Performance verbessern

[Manu_King]

Hallo zusammen,

ich habe vor Kurzem eine neue OPNsense-Firewall auf einem lüfterlosen Mini-PC mit einem Intel N150 Prozessor und Intel i226 (igc) 2.5 GbE Netzwerkkarten aufgesetzt.

Das System läuft bisher stabil, aber ich möchte die maximale Leistung und den höchsten Durchsatz aus der Hardware herausholen. Mein Ziel ist es, das Basissystem, Unbound DNS und insbesondere Zenarmor (Paketverarbeitung/L7-Inspektion) zu optimieren, ohne in CPU-Engpässe oder Paketverluste zu geraten.

Hier ein paar Details zu meinem Setup:
* Hardware: Intel N150 (Sparsam, effiziente Kerne)
* Netzwerkkarten: Intel i226-V (mit dem nativen igc-Treiber)
* Pakete: Zenarmor, Unbound (mit DNS-Blocking/Caching)

Ich würde mich sehr über Ratschläge der Community zu Best Practices und spezifischen Anpassungen freuen:

1. Optimierung von Basissystem & Netzwerkkarten:
* Gibt es bestimmte Loader Tunables oder sysctl-Einstellungen (wie RSS / Receive-Side Scaling, Interrupt-Remapping oder Hardware-Offloading), die für den igc-Treiber und die N150-Architektur empfohlen werden, um den Durchsatz bei Gigabit+ zu maximieren?
* Sollte Hardware Checksum Offloading in modernen OPNsense-Versionen mit diesen Netzwerkkarten explizit aktiviert oder deaktiviert werden?

2. Unbound DNS-Optimierung:
* Was sind die besten Anpassungen für Unbound, um eine blitzschnelle DNS-Auflösung zu erreichen (z. B. Cache-Größen, infra-cache-numhosts, Prefetching oder Aktivierung paralleler Threads)?

3. Zenarmor Leistungsoptimierung:
* Da Zenarmor recht ressourcenintensiv ist (Packet Engine / Netmap-Modus): Was ist die beste Konfiguration für einen 4-Kern N150 Prozessor?
* Sollte ich den nativen Netmap-Treiber-Modus oder den emulierten Modus mit dem igc-Treiber verwenden?
* Gibt es spezielle Berichts-/Datenbank-Optimierungen (Elasticsearch vs. SQLite), um die CPU- und Disk-I/O-Last auf einem Mini-PC niedrig zu halten?

Ich freue mich über alle Tipps, Konfigurationsbeispiele oder Links zu guten Tuning-Guides für ähnliche Intel-Setups mit geringer Leistungsaufnahme. Vielen Dank im Voraus!

Viele Grüße,

Manuel

[tangofan]

Wie ist die Performance bei dir denn jetzt und wie hast du sie gemessen?

Bei meinem System (Intel J6412 mit i226-V NICs) ist die inter-VLAN Performance von 1.1 Gbit/s auf ca. 2.4 Gbit/s gestiegen (gemessen mit iperf), nachdem ich Zenarmor abgeschaltet hatte. Da war dann keine weitere Optimierung mehr nötig. Zenarmor ist halt nur single-threaded (ausgenommen die ganz teueren Versionen), das wird dann dein Flaschenhals werden.

Ich habe übrigens alle Offloading Optionen unter Interface->Settings angekreuzt und damit deaktiviert. Mehr Performance würde das Offloading also nicht bringen, aber vielleicht weniger Stromverbrauch.

[Manu_King]

Hallo,

Danke für deine Nachricht.

Ich habe den Durchsatz ebenfalls mit iperf3 gemessen da kommen bei mir 1.3 gibt raus mit deaktiviertem zenarmor auch so im Dreh 2.3 bis 2.5 gbit. Meine Frage wäre vielleicht weißt du ja wie man aus dem Setup das maximale an Leistung rausholen kann ohne zenarmor abzuschalten. Vielleicht durch Tuneables. Oder unbound Einstellungen um DNS Auflösung zu beschleunigen.

Liebe Grüße Manuel

[tangofan]

Falls du Zenarmor mit dem Emulated Netmap driver betreibst, sollte der Wechsel auf den Native Netmap driver noch etwas Geschwindigkeit herausholen. Ansonsten bin ich skeptisch, ob die Tunables etwas bringen, da die NICs ja anscheinend im Prinzip mit dem vollen Durchsatz laufen, sie werden halt durch Zenarmor im Single-Thread Modus ausgebremst. Du kannst natürlich mal im englischsprachigen Forum für Zenarmor nachfragen, ob da noch etwas geht.

Diese Tatsache (und ein gelegentliches Problem mit stotternden Videos in Youtube) hat letztendlich für mich den Ausschlag gegeben, Zenarmor zu deinstallieren, sogar bevor mein Premium-Abo abgelaufen war.

[sternchen45]

single-threaded bedeutet, dass alles auf die Performance *des* einen Cores begrenzt ist, der die Arbeit macht. Völlig egal, wie viele Cores die CPU hat. Das schreibt der Hersteller übrigens auch selbst als Hinweis.

[JeGr]

Vielleicht durch Tuneables. Oder unbound Einstellungen um DNS Auflösung zu beschleunigen.

Nichts davon würde sich auf einen iperf3 Test niederschlagen. Maximal noch tunables am Interface und die würden generell gelten und wären nicht zenarmor spezifisch (also Dinge, die sich explizit auf den NIC Typ o.ä. beziehen).

Da der Unterschied SO groß ist und single core noch ein Ding, würde ich stark auf CPU locked tippen, da gibts dann keine Schraube außer "mit Hardware auf das Problem feuern", was helfen würde.

Cheers