Fehlerbehebung bei der Leistung sicherer Web-Appliances mit SHD-Protokollen

Einleitung

Dieses Dokument beschreibt die Protokolle des Systemintegritätsdämons (shd_logs) und wie Sie Probleme mit der SWA-Leistung (Secure Web Appliance) dieses Protokolls beheben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Physische oder Virtual Secure Web Appliance (SWA) installiert.
• Lizenz aktiviert oder installiert.
• Secure Shell (SSH)-Client.
• Der Setup-Assistent ist abgeschlossen.

• Administratorzugriff auf die SWA.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Was ist SHD LOGS?

SHD-Protokolle enthalten die meisten leistungsbezogenen Prozessstatistiken in SWA für jede Minute.

Hier ist ein Beispiel für eine SHD-Protokollzeile: 

Mon Jun 9 23:46:14 2022 Info: Status: CPULd 66.4 DskUtil 5.2 RAMUtil 11.3 Reqs 0 Band 0 Latency 0 CacheHit 0 CliConn 0 
SrvConn 0 MemBuf 0 SwpPgOut 0 ProxLd 0 Wbrs_WucLd 0.0 LogLd 0.0 RptLd 0.0 WebrootLd 0.0 SophosLd 0.0 McafeeLd 0.0 WTTLd 0.0 AMPLd 0.0

SHD-Protokolle können über die Befehlszeilenschnittstelle (CLI) und über das File Transfer Protocol (FTP) empfangen werden. Es gibt keine Optionen zum Anzeigen des Protokolls über die grafische Benutzeroberfläche (GUI).

Zugriff auf SHD-Protokolle

Über die CLI:

1. Geben Sie grep oder tail in die CLI ein. 
2. "shd_logs Typ suchen: Abrufen von SHD-Protokollen: FTP-Umfrage aus der Liste und geben Sie die entsprechende Nummer ein.
3. Geben Sie unter Geben Sie den zu grep gehörenden regulären Ausdruck ein.  Sie können reguläre Ausdrücke eingeben, um in den Protokollen zu suchen, z. B. Datum und Uhrzeit.
4. Soll bei dieser Suche die Groß-/Kleinschreibung beachtet werden? [Y]> Sie können dies als Standard beibehalten, es sei denn, Sie müssen nach Groß- und Kleinschreibung suchen, die Sie in SHD_Logs nicht benötigen.
5. Möchten Sie nach nicht übereinstimmenden Posten suchen? [N]> Sie können diese Zeile als Standard festlegen, es sei denn, Sie müssen nach allem mit Ausnahme des regulären Grep-Ausdrucks suchen.
6. Möchten Sie die Protokolle verfolgen? [N]> Diese Option ist nur in der Ausgabe des grep verfügbar. Wenn Sie dies als Standard (N) zulassen, werden die SHD-Protokolle aus der ersten Zeile der aktuellen Datei angezeigt.
7. Möchten Sie die Ausgabe paginieren? [N]> Wenn Sie "Y" wählen, ist die Ausgabe die gleiche wie die Ausgabe von weniger Befehl, können Sie zwischen Zeilen und Seiten auch Sie können innerhalb der Protokolle suchen (Geben Sie /dann das Schlüsselwort und drücken Sie die Eingabetaste), um die Log-Ansicht nach Typ q zu verlassen.

Über FTP:

1. Stellen Sie sicher, dass FTP über die GUI > Network > Interfaces (Netzwerk > Schnittstellen) aktiviert ist.
2. Stellen Sie über FTP eine Verbindung mit SWA her.
3. Shd_logs Ordner, enthält die Protokolle.  

SHD-Protokollfelder 

Die Felder in den SHD-Protokollen sind detailliert:

1. Manchmal kann man davon ausgehen, dass die Latenz in den SHD-Protokollen einen hohen Spitzenwert erreicht, wenn es beispielsweise auf der WSA nicht viele Anfragen gibt und irgendwann eine Verbindung mit langer Dauer hergestellt wurde, z. B. mehrere Tage. Diese eine Anforderung kann die Latenz für diese Minute erhöhen, wenn die Zugriffsprotokolle abgeschlossen und angemeldet werden.

2. Wie geschrieben in:

"Die RAM-Auslastung für ein working  effizientes System kann über 90 % liegen, da RAM, der ansonsten vom System nicht verwendet wird, vom Webobjekt-Cache verwendet wird. Wenn Ihr System keine experiencing  ernsthaften Leistungsprobleme hat und dieser Wert nicht bei 100% hängt, ist das System operating  normal."

Anmerkung: Ein Proxy-Pufferspeicher ist eine Komponente, die diesen RAM verwendet.

Fehlerbehebung mit SHD-Protokollen

Andere Prozesse mit hoher Last

Wenn die Last des anderen Prozesses hoch ist, überprüfen Sie die Tabelle-1 aus diesem Artikel und lesen Sie die Protokolle zu diesem Prozess.

Hohe Latenz 

Wenn Sie eine hohe Latenz in den SHD-Protokollen gesehen haben, müssen Sie die Proxy_track-Protokolle in /data/pub/track_stats/ überprüfen. Suchen Sie den Zeitrahmen, in dem die Latenz hoch ist. In der Proxy-Spur haben Sie einige Datensätze, die mit der Latenz in Zusammenhang stehen. Die Zahlen vor jedem Abschnitt geben die Gesamtanzahl seit dem letzten Neustart an. Beispiel für diesen Code: 

Current Date: Wed, 11 Jun 2022 20:03:32 CEST
...
   Client Time    6309.6 ms    109902
...
Current Date: Wed, 11 Jun 2022 20:08:32 CEST
...
   Client Time    6309.6 ms    109982

Innerhalb von 5 Minuten betrug die Anzahl der Anfragen von Clients, die 6309,6 ms oder mehr beanspruchten, 80. Sie müssen also die Zahlen in jedem Zeitrahmen subtrahieren, um den genauen Wert zu erhalten, den Sie für diese Elemente berücksichtigen müssen:

Clientzeit: Zeitaufwand zwischen Client und SWA

Trefferzeit: Cache-Treffer: Die angeforderten Daten befinden sich im Cache und können an den Client übermittelt werden.

Verpasst am: Cache-Fehlschlag: Die angeforderten Daten befinden sich nicht im Cache oder sind nicht auf dem neuesten Stand und können nicht an den Client übermittelt werden. 

Servertransaktionszeit: Zeitaufwand zwischen SWA und Webserver

Auch diese Werte müssen bei der Leistungsprüfung berücksichtigt werden:

Benutzerzeit: 160,852 (53,33 %)
Systemzeit: 9,768 (3,256 %)

In Track-Statusprotokollen werden die Informationen alle 5 Minuten (300 Sekunden) protokolliert. In diesem Beispiel ist die Benutzerzeit 160.852 die Zeit (in Sekunden), in der die CPU mit Aufgaben zur Bearbeitung von Benutzeranfragen geladen wurde. Die Systemzeit ist die Zeit, in der die SWA Netzwerkereignisse verarbeitet hat, z. B. Routing-Entscheidungen usw. Die Summe dieser beiden Prozentwerte entspricht der gesamten CPU-Last für diese Zeit. Wenn die Benutzerzeit hoch ist, ist sie bedeutet, dass Sie Konfigurationen mit hoher Komplexität berücksichtigen müssen.

Zugehörige Informationen

• WSA AsyncOS - Versionshinweise
• Kompatibilitätsmatrix für Cisco Secure Email und Web Manager
• Konnektivitätsprüfung für Upgrades und Updates
• Technischer Support und Downloads von Cisco