Siirtyminen Fortinet FortiGate -palomuurista OPNsenseen
FortiGatet ovat suorituskykyisiä, mutta sidottuja tietoturvapaketteihin ja tukisopimuksiin. Lisäksi SSL VPN:ssä on toistuvasti ollut aktiivisesti hyödynnettyjä haavoittuvuuksia, jotka Yhdysvaltain viranomainen CISA on listannut tunnettujen hyödynnettyjen haavoittuvuuksien luetteloonsa. Siksi monet ylläpitäjät esittävät perustavanlaatuisen kysymyksen.
Yhdellä silmäyksellä
- Lähde
- Fortinet FortiGate
- Kohde
- OPNsense Business Edition
- Vaihto
- yleensä 1–2 tuntia
- Paluureitti
- hyväksyntään asti
Lähtötilanne
Miksi ylläpitäjät vaihtavat
FortiGateissa IPS, verkkosuodatus ja sovellushallinta riippuvat vuosittain uusittavista paketeista. Laitesukupolvi ja lisenssikausi ovat tiiviisti sidoksissa toisiinsa. Jos uusinta on joka tapauksessa edessä, vertailu kannattaa.
Tyypilliset syyt
- vuosittaiset pakettikustannukset ominaisuuksista, jotka OPNsense tarjoaa ilman lisämaksua
- laitteiston elinkaaren ja lisenssin sidonnaisuus
- toistuvat SSL VPN:n hätäpäivitykset
- avoimen koodin ja eurooppalaisen valmistajan suosiminen
Ominaisuudet
Mitä Fortinet FortiGate -ominaisuuksistanne tulee
| Fortinet FortiGate | OPNsense | Huomautus |
|---|---|---|
| Osoiteobjektit, ryhmät | Aliakset | myös FQDN-objektit |
| Käytännöt (liitäntäparit) | Liitäntäsäännöt, floating-säännöt | logiikka käännetään |
| VIP-osoitteet (DNAT) | Porttiohjaus, 1:1 NAT | täysi tuki |
| IPS | Suricata IPS | ET Open, valinnaisesti kaupallinen |
| Web Filter, App Control | Zenarmor tai välityspalvelimen luokat | käytännöt rakennetaan uudelleen |
| SSL VPN, FortiClient | WireGuard tai OpenVPN ja 2FA | uudet asiakasohjelmat profiileineen |
| IPsec site-to-site | IPsec (IKEv2) | parametrit sovitaan vastapäiden kanssa |
| SD-WAN | Yhdyskäytäväryhmät, multi-WAN, käytäntöpohjainen reititys | vikasieto ja kuormantasaus |
| HA (FGCP) | CARP-klusteri tilasynkronoinnilla | huollot ilman katkoa |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog SIEM-järjestelmään | eri konsepti, sama tavoite |
| Security Fabric | – | ei suoraa vastinetta |
Toimintatapa
Miten migroimme
Prosessi
- FortiOS-konfiguraation vienti, käytäntöjen osumien analyysi
- Käyttämättömien käytäntöjen ja objektien siivous
- Objektien, käytäntöjen, VIP-osoitteiden ja VPN-yhteyksien kääntäminen
- Verkko- ja sovellussuodatuksen uudelleenrakentaminen
- Mitoitus todellisen läpäisykyvyn perusteella
- Vaihto huoltoikkunassa, FortiGate paluureittinä
- Jälkituki ja dokumentaatio
Mihin kannattaa kiinnittää huomiota
- Laitteistokiihdytys: FortiGatet käyttävät ASIC-piirejä. Mitoitamme läpäisykyvyn IPS:n ollessa käytössä, emme tuotekortin mukaan.
- Vyöhykelogiikka: käytännöt koskevat liitäntäpareja, kun taas OPNsense arvioi saapuvan liikenteen liitäntäkohtaisesti.
- FortiToken: 2FA vaihdetaan TOTP-menetelmään todennussovelluksella.
Yleinen viisivaiheinen prosessi on kuvattu sivulla Siirtyminen OPNsenseen.
FAQ
Kysymyksiä siirtymisestä Fortinet FortiGate -palomuurista
Voimmeko tuoda FortiGaten konfiguraation?
Ei. Käännämme konfiguraation jäsennellysti ja poistamme samalla vanhan painolastin.
Riittääkö OPNsensen läpäisykyky?
Asianmukaisesti mitoitetulla laitteistolla kyllä. Ratkaisevaa on läpäisykyky IPS:n ollessa käytössä, ja suunnittelemme sen realistisesti.
Mitä FortiTokenille tapahtuu?
Siirrymme TOTP-menetelmään. Se toimii yleisimmillä todennussovelluksilla.
Yhteydenotto
Lähettäkää meille konfiguraationne vienti
Kerromme, mitä voidaan siirtää suoraan, mitä ei, ja mitä migraatio maksaa.