Deux ordinateurs dans un boîtier
Installez OPNsense sur un Sophos XGS et il démarre un pare-feu fonctionnel sans aucune interface réseau. Le boîtier ressemble à un ordinateur et en contient deux : un hôte x86, et un coprocesseur derrière un endpoint PCIe qui possède chaque port de façade.
Le constructeur ne fournit des pilotes que pour son propre système et pour Linux ; quand le support s'arrête, le verdict habituel est le déchet électronique. Ce projet rend les ports à FreeBSD, puis met le coprocesseur au service du pare-feu.
Ce qu'il fait
Tous les ports de façade
Les quatorze du XGS 136 et les douze du XGS 3300, avec ceux de son module d'extension, chacun une interface FreeBSD ordinaire nommée comme le châssis la nomme.
pf décide, le coprocesseur achemine
Une connexion que le pare-feu a acceptée entre dans la table de flux du coprocesseur, IPv4 avec sa traduction et IPv6 tel quel, et en ressort dès que pf la lâche.
IPsec dans le moteur
Une association que strongSwan installe via OPNsense arrive sur le moteur cryptographique du coprocesseur sans rien saisir : AES-GCM, AES-CBC avec HMAC, traversée de NAT.
Les listes du pare-feu coupent toujours
Une liste de blocage qui gagne une adresse, ou la détection d'intrusion qui journalise une empreinte TLS listée (JA4), coupe une connexion déjà en matériel.
Une partie d'OPNsense
Une section du menu, chaque page en arabe et en anglais, les ports de façade attribués au premier démarrage, et des mises à jour depuis sa propre page en quelques secondes.
Tenu à l'honnêteté
Chaque chiffre est sur une page avec la façon dont il a été pris et une photo de l'exécution. Une affirmation qui s'est révélée fausse reste sur sa page, barrée, à côté de ce qui l'a remplacée.
Mesuré, pas promis
Chaque nombre renvoie à la page qui le contient, avec la façon dont il a été pris et la compilation du module sur laquelle il l'a été.
Toutes les mesures (en anglais) Comment elles sont prises, et pourquoi
En service
Compté au fil de l'eau et mis à jour tout seul, toutes les quelques minutes.
Mis à jour
Deux familles répondent déjà
Sur du silicium qui n'a rien en commun. Deux autres, OCTEON TX2 et son 98XX, sont décrites d'après les binaires du constructeur et attendent du matériel ; TOPAZ et GR n'ont pas de coprocesseur à piloter.
XGS 3300
- 12 ports de façade sur 12, et les 4×10G du module d'extension
- déchargement des flux et d'IPsec
- l'écran LCD et les touches de la façade
XGS 136
- 14 ports de façade sur 14
- déchargement des flux et d'IPsec
- la console et le switch du coprocesseur, lus depuis l'hôte
Tous les modèles
Dix modèles des deux familles dotées d'un pilote. Deux sont utilisés ici ; les autres sont ajoutés, non testés, jusqu'à ce qu'un boîtier de chacun soit ici. Chacun a sa page : ses ports là où ils sont, sa carte, les chiffres du constructeur.
| modèle | famille | coprocesseur | ports de façade | état |
|---|---|---|---|---|
| XGS 87 87w | ARMADA | CN9130 | 5 4 RJ45, 1 SFP | ajouté, non testé |
| XGS 107 107w | ARMADA | CN9130 | 9 8 RJ45, 1 SFP | ajouté, non testé |
| XGS 116 116w | ARMADA | CN9131 | 9 8 RJ45, 1 SFP | ajouté, non testé |
| XGS 126 126w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | ajouté, non testé |
| XGS 136 136w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | utilisé ici |
| XGS 138 | ARMADA | CN9131 | 8 6 RJ45, 2 SFP+ | ajouté, non testé |
| XGS 2100 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | ajouté, non testé |
| XGS 2300 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | ajouté, non testé |
| XGS 3100 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | ajouté, non testé |
| XGS 3300 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | utilisé ici |
Tous les modèles, en détail Ajouter votre boîtier et 13 modèles des familles sans pilote
Des boîtiers de ces modèles seront achetés pour les tester. D'ici là, chaque modèle marqué non testé est confirmé ou corrigé par le rapport de son premier propriétaire.
Ça ressemble à OPNsense, parce que c'en est
La section XGS du menu montre la façade avec le lien de chaque port, le coprocesseur, les flux en matériel, le moteur IPsec, les transceivers, les mises à jour et les rapports de problèmes. Chaque page est photographiée sur un boîtier, en anglais et en arabe.
Les dépôts du projet
Les pilotes et le plugin, et la page qui construit une image complète autour d'eux - chacun sur GitHub, avec sa dernière version, ses étoiles et ses forks.
os-xgs-npu
Les pilotes FreeBSD des deux familles de coprocesseurs et le plugin OPNsense autour d'eux : les ports de façade, les flux et IPsec en matériel, les pages qui le montrent.
xgs-image-builder
Une image OPNsense pour un Sophos XGS avec tout dedans, construite depuis une page web avec GitHub Actions dans votre propre fork.
Les plugins autour
Chacun dans son propre dépôt, chacun installable séparément.
os-fanctl
Le pilotage des ventilateurs d'après les températures que publie le noyau ; au moindre défaut, les ventilateurs reviennent au matériel.
os-frontpanel
Les informations du pare-feu sur l'écran LCD en façade du boîtier, et ses touches enfin utiles.
os-linkhealth
Surveille chaque port physique et dit quel câble ou transceiver se dégrade, avec les noms du châssis.
os-netreport
Un résumé lisible du réseau par courriel selon un calendrier, en arabe ou en anglais.
os-theme-xgs
XGS Silicon, un thème clair, sombre et automatique pour l'interface web.
opnsense-arabic
Une traduction arabe complète de l'interface web d'OPNsense.
opnsense-rtl
La page disposée de droite à gauche quand l'interface est en arabe ou en persan.
L'histoire
Comment un pare-feu sans ports est devenu un pare-feu avec tous ses ports : huit mois de recherche, les sources ouvertes lues pour ce qu'elles disent, deux coprocesseurs qui n'ont rien en commun, et le dernier saut - en onze chapitres, avec les photographies.
La lire depuis le début (en anglais)Écrire au projet
Une question, un boîtier qui n'est pas listé, une mesure à vous, ou un travail que vous voulez y faire - la page de contact atteint la personne qui a écrit tout ceci. Les problèmes d'un boîtier passent mieux par sa propre page Problem Reports, qui envoie ce qu'il faut et rien de privé.
Contact (en anglais) Ouvrir une issueLe banc, les boîtiers et le site sont payés par une seule personne. Soutenir le projet
Un projet indépendant, sans lien avec Sophos ni Deciso. Il ne distribue aucun logiciel ni firmware de Sophos. Ayants droit : contact@npuforge.org.