Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 37 replies
  • Subscribers 4 subscribers
  • Views 77013 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Poor download/upload performance

dmitripr
Hi! New user here. 

I've recently installed UTM 9 Home (latest version) on my small box (Atom D2550, 4GB, 32GB SSD, Dual 1GB Broadcom BCM 57788 NICs). I had pfSense installed before, but decided to try Sophos. 

Anyway, after installation I noticed that my speed decreased quite a bit. My ISP is Comcast and I'm paying for a 50/10 line, but during speed tests with direct connection to a PC or through pfSense (same hardware) I was getting more like 120/12. 

With the Sophos installed now I'm getting 45/8.5, and this is with just Firewall protection. If I enable Web protection and IPS the speed is about 43/7.5. What the heck?

I ran top command in the terminal to check CPU load. When IPS is enabled I see that Snort uses 99% of one of the cores (being single-threaded I know that's the limiting factor for me with IPS on). However, without IPS during speed tests (firewall only) the CPU idle stays at about 90%, so the limiting factor doesn't seem to be any of the processes nor the CPU. 

I connected my modem directly to my PC and I was again getting the 120/12 speeds. I connected back to Sophos box and again slow speeds. I went as far as duplicating my PC's MAC address on the external NIC. Still the same slower speed. 

The interesting thing is that during the speedtest (speedtest.net) my download speed (with FW only) stays right at 45mbps, doesn't go above, just a straight line on the graph. As if something is "throttling" the speed. I checked my QoS and no throttling there (I had it there for VoIP QoS, but disabled it). 

I'm out of ideas here. Either something in the Sophos software stack is limiting the speed or something is up with my NICs (but I had pfSense installed on the same exact hardware and was getting the 110/12 speeds, and that's with snort ON, maxing out 1 core).

Any help would be appreciated!

Thanks a lot!


This thread was automatically locked due to age.
  • 0
    Hi All,

    Been several months since I last touch the SOPHOS UTM as I went to play with Untangle [[:)]] (Nah, SOPHOS UTM is more fun)

    I tried to read this Thread but as it is so many months, I am "lost" about all these 9.2 how it behaves, 9.3 how it behaves, CFFS, Local DB, SXL etc.

    I just reinstalled and loaded the backup config and upgraded firmware.


    1) Sophos UTM 9.310-11
    2) End Point Protection Enabled.
    3) End Point Protection -> Web Control Enabled.
    4) End Point Protection -> Web Control -> Scan on Gateway and End Point Enabled.
    5) Below is the Putty Results.
    cc get http sc_local_db
    none
    cc get http use_sxl_urid
    1

    This is the DEFAULT Original settings which based on my current understanding is Use SXL by default because End Point Protection Web Control is Enabled and this is the Best solution because it will lookup and cache locally.

    I just want to make sure I am on the Original Default First before I go mess with other things.

    Actually I have to admit straight away I feel web browsing is slow and thought of that Local DB = DISK or MEM and then I started recalling this SXL thing and finally found this post [[:)]]
  • 0
    if you are using sophos endpoint protection behind the utm take it off or turn off the scan at endpoint AND gateway...that is an issue that can be solved with workarounds..i prefer to use another endpoint protection behind the sophos utm because if you turn off the scan at endpoint and gateway then the endpoint completely bypasses the utm's scanning.  You are totally dependent on the cloud lookups..not my cup of tea.  If you turn them both on you get nailed in performance.  

    For my clients with sophos utm and with endpoints that are going to spend most of their life behind the utm i use another third party endpoint(not avira or sophos as those are the engines inside the utm)..[:)]

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • 0
    Given your results, you are on the 9.3 default of using SXL, Local DB and CFF are off.
    __________________
    ACE v8/SCA v9.3

    ...still have a v5 install disk in a box somewhere.

    http://xkcd.com
    http://www.tedgoff.com/mb
    http://www.projectcartoon.com/cartoon/1
  • 0
    Alvin, yes you are in a default configuration.

    William, that is your opinion and I disagree.  You can if you want turn on dual filtering so that it gets done by both the endpoint and the utm (I think its an advanced option under Endpoint).  AV scanning everything twice does impact performance, but that is whether you are using products from the same vendor or not.
  • 0
    Wrong Michael.  You should know by now i RARELY talk in opinions but deal in FACTS.  I am not saying sophos endpoint isn't good..but there are potential serious performance implications to using it behind the UTM that i have not only seen talked about on these very forums but i have experienced myself. It is a KNOWN problem and i have clients(multiple) that have dual scan at the UTM and are using AVG on the endpoint with ZERO additional impact from the addition of avg(this also goes true for my one client who has avira on the endpoints...which if what you are saying is true would ALSO cause those endpoints to crater in performance because avira is also the second engine inside the utm...but it doesn't..only with sophos endpoint behind sophos UTM.).  There is a reason that option to disable the endpoint UTM scanning was added...[:)]

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • 0
    A large number of customers run Sophos endpoint behind a UTM.  Every laptop at Sophos does.  There is no known major issue like you are describing.  I am not trying to say you haven't had problems with Sophos Endpoint, but I believe to claim to people that "there are potential serious performance implications" is incorrect for the vast majority of people who run in this configuration.

    The fact is you have had problems.  The fact is most people don't.  Your opinion is that no one should in that configuration.

    I'm not entirely sure (and I don't want to put words in your mouth) but you may be referring to a problem that some customers were having about a year ago after the release of 9.2.  Some customers (not all) found that computers with endpoints were slower and that there was a lot of traffic being logged on the UTM to sophosxl.net.  This was indeed a defect, and it was fixed long ago.  This actually had to do with categorization, not antivirus.
  • 0
    actually by the text in the webamdin it IS a/v:
    This option enables antivirus scanning at the gateway in addition to scans performed on the endpoint.
    Enabling this option will add latency to the traffic.

    Judging by this text it could be actually BOTH.  So is it categorization or a/v or both?  is the webadmin wrong?

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

Unfiltered HTML