Миграция към OPNsense
Миграцията на защитна стена рядко се проваля заради новата защитна стена. Тя се проваля заради забравени правила, стари VPN партньори, недокументирани изключения и онзи принтер, който от години се нуждае от пренасочване на порт. Затова започваме с това, което вече имате.
Процес
Пет стъпки, един план за изпълнение
-
10 Инвентаризациясъвместно изчистен целеви набор от правила
Експорт на конфигурацията, разговор с Вашия ИТ екип, анализ на правила, NAT, VPN, сертификати и специални случаи. Броячите на съвпаденията показват кои правила реално се използват.
-
20 Преводaepfel+birnen готова целева конфигурация
Преобразуване в логиката на OPNsense: псевдоними, правила на интерфейса, NAT, VPN тунели, интеграция на потребителите. Специфичните за производителя функции изобразяваме с вградени инструменти или плъгини.
-
30 Тестовесъвместно одобрени протоколи от тестовете
Изграждане в лаборатория или паралелно в тестов сегмент. Проверяваме критичните приложения, VPN тунелите и специалните случаи по общ контролен списък.
-
40 Превключванеaepfel+birnen OPNsense в продуктивна експлоатация
Превключване в прозорец за поддръжка по план за изпълнение. Старата защитна стена остава свързана и в готовност, а връщането отнема минути.
-
50 Последваща поддръжкаaepfel+birnen пълна документация
Анализ на журналите за блокирани легитимни връзки, фина настройка на набора от правила, предаване на документацията.
По производител
Миграция според изходната система
Всеки производител има своите особености. За всяка изходна система има отделна страница със съпоставка на функциите.
Инвентаризация
Какво записваме и къде възникват затруднения
Какво записваме
- интерфейси, VLAN, зони и IP план
- правила на защитната стена с броячи на съвпаденията
- NAT и публикувани услуги
- site-to-site VPN с техните партньори
- VPN за отдалечен достъп, потребители, 2FA
- DHCP, DNS, NTP, сертификати
- уеб филтри и филтри за приложения
- специални случаи: VoIP, multicast, IPv6, медицински устройства
Типични капани
- Логика на зоните: много производители мислят в двойки зони, докато OPNsense оценява правилата входящо за всеки интерфейс. Ние превеждаме логиката.
- MTU и MSS при IPsec: настройваме MSS clamping от самото начало.
- VPN партньори: съгласуваме параметрите и графика предварително.
- VoIP и SIP: поведението на ALG се различава, затова тестваме телефонията целенасочено.
- Скрити зависимости: броячите на съвпаденията и журналите показват какво реално се използва.
Обем на работа
Колко време отнема
| Среда | Подготовка | Превключване |
|---|---|---|
| един обект, обозрим набор от правила | няколко дни | 1–2 часа |
| няколко обекта, VPN мрежа | 1–3 седмици | поетапно за всеки обект |
| HA клъстер, център за данни, болница | няколко седмици | по план за изпълнение, често без забележимо прекъсване |
Резултат
Какво имате накрая
Документацията е структурирана така, че друг доставчик на услуги да може да поеме. Искаме да Ви задържим с качество, а не със знание, което имаме само ние.
Предаване
- работещ OPNsense с изчистен набор от правила
- мрежова схема и документация на правилата
- протоколи от тестовете и приемане
- данни за достъп и процедура при извънредни ситуации
- резервно копие на конфигурацията извън защитната стена
FAQ
Често задавани въпроси
Можем ли просто да импортираме старата конфигурация?
Не, и това е добре. Дори между pfSense и OPNsense няма надежден директен импорт. Структурираният превод е възможност да се освободите от наследения баласт.
Какво става, ако след смяната нещо не работи?
Старата защитна стена остава свързана и в готовност до приемането. При съмнение превключваме обратно в рамките на минути, анализираме проблема и опитваме отново.
Трябва ли служителите ни да правят нещо?
Ако VPN технологията се смени, те инсталират нов клиент. Предоставяме предварително конфигурирани профили и кратко ръководство.
Контакт
Колко работа ще изисква Вашата миграция?
Изпратете ни експорт на конфигурацията и ще Ви дадем надеждна оценка на обема на работа.