Fallback Crypto
os-fallbackcrypto · الحماية
يختار أيَّ برامج تشغيل التشفير في النواة يُشفِّر أنفاق IPsec التي يحملها المضيف بنفسه - أي التي لا يأخذها المعالج المساعد في جهاز Sophos XGS.
في القائمة
- مع تثبيت os-xgs-npu: XGS: Fallback Crypto
- من دون os-xgs-npu: VPN: IPsec: Fallback Crypto
ثلاثة خيارات: aesni only، وهو ما يأتي به OPNsense؛ وossl beside aesni، حيث يُحمَّل ossl(4)، برنامج تشغيل النواة المبني على OpenSSL، فورًا ومبكّرًا في كل إقلاع، قبل وجود أيّ نفق، فتتوزّع الارتباطات الأمنية (SA) الجديدة بين الاثنين؛ أو ossl only، حيث يُعطَّل aesni في مُحمِّل الإقلاع عبر Tunables الخاصّة بـ OPNsense نفسه، فتصبح كل جلسة لـ ossl من الإقلاع التالي.
يحمل ossl شيفرة AES-GCM الخاصّة بـ OpenSSL: الشيفرة العريضة مع AVX-512 وVAES، والشيفرة المدمجة AES-NI/GHASH مع AVX وPCLMULQDQ وMOVBE. ومضيف XGS 3300، وهو AMD Ryzen Embedded V1780B، لا يملك AVX-512، فسيأخذ ossl الثانية. ولم يُقَس بعدُ هل ossl أسرع من aesni على هذه الأجهزة المضيفة.
على أيّ جهاز XGS يُشفِّر المعالج المساعد الارتباطات الأمنية التي أخذها، أيًّا كان ما يُختار هنا؛ وهذا لا يغيّر إلا ما بقي منها للمضيف. وعلى XGS 136، حيث يحصر os-xgs-npu IPsec في المزوّدات البرمجية، يتّفق الاثنان: فـ ossl مزوّد برمجي، وخطّاف الإقلاع المبكّر لهذه الإضافة يعمل قبل خطّاف os-xgs-npu.
الميزات
-
ثلاثة خيارات
aesni only، أو ossl beside aesni، أو ossl only.
-
يُحمَّل قبل أيّ نفق
يُحمَّل ossl فورًا ومبكّرًا في كل إقلاع، قبل وجود أيّ نفق.
-
تعطيل aesni عبر Tunables
يُكتب hint.aesni.0.disabled=1 عبر Tunables الخاصّة بـ OPNsense نفسه، فيظهر في System: Settings: Tunables.
-
ميزات المعالج
معالج المضيف، والميزات التي يعتمد عليها AES-GCM، وأيّ شيفرة AES-GCM يأخذها ossl عليه.
-
المزوّدات والارتباطات الأمنية
مزوّدات التشفير الموجودة، وهل IPsec محصور في المزوّدات البرمجية، والارتباطات الأمنية في النواة مع خوارزمياتها.
-
الإقلاع التالي
ما سيشغّله الإقلاع التالي، وهل ما زالت إعادة التشغيل لازمة لإتمام الباقي.
التثبيت والتحديث
ابتداءً من إصدار os-xgs-npu الذي يلي 0.1.0-alpha.7.1، تظهر الإضافة في تبويب Plugins في XGS: Updates - فتُحدَّث النسخة المثبّتة منها هناك يدويًّا، وتُثبَّت منه حيث لا توجد - وتحملها الصور الجاهزة المبنية من ذلك الإصدار؛ وحتى ذلك الحين تُثبَّت وتُحدَّث كما يلي. ولا يُشغِّل أيّ مُدخَل cron التحديث. ولتثبيتها على جهاز XGS أو على أيّ OPNsense آخر، بصلاحيات root: من نسخة مستنسخة من المستودع بالأمر sh install/install.sh، الذي يضع الصفحة تحت XGS مع os-xgs-npu وتحت VPN: IPsec من دونه، ويحفظ الإعدادات إذا أُعيد تشغيله؛ أو من حزمة الإصدار os-fallbackcrypto-1.0.0.pkg، بعد التحقّق منها بـ SHA256SUMS، وإضافتها بـ pkg. والنسخة المثبّتة بهذه الطريقة تُحدَّث بسكربتها self-update.py. ولا يتغيّر شيء حتى يُختار مزوّد ويُطبَّق. وقبل إزالتها، أعِدها إلى aesni only وطبِّق، أو احذف hint.aesni.0.disabled من System: Settings: Tunables بعد ذلك. والإضافة ليست في مستودع إضافات OPNsense.
الحدود، وما لم يُختبر بعد
- تطبيق اختيار من الصفحة (apply.php، الذي يحمّل ossl ويكتب المتغيّر القابل للضبط).
- نفق على ossl، وتعطيل aesni.
- إنتاجية أيٍّ من المزوّدَين: لم يُقَس هل ossl أسرع من aesni.
- الحزمة، التي يبنيها tools/make-package.sh وتُضاف بـ pkg.
- التثبيت على OPNsense من دون os-xgs-npu.
- التحديث عبر تبويب Plugins أو self-update.py: الإصدار 1.0.0 هو الأول، فلم يسبق أيُّ إصدار نسخةً مثبّتة.
المستودع
أول إصدار: 2026-10-25