08CoreXL — Affinity와 성능 튜닝CoreXL — Affinity와 성능 튜닝

CoreXL을 켜면 방화벽 검사 작업이 여러 개의 CoreXL Firewall 인스턴스 로 복제되어 여러 CPU 코어에서 병렬로 돕니다. R82는 IPv4용 인스턴스와 IPv6용 인스턴스를 각각 따로 설정할 수 있고, 한 CPU 코어에서 IPv4 인스턴스와 IPv6 인스턴스를 함께 돌릴 수도 있습니다.

인스턴스 개수 규칙

R82 Gaia Administration Guide를 따라 Security Gateway / Scalable Platform Security Group에서 Gaia IPv6 지원을 켠 다음, CPU 코어에 IPv4·IPv6 CoreXL Firewall 인스턴스를 어떻게 조합해 돌릴지 정합니다. 이때 지켜야 할 상·하한 규칙 이 있습니다.

  2 <= (Number of IPv4 CoreXL Firewall instances) <= (Total Number of CPU cores)
  

  2 <= (Number of IPv6 CoreXL Firewall instances) <= (Total Number of IPv4 CoreXL Firewall instances)
  

  (Number of IPv4 CoreXL Firewall instances) + (Number of IPv6 CoreXL Firewall instances) <= 40
  

IPv4 인스턴스 개수 바꾸기

cpconfig

재부팅 명령은 환경에 따라 다릅니다.

# Security Gateway(각 Cluster Member)
reboot

# Scalable Platform Security Group — Gaia gClish
reboot

# Scalable Platform Security Group — Expert mode
g_reboot -a

IPv6 인스턴스 개수 바꾸기

절차는 IPv4와 거의 같고, 메뉴에서 2 (Change the number of IPv6 firewall instances) 를 고르는 점만 다릅니다.

예시 — 4코어 게이트웨이의 CoreXL 구성

CPU 코어가 4개인 Security Gateway를 예로 듭니다. 기본 상태에서는 IPv4 인스턴스 3개, IPv6 인스턴스 2개 가 다음처럼 배치됩니다. 인스턴스 이름은 fw4_(IPv4), fw6_(IPv6)이고, 번호가 큰 CPU부터 채워진다는 점에 주목하세요(CPU 0은 보통 SND·트래픽 수신용으로 비워 둡니다).

여기서 IPv4는 최소 2 ~ 최대 4개, IPv6는 최소 2 ~ 최대 3개(=현재 IPv4 수)까지 가능합니다. IPv6를 4개로 늘리려면, 먼저 IPv4를 최대 4개로 늘리고 재부팅 해야 합니다. cpconfig에서 1을 골라 IPv4를 4개로 바꾸는 화면은 이렇습니다.

CoreXL is currently enabled with 3 IPv4 firewall instances and 2 IPv6 firewall instances.
(1) Change the number of firewall instances
(2) Change the number of IPv6 firewall instances
(3) Disable Check Point CoreXL
(4) Exit
Enter your choice (1-4) : 1
How many IPv4 firewall instances would you like to enable (2 to 4) [3] ? 4
CoreXL was enabled successfully with 4 firewall instances.
Important: This change will take effect after reboot.

재부팅 후 구성은 이렇게 바뀝니다 — IPv4 인스턴스 fw4_3이 CPU 0에 추가됩니다.

이제 IPv6를 4개로 늘리고 다시 재부팅합니다. 2를 골라 IPv6 인스턴스를 4개로 바꿉니다.

CoreXL is currently enabled with 4 IPv4 firewall instances and 2 IPv6 firewall instances.
(1) Change the number of firewall instances
(2) Change the number of IPv6 firewall instances
(3) Disable Check Point CoreXL
(4) Exit
Enter your choice (1-4) : 2
How many IPv6 firewall instances would you like to enable (2 to 4)[2] ? 4
CoreXL was enabled successfully with 3 IPv6 firewall instances.
Important: This change will take effect after reboot.

재부팅 후, 4개 CPU 코어 모두가 IPv4·IPv6 인스턴스를 함께 돌리는 모습이 됩니다.

Affinity(친화성) 는 인터페이스·프로세스·CoreXL Firewall 인스턴스를 특정 CPU 코어에 고정 하는 설정입니다. SND가 도는 코어와 FW 인스턴스가 도는 코어를 나눠, 트래픽 수신·분배와 검사가 서로 다른 코어에서 효율적으로 돌게 합니다.

fwaffinity.conf 구성 파일

CoreXL affinity는 $FWDIR/conf/fwaffinity.conf 평문 파일 로 제어합니다. 부팅 때 $FWDIR/scripts/fwaffinity_apply 스크립트가 이 파일대로 인터페이스 affinity를 적용 합니다. affinity 설정을 바꾸면 재부팅하거나, 그 스크립트를 수동 실행 해야 적용됩니다. 관련해서 모든 User Space 프로세스의 affinity를 한 번에 잡는 taskset_us_all 스크립트도 참고하세요.

파일의 각 줄은 모두 같은 형식을 씁니다.

<Type> <ID> <CPU_ID>

각 필드의 의미는 다음과 같습니다.

이 파일의 기본 구성은 한 줄 입니다.

i default auto

가능한 조합을 형식으로 정리하면 이렇습니다.

# 인터페이스의 affinity
i <Name of Interface> {<CPU ID Number> | all | ignore | auto}
i default {<CPU ID Number> | all | ignore | auto}

# Check Point 데몬의 affinity
n <Name of Daemon> {<CPU ID Number> | all | ignore | auto}

# CoreXL Firewall 인스턴스의 affinity
k <ID of CoreXL Firewall instance> {<CPU ID Number> | all | ignore | auto}

모든 인터페이스의 IRQ를 보려면 다음을 실행합니다.

