Da Fortinet FortiGate a OPNsense
I FortiGate sono potenti, ma legati a security bundle e contratti di assistenza. A ciò si aggiungono vulnerabilità della SSL VPN sfruttate ripetutamente, elencate dall’agenzia statunitense CISA nel suo catalogo delle vulnerabilità note sfruttate. Molti gestori si pongono quindi la domanda di fondo.
In sintesi
- Origine
- Fortinet FortiGate
- Destinazione
- OPNsense Business Edition
- Passaggio
- di norma 1–2 ore
- Ritorno
- fino al collaudo
Situazione di partenza
Perché si cambia
Con i FortiGate, IPS, filtro web e controllo delle applicazioni dipendono da bundle da rinnovare ogni anno. Generazione dell’hardware e durata della licenza sono strettamente legate. Se si avvicina comunque un rinnovo, vale la pena fare il confronto.
Motivi tipici
- costi annuali dei bundle per funzionalità che OPNsense offre senza costi aggiuntivi
- legame tra ciclo di vita dell’hardware e licenza
- patch di emergenza ricorrenti per la SSL VPN
- preferenza per codice aperto e un produttore europeo
Funzionalità
Cosa diventano le Sue funzionalità Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Nota |
|---|---|---|
| Address objects, gruppi | Alias | inclusi oggetti FQDN |
| Policy (coppie di interfacce) | Regole di interfaccia, floating rules | la logica viene tradotta |
| VIP (DNAT) | Port forward, NAT 1:1 | pienamente supportato |
| IPS | Suricata IPS | ET Open, commerciale opzionale |
| Web Filter, App Control | Zenarmor o categorie del proxy | le policy vengono ricostruite |
| SSL VPN, FortiClient | WireGuard o OpenVPN con 2FA | nuovi client con profili |
| IPsec site-to-site | IPsec (IKEv2) | concordare i parametri con i peer |
| SD-WAN | Gruppi di gateway, multi-WAN, policy-based routing | failover e bilanciamento del carico |
| HA (FGCP) | Cluster CARP con sincronizzazione degli stati | manutenzione senza interruzioni |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog verso il SIEM | concetto diverso, stesso obiettivo |
| Security Fabric | – | nessun equivalente diretto |
Approccio
Come eseguiamo la migrazione
Procedura
- Export della configurazione FortiOS, analisi degli hit delle policy
- Pulizia di policy e oggetti non utilizzati
- Traduzione di oggetti, policy, VIP e VPN
- Ricostruzione del filtro web e applicativo
- Dimensionamento in base al throughput reale
- Passaggio in una finestra di manutenzione, FortiGate come piano di ritorno
- Assistenza successiva e documentazione
A cosa prestare attenzione
- Accelerazione hardware: i FortiGate usano ASIC. Dimensioniamo in base al Suo throughput con IPS attivo, non secondo la scheda tecnica.
- Logica delle zone: le policy valgono tra coppie di interfacce, mentre OPNsense valuta in ingresso per interfaccia.
- FortiToken: la 2FA passa a TOTP con un’app di autenticazione.
La procedura generale in cinque fasi è descritta in Migrazione a OPNsense.
FAQ
Domande sulla migrazione da Fortinet FortiGate
Possiamo importare la configurazione FortiGate?
No. Traduciamo in modo strutturato ed eliminiamo nel frattempo le incrostazioni del passato.
Il throughput di OPNsense è sufficiente?
Con hardware dimensionato adeguatamente, sì. Conta il throughput con IPS attivo, e lo pianifichiamo in modo realistico.
Cosa succede con FortiToken?
Passiamo a TOTP. Funziona con le comuni app di autenticazione.
Contatto
Ci invii l’export della Sua configurazione
Le diremo cosa può essere trasferito direttamente, cosa no e quanto costerà la migrazione.