แก้ไขปัญหาการใช้งาน CPU สูงของ Zimbra ด้วย ClamAV หรือ FreshClam

เมื่อเซิร์ฟเวอร์ Zimbra ทำงานช้าลงอย่างกะทันหัน ผู้ดูแลระบบมักจะเห็นclamdหรือfreshclamใกล้กับส่วนบนสุดของtopกราฟ และเข้าใจผิดว่าบริการป้องกันไวรัสค้างอยู่ ซึ่งอาจเกิดขึ้นได้ แต่กระบวนการทั้งสองทำงานแตกต่างกัน: freshclamClamAV ดาวน์โหลดและตรวจสอบการอัปเดตลายเซ็น ในขณะที่clamdClamAV สแกนไฟล์และข้อความ คิวอีเมลที่ยุ่ง การโหลดฐานข้อมูลใหม่ การวนลูปการอัปเดตที่ล้มเหลว หรือเดมอนป้องกันไวรัสตัวที่สอง อาจทำให้ดูเหมือนว่า “ClamAV ใช้ CPU มากเกินไป” ตรวจสอบว่ากระบวนการใดใช้ CPU มากเกินไปก่อนที่จะรีสตาร์ทหรือเปลี่ยนแปลงการตั้งค่าป้องกันไวรัสใดๆ

คู่มือนี้จะอธิบายขั้นตอนตั้งแต่การตรวจสอบความเสี่ยงต่ำไปจนถึงการกู้คืนบริการ คำสั่งและเส้นทางด้านล่างนี้แสดงถึงการติดตั้ง Zimbra ทั่วไป เส้นทาง ClamAV ที่มาพร้อมกับโปรแกรมและขั้นตอนการกู้คืนที่รองรับจะแตกต่างกันไปตามเวอร์ชันของ Zimbra Collaboration โปรดตรวจสอบกับเวอร์ชันที่คุณติดตั้งก่อนทำการเปลี่ยนแปลง

1. ตรวจสอบว่ากระบวนการใดของ ClamAV ที่ใช้ CPU มากที่สุด

เริ่มต้นด้วยการบันทึกชื่อกระบวนการ การใช้งาน CPU เวลาที่ใช้ และเส้นทางคำสั่ง เรียกใช้คำสั่งนี้ในฐานะผู้ใช้ root หรือบัญชีที่ได้รับอนุญาตให้ตรวจสอบกระบวนการของระบบ:

ps -eo pid,pcpu,pmem,etime,args | grep -E 'clamd|freshclam'

จากนั้นให้สังเกตกระบวนการที่ต้องสงสัยอย่างน้อยช่วงเวลาสั้นๆ โดยใช้คำสั่ง `git log src` โดยtop -p PIDแทนที่ ` PID<i>` ด้วยหมายเลขจากคำสั่งแรก การอ่านค่าเพียงครั้งเดียวไม่เพียงพอที่จะวินิจฉัยปัญหาที่เกิดขึ้นอย่างต่อเนื่อง: `git log src` psแสดงภาพรวม ขณะที่ ` topgit log src` ช่วยให้คุณเห็นว่าการใช้งาน CPU ยังคงสูงหรือลดลงหลังจากสแกนหรืออัปเดตเสร็จสิ้น นอกจากนี้ ให้สังเกตว่าเส้นทางนั้นเป็นของ Zimbra ซึ่งโดยทั่วไปจะอยู่ใน `<path>` /opt/zimbraหรือเป็นของแพ็กเกจระบบปฏิบัติการแยกต่างหาก

หากfreshclamการใช้งานพุ่งสูงขึ้นชั่วครู่แล้วหยุดลงหรือกลับสู่สถานะว่างหลังจากอัปเดตสำเร็จ นั่นจะแตกต่างจากกระบวนการที่ทำงานอย่างต่อเนื่อง หากclamdเป็นการใช้งานอย่างต่อเนื่อง การสแกนข้อความหรือการโหลดฐานข้อมูลน่าจะเป็นจุดเริ่มต้นมากกว่า อย่าปิดกระบวนการใดกระบวนการหนึ่งเพียงเพราะตัวอย่างหนึ่งมีการใช้งานสูง ตรวจสอบบันทึกก่อนและดูว่าอีเมลยังคงไหลเวียนอยู่หรือไม่

