IPS Performance Problem with 100Mbit Fiber

Just a shot in the dark, but is the Anti-DoS/Flooding protection not your bandwith-limiter?? Possibly an overflow on your UTM that strats to drown in al incomming packets.??

Just a suggestion... I would likt to know this also (thinking of upgrading from ADSL 40/4to Fiber 100/100)

I checked the Anti-DoS/Flooding protection. All 3 options are disabled (TCP SYN Flood Protection, UDP Flood Protection and ICMP Flood Protection)

Hello,

- how many users?
- What kind of traffic?
- Also "tuned" the ips-settings/-patterns (only necessary traffic checked)?
- Maybe active App-Control?

Maybe you can set it to only use one instance of ips (please use searching for ssh-syntax). What about your memory usage?

Hi Umpf,

- how many users? 
Around 50 users. Tests were done early in the morning with only 2 - 3 users online

- What kind of traffic?
udp/tcp tests with iperf, filetraffic (cifs), speedtest.net
I also tested with Web Protection / Web Filtering disabled. Problem persists. Only IPS on/off makes a difference.

- Also "tuned" the ips-settings/-patterns (only necessary traffic checked)?
Attack pattern settings look okay. There are only a few marked. This was checked with an external partner.
The interesting part is, it makes no difference which network I put inside the Local Networks option under Global IPS Settings.
The result is always the same. Even if I use a network which has nothing to do with the speedtest route.
After every apply of the IPS Global settings I see the following lines in the IPS Log.

snort[1264]: Could not remove pid file /var/run//snort_tmp.pid: No such file or directory
snort[1264]: Snort exiting

Could this be the problem? I still see a snort process in the process explorer.
  
- Maybe active App-Control?
Application Control is deactivated.

Maybe you can set it to only use one instance of ips (please use searching for ssh-syntax). What about your memory usage?
I will test with only one instance of ips and reply back.
Memory usage is about 44% of 2GB.

Thanks for the reply.

Okay checked with cc set ips num_instances 1
After the snort restart I made the tests again. Problem persists.

Hi,

IME, reducing IPS instances only helps high memory usage problems, not throughput problems.

You will probably get better performance if you set it back to the default instances ('0' for automatic), and test with multiple simultaneous connections/clients/streams.

How old/what hardware revision is your 220?
If it has 2GB, I'm guessing it's a Rev5.

I'd recommend opening a support case.

Have you seen 
https://community.sophos.com/products/unified-threat-management/astaroorg/f/52/t/29110
?

Barry

Can you run
cat /proc/cpuinfo
?

Barry

Hi Barry

I changed the IPS instances back to 0.

The device is a new UTM220. We used the hardware exchange program around April to get a new device for the old ASG220. Sorry for the misinformation. We than got a backup from the old ASG220 and restored the backup on the UTM220.

UTM 220 A180... rev.5 Intel Celeron Dual Core E1500 2,2GHz 2GB

So cat /proc/cpuinfo produces the following output:

processor       : 0
vendor_id       : GenuineIntel
cpu family      : 6
model           : 15
model name      : Intel(R) Celeron(R) CPU        E1500  @ 2.20GHz
stepping        : 13
microcode       : 0xa4
cpu MHz         : 2194.632
cache size      : 512 KB
physical id     : 0
siblings        : 2
core id         : 0
cpu cores       : 2
apicid          : 0
initial apicid  : 0
fpu             : yes
fpu_exception   : yes
cpuid level     : 10
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm pbe syscall nx lm constant_tsc arch_perfmon pebs bts rep_good nopl aperfmperf pni dtes64 monitor ds_cpl est tm2 ssse3 cx16 xtpr pdcm lahf_lm dtherm
bogomips        : 4389.26
clflush size    : 64
cache_alignment : 64
address sizes   : 36 bits physical, 48 bits virtual
power management:

processor       : 1
vendor_id       : GenuineIntel
cpu family      : 6
model           : 15
model name      : Intel(R) Celeron(R) CPU        E1500  @ 2.20GHz
stepping        : 13
microcode       : 0xa4
cpu MHz         : 2194.632
cache size      : 512 KB
physical id     : 0
siblings        : 2
core id         : 1
cpu cores       : 2
apicid          : 1
initial apicid  : 1
fpu             : yes
fpu_exception   : yes
cpuid level     : 10
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm pbe syscall nx lm constant_tsc arch_perfmon pebs bts rep_good nopl aperfmperf pni dtes64 monitor ds_cpl est tm2 ssse3 cx16 xtpr pdcm lahf_lm dtherm
bogomips        : 4389.26
clflush size    : 64
cache_alignment : 64
address sizes   : 36 bits physical, 48 bits virtual
power management:



On the dashboard the device identifies itself as ASG220:

Model: ASG220
Subscriptions: Base Functionality
                        Network Protection
                        Web Protection

Hi,

Your Celeron E1500 @ 2.2GHz should be a little slower than my HP with the Celeron G1610T @ 2.3GHz.

I'd still recommend contacting support.

Sophos is claiming 750mb/s IPS throughput:
https://www.astaro.com/en-uk/node/59

Note I do not consider that number realistic at all. 
The highest Astaro IPS throughput I've seen reported (on much faster hardware) is 500-600mbps, and that's with multiple streams.

Barry

Like Barry says, test with more than one workstation.  I bet, if you run two tests simultaneously from two different PCs, you'll see that each one gets about 50 meg throughput.

Cheers - Bob

Sorry for any short responses.  Posted from my iPhone.