Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Anforderungen, Überlegungen und bewährte Verfahren für die Konfiguration von ONTAP FPolicy

Beitragende netapp-barbe netapp-pcarriga netapp-aaron-holt netapp-dbagwell netapp-forry netapp-ahibbard netapp-aherbin
Änderungen vorschlagen
PDFs

Bevor Sie FPolicy Konfigurationen auf Ihren Storage Virtual Machines (SVMs) erstellen und konfigurieren, sollten bestimmte Anforderungen, Überlegungen und Best Practices für die Konfiguration von FPolicy beachtet werden.

FPolicy Funktionen werden entweder über die Befehlszeile (CLI) oder über REST APIs konfiguriert.

Anforderungen für die Einrichtung von FPolicy

Bevor Sie FPolicy auf Ihrer Storage Virtual Machine (SVM) konfigurieren und aktivieren, müssen bestimmte Voraussetzungen beachtet werden.

  • Alle Knoten im Cluster müssen eine Version von ONTAP ausführen, die FPolicy unterstützt.

  • Wenn die ONTAP native FPolicy Engine nicht verwendet wird, müssen externe FPolicy Server (FPolicy Server) installiert sein.

  • Die FPolicy Server müssen auf einem Server installiert sein, der von den Daten-LIFs der SVM erreichbar ist, auf der FPolicy Richtlinien aktiviert sind.

    Hinweis Ab ONTAP 9.8 stellt ONTAP mit der Hinzufügung des data-fpolicy-client Service einen Client-LIF-Dienst für ausgehende FPolicy-Verbindungen bereit. "Weitere Informationen zu LIFs und Servicerichtlinien".

  • Die IP-Adresse des FPolicy Servers muss in der externen Engine-Konfiguration der FPolicy Richtlinie als primärer oder sekundärer Server konfiguriert werden.

  • Wenn die FPolicy Server über einen privilegierten Datenkanal auf Daten zugreifen, müssen die folgenden zusätzlichen Anforderungen erfüllt sein:

    • SMB muss auf dem Cluster lizenziert sein.

      Der Zugriff auf privilegierte Daten erfolgt über SMB Verbindungen.

    • Für den Zugriff auf Dateien über den privilegierten Datenkanal muss ein Benutzeranmeldeinformation konfiguriert werden.

    • Der FPolicy Server muss unter den in der FPolicy Konfiguration festgelegten Anmeldeinformationen ausgeführt werden.

    • Alle Daten-LIFs, die zur Kommunikation mit den FPolicy-Servern verwendet werden, müssen so konfiguriert sein, dass cifs als eines der zulässigen Protokolle erlaubt ist.

      Dies umfasst auch die LIFs, die für Passthrough-Read-Verbindungen verwendet werden.

Bewährte Verfahren und Empfehlungen zur Einrichtung von FPolicy

Bei der Einrichtung von FPolicy auf Storage Virtual Machines (SVMs) ist es ratsam, sich mit den allgemeinen Best Practices und Empfehlungen für die Konfiguration vertraut zu machen, damit die FPolicy Konfiguration eine robuste Überwachungsleistung und Ergebnisse bietet, die den Anforderungen entsprechen.

Spezifische Richtlinien zu Leistung, Dimensionierung und Konfiguration sind in der FPolicy-Partneranwendung zu beachten.

Persistente Speicher

Ab ONTAP 9.14.1 ermöglicht FPolicy die Einrichtung eines persistenten Speichers zur Erfassung von Dateizugriffsereignissen für asynchrone, nicht obligatorische Richtlinien in der SVM. Persistente Speicher können die Client-E/A-Verarbeitung von der FPolicy-Benachrichtigungsverarbeitung entkoppeln, um die Client-Latenz zu reduzieren. Synchrone (obligatorische oder nicht obligatorische) und asynchron obligatorische Konfigurationen werden nicht unterstützt.

  • Vor der Verwendung der Funktionalität des persistenten Speichers ist sicherzustellen, dass Ihre Partneranwendungen diese Konfiguration unterstützen.

  • Sie benötigen einen persistenten Speicher für jede SVM, bei der FPolicy aktiviert ist.

    • Auf jeder SVM kann nur ein persistenter Speicher eingerichtet werden. Dieser einzelne persistente Speicher muss für alle FPolicy Konfigurationen auf dieser SVM verwendet werden, selbst wenn die Richtlinien von verschiedenen Partnern stammen.

