هیچ محصولی در سبد خرید نیست
علت کندی اینترنت در Sophos XGS چیست؟ آموزش عیب‌یابی و رفع افت سرعت
7 دقیقه مطالعه
SOPHOS XGS | SFOS | NETWORK TROUBLESHOOTING
چرا اینترنت با Sophos XGS کند می‌شود؟ عیب‌یابی IPS، TLS Inspection و عملکرد شبکه
اگر اینترنت سازمان پس از نصب Sophos XGS یا فعال‌کردن قابلیت‌های امنیتی کند شده، لزوماً فایروال خراب نیست. محدودیت لینک، پردازش TLS، Policyها، تعداد Sessionها یا حتی یک مشکل در شبکه داخلی می‌تواند عامل افت سرعت باشد.
این راهنما برای مدیران شبکه‌ای نوشته شده که می‌خواهند بدون خاموش‌کردن دائمی سرویس‌های امنیتی، علت واقعی مشکل را پیدا کنند.
IPSبازرسی تهدیدات
TLSبررسی HTTPS
CPUمنابع پردازشی
SFOSلاگ و عیب‌یابی
پاسخ سریع: چرا سرعت اینترنت بعد از نصب Sophos کاهش می‌یابد؟
افت سرعت می‌تواند ناشی از فعال بودن IPS و SSL/TLS Inspection، پردازش زیاد توسط CPU، محدودیت پهنای باند، Traffic Shaping، خطای Interface، Policy نامناسب یا مشکلات ISP باشد. برای تشخیص درست باید سرعت و وضعیت ترافیک را در چند نقطه مقایسه کنید؛ تنها یک Speed Test مشخص نمی‌کند مشکل از فایروال است.
فایروال‌های Sophos XGS برای بازرسی ترافیک و ارائه سرویس‌های امنیتی سازمانی طراحی شده‌اند. بااین‌حال، فعال‌شدن چند قابلیت امنیتی به‌صورت هم‌زمان، حجم پردازش بیشتری نسبت به عبور ساده ترافیک ایجاد می‌کند.
موضوع مهم این است که اعداد Firewall Throughput در دیتاشیت، معادل سرعت تضمین‌شده با تمام قابلیت‌های امنیتی فعال نیستند. برای انتخاب صحیح دستگاه باید معیارهایی مانند Threat Protection و TLS Inspection را نیز بررسی کرد.
برای مقایسه مدل‌ها مقاله راهنمای انتخاب Sophos XGS 2100، 2300، 3100 و 3300 را مطالعه کنید. در این مقاله تمرکز ما بر پیدا کردن دلیل کندی یک شبکه واقعی است.
اول مشخص کنید کدام نوع کندی اینترنت اتفاق افتاده است
همه کاربران کندی دارند
ISP، سرعت WAN، اشباع پهنای باند، منابع فایروال و Interfaceهای شبکه را بررسی کنید.
فقط یک گروه یا VLAN مشکل دارد
Firewall Rule، Traffic Shaping، Routing، Policy مرتبط و تجهیزات همان VLAN را بررسی کنید.
فقط بعضی سایت‌ها کند یا بازنمی‌شوند
خطاهای TLS، HTTPS Decryption، Web Filter، Certificate، DNS و MTU را بررسی کنید.
فقط کاربران VPN کندی دارند
مسیر دوطرفه، بار تونل، ظرفیت VPN، کیفیت لینک، Packet Loss و سرعت Endpoint را بررسی کنید.
مرحله اول: آیا مشکل واقعاً از Sophos Firewall است؟
قبل از تغییر تنظیمات امنیتی، یک خط مبنا یا Baseline تهیه کنید. آزمون را در شرایط قابل مقایسه و ترجیحاً با یک کامپیوتر سیمی انجام دهید تا تأثیر Wi-Fi حذف شود.
روش پیشنهادی بررسی
۱. سرعت لینک WAN و قرارداد سرویس اینترنت را ثبت کنید.
