Два компьютера в одном корпусе
Установите OPNsense на Sophos XGS, и загрузится работающий межсетевой экран без единого сетевого интерфейса. Устройство выглядит как один компьютер, а их два: хост x86 и сопроцессор за конечной точкой PCIe, которому принадлежит каждый передний порт.
Производитель выпускает драйверы только для своей операционной системы и для Linux, поэтому, когда поддержка заканчивается, обычный приговор оборудованию - электронный мусор. Этот проект возвращает порты FreeBSD, а затем заставляет сопроцессор работать на межсетевой экран.
Что он делает
Каждый передний порт
Все четырнадцать на XGS 136 и все двенадцать на XGS 3300, вместе с портами модуля расширения, каждый - обычный интерфейс FreeBSD с тем именем, что написано на корпусе.
pf решает, сопроцессор пересылает
Соединение, пропущенное межсетевым экраном, попадает в таблицу потоков сопроцессора, IPv4 со своей трансляцией и IPv6 как есть, и выходит оттуда в тот момент, когда pf его отпускает.
IPsec в движке
Ассоциация, которую strongSwan устанавливает через OPNsense, попадает в криптодвижок сопроцессора без единой команды: AES-GCM, AES-CBC с HMAC, прохождение NAT.
Списки межсетевого экрана по-прежнему режут
Если в список блокировки добавлен адрес или система обнаружения вторжений записала отпечаток TLS из списка (JA4), соединение, уже работающее аппаратно, разрывается.
Часть OPNsense
Один раздел меню, каждая страница на арабском и английском, передние порты, назначенные при первой загрузке, и обновления со своей страницы за секунды.
Честно
Каждая цифра находится на странице вместе с тем, как она получена, и фотографией прогона. Утверждение, оказавшееся неверным, остаётся на своей странице зачёркнутым рядом с тем, что его заменило.
Измерено, а не обещано
Каждое число ведёт на страницу, где оно записано, с тем, как оно получено, и сборкой модуля, на которой его получили.
В работе
Подсчитывается по ходу дела и обновляется само каждые несколько минут.
Обновлено
Два семейства уже отвечают
На кремнии, у которого нет ничего общего. Ещё два, OCTEON TX2 и его 98XX, описаны по двоичным файлам производителя и ждут оборудования; у TOPAZ и GR нет сопроцессора, которым можно управлять.
XGS 3300
- 12 из 12 передних портов и 4×10G модуля расширения
- выгрузка потоков и IPsec
- ЖК-экран и кнопки передней панели
XGS 136
- 14 из 14 передних портов
- выгрузка потоков и IPsec
- консоль и коммутатор сопроцессора, читаемые с хоста
Все модели
Десять моделей двух семейств, для которых есть драйвер. Две работают здесь; остальные добавлены без проверки, пока сюда не попадёт устройство каждой. У каждой есть страница: её порты там, где они находятся, её плата, данные производителя.
| модель | семейство | сопроцессор | передние порты | состояние |
|---|---|---|---|---|
| XGS 87 87w | ARMADA | CN9130 | 5 4 RJ45, 1 SFP | добавлено, не проверено |
| XGS 107 107w | ARMADA | CN9130 | 9 8 RJ45, 1 SFP | добавлено, не проверено |
| XGS 116 116w | ARMADA | CN9131 | 9 8 RJ45, 1 SFP | добавлено, не проверено |
| XGS 126 126w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | добавлено, не проверено |
| XGS 136 136w | ARMADA | CN9131 | 14 12 RJ45, 2 SFP | работает здесь |
| XGS 138 | ARMADA | CN9131 | 8 6 RJ45, 2 SFP+ | добавлено, не проверено |
| XGS 2100 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | добавлено, не проверено |
| XGS 2300 | OCTEON TX | CN8360 | 10 8 RJ45, 2 SFP | добавлено, не проверено |
| XGS 3100 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | добавлено, не проверено |
| XGS 3300 | OCTEON TX | CN8365 | 12 8 RJ45, 2 SFP, 2 SFP+ | работает здесь |
Все модели подробно Добавить своё устройство и 13 моделей семейств без драйвера
Устройства этих моделей будут куплены для проверки. До тех пор каждую модель с пометкой «не проверено» подтверждает или исправляет отчёт её первого владельца.
Похоже на OPNsense, потому что это OPNsense
Раздел XGS в меню показывает переднюю панель со связью каждого порта, сопроцессор, потоки в аппаратуре, движок IPsec, трансиверы, обновления и отчёты о проблемах. Каждая страница сфотографирована на устройстве, на английском и на арабском.
Репозитории проекта
Драйверы и плагин, а также страница, которая собирает вокруг них целый образ, - каждый на GitHub, со своим последним выпуском, звёздами и форками.
os-xgs-npu
Драйверы FreeBSD для обоих семейств сопроцессоров и плагин OPNsense вокруг них: передние порты, потоки и IPsec в аппаратуре, страницы, которые это показывают.
xgs-image-builder
Образ OPNsense для Sophos XGS со всем необходимым внутри, собираемый с веб-страницы через GitHub Actions в вашем собственном форке.
Плагины вокруг
Каждый в своём репозитории, каждый устанавливается отдельно.
os-fanctl
Управление вентиляторами по температурам, которые публикует ядро; при любой неисправности вентиляторы возвращаются оборудованию.
os-frontpanel
Сведения самого межсетевого экрана на ЖК-экране спереди устройства, а его кнопкам находится дело.
os-linkhealth
Следит за каждым физическим портом и называет по именам корпуса кабель или трансивер, который выходит из строя.
os-netreport
Понятная сводка о сети по почте по расписанию, на арабском или английском.
os-theme-xgs
XGS Silicon - светлая, тёмная и автоматическая тема для веб-интерфейса.
opnsense-arabic
Полный перевод веб-интерфейса OPNsense на арабский.
opnsense-rtl
Страница справа налево, когда интерфейс на арабском или персидском.
История
Как межсетевой экран без портов стал межсетевым экраном со всеми портами: восемь месяцев поисков, открытые источники, прочитанные ради того, что в них сказано, два сопроцессора без общего и последний шаг - в одиннадцати главах, с фотографиями.
Читать с начала (на английском)Написать проекту
Вопрос, устройство, которого нет в списке, ваше собственное измерение или работа, которую вы хотите сделать, - страница контактов доходит до человека, который всё это написал. С проблемами устройства лучше обращаться через его собственную страницу Problem Reports, которая отправляет нужное и ничего личного.
Контакты (на английском) Открыть issueСтенд, устройства и сайт оплачивает один человек. Поддержать проект
Независимый проект, не связанный с Sophos или Deciso. Он не распространяет программное обеспечение или прошивки Sophos. Правообладателям: contact@npuforge.org.