Fra Fortinet FortiGate til OPNsense
FortiGates er kraftfulde, men bundet til sikkerhedspakker og supportkontrakter. Dertil kommer gentagne gange udnyttede sårbarheder i SSL VPN, som den amerikanske myndighed CISA har opført i sit katalog over kendte udnyttede sårbarheder. Mange virksomheder stiller derfor det grundlæggende spørgsmål.
Overblik
- Kilde
- Fortinet FortiGate
- Mål
- OPNsense Business Edition
- Omstilling
- typisk 1–2 timer
- Fallback
- indtil godkendelse
Udgangspunkt
Hvorfor virksomheder skifter
Hos FortiGate afhænger IPS, webfiltrering og applikationskontrol af pakker, der fornyes årligt. Hardwaregeneration og licensperiode hænger tæt sammen. Hvis du alligevel står over for en fornyelse, er det værd at lave sammenligningen.
Typiske årsager
- årlige pakkeomkostninger for funktioner, som OPNsense leverer uden merpris
- kobling mellem hardwarens livscyklus og licensen
- tilbagevendende nødpatches til SSL VPN
- ønske om åben kode og en europæisk leverandør
Funktioner
Hvad der sker med dine Fortinet FortiGate-funktioner
| Fortinet FortiGate | OPNsense | Bemærkning |
|---|---|---|
| Adresseobjekter, grupper | Aliasser | inklusive FQDN-objekter |
| Policies (interfacepar) | Interface-regler, floating rules | logikken oversættes |
| VIP (DNAT) | Port forward, 1:1 NAT | fuldt understøttet |
| IPS | Suricata IPS | ET Open, valgfrit kommercielt |
| Web Filter, App Control | Zenarmor eller proxykategorier | politikker genopbygges |
| SSL VPN, FortiClient | WireGuard eller OpenVPN med 2FA | nye klienter med profiler |
| IPsec site-to-site | IPsec (IKEv2) | aftal parametre med peers |
| SD-WAN | Gatewaygrupper, multi-WAN, policy-baseret routing | failover og load balancing |
| HA (FGCP) | CARP-klynge med state-synkronisering | vedligeholdelse uden afbrydelse |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog til SIEM | andet koncept, samme mål |
| Security Fabric | – | ingen direkte pendant |
Fremgangsmåde
Sådan migrerer vi
Forløb
- Eksport af FortiOS-konfigurationen, analyse af policy-hits
- Oprydning i ubrugte policies og objekter
- Oversættelse af objekter, policies, VIP og VPN
- Genopbygning af web- og applikationsfiltrering
- Dimensionering ud fra reel throughput
- Omstilling i et servicevindue, FortiGate som fallback
- Efterfølgende support og dokumentation
Det skal du være opmærksom på
- Hardwareacceleration: FortiGates bruger ASIC-chips. Vi dimensionerer efter din throughput med aktiveret IPS, ikke efter databladet.
- Zonelogik: policies gælder mellem interfacepar, mens OPNsense evaluerer indgående pr. interface.
- FortiToken: 2FA omstilles til TOTP med en authenticator-app.
Den generelle proces i fem trin er beskrevet under Migrering til OPNsense.
FAQ
Spørgsmål om migrering fra Fortinet FortiGate
Kan vi importere FortiGate-konfigurationen?
Nej. Vi oversætter struktureret og fjerner samtidig gamle rester.
Er throughput i OPNsense tilstrækkelig?
Med passende dimensioneret hardware, ja. Det afgørende er throughput med aktiveret IPS, og den planlægger vi realistisk.
Hvad sker der med FortiToken?
Vi skifter til TOTP. Det fungerer med almindelige authenticator-apps.
Kontakt
Send os din konfigurationseksport
Vi fortæller dig, hvad der kan overføres direkte, hvad der ikke kan, og hvad migreringen vil koste.