Snort cpu usage

How odd.  By chance do you have 4 local networks set in IPS?

no i do not...only two but i do have 4 procs.  I know it always spawns 2 but i've seen 4.  I only need one snort instance..how can i trim it back?

You have to connect via ssh to your ASG and execute the following command:
cc set ips num_instances 1

This will limit the snort instances on your ASG to 1

Cheers
 Ulrich

Very cool.

can other integers be used as well like 2 or 3?

Yes.

Barry

nods i restricted it to 2 of my 4 threads then.,,[:)]

FWIW, I did some tests on my Atom n270 (1 core with HT) @ home with iperf; running snort with 1 or 2 threads made no difference; I tried running iperf from multiple client PCs (against 1 server) as well. I'm guessing HyperThreading doesn't help snort.

If one had multiple CPU cores with HT, would there be a way to pin snort to physical CPUs only? e.g. if you have 2 cores each with HT, resulting in 4 'cpus', could you set snort to 2 threads and get it to run on each core?

Also, I found afcd to be almost as much of a bottleneck as snort; perhaps it could use some tuning too?

Performance results: (tested 7.509 with iperf from VLAN LAN to VLAN DMZ, on a NetGear GS108T gigE 'smart' switch, eth1 locked at 1000Full)
440mbps PacketFilter only
92mbps afcd (flow classifier) IM and/or P2P (performance is the same with 1 or both enabled)
65mbps snort (5386 IPS rules Active) (same with 1 or 2 threads)
53mbps snort + afcd

iperf client - Dell D420 Laptop (Broadcom gigE NIC) running Fedora
iperf server - Dell GX280 (Intel gigE NIC) running CentOS

Barry