drv_mgr

Синтаксис

drv_mgr

Список выводимых настроек:

List of properties:

name access type size (in bytes) range [min-max]

pq_tos_mask read-write 1 unlimited

pq_drop_low_pri_ifs read-write variable unlimited

pq_drop_thres read-write 4 [0-100]

pq_thread_q_size read-write 4 [0-16383]

pq_send_q_size read-write 4 [0-2047]

pq_force_ordering read-write 1 [0-1]

pq_wait_cycles read-write 4 [0-100000]

fw_filter_cache read-write 1 [0-2]

fw_tcp_closed_ttl lsp-managed 4 [1-65535]

fw_tcp_synsent_ttl lsp-managed 4 [1-65535]

fw_tcp_synrcvd_ttl lsp-managed 4 [1-65535]

fw_tcp_estab_ttl lsp-managed 4 [1-65535]

fw_tcp_fin_ttl lsp-managed 4 [1-65535]

fw_tcp_strictness lsp-managed 4 [0-6]

fw_tcp_open_max lsp-managed 4 [0-1000000]

fw_tcp_half_open_max lsp-managed 4 [0-1000000]

fw_tcp_half_open_low lsp-managed 4 [0-1000000]

fw_tcp_conn_rate_max lsp-managed 4 unlimited

fw_tcp_conn_rate_low lsp-managed 4 unlimited

frag_dont_grow_fragments read-write 1 [0-1]

frag_minimize_size read-write 1 [0-1]

frag_df_options read-write 1 [0-3]

frag_reassemble_timeout read-write 1 [0-255]

frag6_reassemble_timeout read-write 1 [1-60]

qos_preclassify read-write 1 [0-1]

ipsec_breq_max read-write 4 unlimited

ipsec_breq_count read-only 4 unlimited

ipsec_recursive_policy lsp-managed 1 [0-1]

pkt_link_max_pkts read-write 4 [100-10000]

pkt_link_max_kbytes read-write 4 [200-20000]

vif_minmtu_mode read-write 1 [0-7]

pq_tos_mask

чтение-запись

битовая маска

0-255

255

Битовая маска (1 байт), на которую умножается побитно поле TOS (Type of

Service - 1 байт) IP-заголовка пакета для

определения приоритетных пакетов.

• Если результат умножения не равен нулю, то этот пакет - приоритетный.

• Если значение

pq_tos_mask=255, то при любом не равном нулю значении поля TOS пакет является приоритетным.

pq_drop_low_pri_ifs

чтение-запись

список физических имен интерфейсов через запятую (без пробелов)

Включение или

выключение механизма уничтожения неприоритетных пакетов, поступающих на

интерфейс:

• если имя интерфейса есть в списке, то неприоритетные пакеты уничтожаются при уровне заполнения очереди pq_drop_thres и выше;

• если имени интерфейса нет в списке - уровень заполнения очереди pq_drop_thres не учитывается, и считается, что поступающие пакеты имеют одинаковый приоритет.

Допускается указание интерфейсов, которые в данный момент в системе отсутствуют, но при появлении такого интерфейса он будет учитываться в списке.

pq_drop_thres

чтение-запись

проценты

1-100

90

Процент заполнения очереди пакетов от максимального количества пакетов, при

котором неприоритетные пакеты начинают уничтожаться. Приоритетные пакеты будут

приниматься, пока не будет

достигнута граница pq_thread_q_size или

pq_send_q_size. Для пакетов

низкого приоритета аналогичная граница -

pq_thread_q_size*pq_drop_thres/100 или

pq_send_q_size*pq_drop_thres/100 (pq_drop_thres влияет на очередь отправки, только если pq_force_ordering=1).

pq_thread_q_size

чтение-запись

кол-во паке-

тов

0-16383

2000

Максимальное число пакетов в очереди, ожидающих обработки нитками драйвера. Данная пакетная очередь состоит из равных подочередей: для приоритетного и неприоритетного трафика. При переполнении какой-либо из подочередей пакеты, попадающие в данную подочередь, начинают уничтожаться вне зависимости от их приоритета.

pq_send_q_size

чтение

запись

кол-во пакетов

0-2047

2032

Максимальное число пакетов в очереди отправки (очередь отправки предназначена для восстановления порядка пакетов после параллельной обработки трафика).

pq_force_ordering

чтение-запись

0-1

1

Если выставлено значение 1, то по достижении границы pq_send_q_size пакеты начинают удаляться.

