Fra Sophos til OPNsense
Sophos SG UTM nåede end of life den 30. juni 2026. Siden da er der ikke kommet sikkerhedsopdateringer. Den, der stadig kører en UTM, kører et upatchet perimetersystem. Et skifte er nødvendigt under alle omstændigheder. Det eneste åbne spørgsmål er destinationen.
Overblik
- Kilde
- Sophos
- Mål
- OPNsense Business Edition
- Omstilling
- typisk 1–2 timer
- Fallback
- indtil godkendelse
Udgangspunkt
Hvorfor virksomheder skifter
Sophos tilbyder et skifte til Sophos Firewall (SFOS), som regel med ny XGS-hardware. Det er ikke en opdatering, men en fuld migrering til en anden platform med en anden brugerflade, en anden regellogik og nye licenspakker. Når indsatsen alligevel kommer, er det værd at sammenligne med OPNsense.
Typiske årsager
- ingen sikkerhedsopdateringer længere til SG UTM
- XGS betyder ny hardware, ny brugerflade og nye licenspakker
- løbende abonnementer for funktioner, som OPNsense leverer uden merpris
- ønske om åben kode og en europæisk leverandør
Funktioner
Hvad der sker med dine Sophos-funktioner
| Sophos | OPNsense | Bemærkning |
|---|---|---|
| Network definitions | Aliasser | værter, netværk, grupper og FQDN overføres rent |
| Firewallregler | Interface-regler, floating rules | logikken oversættes, ikke kopieres |
| NAT, DNAT, SNAT | Port forward, outbound NAT, 1:1 NAT | fuldt understøttet |
| Intrusion Prevention | Suricata IPS | ET Open, valgfrie kommercielle regelsæt |
| Web Protection | Proxy eller Zenarmor | politikker genopbygges |
| Application Control | Zenarmor | genkendelse på lag 7 |
| Site-to-site-VPN | IPsec (IKEv2) | peers koordineres på forhånd |
| SSL VPN, remote access | WireGuard eller OpenVPN med 2FA | nye klienter med færdige profiler |
| RED-enheder | lille OPNsense med IPsec eller WireGuard | ingen direkte pendant |
| Web Application Firewall | HAProxy eller nginx som reverse proxy | funktionsomfang vurderes i hvert enkelt tilfælde |
| Email Protection | – | separat mailgateway anbefales |
| HA (aktiv-passiv) | CARP-klynge med state-synkronisering | vedligeholdelse uden afbrydelse |
Fremgangsmåde
Sådan migrerer vi
Forløb
- Eksport af UTM-konfigurationen, analyse af hit counters
- Oprydning i ubrugte regler og objekter
- Oversættelse af objekter, regler, NAT og VPN
- Genopbygning af web- og applikationsfiltrering
- Koordinering med VPN-peers, test i lab
- Omstilling i et servicevindue, UTM forbliver som fallback
- Efterfølgende support og overdragelse af dokumentation
Det skal du være opmærksom på
- Email Protection: hvis UTM også filtrerer e-mail, planlægger vi en separat løsning til det.
- RED-filialer: hver RED erstattes af en lille firewall. Som regel mere stabilt, men det kræver hardware på stedet.
- SSL VPN-klienter: medarbejderne får en ny klient med en færdig profil.
- Synchronized Security: endpoint-integrationen bortfalder. Segmentering og SIEM-integration lukker dette hul.
Den generelle proces i fem trin er beskrevet under Migrering til OPNsense.
FAQ
Spørgsmål om migrering fra Sophos
Kan jeg ikke bare lade UTM køre videre?
Teknisk set ja, ansvarligt set nej. En perimeterfirewall uden sikkerhedsopdateringer er en åben dør. Under NIS2, KRITIS (tysk regulering af kritisk infrastruktur) eller forsikringskrav er det svært at forsvare.
Kan vi genbruge Sophos-hardwaren?
Noget ældre SG-hardware er x86-baseret og kan i princippet køre OPNsense. Til produktion fraråder vi det, fordi garanti og leverandørsupport ikke længere er tilgængelige.
Hvor lang tid tager skiftet?
For én lokation som regel få dages forberedelse og et servicevindue på en til to timer. Flere lokationer migrerer vi trinvis.
Kontakt
Send os din konfigurationseksport
Vi fortæller dig, hvad der kan overføres direkte, hvad der ikke kan, og hvad migreringen vil koste.