# Security Gateway(각 Cluster Member) — Gaia Clish / Expert mode
fw ctl affinity -l -v -a

# Scalable Platform Security Group — Gaia gClish
fw ctl affinity -l -v -a

# Scalable Platform Security Group — Expert mode
g_fw ctl affinity -l -v -a

fwaffinity_apply 스크립트

이 셸 스크립트는 부팅 때 자동으로 실행되어 affinity를 적용합니다. 설정을 바꾼 뒤 재부팅 없이 즉시 반영 하고 싶을 때 수동으로 실행합니다.

# Security Gateway(각 Cluster Member) — Expert mode
$FWDIR/scripts/fwaffinity_apply <Parameter>

# Scalable Platform Security Group — Expert mode
g_all $FWDIR/scripts/fwaffinity_apply <Parameter>

파라미터는 두 가지입니다.

이 절은 CoreXL 성능을 환경에 맞게 미세 조정 하는 방법을 다룹니다.

처리용 CPU 코어 배분

CoreXL 구조의 핵심에는 SND(Secure Network Distributor) 가 있습니다. SND가 하는 일은 다음과 같습니다.

용어를 정리하면 — 특정 인터페이스를 특정 CPU 코어에 묶는 것이 인터페이스의 affinity 입니다. 이렇게 묶으면 그 인터페이스의 트래픽이 해당 코어로 흐르고, CoreXL SND도 그 코어에서 돕니다. 마찬가지로 특정 CoreXL Firewall 인스턴스를 특정 코어에 묶는 것이 인스턴스의 affinity, 특정 User Space 프로세스를 특정 코어에 묶는 것이 프로세스의 affinity 입니다.

모든 인터페이스의 기본 affinity는 Automatic 입니다. Automatic이 뜻하는 바는 SecureXL의 상태에 따라 다릅니다.

두 경우 모두, CoreXL Firewall 인스턴스가 도는 코어나, 다른 User Space 프로세스의 affinity로 지정된 코어는 "사용 불가" 로 보고, 인터페이스 affinity를 그런 코어에는 잡지 않습니다.

때로는 CoreXL Firewall 인스턴스·SND·기타 프로세스를 코어에 다시 나눠야 할 때가 있습니다(아래 절들). 이때는 NIC(인터페이스)나 프로세스의 affinity를 바꿉니다. CoreXL이 효율적으로 돌려면, 모든 인터페이스의 트래픽이 CoreXL Firewall 인스턴스가 돌지 않는 코어로 향해야 합니다. 그래서 인터페이스나 프로세스의 affinity를 바꾸면, 그에 맞춰 CoreXL Firewall 인스턴스 개수도 조정 하고, 인스턴스가 다른 코어에서 돌도록 확인해야 합니다.

하드웨어에 CPU 코어를 추가했을 때

컴퓨터의 처리용 CPU 코어 수를 늘려도, CoreXL Firewall 인스턴스 수가 자동으로 늘지는 않습니다. cpconfig 메뉴에서 직접 적절한 인스턴스 수를 설정 해야 합니다(인스턴스 개수 바꾸기 참고).

SND에 CPU 코어를 더 주기

기본 배분이 항상 최적은 아닙니다. SND 인스턴스 수가 들어오는 트래픽을 감당하기에 부족하고, 게이트웨이에 코어 여유가 있다면, CoreXL Firewall 인스턴스 수를 줄여서 SND에 코어를 더 줄 수 있습니다(인스턴스를 줄이면 그만큼의 코어가 SND용으로 자동 배정됩니다). 이런 상황은 트래픽 대부분이 SecureXL로 가속될 때 자주 생깁니다 — 이때는 SND의 일이 FW 인스턴스의 일에 비해 지나치게 무거워질 수 있습니다.

SND가 트래픽의 병목인지 확인하는 방법입니다.

# 1단계 — 인터페이스가 트래픽을 보내는 코어 확인
# Security Appliance — Gaia Clish / Expert mode
fw ctl affinity -l -r
# Scalable Platform — Gaia gClish
fw ctl affinity -l -r
# Scalable Platform — Expert mode
g_fw ctl affinity -l -r

# 2단계 — 부하 상태에서 idle 값 확인
# Security Appliance — Expert mode
top
# Scalable Platform — Expert mode
g_top

SND에 코어를 추가하는 절차입니다.

무거운 로깅을 위해 코어 하나 떼어 주기

게이트웨이가 아주 많은 로그를 생성 한다면, 로그를 만드는 fwd 데몬 에게 처리용 코어 하나를 전용으로 줄 만합니다.

fwd 데몬에 코어를 떼어 주는 절차입니다(Affinity 설정 참고).

7~13단계에 쓰는 명령들입니다.

# 7단계 — 코어별 역할 확인
fw ctl affinity -l -r              # 게이트웨이
g_fw ctl affinity -l -r            # Scalable Platform

# 8단계 — fwaffinity.conf 백업
cp -v $FWDIR/conf/fwaffinity.conf{,_BKP}      # 게이트웨이
g_cp -v $FWDIR/conf/fwaffinity.conf{,_BKP}    # Scalable Platform

# 9단계 — 편집
vi $FWDIR/conf/fwaffinity.conf

10단계에서 fwd 데몬을 특정 코어(예: CPU 2)에 묶는 줄을 추가합니다. 형식과 예시는 이렇습니다.

n fwd <CPU ID>

# 예 — fwd를 CPU 코어 #2에 묶기
n fwd 2

# 12단계 — (Scalable Platform) 멤버로 복사
asg_cp2blades $FWDIR/conf/fwaffinity.conf

# 13단계 — 즉시 적용
$FWDIR/scripts/fwaffinity_apply              # 게이트웨이
g_all $FWDIR/scripts/fwaffinity_apply        # Scalable Platform

# 13단계 — 나중에 적용(재부팅)
reboot                                       # 게이트웨이
g_reboot -a                                  # Scalable Platform

인터페이스의 affinity 설정

다시 말하지만, 인터페이스를 특정 코어에 묶으면 그 트래픽이 해당 코어로 흐르고 SND가 그 코어에서 돕니다. 게이트웨이(Security Group 멤버)는 부팅 때 $FWDIR/conf/fwaffinity.conf에서 인터페이스 affinity를 읽어 들이며, 그 파일에서 i로 시작하는 줄 이 인터페이스 affinity를 정의합니다.

