Prelazak s rješenja Sophos na OPNsense
Sophos SG UTM došao je do kraja životnog vijeka 30. lipnja 2026. Otada nema sigurnosnih ažuriranja. Tko još uvijek koristi UTM, koristi perimetarski sustav bez zakrpa. Prelazak je ionako neizbježan. Otvoreno je samo pitanje odredišta.
Ukratko
- Izvor
- Sophos
- Cilj
- OPNsense Business Edition
- Prebacivanje
- obično 1–2 sata
- Povratak
- do Vašeg odobrenja
Polazna točka
Zašto korisnici prelaze
Sophos nudi prelazak na Sophos Firewall (SFOS), obično uz novi XGS hardver. To nije ažuriranje, nego potpuna migracija na drugu platformu s drugim sučeljem, drugom logikom pravila i novim paketima licenci. Ako je taj trud ionako neizbježan, isplati se usporediti s OPNsenseom.
Tipični razlozi
- nema više sigurnosnih ažuriranja za SG UTM
- XGS znači novi hardver, novo sučelje i nove pakete licenci
- stalne pretplate za funkcije koje OPNsense pruža bez doplate
- prednost otvorenom kodu i europskom proizvođaču
Funkcije
Što postaje s funkcijama rješenja Sophos
| Sophos | OPNsense | Napomena |
|---|---|---|
| Definicije mreža | Aliasi | hostovi, mreže, grupe i FQDN-ovi prenose se bez problema |
| Pravila vatrozida | Pravila sučelja, plutajuća pravila | logika se prevodi, a ne kopira |
| NAT, DNAT, SNAT | Prosljeđivanje portova, izlazni NAT, 1:1 NAT | u potpunosti podržano |
| Intrusion Prevention | Suricata IPS | ET Open, opcionalno komercijalni skupovi pravila |
| Web Protection | Proxy ili Zenarmor | pravila se izrađuju iznova |
| Application Control | Zenarmor | prepoznavanje na sloju 7 |
| VPN između lokacija | IPsec (IKEv2) | partneri se usklađuju unaprijed |
| SSL VPN, udaljeni pristup | WireGuard ili OpenVPN s 2FA | novi klijenti s gotovim profilima |
| RED uređaji | mali OPNsense s IPsecom ili WireGuardom | nema izravnog ekvivalenta |
| Web Application Firewall | HAProxy ili nginx kao obrnuti proxy | opseg funkcija provjerava se za svaki slučaj |
| Email Protection | – | preporučuje se zaseban pristupnik za e-poštu |
| HA (aktivno-pasivno) | CARP klaster sa sinkronizacijom stanja | održavanje bez prekida |
Pristup
Kako provodimo migraciju
Postupak
- Izvoz konfiguracije UTM-a, analiza brojača pogodaka
- Uklanjanje nekorištenih pravila i objekata
- Prijevod objekata, pravila, NAT-a i VPN-ova
- Ponovna izrada web i aplikacijskog filtriranja
- Usklađivanje s VPN partnerima, testiranje u laboratoriju
- Prebacivanje u terminu održavanja, UTM ostaje kao mogućnost povratka
- Naknadna podrška i predaja dokumentacije
Na što treba paziti
- Email Protection: ako UTM filtrira i e-poštu, za to planiramo zasebno rješenje.
- RED podružnice: svaki RED zamjenjuje se malim vatrozidom. Obično je to stabilnije, ali zahtijeva hardver na lokaciji.
- SSL VPN klijenti: zaposlenici dobivaju novi klijent s gotovim profilom.
- Synchronized Security: integracija s krajnjim točkama otpada. Segmentacija i povezivanje sa SIEM-om zatvaraju tu prazninu.
Opći postupak u pet koraka opisan je na stranici Migracija na OPNsense.
FAQ
Pitanja o migraciji s rješenja Sophos
Mogu li UTM jednostavno ostaviti da radi?
Tehnički da, odgovorno ne. Perimetarski vatrozid bez sigurnosnih ažuriranja otvorena su vrata. Uz NIS2, KRITIS (njemački propisi o kritičnoj infrastrukturi) ili zahtjeve osiguravatelja to je teško opravdati.
Možemo li ponovno upotrijebiti Sophos hardver?
Dio starijeg SG hardvera temelji se na x86 arhitekturi i načelno može pokretati OPNsense. Za produkciju to ne preporučujemo jer jamstvo i podrška proizvođača više nisu dostupni.
Koliko traje prelazak?
Za jednu lokaciju obično nekoliko dana pripreme i termin održavanja od jednog do dva sata. Više lokacija migriramo postupno.
Kontakt
Pošaljite nam izvoz konfiguracije
Reći ćemo Vam što se može izravno prenijeti, što ne može i koliko će migracija koštati.