UTM 9.306 is SLOW!

William,
Yes you are right, practically my IPS is off (only using antivirus).  No DoS protection.

As for hardware, he have abundant one: mega CPU, RAM, Disk.  I can assure it is not HW.

We have Vyatta performing heavier function, and the CPU is in 2%.  If Vyatta has SSO username logging, we would not go for UTM.  Vyatta is very stable and cheaper.

Thanks,
Audie

William,
Yes you are right, practically my IPS is off (only using antivirus).  No DoS protection.

As for hardware, he have abundant one: mega CPU, RAM, Disk.  I can assure it is not HW.

We have Vyatta performing heavier function, and the CPU is in 2%.  If Vyatta has SSO username logging, we would not go for UTM.  Vyatta is very stable and cheaper.

Thanks,
Audie

If this is a paid license have you contacted support(your reseller or sophos directly depending on your support package?) ips has nothing to do with a/v.  mega cpu doesn't tell me anything.  what cpu..how much ram..and what nics.  it could very well be a hardware problem.  UTM can handle what you are doing..there is either a misconfiguration or a hardware issue.  If you want to keep stonewalling that's fine.  We are trying to help.  If you truly have your mind made up that UTm won't work there's nothing we can do for you.  This is an unpaid volunteer forum.  I normally charge for doing this work however on this forum many of us who make our livelihoods doing this give this advice away.

This issue is happening for both our HA UTM's in two different locations separated more than 100 miles.

Both HA's have same configuration.

I'm not stonewalling, but I cannot give more specific info.

Again, this problem happened after upgrading from 9.305 to 9.306 with nothing configuration change.

The 9.305 was running flawlessly.

Why don't you go back to 9.305. That is your fastest solution. It is very easy.
Break the HA. Leave one of the utm's or vm's running so it can continue to be used. Reinstall the other device to 9.305 and restore a backup. Shutdown other machine and bring 9.305 back up and than do same thing on other device and than add it back to cluster adn it should resync config. You should have minimal downtime this way.

Just an idea.

Thanks all for your advices!

We will move on to production with IPS DoS, Scan, Pattern disabled.  Just rely on Cisco IPS.  Most users perform download anyway.

I will share any input from Sophos when it comes.

Finally Sophos engineer called, and recommended the workaround:
1. Under IPS ==> Exception
    a. Skip= "UDP Flood Protection"
    b. Coming from the Sources: Add remote VPN Peers IP's.

The UDP DoS filter was seeing IPSec NAT UDP-4500 as flood.

Speed is normal now