۲. از یک کلاینت سیمی سالم، در ساعت مشخص، سرعت و تأخیر را اندازه بگیرید.
۳. نتیجه را با کلاینت دیگر و در صورت امکان با تست مجاز در سمت ISP مقایسه کنید.
۴. هنگام تست، نمودار CPU، Interface و پهنای باند Sophos را مشاهده کنید.
۵. با تغییر فقط یک متغیر، آزمون را تکرار کنید و نتیجه را ثبت کنید.
اگر سرعت LAN نیز پایین است، احتمال دارد مشکل به کابل، سوئیچ، Negotiation یا Endpoint مربوط باشد. وجود Sophos در مسیر به‌تنهایی دلیل قطعی نیست.
مرحله دوم: CPU و Interface را در Sophos XGS بررسی کنید
از پنل مدیریتی SFOS به بخش Diagnostics > System graphs بروید. میزان استفاده از CPU، حافظه و نمودارهای مرتبط با ترافیک را در زمان بروز مشکل بررسی کنید.
در بخش Interface Graphs می‌توانید نرخ ارسال و دریافت، Packet Drop و خطاهای رابط را مشاهده کنید. اگر Interface با خطا یا Drop غیرعادی همراه است، بررسی کابل، ماژول، پورت سوئیچ و تنظیمات Link ضروری است.
افزایش کوتاه‌مدت CPU همیشه نشانه کمبود ظرفیت نیست؛ مهم این است که آیا فشار پردازشی با زمان افت سرعت هم‌زمان رخ می‌دهد و در ساعات پرترافیک تکرار می‌شود یا خیر.
نکته درباره High CPU
در بعضی گزارش‌های Sophos، معیار CPU Idle نیز استفاده می‌شود. پایین بودن مداوم مقدار Idle می‌تواند نشانه فشار پردازشی باشد؛ اما تنها با دیدن یک عدد نباید درباره تعویض دستگاه تصمیم گرفت.
مرحله سوم: آیا IPS باعث افت سرعت اینترنت شده است؟
IPS یا Intrusion Prevention System بخشی از ترافیک را برای تشخیص حملات و رفتارهای مخرب بررسی می‌کند. هرچه حجم ترافیک و پیچیدگی بازرسی بیشتر باشد، نیاز پردازشی نیز تغییر می‌کند.
برای تشخیص تأثیر IPS ابتدا Rule مربوط به کاربر یا سرویس مشکل‌دار را شناسایی کنید. سپس Log Viewer و اطلاعات Rule را بررسی کنید تا مشخص شود آیا ترافیک به‌دلیل سیاست امنیتی مسدود شده یا فقط سرعت آن پایین آمده است.
اگر لازم است اثر IPS به‌طور موقت تفکیک شود، تنها در یک گروه آزمایشی با Source و Destination محدود، تحت مجوز مدیر امنیت و برای مدت کوتاه، Policy تستی بسازید. پس از آزمون بلافاصله سیاست امنیتی را به حالت قبلی برگردانید.
اشتباه خطرناک
برای افزایش سرعت، IPS و Web Protection را در تمام شبکه غیرفعال نکنید. یک تست محدود برای تشخیص علت با خاموش‌کردن دائمی حفاظت سازمان تفاوت دارد.
مرحله چهارم: SSL/TLS Inspection را بررسی کنید
امروزه بخش زیادی از ترافیک وب رمزگذاری شده است. Sophos می‌تواند طبق Policy، برخی ارتباطات HTTPS را رمزگشایی و بررسی کند. این قابلیت ارزش امنیتی دارد، اما ممکن است مصرف منابع را افزایش دهد یا با برنامه‌هایی که از Certificate Pinning استفاده می‌کنند ناسازگار باشد.
برای عیب‌یابی از مسیر Rules and policies > SSL/TLS inspection rules و بخش Log Viewer کمک بگیرید. همچنین خطاهای TLS در Control Center می‌توانند مقصدهای دارای مشکل را نشان دهند.
