オフロードのアーキテクチャ

TCP ハンドシェイクが完了するか、または、各方向からのパケットが 1つずつ Sophos Firewall を通過すると、SlowPath によってフローが完全に分類され、FastPath 内に接続キャッシュが登録されます。これにより、FastPath への同じ接続で、後続のパケットのカーネル処理がオフロードされます。

DPI エンジン: DPI エンジンは、ストリーミング処理を通じてレイヤ 4 以上からのトラフィックを検査します。この単体のエンジン内で、SSL/TLS の復号化およびインスペクション、IPS ポリシー、アプリケーションの特定と制御、Web ポリシー (プロキシレス型 Web フィルタリングを含む)、およびマルウェア対策スキャンが適用されます。マルウェア対策スキャンには、ゼロデイ対策およびファイルレピュテーション分析が含まれます。

オフロードの決定は、セキュリティ処理の各段階で行われます。

FastPath へのオフロード: SlowPath では、パケットがカーネル経由で DPI エンジンに配信されます。セキュリティポリシーが適用される場合、パケットは DAQ (Data Acquisition) レイヤに送信され、セキュリティの判定が行われます。FastPath では、オフロードされたパケットが DAQ レイヤから DPI エンジンに直接配信されるため、カーネルメモリへのコピーの保持が不要になります。

DPI エンジンは、トラフィックをオフロード可能と判定した場合、FastPath に 対して SlowPath および DPI エンジンからのフローを遮断するように指示します。このようにして、一部またはすべての処理をオフロードできるため、CPU への負荷が最小限に抑えられます。

ファイアウォールアクセラレーションのオン/オフ: CLI コンソールでファイアウォールアクセラレーションをオフにした場合や、FastPath がロードされない場合でも、Sophos Firewall は正常に動作します (FastPath によるパフォーマンス向上がないという点だけが異なります)。

ファイアウォールアクセラレーションをオンまたはオフにしてステータスを確認するには、ファイアウォールアクセラレーションの CLI コマンドを参照してください。

制限

ファイアウォールアクセラレーションには、以下の制限が適用されます。

• SSL VPN、QoS、DoS、RED、LAG、PPPoE トラフィックはオフロードの対象外です。
• 特定のブリッジ構成のみが、オフロードの対象となります。
• アクティブ/アクティブ HA では、ファイアウォールアクセラレーションはサポートされません。アクティブ-パッシブ HA では、プライマリノードでファイアウォールアクセラレーションを使用できます。
• オフロードをオンにしたまま、tcpdump を実行することが可能です。FastPath トラフィックを tcpdump に送信するように設定できます。

ファイアウォールは、検査済みの TLS フローを TLS クライアントに送信する前に、X.509 サーバー証明書に再署名します。

TLS フローが次のすべての条件を満たす場合、DPI エンジンは X.509 証明書の再署名のための PKI 処理を Xstream フロープロセッサの暗号化ハードウェアにオフロードします。

• TLS 1.2 および 1.3 のフロー。
• DPI エンジンによって検査された TLS フロー。
• RSA 認証を使用するフロー (鍵サイズが 4096ビット以下)

制限

SFOS は以下に対応していません。

• 検査済みの SSL/TLS フローの対称暗号化のオフロード。
• Web プロキシモードでの SSL/TLS フローの PKI アクセラレーション。
• アプライアンスで終端する SSL VPN 接続の PKI アクセラレーション。

PKI アクセラレーションは、利用可能なファイアウォールアプライアンスではデフォルトでオンになっています。以下のリンクをご覧ください。

• PKI アクセラレーションのCLIコマンド。
• CLI 設定の表示。

ポリシーベースおよびルートベースの IPsec VPN では、XFRM スタックによって、ESP のカプセル化、暗号化、カプセル化解除、復号化などの処理がオフロードされます。IPsec アクセラレーションによって、IPsec VPN トンネルのスループットも向上します。

XFRM スタックは、フェーズ 2 の SA (セキュリティアソシエーション) に基づいて、これらの処理を NPU の暗号化ハードウェアにオフロードします。SFOS で使用可能な暗号化と認証の全組み合わせの SA がオフロードされますが、以下はサポート対象外となります。

• 3DES
• BlowFish
• MD5

IPsec VPN トラフィックは、以下のようにオフロードされます。

完全オフロード: オフロードされた SA のパケットは、NPU の暗号化ハードウェアでカプセル化、暗号化、カプセル化解除、復号化が行われます。内部トラフィックが一定の条件を満たす場合は、SlowPath の処理も FastPath にオフロードされ、完全なオフロードが実現します。

