Il Security Management Server non inoltra traffico, e per questo il suo esaurimento di risorse si nota tardi: nessuno perde connettività, semplicemente SmartConsole rallenta, una policy impiega minuti, i log si accumulano. Gli strumenti sono quelli del gateway, ma le domande cambiano.

Lab: esaminare le risorse di sistema sul Security Management Server

Sul Management Server il carico è fatto di processi, non di pacchetti, e conviene sapere chi sono: cpd è «a generic process for many Check Point services, such as installing and fetching policy, online updates», fwd è il processo dei log, cpca gestisce la Certificate Authority interna, mentre fwm è descritto dalla documentazione come il processo principale di gestione legacy, delle versioni R77.x e precedenti. Al funzionamento concorrono anche CPM, postgres e solr: un server che «non risponde» spesso ha un solo componente in difficoltà, non tutti.

Il comando che apre l’indagine è cpwd_admin list, con l’opzione -full per l’output esteso. Le colonne vanno lette una per una: APP è il nome WatchDog del processo monitorato, PID il suo identificativo, STAT lo stato, #START quante volte il WatchDog lo ha avviato, START_TIME l’orario dell’ultimo avvio, MON il tipo di monitoraggio e COMMAND il comando usato per avviarlo. STAT vale E per executing e T per terminated; MON vale Y per monitoraggio attivo e N per passivo.

Qui sta il valore diagnostico: un processo con STAT a E sembra sano, ma se #START è un numero alto e START_TIME è di pochi minuti fa, quel processo sta morendo e ripartendo in ciclo. Lo stato istantaneo e la storia degli avvii dicono due cose diverse, ed è la seconda che spiega il sintomo. Accanto, le solite verifiche Unix dalla Expert mode — spazio delle partizioni, memoria libera, processi più costosi — completano il quadro, con un occhio particolare alla crescita delle directory di log.

Lab: rivedere le statistiche di sistema con CPView

CPView si avvia digitando cpview. L’interfaccia ha tre sezioni: l’Header, che riporta l’orario della raccolta dati; la Navigation, cioè il menu interattivo con i suoi sottomenu; e la View, dove compaiono le statistiche. Sono dati generali di sistema — CPU, memoria, spazio disco — più le informazioni dei Software Blades.

La navigazione si fa con poche combinazioni. Le frecce spostano fra menu e viste e scorrono dentro una vista; Home riporta alla Overview; Invio passa alla modalità di visualizzazione ed Esc torna alla modalità menu; Q esce. Per adattare la resa al terminale ci sono W, che alterna modalità normale e wide, e S, che imposta righe e colonne a mano; M attiva o disattiva il mouse, H mostra il tooltip con le opzioni. Il tasto C salva la pagina corrente in un file con nome che inizia per cpview_, seguito dall’identificativo e dall’estensione cap con un numero progressivo: è la fotografia che si allega a un caso di supporto.

Lab: cambiare la frequenza di aggiornamento

La frequenza predefinita di aggiornamento è di 2 secondi. Si modifica con il tasto R, che apre una finestra dedicata. Accanto ci sono due comandi che spesso vengono confusi con esso: la barra spaziatrice aggiorna immediatamente le statistiche, e P mette in pausa o riprende la raccolta dati.

Cambiare il refresh rate non è un dettaglio estetico: un intervallo più breve coglie picchi che un campione ogni 2 secondi si perde, uno più lungo serve per leggere con calma una tabella che scorre o per una sessione su collegamento lento. Ed è bene ricordare che la pausa non è un rallentamento: con P premuto i numeri restano fermi e la macchina sembra stabile anche mentre sta degradando.

Lab: esaminare i dati storici

Qui va fatta una distinzione che l’esame usa spesso. Le viste di CPView mostrano il campione raccolto in quel momento, e l’orario nell’Header lo dichiara; la pagina salvata con C resta una singola istantanea. Nessuna delle due risponde alla domanda «da quando?». Per la consultazione dei dati raccolti nel tempo, la R82 Performance Tuning Administration Guide rimanda all’articolo dedicato sk101878, che descrive la funzionalità di storico di CPView.

La conseguenza è di metodo: se un utente segnala un rallentamento della notte prima, aprire CPView adesso misura il presente, non l’evento. O si è raccolto prima, o si ricorre alle fonti che una traccia nel tempo la conservano davvero.

Trappole tipiche d’esame

Statistiche in tempo reale confuse con i dati storici. È l’errore che il modulo insegue per primo. Se lo scenario parla di un problema passato o chiede l’andamento di una metrica, la schermata corrente di CPView non è la risposta, e nemmeno una pagina salvata con C.

Strumento invasivo usato senza valutarne il costo. Sul Management Server la tentazione è alzare i debug dei demoni perché «tanto non passa traffico». Passano però le policy, i log e le sessioni SmartConsole: prima si guardano CPView e cpwd_admin list, che costano quasi nulla.

Modifica a mano dove esiste un comando. Il refresh rate di CPView si cambia con R e le impostazioni Gaia con i loro comandi: un file di configurazione ritoccato in Expert mode può funzionare e restare comunque la risposta sbagliata.