اگر فقط یک برنامه یا دامنه مشکل دارد، به‌جای غیرفعال‌کردن کلی Decryption، یک استثنای دقیق و محدود مطابق مستندات Sophos بررسی کنید. در صورت نیاز می‌توان برای مقصد مشخص، Rule با Action برابر Don’t decrypt تعریف کرد.
روش نامناسب
غیرفعال‌کردن کامل TLS Inspection برای تمام کاربران، بدون بررسی علت و سطح ریسک.
روش هدفمند
بررسی لاگ خطا، شناسایی مقصد و اعمال استثنای حداقلی برای سرویس دارای ناسازگاری تأییدشده.
مرحله پنجم: از Log Viewer و Packet Capture استفاده کنید
اگر هنوز علت روشن نیست، باید بررسی کنید که ترافیک به کدام Rule برخورد می‌کند و آیا در مسیر Drop یا Reset رخ می‌دهد.
Log Viewer: از قسمت Log Viewer ماژول مرتبط را انتخاب و براساس IP کاربر، مقصد، زمان رخداد یا Firewall Rule فیلتر کنید. به وضعیت اتصال، Policy اعمال‌شده و خطای امنیتی توجه کنید.
Packet Capture: از بخش Diagnostics > Packet capture، با فیلتر محدود به IP و پورت موردنظر نمونه ترافیک بگیرید. داده‌های Captured می‌توانند برای بررسی مرحله ارتباط و Policy مؤثر مفید باشند.
توجه داشته باشید عملیات Capture ممکن است بر مسیر پردازش و عملکرد ترافیک اثر بگذارد. بنابراین در شرایط کنترل‌شده اجرا شود و نبود Packet در یک Capture را به‌تنهایی دلیل عبورنکردن ترافیک ندانید.
فایل Capture و لاگ‌ها ممکن است شامل IP، دامنه یا اطلاعات حساس سازمان باشند؛ قبل از ارسال برای پشتیبانی، اطلاعات را طبق سیاست امنیتی سازمان محافظت کنید.
مرحله ششم: Traffic Shaping و مصرف واقعی پهنای باند را بررسی کنید
گاهی Sophos کند نیست، بلکه پهنای باند به‌وسیله یک Policy یا مصرف سنگین کاربران محدود شده است.
از گزارش‌های ترافیکی و ابزار Traffic Insight برای تشخیص کاربران، برنامه‌ها و مقصدهای پرترافیک استفاده کنید. دانلودهای هم‌زمان، بکاپ ابری، انتقال فایل حجیم یا سرویس‌های ویدئویی ممکن است باعث اشباع لینک شوند.
اگر QoS یا Traffic Shaping فعال است، محدودیت‌های تعریف‌شده را بررسی کنید؛ مخصوصاً زمانی که فقط یک VLAN، یک کاربر یا یک نوع ترافیک دچار افت سرعت است.
چرا سایت‌ها با فعال بودن SSL Inspection باز نمی‌شوند؟
اگر برخی وب‌سایت‌ها خطای Certificate، Reset شدن Connection یا Timeout نشان می‌دهند، لزوماً مسئله کاهش Throughput نیست.
ابتدا ساعت سیستم، DNS، گواهی CA نصب‌شده روی دستگاه کلاینت، سیاست Decryption، نوع برنامه و خطاهای TLS را بررسی کنید. برای سرویس‌های دارای Certificate Pinning ممکن است استثنای محدود لازم باشد.
یک استثنای وسیع برای همه دامنه‌ها راهکار مناسبی نیست. Sophos توصیه می‌کند در سناریوی مناسب، از URL Group و Rule اختصاصی Don’t decrypt استفاده شود تا مقصدهای استثناشده محدود و قابل مدیریت باقی بمانند.
آیا Xstream FastPath همیشه ترافیک را سریع‌تر می‌کند؟
معماری Xstream در خانواده Sophos XGS برای پردازش بهینه برخی جریان‌های واجد شرایط طراحی شده است، اما تمام ترافیک‌ها در تمام شرایط به یک شکل شتاب‌دهی نمی‌شوند.
