Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 13 replies
  • Subscribers 2 subscribers
  • Views 4933 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Evaluation of virtualised Astaro 8 on VMWare vSphere 4.1 poor throughput (RESOLVED)

gmcoburn
I am currently reviewing the firewalls that protect our corporate infrastructure. As part of this evaluation I am investigating the possibility of virtualising firewalls to take advantage of the various benefits that virtualisation has shown. To this end as part of our review process virtualised instances of Astaro Security Gateway 8 are to be reviewed.

We currently run VMware ESX 4.1 Enterprise across multiple Dell R810 servers in HA\DRS clusters across 2 very well connected PoPs .  We are also planning to add a third ESX Cluster in a PoP for DR\Test-Development purposes.

We also plan on adding two server ESX 4.1 Standard clusters in 4 to 6 Branch offices.

The ESX servers have 12 gigabit network interfaces, with 4 vSwitches set up with 3 teamed network interfaces each, for the Service Console, Internal, External, and iSCSI. We are not using Jumbo frames on these systems.

Throughput performance is very high on our list of requirements, with each site connected at least at 1Gbps.

In my evaluations of virtualised instances of Astaro I have been unable to achieve throughput higher than 60Mbps.

Other virtual machines, Windows and Linux based, running on the same ESX clusters achieve near line speed of 1GBps throughput. 

I have used both the ESX ovf template and performed fresh installs of Astaro 8.001 (32bit and 64bit). I use only the e1000 network interfaces when performing fresh installs.

The installation is very basic, with all outbound traffic allowed, and all AV, IPS services are turned off. CPU load on the Astaro VM is light, as is memory.

Any advice as to where I am going wrong with this evaluation, with the aim to improve network performance, would be greatly appreciated.

Kind Regards


George Coburn


This thread was automatically locked due to age.
  • 0
    Hi, you should probably be using the Astaro VMWare image, not doing a 'fresh install.

    Barry
  • 0 in reply to BarryG
    Hi Barry,

    I realise now that my initial description of what I had tried was poor.

    I actually used the Astaro VMWare image in my first evaluation, and it displayed poor performance. It was only after this initial trial that I proceeded with installing into a VM from iso, with similar results.

    I should also note that I have experienced the same result on two different vSphere 4.1 clusters.

    Cheers

    George
  • 0
    George, how are you measuring the throughput?

    I know barely more than zilch about vSphere, but I wonder if you might not have an MTU mismatch somewhere.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    George,

          BAlfson maybe right with the size of the MTU. Depending on how you have vSphere and Astaro configured the MTU size maybe at 2000. 

    Griff
  • 0
    Hi George,

    what VM NIC type have you got set. As you did not use the VM Image you may be OK. We discovered that the VM 'Flexible' NIC causes some interesting performance issues, best to use the E1000 driver. Unfortunately Astaro have to distribute the base VM image with the flexible NIC set for compatability, never use it though...

    Jason
  • 0
    Hi

    Thanks for your many replies. Answers below to the various questions.

    “George, how are you measuring the throughput?”

    A number of ways, client side tools (DUMeter), vSphere reports, iperf results, Asatro Dashboard

    Regarding MTU mismatch, I’ve gone through and checked MTU, and all appears to be correct. We are using 1500 on vSwitches, the physical switches, and pc’s. This is for various reasons, but mainly because some of our devices (printers, IP phones, etc) don’t do jumbo frames.

    “what VM NIC type have you got set?”

    I had tried both the Flexible and e1000 network adapters.

    I have now had some success now with further testing. I am able to achieve line speed throughput during iperf testing.

    What changed? Not sure. I did another fresh install, and it started to perform as expected.

    What my testing has shown however is the performance hit that enabling IPS has. It goes from 980Mbps to around 200Mbps. CPU load goes to around 35% to 45% on a dual cpu x64 setup. So my next questions are going to be related to the scaling of the UTM\IPS performance when throwing more CPUs at it. Any comments?

    Thanks again to all for your assistance.

    George
  • 0
    Hi, the IPS (Snort) will run multiple threads across multiple CPUs.
    Also you should look at the IPS rulesets and server config and set up appropriate to your environment.

    Barry
  • 0
    I just wanted to report that we had a very similar issue which was resolved by changing from Flexible NICs to E1000.  I ended up doing a reset to defaults on the appliance as well as I could not figure out how to remove the internal hooks that the ASG had on the original NICs.  So the process was:
    1. Reset to defaults in the ASG GUI (system then shuts down)
    2. Remove all NICs in VMWARE vSphere Client
    3. Add in E1000 NICs
    4. Start up ASG again and go through setup wizard

    I hope that helps anyone else that may be having a similar issue.
  • 0
    Just to add my €0,02 ... I have in test 2 astaro v8 in HA on an ESXi 4.1 cluster, using 8 NIC with vmxnet3 -- not a single problem and no throughput performance issues !
  • 0 in reply to BertrandCherrier
    Sorry for responding to a post that is now several months aged, but I wanted to share my experience and thank those here who suggested altering the MTU and NIC to the E1000.

    I am running ESXi 4.1 with Astaro 8 Gateway, installed from media on a VmGuest. I observed stunningly poor network performance between my WAN users, on an external vSwitch, and my vGuests on my internal vSwitch. The Astaro install joins the two virtual networks. Pages at times, would not even load from the virtual webserver. 

    After reading this, I decided to do a clean install and added the E1000 NIC's this time on the guest, and altered the MTU up to 2000 on both the NIC's once I had Astaro setup. This fixed all latency and bandwidth problems, whatever they were. 

    Thank you again for your contributions, you saved me quite a large headache. [:)]
Cookie Information Banner