Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 2 subscribers
  • Views 952 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPS Performance under Xen

chrismcv
Hi, 

I'm struggling with IPS performance under Xen.

I've a 100Mb fibre connection, and running my UTM as the only virtual machine on a reasonable machine.  It has plenty of RAM + CPU.  

The NICS are "Intel 80003ES2" however, they are showing up as RealTek in the VM?  Is that normal.  (details below)

I've got Web Filtering off, vanilla firewall rules. 


Speed test shows around 60Mbps Down and 10Mbps Up (as a blunt tool) with IPS off, and around 20Mbps Down and 10Mbps Up with IPS on.  My rules are in the picture below.

Downloading ISO images simultaneously shows similar degradation in performance, but the hardware reports for the server show that it's hardly blinking - no swapping, cpu 
ethernet interface hardware object REF_ItfEthEth1RealtSemic
device hardware (hardware) = eth1
description (description) = Realtek Semiconductor Co., Ltd. RTL-8139/8139C/8139C+
auto-negotiation flag (auto_negotiation) = 1
auto-negotiation switch (auto_negotiation_status) = 1
supported link mode list (supported_link_modes) = 10baseT/Full,10baseT/Half,100baseT/Full,100baseT/Half
hardware MAC address (mac) = ea:c6:70:fd:1d[:D]b
interrupt request (irq) = 36
PCI device ID (pcidev) = 0x8139:0x1
MII flag (mii) = 1
HA link monitoring switch (link_monitoring) = 1
ethernet interface hardware object REF_ItfHwDefaultInternal
device hardware (hardware) = eth0
description (description) = Realtek Semiconductor Co., Ltd. RTL-8139/8139C/8139C+
auto-negotiation flag (auto_negotiation) = 1
auto-negotiation switch (auto_negotiation_status) = 1
supported link mode list (supported_link_modes) = 10baseT/Full,10baseT/Half,100baseT/Full,100baseT/Half
hardware MAC address (mac) = aa:3d:1d:8c:f2[:D]6
interrupt request (irq) = 32
PCI device ID (pcidev) = 0x8139:0x1
MII flag (mii) = 1
HA link monitoring switch (link_monitoring) = 1

Img at: http://take.ms/pliRdo


This thread was automatically locked due to age.
  • 0
    Hi Chris,

    What is the underlying host hardware? Is it i3/5/7, Xeon, Atom? What clock speed?

    IPS is very CPU bound so that has probably the biggest influence on performance. Once we know, some of the Xen guys on here can assist better (I'm a VMware guy).
  • 0 in reply to TheDrew
    Hi, 
    The CPU is a little older...

    Intel(R) Xeon(R) CPU E5405  @ 2.00GHz

    Cheers,
    Chris
  • 0
    Hi,

    1. do whatever you can to change the NIC drivers to something other than Realtek. This may require rebuilding the VM.

    2. does total speed improve with multiple simultaneous downloads?
    if not, run
    ps aux|grep snort

    to confirm how many IPS instances are running.

    and run 
    cat /proc/cpuinfo

    to see how many CPUs are assigned to the VM.


    FWIW, the IPS always does cause a big performance hit, but I would expect better performance than that.

    3. If this is the only VM, could you try running the UTM on the bare metal?

    Barry
  • 0 in reply to chrismcv
    Hi, 
    The CPU is a little older...

    Intel(R) Xeon(R) CPU E5405  @ 2.00GHz

    Cheers,
    Chris


    that's your issue.  2ghz isn't enough.  I would throw 3 ghz at that vm at the least.  in vmware you can pool the total ghz and then throw that at the vm.  Also only use dual core unless you really need more cpu..as the ips won't ramp up the ghz properly unless the overall system load is higher.