Topics

Hallo Zusammen,

Da ich OPNSense unter KVM (Proxmox) betreibe, möchte ich in diesen Treat optimierungen beschreiben und zur Diskussion aufrufen.
Dem Zugrunde liegt derzeit OPNsense Develop 16.7 und Proxmox 4.2. Hardware ist ein Atom C2550 mit AES-NI

Der erste Versuch war mit Proxmox E1000 Treibern und aktivierten AES-NI Support unter OPNSense.
Um erhrlich zu sein. Danach wollte ich schon wieder die Software wechseln. Ein Datendurchsatz von 24-30MB und einer CPU Last von 60-70%.

Daraufhin habe ich mich aber noch einmal rangesetzt und folgede Optimierungen durchgeführt.

Proxmox VirtIO Netzwertreiber und folgendes  unter OPNSense (Datei /boot/loader.conf):

hint.apic.0.clock=0
kern.hz=100

führten dazu, das er Durchsatz auf 70MB hochging und die CPU-Last auf 40-45% gesungen ist.
Befriedigend ist das immer noch nicht, aber deutlich besser.  Leider habe ich mir damit auch ein neues Problem eingefangen. IPS funktioniert nicht mehr. Obwohl ich sämtliche Hardware - Offload's Disabeld habe. Sobald ich IPS aktiviere entsteht der selbe Effekt, wie wenn man  IPS ohne Disable hardware checksum offload versucht. Nun gut man kann nicht alles haben ;-)

Hallo Zusammen,

Die Frage hat sich geklärt. Es war keine Frage sondern eigene Dummheit.

Danke!

Hallo Zusammen,

Ich habe das Problem, das es ziemlich egal zu sein scheint, ob ich die Hardware AES unterstützung aktiviert ist oder nicht. Es ändert sich werde der Datendurchsatz, noch die CPU-Auslastung. Das ganze läuft derzeit auf der 16.1.13.
So, was habe ich gemacht. Als erstes mal natürlich auf der Weboberfläche unter System-Einstellung-Verschiedenes-Hardwarekryptografiebeschleunigung die AES CPU Beschleunigung aktiviert.

Wenn ich mir nun an der Shell ein kldstat absetze wird mir der aesni.ko  als geladen angezeigt.
Ein dmesg | grep aes zeigt mit:

aesni0: <AES-CBC,AES-XTS> on motherboard

ein /usr/bin/openssl engine -t -c zeigt:

(rsax) RSAX engine support
  [RSA]
           [available]
(rdrand)  Intele RDRAND engine
   [RAND]
              [available]
(dynamic) Dynamic engine loading support   
            [unavailable]

Hier stellt sich mir schon die erste Frage. Müsste da nicht auch ein Eintrag in etwa so auftauchen:

(cryptodev) BSD cryptodev engine
[RSA, DSA, DH, AES-128-CBC, AES-192-CBC, AES-256-CBC]
     [ available ]

gut ich wollte dann noch ein cryptotest oder cryptostatus ausführen. Die scheint es aber nicht mehr zu geben.

Was kann ich noch testen um den Fehler einzugrenzen?

Gruß

Christian