  • ONTAP 9.15.1 oder höher:

    • Der persistente Speicher, sein Volume und seine Volume-Konfiguration werden beim Erstellen des persistenten Speichers automatisch verwaltet.

  • ONTAP 9.14.1:

    • Der persistente Speicher, sein Volume und seine Volume-Konfiguration werden manuell verwaltet.

  • Das persistente Speichervolume wird auf dem Knoten mit LIFs erstellt, bei denen erwartet wird, dass der maximale Datenverkehr von FPolicy überwacht wird.

    • ONTAP 9.15.1 oder höher: Volumes werden während der Erstellung des persistenten Speichers automatisch erstellt und konfiguriert.

    • ONTAP 9.14.1: Cluster-Administratoren müssen auf jeder SVM, auf der FPolicy aktiviert ist, ein Volume für den persistenten Speicher erstellen und konfigurieren.

  • Wenn die im persistenten Speicher angesammelten Benachrichtigungen die Größe des bereitgestellten Volumens überschreiten, beginnt FPolicy, die eingehenden Benachrichtigungen mit entsprechenden EMS-Meldungen zu verwerfen.

    • ONTAP 9.15.1 oder höher: Zusätzlich zu dem size Parameter kann der autosize-mode Parameter dazu beitragen, dass das Volume in Abhängigkeit vom belegten Speicherplatz wächst oder schrumpft.

    • ONTAP 9.14.1: Der size Parameter wird bei der Volume-Erstellung konfiguriert, um ein maximales Limit festzulegen.

  • Setzen Sie die Snapshot-Richtlinie für das persistente Speichervolume auf none statt auf default. Dies stellt sicher, dass kein versehentliches Wiederherstellen des Snapshots erfolgt, was zum Verlust aktueller Ereignisse führen könnte, und verhindert eine mögliche doppelte Ereignisverarbeitung.

    • ONTAP 9.15.1 oder höher: Der snapshot-policy Parameter wird bei der Erstellung des persistenten Speichers automatisch auf none gesetzt.

    • ONTAP 9.14.1: Der snapshot-policy Parameter wird none während der Volume-Erstellung konfiguriert.

  • Das persistente Speichervolume sollte für den externen Benutzerprotokollzugriff (CIFS/NFS) unzugänglich gemacht werden, um eine versehentliche Beschädigung oder Löschung der persistent gespeicherten Ereignisdatensätze zu vermeiden.

    • ONTAP 9.15.1 oder höher: ONTAP blockiert das Volume während der Erstellung des persistenten Speichers automatisch für den Zugriff über externe Benutzerprotokolle (CIFS/NFS).

    • ONTAP 9.14.1: Nach der Aktivierung von FPolicy das Volume in ONTAP aushängen, um den Verbindungspfad zu entfernen. Dadurch ist der Zugriff über externe Benutzerprotokolle (CIFS/NFS) nicht mehr möglich.

Weitere Informationen finden Sie unter "FPolicy persistente Speicher" und "Persistente Speicher erstellen".

Failover und Rückgabe des persistenten Speichers

Der persistente Speicher bleibt im Zustand des letzten empfangenen Ereignisses, wenn ein unerwarteter Neustart erfolgt oder FPolicy deaktiviert und wieder aktiviert wird. Nach einer Übernahme werden neue Ereignisse vom Partnerknoten gespeichert und verarbeitet. Nach einer Rückgabe nimmt der persistente Speicher die Verarbeitung aller möglicherweise noch vorhandenen, nicht verarbeiteten Ereignisse wieder auf, die beim Node-Takeover entstanden sind. Live-Ereignisse erhalten Vorrang vor nicht verarbeiteten Ereignissen.

Wird das persistente Speichervolume innerhalb desselben SVM von einem Knoten auf einen anderen verschoben, werden auch die noch nicht verarbeiteten Benachrichtigungen auf den neuen Knoten übertragen. Sie müssen den fpolicy persistent-store create Befehl auf einem der beiden Knoten erneut ausführen, nachdem das Volume verschoben wurde, damit die ausstehenden Benachrichtigungen an den externen Server zugestellt werden.

Weitere Informationen zu fpolicy persistent-store create finden sich in der "ONTAP-Befehlsreferenz".

