Zwei Computer in einem Gehäuse
Installiert man OPNsense auf einer Sophos XGS, startet eine funktionierende Firewall ganz ohne Netzwerkschnittstellen. Das Gerät sieht aus wie ein Computer und ist zwei: ein x86-Host und ein Koprozessor hinter einem PCIe-Endpunkt, dem jeder Front-Port gehört.
Der Hersteller liefert Treiber nur für sein eigenes Betriebssystem und für Linux; endet der Support, gilt die Hardware meist als Elektroschrott. Dieses Projekt gibt FreeBSD die Ports zurück und lässt den Koprozessor dann für die Firewall arbeiten.
Was es tut
Jeder Front-Port
Alle vierzehn an der XGS 136 und alle zwölf an der XGS 3300, samt denen ihres Erweiterungsmoduls, jeder eine gewöhnliche FreeBSD-Schnittstelle mit dem Namen, den das Gehäuse trägt.
pf entscheidet, der Koprozessor leitet weiter
Eine Verbindung, die die Firewall zugelassen hat, kommt in die Flow-Tabelle des Koprozessors, IPv4 mit ihrer Übersetzung und IPv6 unverändert, und kommt wieder heraus, sobald pf sie loslässt.
IPsec in der Engine
Eine Assoziation, die strongSwan über OPNsense einrichtet, landet ohne Eingabe auf der Krypto-Engine des Koprozessors: AES-GCM, AES-CBC mit HMAC, NAT-Traversal.
Die Listen der Firewall greifen weiter
Bekommt eine Sperrliste eine Adresse oder protokolliert die Intrusion Detection einen gelisteten TLS-Fingerabdruck (JA4), wird eine Verbindung getrennt, die schon in Hardware läuft.
Teil von OPNsense
Ein Abschnitt im Menü, jede Seite auf Arabisch und Englisch, die Front-Ports beim ersten Start zugewiesen und Updates von der eigenen Seite in Sekunden.
Ehrlich gehalten
Jede Zahl steht auf einer Seite mit der Art, wie sie gemessen wurde, und einem Foto des Laufs. Eine Aussage, die sich als falsch erwies, bleibt durchgestrichen auf ihrer Seite, neben dem, was sie ersetzt.
Gemessen, nicht versprochen
Jede Zahl verweist auf die Seite, die sie enthält, mit der Art der Messung und dem Modul-Build, auf dem sie entstand.
Alle Messungen (Englisch) Wie sie gemessen werden, und warum
Im Einsatz
Gezählt, während es geschieht, und alle paar Minuten von selbst aktualisiert.
Aktualisiert
Zwei Familien antworten jetzt
Auf Silizium, das nichts gemeinsam hat. Zwei weitere, OCTEON TX2 und sein 98XX, sind aus den Binärdateien des Herstellers beschrieben und warten auf Hardware; TOPAZ und GR haben keinen Koprozessor zum Ansteuern.
XGS 3300
- 12 von 12 Front-Ports und die 4×10G des Erweiterungsmoduls
- Flow- und IPsec-Offload
- LCD und Tasten der Frontblende
XGS 136
- 14 von 14 Front-Ports
- Flow- und IPsec-Offload
- Konsole und Switch des Koprozessors vom Host aus gelesen
Jedes Modell
Zehn Modelle der beiden Familien mit Treiber. Zwei werden hier betrieben; die anderen sind ungetestet hinzugefügt, bis ein Gerät davon hier ist. Jedes hat eine Seite: seine Ports, wo sie sitzen, seine Platine, die Herstellerangaben.