작업 흐름입니다.

명시적으로 인터페이스 affinity를 설정하는 절차입니다.

예를 들어 eth0·eth1 트래픽은 CPU 코어 #0으로, eth2 트래픽은 CPU 코어 #1로 보내려면 이렇게 적습니다.

# Security Gateway(각 Cluster Member)
i eth0 0
i eth1 0
i eth2 1

# Scalable Platform Security Group
i eth1-05 0
i eth1-07 0
i eth1-09 1

또는 한 코어에만 인터페이스를 명시적으로 묶고, 나머지 인터페이스는 default로 다른 코어를 지정할 수도 있습니다.

i default <CPU ID>

예를 들어 eth2 트래픽만 CPU #1로, 나머지 모든 인터페이스 트래픽은 CPU #0으로 보내려면 이렇게 적습니다.

# Security Gateway(각 Cluster Member)
i eth2 1
i default 0

# Scalable Platform Security Group
i eth1-05 1
i default 0

4단계 적용 명령은 앞서와 같습니다($FWDIR/scripts/fwaffinity_apply / g_all ..., 또는 reboot / g_reboot -a).

CoreXL 인스턴스의 Dynamic Balancing

켜져 있으면 게이트웨이·클러스터 멤버·Security Group 멤버가 CoreXL Firewall·SND 인스턴스의 평균 CPU 사용률을 감시 하면서 FW 인스턴스 수를 자동으로 늘리거나 줄입니다. 이 일을 하는 Dynamic Balancing Daemon(dsd) 은 매 반복(iteration)마다 세 단계를 거칩니다.

CoreXL Firewall 인스턴스 추가 는 다음 조건이 모두 맞을 때만 가능합니다.

CoreXL SND 인스턴스 추가 는 FW 인스턴스 하나를 멈춰 다른 코어로 옮기는 변경으로, 다음 조건이 모두 맞을 때만 가능합니다.

Dynamic Balancing 명령

기능 켜기 — 켠 뒤에는 재부팅이 필요합니다.

# Gaia Clish (게이트웨이/각 클러스터 멤버)
set dynamic-balancing state enable
reboot

# Gaia gClish (Scalable Platform Security Group)
set dynamic-balancing state enable
reboot

# Expert mode
dynamic_balancing -o enable        # 게이트웨이
g_dynamic_balancing -o enable      # Scalable Platform
reboot                             # 게이트웨이
g_reboot -a                        # Scalable Platform

기능 멈추기(stop) — Dynamic Balancing을 "얼립니다".

# Gaia Clish
set dynamic-balancing state stop
# Gaia gClish
set dynamic-balancing state stop
# Expert mode
dynamic_balancing -o stop          # 게이트웨이
g_dynamic_balancing -o stop        # Scalable Platform

기능 시작하기(start) — stop된 것을 다시 시작합니다.

# Gaia Clish
set dynamic-balancing state start
# Gaia gClish
set dynamic-balancing state start
# Expert mode
dynamic_balancing -o start         # 게이트웨이
g_dynamic_balancing -o start       # Scalable Platform

기능 초기화(reset) — CoreXL 구성을 기본값으로 되돌리면서 Dynamic Balancing은 계속 켜 둡니다. disable 후 enable을 연달아 한 것과 같습니다.

# Gaia Clish
set dynamic-balancing state reset
# Gaia gClish
set dynamic-balancing state reset
# Expert mode
dynamic_balancing -r               # 게이트웨이
g_dynamic_balancing -r             # Scalable Platform

기능 끄기(disable)

# Gaia Clish
set dynamic-balancing state disable
reboot
# Gaia gClish
set dynamic-balancing state disable
reboot
# Expert mode
dynamic_balancing -o disable       # 게이트웨이
g_dynamic_balancing -o disable     # Scalable Platform
reboot                             # 게이트웨이
g_reboot -a                        # Scalable Platform

Dynamic Balancing 모니터링

상태를 CLI로 봅니다.

# Gaia Clish (게이트웨이)
show dynamic-balancing state
# Gaia gClish (Scalable Platform)
show dynamic-balancing state
# Expert mode
dynamic_balancing -p               # 게이트웨이
g_dynamic_balancing -p             # Scalable Platform

CPView 에서 상태 를 보려면 cpview 실행 후 위쪽에서 SysInfo 를 누르고 DS Status 필드를 봅니다 — On이면 켜짐, Off면 꺼짐입니다.

CPView 에서 성능 을 보려면 cpview 실행 후 위쪽에서 CPU > Overview > Host 로 가서 다음 두 구역을 봅니다.

CoreXL Firewall 인스턴스는 다음 명령으로 봅니다.

# Gaia Clish (게이트웨이)
fw ctl multik stat
# Gaia gClish (Scalable Platform)
fw ctl multik stat
# Expert mode
fw ctl multik stat                 # 게이트웨이
g_fw ctl multik stat               # Scalable Platform

CoreXL Affinity는 다음 명령으로 봅니다.

