Fortigate F200 - Memory conserve mode

ladap

Ahoj,

je tu někdo kdo by poradil s Fortigate?

Dnes ve 12:09 šla moje F200 do "Memory conserve mode", přes CLI jsem si zjistil, že to způsobuje ipsengine, ten jsem otočil a vše se vrátilo do normálu.

Teď se zpětně pokouším dohledat příčinu, ale naprosto bez úspěchu. Na přiloženém obrázku je vidět nárůst sessions, ale ve Fortianalyzeru jsem nikde nedohledal zdroj.

Předem děkuji za případné nakopnutí.

zero

FortiGate F200 teda neznám... nemyslíš FAZ200F nebo FG200E?

Málo informací.

jakej FortiOS?
co řekne diag sys top 1 45
co řekne get sys perf stat

Obecně - ipsko je hodně náchylný na správnou volbu triggerů a filtrů v UTM profilu. Nicméně ten postupnej nárůst session bych spíš viděl na nějakej UDP flood (DNS, NTP) nebo smyčku/flapping.
V analyzeru to vidět nemusíš, pokud Policy, kterou to matchlo neloguješ.

Pokud máš fakt hodně IPS profilů a už nepomůže nějaká built-in optimalizace, může si ještě pohrát přímo s tresholdem a timery isp enginu:

conf system global
(global) # set tcp-halfclose-timer 60   --> default 120 s
(global) # set tcp-halfopen-timer 5     --> default 10 s
(global) # set tcp-timewait-timer 0     --> default 1 s

config ips global
(global) # set socket-size 4            --> default 32 MB
(global) # set engine count 2           --> default 0 = infinite

config system session-ttl
(session-ttl) # set default 300         --> default 3600 s // U tohodle opatrně!!

ladap

zde je aktuální stav, původní nemám uložen.
IPS profilů mám 5. Default client/server, webserver, dns server, email server

Firmware v6.0.11 build0387 (GA)

Run Time: 11 days, 1 hours and 21 minutes 0U, 0N, 0S, 100I, 0WA, 0HI, 0SI, 0ST; 3963T, 2394F ipsengine 2501 S < 4.9 5.5 ipsengine 2500 S < 0.9 5.8 sslvpnd 162 S 0.9 0.8 ipshelper 2499 S < 0.0 3.9 dnsproxy 181 S 0.0 2.1 miglogd 219 S 0.0 1.7 updated 213 S 0.0 1.3 src-vis 174 S 0.0 1.0 miglogd 147 S 0.0 1.0 cmdbsvr 125 S 0.0 0.9 httpsd 678 S 0.0 0.9 scanunitd 8054 S < 0.0 0.8 scanunitd 8062 S < 0.0 0.8 scanunitd 167 S < 0.0 0.8 pyfcgid 7558 S 0.0 0.8 urlfilter 175 S 0.0 0.7 httpsd 6881 S 0.0 0.7 pyfcgid 7561 S 0.0 0.7 forticron 157 S 0.0 0.6 pyfcgid 7560 S 0.0 0.6 pyfcgid 8066 S 0.0 0.6 pyfcgid 7562 S 0.0 0.6 cw_acd 185 S 0.0 0.6 httpsd 8083 S 0.0 0.6 httpsd 8080 S 0.0 0.6 httpsd 150 S 0.0 0.6 hasync 172 S < 0.0 0.5 httpsd 8085 S 0.0 0.5 httpsd 8086 S 0.0 0.4 httpsd 8087 S 0.0 0.4 httpsd 224 S 0.0 0.3 fgfmd 184 S 0.0 0.3 newcli 2273 S 0.0 0.3 newcli 8072 S 0.0 0.3 forticldd 158 S 0.0 0.3 fnbamd 155 S 0.0 0.3 initXXXXXXXXXXX 1 S 0.0 0.3 iked 168 S 0.0 0.3 guacd 164 S 0.0 0.3 authd 159 S 0.0 0.3 authd 222 S 0.0 0.3 authd 223 S 0.0 0.3 cu_acd 189 S 0.0 0.2 voipd 166 S 0.0 0.2 foauthd 160 S 0.0 0.2

