De Sophos à OPNsense
La Sophos SG UTM a atteint sa fin de vie le 30 juin 2026. Depuis, il n’y a plus de mises à jour de sécurité. Qui exploite encore une UTM exploite un système périmétrique non corrigé. Un changement s’impose de toute façon. Reste à savoir vers quoi.
En bref
- Source
- Sophos
- Cible
- OPNsense Business Edition
- Bascule
- en général 1 à 2 heures
- Retour arrière
- jusqu’à la réception
Situation de départ
Pourquoi les exploitants changent
Sophos propose de passer à Sophos Firewall (SFOS), généralement avec du nouveau matériel XGS. Ce n’est pas une mise à jour mais une migration complète vers une autre plateforme, avec une autre interface, une autre logique de règles et de nouvelles offres de licences. Si l’effort est de toute façon nécessaire, la comparaison avec OPNsense en vaut la peine.
Raisons fréquentes
- plus de mises à jour de sécurité pour la SG UTM
- XGS signifie nouveau matériel, nouvelle interface et nouvelles offres de licences
- abonnements récurrents pour des fonctions qu’OPNsense fournit sans supplément
- préférence pour le code ouvert et un éditeur européen
Fonctions
Ce que deviennent vos fonctions Sophos
| Sophos | OPNsense | Remarque |
|---|---|---|
| Network definitions | Alias | hôtes, réseaux, groupes et FQDN se reprennent proprement |
| Règles de pare-feu | Règles d’interface, règles flottantes | la logique est traduite, pas copiée |
| NAT, DNAT, SNAT | Port forward, NAT sortant, NAT 1:1 | entièrement pris en charge |
| Intrusion Prevention | Suricata IPS | ET Open, jeux de règles commerciaux en option |
| Web Protection | Proxy ou Zenarmor | les politiques sont reconstruites |
| Application Control | Zenarmor | détection de couche 7 |
| VPN site à site | IPsec (IKEv2) | les pairs sont coordonnés à l’avance |
| SSL VPN, accès distant | WireGuard ou OpenVPN avec 2FA | nouveaux clients avec profils prêts à l’emploi |
| Équipements RED | petit OPNsense avec IPsec ou WireGuard | pas d’équivalent direct |
| Web Application Firewall | HAProxy ou nginx en reverse proxy | périmètre fonctionnel à vérifier au cas par cas |
| Email Protection | – | passerelle de messagerie séparée recommandée |
| HA (actif-passif) | Cluster CARP avec synchronisation des états | maintenance sans interruption |
Démarche
Comment nous migrons
Déroulement
- Export de la configuration UTM, analyse des compteurs de correspondances
- Nettoyage des règles et objets inutilisés
- Traduction des objets, règles, NAT et VPN
- Reconstruction du filtrage web et applicatif
- Coordination avec les pairs VPN, tests en laboratoire
- Bascule dans une fenêtre de maintenance, l’UTM reste disponible pour un retour arrière
- Accompagnement post-migration et remise de la documentation
Points d’attention
- Email Protection : si l’UTM filtre aussi la messagerie, nous prévoyons une solution séparée.
- Agences RED : chaque RED est remplacé par un petit pare-feu. En général plus stable, mais cela nécessite du matériel sur site.
- Clients SSL VPN : les collaborateurs reçoivent un nouveau client avec un profil prêt à l’emploi.
- Synchronized Security : l’intégration aux postes de travail disparaît. La segmentation et l’intégration au SIEM comblent cette lacune.
Le déroulement général en cinq étapes est décrit sous Migrer vers OPNsense.
FAQ
Questions sur la migration depuis Sophos
Ne puis-je pas simplement continuer à utiliser l’UTM ?
Techniquement oui, de manière responsable non. Un pare-feu périmétrique sans mises à jour de sécurité est une porte ouverte. Au regard de NIS2, de KRITIS (réglementation allemande sur les infrastructures critiques) ou des exigences des assureurs, c’est difficilement justifiable.
Peut-on réutiliser le matériel Sophos ?
Certains anciens matériels SG reposent sur une architecture x86 et peuvent en principe faire fonctionner OPNsense. En production, nous le déconseillons, car la garantie et le support du fabricant ne sont plus assurés.
Combien de temps prend le changement ?
Pour un site unique, en général quelques jours de préparation et une fenêtre de maintenance d’une à deux heures. Nous migrons les sites multiples par étapes.
Contact
Envoyez-nous votre export de configuration
Nous vous indiquerons ce qui peut être repris directement, ce qui ne peut pas l’être et ce que coûtera la migration.