید. صرفاً Sessionها را پاک نکنید.
02 / پردازش پرمصرف
اگر پردازشی مانند WAD یا موتورهای امنیتی در خروجی Top برجسته است، با نسخه FortiOS، نوع Inspection و Known Issues تطبیق دهید؛ نام پردازش به‌تنهایی اثبات Memory Leak نیست.
03 / تغییر پس از آپدیت
اگر مشکل دقیقاً پس از ارتقای FortiOS شروع شده، Build، Release Notes و مسیر Upgrade را بررسی کنید؛ بدون بکاپ و برنامه بازگشت نسخه عوض نکنید.
04 / محدودیت ظرفیت
اگر در ساعات شلوغ مصرف به‌طور مداوم بالا می‌رود، ظرفیت واقعی دستگاه را با SSL Inspection، VPN، IPS و رشد شبکه مقایسه کنید.
در نسخه‌های جدیدتر FortiOS برخی بهینه‌سازی‌های حافظه برای مدل‌های کم‌حافظه منتشر شده است؛ اما این موضوع به معنی مناسب بودن یک نسخه برای تمام مدل‌ها نیست. سازگاری سخت‌افزار و مسیر ارتقا باید از مستندات همان مدل بررسی شود.
نقشه تصمیم برای رفع مشکل، بدون آزمون‌وخطای خطرناک
چه زمانی به ارتقای مدل FortiGate فکر کنیم؟
اگر پس از اصلاح تنظیمات و رفع اشکالات نسخه، مصرف حافظه در بار کاری عادی همچنان به آستانه بحرانی نزدیک است، مشکل ممکن است از کمبود ظرفیت واقعی باشد. در این حالت خرید مدل جدید باید بر اساس مصرف RAM، تعداد Sessionهای هم‌زمان، New Sessions/s، SSL Inspection، IPS، VPN و رشد سه‌ساله شبکه انجام شود؛ نه صرفاً تعداد کاربران.
برای بررسی خانواده محصولات به صفحه خرید تجهیزات Fortinet مراجعه کنید. مدل‌های FortiGate FG-70G، FG-90G و FG-100F فقط پس از بررسی ظرفیت واقعی و پشتیبانی نسخه FortiOS قابل مقایسه‌اند.
اگر برای رفع مشکل به ارتقای Firmware نیاز دارید، مقاله آرشیو Firmware و راهنمای آپدیت FortiGate 100F را به‌عنوان راهنمای مکمل ببینید؛ وجود یک فایل در آرشیو به معنی مناسب بودن آن برای دستگاه شما نیست. برای آشنایی با سرویس‌های امنیتی نیز راهنمای لایسنس FortiGuard مرتبط است.
پرسش‌های پرتکرار مدیران شبکه
جمع‌بندی
برای رفع Conserve Mode در FortiGate، اول باید وضعیت واقعی حافظه، Sessionها، پردازش‌ها و رخدادهای سیستم ثبت شود. سپس علت را از میان بار کاری، تنظیمات، مشکل نسخه یا کمبود ظرفیت پیدا کنید. هدف صرفاً خاموش شدن هشدار نیست؛ هدف بازگشت پایداری شبکه بدون کاهش کنترل‌های امنیتی است.
FARABORD TECH | NETWORK SECURITY
انتخاب ظرفیت مناسب فایروال سازمانی
برای بررسی مدل مناسب FortiGate، نوع ترافیک، سرویس‌های امنیتی و رشد شبکه را پیش از استعلام تجهیز مشخص کنید.
تلفن مشاوره فروش: 02191097707
منابع رسمی و نکته نسخه
مبنای فنی این راهنما مستندات رسمی Fortinet در شاخه FortiOS 7.6 است. جزئیات بعضی دستورها و ویژگی‌ها می‌توانند بسته به مدل و Build متفاوت باشند؛ پیش از تغییر عملی، مستندات همان نسخه را بخوانید.
دیدگاه ها برای این نوشته بسته می باشد