Если значение 0, то при заполненной очереди отправки пакеты отправляются, минуя эту очередь. заполненной очереди отправки пакеты отправляются, минуя эту очередь.

pq_wait_cycles

чтение-запись

0-100000

100, 0 - для Юнита

Количество циклов ожидания при пустой

очереди пакетов, ожидающих обработку нитками драйвера перед уходом нитки в сон. Максимальное значение (100000) означает «никогда не спать».

Значение более 1000 следует выставлять только по рекомендации службы поддержки, т.к. возможна аномальная загрузка процессоров даже при отсутствии существенного сетевого трафика на устройстве.

frag_dont_grow_fragments

чтение-запись

0-1

0

Чтобы избежать повторной перефрагментации пакетов промежуточными маршрутизаторами, предусмотрены значения:

• 1 - размер фрагментов не будет превышать максимальный размер оригинальных фрагментов;

• 0 - пакет фрагментируется без учета размера оригинальных фрагментов.

frag_minimize_size

чтение-запись

0-1

0

Чтобы избежать повторной перефрагментации пакетов промежуточными маршрутизаторами предусмотрены значения:

• 1 - размер фрагментов усредняется, т.е. минимизируется максимальный размер фрагмента при сохранении минимального количества фрагментов;

• 0 - все фрагменты делаются максимального размера, кроме последнего.

Пример

MTU - 270, пакет - 276 байтов, заголовок - 20 байтов.

Если значение 1, то фрагменты 148 и 148 байтов.
Если значение 0 - фрагменты 268 и 28 байтов.

frag_df_options

чтение-запись

0-3

0

Чтобы избежать повторной перефрагментации пакетов промежуточными маршрутизаторами, предусмотрены значения, которые определяют выставлять ли DF-бит на фрагментах:

• 0 - на фрагментах DF-бит всегда сбрасывается

• 1 - выставлять DF-бит у фрагментов, если оригинальный пакет был фрагментирован, не инкапсулирован в IPsec и на фрагментах был выставлен DF-бит. Этот флаг позволяет восстанавливать DF-флаг для открытого трафика, таким образом хост, отправивший пакет, может проводить MTU discovery для фрагментированных пакетов.

• 2 - выставлять DF-бит для фрагментированных IPsec-пакетов, если на соответствующем IPsec SA включено MTU discovery. Этот флаг позволяет проводить MTU discovery для фрагментированных пакетов драйверу и избавиться от повторной фрагментации IPsec пакетов:

• IPsec-пакет может быть фрагментирован, если в SA установлен режим сброса или копирования DF-бита (DFHandling в LSP). При этом, если установлен режим копирования, в исходном пакете DF-бит должен быть сброшен.

• сочетание, когда включено MTU discovery и DFHandling = CLEAR, имеет смысл только при frag_df_options ≥ 2, т.к. нет смысла проводить MTU discovery, когда DF-бит всегда сброшен.

• 3 - комбинация 1 и 2.

frag_reassemble_timeout

чтение-запись

cекунды

0-255

0

Время жизни фрагмента IPv4 пакета в секундах.

• Если значение 0 - таймаут не задается.

• Если параметр больше 0, то данное значение используется наряду с TTL фрагмента, чтобы определить, когда его можно удалить из очереди, а именно: фрагмент будет удалён по прошествии указанного количества секунд (но не больше TTL). Рекомендуется устанавливать значение не более 2-3 секунд.

