Átállás Fortinet FortiGate rendszerről OPNsense-re
A FortiGate-ek nagy teljesítményűek, de biztonsági csomagokhoz és támogatási szerződésekhez kötöttek. Emellett az SSL VPN-ben ismételten kihasznált sérülékenységek jelentek meg, amelyeket az amerikai CISA ügynökség felvett az ismert, kihasznált sérülékenységek katalógusába. Ezért sok üzemeltető alapvető kérdést tesz fel.
Áttekintés
- Forrás
- Fortinet FortiGate
- Cél
- OPNsense Business Edition
- Átállás
- általában 1–2 óra
- Visszaállás
- az átvételig lehetséges
Kiindulási helyzet
Miért váltanak az üzemeltetők
A FortiGate-eknél az IPS, a webszűrés és az alkalmazásszabályozás évente megújítandó csomagoktól függ. A hardvergeneráció és a licenc időtartama szorosan összefügg. Ha úgyis megújítás előtt áll, érdemes elvégezni az összehasonlítást.
Tipikus okok
- éves csomagköltségek olyan funkciókért, amelyeket az OPNsense felár nélkül biztosít
- a hardver életciklusának és a licencnek az összekapcsolása
- az SSL VPN ismétlődő sürgősségi javításai
- a nyílt forráskód és az európai gyártó előnyben részesítése
Funkciók
Mi lesz a meglévő Fortinet FortiGate funkciókból
| Fortinet FortiGate | OPNsense | Megjegyzés |
|---|---|---|
| Címobjektumok, csoportok | Aliasok | FQDN-objektumokkal együtt |
| Házirendek (interfészpárok) | Interfészszabályok, floating szabályok | a logikát átültetjük |
| VIP-ek (DNAT) | Port forward, 1:1 NAT | teljes körűen támogatott |
| IPS | Suricata IPS | ET Open, opcionálisan kereskedelmi |
| Web Filter, App Control | Zenarmor vagy proxykategóriák | a házirendeket újraépítjük |
| SSL VPN, FortiClient | WireGuard vagy OpenVPN 2FA-val | új kliensek profilokkal |
| IPsec site-to-site | IPsec (IKEv2) | a paramétereket egyeztetni kell a partnerekkel |
| SD-WAN | Gateway-csoportok, multi-WAN, házirendalapú routing | failover és terheléselosztás |
| HA (FGCP) | CARP-klaszter állapotszinkronizálással | karbantartás megszakítás nélkül |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog a SIEM felé | más koncepció, ugyanaz a cél |
| Security Fabric | – | nincs közvetlen megfelelője |
Módszer
Hogyan migrálunk
Folyamat
- A FortiOS-konfiguráció exportja, a házirend-találatok elemzése
- A nem használt házirendek és objektumok kitakarítása
- Objektumok, házirendek, VIP-ek és VPN-ek átültetése
- A web- és alkalmazásszűrés újraépítése
- Méretezés a valós átviteli sebesség alapján
- Átállás karbantartási ablakban, a FortiGate visszaállási lehetőségként
- Utánkövetés és dokumentáció
Mire kell figyelni
- Hardveres gyorsítás: a FortiGate-ek ASIC-eket használnak. A bekapcsolt IPS melletti átviteli sebességre méretezünk, nem az adatlap alapján.
- Zónalogika: a házirendek interfészpárok között érvényesek, az OPNsense viszont interfészenként, a bejövő irányban értékel.
- FortiToken: a 2FA-t TOTP-re állítjuk át hitelesítő alkalmazással.
Az általános, ötlépéses folyamat leírását az Átállás OPNsense-re oldalon találja.
FAQ
Kérdések a Fortinet FortiGate rendszerről történő átállásról
Importálhatjuk a FortiGate-konfigurációt?
Nem. Strukturáltan ültetjük át, és közben eltávolítjuk a felhalmozott örökséget.
Elegendő az OPNsense átviteli sebessége?
Megfelelően méretezett hardverrel igen. A bekapcsolt IPS melletti átviteli sebesség a döntő, és ezzel reálisan tervezünk.
Mi lesz a FortiTokennel?
TOTP-re váltunk. Ez az elterjedt hitelesítő alkalmazásokkal működik.
Kapcsolat
Küldje el nekünk a konfigurációs exportját
Megmondjuk, mi vihető át közvetlenül, mi nem, és mennyibe kerül a migráció.