Dos ordenadores en una caja
Instale OPNsense en un Sophos XGS y arranca un firewall que funciona, pero sin ninguna interfaz de red. El equipo parece un ordenador y son dos: un host x86 y un coprocesador tras un endpoint PCIe que posee todos los puertos frontales.
El fabricante solo publica controladores para su propio sistema operativo y para Linux, así que cuando termina el soporte el veredicto habitual es basura electrónica. Este proyecto devuelve los puertos a FreeBSD y después pone el coprocesador a trabajar para el firewall.
Qué hace
Todos los puertos frontales
Los catorce del XGS 136 y los doce del XGS 3300, con los de su módulo de expansión, cada uno una interfaz FreeBSD normal con el nombre que lleva en el chasis.
pf decide, el coprocesador reenvía
Una conexión que el firewall ha aceptado entra en la tabla de flujos del coprocesador, IPv4 con su traducción e IPv6 tal cual, y sale en cuanto pf la suelta.
IPsec en el motor
Una asociación que strongSwan instala a través de OPNsense llega al motor criptográfico del coprocesador sin escribir nada: AES-GCM, AES-CBC con HMAC, NAT traversal.
Las listas del firewall siguen cortando
Si una lista de bloqueo gana una dirección, o la detección de intrusiones registra una huella TLS listada (JA4), se corta una conexión que ya está en hardware.
Parte de OPNsense
Una sección del menú, cada página en árabe y en inglés, los puertos frontales asignados en el primer arranque y actualizaciones desde su propia página en segundos.
Con honestidad
Cada cifra está en una página con cómo se tomó y una foto de la ejecución. Una afirmación que resultó falsa se queda en su página, tachada, junto a lo que la sustituyó.
Medido, no prometido
Cada número enlaza con la página que lo contiene, con cómo se tomó y la compilación del módulo con la que se tomó.
En uso
Contado a medida que ocurre y actualizado solo, cada pocos minutos.
Actualizado
Dos familias responden ya
Sobre silicio que no comparte nada. Otras dos, OCTEON TX2 y su 98XX, están descritas a partir de los binarios del fabricante y esperan hardware; TOPAZ y GR no tienen coprocesador que controlar.
XGS 3300
- 12 de 12 puertos frontales, y los 4×10G del módulo de expansión
- descarga de flujos e IPsec
- la pantalla LCD y las teclas del panel frontal
XGS 136
- 14 de 14 puertos frontales
- descarga de flujos e IPsec
- la consola y el switch del coprocesador, leídos desde el host
Todos los modelos
Diez modelos de las dos familias con controlador. Dos funcionan aquí; los demás están añadidos, sin probar, hasta que haya aquí un equipo de cada uno. Cada uno tiene su página: sus puertos donde están, su placa, las cifras del fabricante.
| modelo | familia | coprocesador | puertos frontales | estado |
|---|---|---|---|---|
| XGS 87 87w | ARMADA | CN9130 | 5 4 RJ45, 1 SFP | añadido, sin probar |
| XGS 107 107w | ARMADA | CN9130 | 9 8 RJ45, 1 SFP | añadido, sin probar |
| XGS 116 116w | ARMADA | CN9131 | 9 8 RJ45, 1 SFP | añadido, sin probar |
| XGS 126 126w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | añadido, sin probar |
| XGS 136 136w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | funciona aquí |
| XGS 138 | ARMADA | CN9131 | 8 6 RJ45, 2 SFP+ | añadido, sin probar |
| XGS 2100 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | añadido, sin probar |
| XGS 2300 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | añadido, sin probar |
| XGS 3100 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | añadido, sin probar |
| XGS 3300 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | funciona aquí |
Todos los modelos, en detalle Añadir su equipo y 13 modelos de las familias sin controlador
Se comprarán equipos de estos modelos para probarlos. Hasta entonces, cada modelo marcado sin probar lo confirma o corrige el informe de su primer propietario.
Parece OPNsense, porque lo es
La sección XGS del menú muestra el panel frontal con el enlace de cada puerto, el coprocesador, los flujos en hardware, el motor IPsec, los transceptores, las actualizaciones y los informes de problemas. Cada página está fotografiada en un equipo, en inglés y en árabe.
Los repositorios del proyecto
Los controladores y el plugin, y la página que construye una imagen completa a su alrededor - cada uno en GitHub, con su última versión, sus estrellas y sus forks.
os-xgs-npu
Los controladores FreeBSD para ambas familias de coprocesador y el plugin de OPNsense a su alrededor: los puertos frontales, los flujos e IPsec en hardware, las páginas que lo muestran.
xgs-image-builder
Una imagen de OPNsense para un Sophos XGS con todo dentro, construida desde una página web con GitHub Actions en su propio fork.
Los plugins a su alrededor
Cada uno en su propio repositorio, cada uno instalable por separado.
os-fanctl
Control de ventiladores según las temperaturas que publica el kernel; ante cualquier fallo los ventiladores vuelven al hardware.
os-frontpanel
La información del propio firewall en la pantalla LCD del frente del equipo, y sus teclas con algo que hacer.
os-linkhealth
Vigila cada puerto físico y dice qué cable o transceptor se está estropeando, con los nombres del chasis.
os-netreport
Un resumen legible de la red por correo según un horario, en árabe o en inglés.
os-theme-xgs
XGS Silicon, un tema claro, oscuro y automático para la interfaz web.
opnsense-arabic
Una traducción completa al árabe de la interfaz web de OPNsense.
opnsense-rtl
La página dispuesta de derecha a izquierda cuando la interfaz está en árabe o en persa.
La historia
Cómo un firewall sin puertos se convirtió en uno con todos sus puertos: ocho meses de búsqueda, las fuentes abiertas leídas por lo que dicen, dos coprocesadores que no comparten nada y el último salto - contado en once capítulos, con las fotografías.
Leerla desde el principio (en inglés)Escribir al proyecto
Una pregunta, un equipo que no aparece, una medición propia o un trabajo que quiera hacer - la página de contacto llega a la persona que escribió esto. Los problemas con un equipo van mejor por su propia página Problem Reports, que envía lo necesario y nada privado.
Contacto (en inglés) Abrir un issueEl banco de pruebas, los equipos y el sitio los paga una sola persona. Patrocinar el proyecto
Un proyecto independiente, sin relación con Sophos ni con Deciso. No distribuye software ni firmware de Sophos. Titulares de derechos: contact@npuforge.org.