Virenscanner in VM

[Hummerman]

Hallo,

ich habe ein sehr merkwürdiges Problem auf einigen meiner VMs, also besser gesagt auf allen Windows Maschinen, sobald dort ein Virenscanner läuft, ist die vCPU zu 100% ausgelastet der Hostrechner läuft dann natürlich auch mit einem Load von 2.0 oder mehr.

Ich habe schon gesucht, aber nichts wirklich hilfreiches gefunden, gibt es dafür vielleicht einen Workaround?

Host: Gentoo Linux 2.6.32-r7 64bit
VMware: Server 2.0.2
Gast: Win XP, Win 2008 (R2)

Antivirus: Avast, Avira


Danke!

[stefan.becker]

Details?

RAM Host, RAM Gast, vmx Datei.

[PeterDA]

und dann wäre natürlich noch interessant wer in der VM die Last erzeugt. Ist es wirklich der Virenscanner oder doch was anderes?

Sorry aber Glaskugel hat auch Pfingstfrei!

Gruß Peter

[stefan.becker]

Bilder sagen mehr als Worte

[Hummerman]

Host hat 6 GB Ram drin, die VMs von 1 GB bis 4 GB alles dabei, laufen aber nie alle gleichzeitig. Ramauslastung liegt max. bei 5 GB.

Laut Taskmanager macht jeweils die .exe vom Virenscanner die Auslastung. Da nichts weiter auf den Maschinen läuft, wüsste ich nicht, was es noch sein kann.

Eine vmx von einer WinXP Maschine:

Code: Alles auswählen

#!/opt/vmware/server/bin/vmware
.encoding = "UTF-8"
config.version = "8"
virtualHW.version = "7"
floppy0.present = "FALSE"
nvram = "winxp.nvram"
virtualHW.productCompatibility = "hosted"
ft.secondary0.enabled = "TRUE"
tools.upgrade.policy = "useGlobal"
powerType.powerOff = "soft"
powerType.powerOn = "hard"
powerType.suspend = "hard"
powerType.reset = "soft"

displayName = "winxp"
extendedConfigFile = "winxp.vmxf"

memsize = "512"
ide0:0.present = "TRUE"
ide0:0.fileName = "winxp.vmdk"
ide1:0.present = "TRUE"
ide1:0.clientDevice = "FALSE"
ide1:0.deviceType = "cdrom-image"
ide1:0.startConnected = "FALSE"
floppy0.startConnected = "FALSE"
floppy0.clientDevice = "TRUE"
ethernet0.present = "TRUE"
ethernet0.features = "1"
ethernet0.networkName = "Bridged"
ethernet0.addressType = "generated"
guestOSAltName = "Microsoft Windows XP Professional (32-bit)"
guestOS = "winxppro"
uuid.location = "56 4d ee 55 ec cd 36 b7-58 a3 64 67 d8 cd 30 ab"
uuid.bios = "56 4d ee 55 ec cd 36 b7-58 a3 64 67 d8 cd 30 ab"
vc.uuid = "52 1f 21 0c 0f 0a 2d 8c-1b 3b ab fb 9e 52 c7 0c"

ide1:0.fileName = "/mnt/.../de_windows_xp_professional_with_service_pack_3_x86_cd_x14-80444.iso"
floppy0.fileName = "/dev/fd0"

ethernet0.generatedAddress = "00:0c:29:cd:30:ab"
tools.syncTime = "TRUE"
ide0:0.redo = ""
vmotion.checkpointFBSize = "16777216"
ethernet0.generatedAddressOffset = "0"
tools.remindInstall = "FALSE"

mks.enable3d = "TRUE"
pciBridge0.present = "TRUE"
pciBridge4.present = "TRUE"
pciBridge5.present = "TRUE"
pciBridge6.present = "TRUE"
pciBridge7.present = "TRUE"
vmci0.present = "TRUE"
pciBridge4.virtualDev = "pcieRootPort"
pciBridge4.pciSlotNumber = "21"
pciBridge4.functions = "8"
pciBridge5.virtualDev = "pcieRootPort"
pciBridge5.pciSlotNumber = "22"
pciBridge5.functions = "8"
pciBridge6.virtualDev = "pcieRootPort"
pciBridge6.pciSlotNumber = "23"
pciBridge6.functions = "8"
pciBridge7.virtualDev = "pcieRootPort"
pciBridge7.pciSlotNumber = "24"
pciBridge7.functions = "8"

