Migrer vers OPNsense
Une migration de pare-feu échoue rarement à cause du nouveau pare-feu. Elle échoue à cause de règles oubliées, d’anciens pairs VPN, d’exceptions non documentées et de cette imprimante qui a besoin d’une redirection de port depuis des années. C’est pourquoi nous partons de l’existant.
Déroulement
Cinq étapes, un runbook
-
10 Inventaireen commun jeu de règles cible assaini
Export de la configuration, échange avec votre équipe informatique, analyse des règles, NAT, VPN, certificats et cas particuliers. Les compteurs de correspondances montrent quelles règles sont réellement utilisées.
-
20 Traductionaepfel+birnen configuration cible finalisée
Transposition dans la logique OPNsense : alias, règles d’interface, NAT, tunnels VPN, intégration des utilisateurs. Nous reproduisons les fonctions propres à l’éditeur avec les outils intégrés ou des plugins.
-
30 Testsen commun procès-verbaux de test validés
Mise en place en laboratoire ou en parallèle dans un segment de test. Nous vérifions les applications critiques, les tunnels VPN et les cas particuliers à l’aide d’une liste de contrôle commune.
-
40 Basculeaepfel+birnen OPNsense en production
Bascule dans une fenêtre de maintenance selon un runbook. L’ancien pare-feu reste câblé et prêt, et revenir en arrière prend quelques minutes.
-
50 Suiviaepfel+birnen documentation complète
Analyse des journaux à la recherche de connexions légitimes bloquées, ajustement fin du jeu de règles, remise de la documentation.
Par éditeur
Migration par système source
Chaque éditeur a ses particularités. Chaque système source dispose de sa propre page avec une correspondance des fonctions.
Inventaire
Ce que nous recensons, et où cela coince
Ce que nous recensons
- interfaces, VLAN, zones et plan d’adressage IP
- règles de pare-feu avec compteurs de correspondances
- NAT et services publiés
- VPN site à site avec leurs pairs
- VPN d’accès distant, utilisateurs, 2FA
- DHCP, DNS, NTP, certificats
- filtres web et applicatifs
- cas particuliers : VoIP, multicast, IPv6, dispositifs médicaux
Pièges fréquents
- Logique de zones : de nombreux éditeurs raisonnent par paires de zones, alors qu’OPNsense évalue les règles en entrée par interface. Nous traduisons la logique.
- MTU et MSS avec IPsec : nous configurons le MSS clamping dès le départ.
- Pairs VPN : nous convenons à l’avance des paramètres et du calendrier.
- VoIP et SIP : le comportement ALG diffère, nous testons donc spécifiquement la téléphonie.
- Dépendances cachées : les compteurs de correspondances et les journaux montrent ce qui est réellement utilisé.
Charge
Combien de temps cela prend
| Environnement | Préparation | Bascule |
|---|---|---|
| site unique, jeu de règles limité | quelques jours | 1 à 2 heures |
| plusieurs sites, maillage VPN | 1 à 3 semaines | échelonnée par site |
| cluster HA, centre de données, hôpital | plusieurs semaines | selon le runbook, souvent sans interruption perceptible |
Résultat
Ce que vous avez à la fin
La documentation est structurée de sorte qu’un autre prestataire puisse prendre le relais. Nous voulons vous garder par la qualité, et non par un savoir que nous serions seuls à détenir.
Remise
- OPNsense opérationnel avec un jeu de règles assaini
- schéma réseau et documentation du jeu de règles
- procès-verbaux de test et réception
- identifiants et procédure d’urgence
- sauvegarde de la configuration hors du pare-feu
FAQ
Questions fréquentes
Peut-on simplement importer l’ancienne configuration ?
Non, et c’est une bonne chose. Même entre pfSense et OPNsense, il n’existe pas d’import direct fiable. La traduction structurée est l’occasion de se débarrasser de l’héritage encombrant.
Que se passe-t-il si quelque chose ne fonctionne pas après la bascule ?
L’ancien pare-feu reste câblé et prêt jusqu’à la réception. En cas de doute, nous revenons en arrière en quelques minutes, analysons le problème et recommençons.
Nos collaborateurs doivent-ils intervenir ?
Si la technologie VPN change, ils installent un nouveau client. Nous fournissons des profils préconfigurés et un guide succinct.
Contact
Quelle charge représente votre migration ?
Envoyez-nous un export de configuration et nous vous donnerons une estimation fiable de la charge.