Přechod z pfSense na OPNsense
OPNsense a pfSense mají společné kořeny: OPNsense vznikl v roce 2014 jako fork a je dostupný od ledna 2015. Od té doby se oba projekty výrazně rozešly. Migrace je zvládnutelná, ale tlačítko pro import neexistuje.
Přehled
- Zdroj
- pfSense
- Cíl
- OPNsense Business Edition
- Přepnutí
- obvykle 1–2 hodiny
- Návrat zpět
- možný až do převzetí
Výchozí situace
Proč provozovatelé přecházejí
pfSense se dělí na bezplatnou Community Edition a komerční pfSense Plus. Mnoho provozovatelů si klade otázku, jaká je budoucnost CE. OPNsense nabízí pevný cyklus vydání, jednotné API a evropského výrobce.
Typické důvody
- nejistota kvůli rozdělení na CE a Plus
- pevný cyklus vydání v lednu a v červenci
- jednotné REST API pro automatizaci
- evropský výrobce s otevřeným vývojovým procesem
Funkce
Co se stane s funkcemi pfSense
| pfSense | OPNsense | Poznámka |
|---|---|---|
| Rozhraní, VLAN | Rozhraní, VLAN | přímo přenositelné |
| Aliasy | Aliasy | včetně tabulek URL |
| Pravidla firewallu | Pravidla firewallu | stejné jádro (pf), pečlivě převedeno |
| NAT | NAT | plně podporováno |
| IPsec, OpenVPN | IPsec, OpenVPN | včetně certifikátů a CA |
| Balíček WireGuard | WireGuard (vestavěný) | protějšky se převezmou |
| pfBlockerNG | Blocklisty Unbound, aliasy URL, CrowdSec | ověřit případ od případu |
| HAProxy, ACME | Pluginy HAProxy a ACME | k dispozici |
| Squid, SquidGuard | Plugin proxy nebo Zenarmor | politiky se vytvoří znovu |
| CARP, HA | CARP, HA | stejný koncept |
Postup
Jak migrujeme
Průběh
- Záloha config.xml a seznamu balíčků
- Přiřazení každého balíčku k protějšku v OPNsense
- Převod rozhraní, aliasů, pravidel, NAT a VPN
- Testy v laboratoři nebo paralelně
- Přepnutí v servisním okně, pfSense jako záloha pro návrat
- Následná podpora a dokumentace
Na co si dát pozor
- Žádný přímý import: konfigurační soubory vypadají podobně, ale nejsou kompatibilní.
- Balíčky: ne každý balíček pfSense existuje ve stejné podobě jako plugin OPNsense.
- Stejné jádro: oba používají pf, takže logika pravidel je známá. To výrazně snižuje riziko.
Obecný postup v pěti krocích popisujeme na stránce Migrace na OPNsense.
FAQ
Otázky k migraci z pfSense
Je migrace z pfSense jednodušší než od jiných výrobců?
Ano, protože oba vycházejí z pf a používají podobné koncepty. Přesto převádíme strukturovaně, ne importem.
Co bude s pfBlockerNG?
OPNsense nabízí DNS blocklisty v Unbound, tabulky URL jako aliasy a plugin CrowdSec. Společně pokrývají typické případy.
Můžeme dál používat hardware pfSense?
U hardwaru x86 obvykle ano, pokud je ještě v záruce a dostatečně výkonný. To ověříme předem.
Kontakt
Pošlete nám export své konfigurace
Řekneme vám, co lze převzít přímo, co ne a kolik bude migrace stát.