usb.present = "TRUE"
ehci.present = "TRUE"

ide1:0.allowGuestConnectionControl = "FALSE"

pciBridge0.pciSlotNumber = "17"
usb.pciSlotNumber = "32"
ethernet0.pciSlotNumber = "33"
ehci.pciSlotNumber = "34"
vmci0.pciSlotNumber = "35"
usb:0.present = "TRUE"
usb:1.present = "TRUE"
vmci0.id = "-657641301"
usb:1.deviceType = "hub"
usb:0.deviceType = "mouse"



[stefan.becker]

5 GB selbst berechnet oder als Info / Anzeige des Hosts?

[Hummerman]

Berechnet + Anzeige vom Betriebssystem.

[Dayworker]

Gut möglich, daß es der Virenscanner ist. Leider bist du da etwas knapp in deinen Ausführungen zum Produkt.
Hast du eigentlich einen richtigen Virenscanner oder eine dieser unzähligen Wiege-den-Benutzer-in-trügerischer-Sicherheit-und-bevormunde-ihn-bei-jeder-sich-bietenden-Gelegenheit-Suite?

[Hummerman]

Hast du eigentlich einen richtigen Virenscanner oder eine dieser unzähligen Wiege-den-Benutzer-in-trügerischer-Sicherheit-und-bevormunde-ihn-bei-jeder-sich-bietenden-Gelegenheit-Suite?

Standardzeugs von Avast und Avira, nichts spezielles. Das womit ich auf normalen PCs bisher gute Erfahrungen gemacht habe.

[Dayworker]

Wieso Avast und Avira?
Da sich beide Anbieter notgedrungen sehr tief ins System einnisten müssen, können deren Überbleibsel auch für gehörigen Ärger sorgen. Du solltest auch immer daran denken, daß man die immer vorhandene Scannerbelastung auf heutigen zumindest Dual- oder Quadcores nicht mehr als einschneidend bemerkt. In einer VM und dem dort aus Gründen der häufigeren Prozessorzuteilung bevorzugt eingesetzten Singlecore sieht das aber schon ganz anders aus. Bei Avira läßt sich die CPU-Belastung schon entschieden verringern, wenn man zumindest den Guard nicht in der höchsten Stufe laufen läßt.

Ist das eigentlich ein Dauerzustand mit der 100%igen CPU-Auslastung oder fährt der Scanner im Hintergrund nur einen kompletten Systemscan aller verfügbaren Laufwerke?

Eigentlich fehlt jetzt zu deinem Glück nur noch die Aussage, daß du alle vDisks als Sparse-Disks (mitwachsend) angelegt und diese noch nie geshrinkt hast...

[Hummerman]

Für Avira habe ich ne Lizenz. Und Avast war nur ein Test. Hast du vielleicht einen besseren Vorschlag? Sophos hätte ich noch im Angebot.,

Die VMs liefen im Leerlauf, Scans oder sowas liefen auch nicht. Nur halt der Standardmäßige Hintergrundscan (also der Guard), aber da die VMs leer sind, keine Daten zur Verfügung haben, außer die Betriebssystempartition, gibt es da eigentlich auch nicht so viel zum scannen.

In einer VM mit Dualcorezuweisung, sind beide Kerne ausgelastet.

[Dayworker]

Wenn selbst auf einer Dualcore-VM 100% erreicht werden, ist da aber irgendetwas oberfaul und Dualcore-VMs machen allgemein auch nur auf einem Quad aufwärts einen Sinn. Eine Dualcore-VM erzeugt schon eine höhere Grundbelastung auf dem Host, da in der VM beide Kerne zumeist als Singlecore in 2Sockel-Config abgebildet werden und die Datenkoheränz zwischen beiden Sockeln in SW erfolgt.

