От Sophos към OPNsense
Sophos SG UTM достигна края на жизнения си цикъл на 30 юни 2026 г. Оттогава няма актуализации за сигурност. Който все още използва UTM, експлоатира периметърна система без корекции. Смяната така или иначе предстои. Единственият открит въпрос е към каква система.
Накратко
- Източник
- Sophos
- Цел
- OPNsense Business Edition
- Превключване
- обикновено 1–2 часа
- Връщане назад
- до приемането
Изходна ситуация
Защо операторите сменят системата
Sophos предлага преминаване към Sophos Firewall (SFOS), обикновено с нов хардуер XGS. Това не е актуализация, а пълна миграция към друга платформа с друг интерфейс, друга логика на правилата и нови лицензионни пакети. Щом усилието предстои така или иначе, сравнението с OPNsense си заслужава.
Типични причини
- няма повече актуализации за сигурност за SG UTM
- XGS означава нов хардуер, нов интерфейс и нови лицензионни пакети
- текущи абонаменти за функции, които OPNsense предоставя без допълнително заплащане
- предпочитание към отворен код и европейски производител
Функции
Какво става с функциите на Sophos
| Sophos | OPNsense | Бележка |
|---|---|---|
| Мрежови дефиниции | Псевдоними (Aliases) | хостове, мрежи, групи и FQDN се прехвърлят без проблеми |
| Правила на защитната стена | Правила на интерфейса, floating правила | логиката се превежда, а не се копира |
| NAT, DNAT, SNAT | Port forward, изходящ NAT, 1:1 NAT | напълно поддържано |
| Intrusion Prevention | Suricata IPS | ET Open, по избор търговски набори от правила |
| Web Protection | Прокси или Zenarmor | политиките се изграждат наново |
| Application Control | Zenarmor | разпознаване на ниво Layer 7 |
| Site-to-site VPN | IPsec (IKEv2) | партньорите се съгласуват предварително |
| SSL VPN, отдалечен достъп | WireGuard или OpenVPN с 2FA | нови клиенти с готови профили |
| RED устройства | малък OPNsense с IPsec или WireGuard | няма пряк еквивалент |
| Web Application Firewall | HAProxy или nginx като reverse proxy | обхватът на функциите се проверява за всеки случай |
| Email Protection | – | препоръчва се отделен имейл шлюз |
| HA (active-passive) | CARP клъстер със синхронизация на състоянията | поддръжка без прекъсване |
Подход
Как мигрираме
Процес
- Експорт на конфигурацията на UTM, анализ на броячите на съвпаденията
- Изчистване на неизползвани правила и обекти
- Превод на обекти, правила, NAT и VPN
- Изграждане наново на уеб филтъра и филтъра за приложения
- Съгласуване с VPN партньорите, тестове в лаборатория
- Превключване в прозорец за поддръжка, UTM остава като резерв
- Последваща поддръжка и предаване на документацията
На какво да обърнете внимание
- Email Protection: ако UTM филтрира и имейли, планираме отделно решение за това.
- Филиали с RED: всяко RED устройство се заменя с малка защитна стена. Обикновено по-стабилно, но изисква хардуер на място.
- SSL VPN клиенти: служителите получават нов клиент с готов профил.
- Synchronized Security: интеграцията с крайните устройства отпада. Сегментирането и интеграцията със SIEM запълват тази празнина.
Общият процес в пет стъпки е описан в Миграция към OPNsense.
FAQ
Въпроси за миграцията от Sophos
Не мога ли просто да продължа да използвам UTM?
Технически да, отговорно не. Периметърна защитна стена без актуализации за сигурност е отворена врата. При изискванията на NIS2, KRITIS (германската регулация за критичната инфраструктура) или на застрахователите това трудно може да бъде обосновано.
Можем ли да използваме повторно хардуера на Sophos?
Част от по-стария хардуер SG е базиран на x86 и по принцип може да работи с OPNsense. За продуктивна среда не го препоръчваме, тъй като гаранцията и поддръжката от производителя вече не са налични.
Колко време отнема смяната?
За един обект обикновено няколко дни подготовка и прозорец за поддръжка от един до два часа. Няколко обекта мигрираме поетапно.
Контакт
Изпратете ни експорта на конфигурацията си
Ще Ви кажем какво може да бъде прехвърлено директно, какво не и колко ще струва миграцията.