# Gaia Clish (게이트웨이)
fw ctl affinity -l -r -a
# Gaia gClish (Scalable Platform)
fw ctl affinity -l -r -a
# Expert mode
fw ctl affinity -l -r -a           # 게이트웨이
g_fw ctl affinity -l -r -a         # Scalable Platform

로그 파일도 확인할 수 있습니다.

CoreXL Firewall 모드 — User Space인가 Kernel Space인가

CoreXL Firewall 인스턴스는 커널에서 돌 수도, User Space에서 돌 수도 있습니다.

Firewall 모드를 바꾸는 절차입니다.

CoreXL을 다루는 CLI 명령은 종류가 많아 별도 파일 세 개로 정리했습니다.

정리하면, Affinity로 SND·FW 인스턴스를 코어에 적절히 나누고, Dynamic Balancing이나 수동 튜닝으로 병목에 맞춰 코어를 배분 하는 것이 CoreXL 성능 튜닝의 핵심입니다.

이 파일부터 세 부분에 걸쳐 CoreXL을 다루는 CLI 명령 을 빠짐없이 정리합니다. 명령·파라미터·옵션은 원문을 따라 가능하면 알파벳 순 으로 싣고, 명령·경로·파라미터는 영어 원문 그대로 둡니다. 앞선 Affinity와 성능 튜닝에서 이어집니다.

다른 명령 설명을 정확히 읽으려면 표기 약속을 먼저 알아야 합니다.

들여쓰기(TAB) 표기 예시입니다. 이렇게 쓰여 있으면,

    config
        -a <options>
        -d <options>
        -p
        -r
    del <options>

실제로는 아래 중 하나의 명령 을 실행하라는 뜻입니다 — cpwd_admin config -a <options>, cpwd_admin config -d <options>, cpwd_admin config -p, cpwd_admin config -r, 또는 cpwd_admin del <options>.

구문은 환경별로 같고, Scalable Platform Expert mode에서는 앞에 g_all을 붙입니다.

# Security Gateway / Cluster Member (Gaia Clish 또는 Expert mode), 그리고 Scalable Platform Security Group (Gaia gClish)
cp_conf corexl [-v] enable [n] [-6 k]      # n개의 IPv4(선택적으로 k개의 IPv6) 인스턴스로 켜기
cp_conf corexl [-v] disable                # 끄기

# Scalable Platform Security Group (Expert mode)
g_all cp_conf corexl [-v] enable [n] [-6 k]
g_all cp_conf corexl [-v] disable

관련 명령은 fwboot corexl입니다.

예시 — 현재 IPv4 인스턴스가 2개(KERN_INSTANCE_NUM = 2)인 게이트웨이를 3개로 바꿉니다.

[Expert@MyGW:0]# fw ctl multik stat
ID | Active | CPU | Connections | Peak
----------------------------------------------
0  | Yes    | 2   | 7           | 28
1  | Yes    | 1   | 0           | 11

[Expert@MyGW:0]# cat /etc/fw.boot/boot.conf
CTL_IPFORWARDING 1
DEFAULT_FILTER_PATH 0
KERN_INSTANCE_NUM 2
COREXL_INSTALLED 1
KERN6_INSTANCE_NUM 2
IPV6_INSTALLED 0
CORE_OVERRIDE 4

[Expert@MyGW:0]# cp_conf corexl -v enable 3
[Expert@MyGW:0]# cat /etc/fw.boot/boot.conf
...
KERN_INSTANCE_NUM 3
...
[Expert@MyGW:0]# reboot
.. ... ...
[Expert@MyGW:0]# fw ctl multik stat
ID | Active | CPU | Connections | Peak
----------------------------------------------
0  | Yes    | 3   | 7           | 28
1  | Yes    | 2   | 0           | 11
2  | Yes    | 1   | 4           | 10

cpconfig는 Check Point Configuration Tool 을 띄웁니다. 설치된 Check Point 제품의 여러 설정을 다루는 도구입니다.

게이트웨이·클러스터 멤버(Gaia Clish 또는 Expert mode)에서나, Scalable Platform Security Group(Gaia gClish 또는 Expert mode)에서나 명령은 같습니다.

cpconfig

예시 1 — 단독 게이트웨이의 메뉴입니다.

[Expert@MySingleGW:0]# cpconfig
This program will let you re-configure
your Check Point products configuration.
Configuration Options:
----------------------
(1) Licenses and contracts
(2) SNMP Extension
(3) PKCS#11 Token
(4) Random Pool
(5) Secure Internal Communication
(6) Enable cluster membership for this gateway
(7) Check Point CoreXL
(8) Automatic start of Check Point Products
(9) Exit
Enter your choice (1-9) :

예시 2 — 클러스터 멤버의 메뉴입니다(항목이 더 많아 번호가 다릅니다).

[Expert@MyClusterMember:0]# cpconfig
...
(1) Licenses and contracts
(2) SNMP Extension
(3) PKCS#11 Token
(4) Random Pool
(5) Secure Internal Communication
(6) Disable cluster membership for this gateway
(7) Enable Check Point Per Virtual System State
(8) Enable Check Point ClusterXL for Bridge Active/Standby
(9) Check Point CoreXL
(10) Automatic start of Check Point Products
(11) Exit
Enter your choice (1-11) :

CPView 는 Check Point 장비에 내장된 텍스트 기반 모니터링 유틸리티 입니다. CPU·메모리·디스크 같은 일반 시스템 정보와, (게이트웨이/ClusterXL/Security Group에서) 여러 Software Blade의 정보를 함께 보여 주고, 데이터를 계속 갱신 합니다. 자세한 내용은 sk101878 을 참고하세요.

cpview --help

CPView 화면 구성

CPView 키 조작

탐색용 키입니다.

화면 옵션을 바꾸는 키입니다.

