ひとつの筐体に 2 台のコンピューター

Sophos XGS に OPNsense をインストールすると、ネットワークインターフェースがひとつもない、動作するファイアウォールが起動します。この機器は 1 台のコンピューターに見えて実は 2 台です。x86 のホストと、すべての前面ポートを持つ PCIe エンドポイントの奥のコプロセッサです。

ベンダーは自社の OS と Linux 向けにしかドライバーを出さないため、サポートが終わるとこのハードウェアは電子廃棄物と見なされるのが普通です。このプロジェクトはポートを FreeBSD に取り戻し、さらにコプロセッサをファイアウォールのために働かせます。

仕組み（英語）

できること

すべての前面ポート

XGS 136 の 14 ポートすべてと XGS 3300 の 12 ポートすべて、さらに拡張モジュールのポートも。どれも筐体の表記どおりの名前を持つ普通の FreeBSD インターフェースです。

pf が判断し、コプロセッサが転送

ファイアウォールが許可した接続はコプロセッサのフローテーブルに入ります。IPv4 は変換付きで、IPv6 はそのままで。pf が手放した瞬間に外に出ます。

エンジンで処理する IPsec

strongSwan が OPNsense を通じて設定したアソシエーションは、何も入力せずにコプロセッサの暗号エンジンに載ります。AES-GCM、HMAC 付き AES-CBC、NAT トラバーサル。

ファイアウォールのリストは今も遮断する

ブロックリストにアドレスが加わるか、侵入検知がリスト上の TLS フィンガープリント（JA4）を記録すると、すでにハードウェアにある接続が切断されます。

OPNsense の一部

メニューにひとつのセクション、全ページがアラビア語と英語、初回起動時に割り当てられる前面ポート、そして専用ページから数秒で済むアップデート。

誠実さを守る

どの数値も、測り方と実行時の写真とともにページに載っています。誤りだとわかった主張は、取り消し線を引いたまま、置き換えた内容の横に残します。

約束ではなく、測定

どの数値も、それを載せたページにリンクしています。測り方と、測定に使ったモジュールのビルドも載っています。

9,837 Mbit/s 1,032 本の接続をハードウェアに載せた XGS 3300 を通過、CPU 使用率 7.8 パーセント 2,000,000 接続 XGS 3300 のフローテーブル。ボード自身が示すサイズ。XGS 136 では 1,500,000 7.41 Gbit/s 両端にエンジンを置いた IPsec ストリーム 1 本、MTU 9000、XGS 3300 宛て 0.4 パーセント 941 Mbit/s の接続をハードウェアに載せたときの XGS 136 の CPU

すべての測定（英語） 測り方と、その理由

2 つのファミリーが応答中

共通点のないシリコンの上で。さらに 2 つ、OCTEON TX2 とその 98XX はベンダーのバイナリから記述済みでハードウェアを待っています。TOPAZ と GR には制御すべきコプロセッサがありません。

OCTEON TX · Cavium CN83xx

XGS 3300

• 前面ポート 12 のうち 12、拡張モジュールの 4×10G も
• フローと IPsec のオフロード
• 前面パネルの LCD とキー

octep · AMDA0202：XGS 2100、2300、3100、3300 ARMADA · Marvell CN913x

XGS 136

• 前面ポート 14 のうち 14
• フローと IPsec のオフロード
• コプロセッサのコンソールとスイッチをホストから読み取り

npuep · AMDA0200、0201、0208、0224：XGS 87、107、116、126、136、138

全モデル

ドライバーのある 2 ファミリーの 10 モデル。2 台はここで動かしています。残りは、それぞれの実機がここに届くまで未検証のまま追加しています。各モデルにページがあります：ポートの位置、ボード、ベンダーの数値。

