Guest User!

You are not Sophos Staff.

Thread Info
  • State Suggested Answer
  • +2 person also asked this people also asked this
  • Locked Locked
  • Replies 14 replies
  • Answers 1 answer
  • Subscribers 4 subscribers
  • Views 43598 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPSec site to site throughput

BMan
Situation - My group hosts 'private clouds' for a few clients. We are looking to migrate away from several Cisco devices for various reasons. The main one is bandwidth limitations. For this example we'll take two data centers where we have gigabit service. With no firewalls in place between two fully exposed VMs, we can obtain around 850Mb/s with reasonable stability over several hours. We stood up two virtual UTMs v9.315-2. Each UTM is on the same physical hardware where we achieve 850Mb/s. Hyper-V 2012R2 is the VM host. Each UTM is allocated 4.5GB mem, 150GB HDD, 4 cores of dual hex core 2.5Ghz Xeons.

Problem - Throughput of a tunnel between these two VMs achieves about 150Mb/s.

--Only the firewall is active, no other items such as IPS.
--Support path MTU discovery is on (both sides)
--Rulez have been reviewed and followed where applicable. This setup is fairly basic so most are not a factor.
--Nothing odd in logs
--Intel NICs on one end
--Broadcom NICs on other end
--CPU utilization is at 4% or so when we are hitting the 150Mb/s peak with about 80Mb/s stable.
--MTU between 1350-1500 tried in increments of 50. 1500 seems to give best performance.
--Testing with a 50GB file, CIFS and FTP

I called Sophos for some pre-sales tech support since we were considering becoming a reseller to our private cloud clients. They tell me their support is only for break-fix, no pre-sales.

Just for kicks, we stood up a couple TMG images and we acheived about 650Mb/s without any effort beyond a quick base config.

Our ideal target would be 800/Mbs but we are a long way from there at this point and may be on the wrong path. 

We are open to all input and have looked through many performance threads but most are for lower bandwidth allocations. 

Is it likely two SG 135's (or SG 210s) could achieve 800Mb/s in this given scenario? If we are fighting VM/NIC issues then we'll give that a try, however this doesn't fit as well into our all VM model and HA requires more hardware.


This thread was automatically locked due to age.
Parents
  • 0
    If you've searched here, you know that this problem is always associated with a "hardware" issue of some sort, even if it's a VM issue.  I would urge you to contact Sophos sales directly, inform them that you're in a 30-day trial and ask for Pre-Sales Support.  There are some excellent engineers in that position.

    That said, there are other items recorded in the Intrusion Prevention log, so be sure to check there.  I assume from the precision of your starting post that you've already run ifconfig or some other tool to determine that there's no problem with the virtual NICs.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    If you've searched here, you know that this problem is always associated with a "hardware" issue of some sort, even if it's a VM issue.  I would urge you to contact Sophos sales directly, inform them that you're in a 30-day trial and ask for Pre-Sales Support.  There are some excellent engineers in that position.

    That said, there are other items recorded in the Intrusion Prevention log, so be sure to check there.  I assume from the precision of your starting post that you've already run ifconfig or some other tool to determine that there's no problem with the virtual NICs.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
  • 0 in reply to BAlfson
    Bob - Your recommendation was my first course of action. I contacted Sophos looking for pre-sales tech support. A case number was assigned, then when I interacted with support, it was stated they do not offer pre-sales support. I was surprised and of course put off, but figured my group and I are fairly technical and have been at this for 19 yrs dealing with enterprise class firewalls and such that we could probably work it out.
    Yesterday afternoon my lead architect and I decided to see if the product could really meet our needs and see where throughput may be going wrong so we constructed a 'lab' on a dual hex core Xeon box with 192GB ram and is stuffed full of SSDs in RAID10. 
    --Hyper-V 2012 R2 host with latest KBs applied
    --2 Win 2012 R2 VMs created
    --2 Sophos UTM VMs created
    --Each machine 4GB, 4 cores, 150GB disk
    --3 internal NICs created - These are virtual NICs so type of NIC should not be a factor
    -- Tested transfer rates between two Win VMs on internal NICs. Sustained 550MB/s. Not hardware maximums but plenty of room for a 100MB/s transfer which is what our target is.
    -- Win1 --> Sop1  Sop2 
Unfiltered HTML