Üleminek lahenduselt Fortinet FortiGate OPNsense’ile
FortiGate’id on võimekad, kuid seotud turvapakettide ja tugilepingutega. Lisaks on SSL VPN-is korduvalt ära kasutatud haavatavusi, mille USA ametiasutus CISA on kandnud teadaolevalt ärakasutatud haavatavuste kataloogi. Seetõttu esitavad paljud käitajad põhimõttelise küsimuse.
Lühidalt
- Lähtesüsteem
- Fortinet FortiGate
- Sihtsüsteem
- OPNsense Business Edition
- Ümberlülitus
- tavaliselt 1–2 tundi
- Varuvariant
- kuni vastuvõtuni
Lähteolukord
Miks ettevõtted lahendust vahetavad
FortiGate’ide puhul sõltuvad IPS, veebifilter ja rakenduste kontroll igal aastal uuendatavatest pakettidest. Riistvarapõlvkond ja litsentsi kestus on tihedalt seotud. Kui teil seisab niikuinii ees pikendamine, tasub võrdlus ära teha.
Tüüpilised põhjused
- iga-aastased paketikulud funktsioonide eest, mida OPNsense pakub lisatasuta
- riistvara elutsükli ja litsentsi sidumine
- korduvad SSL VPN-i hädaparandused
- eelistus avatud lähtekoodi ja Euroopa tootja järele
Funktsioonid
Mis saab teie Fortinet FortiGate-lahenduse funktsioonidest
| Fortinet FortiGate | OPNsense | Märkus |
|---|---|---|
| Address objects, groups | Aliased | sh FQDN-objektid |
| Policies (interface pairs) | Liidesereeglid, floating-reeglid | loogika tõlgitakse |
| VIPs (DNAT) | Pordi edastamine, 1:1 NAT | täielikult toetatud |
| IPS | Suricata IPS | ET Open, valikuliselt kommertsreeglistikud |
| Web Filter, App Control | Zenarmor või puhverserveri kategooriad | poliitikad ehitatakse uuesti üles |
| SSL VPN, FortiClient | WireGuard või OpenVPN 2FA-ga | uued kliendid profiilidega |
| IPsec site-to-site | IPsec (IKEv2) | parameetrid partneritega kokku leppida |
| SD-WAN | Lüüsirühmad, multi-WAN, poliitikapõhine marsruutimine | tõrkesiire ja koormuse jaotamine |
| HA (FGCP) | CARP-klaster olekute sünkroniseerimisega | hooldus ilma katkestuseta |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog SIEM-i | teine kontseptsioon, sama eesmärk |
| Security Fabric | – | otsest vastet pole |
Lähenemine
Kuidas me migreerime
Protsess
- FortiOS-i konfiguratsiooni eksport, poliitikate tabamuste analüüs
- Kasutamata poliitikate ja objektide korrastamine
- Objektide, poliitikate, VIP-ide ja VPN-ide tõlkimine
- Veebi- ja rakendusefiltri uuesti ülesehitamine
- Dimensioneerimine tegeliku läbilaskevõime järgi
- Ümberlülitus hooldusaknas, FortiGate varuvariandina
- Järeltugi ja dokumentatsioon
Millele tähelepanu pöörata
- Riistvaraline kiirendus: FortiGate’id kasutavad ASIC-kiipe. Dimensioneerime teie läbilaskevõime järgi sisselülitatud IPS-iga, mitte andmelehe järgi.
- Tsoonide loogika: poliitikad kehtivad liidesepaaride vahel, OPNsense aga hindab iga liidese sissetulevat liiklust.
- FortiToken: 2FA viiakse üle TOTP-le autentimisrakendusega.
Üldine viiest sammust koosnev protsess on kirjeldatud lehel Üleminek OPNsense’ile.
FAQ
Küsimused üleminekul lahenduselt Fortinet FortiGate
Kas saame FortiGate’i konfiguratsiooni importida?
Ei. Tõlgime struktureeritult ja eemaldame samal ajal pärandprahi.
Kas OPNsense’i läbilaskevõimest piisab?
Sobivalt dimensioneeritud riistvaraga jah. Oluline on läbilaskevõime sisselülitatud IPS-iga ja seda planeerime realistlikult.
Mis saab FortiTokenist?
Läheme üle TOTP-le. See töötab levinud autentimisrakendustega.
Kontakt
Saatke meile oma konfiguratsiooni eksport
Ütleme teile, mida saab otse üle kanda, mida mitte ja kui palju üleminek maksab.