Probleme mit CPU auslastung

E

Enigmaso

New Member
Proxmox Subscriber
Jul 7, 2026
3
1
3
Seit letzter Woche habe ich Probleme mit einer VM. Diese hat aus unerfindlichen Grünten eine CPU Auslastung von über 100%, unterbricht alle Terminalsitzungen und ist nach ca. 15 bis 30 Minuten wieder erreichbar. Die VM lief vorher mit den gleichen Einstellungen ohne Probleme. Seit gestern haben auch andere VMS auf einmal über 100% CPU Auslastung. Aber nicht alle. So wie es scheint sind nur VMs mit Server 2025 betroffen. Systeme mit Server 2019, Windows 11 oder Linux haben das nicht.
Hat jemand eine Idee oder so etwas schon mal gehabt ?
 
Nein, auf welcher genauen Hardware läuft der Proxmox VE Server?

Welche Einstellungen hat die VM?
Ist der qemu guest agent installiert? Welcher?
Welche Client Bios/ CPU Einstellungen sind gemacht?
 
Last edited:
20 Cores für eine VM ist schon viel.
Wenn das 2025 sind, deaktiviere mal bei der CPU das Nested Virtualization Flag. (Oberste bei Advanced)
Vermutlich ist in den VMs VBS aktiv (Virtualization Based Security)
 
  • Like
Reactions: Johannes S
Falk R. said:
20 Cores für eine VM ist schon viel.
Wenn das 2025 sind, deaktiviere mal bei der CPU das Nested Virtualization Flag. (Oberste bei Advanced)
Vermutlich ist in den VMs VBS aktiv (Virtualization Based Security)
Click to expand...
Warum soll das in einer VM zu viel sein? Allerdings finde ich die 2Sockel/96CPU Anzeige rechnerisch schon komisch
 
Last edited:
Bei Dual Socket kann es ohne saubere NUMA config mit der Anzahl vCPUs (20) dann schon mal zu Problemen kommen. Der 6520P hat zudem keine gleichwertigen cores, sondern High und Low Priority cores.

Bei der Menge an verfügbarem RAM wundert mich ein wenig die SWAP Auslastung.
 
Last edited:
  • Like
Reactions: ThoSo and Johannes S
TErxleben said:
Warum soll das in einer VM zu viel sein? Allerdings finde ich die 2Sockel/96CPU Anzeige rechnerisch schon komisch
Click to expand...
Weil die meisten VMs nicht so viel benötigen und das nur zu unnötigen Warteschlangen führt.
Da sind halt 2x 24 Core CPUs drin. Ergibt 2x48 Threads.
 
  • Like
Reactions: Johannes S
cwt said:
Bei Dual Socket kann es ohne saubere NUMA config mit der Anzahl vCPUs (20) dann schon mal zu Problemen kommen. Der 6520P hat zudem keine gleichwertigen cores, sondern High und Low Priority cores.

Bei der Menge an verfügbarem RAM wundert mich ein wenig die SWAP Auslastung.
Click to expand...
Soweit Intel selbst weiß was sie tun und Intel Ark korrekt gepflegt ist, hat diese CPU keine E+P Cores.
Man sollte aber bei 24 echten Cores und 20 Cores bei einer einzigen VM aufpassen wie die anderen VMs gesized sind. Wenn die alle so viele Cores haben, gibts schon mal schnell hohe Warteschlangenzeiten bei den CPUs.

Eventuell schaut der TE auch mal nach den CPU Pressure Werten.
 
  • Like
Reactions: ThoSo and Johannes S
cwt said:
Bei der Menge an verfügbarem RAM wundert mich ein wenig die SWAP Auslastung.
Click to expand...
Mich nicht. Ein bisschen wird immer geswappt und das soll so, siehe https://chrisdown.name/2018/01/02/in-defence-of-swap.html und https://chrisdown.name/2026/03/24/zswap-vs-zram-when-to-use-what.html ( Chris Down ist Kernel-Entwickler bei Instagram ).

Problematisch sind ständige Schreib- und Lesezugriffe auf den swap, die kann man über das Dashboard nur indirekt bestseller ( gucken ob sich der Swap über längere Zeit verändert oder konstant bleibt, bleibt er konstant würde ich mir keinen Kopf machen). Das Dashboard ersetzt halt nicht richtige Monitoringsoftware
 
Der Name verrät's ja schon, das ist ein DC, und genau da liegt wohl der Hund begraben: Server 2025 macht Credential Guard (also VBS) auf Domaincontrollern per Default an. Falks Tipp mit dem Nested-Flag zielt genau da drauf, ohne die durchgebundene Virtualisierung im Gast kann VBS gar nicht erst starten.

Check mal im Gast per msinfo32 ganz unten, ob bei "Virtualisierungsbasierte Sicherheit" Wird ausgeführt steht. Wenn ja, ist das dein heißester Kandidat. Nested-Virt-Flag an der VM-CPU raus (Falks Punkt), Reboot, dann sollte VBS wegbleiben. Danach msinfo32 nochmal gegenchecken.

