Üleminek lahenduselt Sophos OPNsense’ile
Sophos SG UTM-i kasutusiga lõppes 30. juunil 2026. Sellest ajast ei ole turvauuendusi. Kes kasutab veel UTM-i, kasutab paikamata perimeetrisüsteemi. Vahetus on niikuinii vältimatu. Lahtine on ainult küsimus, kuhu minna.
Lühidalt
- Lähtesüsteem
- Sophos
- Sihtsüsteem
- OPNsense Business Edition
- Ümberlülitus
- tavaliselt 1–2 tundi
- Varuvariant
- kuni vastuvõtuni
Lähteolukord
Miks ettevõtted lahendust vahetavad
Sophos pakub üleminekut Sophos Firewallile (SFOS), tavaliselt koos uue XGS-riistvaraga. See ei ole uuendus, vaid täielik üleminek teisele platvormile, millel on teine kasutajaliides, teine reegliloogika ja uued litsentsipaketid. Kui töö tuleb niikuinii ette, tasub võrrelda OPNsense’iga.
Tüüpilised põhjused
- SG UTM-ile ei tule enam turvauuendusi
- XGS tähendab uut riistvara, uut kasutajaliidest ja uusi litsentsipakette
- jooksvad tellimustasud funktsioonide eest, mida OPNsense pakub lisatasuta
- eelistus avatud lähtekoodi ja Euroopa tootja järele
Funktsioonid
Mis saab teie Sophos-lahenduse funktsioonidest
| Sophos | OPNsense | Märkus |
|---|---|---|
| Network definitions | Aliased | hostid, võrgud, rühmad ja FQDN-id kanduvad puhtalt üle |
| Firewall rules | Liidesereeglid, floating-reeglid | loogika tõlgitakse, mitte ei kopeerita |
| NAT, DNAT, SNAT | Pordi edastamine, väljuv NAT, 1:1 NAT | täielikult toetatud |
| Intrusion Prevention | Suricata IPS | ET Open, valikulised kommertsreeglistikud |
| Web Protection | Puhverserver või Zenarmor | poliitikad ehitatakse uuesti üles |
| Application Control | Zenarmor | 7. kihi tuvastus |
| Site-to-site VPN | IPsec (IKEv2) | partneritega kooskõlastatakse eelnevalt |
| SSL VPN, Remote Access | WireGuard või OpenVPN 2FA-ga | uued kliendid valmisprofiilidega |
| RED-seadmed | väike OPNsense IPseci või WireGuardiga | otsest vastet pole |
| Web Application Firewall | HAProxy või nginx pöördpuhverserverina | funktsioonide ulatust kontrollida juhtumipõhiselt |
| Email Protection | – | soovitatav eraldi e-posti lüüs |
| HA (active-passive) | CARP-klaster olekute sünkroniseerimisega | hooldus ilma katkestuseta |
Lähenemine
Kuidas me migreerime
Protsess
- UTM-i konfiguratsiooni eksport, tabamusloendurite analüüs
- Kasutamata reeglite ja objektide korrastamine
- Objektide, reeglite, NAT-i ja VPN-ide tõlkimine
- Veebi- ja rakendusefiltri uuesti ülesehitamine
- Kooskõlastamine VPN-partneritega, testimine laboris
- Ümberlülitus hooldusaknas, UTM jääb varuvariandiks
- Järeltugi ja dokumentatsiooni üleandmine
Millele tähelepanu pöörata
- Email Protection: kui UTM filtreerib ka e-posti, planeerime selleks eraldi lahenduse.
- RED-harukontorid: iga RED asendatakse väikese tulemüüriga. Tavaliselt on see stabiilsem, kuid vajab kohapeal riistvara.
- SSL VPN kliendid: töötajad saavad uue kliendi valmisprofiiliga.
- Synchronized Security: lõppseadmete integratsioon kaob. Segmentimine ja SIEM-integratsioon katavad selle lünga.
Üldine viiest sammust koosnev protsess on kirjeldatud lehel Üleminek OPNsense’ile.
FAQ
Küsimused üleminekul lahenduselt Sophos
Kas ma ei saa UTM-i lihtsalt edasi kasutada?
Tehniliselt jah, vastutustundlikult mitte. Turvauuendusteta perimeetritulemüür on avatud uks. NIS2, KRITISe (Saksamaa elutähtsa taristu regulatsioon) või kindlustusnõuete raames on seda raske põhjendada.
Kas saame Sophose riistvara uuesti kasutada?
Osa vanemast SG-riistvarast on x86-põhine ja suudab põhimõtteliselt OPNsense’i käitada. Tootmiskasutuseks me seda ei soovita, sest garantii ja tootja tugi ei ole enam saadaval.
Kui kaua vahetus kestab?
Ühe asukoha puhul tavaliselt mõni päev ettevalmistust ja üks kuni kahetunnine hooldusaken. Mitu asukohta migreerime etappide kaupa.
Kontakt
Saatke meile oma konfiguratsiooni eksport
Ütleme teile, mida saab otse üle kanda, mida mitte ja kui palju üleminek maksab.