High ksoftirq CPU load, high latency, __xfrm4_find_bundle likely culprit?

High ksoftirq CPU load, high latency, __xfrm4_find_bundle likely culprit?

[Roberto Suarez Soto]

Hi,

	we've got a load problem in one of our IPSec gateways, running openswan 
1:2.6.28+dfsg-5+squeeze1 and kernel 2.6.32-5-686-bigmem (Debian Squeeze). The 
symptoms are:

	- High ksoftirqd load
	- High network latency (pings up to 200ms in the same switch)
	- At those times, "perf top" shows a high CPU usage for syscalls 
__xfrm4_find_bundle, des3_ede_decrypt and des3_ede_encrypt

	We've already discarded NIC problems, and traffic is not so high as to 
justify these problems. In particular, we have a bond0 for the two NICs that 
deal with LAN traffic, and when the problem appears the stats are quite tame: 
3k-4k packets per second, 3MBytes/s.

	We're migrating away from 3DES to mitigate this problem, but the real culprit 
seems to be __xfrm4_find_bundle. Is there something wrong? Is it a bug, or 
something that we've not tuned properly?

	Thanks,

-- 
         Roberto Suarez Soto                             Allenta Consulting
         robe@allenta.com                                   www.allenta.com
                                                            +34 881 922 600

Este correo electrónico contiene información estrictamente confidencial y
es de uso exclusivo del destinatario, quedando prohibida a cualquier otra
persona su revelación, copia, distribución, o el ejercicio de cualquier
acción relativa a su contenido. Si ha recibido este mensaje por error, por
favor conteste a su remitente mediante correo electrónico y proceda a
borrarlo de su sistema. Rogamos nos comunique inmediatamente sobre
cualquier inconveniente que pueda tener usted en relación al envío de este
tipo de correo electrónico.

Sus datos personales serán tratados de forma confidencial y no serán
cedidos a terceros ajenos a ALLENTA CONSULTING, S.L. En cualquier caso,
podrá ejercer los derecho de oposición, acceso, rectificación y cancelación
de acuerdo con lo establecido en la Ley Orgánica 15/99, de 13 de diciembre,
de Protección de Datos de Carácter Personal dirigiéndose a ALLENTA
CONSULTING, S.L. en C/Enrique Mariñas 36, 2º piso, oficina 8, 15009 – A
Coruña  o en la dirección de electrónico info@allenta.com

Re: High ksoftirq CPU load, high latency, __xfrm4_find_bundle likely culprit?

[David Miller]

From: Roberto Suarez Soto <robe@allenta.com>
Date: Mon, 12 Mar 2012 16:50:35 +0100

> 	we've got a load problem in one of our IPSec gateways, running
> 	openswan 1:2.6.28+dfsg-5+squeeze1 and kernel 2.6.32-5-686-bigmem
> 	(Debian Squeeze). The symptoms are:

We had bugs where IPSEC routes weren't cached properly, and these were fixed
after 2.6.32 for sure.