Richtlinienkonfiguration

Die Konfiguration der externen FPolicy Engine, der Ereignisse und des Gültigkeitsbereichs für SVMs kann die Gesamterfahrung und Sicherheit verbessern.

  • Konfiguration der externen FPolicy Engine für SVMs:

    • Zusätzliche Sicherheitsmaßnahmen gehen mit Leistungseinbußen einher. Die Aktivierung der Secure Sockets Layer (SSL)-Kommunikation hat Auswirkungen auf die Leistung beim Zugriff auf Freigaben.

    • Die externe FPolicy Engine sollte mit mehr als einem FPolicy Server konfiguriert werden, um Ausfallsicherheit und hohe Verfügbarkeit der FPolicy Server-Benachrichtigungsverarbeitung zu gewährleisten.

  • Konfiguration von FPolicy Ereignissen für SVMs:

    Die Überwachung von Dateivorgängen beeinflusst Ihre Gesamterfahrung. Beispielsweise verbessert das Filtern unerwünschter Dateivorgänge auf der Speicherseite Ihre Erfahrung. NetApp empfiehlt die folgende Konfiguration:

    • Überwachung der minimalen Arten von Dateivorgängen und Aktivierung der maximalen Anzahl von Filtern, ohne den Anwendungsfall zu beeinträchtigen.

    • Filter werden für getattr-, Lese-, Schreib-, Öffnungs- und Schließvorgänge verwendet. In SMB- und NFS-Home-Verzeichnisumgebungen ist der Anteil dieser Vorgänge hoch.

  • Konfiguration des FPolicy Bereichs für SVMs:

    Der Geltungsbereich der Richtlinien sollte auf die relevanten Speicherobjekte wie Freigaben, Volumes und Exporte beschränkt werden, anstatt sie für die gesamte SVM zu aktivieren. NetApp empfiehlt, die Verzeichniserweiterungen zu überprüfen. Wenn der is-file-extension-check-on-directories-enabled Parameter auf true gesetzt ist, werden Verzeichnisobjekte denselben Erweiterungsprüfungen unterzogen wie reguläre Dateien.

Netzwerkkonfiguration

Die Netzwerkverbindung zwischen dem FPolicy-Server und dem Controller sollte eine geringe Latenz aufweisen. NetApp empfiehlt, den FPolicy-Datenverkehr durch die Verwendung eines privaten Netzwerks vom Client-Datenverkehr zu trennen.

Darüber hinaus empfiehlt es sich, externe FPolicy Server (FPolicy Server) in unmittelbarer Nähe des Clusters mit einer hohen Bandbreite zu platzieren, um minimale Latenz und eine hohe Bandbreite zu gewährleisten.

Hinweis In einem Szenario, in dem der LIF für FPolicy-Datenverkehr auf einem anderen Port als der LIF für Client-Datenverkehr konfiguriert ist, kann der FPolicy-LIF aufgrund eines Portausfalls auf den anderen Knoten übergehen. Dadurch ist der FPolicy-Server von dem Knoten aus, der die FPolicy-Benachrichtigungen für Dateivorgänge generiert, nicht mehr erreichbar, sodass die FPolicy-Benachrichtigungen für Dateivorgänge auf diesem Knoten fehlschlagen. Um dieses Problem zu vermeiden, sollte sichergestellt sein, dass der FPolicy-Server über mindestens einen LIF auf dem Knoten erreichbar ist, um FPolicy-Anfragen für die auf diesem Knoten durchgeführten Dateivorgänge zu verarbeiten.

Hardwarekonfiguration

Der FPolicy Server kann entweder auf einem physischen Server oder auf einem virtuellen Server betrieben werden. Wenn sich der FPolicy Server in einer virtuellen Umgebung befindet, sollten dem virtuellen Server dedizierte Ressourcen (CPU, Netzwerk und Arbeitsspeicher) zugewiesen werden.

Das Verhältnis von Clusterknoten zu FPolicy Servern sollte optimiert werden, um eine Überlastung der FPolicy Server zu vermeiden, was zu Latenzen führen kann, wenn die SVM auf Clientanfragen reagiert. Das optimale Verhältnis hängt von der jeweiligen Partneranwendung ab, für die der FPolicy Server verwendet wird. NetApp empfiehlt, gemeinsam mit Partnern den geeigneten Wert zu bestimmen.

