Átállás OPNsense-re
Egy tűzfalmigráció ritkán az új tűzfalon bukik el. Az elfelejtett szabályokon, a régi VPN-partnereken, a dokumentálatlan kivételeken és azon az egy nyomtatón bukik el, amelynek évek óta porttovábbításra van szüksége. Ezért a meglévő környezetből indulunk ki.
Folyamat
Öt lépés, egy forgatókönyv
-
10 Felmérésközös megtisztított célszabálykészlet
Konfigurációs export, egyeztetés az informatikai csapatával, a szabályok, a NAT, a VPN-ek, a tanúsítványok és a különleges esetek elemzése. A találati számlálók megmutatják, mely szabályokat használják ténylegesen.
-
20 Átültetésaepfel+birnen kész célkonfiguráció
Átalakítás OPNsense-logikára: aliasok, interfészszabályok, NAT, VPN-alagutak, felhasználói integráció. A gyártóspecifikus funkciókat beépített eszközökkel vagy pluginokkal képezzük le.
-
30 Tesztelésközös jóváhagyott tesztjegyzőkönyvek
Felépítés laborban vagy párhuzamosan egy tesztszegmensben. A kritikus alkalmazásokat, a VPN-alagutakat és a különleges eseteket közös ellenőrzőlista alapján vizsgáljuk.
-
40 Átállásaepfel+birnen OPNsense éles üzemben
Átállás karbantartási ablakban, forgatókönyv szerint. A régi tűzfal bekötve és üzemkészen marad, a visszaállás perceket vesz igénybe.
-
50 Utánkövetésaepfel+birnen teljes dokumentáció
Naplóelemzés a blokkolt legitim kapcsolatok felderítésére, a szabálykészlet finomhangolása, a dokumentáció átadása.
Gyártók szerint
Migráció forrásrendszer szerint
Minden gyártónak megvannak a sajátosságai. Minden forrásrendszernek saját oldala van funkcióleképezéssel.
Felmérés
Mit veszünk fel, és hol akadnak el a dolgok
Amit felveszünk
- interfészek, VLAN-ok, zónák és IP-terv
- tűzfalszabályok találati számlálókkal
- NAT és közzétett szolgáltatások
- telephelyek közötti VPN-ek a partnereikkel
- távoli hozzáférésű VPN, felhasználók, 2FA
- DHCP, DNS, NTP, tanúsítványok
- web- és alkalmazásszűrők
- különleges esetek: VoIP, multicast, IPv6, orvostechnikai eszközök
Tipikus buktatók
- Zónalogika: sok gyártó zónapárokban gondolkodik, az OPNsense viszont interfészenként, a bejövő irányban értékeli a szabályokat. Mi átültetjük a logikát.
- MTU és MSS IPsec esetén: az MSS clampinget kezdettől beállítjuk.
- VPN-partnerek: a paramétereket és az időzítést előre egyeztetjük.
- VoIP és SIP: az ALG-viselkedés eltér, ezért a telefóniát célzottan teszteljük.
- Rejtett függőségek: a találati számlálók és a naplók megmutatják, mi van ténylegesen használatban.
Ráfordítás
Mennyi ideig tart
| Környezet | Előkészítés | Átállás |
|---|---|---|
| egy telephely, áttekinthető szabálykészlet | néhány nap | 1–2 óra |
| több telephely, VPN-háló | 1–3 hét | telephelyenként ütemezve |
| HA-klaszter, adatközpont, kórház | több hét | forgatókönyv szerint, gyakran érezhető megszakítás nélkül |
Eredmény
Ami a végén az Öné
A dokumentáció úgy épül fel, hogy egy másik szolgáltató is át tudja venni. Minőséggel szeretnénk megtartani Önt, nem olyan tudással, amely csak nálunk van meg.
Átadás
- működő OPNsense megtisztított szabálykészlettel
- hálózati diagram és a szabálykészlet dokumentációja
- tesztjegyzőkönyvek és átvétel
- hozzáférési adatok és vészhelyzeti eljárás
- konfigurációs mentés a tűzfalon kívül
FAQ
Gyakori kérdések
Egyszerűen importálhatjuk a régi konfigurációt?
Nem, és ez így van jól. Még a pfSense és az OPNsense között sincs megbízható közvetlen import. A strukturált átültetés lehetőséget ad arra, hogy megszabaduljon a felhalmozott örökségtől.
Mi történik, ha a váltás után valami nem működik?
A régi tűzfal az átvételig bekötve és üzemkészen marad. Kétség esetén perceken belül visszakapcsolunk, elemezzük a hibát, és újra próbálkozunk.
Kell valamit tenniük a munkatársainknak?
Ha a VPN-technológia megváltozik, új klienst telepítenek. Előre konfigurált profilokat és rövid útmutatót biztosítunk.
Kapcsolat
Mekkora munka lesz az Ön migrációja?
Küldjön nekünk egy konfigurációs exportot, és megbízható becslést adunk a ráfordításról.