Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 57 replies
  • Subscribers 1 subscriber
  • Views 39086 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UTM Performance Crashes with A/V Scanning, but CPU only at 12%

THXEngineer
I'm having an issue with Sophos UTM 9.307 that when it performs A/V scanning on large file (300 MB) downloads, my entire network comes to a screeching halt, with several machines dropping network connection or freezing up.  BTW, I'm using the dual A/V scan.

My UTM installation is on a home-built machine using an Intel i7-4790k CPU @ 4.0 GHz, hyperthreaded with 8 cores, 8 GB RAM and a 60 GB SSD, Z97 chipset.  NIC's are a single Intel i-350, 4 port (only 2 used - one WAN, one LAN) and an Intel NIC built onto the motherboard.  I wouldn't think I'd be potentially hardware limited with this setup.

Per posts here on the Sophos BBS, I've disabled Intel's "Enhanced SpeedStep" and "Turbo Boost" options in BIOS, along with the enhanced "C states".  I've also performed BarryG's recommendation at the console:

echo "performance" >/sys/devices/system/cpu/cpuN/cpufreq/scaling_governor

for each logical CPU 0-7.

The maximum CPU usage I've ever recorded in Sophos UTM during normal operation is around 12% when performing a scan on a single 300 MB download.  Note that this 12% corresponds to about 100% loading of one logical CPU core.  I was able to get around 17% CPU usage once when I tried the same download and scan operations on 2 machines (real machines, not VM's) simultaneously, but that completely locked up the network and I only had a few other machines running.  When not performing A/V scanning, my CPU hovers around 1-2%, since we don't have that much network traffic right now.

It seems like the UTM isn't taking full advantage of all the CPU horsepower that is available.  I could understand one of the connections / scans being tied to a logical CPU (with SNORT, etc) and locking it up, but it seems like the UTM would transfer other connections to other logical CPU's and not lock up the entire network.

BTW, the dual A/V scan of the 300 MB file took a couple of minutes.  Does this sound reasonable given the hardware?

It's almost as if the UTM is only using one of the available 8 logical cores to do almost all of the work in my system.

I'm aware that hyperthreading could be an issue due to the way the OS assigns the logical cores, such that logical core 0 and 1 are essentially the same physical core.  I could see this as being a problem when core 0 is at 100% load and the OS tries to give work to the next logical core (1 in this case), which is really already at 100%, but I thought that the underlying OS was "smart" enough to realize this.

Should I disable hyperthreading?  If so, will this corrupt my current Sophos UTM installation that expects to see 8 CPU's?

Does anyone have any other suggestions on setting, etc that would enable the full potential of this hardware setup or is this "normal" / to be expected?  

Thanks in advance,

- Ben


This thread was automatically locked due to age.
Parents
  • 0
    My i5 system gets 300mbps of IPS throughput with http traffic, single stream:
    https://community.sophos.com/products/unified-threat-management/astaroorg/f/52/t/29110

    Re pinning processes to CPU cores: I have heard of tools in Linux to do such things, but they wouldn't be very effective as the IPS restarts every time there's a pattern update or config change.

    btw, you can change the # of IPS processes in the UTM; if you only have a few users, no point in lots of Snort processes.

    Barry
  • 0 in reply to BarryG
    My i5 system gets 300mbps of IPS throughput with http traffic, single stream:
    https://www.astaro.org/gateway-products/hardware-installation-up2date-licensing/49427-ips-performance-tests-hardware-benchmarks-unofficial.html#post250520

    Re pinning processes to CPU cores: I have heard of tools in Linux to do such things, but they wouldn't be very effective as the IPS restarts every time there's a pattern update or config change.

    btw, you can change the # of IPS processes in the UTM; if you only have a few users, no point in lots of Snort processes.

    Barry


    an sg210(you are a partner look up the cpu in it..) can easily stuff 100 megs plus with everything on including ips.  I bet it can go higher although i did not test one that high ad my connection isn't faster than 105.  It EASILY stuffed my 105/10 using my configuration when i had one here before client deployment.  So if configured properly(and i did NOT have rule aging on and i had all rules on)you do not have to throw an i-5 at it.  It depends on what you need in other functionality.  based on the sg system ratings and my own testing that machine would be able to go 160 without too much difficulty.  For a home user a fast 1-3 at 3.5 ghz or faster will be more than enough. 

    I have now two haswlel equipped machines(sg 210's) replacing lynnfeild and sandy bridgecore i-7's with lower(in one case) or equal loading to it's replacement.  After my own real world testing and deployments that's why i can confidently say and I-3 is good for home use.  If folks want to save money then there are other options other than atoms for money and power savings.
Reply
  • 0 in reply to BarryG
    My i5 system gets 300mbps of IPS throughput with http traffic, single stream:
    https://www.astaro.org/gateway-products/hardware-installation-up2date-licensing/49427-ips-performance-tests-hardware-benchmarks-unofficial.html#post250520

    Re pinning processes to CPU cores: I have heard of tools in Linux to do such things, but they wouldn't be very effective as the IPS restarts every time there's a pattern update or config change.

    btw, you can change the # of IPS processes in the UTM; if you only have a few users, no point in lots of Snort processes.

    Barry


    an sg210(you are a partner look up the cpu in it..) can easily stuff 100 megs plus with everything on including ips.  I bet it can go higher although i did not test one that high ad my connection isn't faster than 105.  It EASILY stuffed my 105/10 using my configuration when i had one here before client deployment.  So if configured properly(and i did NOT have rule aging on and i had all rules on)you do not have to throw an i-5 at it.  It depends on what you need in other functionality.  based on the sg system ratings and my own testing that machine would be able to go 160 without too much difficulty.  For a home user a fast 1-3 at 3.5 ghz or faster will be more than enough. 

    I have now two haswlel equipped machines(sg 210's) replacing lynnfeild and sandy bridgecore i-7's with lower(in one case) or equal loading to it's replacement.  After my own real world testing and deployments that's why i can confidently say and I-3 is good for home use.  If folks want to save money then there are other options other than atoms for money and power savings.
Children
No Data