<div dir="ltr"><div>Have you read Peter's "Suricata Extreme Performance Tuning" guide at <a href="https://github.com/pevma/SEPTun/blob/master/SEPTun.pdf">https://github.com/pevma/SEPTun/blob/master/SEPTun.pdf</a>?</div><div><br></div><div>I believe this will address a few of your questions.</div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><span><br></span></div><div dir="ltr"><span>-- <br></span></div><div dir="ltr"><span>Eric Urban</span><br><span></span><div dir="ltr"><span> Security Analyst | University Information Security (UIS)<br> University of Minnesota | <a href="http://umn.edu" target="_blank">umn.edu</a><br>Information Security is a shared responsibility. Learn more at: <a href="https://z.umn.edu/uis" target="_blank">https://z.umn.edu/uis</a><br></span></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Jan 16, 2020 at 5:36 AM Daniel Perner <<a href="mailto:daniel.perner.et@gmail.com">daniel.perner.et@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr">Hello!<br><br>We are testing Suricata in af-packet IDS mode and we ran into a couple of issues with configuring.<br><br>We have various HW setups, and therefore Suricata runs in different runmodes (either workers or autofp) depending on a specific platform. Currently I'm trying to configure Suricata to get the best performance as possible, but some settings are ambiguous and even the documentation didn't help a lot.<br><br>Here are some of the things which I do not understand about configuration:<br><br>1) ring-size: <number of packets> - Ring size will be computed with respect to max_pending_packets and number of threads. You can set manually the ring size in number of packets by setting the following value. So as I understand this value defines a cache size of each thread when running in workers mode, but when running in autofp there may be different numbers of packet capture and packet processing threads. To which type of thread does the ring-size refer in autofp mode? And when this value is not set - what is the default value?<br><br>2) tpacket_v3 has such properties as block-size and block-timeout which look a bit complicated. What should I take into consideration when trying to tune those values?<br><br>3) buffer-size: <number of bytes?> - what is this buffer?<br><br>4) max-pending-packets: <number of packets> - is this a number of packets which can be simultaneously processed by each of packet processing thread?<br>Here is how I see it: say we set the ring-size to 100k packets, set m-p-p to 1k and run 8 packet processing threads. This setup means that each of 8 threads can analyze 1k packets at once, while other packets have to wait in its 100k packets buffer - is it correct? And again, if this setting is commented out - what is the default value?<br><br>--<br>Regards,<br>Daniel Perner</div>
_______________________________________________<br>
Suricata IDS Users mailing list: <a href="mailto:oisf-users@openinfosecfoundation.org" target="_blank">oisf-users@openinfosecfoundation.org</a><br>
Site: <a href="http://suricata-ids.org" rel="noreferrer" target="_blank">http://suricata-ids.org</a> | Support: <a href="http://suricata-ids.org/support/" rel="noreferrer" target="_blank">http://suricata-ids.org/support/</a><br>
List: <a href="https://lists.openinfosecfoundation.org/mailman/listinfo/oisf-users" rel="noreferrer" target="_blank">https://lists.openinfosecfoundation.org/mailman/listinfo/oisf-users</a><br>
<br>
Conference: <a href="https://suricon.net" rel="noreferrer" target="_blank">https://suricon.net</a><br>
Trainings: <a href="https://suricata-ids.org/training/" rel="noreferrer" target="_blank">https://suricata-ids.org/training/</a></blockquote></div>