High CPU load when SSL_VPN clients connect

Howdy all...

I'm new to Astaro and so far I'm loving it! However I'm having a bit of an issue with SSL-VPN connections. When a connection is made the Astaro box comes to a halt, CPU and ram memory usage go to max bringing all services to a halt, including the webadmin etc. Hell even browsing the internet at that point on a computer not connected via the VPN client is very slow. 

Using Astaro for the following:

Web proxy
Email proxy
DHCP

Webadmin
End user portal

Hardware:

Duel 1000 mhz
1 gig ram
3 Nics

resetup the ssl vpn server to use 128 bit AES instead of 256 bit.  Modern encryption is very cpu intensive and your cpu's probably aren't up to snuff on handling that kind of encryption load.  Also how many vpn users are you using?  more than say 10 and you'll be nailing your cpus to the floor.

This is for home use. Up to three people maybe connecting however when only one or two connect it peaks at 100% and stays there. The usage is so high that one can not even get to the Astaro webadmin or access web sites if the web proxy is turned on. 

I'm running with the default encryption settings...

AES-128-CBC
MD5
1024 bit

Automatic packet filter rules and data compression are both checked... 

I'm going to try it without those and see what happens when I get some time later today... 

For now its off to the family Xmas party... Merry Xmas all!

Yes, I can hit you with some screen shots later today. I'm currently out of the house. 

I have turned off the data compression and have not seen a difference in traffic speed between client and server, however the load on the server is halved. (I did leave the Automatic packet filter turned on) 

So to recap, turned off data compression and my CPU usage went from 100% down to 40-45% with one SSL-VPN client connected.

So to recap, turned off data compression and my CPU usage went from 100% down to 40-45% with one SSL-VPN client connected.

What speed connections were the VPNs over?

Barry

The gateway is connected to a comcast business class cable line (really not as special as it might sound). I'm connecting from work to home with our OC12.

So from the pic, you're passing about 80KBps?

CPUs - dual 1GHz what? PIII?

Barry

So from the pic, you're passing about 80KBps?

CPUs - dual 1GHz what? PIII?

Barry

yes that machine is p-3's.  not too far from my configuration.  I'm kind of lost as to what is causing his issues as i have compression on and i hardly see a peak on my processors.  Could be a nic issue.

So from the pic, you're passing about 80KBps?

CPUs - dual 1GHz what? PIII?

Barry

Yeah, the hardware is pretty standard. 

I'm using the prepackaged astaro appliance. Downloaded it, imported it as a template and deployed it... Takes about 10 minutes... before I boot I give it 386 ram (which shows up as 377 for some reason) and one full proc. I boot, run the setup wizard, add in a few extra nat rules and a couple users. Don't do much more than that...

I have deleted and re-deployed this setup today and I'm seeing much less usage is on the CPU (even with compression turned on, lower with it turned on actually...). Is it possible a patch did not come down correctly or the setup was botched by me on the first setup? 

As for the nics. I have three 10/100/1000 cards in this server, of which I only allow two to be seen by astaro.

I highly recommend you allocate at least 512MB of RAM to any ASG system running Version 7 (or version 6, for that matter)... 768MB or 1GB even better.  We have a number of customers running 120/110/220 units (all with 512MB) and performance is satisfactory.  We often deploy custom systems or appliances (320 and up) with 1GB, though, gives the customer more performance in higher demand applications.  Less than 512MB has been rather problematic, so I consider it a minimum.

I have to concur with Bruce here.  512 megs will run but 1 gig is the sweet spot.

Issue Resolved.

Found to be unrelated to SSL-VPN. On another server in my test lab I have a number of VM's running WIN XP that were downloading updates for items like Google Pack etc. Out of coincidence I was logging in at or around the same times these boxes where crushing the Anti-Virus scanner in Astaro... I have since turned the scanner from Dual Scan (Maximum Security) to Single Scan (Maximum Performance) and gone in and added the different (safe) domains to the exception lists, issue resolved.

I'm now sitting around 10% CPU when logged in with one (1) client!!!

Thanks for all the great help and tips!

I had a recent experience with an ASG220 I have had up for about 8 months. Numerous Up2dates were applied. I noticed the same phenominon. CPU usage very high under even a lite load. Frequently at 80% spiking to 100%. Internet traffic to a crawl. With the last Up2Date to 7.104 the webadmin password got corrupt and I couldn't log on so I did a factory reset and reloaded from a backup. WOW. It runs great now, only 15 to 30% cpu.

I had a recent experience with an ASG220 I have had up for about 8 months. Numerous Up2dates were applied. I noticed the same phenominon. CPU usage very high under even a lite load. Frequently at 80% spiking to 100%. Internet traffic to a crawl. With the last Up2Date to 7.104 the webadmin password got corrupt and I couldn't log on so I did a factory reset and reloaded from a backup. WOW. It runs great now, only 15 to 30% cpu.