Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Bewährte Vorgehensweisen für die Konfiguration der Off-Box-Antivirenfunktionalität in ONTAP Vscan

Beitragende netapp-maireadn netapp-barbe netapp-aaron-holt
Änderungen vorschlagen
PDFs

Die folgenden Empfehlungen zur Konfiguration der Off-Box-Funktionalität in ONTAP sind zu berücksichtigen.

  • Privilegierte Benutzer sollten auf Virenscan-Operationen beschränkt werden. Normale Benutzer sollten davon abgehalten werden, die Anmeldedaten privilegierter Benutzer zu verwenden. Diese Einschränkung kann durch das Deaktivieren der Anmelderechte für privilegierte Benutzer in Active Directory erreicht werden.

  • Privilegierte Benutzer müssen keiner Benutzergruppe mit umfangreichen Rechten in der Domäne angehören, wie beispielsweise der Administratorengruppe oder der Gruppe der Sicherungsoperatoren. Privilegierte Benutzer müssen ausschließlich vom Speichersystem validiert werden, sodass sie Vscan Server-Verbindungen erstellen und auf Dateien für die Virussuche zugreifen dürfen.

  • Die Computer, auf denen die Vscan-Server laufen, dürfen ausschließlich für Virenscan-Zwecke verwendet werden. Zur Vermeidung einer allgemeinen Nutzung sollten die Windows-Terminaldienste und andere Fernzugriffsfunktionen auf diesen Rechnern deaktiviert werden, und das Recht zur Installation neuer Software auf diesen Rechnern sollte ausschließlich Administratoren vorbehalten sein.

  • Die Vscan-Server sollten ausschließlich für Virusschutz verwendet und nicht für andere Vorgänge wie Backups genutzt werden. Es kann entschieden werden, den Vscan-Server als virtuelle Maschine (VM) zu betreiben. Wenn der Vscan-Server als VM betrieben wird, ist sicherzustellen, dass die der VM zugewiesenen Ressourcen nicht gemeinsam genutzt werden und ausreichend für den Virusschutz sind.

  • Es sollte sichergestellt werden, dass dem Vscan-Server ausreichende CPU-, Arbeitsspeicher- und Festplattenkapazität zur Verfügung steht, um eine Überbelegung der Ressourcen zu vermeiden. Die meisten Vscan-Server sind so konzipiert, dass sie mehrere CPU-Kerne nutzen und die Last auf die CPUs verteilen.

  • NetApp empfiehlt, für die Verbindung von der SVM zum Vscan-Server ein dediziertes Netzwerk mit einem privaten VLAN zu verwenden, damit der Scan-Datenverkehr nicht durch anderen Client-Netzwerkverkehr beeinträchtigt wird. Eine separate Netzwerkkarte (NIC) sollte erstellt werden, die dem Antivirus-VLAN auf dem Vscan-Server und dem Daten-LIF auf der SVM zugeordnet ist. Dieser Schritt vereinfacht die Administration und die Fehlerbehebung, falls Netzwerkprobleme auftreten. Der Antivirus-Datenverkehr sollte durch ein privates Netzwerk getrennt werden. Der Antivirus-Server sollte so konfiguriert werden, dass er mit dem Domänencontroller (DC) und ONTAP auf eine der folgenden Arten kommuniziert:

    • Der DC sollte mit den Antivirenservern über das private Netzwerk kommunizieren, das zur Trennung des Datenverkehrs verwendet wird.

    • Der Domänencontroller und der Antivirenserver sollten über ein anderes Netzwerk kommunizieren (nicht das zuvor erwähnte private Netzwerk), das nicht mit dem CIFS-Client-Netzwerk identisch ist.

    • Um die Kerberos-Authentifizierung für die Antivirus-Kommunikation zu ermöglichen, ist ein DNS-Eintrag für die privaten LIFs sowie ein Service Principal Name auf dem Domänencontroller zu erstellen, der dem für die private LIF erstellten DNS-Eintrag entspricht. Dieser Name ist beim Hinzufügen einer LIF zum Antivirus Connector zu verwenden. Der DNS-Server sollte für jede mit dem Antivirus Connector verbundene private LIF einen eindeutigen Namen zurückgeben können.