2. อ่านบันทึกการทำงานของโปรแกรมป้องกันไวรัสก่อนเปลี่ยนแปลงการตั้งค่า

รายการอ้างอิงบันทึกของ Zimbra แสดงรายการบันทึกของโปรแกรมป้องกันไวรัสไว้ในไดเร็กทอรีบันทึก ในการติดตั้งหลายๆ ครั้ง คุณสามารถตรวจสอบรายการล่าสุดได้ด้วยคำสั่ง:

tail -n 80 /opt/zimbra/log/clamd.log
tail -n 80 /opt/zimbra/log/freshclam.log

สังเกตเวลาที่เกิดการใช้งาน CPU สูงขึ้นclamd.logการร้องขอการสแกนซ้ำๆ หรือข้อความโหลดฐานข้อมูลอาจเชื่อมโยงการใช้งาน CPU กับกิจกรรมอีเมลหรือการโหลดลายเซ็นใหม่ ในทางกลับกันfreshclam.logการอัปเดตที่เสร็จสมบูรณ์แล้วตามด้วยช่วงเวลาที่เงียบสงบ บ่งชี้ว่าเป็นการทำงานอัปเดตตามปกติ แต่หากพบการเชื่อมต่อล้มเหลวซ้ำๆ การลองใหม่ ข้อผิดพลาดในการตรวจสอบผลรวม หรือการอัปเดตที่ไม่เสร็จสมบูรณ์ จะต้องตรวจสอบอย่างละเอียด ตรวจสอบบันทึกอีเมลของ Zimbra ในช่วงเวลาเดียวกันด้วย เพราะปริมาณข้อความขาเข้าหรือไฟล์แนบที่เพิ่มขึ้นอาจทำให้การสแกนเพิ่มขึ้นได้

ใช้ เอกสารอ้างอิงไฟล์บันทึกของ Zimbra เพื่อยืนยันตำแหน่งไฟล์บันทึกสำหรับเวอร์ชันของคุณคู่มือการแก้ไขปัญหา FreshClam ของ ClamAV อธิบายข้อผิดพลาดทั่วไปของตัวอัปเดต รวมถึงปัญหา DNS การดาวน์โหลด และการจำกัดอัตรา การแจ้งเตือนว่าเอ็นจิ้นเก่ากว่าเวอร์ชันล่าสุดของ ClamAV ไม่ได้หมายความว่าฐานข้อมูลเสียหายเสมอไป Zimbra ได้บรรจุเอ็นจิ้นที่ผ่านการทดสอบแล้วไว้ในเวอร์ชัน ZCS

3. ตรวจสอบว่ามีตัวอัปเดตซ้ำซ้อน พื้นที่ดิสก์เหลือน้อย หรือปริมาณงานเพิ่มขึ้นอย่างผิดปกติหรือไม่

ก่อนที่จะปรับแต่งอะไรก็ตาม ให้ตรวจสอบสาเหตุทั่วไปที่อาจทำให้เซิร์ฟเวอร์ทำงานหนักก่อน:

• กระบวนการที่ซ้ำซ้อน:ตรวจสอบว่ามีกระบวนการมากกว่าหนึ่งรายการclamdหรือfreshclamไม่ บริการ ClamAV ระดับระบบปฏิบัติการที่ติดตั้งแยกต่างหาก หรืองาน cron ที่กำหนดเอง อาจกำลังเริ่มต้นสำเนาที่สองควบคู่ไปกับบริการที่จัดการโดย Zimbra อย่าปิดใช้งานบริการจนกว่าคุณจะยืนยันว่าผลิตภัณฑ์ใดเป็นเจ้าของและอะไรเป็นผู้เริ่มต้นบริการนั้น
• แรงดันดิสก์:ตรวจสอบพื้นที่ว่างและ inode ด้วยdf -h /opt/zimbraคำdf -i /opt/zimbraสั่ง `dist` และ `dist` ระบบไฟล์ที่เต็มอาจขัดขวางการเขียนข้อมูลอัปเดตหรือบันทึกชั่วคราว และทำให้เกิดการลองใหม่ซ้ำ อย่าลบไฟล์ลายเซ็นด้วยตนเองเพื่อเพิ่มพื้นที่ว่าง
• ปริมาณอีเมล:เปรียบเทียบการใช้งาน CPU ที่เพิ่มขึ้นกับปริมาณข้อความขาเข้า ขนาดไฟล์แนบ อีเมลที่อยู่ในคิว และการส่งอีเมลจำนวนมากที่เกิดขึ้นเมื่อเร็วๆ นี้ การสแกนอีเมลจำนวนมากอาจทำให้clamdการใช้งาน CPU สูงขึ้นแม้ว่าระบบจะอยู่ในสภาวะปกติก็ตาม
• อัปเดตการเชื่อมต่อ:หากfreshclamยังคงล้มเหลว ให้ตรวจสอบการแก้ไข DNS ของโฮสต์ นาฬิกา การเชื่อมต่อขาออก และการตั้งค่าพร็อกซีที่จำเป็น แก้ไขปัญหาเครือข่ายหรือพร็อกซีที่เป็นสาเหตุแทนที่จะเริ่มงานอัปเดตด้วยตนเองซ้ำๆ