통계 저장·도움말·갱신용 키입니다.

Check Point 어플라이언스에서 R80.40부터 재부팅 없이 CoreXL Firewall·SND 인스턴스 수를 바꾸는 Dynamic Balancing을 제어합니다. Expert mode의 dynamic_balancing과 Gaia Clish의 set dynamic-balancing state는 로컬 게이트웨이/클러스터 멤버 의 Dynamic Balancing을 다룹니다. 자세한 동작은 Dynamic Balancing 절을 보세요.

구문입니다.

# Gaia Clish / Gaia gClish (Scalable Platform)
set dynamic-balancing state {disable | enable | reset | start | stop}
show dynamic-balancing state

# Expert mode
dynamic_balancing {-o disable | -o enable | -o start | -o stop | -p | -r}
g_dynamic_balancing {-o disable | -o enable | -o start | -o stop | -p | -r}

예시입니다.

[Expert@MyGW:0]# dynamic_balancing -p
Dynamic Balancing is currently On

다음 파일에서 fw ctl multik 계열 명령으로 이어집니다.

CoreXL 명령 사전 (1)에서 이어집니다. 이 파일은 CoreXL Firewall 인스턴스를 다루는 fw ctl multik 계열 명령을 모두 정리합니다. 명령·파라미터·경로는 영어 원문 그대로 둡니다.

fw ctl multik(IPv4)과 fw6 ctl multik(IPv6)은 CoreXL을 제어 하는 명령입니다. 두 명령의 하위 명령은 동일합니다.

fw ctl multik
      add_bypass_port <options>
      del_bypass_port <options>
      dynamic_dispatching <options>
      gconn <options>
      get_instance <options>
      print_heavy_conn
      prioq <options>
      show_bypass_ports
      stat
      start
      stop
      utilize

(IPv6는 위에서 fw를 fw6으로 바꾸면 됩니다.)

지정한 TCP/UDP 포트를 CoreXL Dynamic Dispatcher의 우회 포트 목록에 추가합니다(자세한 동작은 sk105261).

fw ctl multik add_bypass_port <Port Number 1>,<Port Number 2>,...,<Port Number N>

예시 — 포트 8888, 9999를 차례로 추가합니다.

[Expert@MyGW:0]# fw ctl multik show_bypass_ports
dynamic dispatcher bypass port list:
[Expert@MyGW:0]# fw ctl multik add_bypass_port 8888
[Expert@MyGW:0]# fw ctl multik show_bypass_ports
dynamic dispatcher bypass port list:
(8888)
[Expert@MyGW:0]# fw ctl multik add_bypass_port 9999
[Expert@MyGW:0]# fw ctl multik show_bypass_ports
dynamic dispatcher bypass port list:
(8888,9999)

지정한 TCP/UDP 포트를 우회 목록에서 제거합니다.

fw ctl multik del_bypass_port <Port Number 1>,<Port Number 2>,...,<Port Number N>

예를 들어 (8888,9999) 목록에서 9999를 제거하면 (8888)만 남습니다.

CoreXL Dynamic Dispatcher 는 CPU 코어 사용률을 보고 새 연결을 인스턴스에 동적으로 배정 하는 기능입니다(sk105261). 이 명령으로 상태를 보고 켜고 끕니다.

# IPv4
fw ctl multik dynamic_dispatching {get_mode | off | on}
# IPv6
fw6 ctl multik dynamic_dispatching {get_mode | off | on}

예시 — 켜면 재부팅하라는 안내 가 나옵니다.

[Expert@MyGW:0]# fw ctl multik dynamic_dispatching get_mode
Current mode is Off
[Expert@MyGW:0]# fw ctl multik dynamic_dispatching on
New mode is: On
Please reboot the system

게이트웨이가 커널 테이블 fw_multik_ld_gconn_table에 저장하는 CoreXL Global Connections 통계를 보여 줍니다. 이 테이블에는 어느 인스턴스가 어느 연결을 소유하는지 가 담깁니다.

fw [-d] ctl multik gconn
      -h
      -p
      -sec
      -seg <Number>

요약 정보만 보는 예시입니다.

[Expert@MyGW:0]# fw ctl multik gconn -s
Summary:
Total number of global connections: 12

기본 출력은 연결별로 Segm | Src IP | S.port | Dst IP | D.port | Proto | Flags | PP | Ref Cnt(I/O) | Inst | PPAK ID | clstr mem ID | Rec. ref | Rec. Type 열을 가진 표를 보여 줍니다. 표 아래의 약어 뜻은 FP = from pool(풀에서), T = temporary connection(임시 연결), PP = pending permanent(보류 중 영구) 입니다. -p/-sec를 주면 여기에 인스턴스 섹션 정보(In = inbound, Out = outbound)가 덧붙습니다.

지정한 IPv4 연결을 어느 CoreXL Firewall 인스턴스가 처리 하는지 보여 줍니다.

# 단일 연결
fw ctl multik get_instance sip=<Source IPv4 Address> dip=<Destination IPv4 Address> proto=<Protocol Number>

# IPv4 주소 범위
fw ctl multik get_instance sip=<Source Start>-<Source End> dip=<Dest Start>-<Dest End> proto=<Protocol Number>

단일 연결 예시 — => 3은 인스턴스 #3이 처리한다는 뜻입니다.

[Expert@MyGW:0]# fw ctl multik get_instance sip=192.168.2.3 dip=172.30.241.66 proto=6
protocol: 6
192.168.2.3 -> 172.30.241.66 => 3

범위 예시 — 출발지별로 처리 인스턴스가 다르게 나옵니다.