Die 15-30min-Freezes sind trotzdem etwas eigen für reine VBS-Last, die wär eher konstant statt schubweise. Läuft zu den Zeiten evtl. was Geplantes, Defender-Fullscan, Backup, AD-Wartung? Falls die Aussetzer auch nach VBS-aus bleiben, würd ich mal da rein schauen.
 
  • Like
Reactions: Johannes S
Ah, guter Fund @boisbleu, das passt zu dem was mir an den Freezes komisch vorkam. Die schubweisen 15-30min-Aussetzer sind eher der Bug als nur VBS-Last, das wären dann zwei verschiedene Probleme: das hohe CPU über Credential Guard/VBS und die Freezes wegen dem Bug seit 9.2.2.

@Enigmaso, ich würd das trotzdem getrennt angehen. Erst VBS via Nested-Flag raus und mit msinfo32 checken, dann siehst du ob die Grundlast runtergeht. Die Freezes beobachtest du parallel über den Bugreport, abonnier ihn und würf da evtl. deine Config und dein 9.2.3 rein. Falls die Aussetzer nach VBS-aus bleiben, weißt du dass es der Kernel/QEMU-Bug ist und nicht dein Setup.
 
Bu66as said:
Server 2025 macht Credential Guard (also VBS) auf Domaincontrollern per Default an.
Click to expand...
Nö.
https://learn.microsoft.com/en-us/windows/security/identity-protection/credential-guard/
Man müßte es extra einschalten und davon raten sie ab.
Falk R. said:
... deaktiviere mal bei der CPU das Nested Virtualization Flag.
Click to expand...
Ich würde eher was anderes wählen als 'host', dann ist nested aus, solange man es nicht extra per flag einschaltet.
Der Xeon 6520P ist ein GraniteRapids, also würd ich anfangen mit der höchsten Version (v5) und falls die VM damit nicht startet, dann einfach weiter runter, bis es geht. Mit der Methode bin ich bisher am besten gefahren, vor allem im Zusammenhang mit den f. Mitigations, wo sich Windows immer für so schlau hält. :mad:
Bu66as said:
Der Name verrät's ja schon, das ist ein DC
Click to expand...
Scheinbar auch noch ein RDS, worauf auch die 20 cores hindeuten. Also eine Kombination, die eh "verboten" ist. :oops:
Kein Support, von niemandem (m.W.). :rolleyes:
 
Stimmt @6equj5, mit dem default-an hab ich mich vertan, danke für den Link. Dann wird der msinfo32-Check wichtiger: wenn bei @Enigmaso VBS gar nicht läuft, ist die ganze Nested/Credential-Guard-Schiene für die Katz und es bleibt der Bug aus 9.2.2 übrig. Damit löst sich meine "zwei Probleme"-Vermutung auf.

Dein Punkt mit dem festen CPU-Modell statt host gefällt mir eh besser als am Nested-Flag rumzudrehen. @Enigmaso, deine VM fährt auf host, das wär der erste Hebel. Auf dem 6520P oben mit v5 anfangen und runter bis die VM sauber startet, dann ist nested ganz raus und du handelst dir die host-Mitigations-Spielchen mit Windows gar nicht erst ein.
 
Naja in der Theorie sollte host plus deaktiviertes neated-virt eine bessere Performance bringen, aber das müsste sich dann ja auch henchmarken lassen
 
6equj5 said:
Ich würde eher was anderes wählen als 'host', dann ist nested aus, solange man es nicht extra per flag einschaltet.
Click to expand...
Warum? Was soll dann besser sein?
6equj5 said:
Scheinbar auch noch ein RDS, worauf auch die 20 cores hindeuten. Also eine Kombination, die eh "verboten" ist. :oops:
Kein Support, von niemandem (m.W.). :rolleyes:
Click to expand...
Was ist den Verboten?
Ich glaube nicht das irgend jemand auf dieser Welt einen RDP Server mit Domänen Controller Rolle betreibt. Falls doch, haben wir die Ursache gefunden.
Auf einem DC wir das Diskcaching abgeschaltet und immer Write Thru genutzt, was zu hoher CPU Auslastung führt, wenn die Disk nicht nachkommt.
 
  • Like
Reactions: Johannes S
Falk R. said:
Was soll dann besser sein?
Click to expand...
Was ich schrieb: nested ist dann (m.W.) per default aus. Zudem ist es schlicht meine persönliche Erfahrung, daß "host" am ehesten Probleme macht bei Windows. Hab schon VMs gehabt, wo dann z.B. der Explorer in einer Crash-Schleife läuft. Warum auch immer. Ist halt Windows. o_O
Falk R. said:
Was ist den Verboten?
Click to expand...
Was ich schrieb: DC + RDS auf derselben Maschine.
Falk R. said:
Ich glaube nicht das irgend jemand auf dieser Welt einen RDP Server mit Domänen Controller Rolle betreibt.
Click to expand...
Ich glaube ganz unbedingt, daß dies schon ein paar so machen.

In #4 sieht man den Hostnamen: SRV-RDPDC. Fällt mir schwer, das anders zu interpretieren als DC + RDS (oder worauf soll RDP deuten).
 
You must log in or register to reply here.
Top Bottom
Back