ClamAV ได้อธิบายวิธีการควบคุมการตั้งค่าของ FreshClam รวมถึงพฤติกรรมการอัปเดตและการบันทึกข้อมูลไว้ในคู่มือการตั้งค่า Zimbra ก็ได้ระบุคุณลักษณะความถี่ในการอัปเดตคำจำกัดความไวรัสไว้เช่นกัน แต่ควรตรวจสอบค่าและการตั้งค่าให้เหมาะสมกับเวอร์ชัน ZCS ของคุณเอง อย่าลดความถี่ในการอัปเดตเพื่อแก้ปัญหาการใช้งาน CPU อย่างรวดเร็ว เพราะลายเซ็นที่ล้าสมัยจะทำให้การป้องกันอ่อนแอลง ในขณะที่ DNS หรือเส้นทางพร็อกซีที่ไม่ดีจะยังคงล้มเหลวต่อไปไม่ว่ากำหนดการจะเป็นอย่างไร

4. เลือกใช้แนวทางแก้ไขที่ก่อให้เกิดผลกระทบน้อยที่สุดและสอดคล้องกับหลักฐานที่มีอยู่

หาก clamd ไม่ว่างในช่วงที่มีการส่งอีเมลจำนวนมาก

ปล่อยให้โปรแกรมทำงานไปเรื่อยๆ ในขณะที่ตรวจสอบการใช้งาน CPU และการส่งอีเมล หากรูปแบบเดิมเกิดขึ้นซ้ำ ให้เชื่อมโยงกับขนาดข้อความ ไฟล์แนบที่บีบอัด และปริมาณอีเมลขาเข้า จากนั้นตรวจสอบความจุของเซิร์ฟเวอร์และนโยบายการสแกนไฟล์แนบขององค์กร หลีกเลี่ยงการเพิ่มข้อจำกัดของ ClamAV ที่ไม่ได้ระบุไว้ หรือการยกเว้นประเภทไฟล์โดยไม่ประเมินผลกระทบด้านความปลอดภัยและตรวจสอบว่า Zimbra รองรับการควบคุมใดบ้างในเวอร์ชันที่ติดตั้ง

หากหอยสดไม่ประสบความสำเร็จซ้ำแล้วซ้ำเล่า

แก้ไขปัญหา DNS, พร็อกซี, ไฟร์วอลล์, นาฬิกา หรือการเข้าถึงเครือข่ายขาออกที่ระบุในบันทึก ตรวจสอบให้แน่ใจว่ามีเฉพาะโปรแกรมอัปเดตที่ Zimbra กำหนดไว้เท่านั้นที่กำลังทำงานอยู่ อย่ากำหนดเวลาการเรียกใช้งานด้วยตนเองบ่อยๆ หรือดาวน์โหลดฐานข้อมูลลายเซ็นด้วยสคริปต์แบบเฉพาะกิจ ClamAV ระบุว่า FreshClam หรือ cvdupdate เป็นวิธีการอัปเดตที่รองรับ และการรวมระบบแบบแพ็กเกจของ Zimbra ควรเป็นแหล่งข้อมูลที่ถูกต้องสำหรับเซิร์ฟเวอร์ Zimbra

หากฐานข้อมูลเสียหายหรือโปรแกรม clamd ไม่สามารถเริ่มต้นได้

ข้อผิดพลาดต่างๆ เช่น ฐานข้อมูลผิดรูปแบบ การตรวจสอบความถูกต้องของข้อมูลล้มเหลว หรือการโหลดฐานข้อมูลล้มเหลว จำเป็นต้องใช้การกู้คืนที่คำนึงถึงเวอร์ชัน ขั้นตอนการรีเซ็ตคำจำกัดความของ ClamAV ใน Zimbra มีคำแนะนำที่แตกต่างกันสำหรับ ZCS รุ่นต่างๆ รวมถึงเส้นทางไบนารี FreshClam ที่แตกต่างกัน โปรดอ่านขั้นตอนทั้งหมดสำหรับเวอร์ชันที่คุณใช้งานอย่างละเอียดก่อนที่จะย้ายหรือสร้างไฟล์ฐานข้อมูลใหม่ เก็บสำเนาของฐานข้อมูลที่มีอยู่จนกว่าจะยืนยันการกู้คืนเสร็จสิ้น และอย่าใช้คำสั่งจากคู่มือเวอร์ชันเก่าโดยไม่ตรวจสอบให้ดี

