Migracija na OPNsense
Migracija vatrozida rijetko ne uspije zbog novog vatrozida. Ne uspije zbog zaboravljenih pravila, starih VPN partnera, nedokumentiranih iznimaka i onog jednog pisača kojem već godinama treba prosljeđivanje porta. Zato počinjemo s onim što već imate.
Postupak
Pet koraka, jedan runbook
-
10 Inventurazajednički pročišćeni ciljni skup pravila
Izvoz konfiguracije, razgovor s Vašim IT timom, analiza pravila, NAT-a, VPN-ova, certifikata i posebnih slučajeva. Brojači pogodaka pokazuju koja se pravila stvarno koriste.
-
20 Prijevodaepfel+birnen gotova ciljna konfiguracija
Pretvorba u logiku OPNsensea: aliasi, pravila sučelja, NAT, VPN tuneli, integracija korisnika. Funkcije specifične za proizvođača preslikavamo ugrađenim alatima ili dodacima.
-
30 Testiranjezajednički odobreni zapisnici testiranja
Postavljanje u laboratoriju ili paralelno u testnom segmentu. Kritične aplikacije, VPN tunele i posebne slučajeve provjeravamo prema zajedničkom kontrolnom popisu.
-
40 Prebacivanjeaepfel+birnen OPNsense u produkciji
Prebacivanje u terminu održavanja prema runbooku. Stari vatrozid ostaje spojen i spreman, a povratak traje nekoliko minuta.
-
50 Naknadna podrškaaepfel+birnen potpuna dokumentacija
Analiza zapisa radi pronalaženja blokiranih legitimnih veza, fino podešavanje skupa pravila, predaja dokumentacije.
Po proizvođaču
Migracija prema izvornom sustavu
Svaki proizvođač ima svoje posebnosti. Za svaki izvorni sustav postoji zasebna stranica s usporedbom funkcija.
Inventura
Što bilježimo i gdje zapinje
Što bilježimo
- sučelja, VLAN-ove, zone i IP plan
- pravila vatrozida s brojačima pogodaka
- NAT i objavljene usluge
- VPN-ove između lokacija s njihovim partnerima
- VPN za udaljeni pristup, korisnike, 2FA
- DHCP, DNS, NTP, certifikate
- web i aplikacijske filtre
- posebne slučajeve: VoIP, multicast, IPv6, medicinske uređaje
Tipične zamke
- Logika zona: mnogi proizvođači razmišljaju u parovima zona, dok OPNsense pravila procjenjuje dolazno po sučelju. Mi prevodimo logiku.
- MTU i MSS kod IPseca: MSS clamping postavljamo od samog početka.
- VPN partneri: parametre i vremenski raspored dogovaramo unaprijed.
- VoIP i SIP: ponašanje ALG-a se razlikuje, pa telefoniju testiramo ciljano.
- Skrivene ovisnosti: brojači pogodaka i zapisi pokazuju što se stvarno koristi.
Opseg rada
Koliko to traje
| Okruženje | Priprema | Prebacivanje |
|---|---|---|
| jedna lokacija, pregledan skup pravila | nekoliko dana | 1–2 sata |
| više lokacija, VPN mreža | 1–3 tjedna | postupno po lokaciji |
| HA klaster, podatkovni centar, bolnica | nekoliko tjedana | prema runbooku, često bez primjetnog prekida |
Rezultat
Što imate na kraju
Dokumentacija je strukturirana tako da je može preuzeti i drugi pružatelj usluga. Želimo Vas zadržati kvalitetom, a ne znanjem koje imamo samo mi.
Primopredaja
- OPNsense koji radi, s pročišćenim skupom pravila
- mrežni dijagram i dokumentaciju skupa pravila
- zapisnike testiranja i odobrenje
- pristupne podatke i postupak za hitne slučajeve
- sigurnosnu kopiju konfiguracije izvan vatrozida
FAQ
Česta pitanja
Možemo li jednostavno uvesti staru konfiguraciju?
Ne, i to je dobro. Čak ni između pfSensea i OPNsensea ne postoji pouzdan izravan uvoz. Strukturirani prijevod prilika je da se riješite naslijeđenog nereda.
Što ako nešto ne radi nakon prebacivanja?
Stari vatrozid ostaje spojen i spreman do odobrenja. U slučaju dvojbe vraćamo se na njega u nekoliko minuta, analiziramo problem i pokušavamo ponovno.
Moraju li naši zaposlenici nešto učiniti?
Ako se promijeni VPN tehnologija, instaliraju novi klijent. Pripremamo unaprijed konfigurirane profile i kratke upute.
Kontakt
Koliko će posla zahtijevati Vaša migracija?
Pošaljite nam izvoz konfiguracije i dat ćemo Vam pouzdanu procjenu opsega rada.