| Modell | Familie | Koprozessor | Front-Ports | Stand |
|---|---|---|---|---|
| XGS 87 87w | ARMADA | CN9130 | 5 4 RJ45, 1 SFP | hinzugefügt, ungetestet |
| XGS 107 107w | ARMADA | CN9130 | 9 8 RJ45, 1 SFP | hinzugefügt, ungetestet |
| XGS 116 116w | ARMADA | CN9131 | 9 8 RJ45, 1 SFP | hinzugefügt, ungetestet |
| XGS 126 126w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | hinzugefügt, ungetestet |
| XGS 136 136w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | hier betrieben |
| XGS 138 | ARMADA | CN9131 | 8 6 RJ45, 2 SFP+ | hinzugefügt, ungetestet |
| XGS 2100 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | hinzugefügt, ungetestet |
| XGS 2300 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | hinzugefügt, ungetestet |
| XGS 3100 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | hinzugefügt, ungetestet |
| XGS 3300 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | hier betrieben |
Jedes Modell im Detail Ihr Gerät eintragen und 13 Modelle der Familien ohne Treiber
Geräte dieser Modelle werden zum Testen gekauft. Bis dahin wird jedes als ungetestet markierte Modell durch den Bericht seines ersten Besitzers bestätigt oder korrigiert.
Es sieht aus wie OPNsense, weil es OPNsense ist
Der XGS-Abschnitt des Menüs zeigt die Frontblende mit dem Link jedes Ports, den Koprozessor, die Flows in Hardware, die IPsec-Engine, die Transceiver, Updates und Problemberichte. Jede Seite ist auf einem Gerät fotografiert, auf Englisch und auf Arabisch.
Die Repositories des Projekts
Die Treiber und das Plugin sowie die Seite, die ein ganzes Image darum baut - jedes auf GitHub, mit seiner neuesten Version, seinen Sternen und Forks.
os-xgs-npu
Die FreeBSD-Treiber für beide Koprozessor-Familien und das OPNsense-Plugin darum: die Front-Ports, die Flows und IPsec in Hardware, die Seiten, die es zeigen.
xgs-image-builder
Ein OPNsense-Image für eine Sophos XGS mit allem darin, gebaut über eine Webseite mit GitHub Actions in Ihrem eigenen Fork.
Die Plugins darum herum
Jedes in seinem eigenen Repository, jedes für sich installierbar.
os-fanctl
Lüftersteuerung nach den Temperaturen, die der Kernel veröffentlicht; bei jedem Fehler gehen die Lüfter zurück an die Hardware.
os-frontpanel
Die Informationen der Firewall auf dem LCD vorn am Gerät, und seine Tasten bekommen etwas zu tun.
os-linkhealth
Überwacht jeden physischen Port und sagt mit den Namen des Gehäuses, welches Kabel oder welcher Transceiver nachlässt.
os-netreport
Eine lesbare Zusammenfassung des Netzwerks per Mail nach Zeitplan, auf Arabisch oder Englisch.
os-theme-xgs
XGS Silicon, ein helles, dunkles und automatisches Theme für die Weboberfläche.
opnsense-arabic
Eine vollständige arabische Übersetzung der OPNsense-Weboberfläche.
opnsense-rtl
Die Seite von rechts nach links gesetzt, wenn die Oberfläche auf Arabisch oder Persisch ist.
Die Geschichte
Wie aus einer Firewall ohne Ports eine mit jedem Port wurde: acht Monate Suche, offene Quellen auf das gelesen, was sie sagen, zwei Koprozessoren, die nichts gemeinsam haben, und der letzte Schritt - erzählt in elf Kapiteln, mit den Fotos.
Von Anfang an lesen (Englisch)Dem Projekt schreiben
Eine Frage, ein Gerät, das nicht aufgeführt ist, eine eigene Messung oder Arbeit, die Sie daran tun möchten - die Kontaktseite erreicht die Person, die dies geschrieben hat. Probleme mit einem Gerät gehen am besten über seine eigene Seite Problem Reports, die sendet, was nötig ist, und nichts Privates.
Kontakt (Englisch) Ein Issue eröffnenDer Prüfstand, die Geräte und die Website werden von einer Person bezahlt. Das Projekt unterstützen
Ein unabhängiges Projekt, nicht verbunden mit Sophos oder Deciso. Es verbreitet keine Software oder Firmware von Sophos. Rechteinhaber: contact@npuforge.org.