Konfiguration mit mehreren Richtlinien

Die FPolicy Richtlinie für natives Blockieren hat unabhängig von der Sequenznummer die höchste Priorität, und entscheidungsändernde Richtlinien haben eine höhere Priorität als andere. Die Priorität der Richtlinie hängt vom Anwendungsfall ab. NetApp empfiehlt die Zusammenarbeit mit Partnern, um die angemessene Priorität zu bestimmen.

Größenüberlegungen

FPolicy überwacht SMB- und NFS-Operationen direkt, sendet Benachrichtigungen an den externen Server und wartet auf eine Antwort, abhängig vom Kommunikationsmodus der externen Engine (synchron oder asynchron). Dieser Prozess wirkt sich auf die Performance des SMB- und NFS-Zugriffs sowie auf die CPU-Ressourcen aus.

Um mögliche Probleme zu vermeiden, empfiehlt NetApp, gemeinsam mit Partnern die Umgebung zu bewerten und zu dimensionieren, bevor FPolicy aktiviert wird. Die Leistung wird durch verschiedene Faktoren beeinflusst, darunter die Anzahl der Benutzer, die Merkmale der Arbeitslast wie Operationen pro Benutzer und Datengröße, die Netzwerklatenz sowie Ausfälle oder Langsamkeit von Servern.

Leistung überwachen

FPolicy ist ein benachrichtigungsbasiertes System. Benachrichtigungen werden zur Verarbeitung an einen externen Server gesendet und eine Antwort wird an ONTAP zurückgesendet. Dieser Roundtrip-Prozess erhöht die Latenz für den Clientzugriff.

Die Überwachung der Leistungsindikatoren auf dem FPolicy Server und in ONTAP ermöglicht die Identifizierung von Engpässen in der Lösung und die Anpassung der Parameter für eine optimale Lösung. Beispielsweise hat eine erhöhte FPolicy Latenz eine kaskadierende Auswirkung auf die SMB- und NFS-Zugriffslatenz. Deshalb empfiehlt sich die Überwachung sowohl der Arbeitslast (SMB und NFS) als auch der FPolicy Latenz. Zusätzlich lassen sich in ONTAP Quality-of-Service-Richtlinien verwenden, um für jedes Volume oder jede SVM, die für FPolicy aktiviert ist, eine Arbeitslast festzulegen.

NetApp empfiehlt, den statistics show –object workload Befehl auszuführen, um Workload-Statistiken anzuzeigen. Zusätzlich sollten die folgenden Parameter überwacht werden:

  • Durchschnittliche Latenzen für Lesen und Schreiben

  • Gesamtzahl der Operationen

  • Lese- und Schreibzähler

Die Leistung der FPolicy Subsysteme lässt sich mithilfe der folgenden FPolicy Zähler überwachen.

Hinweis Sie müssen sich im Diagnosemodus befinden, um Statistiken im Zusammenhang mit FPolicy zu erfassen.
Schritte

  1. FPolicy-Zähler erfassen:

    1. statistics start -object fpolicy -instance <instance_name> -sample-id <ID>

    2. statistics start -object fpolicy_policy -instance <instance_name> -sample-id <ID>

  2. FPolicy-Zähler anzeigen:

    1. statistics show -object fpolicy -instance <instance_name> -sample-id <ID>

    2. statistics show -object fpolicy_server -instance <instance_name> -sample-id <ID>

      Die fpolicy- und fpolicy_server-Zähler liefern Informationen zu verschiedenen Leistungsparametern, die in der folgenden Tabelle beschrieben sind.

      Zähler Beschreibung

      fpolicy counters

      abgebrochene Anfragen

      Anzahl der Bildschirmanforderungen, für die die Verarbeitung auf der SVM abgebrochen wurde

      Ereignisanzahl

      Liste der Ereignisse, die eine Benachrichtigung auslösen

      max_request_latency

      Maximale Latenz bei Bildschirmanfragen

      ausstehende_Anfragen

      Gesamtzahl der laufenden Bildschirmanfragen

      verarbeitete_Anfragen

      Gesamtzahl der Bildschirmanforderungen, die auf dem SVM die fpolicy Verarbeitung durchlaufen haben

