От pfSense към OPNsense
OPNsense и pfSense имат общ произход: OPNsense започва през 2014 г. като fork и е наличен от януари 2015 г. Оттогава двата проекта значително са се отдалечили един от друг. Миграцията е обозрима, но бутон за импорт няма.
Накратко
- Източник
- pfSense
- Цел
- OPNsense Business Edition
- Превключване
- обикновено 1–2 часа
- Връщане назад
- до приемането
Изходна ситуация
Защо операторите сменят системата
pfSense е разделен на безплатната Community Edition и търговската pfSense Plus. Много оператори се питат какво бъдеще има CE. OPNsense предлага фиксиран цикъл на версиите, последователен API и европейски производител.
Типични причини
- несигурност поради разделянето на CE и Plus
- фиксиран цикъл на версиите през януари и юли
- последователен REST API за автоматизация
- европейски производител с открит процес на разработка
Функции
Какво става с функциите на pfSense
| pfSense | OPNsense | Бележка |
|---|---|---|
| Интерфейси, VLAN | Интерфейси, VLAN | пряко прехвърляеми |
| Псевдоними (Aliases) | Псевдоними (Aliases) | включително URL таблици |
| Правила на защитната стена | Правила на защитната стена | същият механизъм (pf), прехвърлят се внимателно |
| NAT | NAT | напълно поддържано |
| IPsec, OpenVPN | IPsec, OpenVPN | включително сертификати и CA |
| Пакет WireGuard | WireGuard (вграден) | партньорите се прехвърлят |
| pfBlockerNG | Списъци за блокиране в Unbound, URL псевдоними, CrowdSec | проверява се за всеки случай |
| HAProxy, ACME | Плъгини HAProxy и ACME | налични |
| Squid, SquidGuard | Плъгин за прокси или Zenarmor | политиките се изграждат наново |
| CARP, HA | CARP, HA | същата концепция |
Подход
Как мигрираме
Процес
- Резервно копие на config.xml и списъка с пакети
- Съпоставяне на всеки пакет с аналога му в OPNsense
- Прехвърляне на интерфейси, псевдоними, правила, NAT и VPN
- Тестове в лаборатория или паралелно
- Превключване в прозорец за поддръжка, pfSense като резерв
- Последваща поддръжка и документация
На какво да обърнете внимание
- Без директен импорт: конфигурационните файлове изглеждат сходно, но не са съвместими.
- Пакети: не всеки пакет на pfSense съществува в същия вид като плъгин за OPNsense.
- Същият механизъм: и двата използват pf, така че логиката на правилата е позната. Това значително намалява риска.
Общият процес в пет стъпки е описан в Миграция към OPNsense.
FAQ
Въпроси за миграцията от pfSense
По-лесна ли е миграцията от pfSense, отколкото от други производители?
Да, защото и двата се базират на pf и използват сходни концепции. Въпреки това прехвърляме структурирано, а не чрез импорт.
Какво става с pfBlockerNG?
OPNsense предлага DNS списъци за блокиране в Unbound, URL таблици като псевдоними и плъгина CrowdSec. Заедно те покриват типичните случаи.
Можем ли да продължим да използваме хардуера на pfSense?
При x86 хардуер обикновено да, ако все още е в гаранция и е достатъчно мощен. Проверяваме това предварително.
Контакт
Изпратете ни експорта на конфигурацията си
Ще Ви кажем какво може да бъде прехвърлено директно, какво не и колко ще струва миграцията.