Siirtyminen Sophos-palomuurista OPNsenseen
Sophos SG UTM:n elinkaari päättyi 30. kesäkuuta 2026. Sen jälkeen tietoturvapäivityksiä ei ole julkaistu. UTM:ää edelleen käyttävä organisaatio ylläpitää päivittämätöntä rajajärjestelmää. Vaihto on joka tapauksessa edessä. Avoinna on vain kohde.
Yhdellä silmäyksellä
- Lähde
- Sophos
- Kohde
- OPNsense Business Edition
- Vaihto
- yleensä 1–2 tuntia
- Paluureitti
- hyväksyntään asti
Lähtötilanne
Miksi ylläpitäjät vaihtavat
Sophos tarjoaa siirtymistä Sophos Firewalliin (SFOS), yleensä uudella XGS-laitteistolla. Kyse ei ole päivityksestä vaan täydestä migraatiosta toiselle alustalle, jossa on eri käyttöliittymä, eri sääntölogiikka ja uudet lisenssipaketit. Jos työ on joka tapauksessa edessä, vertailu OPNsenseen kannattaa.
Tyypilliset syyt
- SG UTM ei enää saa tietoturvapäivityksiä
- XGS tarkoittaa uutta laitteistoa, uutta käyttöliittymää ja uusia lisenssipaketteja
- jatkuvat tilaukset ominaisuuksista, jotka OPNsense tarjoaa ilman lisämaksua
- avoimen koodin ja eurooppalaisen valmistajan suosiminen
Ominaisuudet
Mitä Sophos-ominaisuuksistanne tulee
| Sophos | OPNsense | Huomautus |
|---|---|---|
| Verkkomääritykset | Aliakset | isännät, verkot, ryhmät ja FQDN:t siirtyvät sellaisinaan |
| Palomuurisäännöt | Liitäntäsäännöt, floating-säännöt | logiikka käännetään, ei kopioida |
| NAT, DNAT, SNAT | Porttiohjaus, lähtevä NAT, 1:1 NAT | täysi tuki |
| Intrusion Prevention | Suricata IPS | ET Open, valinnaisesti kaupalliset sääntöjoukot |
| Web Protection | Välityspalvelin tai Zenarmor | käytännöt rakennetaan uudelleen |
| Application Control | Zenarmor | Layer 7 -tunnistus |
| Site-to-site VPN | IPsec (IKEv2) | vastapäät koordinoidaan etukäteen |
| SSL VPN, etäkäyttö | WireGuard tai OpenVPN ja 2FA | uudet asiakasohjelmat valmiilla profiileilla |
| RED-laitteet | pieni OPNsense IPsecillä tai WireGuardilla | ei suoraa vastinetta |
| Web Application Firewall | HAProxy tai nginx käänteisenä välityspalvelimena | toimintojen laajuus tarkistetaan tapauskohtaisesti |
| Email Protection | – | erillistä sähköpostiyhdyskäytävää suositellaan |
| HA (aktiivinen-passiivinen) | CARP-klusteri tilasynkronoinnilla | huollot ilman katkoa |
Toimintatapa
Miten migroimme
Prosessi
- UTM-konfiguraation vienti, osumalaskurien analyysi
- Käyttämättömien sääntöjen ja objektien siivous
- Objektien, sääntöjen, NATin ja VPN-yhteyksien kääntäminen
- Verkko- ja sovellussuodatuksen uudelleenrakentaminen
- Koordinointi VPN-vastapäiden kanssa, testaus laboratoriossa
- Vaihto huoltoikkunassa, UTM jää paluureitiksi
- Jälkituki ja dokumentaation luovutus
Mihin kannattaa kiinnittää huomiota
- Email Protection: jos UTM suodattaa myös sähköpostia, suunnittelemme sille erillisen ratkaisun.
- RED-sivutoimipisteet: jokainen RED korvataan pienellä palomuurilla. Yleensä vakaampi ratkaisu, mutta se edellyttää laitteistoa paikan päällä.
- SSL VPN -asiakasohjelmat: henkilöstö saa uuden asiakasohjelman valmiilla profiililla.
- Synchronized Security: päätelaiteintegraatio poistuu. Segmentointi ja SIEM-liitäntä paikkaavat tämän aukon.
Yleinen viisivaiheinen prosessi on kuvattu sivulla Siirtyminen OPNsenseen.
FAQ
Kysymyksiä siirtymisestä Sophos-palomuurista
Emmekö voi vain jatkaa UTM:n käyttöä?
Teknisesti kyllä, vastuullisesti ei. Rajapalomuuri ilman tietoturvapäivityksiä on avoin ovi. NIS2:n, KRITIS-sääntelyn (Saksan kriittisen infrastruktuurin sääntely) tai vakuutusehtojen näkökulmasta sitä on vaikea perustella.
Voimmeko käyttää Sophos-laitteistoa uudelleen?
Osa vanhemmasta SG-laitteistosta on x86-pohjaista, ja siinä voi periaatteessa ajaa OPNsensea. Tuotantokäyttöön emme sitä suosittele, koska takuu ja valmistajan tuki eivät ole enää saatavilla.
Kuinka kauan vaihto kestää?
Yhden toimipisteen osalta yleensä muutaman päivän valmistelu ja yhden tai kahden tunnin huoltoikkuna. Useat toimipisteet migroimme vaiheittain.
Yhteydenotto
Lähettäkää meille konfiguraationne vienti
Kerromme, mitä voidaan siirtää suoraan, mitä ei, ja mitä migraatio maksaa.