      Anfragelatenz_hist

      Histogramm der Latenz für Bildschirmanfragen

      Anfragen-Auslieferungsrate

      Anzahl der pro Sekunde versendeten Bildschirmanfragen

      requests_received_rate

      Anzahl der pro Sekunde empfangenen Bildschirmanfragen

      fpolicy_server-Zähler

      max_request_latency

      Maximale Latenz für eine Bildschirmanfrage

      ausstehende_Anfragen

      Gesamtzahl der auf eine Antwort wartenden Bildschirmanfragen

      Anfragelatenz

      Durchschnittliche Latenz für Bildschirmanfrage

      Anfragelatenz_hist

      Histogramm der Latenz für Bildschirmanfragen

      Anfrage-Sende-Rate

      Anzahl der pro Sekunde an den FPolicy Server gesendeten Bildschirmanfragen

      Antwortempfangsrate

      Anzahl der vom FPolicy Server pro Sekunde empfangenen Bildschirmantworten

    Weitere Informationen zu statistics start und statistics show finden sich in der "ONTAP-Befehlsreferenz".

FPolicy Workflow und Abhängigkeit von anderen Technologien verwalten

NetApp empfiehlt, eine FPolicy Richtlinie zu deaktivieren, bevor Konfigurationsänderungen vorgenommen werden. Wenn beispielsweise eine IP-Adresse in der für die aktivierte Richtlinie konfigurierten externen Engine hinzugefügt oder geändert werden soll, ist zuerst die Richtlinie zu deaktivieren.

Wenn Sie FPolicy zur Überwachung von NetApp FlexCache Volumes konfigurieren, empfiehlt NetApp, FPolicy nicht zur Überwachung von Lese- und Getattr-Dateioperationen zu konfigurieren. Die Überwachung dieser Operationen in ONTAP erfordert das Abrufen von Inode-zu-Pfad (I2P) Daten. Da I2P-Daten nicht von FlexCache Volumes abgerufen werden können, müssen sie vom Ursprungsvolume abgerufen werden. Daher entfallen durch die Überwachung dieser Operationen die Leistungs­vorteile, die FlexCache bieten kann.

Wenn sowohl FPolicy als auch eine externe Antivirenlösung im Einsatz sind, erhält die Antivirenlösung die Benachrichtigungen zuerst. Die Verarbeitung durch FPolicy beginnt erst, nachdem der Antivirenscan abgeschlossen ist. Es ist wichtig, die Antivirenlösungen korrekt zu dimensionieren, da ein langsamer Antivirenscanner die Gesamtleistung beeinträchtigen kann.

Überlegungen zum Passthrough-Read-Upgrade und Revert

Es gibt bestimmte Aspekte beim Upgrade und Revertierung, die bekannt sein sollten, bevor auf eine ONTAP Version aktualisiert wird, die passthrough-read unterstützt, oder bevor auf eine Version zurückgekehrt wird, die passthrough-read nicht unterstützt.

Upgrade

Nachdem alle Knoten auf eine Version von ONTAP aktualisiert wurden, die FPolicy Passthrough-Read unterstützt, ist der Cluster in der Lage, die Passthrough-Read-Funktionalität zu nutzen; jedoch ist Passthrough-Read in bestehenden FPolicy Konfigurationen standardmäßig deaktiviert. Um Passthrough-Read in bestehenden FPolicy Konfigurationen zu verwenden, muss die FPolicy Richtlinie deaktiviert, die Konfiguration geändert und anschließend die Konfiguration wieder aktiviert werden.

Wiederherstellung

Bevor auf eine Version von ONTAP zurückgekehrt wird, die FPolicy passthrough-read nicht unterstützt, müssen die folgenden Bedingungen erfüllt sein:

  • Alle Richtlinien, die passthrough-read verwenden, deaktivieren und anschließend die betroffenen Konfigurationen so anpassen, dass sie passthrough-read nicht mehr verwenden.

  • Die FPolicy Funktionalität im Cluster wird deaktiviert, indem jede FPolicy Richtlinie im Cluster deaktiviert wird.

Bevor auf eine Version von ONTAP zurückgekehrt wird, die keine persistenten Speicher unterstützt, muss sichergestellt sein, dass keine der FPolicy Richtlinien einen persistenten Speicher konfiguriert hat. Wenn ein persistenter Speicher konfiguriert ist, schlägt das Zurücksetzen fehl.

Verwandte Informationen