Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 11 replies
  • Subscribers 2 subscribers
  • Views 6536 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Hourly Spikes in CPU Usage on UTM 120 Appliance

utmadm
I have a home UTM in a virtual machine and a UTM 120 appliance at a small business office. CPU usage levels are very low (below 5%) on both UTMs, except:

Every hour, exactly on the hour, the daily executive reports from the UTM appliance show a brief spike at 40% cpu utilization. It happens all day and all night. There is no corresponding spike on the home UTM virtual machine.

I cannot tell if the sudden rise in CPU utilization on the UTM 120 appliance is caused by an hourly jump in network traffic such as from the office server or something on the Internet, or whether it might be internal to the UTM 120 appliance itself, such as a cron job.

I have looked in the logs on the UTM appliance, but do not see anything related. I have also watched the real time displays on the hour - again nothing interesting.

Can you suggest a hint about where I can look to figure out this mystery?


This thread was automatically locked due to age.
  • 0
    In 'Management >> Up2Date', what is the period of checking for Up2Dates and new patterns? By "real time displays," do you mean you're watching top at the command line?

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    In 'Management >> Up2Date', what is the period of checking for Up2Dates and new patterns? By "real time displays," do you mean you're watching top at the command line?

    Cheers - Bob


    Hello Bob - Good questions. 

    Up2Dates firmware and pattern are both set for 15 minutes. 

    By "real time displays" I mean the "Open Live Log" displays. (Early on, someone at Sophos warned me to stay out of the command line interface, so I have not activated the shell interface or root, nor used either one. I have stayed entirely with the browser GUI.)

    I am attaching a copy of a typical daily CPU usage chart. It came from Saturday, when the office was empty.
  • 0
    In fact, the warning when you login at the command line is:

    NOTE: If not explicitly approved by Sophos support, any modifications done by root will void your support.


    So, just logging in to watch or read things is allowed.  I suspect that watching top would show you that postgres gets busy every hour.  I bet you're keeping a lot more Reporting data for a lot longer in the UTM 120 than in the home VM.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Both UTMs are currently configured with Automatic log file deletion set to "Never delete log files".

    The home UTM (virtual machine) was created nearly one year ago. The Dashboard says Log Disk: 2% of 21.2 GB, Data Disk: 24% of 16.2 GB. I can see log files dating back to early January 2014. 

    The office UTM (physical UTM 120) has been running 34 days and has never been shutdown or rebooted after it was moved to the office a few days after initial startup. The Dashboard says Log Disk: 0% of 149.4 GB, Data Disk: 3% of 114.0 GB. I can see log files dating back to 27 October, as expected.

    Perhaps both UTMs are doing the same postgres process as you suggest, but the CPU impact falls in the "noise" on the home UTM. The home UTM is assigned two cores in a virtual machine on a 2.3 Ghz Mac mini with a Quad Core i7 processor. I have no idea what processor is installed in the real UTM 120, but I suspect it offers less than the virtual machine.

    The problem with the postgres hypothesis is that there is very little network activity in the office late at night and thus not much activity to log, yet the CPU consumed on each hour seems relatively constant. 

    I will do as you suggest and look at "top" on the office UTM's CPU on the hour. First I want to set up a secure public key login and change the SSH port before enabling the console. I will share what I learn with everyone in a few days.
  • 0
    Hi, the UTM120 has a first-gen Intel Atom CPU which pales in comparison to even a single core of any i7.

    Barry
  • 0
    Both UTMs are currently configured with Automatic log file deletion set to "Never delete log files".

    I said "Reporting." [;)]
    First I want to set up a secure public key login and change the SSH port before enabling the console.

    Smart solution. Grab putty and puttygen from UTM Tools.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    I said "Reporting." [;)]

    Smart solution. Grab putty and puttygen from UTM Tools.

    Cheers - Bob

    Yes - you said "reporting". Sorry I did not pay closer attention. Now I understand what you meant. 

    REPORTING: 
    At the moment, everything is checked and set for the default 3 months, on both the home UTM virtual machine and the office UTM 120.

    TOP:
    I set up an SSH session with a public key and watched top. Several things happened quickly, and I need to look at it again. mdw.plx grabbed all the CPU briefly at the end, but several other processes grabbed CPU before that. I was watching for postgres, but it was not one of them. 

    All of the elevated CPU action happened quickly, spanning no more than 30 seconds or so. Perhaps 4 or 5 of the default 5-second intervals for top. The UTM's clock showed 59 minutes and some seconds past the hour. It did not start on the hour. 

    More to follow...
  • 0
    did you solve this?  I also have office an home UTMs doing the same thing.  Every hour at the same time they become somewhat unresponsive with high CPU.  I can't even webadmin without 30-60 second delays on page loads.  Rest of the hour they are around 10% CPU.
  • 0
    Please Up2Date to 9.08 and tell us if the issue is resolved by that.  If not, try watching top when high CPU occurs.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    I had something similar happen about 2-3 months back where CPU usage was just making everything unusable and I did the postgres rebuild.  That fixed it.  So I went ahead and did that same postgres rebuild today, did the firmware update to 9.308-16, which also rebooted the unit.  Seems to be fine now for the past 2 hours with no spikes.  Not sure if it's something that comes back over time?  I will watch I guess.
Unfiltered HTML