Přechod z Sophos na OPNsense
Sophos SG UTM dosáhl konce životnosti 30. června 2026. Od té doby nevycházejí bezpečnostní aktualizace. Kdo UTM stále provozuje, provozuje neopravený perimetrový systém. Přechod je tak jako tak nutný. Otevřená zůstává jen otázka cíle.
Přehled
- Zdroj
- Sophos
- Cíl
- OPNsense Business Edition
- Přepnutí
- obvykle 1–2 hodiny
- Návrat zpět
- možný až do převzetí
Výchozí situace
Proč provozovatelé přecházejí
Sophos nabízí přechod na Sophos Firewall (SFOS), obvykle s novým hardwarem XGS. To není aktualizace, ale úplná migrace na jinou platformu s jiným rozhraním, jinou logikou pravidel a novými licenčními balíčky. Pokud vás ta práce stejně čeká, vyplatí se srovnání s OPNsense.
Typické důvody
- žádné další bezpečnostní aktualizace pro SG UTM
- XGS znamená nový hardware, nové rozhraní a nové licenční balíčky
- průběžné předplatné za funkce, které OPNsense poskytuje bez příplatku
- preference otevřeného kódu a evropského výrobce
Funkce
Co se stane s funkcemi Sophos
| Sophos | OPNsense | Poznámka |
|---|---|---|
| Network definitions | Aliasy | hosty, sítě, skupiny a FQDN se přenesou čistě |
| Pravidla firewallu | Pravidla rozhraní, plovoucí pravidla | logika se překládá, nekopíruje |
| NAT, DNAT, SNAT | Přesměrování portů, odchozí NAT, NAT 1:1 | plně podporováno |
| Intrusion Prevention | Suricata IPS | ET Open, volitelně komerční sady pravidel |
| Web Protection | Proxy nebo Zenarmor | politiky se vytvoří znovu |
| Application Control | Zenarmor | detekce na vrstvě 7 |
| VPN site-to-site | IPsec (IKEv2) | protějšky se koordinují předem |
| SSL VPN, vzdálený přístup | WireGuard nebo OpenVPN s 2FA | noví klienti s připravenými profily |
| Zařízení RED | malý OPNsense s IPsec nebo WireGuard | bez přímé obdoby |
| Web Application Firewall | HAProxy nebo nginx jako reverzní proxy | rozsah funkcí ověřit případ od případu |
| Email Protection | – | doporučujeme samostatnou poštovní bránu |
| HA (aktivní-pasivní) | Cluster CARP se synchronizací stavů | údržba bez přerušení |
Postup
Jak migrujeme
Průběh
- Export konfigurace UTM, analýza čítačů zásahů
- Vyčištění nepoužívaných pravidel a objektů
- Překlad objektů, pravidel, NAT a VPN
- Nové vytvoření webového a aplikačního filtru
- Koordinace s protějšky VPN, testy v laboratoři
- Přepnutí v servisním okně, UTM zůstává jako záloha pro návrat
- Následná podpora a předání dokumentace
Na co si dát pozor
- Email Protection: pokud UTM filtruje i e-maily, naplánujeme pro to samostatné řešení.
- Pobočky s RED: každé zařízení RED nahradí malý firewall. Obvykle stabilnější, ale vyžaduje hardware na místě.
- Klienti SSL VPN: zaměstnanci dostanou nového klienta s připraveným profilem.
- Synchronized Security: integrace koncových zařízení odpadá. Tuto mezeru uzavírá segmentace a napojení na SIEM.
Obecný postup v pěti krocích popisujeme na stránce Migrace na OPNsense.
FAQ
Otázky k migraci z Sophos
Nemohu UTM prostě nechat běžet?
Technicky ano, zodpovědně ne. Perimetrový firewall bez bezpečnostních aktualizací jsou otevřené dveře. V rámci NIS2, KRITIS (německá regulace kritické infrastruktury) nebo požadavků pojišťoven je to těžko obhajitelné.
Můžeme dál použít hardware Sophos?
Některý starší hardware SG je založen na x86 a OPNsense na něm v zásadě poběží. Pro produkci to nedoporučujeme, protože záruka a podpora výrobce už nejsou k dispozici.
Jak dlouho přechod trvá?
U jedné lokality obvykle několik dní přípravy a servisní okno o délce jedné až dvou hodin. Více lokalit migrujeme postupně.
Kontakt
Pošlete nám export své konfigurace
Řekneme vám, co lze převzít přímo, co ne a kolik bude migrace stát.