Migrazione a OPNsense
Una migrazione del firewall raramente fallisce per il nuovo firewall. Fallisce per regole dimenticate, vecchi peer VPN, eccezioni non documentate e quella stampante che da anni richiede un port forwarding. Per questo partiamo da ciò che Lei ha già.
Procedura
Cinque fasi, un runbook
-
10 Inventariocongiunto set di regole di destinazione riordinato
Export della configurazione, colloquio con il Suo team IT, analisi di regole, NAT, VPN, certificati e casi particolari. I contatori di utilizzo mostrano quali regole sono effettivamente in uso.
-
20 Traduzioneaepfel+birnen configurazione di destinazione completa
Conversione nella logica OPNsense: alias, regole di interfaccia, NAT, tunnel VPN, integrazione degli utenti. Riproduciamo le funzionalità specifiche del produttore con strumenti integrati o plugin.
-
30 Testcongiunto verbali di test approvati
Configurazione in laboratorio o in parallelo in un segmento di test. Verifichiamo applicazioni critiche, tunnel VPN e casi particolari sulla base di una checklist condivisa.
-
40 Passaggioaepfel+birnen OPNsense in produzione
Passaggio in una finestra di manutenzione secondo un runbook. Il vecchio firewall resta cablato e pronto, e tornare indietro richiede pochi minuti.
-
50 Assistenza successivaaepfel+birnen documentazione completa
Analisi dei log alla ricerca di connessioni legittime bloccate, messa a punto del set di regole, consegna della documentazione.
Per produttore
Migrazione per sistema di origine
Ogni produttore ha le sue particolarità. Ogni sistema di origine ha una propria pagina con la corrispondenza delle funzionalità.
Inventario
Cosa rileviamo e dove ci si blocca
Cosa rileviamo
- interfacce, VLAN, zone e piano di indirizzamento IP
- regole firewall con contatori di utilizzo
- NAT e servizi pubblicati
- VPN site-to-site con i relativi peer
- VPN ad accesso remoto, utenti, 2FA
- DHCP, DNS, NTP, certificati
- filtri web e applicativi
- casi particolari: VoIP, multicast, IPv6, dispositivi medici
Insidie tipiche
- Logica delle zone: molti produttori ragionano per coppie di zone, mentre OPNsense valuta le regole in ingresso per interfaccia. Traduciamo la logica.
- MTU e MSS con IPsec: impostiamo l’MSS clamping fin dall’inizio.
- Peer VPN: concordiamo in anticipo parametri e tempistiche.
- VoIP e SIP: il comportamento degli ALG è diverso, perciò testiamo la telefonia in modo mirato.
- Dipendenze nascoste: contatori di utilizzo e log mostrano cosa è davvero in uso.
Impegno
Quanto tempo richiede
| Ambiente | Preparazione | Passaggio |
|---|---|---|
| sede singola, set di regole contenuto | pochi giorni | 1–2 ore |
| più sedi, rete VPN magliata | 1–3 settimane | scaglionato per sede |
| cluster HA, data center, ospedale | diverse settimane | secondo runbook, spesso senza interruzioni percepibili |
Risultato
Cosa ha alla fine
La documentazione è strutturata in modo che un altro fornitore possa subentrare. Vogliamo mantenerLa come cliente grazie alla qualità, non grazie a conoscenze che solo noi possediamo.
Consegna
- OPNsense in funzione con un set di regole riordinato
- schema di rete e documentazione del set di regole
- verbali di test e collaudo
- credenziali di accesso e procedura di emergenza
- backup della configurazione esterno al firewall
FAQ
Domande frequenti
Possiamo semplicemente importare la vecchia configurazione?
No, ed è un bene. Nemmeno tra pfSense e OPNsense esiste un’importazione diretta affidabile. La traduzione strutturata è l’occasione per eliminare le incrostazioni del passato.
Cosa succede se dopo il cambio qualcosa non funziona?
Il vecchio firewall resta cablato e pronto fino al collaudo. In caso di dubbio torniamo indietro in pochi minuti, analizziamo il problema e riproviamo.
I nostri dipendenti devono fare qualcosa?
Se cambia la tecnologia VPN, installano un nuovo client. Forniamo profili preconfigurati e una breve guida.
Contatto
Quanto lavoro richiederà la Sua migrazione?
Ci invii un export della configurazione e Le daremo una stima affidabile dell’impegno.