[Expert@MyGW:0]# fw ctl multik get_instance sip=192.168.2.3-192.168.2.8 dip=172.30.241.66 proto=6
protocol: 6
192.168.2.3 -> 172.30.241.66 => 3
192.168.2.4 -> 172.30.241.66 => 0
192.168.2.5 -> 172.30.241.66 => 3
192.168.2.6 -> 172.30.241.66 => 5
192.168.2.7 -> 172.30.241.66 => 4
192.168.2.8 -> 172.30.241.66 => 5

CPU를 가장 많이 잡아먹는 무거운 연결(Heavy Connections) 표를 보여 줍니다(sk105261). CoreXL은 다음 조건을 모두 만족하는 연결을 "무겁다"고 의심합니다.

출력 표에는 출발지 IP·포트, 목적지 IP·포트, 프로토콜 번호, 처리 인스턴스 ID, 인스턴스의 CPU 부하, 연결이 그 인스턴스에서 차지하는 상대 부하 가 담깁니다.

fw [-d] ctl multik print_heavy_conn

예시입니다.

[Expert@MyGW:0]# fw ctl multik print_heavy_conn
Source: 192.168.20.31; SPort: 51006; Dest: 172.30.40.55; DPort: 80; IPP: 6; Instance 1; Instance Load 61%; Connection instance load 100%
Source: 192.168.20.31; SPort: 50994; Dest: 172.30.40.55; DPort: 80; IPP: 6; Instance 1; Instance Load 61%; Connection instance load 100%
Source: 192.168.20.31; SPort: 50992; Dest: 172.30.40.55; DPort: 80; IPP: 6; Instance 1; Instance Load 61%; Connection instance load 100%

CoreXL Firewall Priority Queues를 구성합니다(sk105762).

# IPv4
fw ctl multik prioq [{0 | 1 | 2}]
# IPv6
fw6 ctl multik prioq [{0 | 1 | 2}]

대화형 메뉴 예시입니다.

[Expert@MyGW:0]# fw ctl multik prioq
Current mode is Off
Available modes:
0. Off
1. Evaluator-only
2. On
Choose the desired mode number: (or 3 to Quit)

add_bypass_port로 설정한 우회 포트 목록을 보여 줍니다(sk105261).

fw ctl multik show_bypass_ports

[Expert@MyGW:0]# fw ctl multik show_bypass_ports
dynamic dispatcher bypass port list:
(9999,8888)

각 CoreXL Firewall 인스턴스의 정보를 보여 줍니다.

# IPv4
fw [-d] ctl multik stat
# IPv6
fw6 [-d] ctl multik stat

출력에 담기는 정보입니다.

예시입니다.

[Expert@MyGW:0]# fw ctl multik stat
ID | Active | CPU | Connections | Peak
----------------------------------------------
0  | Yes    | 7   | 5           | 21
1  | Yes    | 6   | 3           | 23
2  | Yes    | 5   | 5           | 25
3  | Yes    | 4   | 4           | 21
4  | Yes    | 3   | 5           | 21
5  | Yes    | 2   | 5           | 20

[Expert@MyGW:0]# fw6 ctl multik stat
ID | Active | CPU | Connections | Peak
----------------------------------------------
0  | Yes    | 7   | 0           | 4
1  | Yes    | 6   | 0           | 4

fw ctl multik stop으로 멈춰 둔 모든 인스턴스를 즉석에서 시작 합니다.

fw ctl multik start      # IPv4
fw6 ctl multik start     # IPv6

예시 — 멈춰 있던 인스턴스를 하나씩 시작하면, 마지막에는 "이미 모두 활성"이라고 알려 줍니다.

[Expert@MyGW:0]# fw ctl multik start
Instance 1 started (2 of 3 are active)
[Expert@MyGW:0]# fw ctl multik start
Instance 2 started (3 of 3 are active)
[Expert@MyGW:0]# fw ctl multik start
All instances are already active

모든 인스턴스를 즉석에서 멈춥니다.

fw ctl multik stop       # IPv4
fw6 ctl multik stop      # IPv6

예시 — 멈춘 인스턴스는 stat에서 Active가 No, CPU가 -로 표시됩니다. 다 멈추면 "이미 모두 비활성"이라고 알려 줍니다.

[Expert@MyGW:0]# fw ctl multik stop
Instance 2 stopped (2 of 3 are active)
[Expert@MyGW:0]# fw ctl multik stop
Instance 1 stopped (1 of 3 are active)
[Expert@MyGW:0]# fw ctl multik stop
All instances are already inactive

각 인스턴스의 CoreXL 큐 사용률 을 보여 줍니다.

fw ctl multik utilize    # IPv4
fw6 ctl multik utilize   # IPv6

예시 — Utilize(%)와 Queue Elements(큐에 쌓인 항목 수)를 인스턴스별로 보여 줍니다.

[Expert@MyGW:0]# fw ctl multik utilize
ID | Utilize(%) | Queue Elements
----------------------------------
0  | 1          | 30
1  | 0          | 10
2  | 0          | 17

다음 파일에서 fw ctl affinity·fwboot·taskset_us_all·Multi-Queue로 이어집니다.

