Přechod z Fortinet FortiGate na OPNsense
FortiGate jsou výkonné, ale vázané na bezpečnostní balíčky a smlouvy o podpoře. K tomu se přidávají opakovaně zneužívané zranitelnosti v SSL VPN, které americký úřad CISA uvádí ve svém katalogu známých zneužívaných zranitelností. Mnoho provozovatelů si proto klade zásadní otázku.
Přehled
- Zdroj
- Fortinet FortiGate
- Cíl
- OPNsense Business Edition
- Přepnutí
- obvykle 1–2 hodiny
- Návrat zpět
- možný až do převzetí
Výchozí situace
Proč provozovatelé přecházejí
U FortiGate závisí IPS, webový filtr a kontrola aplikací na balíčcích, které se obnovují každý rok. Generace hardwaru a doba licence jsou úzce propojené. Pokud vás obnova stejně čeká, vyplatí se srovnání.
Typické důvody
- roční náklady na balíčky za funkce, které OPNsense poskytuje bez příplatku
- provázání životního cyklu hardwaru a licence
- opakované nouzové záplaty pro SSL VPN
- preference otevřeného kódu a evropského výrobce
Funkce
Co se stane s funkcemi Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Poznámka |
|---|---|---|
| Adresní objekty, skupiny | Aliasy | včetně objektů FQDN |
| Politiky (páry rozhraní) | Pravidla rozhraní, plovoucí pravidla | logika se překládá |
| VIP (DNAT) | Přesměrování portů, NAT 1:1 | plně podporováno |
| IPS | Suricata IPS | ET Open, volitelně komerční |
| Web Filter, App Control | Zenarmor nebo kategorie proxy | politiky se vytvoří znovu |
| SSL VPN, FortiClient | WireGuard nebo OpenVPN s 2FA | noví klienti s profily |
| IPsec site-to-site | IPsec (IKEv2) | parametry dohodnout s protějšky |
| SD-WAN | Skupiny bran, multi-WAN, směrování podle politik | failover a rozložení zátěže |
| HA (FGCP) | Cluster CARP se synchronizací stavů | údržba bez přerušení |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog do SIEM | jiný koncept, stejný cíl |
| Security Fabric | – | bez přímé obdoby |
Postup
Jak migrujeme
Průběh
- Export konfigurace FortiOS, analýza zásahů politik
- Vyčištění nepoužívaných politik a objektů
- Překlad objektů, politik, VIP a VPN
- Nové vytvoření webového a aplikačního filtru
- Dimenzování podle skutečné propustnosti
- Přepnutí v servisním okně, FortiGate jako záloha pro návrat
- Následná podpora a dokumentace
Na co si dát pozor
- Hardwarová akcelerace: FortiGate používají ASIC. Dimenzujeme podle vaší propustnosti se zapnutým IPS, ne podle datového listu.
- Logika zón: politiky platí mezi páry rozhraní, zatímco OPNsense vyhodnocuje příchozí provoz na každém rozhraní.
- FortiToken: 2FA se převede na TOTP s ověřovací aplikací.
Obecný postup v pěti krocích popisujeme na stránce Migrace na OPNsense.
FAQ
Otázky k migraci z Fortinet FortiGate
Můžeme importovat konfiguraci FortiGate?
Ne. Překládáme strukturovaně a přitom odstraňujeme staré nánosy.
Stačí propustnost OPNsense?
S vhodně dimenzovaným hardwarem ano. Rozhodující je propustnost se zapnutým IPS a tu plánujeme realisticky.
Co bude s FortiToken?
Přejdeme na TOTP. Funguje s běžnými ověřovacími aplikacemi.
Kontakt
Pošlete nám export své konfigurace
Řekneme vám, co lze převzít přímo, co ne a kolik bude migrace stát.