FastPath と SlowPath: オフロードされた SA のパケットは、暗号化ハードウェアで暗号化、復号化されます。内部トラフィックが FastPath へのオフロードの対象外である場合は、SlowPath でトラフィック処理 (カプセル化およびカプセル化解除を含む) が行われます。なお、カプセル化の最終処理は、FastPath でパケットを暗号化した後に行われます。

SlowPath のみ: オフロードされない SA については、SlowPath で全処理が実行されます。

制限

SFOSは アクティブ-アクティブおよびアクティブ-パッシブ HA のプライマリノードで IPsec アクセラレーションをサポートします。

次の場合、SA はオフロードされません。

• SA の暗号スイートが、サポート対象外である。
• SA が VLAN などの仮想インターフェース上にある。
• 送信元および宛先の IP アドレスが、SA が想定するアドレスと一致しない。

• VLAN およびワイヤレスインターフェース上の IPSec トラフィック。

  注

  VLAN 上の SA および IPsec トラフィックのオフロードは、XGS 88(w)、108(w)、118(w)、128(w) でサポートされています。

IPsec アクセラレーションのオン/オフを切り替えると、IPsec の全トンネルが再起動し、ダウンタイムが発生します。IPsec アクセラレーションのオン/オフを切り替えてステータスを確認する方法については、IPsec アクセラレーションの CLI コマンドを参照してください。

例として、以下のようなケースがあります。

• IPS、Web フィルタリング、マルウェア対策、またはアプリケーション制御を使用しないファイアウォールルール。ハンドシェイクが完了した後、または、最初のパケットが接続の両側にある Sophos Firewall を通過した後に、トラフィックは FastPath にオフロードされます。
• アプリケーション制御ポリシーを含むファイアウォールルール。トラフィックは約 8パケット後に FastPath にオフロードされます。
• ルールアクションに IPS ポリシーが設定されたファイアウォールルールセッションのバイパス。IPS ポリシールールとこのアクションが一致するトラフィックは、FastPath にオフロードされます。

• 以下のポリシーが設定されているファイアウォールルール:

  • SophosLabs からのインテリジェントなオフロードシグニチャを含む IPS ポリシー。
  • マルウェアやコンテンツスキャン、DPI エンジン設定を使用しない Web フィルタリング。マルウェアおよびコンテンツスキャンおよび DPI エンジン設定を含むファイアウォールルールの場合、FastPath は、ファイアウォールスタックをバイパスして、直接 DPI エンジンにトラフィックを配信します。

• SSL/TLS インスペクションルールがない場合。アクションが「復号化」に設定されているルールでは、FastPath はファイアウォールスタックをバイパスして、直接 DPI エンジンにトラフィックを配信します。

• アクションが「復号化しない」に設定された SSL/TLS インスペクションルール。STARTTLS 接続の場合、トラフィックは 15 パケット後に FastPath にオフロードされます。

以下の点に注意してください。

• CLI で、ファイアウォールアクセラレーションをオンにする必要があります。サポート対象のファイアウォールアプライアンスでは、デフォルトでオンになっています。
• 「ルールとポリシー > ファイアウォールルール」に移動します。「Web フィルタリング」で、DPI エンジンの代わりに Web プロキシを使用するオプションが選択されていないことを確認します。
• 「ルールとポリシー > SSL/TLS インスペクションルール > SSL/TLS の設定」に移動します。「RSA の再署名」および「EC の再署名」で、鍵のサイズが 4096ビット以下の RSA 証明書を選択していることを確認します。

• 特定のトラフィックに対して、SSL/TLS インスペクションの設定と異なる CA を使用する場合は、「プロファイル > 復号化のプロファイル」に移動します。「RSA の再署名」および「EC の再署名」で、鍵のサイズが 4096ビット以下の RSA 証明書を選択していることを確認します。SSL/TLS インスペクションルールで、この復号化プロファイルを選択します。

  ファイアウォールのデフォルトの再署名 CA は、RSA を使用します。

「プロファイル > IPsec プロファイル」に移動します。「暗号化」および「認証」で、フェーズ 2 トンネルに対して次の項目が選択されていないことを確認します。

• 3DES
• BlowFish
• MD5