Siirtyminen OPNsenseen
Palomuurin migraatio epäonnistuu harvoin uuden palomuurin vuoksi. Se epäonnistuu unohtuneiden sääntöjen, vanhojen VPN-vastapäiden, dokumentoimattomien poikkeusten ja sen yhden tulostimen takia, joka on vuosia tarvinnut porttiohjauksen. Siksi aloitamme siitä, mitä teillä jo on.
Prosessi
Viisi vaihetta, yksi toimintasuunnitelma
-
10 Kartoitusyhdessä siivottu kohdesääntöjoukko
Konfiguraation vienti, keskustelu IT-tiiminne kanssa, sääntöjen, NATin, VPN-yhteyksien, varmenteiden ja erikoistapausten analyysi. Osumalaskurit näyttävät, mitä sääntöjä todella käytetään.
-
20 Kääntäminenaepfel+birnen valmis kohdekonfiguraatio
Muunnos OPNsense-logiikkaan: aliakset, liitäntäsäännöt, NAT, VPN-tunnelit, käyttäjäintegraatio. Toteutamme valmistajakohtaiset ominaisuudet sisäänrakennetuilla työkaluilla tai lisäosilla.
-
30 Testausyhdessä hyväksytyt testiraportit
Rakentaminen laboratoriossa tai rinnakkain testisegmentissä. Tarkistamme kriittiset sovellukset, VPN-tunnelit ja erikoistapaukset yhteisen tarkistuslistan avulla.
-
40 Vaihtoaepfel+birnen OPNsense tuotannossa
Vaihto huoltoikkunassa toimintasuunnitelman mukaisesti. Vanha palomuuri pysyy kytkettynä ja valmiina, ja paluu vie minuutteja.
-
50 Jälkitukiaepfel+birnen kattava dokumentaatio
Lokianalyysi estettyjen oikeutettujen yhteyksien varalta, sääntöjoukon hienosäätö, dokumentaation luovutus.
Valmistajittain
Migraatio lähdejärjestelmän mukaan
Jokaisella valmistajalla on omat erityispiirteensä. Jokaiselle lähdejärjestelmälle on oma sivunsa ominaisuusvastaavuuksineen.
Kartoitus
Mitä kartoitamme ja missä asiat juuttuvat
Mitä kartoitamme
- liitännät, VLANit, vyöhykkeet ja IP-suunnitelma
- palomuurisäännöt osumalaskureineen
- NAT ja julkaistut palvelut
- toimipisteiden väliset VPN-yhteydet vastapäineen
- etäkäyttö-VPN, käyttäjät, 2FA
- DHCP, DNS, NTP, varmenteet
- verkko- ja sovellussuodattimet
- erikoistapaukset: VoIP, multicast, IPv6, lääkintälaitteet
Tyypilliset sudenkuopat
- Vyöhykelogiikka: monet valmistajat ajattelevat vyöhykepareina, kun taas OPNsense arvioi säännöt saapuvalle liikenteelle liitäntäkohtaisesti. Käännämme logiikan.
- MTU ja MSS IPsecissä: otamme MSS clamping -rajoituksen käyttöön alusta alkaen.
- VPN-vastapäät: sovimme parametrit ja ajoituksen etukäteen.
- VoIP ja SIP: ALG-toiminta poikkeaa, joten testaamme puhelinliikenteen erikseen.
- Piilevät riippuvuudet: osumalaskurit ja lokit näyttävät, mitä todella käytetään.
Työmäärä
Kuinka kauan se kestää
| Ympäristö | Valmistelu | Vaihto |
|---|---|---|
| yksi toimipiste, hallittava sääntöjoukko | muutama päivä | 1–2 tuntia |
| useita toimipisteitä, VPN-verkko | 1–3 viikkoa | porrastetusti toimipisteittäin |
| HA-klusteri, konesali, sairaala | useita viikkoja | toimintasuunnitelman mukaan, usein ilman havaittavaa katkoa |
Tulos
Mitä teillä on lopuksi
Dokumentaatio on jäsennelty niin, että toinen palveluntarjoaja voisi ottaa ylläpidon hoitaakseen. Haluamme pitää teidät asiakkaana laadun avulla, emme vain meillä olevan tiedon varassa.
Luovutus
- toimiva OPNsense siivotulla sääntöjoukolla
- verkkokaavio ja sääntöjoukon dokumentaatio
- testiraportit ja hyväksyntä
- tunnukset ja hätämenettely
- konfiguraation varmuuskopio palomuurin ulkopuolella
FAQ
Usein kysytyt kysymykset
Voimmeko yksinkertaisesti tuoda vanhan konfiguraation?
Ei, ja se on hyvä asia. Edes pfSensen ja OPNsensen välillä ei ole luotettavaa suoraa tuontia. Jäsennelty kääntäminen on tilaisuus päästä eroon vanhasta painolastista.
Mitä tapahtuu, jos jokin ei toimi vaihdon jälkeen?
Vanha palomuuri pysyy kytkettynä ja valmiina hyväksyntään asti. Epäselvissä tilanteissa vaihdamme takaisin minuuteissa, analysoimme ongelman ja yritämme uudelleen.
Tarvitseeko henkilöstömme tehdä jotain?
Jos VPN-tekniikka vaihtuu, he asentavat uuden asiakasohjelman. Toimitamme valmiiksi määritetyt profiilit ja lyhyen ohjeen.
Yhteydenotto
Kuinka työläs migraationne on?
Lähettäkää meille konfiguraatiovienti, niin annamme luotettavan arvion työmäärästä.