Tipp Wenn der LIF für Vscan-Datenverkehr auf einem anderen Port als der LIF für Client-Datenverkehr konfiguriert ist, kann der Vscan-LIF bei einem Portausfall auf einen anderen Knoten ausweichen. Dadurch ist der Vscan-Server vom neuen Knoten aus nicht erreichbar und die Scan-Benachrichtigungen für Dateivorgänge auf dem Knoten schlagen fehl. Es sollte sichergestellt sein, dass der Vscan-Server über mindestens einen LIF auf einem Knoten erreichbar ist, sodass er Scan-Anfragen für Dateivorgänge auf diesem Knoten verarbeiten kann.

  • Das NetApp Speichersystem und der Vscan-Server werden über ein Netzwerk mit mindestens 1 GbE verbunden.

  • In Umgebungen mit mehreren Vscan Servern sollten alle Server mit vergleichbar leistungsstarken Netzwerkverbindungen miteinander verbunden werden. Durch die Verbindung der Vscan Server wird die Leistung durch Lastverteilung verbessert.

  • Für entfernte Standorte und Zweigstellen empfiehlt NetApp, einen lokalen Vscan-Server anstelle eines Remote-Vscan-Servers zu verwenden, da ersterer eine ideale Option bei hoher Latenz ist. Wenn die Kosten eine Rolle spielen, kann ein Laptop oder PC für moderaten Virusschutz eingesetzt werden. Es besteht die Möglichkeit, regelmäßige vollständige Dateisystemscans zu planen, indem die Volumes oder Qtrees freigegeben und von jedem System am entfernten Standort gescannt werden.

  • Mehrere Vscan Server können verwendet werden, um die Daten auf der SVM zur Lastverteilung und Redundanz zu scannen. Das CIFS-Arbeitsaufkommen und der daraus resultierende Virusschutz-Traffic variieren je nach SVM. Die CIFS-Latenz und die Virusschutz-Latenz auf dem Storage Controller sollten überwacht werden. Die Entwicklung der Ergebnisse im Zeitverlauf sollte beobachtet werden. Wenn die CIFS-Latenz und die Virusschutz-Latenz aufgrund von CPU- oder Anwendungswarteschlangen auf den Vscan Servern die festgelegten Schwellenwerte überschreiten, können CIFS-Clients lange Wartezeiten erfahren. Zusätzliche Vscan Server können hinzugefügt werden, um die Last zu verteilen.

  • Die neueste Version des ONTAP Antivirus Connectors installieren.

  • Antiviren-Engines und -Definitionen sollten stets auf dem neuesten Stand gehalten werden. Partner können Empfehlungen dazu geben, wie häufig eine Aktualisierung erfolgen sollte.

  • In einer Mandantenfähigkeit-Umgebung kann ein Scanner-Pool (Pool von Vscan-Servern) mit mehreren SVMs gemeinsam genutzt werden, sofern die Vscan-Server und die SVMs Teil derselben Domäne oder einer vertrauenswürdigen Domäne sind.

  • Die Antivirensoftware-Richtlinie für infizierte Dateien sollte auf „Löschen“ oder „Quarantäne“ eingestellt sein, was dem von den meisten Antivirenherstellern festgelegten Standardwert entspricht. Wenn das „vscan-fileop-profile“ auf „write_only“ gesetzt ist und eine infizierte Datei gefunden wird, bleibt die Datei in der Freigabe und kann geöffnet werden, da das Öffnen einer Datei keinen Scan auslöst. Der Virenscan wird erst nach dem Schließen der Datei ausgelöst.

  • Der scan-engine timeout Wert sollte kleiner als der scanner-pool request-timeout Wert sein. Ist er auf einen höheren Wert gesetzt, kann der Zugriff auf Dateien verzögert werden und schließlich zu einem Timeout führen. Um dies zu vermeiden, sollte der scan-engine timeout Wert auf 5 Sekunden weniger als der scanner-pool request-timeout Wert konfiguriert werden. Informationen zum Ändern der scan-engine timeout Einstellungen sind in der Dokumentation des Scan-Engine-Anbieters zu finden. Der scanner-pool timeout Wert kann im erweiterten Modus mit dem folgenden Befehl und dem entsprechenden Wert für den request-timeout Parameter geändert werden: vserver vscan scanner-pool modify.

  • Für eine Umgebung, die für On-Access-Scan-Workloads ausgelegt ist und den Einsatz von On-Demand-Scans erfordert, empfiehlt NetApp, den On-Demand-Scan-Job außerhalb der Spitzenzeiten einzuplanen, um zusätzliche Lasten auf der bestehenden Antiviren-Infrastruktur zu vermeiden.

Weitere Informationen zu Best Practices speziell für Partner finden Sie unter "Vscan Partnerlösungen".