Da Sophos a OPNsense
Sophos SG UTM ha raggiunto la fine del ciclo di vita il 30 giugno 2026. Da allora non ci sono più aggiornamenti di sicurezza. Chi utilizza ancora una UTM gestisce un sistema perimetrale senza patch. Il cambio è comunque necessario. L’unica domanda aperta è la destinazione.
In sintesi
- Origine
- Sophos
- Destinazione
- OPNsense Business Edition
- Passaggio
- di norma 1–2 ore
- Ritorno
- fino al collaudo
Situazione di partenza
Perché si cambia
Sophos propone il passaggio a Sophos Firewall (SFOS), di norma con nuovo hardware XGS. Non si tratta di un aggiornamento, ma di una migrazione completa verso un’altra piattaforma con un’altra interfaccia, un’altra logica delle regole e nuovi pacchetti di licenze. Se l’impegno è comunque inevitabile, vale la pena confrontarlo con OPNsense.
Motivi tipici
- nessun aggiornamento di sicurezza per la SG UTM
- XGS significa nuovo hardware, nuova interfaccia e nuovi pacchetti di licenze
- abbonamenti continui per funzionalità che OPNsense offre senza costi aggiuntivi
- preferenza per codice aperto e un produttore europeo
Funzionalità
Cosa diventano le Sue funzionalità Sophos
| Sophos | OPNsense | Nota |
|---|---|---|
| Network definitions | Alias | host, reti, gruppi e FQDN si trasferiscono senza problemi |
| Regole firewall | Regole di interfaccia, floating rules | la logica viene tradotta, non copiata |
| NAT, DNAT, SNAT | Port forward, NAT in uscita, NAT 1:1 | pienamente supportato |
| Intrusion Prevention | Suricata IPS | ET Open, set di regole commerciali opzionali |
| Web Protection | Proxy o Zenarmor | le policy vengono ricostruite |
| Application Control | Zenarmor | riconoscimento Layer 7 |
| VPN site-to-site | IPsec (IKEv2) | i peer vengono coordinati in anticipo |
| SSL VPN, accesso remoto | WireGuard o OpenVPN con 2FA | nuovi client con profili pronti |
| Dispositivi RED | piccolo OPNsense con IPsec o WireGuard | nessun equivalente diretto |
| Web Application Firewall | HAProxy o nginx come reverse proxy | verificare caso per caso le funzionalità |
| Email Protection | – | si consiglia un gateway di posta separato |
| HA (attivo-passivo) | Cluster CARP con sincronizzazione degli stati | manutenzione senza interruzioni |
Approccio
Come eseguiamo la migrazione
Procedura
- Export della configurazione UTM, analisi dei contatori di utilizzo
- Pulizia di regole e oggetti non utilizzati
- Traduzione di oggetti, regole, NAT e VPN
- Ricostruzione del filtro web e applicativo
- Coordinamento con i peer VPN, test in laboratorio
- Passaggio in una finestra di manutenzione, la UTM resta come piano di ritorno
- Assistenza successiva e consegna della documentazione
A cosa prestare attenzione
- Email Protection: se la UTM filtra anche la posta, pianifichiamo una soluzione separata.
- Filiali RED: ogni RED viene sostituito da un piccolo firewall. Di solito è più stabile, ma richiede hardware sul posto.
- Client SSL VPN: i dipendenti ricevono un nuovo client con un profilo pronto.
- Synchronized Security: l’integrazione con gli endpoint viene meno. Segmentazione e collegamento al SIEM colmano questa lacuna.
La procedura generale in cinque fasi è descritta in Migrazione a OPNsense.
FAQ
Domande sulla migrazione da Sophos
Non posso semplicemente continuare a usare la UTM?
Tecnicamente sì, responsabilmente no. Un firewall perimetrale senza aggiornamenti di sicurezza è una porta aperta. Con NIS2, KRITIS (la normativa tedesca sulle infrastrutture critiche) o i requisiti assicurativi è difficile da giustificare.
Possiamo riutilizzare l’hardware Sophos?
Alcuni hardware SG meno recenti sono basati su x86 e in linea di principio possono eseguire OPNsense. Per la produzione lo sconsigliamo, perché garanzia e assistenza del produttore non sono più disponibili.
Quanto dura il cambio?
Per una sede singola, di norma alcuni giorni di preparazione e una finestra di manutenzione di una o due ore. Più sedi vengono migrate in fasi successive.
Contatto
Ci invii l’export della Sua configurazione
Le diremo cosa può essere trasferito direttamente, cosa no e quanto costerà la migrazione.