モデル	ファミリー	コプロセッサ	前面ポート	状態
XGS 87 87w	ARMADA	CN9130	5 4 RJ45, 1 SFP	追加済み・未検証
XGS 107 107w	ARMADA	CN9130	9 8 RJ45, 1 SFP	追加済み・未検証
XGS 116 116w	ARMADA	CN9131	9 8 RJ45, 1 SFP	追加済み・未検証
XGS 126 126w	ARMADA	CN9131	14 12 RJ45, 2 SFP	追加済み・未検証
XGS 136 136w	ARMADA	CN9131	14 12 RJ45, 2 SFP	ここで稼働
XGS 138	ARMADA	CN9131	8 6 RJ45, 2 SFP+	追加済み・未検証
XGS 2100	OCTEON TX	CN8360	10 8 RJ45, 2 SFP	追加済み・未検証
XGS 2300	OCTEON TX	CN8360	10 8 RJ45, 2 SFP	追加済み・未検証
XGS 3100	OCTEON TX	CN8365	12 8 RJ45, 2 SFP, 2 SFP+	追加済み・未検証
XGS 3300	OCTEON TX	CN8365	12 8 RJ45, 2 SFP, 2 SFP+	ここで稼働

全モデルの詳細 あなたの機器を追加 ほかに、ドライバーのないファミリーの 13 モデル

これらのモデルの実機を購入して検証する予定です。それまでは、未検証のモデルはそれぞれ最初の所有者の報告で確認または訂正されます。

6 つのファミリー（英語）

OPNsense に見えるのは、OPNsense だから

メニューの XGS セクションには、各ポートのリンク付きの前面パネル、コプロセッサ、ハードウェアのフロー、IPsec エンジン、トランシーバー、アップデート、問題報告が表示されます。どのページも実機で英語とアラビア語で撮影しています。

すべてのページを順番に（英語）

プロジェクトのリポジトリ

ドライバーとプラグイン、そしてそれを含むイメージ全体を作るページ。どれも GitHub 上にあり、最新リリース、スター、フォークを表示します。

os-xgs-npu

両方のコプロセッサファミリー向けの FreeBSD ドライバーと、それを包む OPNsense プラグイン：前面ポート、ハードウェアでのフローと IPsec、それを表示するページ。

v0.1.0-alpha.5.2 8 0

リポジトリ

xgs-image-builder

すべてを含んだ Sophos XGS 用の OPNsense イメージ。ウェブページから、ご自身のフォークの GitHub Actions でビルドします。

os-xgs-npu をインストールv0.1.0-alpha.5.2 4 2

リポジトリ イメージを作る

周辺のプラグイン

それぞれ独自のリポジトリにあり、単独でインストールできます。

os-fanctl

カーネルが公開する温度に基づくファン制御。どんな障害でもファンはハードウェアに戻されます。

os-frontpanel

機器前面の LCD にファイアウォール自身の情報を表示し、キーにも役割を与えます。

os-linkhealth

すべての物理ポートを監視し、どのケーブルやトランシーバーが劣化しているかを筐体の名前で知らせます。

os-netreport

読みやすいネットワークの要約を、スケジュールに従ってメールで。アラビア語または英語。

os-theme-xgs

XGS Silicon。ウェブ GUI 用のライト、ダーク、自動のテーマ。

opnsense-arabic

OPNsense ウェブインターフェースの完全なアラビア語翻訳。

opnsense-rtl

GUI がアラビア語またはペルシア語のとき、ページを右から左にレイアウトします。

プロジェクト（英語）

物語

ポートのないファイアウォールが、すべてのポートを持つファイアウォールになるまで：8 か月の探索、書かれていることを確かめるために読んだオープンソース、共通点のない 2 つのコプロセッサ、そして最後の一歩。写真付きの 11 章で語ります。

最初から読む（英語）

プロジェクトに連絡する

質問、一覧にない機器、ご自身の測定、あるいはこのプロジェクトでやりたい作業 - 連絡ページは、これを書いた本人に届きます。機器の問題は、その機器自身の Problem Reports ページから送るのが最善です。必要なものだけを送り、個人的なものは送りません。

連絡（英語） issue を作成

試験台、機器、サイトの費用はひとりの個人が負担しています。 プロジェクトを支援

独立したプロジェクトであり、Sophos とも Deciso とも関係ありません。Sophos のソフトウェアやファームウェアは配布しません。権利者の方へ：contact@npuforge.org。