От Fortinet FortiGate към OPNsense
FortiGate устройствата са мощни, но обвързани с пакети за сигурност и договори за поддръжка. Освен това многократно са били експлоатирани уязвимости в SSL VPN, включени от американската агенция CISA в нейния каталог на известни експлоатирани уязвимости. Затова много оператори си задават принципния въпрос.
Накратко
- Източник
- Fortinet FortiGate
- Цел
- OPNsense Business Edition
- Превключване
- обикновено 1–2 часа
- Връщане назад
- до приемането
Изходна ситуация
Защо операторите сменят системата
При FortiGate IPS, уеб филтърът и контролът на приложенията зависят от пакети, които се подновяват ежегодно. Поколението хардуер и срокът на лиценза са тясно свързани. Ако така или иначе Ви предстои подновяване, сравнението си заслужава.
Типични причини
- годишни разходи за пакети за функции, които OPNsense предоставя без допълнително заплащане
- обвързване на жизнения цикъл на хардуера с лиценза
- повтарящи се спешни корекции за SSL VPN
- предпочитание към отворен код и европейски производител
Функции
Какво става с функциите на Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Бележка |
|---|---|---|
| Адресни обекти, групи | Псевдоними (Aliases) | включително FQDN обекти |
| Политики (двойки интерфейси) | Правила на интерфейса, floating правила | логиката се превежда |
| VIP (DNAT) | Port forward, 1:1 NAT | напълно поддържано |
| IPS | Suricata IPS | ET Open, по избор търговски |
| Web Filter, App Control | Zenarmor или категории в проксито | политиките се изграждат наново |
| SSL VPN, FortiClient | WireGuard или OpenVPN с 2FA | нови клиенти с профили |
| IPsec site-to-site | IPsec (IKEv2) | параметрите се съгласуват с партньорите |
| SD-WAN | Групи шлюзове, multi-WAN, policy-based routing | failover и балансиране на натоварването |
| HA (FGCP) | CARP клъстер със синхронизация на състоянията | поддръжка без прекъсване |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog към SIEM | различна концепция, същата цел |
| Security Fabric | – | няма пряк еквивалент |
Подход
Как мигрираме
Процес
- Експорт на конфигурацията на FortiOS, анализ на съвпаденията по политики
- Изчистване на неизползвани политики и обекти
- Превод на обекти, политики, VIP и VPN
- Изграждане наново на уеб филтъра и филтъра за приложения
- Оразмеряване според реалната пропускателна способност
- Превключване в прозорец за поддръжка, FortiGate като резерв
- Последваща поддръжка и документация
На какво да обърнете внимание
- Хардуерно ускорение: FortiGate използва ASIC чипове. Оразмеряваме според Вашата пропускателна способност при активиран IPS, а не според техническия лист.
- Логика на зоните: политиките се прилагат между двойки интерфейси, докато OPNsense оценява входящо за всеки интерфейс.
- FortiToken: 2FA се преминава към TOTP с приложение за автентикация.
Общият процес в пет стъпки е описан в Миграция към OPNsense.
FAQ
Въпроси за миграцията от Fortinet FortiGate
Можем ли да импортираме конфигурацията на FortiGate?
Не. Превеждаме структурирано и при това премахваме наследения баласт.
Достатъчна ли е пропускателната способност на OPNsense?
С подходящо оразмерен хардуер да. Решаваща е пропускателната способност при активиран IPS и ние я планираме реалистично.
Какво става с FortiToken?
Преминаваме към TOTP. Това работи с разпространените приложения за автентикация.
Контакт
Изпратете ни експорта на конфигурацията си
Ще Ви кажем какво може да бъде прехвърлено директно, какво не и колко ще струва миграцията.