Kannst du testweise eine neue VM aufsetzen, wo du dich auf ein Produkt beschränkst und dann die Auslastung beobachtest. Damit umgehst du zum einen etwaige Überbleibsel und zum anderen sollte die VM noch unverseucht sein. Vielleicht hat es ja doch ein Schädling am Scanner vorbei geschafft und treibt jetzt dort sein Unwesen. Was sagen den eigentlich Scanner- und Windows-Log dazu, wird da irgendetwas vermerkt?

[Hummerman]

In den VMs ist jeweils nur ein Scanner installiert. Schädlinge kann ich ausschließen, da die VMs meist nur ein paar Minuten laufen, also frisch installiert sind.
In den Logs konnte ich nichts finden, ging meist auch schon nicht mehr, die VMs werden dann unbenutzbar, selbst nach einem Neustart schnellt die Auslastung sofort hoch.

Mein Server hat 2 Singlecores drin. Und kommt mit Dualcore VMs eigentlich recht gut klar, jedenfalls in Sachen normaler CPU-Auslastung und Anwendungen. Also wenn kein Virenscanner läuft.

Habe auch einen Server mit 1x Dualcore und 2x VM mit Dualcore laufen, das läuft auch sehr gut.

[Dayworker]

Verlinke mal bitte das aktuelle "vmware.log" ohne Zahl im Namen einer deiner Problem-VMs. Vielleicht findet sich ja da ein Hinweis.

[edit/add]
Hast du schon mal den Thread http://communities.vmware.com/thread/255914 gelesen?
Auch wenn's dort um die WS7 geht und die nur noch rudimentär etwas mit dem VMserver2 gemein hat, scheint das Problem wohl auch am Kernel 2.6.31/32 zu liegen.
Zumindest hatten wir hier schon mehrere Benutzer damit und für Linux allgemein läßt sich sagen, daß die älteren Kernelversionen weniger Probleme im Zusammenspiel mit VMware machen.

[Hummerman]

Danke für den Hinweis mit den neueren Kernel. Mal sehne ob ich einen älteren mal testen kann.

Ich habe mal die Logs verglichen und sieht bei denen die gut laufen, in etwa genauso aus, wie bei denen die schlecht laufen.

May 22 14:59:42.158: vcpu-1| pciBridge6:7: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| pciBridge6:6: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| pciBridge6:5: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| pciBridge6:4: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| pciBridge6:3: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| pciBridge6:2: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| pciBridge6:1: ISA/VGA decoding enabled (ctrl 0004)
May 22 14:59:42.158: vcpu-1| PCIBridge6: ISA/VGA decoding enabled (ctrl 0004)

Das taucht z.B. ewig auf.

[Dayworker]

Sorry, aber der Ausschnitt ist absolut nutzlos.
Die Meldungen sind dazu auch völlig normal. Du siehst jetzt nur mal, was die meisten Betriebssysteme so nebenbei noch alles machen und welche HW-Meldungen sie wegen Unwichtigkeit normalerweise unterdrücken. Da VMware je nach VT-Einstellungen auf Host & Gast aber im BT- oder HW-VT-Modus läuft, müssen im BT-Modus sämtliche Kernelanforderungen der Gäste auf den VMware-Hypervisor umgeleitet werden. Bei HW-VT sorgt die CPU selbst für die korrekte Abarbeitung aller Funktionsaufrufe mit den nötigen Rechten. Lies dir dazu auch mal http://de.wikipedia.org/wiki/Ring_(CPU) durch.

PS: Der Artikel bei Wikipedia ist wirklich mit Ring_(CPU) hinterlegt und die Foren-SW stört sich immer an der Klammer. Also einfach Copy'n'Paste

[Hummerman]

Danke für den Hinweis zum Wikipedia-Artikel, das meiste ist mir noch bekannt, hatte ich erst im letzten Semester.

Wenn der Ausschnitt nutzlos ist, ist es schon mal gut, das war das was bei allen am meisten vor kam. Aktuell laufen die VMs komischerweise, alle gut. Aber aktuell lasse ich auch nur alle mit Singlecore laufen.

Danke an alle die mir versucht haben weiterzuhelfen, wenn es nochmal Probleme gibt, melde ich mich noch mal.