Примечание

Для Шлюза DP рекомендуется выставлять значение равное 2.

frag6_reassemble_timeout

чтение-запись

1-60

60

Время жизни фрагмента IPv6 пакета в секундах, от 1 до 60. По прошествии указанного количества секунд фрагмент будет удалён из очереди.

qos_preclassify

чтение-запись

0-2

0

Использование предварительной классификации пакетов с использованием кеша:

• 0 - кеш выключен;

• 1 - кеш единственный;

• 2 - отдельные кеши для каждого из CPU, на которых осуществляется проверка TOS входящих пакетов.

Размер кеша - фиксированный, не более 8192 образцов пакетов.

ipsec_breq_max

чтение-запись

unlimited

1000

Максимальное количество одновременно выполняющихся запросов на создание SA bundle. В LSP можно задать отдельные ограничения для каждого правила.

ipsec_breq_count

чтение

unlimited

0

Текущее количество одновременно выполняющихся запросов на создание SA bundle.

ipsec_recursive_policy

lsp-managed

0

Включение или выключение рекурсивного режим поиска правил IPsec для обработки пакетов. Настраивается в LSP через атрибут AllowNestedIPsec.

fw_filter_cache

чтение-запись

0-2

2

Режим кеширования правил firewall:

• 0 - не кешировать;

• 1 - кешировать в общем кеше;

• 2 - кешировать в отдельных кешах для каждого CPU.

fw_tcp_closed_ttl

lsp-managed

секунды

30

Время жизни записи о соединении.

Шлюз сначала определяет состояние TCP соединения для каждого из партнеров, которые создают TCP соединение через Шлюз безопасности. А в LSP в зависимости от этих состояний задано время жизни записи о соединении (см. Таблица 3). Настраиваются в LSP каждого из партнеров, которые создают TCP соединение через шлюз безопасности. А в LSP в зависимости от этих состояний задано время жизни записи о соединении (см. таблицу соответствий). Настраиваются в LSP.

fw_tcp_synsent_ttl

lsp-managed

секунды

30

fw_tcp_synrcvd_ttl

lsp-managed

секунды

30

fw_tcp_estab_ttl

lsp-managed

секунды

3600

fw_tcp_fin_ttl

lsp-managed

секунды

5

fw_tcp_strictness

lsp-managed

0-6

3

Уровень "жесткости" к различным ситуациям, которые воспринимаются шлюзом как ошибочные. Настраивается в LSP атрибуте TCPStrictnessLevel.

fw_tcp_open_max

lsp-managed

65536

Максимальное количество разрешенных TCP-соединений. При превышении данного предела новые TCP соединения будут отвергаться. Настраивается в LSP.

fw_tcp_half_open_max

lsp-managed

1-1000000

500

Максимальное количество одновременно существующих полуоткрытых сеансов TCP, при достижении которого начинается их удаление при появлении нового запроса на соединение. Настраивается в LSP.

fw_tcp_half_open_low

lsp-managed

1-1000000

400

Минимальное количество одновременно существующих полуоткрытых сеансов TCP, при достижении которого прекращается их удаление. Настраивается в LSP.

fw_tcp_conn_rate_max

lsp-managed

unlimited

500

Максимальная частота появления полуоткрытых сеансов TCP в минуту, по

достижении которой начинается их удаление. Настраивается в LSP.

fw_tcp_conn_rate_low

lsp-managed

unlimited

400

Минимальная частота появления полуоткрытых сеансов TCP в минуту, по достижении которой прекращается их удаление. Настраивается в LSP.

fw_udp_nestablished_ttl

lsp-managed

1-65535

30

Время жизни записи о соединении в зависимости от текущего состояния соединения. Время жизни записи считается от момента создания соединения.

Параметр настраивается средствами LSP, см. атрибут UDPNotEstablishedTimeout.

fw_udp_established_ttl

lsp-managed

1-65535

120

Время жизни записи о соединении в зависимости от текущего состояния соединения. Время жизни записи считается от момента получения первого ответного пакета.