อย่าแทนที่ไฟล์ไบนารี ClamAV ของ Zimbra ด้วยเวอร์ชันที่สร้างขึ้นเองจากแหล่งต้นทางเพื่อแก้ไขปัญหาประสิทธิภาพในเบื้องต้น เอกสารของ Zimbra เตือนว่าการเปลี่ยนแปลงเอนจิ้นนอกรอบอาจไม่ได้รับการสนับสนุน ให้ใช้แพทช์ ZCS ที่เหมาะสมหรือวิธีการอัปเกรดหากเอนจิ้นที่รวมอยู่ในแพ็กเกจนั้นจำเป็นต้องได้รับการอัปเดต

ควรรีสตาร์ทโปรแกรมป้องกันไวรัสหลังจากตรวจสอบสาเหตุแล้วเท่านั้น

หากบริการยังคงค้างอยู่หลังจากแก้ไขปัญหาพื้นฐานแล้ว การรีสตาร์ทโปรแกรมป้องกันไวรัสแบบควบคุมอาจช่วยล้างกระบวนการที่ค้างอยู่หรือโหลดฐานข้อมูลที่ซ่อมแซมแล้วใหม่ได้ กำหนดเวลาการรีสตาร์ทเมื่อการหยุดชั่วคราวในการสแกนเป็นที่ยอมรับได้ และปฏิบัติตามลำดับคำสั่งสำหรับเวอร์ชัน ZCS ของคุณ เอกสารขั้นตอนของ Zimbra zmantivirusctl stopและzmantivirusctl startให้เรียกใช้ในฐานะzimbraผู้ใช้:

su - zimbra
zmantivirusctl stop
zmantivirusctl start
zmcontrol status

อย่าใช้การรีสตาร์ทแบบเต็มรูปแบบzmcontrol stopสำหรับปัญหาเฉพาะของ ClamAV เว้นแต่แผนการบำรุงรักษาของคุณกำหนดไว้ หากบริการป้องกันไวรัสไม่สามารถกลับมาทำงานได้ ให้เก็บรักษาบันทึกที่เกี่ยวข้องไว้ และใช้ช่องทางการแก้ไขปัญหาหรือการสนับสนุนเฉพาะรุ่นของ Zimbra แทนการรีสตาร์ทแบบวนซ้ำ

5. ตรวจสอบว่าการใช้งาน CPU และการสแกนอีเมลกลับสู่สภาวะปกติแล้ว

หลังจากแก้ไขหรือรีสตาร์ทแล้ว ให้ทำซ้ำขั้นตอนการตรวจสอบและสังเกตแนวโน้มการใช้งาน CPU แทนที่จะพึ่งพาค่า ณ ขณะใดขณะหนึ่ง ตรวจสอบให้แน่ใจว่าโปรแกรมclamdทำงานได้freshclamไม่ติดอยู่ในการลองใหม่ซ้ำๆ และzmcontrol statusรายงานว่าโปรแกรมป้องกันไวรัสกำลังทำงานอยู่ ตรวจสอบรายการบันทึกใหม่เพื่อดูว่าการโหลดฐานข้อมูลสำเร็จหรือไม่ และไม่มีข้อผิดพลาดในการอัปเดตหรือการสแกนซ้ำๆ สุดท้าย ตรวจสอบว่าข้อความทดสอบปกติถูกส่งและจัดการตามนโยบายความปลอดภัยอีเมลขององค์กรของคุณ

การกู้คืนที่ดีมีสัญญาณที่สังเกตได้สามประการ: กระบวนการที่รับผิดชอบจะไม่ใช้ CPU อย่างต่อเนื่องหลังจากงานเสร็จสิ้นแล้ว; บันทึกจะไม่แสดงข้อผิดพลาดเดิมซ้ำอีก; และสถานะการรับส่งอีเมลและบริการป้องกันไวรัสของ Zimbra จะอยู่ในเกณฑ์ปกติ หาก CPU ยังคงใช้สูง ให้รวบรวมภาพรวมของกระบวนการที่มีการประทับเวลา รายการบันทึกอีเมลที่ตรงกันclamd.logผลลัพธ์freshclam.logพื้นที่ดิสก์ และเวอร์ชัน ZCS ของคุณ หลักฐานเหล่านั้นจะช่วยแยกแยะความบกพร่องของสแกนเนอร์ที่แท้จริงออกจากปริมาณอีเมลจำนวนมากหรือเส้นทางการอัปเดตที่เสียหายโดยไม่ทำให้การสแกนหามัลแวร์อ่อนแอลงจากการคาดเดา

หมายเหตุเกี่ยวกับเวอร์ชัน: ตรวจสอบคำแนะนำเมื่อวันที่ 6 ตุลาคม 2026 ศูนย์เทคนิคของ Zimbra มีทั้งเอกสารอ้างอิงปัจจุบันและหน้าแก้ไขปัญหาเฉพาะรุ่นเก่า โปรดตรวจสอบคำสั่งและเส้นทางกับเอกสารประกอบสำหรับเวอร์ชัน ZCS ที่คุณติดตั้งไว้