De Fortinet FortiGate a OPNsense
Los FortiGate son potentes, pero están ligados a paquetes de seguridad y contratos de soporte. Además, ha habido vulnerabilidades explotadas repetidamente en la SSL VPN, que la agencia estadounidense CISA incluye en su catálogo de vulnerabilidades explotadas conocidas. Por eso muchos operadores se plantean la cuestión de fondo.
De un vistazo
- Origen
- Fortinet FortiGate
- Destino
- OPNsense Business Edition
- Cambio
- normalmente 1–2 horas
- Vuelta atrás
- hasta la aceptación
Punto de partida
Por qué cambian los operadores
En los FortiGate, el IPS, el filtrado web y el control de aplicaciones dependen de paquetes que se renuevan anualmente. La generación de hardware y la duración de la licencia están estrechamente vinculadas. Si de todos modos tiene una renovación por delante, merece la pena hacer la comparación.
Motivos habituales
- costes anuales de paquetes para funciones que OPNsense ofrece sin coste adicional
- vinculación entre el ciclo de vida del hardware y la licencia
- parches de emergencia recurrentes para la SSL VPN
- preferencia por código abierto y un fabricante europeo
Funciones
Qué pasa con sus funciones de Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Nota |
|---|---|---|
| Objetos de dirección, grupos | Alias | incluidos los objetos FQDN |
| Políticas (pares de interfaces) | Reglas de interfaz, reglas flotantes | la lógica se traduce |
| VIP (DNAT) | Redirección de puertos, NAT 1:1 | totalmente compatible |
| IPS | Suricata IPS | ET Open, comercial opcional |
| Web Filter, App Control | Zenarmor o categorías del proxy | las políticas se reconstruyen |
| SSL VPN, FortiClient | WireGuard u OpenVPN con 2FA | nuevos clientes con perfiles |
| IPsec entre sedes | IPsec (IKEv2) | acordar parámetros con los extremos |
| SD-WAN | Grupos de gateways, multi-WAN, enrutamiento basado en políticas | conmutación por error y balanceo de carga |
| HA (FGCP) | Clúster CARP con sincronización de estados | mantenimiento sin interrupción |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog al SIEM | otro concepto, el mismo objetivo |
| Security Fabric | – | sin equivalente directo |
Procedimiento
Cómo realizamos la migración
Proceso
- Exportación de la configuración de FortiOS, análisis de las coincidencias de políticas
- Depuración de políticas y objetos no utilizados
- Traducción de objetos, políticas, VIP y VPN
- Reconstrucción del filtrado web y de aplicaciones
- Dimensionamiento según el rendimiento real
- Cambio en una ventana de mantenimiento, FortiGate como vuelta atrás
- Acompañamiento posterior y documentación
Aspectos a tener en cuenta
- Aceleración por hardware: los FortiGate utilizan ASIC. Dimensionamos según su rendimiento con IPS activado, no según la ficha técnica.
- Lógica de zonas: las políticas se aplican entre pares de interfaces, mientras que OPNsense evalúa la entrada por interfaz.
- FortiToken: la 2FA se cambia a TOTP con una aplicación de autenticación.
El proceso general en cinco pasos se describe en Migración a OPNsense.
FAQ
Preguntas sobre la migración desde Fortinet FortiGate
¿Podemos importar la configuración del FortiGate?
No. Traducimos de forma estructurada y eliminamos el lastre heredado por el camino.
¿Es suficiente el rendimiento de OPNsense?
Con un hardware bien dimensionado, sí. Lo decisivo es el rendimiento con IPS activado, y lo planificamos de forma realista.
¿Qué pasa con FortiToken?
Cambiamos a TOTP. Funciona con las aplicaciones de autenticación habituales.
Contacto
Envíenos la exportación de su configuración
Le indicaremos qué se puede transferir directamente, qué no y cuánto costará la migración.