Victor,<br>  Thanks for the explanation.  So do I understand correctly that for reading pcap files I'm limited to only a single packet reader thread?  So at some point my performance bottleneck would become the packet reading thread, regardless of where the pcap file is stored?  If that's the case I could probably use tcpreplay to resend the traffic through the interface and pfring (thought I haven't begun to work with pfring yet).<br>
<br>Gene<br><br><div class="gmail_quote">On Tue, Aug 23, 2011 at 1:44 AM, Victor Julien <span dir="ltr"><<a href="mailto:victor@inliniac.net">victor@inliniac.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;">
<div class="im">On 08/22/2011 10:51 PM, Gene Albin wrote:<br>
> So in that case the I/O becomes the bottleneck?  I've tried to minimize disk<br>
> I/O by putting the pcap file into a ramdisk.  Not sure if that makes a<br>
> difference or not.  (seems to, though)<br>
<br>
</div>Disk I/O is one limitation you may run into. Another is whether the<br>
single packet reader thread can distribute the workload over the other<br>
threads/cores fast enough. The best results wrt performance have been<br>
seen in the pfring live modes with multiple reader threads.<br>
<br>
Cheers,<br>
Victor<br>
<font color="#888888"><br>
--<br>
</font><div><div></div><div class="h5">---------------------------------------------<br>
Victor Julien<br>
<a href="http://www.inliniac.net/" target="_blank">http://www.inliniac.net/</a><br>
PGP: <a href="http://www.inliniac.net/victorjulien.asc" target="_blank">http://www.inliniac.net/victorjulien.asc</a><br>
---------------------------------------------<br>
<br>
</div></div></blockquote></div><br><br clear="all"><br>-- <br>Gene Albin<br><a href="mailto:gene.albin@gmail.com" target="_blank">gene.albin@gmail.com</a><br><br>