CoreXL 명령 사전 (2)에서 이어지는 마지막 부분입니다. affinity 조회·설정, 인스턴스 지정 실행, 부팅 구성, User Space 프로세스 affinity, Multi-Queue 개요를 정리합니다. 명령·경로·파라미터는 영어 원문 그대로 둡니다.

fw ctl affinity는 인터페이스 / User Space 프로세스 / CoreXL Firewall 인스턴스 의 CoreXL affinity를 보고 설정합니다. 관련해서 taskset_us_all도 참고하세요. -l은 보기, -s는 설정이며, Gateway 모드와 VSX 모드의 사용법이 다릅니다.

fw ctl affinity -l (Gateway 모드 — 보기)

게이트웨이의 현재 affinity를 보여 줍니다.

fw ctl affinity                                    # 내장 도움말
fw ctl affinity -l [-a] [-v] [-r] [-q]             # 모든 affinity 보기
fw ctl affinity -l -i <Interface Name>             # 지정 인터페이스
fw ctl affinity -l -k <CoreXL Firewall instance ID> # 지정 인스턴스
fw ctl affinity -l -p <Process ID>                 # PID로 지정한 프로세스
fw ctl affinity -l -n <Process Name>               # 이름으로 지정한 프로세스
fw -d ctl affinity -corelicnum                     # CoreXL 라이선스가 허용하는 CPU 코어 수

기본 출력(-l)은 인터페이스와 인스턴스, 그리고 데몬들이 어느 코어에 묶였는지 보여 줍니다.

[Expert@MyGW:0]# fw ctl affinity -l
eth0: CPU 0
eth1: CPU 0
eth2: CPU 0
eth3: CPU 0
fw_0: CPU 7
fw_1: CPU 6
fw_2: CPU 5
fw_3: CPU 4
fw_4: CPU 3
fw_5: CPU 2
fwd: CPU 2 3 4 5 6 7
...

-a -v를 주면 인터페이스 줄에 IRQ 번호가 붙습니다.

[Expert@MyGW:0]# fw ctl affinity -l -a -v
Interface eth0 (irq 67): CPU 0
Interface eth1 (irq 75): CPU 0
...
fw_0: CPU 7
...

-a -v -r를 주면 코어별 로 무엇이 도는지 뒤집어 보여 줍니다(예: CPU 0에는 모든 인터페이스, CPU 2~7에는 각 인스턴스와 데몬들).

특정 대상만 보는 예시들입니다.

[Expert@MyGW:0]# fw ctl affinity -l -i eth0
eth0: CPU 0

[Expert@MyGW:0]# fw ctl affinity -l -p 26641
Process 26641: CPU 2 3 4 5 6 7
[Expert@MyGW:0]# fw ctl affinity -l -n fwd
fwd: CPU 2 3 4 5 6 7

[Expert@MyGW:0]# fw ctl affinity -l -k 1
fw_1: CPU 6

라이선스가 허용하는 시스템 CPU 코어 수는 이렇게 봅니다.

[Expert@MyGW:0]# fw -d ctl affinity -corelicnum
...
4

fw ctl affinity -l -x (VSX 모드 — 보기)

VSX 게이트웨이에서 affinity를 봅니다.

fw ctl affinity -l -x
   [-vsid <VSID ranges>]
   [-cpu <CPU ID ranges>]
   [-flags {e | k | t | n | h | o}]

fw -d ctl affinity -corelicnum

VSX 출력 표의 열 뜻입니다 — PID(프로세스 ID), VSID(가상 장치 ID), CPU(그 프로세스에 할당된 CPU), SRC(설정의 출처 — (V)SID / (I)nstance / (P)rocess), V(유효성 — *는 실제 affinity가 설정값과 다름 을 뜻함), KT(커널 스레드 여부), EXC(프로세스 예외 목록 vsaffinity_exception.conf에 속하는지), NAME(이름).

fw ctl affinity -s (Gateway 모드 — 설정)

게이트웨이에서 affinity를 설정합니다.

fw ctl affinity                                    # 내장 도움말

fw ctl affinity -s -i <Interface Name> {all | <CPU ID0> [<CPU ID1> ...]}
fw ctl affinity -s -k <CoreXL Firewall instance ID> {all | <CPU ID0> [...]}
fw ctl affinity -s -p <Process ID> {all | <CPU ID0> [...]}
fw ctl affinity -s -n <Process Name> {all | <CPU ID0> [...]}

예시들 — 설정에 성공하면 set successfully와 함께, Multi-Queue affinity는 바뀌지 않았다는 안내(sk113834)가 나옵니다.

# eth1을 CPU #1에
[Expert@MyGW:0]# fw ctl affinity -s -i eth1 1
eth1: CPU 1 - set successfully

# 인스턴스 #1을 CPU #2에
[Expert@MyGW:0]# fw ctl affinity -s -k 1 2
fw_1: CPU 2 - set successfully

# 프로세스 CPD를 PID로 CPU #2에
[Expert@MyGW:0]# fw ctl affinity -s -p 6080 2
Process 6080: CPU 2 - set successfully

# 프로세스 CPD를 이름으로 CPU #2에
[Expert@MyGW:0]# fw ctl affinity -s -n cpd 2
cpd: CPU 2 - set successfully

fw ctl affinity -s (VSX 모드 — 설정)

VSX 게이트웨이에서 affinity를 설정합니다.

fw ctl affinity                                    # 내장 도움말

# Virtual System들의 affinity
fw ctl affinity -s -d [-vsid <VSID ranges>] -cpu <CPU ID ranges>

# 지정한 User Space 프로세스의 affinity
fw ctl affinity -s -d -pname <Process Name> [-vsid <VSID ranges>] {-cpu all | -cpu <CPU ID ranges>}

# 지정한 FWK 데몬 인스턴스(User Space Firewall)의 affinity
fw ctl affinity -s -d -inst <Instances Ranges> -cpu <CPU ID ranges>

# 모든 FWK 인스턴스의 affinity
fw ctl affinity -s -d -fwkall <Number of CPUs>

# affinity를 기본값으로 초기화
fw ctl affinity {-vsx_factory_defaults | -vsx_factory_defaults_no_prompt}

예시들입니다.