CPU states: 3% user 0% system 0% nice 97% idle 0% iowait 0% irq 0% softirq CPU0 states: 1% user 0% system 0% nice 99% idle 0% iowait 0% irq 0% softirq CPU1 states: 6% user 0% system 0% nice 94% idle 0% iowait 0% irq 0% softirq Memory: 4058156k total, 1449972k used (35.7%), 2453112k free (60.4%), 155072k freeable (3.8%) Average network usage: 23441 / 23545 kbps in 1 minute, 25293 / 25452 kbps in 10 minutes, 20241 / 20348 kbps in 30 minutes Average sessions: 3202 sessions in 1 minute, 3196 sessions in 10 minutes, 2942 sessions in 30 minutes Average session setup rate: 14 sessions per second in last 1 minute, 16 sessions per second in last 10 minutes, 14 sessions per second in last 30 minutes Average NPU sessions: 380 sessions in last 1 minute, 371 sessions in last 10 minutes, 368 sessions in last 30 minutes Virus caught: 0 total in 1 minute IPS attacks blocked: 0 total in 1 minute Uptime: 11 days, 1 hours, 23 minutes

zero

ladap

Takze podle toho starickyho firmwaru predpokladam, ze to je to model 200D?

Udelej jeste # get hardware status

ladap

F200E-Master # get hardware status
Model name: FortiGate-200E
ASIC version: CP9
ASIC SRAM: 64M
CPU: Intel(R) Celeron(R) CPU G1820 @ 2.70GHz
Number of CPUs: 2
RAM: 3963 MB
Compact Flash: 15331 MB /dev/sda
Hard disk: not available
USB Flash: not available
Network Card chipset: Intel(R) Gigabit Ethernet Network Driver (rev.0003)
Network Card chipset: FortiASIC NP6LITE Adapter (rev.)

FW doporučil implementátor.
použití | SSL-VPN(120 zaměstnanců), IP-SEC VPN (pobočky s MK), SSL inspect, VLAN, FW, NAT v HA konfiguraci (master/slave)

zero

No, trosku nerozumim, proc mas na relativne novym boxu fw 6.0.x.
Sice je 6.0.11 posledni stable verze, ale ja bych tedy urcite sel na 6.2.5 (3.11. bude 6.2.6)
Mame nekolik 200E v HA s 6.2.5 a zadnej problem neevidujeme.

Jakej tam tece tok/kolik uzivatelu? Kolik je tam Policy? Jak jsou nastaveny ty IPS profily? SSL deep inspekci pouzivas? Box je v Proxy nebo Flow mode?

ladap

200M internet, 100M L2 pobocka, celkove 250 uzivatelu
176 policy,
SSL deep - 6 policy
NAT Flow-based

postnul bych si sem config IPS rules, hledam CLI command

ladap

tak dnes se situace opakovala. Měl jsem vytipováno co by to mohlo být a potvrdilo se mi to.
2 policy s IPS DNS (Location: server, OS: Linux, Protocol: DNS) stačilo pravidla vypnout a vše je v normálu. Ale to není stav, který by vyhovoval, budu bádat dál.

zero

ladap provozujes nejaky verejny DNS server? Pokud ano, pravdepodobne slo o DDoS nebo UDP flood.

fang

Měl jsem podobný problém u nás ve firmě s FG60E které taky došla paměť po update na verzi 6.0.11 udělala to jen tato jedna ze tří co máme po pobočkách. Konfig velmi směšný (pár filtr pravidel+NAT, 1-2 SSL VPNky a jeden ipsec tunel). Z debug logu to dělal memory leak ipsengine. Po restartu boxu se to již neukázalo, nicméně i přes to support poslal nový balíček ipsengine verze 4.0.69, původní verze byla 4.0.61.