نوع Rule، وضعیت Inspection، قابلیت‌های فعال، نسخه SFOS و شرایط پردازش ترافیک بر نتیجه اثر دارند. بنابراین نباید فرض کرد چون دستگاه از معماری Xstream استفاده می‌کند، فعال‌کردن همه سرویس‌های امنیتی هیچ اثری بر عملکرد نخواهد داشت.
برای قضاوت درباره ظرفیت واقعی، بار کاری سازمان را با معیارهای مناسب در دیتاشیت و عملکرد اندازه‌گیری‌شده شبکه مقایسه کنید.
چه زمانی باید Sophos XGS 2100 را به مدل بالاتر ارتقا داد؟
اگر پس از رفع مشکلات ISP، Interface، Policy و نرم‌افزار، دستگاه همچنان در ساعات اوج تحت بار پردازشی بالا قرار می‌گیرد، لازم است ظرفیت فایروال بازبینی شود.
XGS 2100 / 2300
برای پروژه‌هایی که در محدوده ظرفیت این مدل‌ها قرار دارند. تفاوت آن‌ها را بر مبنای بار IPS، VPN و TLS بررسی کنید.
XGS 3100 / 3300
برای سناریوهای دارای ترافیک هم‌زمان و بازرسی سنگین‌تر، با محاسبه ظرفیت واقعی و حاشیه رشد.
انتخاب مدل صرفاً با تعداد کاربران دقیق نیست. برای مثال ممکن است سازمانی با کاربران کمتر، TLS Inspection و VPN سنگین‌تری نسبت به سازمانی پرکاربر داشته باشد.
برای بررسی مدل‌های مختلف به صفحه خرید Sophos XGS فرابرد تک و برای بررسی ظرفیت‌ها به مقایسه تخصصی مدل‌های XGS مراجعه کنید.
چک‌لیست ۱۰ مرحله‌ای رفع کندی Sophos XGS
☐ نوع کندی و کاربران تحت‌تأثیر مشخص شده‌اند.
☐ سرعت ISP و لینک WAN بررسی شده است.
☐ تست با کلاینت سیمی انجام شده است.
☐ CPU و حافظه دستگاه هنگام افت سرعت ثبت شده‌اند.
☐ Interface Errors و Packet Drops بررسی شده‌اند.
☐ Firewall Rule و NAT مربوط به ترافیک مشخص شده‌اند.
☐ IPS، Web Filter و TLS Inspection بررسی شده‌اند.
☐ Log Viewer و در صورت نیاز Packet Capture تحلیل شده‌اند.
☐ Traffic Shaping و مصرف پهنای باند کنترل شده‌اند.
☐ پس از اصلاح، سرعت و امنیت مجدداً آزمایش شده‌اند.
سؤالات متداول
جمع‌بندی؛ قبل از خرید فایروال قوی‌تر، علت افت سرعت را پیدا کنید
کندی اینترنت در Sophos XGS همیشه به معنی ضعیف بودن سخت‌افزار نیست. ممکن است یک Rule، مشکل TLS، خطای Interface، محدودیت لینک یا مصرف غیرمنتظره ترافیک عامل اصلی باشد.
برای رفع اصولی مشکل، ابتدا وضعیت شبکه و منابع دستگاه را ثبت کنید، سپس با Log Viewer و آزمون‌های کنترل‌شده علت را جدا کنید. اگر بعد از اصلاح مشکلات هنوز ظرفیت کافی وجود ندارد، آن زمان ارتقای مدل منطقی خواهد بود.
FARABORD TECH | SOPHOS XGS
انتخاب فایروال متناسب با بار واقعی شبکه
برای بررسی ظرفیت Sophos XGS 2100، 2300، 3100 و 3300، سرعت اینترنت، سرویس‌های امنیتی فعال، تعداد ارتباطات و رشد شبکه باید در کنار هم ارزیابی شوند.
مشاوره خرید: 02191097707
دیدگاه ها برای این نوشته بسته می باشد