[9.171][BUG] poor performance due to 'ondemand' CPU scaling governor

In one UTM running 9.171 the command returns  with either snort or suricata as a parameter. Snort is still running.

Ian

There is unofficial suricata in v9.200. For a trial run you can enable it under the hood via cc >> ips >> engine=suricata.

Very cool... I figured a change was coming given the recent acquisition of SourceFire... or maybe it's for performance increases (maybe both)?

i'd guess both..since cisco now owns sourcefire cisco i doubt is going to leave snort open source..[:)]

Hi,

I'm glad to hear Suricata is getting testing in the UTM.

However, as far as the CPU governor goes, I suspect that with a single network stream, Suricata would suffer from the same cpu frequency scaling problem as I reported.

Barry

Hi,

I'm glad to hear Suricata is getting testing in the UTM.

However, as far as the CPU governor goes, I suspect that with a single network stream, Suricata would suffer from the same cpu frequency scaling problem as I reported.

Barry

not necessarily..if it is a truly MT system then it would be able to properly utilize more than one care..even without bumping the clock speed it would effectively gain about 35-80% performance just due to using more than one core per stream.

We are planning to release a fix for this issue in Version 9.200.

I just tested with engine=suricata, but put it back to engine=snort.
After a couple of minutes I wasn't able to browse any website anymore. Upon switching back to snort, I immediately could open all websites again.

Hi,

Tries it today and got the same result. Is there something else im not doing right? Somethings that needs to be restarted as well?

Regards
Frank

Hi,

Tries it today and got the same result. Is there something else im not doing right? Somethings that needs to be restarted as well?

Regards
Frank

Maybe you manually have to trigger up2date? Didn't test the suricata up to now, as it's unsupported at the moment and may suffer from different issues. Will switch sometimes too for testing, if I have some spare time ;o)

Sorry for short answers and typos. was written on mobile using astaro.org app.

Maybe you manually have to trigger up2date? 

In what way are they connected? Or do you mean by the rulebase?
If so I think that suricata and snort share the same rulebase. I could be wrong of course...

Didn't test the suricata up to now, as it's unsupported at the moment and may suffer from different issues. Will switch sometimes too for testing, if I have some spare time ;o)

Sorry for short answers and typos. was written on mobile using astaro.org app.

Well I must agree, Not being able to surf is an issue [:P]
If you find the time and figure out what the issue was let me know! [:)]

I just thought what a hell why not test suricata now when the 9.2 have gone to version 9.200.
But for now I will wait until 9.201 i guess.

For the looks of their webpage (suricata), they have CUDA support now. 
I don't have an Nvidia card in the machine right now, but it would be hell of a fun to try! [:D]
Does anyone know that version is the minimum GPU supported?

In what way are they connected? Or do you mean by the rulebase?
If so I think that suricata and snort share the same rulebase. I could be wrong of course...

Well I must agree, Not being able to surf is an issue [:P]
If you find the time and figure out what the issue was let me know! [:)]

I just thought what a hell why not test suricata now when the 9.2 have gone to version 9.200.
But for now I will wait until 9.201 i guess.

For the looks of their webpage (suricata), they have CUDA support now.
I don't have an Nvidia card in the machine right now, but it would be hell of a fun to try! [:D]
Does anyone know that version is the minimum GPU supported?

First you have to have the cuda drivers compiled inti the kernel.  Given the fact that nvidias drivers arent open source abd requure a recompile of tge kernel I dont see utm supporting cuda anytime soon.