Prelazak s rješenja Fortinet FortiGate na OPNsense
FortiGate uređaji su snažni, ali vezani uz sigurnosne pakete i ugovore o podršci. Uz to, u SSL VPN-u su se opetovano pojavljivale iskorištavane ranjivosti koje je američka agencija CISA uvrstila u svoj katalog poznatih iskorištavanih ranjivosti. Zato mnogi korisnici postavljaju temeljno pitanje.
Ukratko
- Izvor
- Fortinet FortiGate
- Cilj
- OPNsense Business Edition
- Prebacivanje
- obično 1–2 sata
- Povratak
- do Vašeg odobrenja
Polazna točka
Zašto korisnici prelaze
Kod FortiGate uređaja IPS, web filtriranje i kontrola aplikacija ovise o paketima koji se obnavljaju svake godine. Generacija hardvera i trajanje licence usko su povezani. Ako Vas obnova ionako čeka, isplati se napraviti usporedbu.
Tipični razlozi
- godišnji troškovi paketa za funkcije koje OPNsense pruža bez doplate
- povezanost životnog ciklusa hardvera i licence
- opetovane hitne zakrpe za SSL VPN
- prednost otvorenom kodu i europskom proizvođaču
Funkcije
Što postaje s funkcijama rješenja Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Napomena |
|---|---|---|
| Adresni objekti, grupe | Aliasi | uključujući FQDN objekte |
| Policies (parovi sučelja) | Pravila sučelja, plutajuća pravila | logika se prevodi |
| VIP-ovi (DNAT) | Prosljeđivanje portova, 1:1 NAT | u potpunosti podržano |
| IPS | Suricata IPS | ET Open, opcionalno komercijalno |
| Web Filter, App Control | Zenarmor ili kategorije proxyja | pravila se izrađuju iznova |
| SSL VPN, FortiClient | WireGuard ili OpenVPN s 2FA | novi klijenti s profilima |
| IPsec između lokacija | IPsec (IKEv2) | parametre uskladiti s partnerima |
| SD-WAN | Grupe pristupnika, multi-WAN, usmjeravanje temeljeno na pravilima | failover i raspodjela opterećenja |
| HA (FGCP) | CARP klaster sa sinkronizacijom stanja | održavanje bez prekida |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog prema SIEM-u | drukčiji koncept, isti cilj |
| Security Fabric | – | nema izravnog ekvivalenta |
Pristup
Kako provodimo migraciju
Postupak
- Izvoz konfiguracije FortiOS-a, analiza pogodaka pravila
- Uklanjanje nekorištenih pravila i objekata
- Prijevod objekata, pravila, VIP-ova i VPN-ova
- Ponovna izrada web i aplikacijskog filtriranja
- Dimenzioniranje prema stvarnoj propusnosti
- Prebacivanje u terminu održavanja, FortiGate kao mogućnost povratka
- Naknadna podrška i dokumentacija
Na što treba paziti
- Hardversko ubrzanje: FortiGate uređaji koriste ASIC-e. Dimenzioniramo prema Vašoj propusnosti s uključenim IPS-om, a ne prema podatkovnom listu.
- Logika zona: pravila vrijede između parova sučelja, dok OPNsense procjenjuje dolazno po sučelju.
- FortiToken: 2FA se prebacuje na TOTP s aplikacijom za autentifikaciju.
Opći postupak u pet koraka opisan je na stranici Migracija na OPNsense.
FAQ
Pitanja o migraciji s rješenja Fortinet FortiGate
Možemo li uvesti konfiguraciju FortiGatea?
Ne. Prevodimo strukturirano i usput uklanjamo naslijeđeni nered.
Je li propusnost OPNsensea dovoljna?
Uz primjereno dimenzioniran hardver, da. Važna je propusnost s uključenim IPS-om, a nju planiramo realno.
Što se događa s FortiTokenom?
Prelazimo na TOTP. To radi s uobičajenim aplikacijama za autentifikaciju.
Kontakt
Pošaljite nam izvoz konfiguracije
Reći ćemo Vam što se može izravno prenijeti, što ne može i koliko će migracija koštati.