Параметр настраивается средствами LSP, см. атрибут UDPEstablishedTimeout.

fw_tcp_disable_holes

чтение-запись

0-1

0

Значение 1 отключает добавление правил для пропуска пакетов с помощью фильтров с ExtendedAction = inspect_tcp или inspect_ftp через интерфейсы без этих правил.

Параметр настраивается средствами LSP, см. атрибут TCPDisableNonLocalFilters.

fw_udp_disable_holes

чтение-запись

0-1

0

Значение 1 отключает добавление правил для пропуска пакетов с помощью фильтров с ExtendedAction = inspect_udp через интерфейсы без этих правил.

Параметр настраивается средствами LSP, см. атрибут UDPDisableNonLocalFilters.

pkt_link_max_pkts

чтение-запись

пакеты

100-10000

0

Максимальный размер (в пакетах) очереди обмена (packet link) между драйвером-перехватчиком и службой tcp-инкасуляции/smart firewall.

pkt_link_max_kbytes

чтение-запись

килобайты

200-20000

200

Максимальный размер (в килобайтах) очереди обмена (packet link) между драйвером-перехватчиком и службой tcp-инкасуляции/smart firewall.

vif_minmtu_mode

чтение-запись

0-7

7 (111)

Режим поиска минимального MTU среди локальных сетевых интерфейсов.

Значение является битовой маской с тремя битами-флагами:

• Первый бит - учитывать только интерфейсы в состоянии UP (“1”), либо учитывать все интерфейсы (“0”).

• Второй бит - учитывать только те сетевые интерфейсы, которые заданы в LSP (“1”). При этом в файле ifaliases.cf должна быть запись о соответствии имени интерфейса, указанного в LSP, с именем интерфейса в операционной системе.

• Третий бит - учитывать только интерфейсы, для которых в LSP заданы правила построения защищенного соединения (“1”), т.е. задан атрибут IPsecPolicy. При этом в файле ifaliases.cf должна быть запись о соответствии имени интерфейса, указанного в LSP, с именем интерфейса в операционной системе.

Если выставлен третий бит, то обязательно должен быть выставлен второй бит.

Значения “4” (100) и “5” (101) использовать запрещено.

Состояние

Атрибут LSP

Структура атрибута LSP

Параметр в drv_mgr (только для просмотра)

Параметры TCP, задающие время жизни соединения

CLOSED, LISTEN

TCPClosedTimeout

FirewallParameters

fw_tcp_closed_ttl

SYNSENT

TCPSynSentTimeout

FirewallParameters

fw_tcp_synsent_ttl

SYNRCVD

TCPSynRcvdTimeout

FirewallParameters

fw_tcp_synrcvd_ttl

ESTAB

TCPEstablishedTimeout

FirewallParameters

fw_tcp_estab_ttl

FINWAIT-1, FINWAIT-2, CLOSING, TIMEWAIT, LASTACK, CLOSED

TCPFinTimeout

FirewallParameters

fw_tcp_fin_ttl

Параметры TCP, ограничивающие количество сессий

-

TCPStrictnessLevel

FirewallParameters

fw_tcp_strictness

-

TCPSessionsMax

FirewallParameters

fw_tcp_open_max

-

TCPHalfOpenMax

FirewallParameters

fw_tcp_half_open_max

-

TCPHalfOpenLow

FirewallParameters

fw_tcp_half_open_low

-

TCPSessionRateMax

FirewallParameters

fw_tcp_conn_rate_max

-

TCPSessionRateLow

FirewallParameters

fw_tcp_conn_rate_low

Параметры UDP, ограничивающие количество сессий

-

UDPNotEstablishedTimeout

FirewallParameters

fw_udp_nestablished_ttl

-

UDPEstablishedTimeout

FirewallParameters

fw_udp_established_ttl

Прочие параметры

-

TCPStrictnessLevel

FirewallParameters

fw_tcp_strictness

-

AllowNestedIPsec

GlobalParameters

ipsec_recursive_policy