# VS #0,1,2,4,6,7,8을 CPU #0,1,2,4에
[Expert@MyGW:0]# fw ctl affinity -s -d -vsid 0-2 4 6-8 -cpu 0-2 4
VDevice 0-2 4 6-8 : CPU 0 1 2 4 - set successfully

# 프로세스 CPD를 VS #0-12에 대해 CPU #7에
[Expert@MyGW:0]# fw ctl affinity -s -d -pname cpd -vsid 0-12 -cpu 7
VDevice 0-12 : CPU 7 - set successfully
Warning: some of the VSIDs did not exist

# FWK 인스턴스 #0,2,4를 CPU #5에
[Expert@MyGW:0]# fw ctl affinity -s -d -inst 0 2 4 -cpu 5
VDevice 0 2 4: CPU 5 - set successfully

# 모든 FWK 인스턴스를 마지막 두 코어에
[Expert@MyGW:0]# fw ctl affinity -s -d -fwkall 2
VDevice 0-2 : CPU 2 3 - set successfully

-fwkall로 모든 코어에 묶을 때 이미 설정된 프로세스/인스턴스가 있으면, 기존 설정을 덮어쓸지(y) 아니면 설정되지 않은 것만 설정할지(n) 묻습니다.

[Expert@MyGW:0]# fw ctl affinity -s -d -fwkall 4
There are configured processes/FWK instances
(y) will override all currently configured affinity and erase the configuration files
(n) will set affinity only for unconfigured processes/threads
Do you want to override existing configurations (y/n) ? y
VDevice 0-2 : CPU all - set successfully

기본적으로 fw 명령은 게이트웨이 전체에 적용되고, 모든 인스턴스의 정보를 합산 해 보여 줍니다. fw -i는 지정한 한 인스턴스에만 적용됩니다.

fw -i <ID of CoreXL Firewall instance> <Command>

예시입니다.

# 인스턴스 #1의 Connections 테이블
fw -i 1 tab -t connections

# 인스턴스 #1의 내부 통계
fw -i 1 ctl pstat

부팅 보안 옵션을 구성합니다.

# 현재 값 보기
$FWDIR/boot/fwboot bootconf
   get_corexl | get_core_override | get_def | get_ipf | get_ipv6 | get_kernnum | get_kern6num

# 값 설정
$FWDIR/boot/fwboot bootconf
   set_corexl {0 | 1}
   set_core_override <number>
   set_def [</path/filename>]
   set_ipf {0 | 1}
   set_ipv6 {0 | 1}
   set_kernnum <number>
   set_kern6num <number>

CoreXL을 구성하고 모니터링합니다.

# 조회
$FWDIR/boot/fwboot corexl
   core_count | curr_instance4_count | curr_instance6_count
   def_instance4_count | def_instance6_count | eligible | installed
   max_instance4_count | max_instances4_32bit | max_instances4_64bit
   max_instance6_count | max_instances_count | max_instances_32bit | max_instances_64bit
   min_instance_count | unsupported_features

# 구성
$FWDIR/boot/fwboot corexl
   def_by_allowed [n]
   default
   [-v] disable
   [-v] enable [n] [-6 k]
   vmalloc_recalculate

조회·구성 파라미터입니다. 대부분 결과를 종료 코드(echo $?) 로 돌려줍니다.

예시 — 지원되지 않는 기능을 점검하면, 설정된 항목(예: QoS)을 알려 줍니다.

[Expert@MyGW:0]# $FWDIR/boot/fwboot corexl unsupported_features
corexl unsupported feature: QoS is configured.
[Expert@MyGW:0]# echo $?
1

이 게이트웨이의 가용 CPU·CPU 코어 수를 보여 줍니다.

$FWDIR/boot/fwboot cpuid {-h | -help | --help} | -c | --full | ht_aware | -n | --possible

지정한 인스턴스의 등록 함수 내부 메모리 주소를 보여 줍니다.

$FWDIR/boot/fwboot multik_reg <Number of CoreXL Firewall instance> {ipv4 | ipv6} [-d]

부팅 중 CoreXL용 Firewall 드라이버를 로드합니다.

$FWDIR/boot/fwboot post_drv {ipv4 | ipv6}

$FWDIR/bin/taskset_us_all 스크립트는 실행 중인 모든 User Space 프로세스의 affinity 를 CPU 코어에 설정합니다.

   --help
   {-i | --instance} [<IDs of Instances>]
   {-l | --list} <IDs of CPU Cores> [--ignore_default] [--ignore_exe "<Name1>|<Name2>|...|<NameN>"]
   {-m | --mask} <CPU BitMask>
   {-s | --snd} [--no_zero]

# Scalable Platform Security Group에서는:
g_all taskset_us_all <parameters>

비트마스크는 코어별 16진수 비트를 더해 만듭니다. 예를 들어 16코어 장비에서 코어 0~3은 이렇게 계산합니다.

0x0000000000000001 (CPU 0) +
0x0000000000000010 (CPU 1) +
0x0000000000000100 (CPU 2) +
0x0000000000001000 (CPU 3) =
------------------
0x0000000000001111

코어 5, 7, 9, 15는 이렇습니다.

0x0000000000100000 (CPU 5) +
0x0000000010000000 (CPU 7) +
0x0000001000000000 (CPU 9) +
0x1000000000000000 (CPU 15) =
------------------
0x1000001010100000

기본적으로 각 네트워크 인터페이스는 하나의 트래픽 큐 를 가지고, 그 큐를 하나의 CPU 가 처리합니다. 그래서 트래픽을 처리하는 인터페이스 수보다 더 많은 코어를 가속에 쓸 수는 없습니다. Multi-Queue 는 인터페이스마다 큐를 여러 개 두어, 한 인터페이스의 가속에 여러 코어 를 쓰게 합니다.

개요입니다.

자세한 Multi-Queue 사용법은 Multi-Queue 장을 참고하세요. 이로써 CoreXL 명령 사전을 마칩니다.