Da pfSense a OPNsense
OPNsense e pfSense hanno radici comuni: OPNsense è nato nel 2014 come fork ed è disponibile da gennaio 2015. Da allora i due progetti si sono allontanati notevolmente. La migrazione è gestibile, ma non esiste un pulsante di importazione.
In sintesi
- Origine
- pfSense
- Destinazione
- OPNsense Business Edition
- Passaggio
- di norma 1–2 ore
- Ritorno
- fino al collaudo
Situazione di partenza
Perché si cambia
pfSense è diviso nella Community Edition gratuita e nel commerciale pfSense Plus. Molti gestori si chiedono quale futuro abbia la CE. OPNsense offre un ciclo di rilascio fisso, un’API coerente e un produttore europeo.
Motivi tipici
- incertezza dovuta alla divisione tra CE e Plus
- ciclo di rilascio fisso a gennaio e luglio
- API REST coerente per l’automazione
- produttore europeo con un processo di sviluppo aperto
Funzionalità
Cosa diventano le Sue funzionalità pfSense
| pfSense | OPNsense | Nota |
|---|---|---|
| Interfacce, VLAN | Interfacce, VLAN | trasferibili direttamente |
| Alias | Alias | incluse tabelle URL |
| Regole firewall | Regole firewall | stesso motore (pf), trasferite con cura |
| NAT | NAT | pienamente supportato |
| IPsec, OpenVPN | IPsec, OpenVPN | inclusi certificati e CA |
| Pacchetto WireGuard | WireGuard (integrato) | i peer vengono trasferiti |
| pfBlockerNG | Blocklist Unbound, alias URL, CrowdSec | verificare caso per caso |
| HAProxy, ACME | Plugin HAProxy e ACME | disponibili |
| Squid, SquidGuard | Plugin proxy o Zenarmor | le policy vengono ricostruite |
| CARP, HA | CARP, HA | stesso concetto |
Approccio
Come eseguiamo la migrazione
Procedura
- Backup di config.xml e dell’elenco dei pacchetti
- Abbinamento di ogni pacchetto al corrispondente OPNsense
- Trasferimento di interfacce, alias, regole, NAT e VPN
- Test in laboratorio o in parallelo
- Passaggio in una finestra di manutenzione, pfSense come piano di ritorno
- Assistenza successiva e documentazione
A cosa prestare attenzione
- Nessuna importazione diretta: i file di configurazione si somigliano, ma non sono compatibili.
- Pacchetti: non ogni pacchetto pfSense esiste nella stessa forma come plugin OPNsense.
- Stesso motore: entrambi usano pf, quindi la logica delle regole è familiare. Questo riduce notevolmente il rischio.
La procedura generale in cinque fasi è descritta in Migrazione a OPNsense.
FAQ
Domande sulla migrazione da pfSense
La migrazione da pfSense è più semplice che da altri produttori?
Sì, perché entrambi si basano su pf e usano concetti simili. Trasferiamo comunque in modo strutturato e non tramite importazione.
Cosa succede con pfBlockerNG?
OPNsense offre blocklist DNS in Unbound, tabelle URL come alias e il plugin CrowdSec. Insieme coprono i casi tipici.
Possiamo continuare a usare l’hardware pfSense?
Con hardware x86 di norma sì, purché sia ancora in garanzia e abbastanza potente. Lo verifichiamo in anticipo.
Contatto
Ci invii l’export della Sua configurazione
Le diremo cosa può essere trasferito direttamente, cosa no e quanto costerà la migrazione.