Migrace na OPNsense
Migrace firewallu málokdy selže kvůli novému firewallu. Selže kvůli zapomenutým pravidlům, starým protějškům VPN, nezdokumentovaným výjimkám a té jedné tiskárně, která už léta potřebuje přesměrování portu. Proto začínáme tím, co už máte.
Průběh
Pět kroků, jeden runbook
-
10 Inventuraspolečně vyčištěná cílová sada pravidel
Export konfigurace, rozhovor s vaším IT týmem, analýza pravidel, NAT, VPN, certifikátů a zvláštních případů. Čítače zásahů ukazují, která pravidla se skutečně používají.
-
20 Překladaepfel+birnen hotová cílová konfigurace
Převod do logiky OPNsense: aliasy, pravidla rozhraní, NAT, tunely VPN, napojení uživatelů. Funkce specifické pro výrobce zajistíme vestavěnými nástroji nebo pluginy.
-
30 Testyspolečně schválené protokoly z testů
Sestavení v laboratoři nebo paralelně v testovacím segmentu. Kritické aplikace, tunely VPN a zvláštní případy prověříme podle společného kontrolního seznamu.
-
40 Přepnutíaepfel+birnen OPNsense v produkčním provozu
Přepnutí v servisním okně podle runbooku. Starý firewall zůstane zapojený a připravený, návrat zpět trvá minuty.
-
50 Následná péčeaepfel+birnen úplná dokumentace
Analýza logů kvůli zablokovaným legitimním spojením, doladění sady pravidel, předání dokumentace.
Podle výrobce
Migrace podle zdrojového systému
Každý výrobce má své zvláštnosti. Každý zdrojový systém má vlastní stránku s mapováním funkcí.
Inventura
Co zjišťujeme a kde to vázne
Co zjišťujeme
- rozhraní, VLAN, zóny a plán IP adres
- pravidla firewallu s čítači zásahů
- NAT a zveřejněné služby
- VPN mezi lokalitami s jejich protějšky
- VPN pro vzdálený přístup, uživatelé, 2FA
- DHCP, DNS, NTP, certifikáty
- webové a aplikační filtry
- zvláštní případy: VoIP, multicast, IPv6, zdravotnické přístroje
Typická úskalí
- Logika zón: mnoho výrobců uvažuje v párech zón, zatímco OPNsense vyhodnocuje pravidla pro příchozí provoz na každém rozhraní. Logiku překládáme.
- MTU a MSS u IPsec: MSS clamping nastavujeme od začátku.
- Protějšky VPN: parametry a termín domlouváme předem.
- VoIP a SIP: chování ALG se liší, proto telefonii testujeme cíleně.
- Skryté závislosti: čítače zásahů a logy ukazují, co se skutečně používá.
Náročnost
Jak dlouho to trvá
| Prostředí | Příprava | Přepnutí |
|---|---|---|
| jedna lokalita, přehledná sada pravidel | několik dní | 1–2 hodiny |
| více lokalit, síť VPN | 1–3 týdny | postupně po lokalitách |
| HA cluster, datové centrum, nemocnice | několik týdnů | podle runbooku, často bez znatelného přerušení |
Výsledek
Co máte na konci
Dokumentace je strukturovaná tak, aby ji mohl převzít i jiný poskytovatel služeb. Chceme si vás udržet kvalitou, ne znalostmi, které máme jen my.
Předání
- běžící OPNsense s vyčištěnou sadou pravidel
- síťový diagram a dokumentace sady pravidel
- protokoly z testů a převzetí
- přístupové údaje a nouzový postup
- záloha konfigurace mimo firewall
FAQ
Časté dotazy
Můžeme starou konfiguraci prostě importovat?
Ne, a to je dobře. Ani mezi pfSense a OPNsense neexistuje spolehlivý přímý import. Strukturovaný překlad je příležitostí zbavit se starých nánosů.
Co když po přechodu něco nefunguje?
Starý firewall zůstane až do převzetí zapojený a připravený. V případě pochybností přepneme zpět během minut, problém analyzujeme a zkusíme to znovu.
Musí naši zaměstnanci něco dělat?
Pokud se mění technologie VPN, nainstalují si nového klienta. Dodáme předkonfigurované profily a stručný návod.
Kontakt
Jak náročná bude vaše migrace?
Pošlete nám export konfigurace a dostanete spolehlivý odhad náročnosti.