Átállás Sophos rendszerről OPNsense-re
A Sophos SG UTM 2026. június 30-án elérte életciklusa végét. Azóta nem jelennek meg hozzá biztonsági frissítések. Aki még UTM-et üzemeltet, javítatlan peremrendszert üzemeltet. A váltás így is esedékes, csak a cél a kérdés.
Áttekintés
- Forrás
- Sophos
- Cél
- OPNsense Business Edition
- Átállás
- általában 1–2 óra
- Visszaállás
- az átvételig lehetséges
Kiindulási helyzet
Miért váltanak az üzemeltetők
A Sophos a Sophos Firewallra (SFOS) való átállást kínálja, általában új XGS hardverrel. Ez nem frissítés, hanem teljes migráció egy másik platformra, más felülettel, más szabálylogikával és új licenccsomagokkal. Ha a ráfordítás úgyis jelentkezik, érdemes összevetni az OPNsense-szel.
Tipikus okok
- nincs több biztonsági frissítés az SG UTM-hez
- az XGS új hardvert, új felületet és új licenccsomagokat jelent
- folyamatos előfizetések olyan funkciókért, amelyeket az OPNsense felár nélkül biztosít
- a nyílt forráskód és az európai gyártó előnyben részesítése
Funkciók
Mi lesz a meglévő Sophos funkciókból
| Sophos | OPNsense | Megjegyzés |
|---|---|---|
| Hálózati definíciók | Aliasok | hosztok, hálózatok, csoportok és FQDN-ek tisztán átvihetők |
| Tűzfalszabályok | Interfészszabályok, floating szabályok | a logikát átültetjük, nem másoljuk |
| NAT, DNAT, SNAT | Port forward, kimenő NAT, 1:1 NAT | teljes körűen támogatott |
| Intrusion Prevention | Suricata IPS | ET Open, opcionálisan kereskedelmi szabálykészletek |
| Web Protection | Proxy vagy Zenarmor | a házirendeket újraépítjük |
| Application Control | Zenarmor | 7. rétegbeli felismerés |
| Site-to-site VPN | IPsec (IKEv2) | a partnereket előre egyeztetjük |
| SSL VPN, távoli hozzáférés | WireGuard vagy OpenVPN 2FA-val | új kliensek kész profilokkal |
| RED eszközök | kis OPNsense IPsec-kel vagy WireGuarddal | nincs közvetlen megfelelője |
| Web Application Firewall | HAProxy vagy nginx reverse proxyként | a funkciókört esetenként ellenőrizni kell |
| Email Protection | – | külön levelezési átjáró ajánlott |
| HA (aktív-passzív) | CARP-klaszter állapotszinkronizálással | karbantartás megszakítás nélkül |
Módszer
Hogyan migrálunk
Folyamat
- Az UTM-konfiguráció exportja, a találati számlálók elemzése
- A nem használt szabályok és objektumok kitakarítása
- Objektumok, szabályok, NAT és VPN-ek átültetése
- A web- és alkalmazásszűrés újraépítése
- Egyeztetés a VPN-partnerekkel, tesztelés a laborban
- Átállás karbantartási ablakban, az UTM visszaállási lehetőségként megmarad
- Utánkövetés és a dokumentáció átadása
Mire kell figyelni
- Email Protection: ha az UTM az e-maileket is szűri, ehhez külön megoldást tervezünk.
- RED fiókirodák: minden RED-et egy kis tűzfal vált ki. Ez általában stabilabb, de helyszíni hardvert igényel.
- SSL VPN kliensek: a munkatársak új klienst kapnak kész profillal.
- Synchronized Security: a végpontintegráció megszűnik. Ezt a hiányt a szegmentálás és a SIEM-integráció zárja be.
Az általános, ötlépéses folyamat leírását az Átállás OPNsense-re oldalon találja.
FAQ
Kérdések a Sophos rendszerről történő átállásról
Nem működtethetem egyszerűen tovább az UTM-et?
Technikailag igen, felelősen nem. A biztonsági frissítések nélküli peremtűzfal nyitott ajtó. A NIS2, a KRITIS (a német kritikus infrastruktúrákra vonatkozó szabályozás) vagy a biztosítói követelmények mellett ez nehezen indokolható.
Újrahasznosíthatjuk a Sophos hardvert?
Egyes régebbi SG hardverek x86-alapúak, és elvben futtatható rajtuk az OPNsense. Éles üzemre nem javasoljuk, mert garancia és gyártói támogatás már nem érhető el hozzájuk.
Mennyi ideig tart a váltás?
Egy telephely esetén általában néhány nap előkészítés és egy-két órás karbantartási ablak. Több telephelyet szakaszosan migrálunk.
Kapcsolat
Küldje el nekünk a konfigurációs exportját
Megmondjuk, mi vihető át közvetlenül, mi nem, és mennyibe kerül a migráció.