Από Fortinet FortiGate σε OPNsense
Τα FortiGate είναι ισχυρά, αλλά δεμένα με πακέτα ασφαλείας και συμβόλαια υποστήριξης. Επιπλέον, στο SSL VPN εμφανίζονται επανειλημμένα ευπάθειες που αξιοποιούνται ενεργά και τις οποίες η αμερικανική υπηρεσία CISA έχει καταχωρίσει στον κατάλογο γνωστών αξιοποιημένων ευπαθειών. Γι’ αυτό πολλοί διαχειριστές θέτουν το θεμελιώδες ερώτημα.
Με μια ματιά
- Προέλευση
- Fortinet FortiGate
- Στόχος
- OPNsense Business Edition
- Μετάβαση
- συνήθως 1–2 ώρες
- Επιστροφή
- έως την έγκριση
Αφετηρία
Γιατί οι διαχειριστές αλλάζουν
Στα FortiGate, το IPS, το φιλτράρισμα web και ο έλεγχος εφαρμογών εξαρτώνται από πακέτα που ανανεώνονται ετησίως. Η γενιά υλικού και η διάρκεια της άδειας συνδέονται στενά. Αν έτσι κι αλλιώς πλησιάζει ανανέωση, αξίζει να γίνει η σύγκριση.
Συνήθεις λόγοι
- ετήσιο κόστος πακέτων για λειτουργίες που το OPNsense παρέχει χωρίς επιπλέον κόστος
- σύνδεση του κύκλου ζωής του υλικού με την άδεια
- επαναλαμβανόμενα επείγοντα patches για το SSL VPN
- προτίμηση για ανοιχτό κώδικα και ευρωπαίο κατασκευαστή
Λειτουργίες
Τι γίνεται με τις λειτουργίες του Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Σημείωση |
|---|---|---|
| Address objects, groups | Aliases | συμπεριλαμβανομένων αντικειμένων FQDN |
| Policies (ζεύγη διεπαφών) | Interface rules, floating rules | η λογική μεταφράζεται |
| VIPs (DNAT) | Port forward, 1:1 NAT | πλήρης υποστήριξη |
| IPS | Suricata IPS | ET Open, προαιρετικά εμπορικό |
| Web Filter, App Control | Zenarmor ή κατηγορίες proxy | οι πολιτικές δημιουργούνται εκ νέου |
| SSL VPN, FortiClient | WireGuard ή OpenVPN με 2FA | νέοι clients με προφίλ |
| IPsec site-to-site | IPsec (IKEv2) | συμφωνία παραμέτρων με τους peers |
| SD-WAN | Ομάδες gateway, multi-WAN, policy-based routing | failover και κατανομή φορτίου |
| HA (FGCP) | Cluster CARP με συγχρονισμό καταστάσεων | συντήρηση χωρίς διακοπή |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog προς SIEM | διαφορετική προσέγγιση, ίδιος στόχος |
| Security Fabric | – | χωρίς άμεσο αντίστοιχο |
Προσέγγιση
Πώς γίνεται η μετάβαση
Διαδικασία
- Εξαγωγή της διαμόρφωσης FortiOS, ανάλυση των hits ανά policy
- Εκκαθάριση αχρησιμοποίητων policies και αντικειμένων
- Μετάφραση αντικειμένων, policies, VIP και VPN
- Αναδημιουργία του φιλτραρίσματος web και εφαρμογών
- Διαστασιολόγηση βάσει της πραγματικής ρυθμοαπόδοσης
- Μετάβαση σε παράθυρο συντήρησης, το FortiGate ως εφεδρεία
- Υποστήριξη μετά τη μετάβαση και τεκμηρίωση
Τι χρειάζεται προσοχή
- Επιτάχυνση υλικού: τα FortiGate χρησιμοποιούν ASIC. Διαστασιολογούμε για τη ρυθμοαπόδοσή σας με ενεργό IPS, όχι σύμφωνα με το φύλλο δεδομένων.
- Λογική ζωνών: οι policies ισχύουν μεταξύ ζευγών διεπαφών, ενώ το OPNsense αξιολογεί εισερχόμενα ανά διεπαφή.
- FortiToken: το 2FA μεταφέρεται σε TOTP με εφαρμογή authenticator.
Η γενική διαδικασία σε πέντε βήματα περιγράφεται στη σελίδα Μετάβαση σε OPNsense.
FAQ
Ερωτήσεις για τη μετάβαση από Fortinet FortiGate
Μπορούμε να εισαγάγουμε τη διαμόρφωση του FortiGate;
Όχι. Μεταφράζουμε με δομημένο τρόπο και αφαιρούμε ταυτόχρονα τα παλιά κατάλοιπα.
Επαρκεί η ρυθμοαπόδοση του OPNsense;
Με κατάλληλα διαστασιολογημένο υλικό, ναι. Καθοριστική είναι η ρυθμοαπόδοση με ενεργό IPS, και αυτήν σχεδιάζουμε ρεαλιστικά.
Τι γίνεται με το FortiToken;
Μεταβαίνουμε σε TOTP. Λειτουργεί με τις συνήθεις εφαρμογές authenticator.
Επικοινωνία
Στείλτε μας την εξαγωγή της διαμόρφωσής σας
Θα σας πούμε τι μπορεί να μεταφερθεί απευθείας, τι όχι και πόσο θα κοστίσει η μετάβαση.