De Fortinet FortiGate à OPNsense
Les FortiGate sont performants, mais liés à des offres de sécurité et à des contrats de support. S’y ajoutent des vulnérabilités du SSL VPN exploitées à plusieurs reprises, recensées par l’agence américaine CISA dans son catalogue des vulnérabilités exploitées connues. Beaucoup d’exploitants se posent donc la question de fond.
En bref
- Source
- Fortinet FortiGate
- Cible
- OPNsense Business Edition
- Bascule
- en général 1 à 2 heures
- Retour arrière
- jusqu’à la réception
Situation de départ
Pourquoi les exploitants changent
Avec les FortiGate, l’IPS, le filtrage web et le contrôle applicatif dépendent d’offres renouvelées chaque année. Génération matérielle et durée de licence sont étroitement liées. Si un renouvellement approche de toute façon, la comparaison en vaut la peine.
Raisons fréquentes
- coûts annuels des offres pour des fonctions qu’OPNsense fournit sans supplément
- couplage entre cycle de vie du matériel et licence
- correctifs d’urgence récurrents pour le SSL VPN
- préférence pour le code ouvert et un éditeur européen
Fonctions
Ce que deviennent vos fonctions Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Remarque |
|---|---|---|
| Objets d’adresse, groupes | Alias | y compris les objets FQDN |
| Politiques (paires d’interfaces) | Règles d’interface, règles flottantes | la logique est traduite |
| VIP (DNAT) | Port forward, NAT 1:1 | entièrement pris en charge |
| IPS | Suricata IPS | ET Open, commercial en option |
| Web Filter, App Control | Zenarmor ou catégories du proxy | les politiques sont reconstruites |
| SSL VPN, FortiClient | WireGuard ou OpenVPN avec 2FA | nouveaux clients avec profils |
| IPsec site à site | IPsec (IKEv2) | convenir des paramètres avec les pairs |
| SD-WAN | Groupes de passerelles, multi-WAN, routage par politique | basculement et répartition de charge |
| HA (FGCP) | Cluster CARP avec synchronisation des états | maintenance sans interruption |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog vers le SIEM | autre concept, même objectif |
| Security Fabric | – | pas d’équivalent direct |
Démarche
Comment nous migrons
Déroulement
- Export de la configuration FortiOS, analyse des correspondances de politiques
- Nettoyage des politiques et objets inutilisés
- Traduction des objets, politiques, VIP et VPN
- Reconstruction du filtrage web et applicatif
- Dimensionnement selon le débit réel
- Bascule dans une fenêtre de maintenance, FortiGate disponible pour un retour arrière
- Accompagnement post-migration et documentation
Points d’attention
- Accélération matérielle : les FortiGate utilisent des ASIC. Nous dimensionnons selon votre débit avec IPS activé, et non selon la fiche technique.
- Logique de zones : les politiques s’appliquent entre paires d’interfaces, alors qu’OPNsense évalue en entrée par interface.
- FortiToken : la 2FA passe en TOTP avec une application d’authentification.
Le déroulement général en cinq étapes est décrit sous Migrer vers OPNsense.
FAQ
Questions sur la migration depuis Fortinet FortiGate
Peut-on importer la configuration FortiGate ?
Non. Nous traduisons de manière structurée et éliminons au passage l’héritage encombrant.
Le débit d’OPNsense est-il suffisant ?
Avec un matériel correctement dimensionné, oui. Ce qui compte, c’est le débit avec IPS activé, et nous le planifions de manière réaliste.
Que devient FortiToken ?
Nous passons au TOTP. Cela fonctionne avec les applications d’authentification courantes.
Contact
Envoyez-nous votre export de configuration
Nous vous indiquerons ce qui peut être repris directement, ce qui ne peut pas l’être et ce que coûtera la migration.