Siirtyminen pfSense-palomuurista OPNsenseen
OPNsensellä ja pfSensellä on yhteiset juuret: OPNsense sai alkunsa vuonna 2014 haarana, ja se on ollut saatavilla tammikuusta 2015. Sen jälkeen ne ovat eriytyneet huomattavasti. Migraatio on hallittavissa, mutta tuontipainiketta ei ole.
Yhdellä silmäyksellä
- Lähde
- pfSense
- Kohde
- OPNsense Business Edition
- Vaihto
- yleensä 1–2 tuntia
- Paluureitti
- hyväksyntään asti
Lähtötilanne
Miksi ylläpitäjät vaihtavat
pfSense jakautuu maksuttomaan Community Editioniin ja kaupalliseen pfSense Plussaan. Monet ylläpitäjät pohtivat CE:n tulevaisuutta. OPNsense tarjoaa kiinteän julkaisusyklin, yhtenäisen API:n ja eurooppalaisen valmistajan.
Tyypilliset syyt
- CE:n ja Plussan jaon aiheuttama epävarmuus
- kiinteä julkaisusykli tammi- ja heinäkuussa
- yhtenäinen REST API automaatioon
- eurooppalainen valmistaja ja avoin kehitysprosessi
Ominaisuudet
Mitä pfSense-ominaisuuksistanne tulee
| pfSense | OPNsense | Huomautus |
|---|---|---|
| Liitännät, VLANit | Liitännät, VLANit | siirrettävissä suoraan |
| Aliakset | Aliakset | myös URL-taulukot |
| Palomuurisäännöt | Palomuurisäännöt | sama moottori (pf), siirretään huolellisesti |
| NAT | NAT | täysi tuki |
| IPsec, OpenVPN | IPsec, OpenVPN | myös varmenteet ja CA |
| WireGuard-paketti | WireGuard (sisäänrakennettu) | vastapäät siirretään |
| pfBlockerNG | Unboundin estolistat, URL-aliakset, CrowdSec | tarkistetaan tapauskohtaisesti |
| HAProxy, ACME | HAProxy- ja ACME-lisäosat | saatavilla |
| Squid, SquidGuard | Välityspalvelinlisäosa tai Zenarmor | käytännöt rakennetaan uudelleen |
| CARP, HA | CARP, HA | sama konsepti |
Toimintatapa
Miten migroimme
Prosessi
- config.xml-tiedoston ja pakettiluettelon varmuuskopiointi
- Jokaiselle paketille OPNsense-vastineen määrittäminen
- Liitäntöjen, aliasten, sääntöjen, NATin ja VPN-yhteyksien siirto
- Testaus laboratoriossa tai rinnakkain
- Vaihto huoltoikkunassa, pfSense paluureittinä
- Jälkituki ja dokumentaatio
Mihin kannattaa kiinnittää huomiota
- Ei suoraa tuontia: konfiguraatiotiedostot näyttävät samankaltaisilta, mutta ne eivät ole yhteensopivia.
- Paketit: kaikkia pfSense-paketteja ei ole saatavilla OPNsense-lisäosina samassa muodossa.
- Sama moottori: molemmat käyttävät pf:ää, joten sääntölogiikka on tuttu. Se pienentää riskiä huomattavasti.
Yleinen viisivaiheinen prosessi on kuvattu sivulla Siirtyminen OPNsenseen.
FAQ
Kysymyksiä siirtymisestä pfSense-palomuurista
Onko migraatio pfSensestä helpompi kuin muilta valmistajilta?
Kyllä, koska molemmat perustuvat pf:ään ja käyttävät samankaltaisia konsepteja. Siirrämme silti jäsennellysti emmekä tuonnin avulla.
Mitä pfBlockerNG:lle tapahtuu?
OPNsense tarjoaa DNS-estolistat Unboundissa, URL-taulukot aliaksina ja CrowdSec-lisäosan. Yhdessä ne kattavat tyypilliset käyttötapaukset.
Voimmeko jatkaa pfSense-laitteiston käyttöä?
x86-laitteistolla yleensä kyllä, kunhan takuu on voimassa ja suorituskyky riittää. Tarkistamme tämän etukäteen.
Yhteydenotto
Lähettäkää meille konfiguraationne vienti
Kerromme, mitä voidaan siirtää suoraan, mitä ei, ja mitä migraatio maksaa.