Симптомы

Наблюдаем ситуацию по дашборду, либо получаем уведомления о повышенном использовании оперативной памяти на устройстве в период пиковой загрузки.Повышенное потребление SWAP файла.

UserGate работает как прокси-сервер, обрабатывается довольно большое количество HTTP-трафика, также настроены ICAP-серверы и ICAP-правила с отсылкой информации на них в режиме "Переслать" и т.д.

Решение

1. При повышенном трафике через прокси-сервер, отправляемом на ICAP-сервер, может потребоваться разгрузка такого прокси-сервера добавлением его в кластер и балансировке трафика на этот кластер.
2. При работе кластера прокси-серверов, также потребуется учесть наличие достаточного количества ICAP-серверов, т.к. если в схеме используется один ICAP-сервер, он может быть перегружен и отдавать ответы с задержкой. Может также потребоваться создание ICAP-балансировщика в разделе Балансировка нагрузки с указанием этих ICAP-серверов.
3. Проверить достаточность ширины полосы пропускания.
4. При работе кластера прокси-серверов, также потребуется учесть наличие у этих серверов достаточного количества оперативной памяти.
5. Для размера максимального сообщения, задаваемого в настройках ICAP-серверов в одноименном разделе UserGate, опираясь на политики и требования организации должен быть определен минимально возможный нижний предел, чтобы предотвратить нежелательное перерасходование оперативной памяти устройств.
6. Также для понимания примерного требуемого количества оперативной памяти для обслуживания в схеме с ICAP в единицу времени, необходимо учитывать количество запросов в журнале веб-доступа в эту же единицу времени, их средний размер, время ответа ICAP-сервера, ширину полосы пропускания.

Причина

NGFW при настроенных правилах ICAP считывает в свою память запросы как перед их отправкой на проверку на ICAP сервер, так и пока ожидает решения по ним, в случае, если настроено правило ICAP с действием "Переслать". Чем больше такой запрос, либо чем больше таких запросов, тем больше будет потребляться памяти.