Migracija į OPNsense
Ugniasienės migracija retai nepavyksta dėl naujos ugniasienės. Ją sužlugdo pamirštos taisyklės, seni VPN partneriai, nedokumentuotos išimtys ir tas vienas spausdintuvas, kuriam jau daugelį metų reikia prievado peradresavimo. Todėl pradedame nuo to, ką jau turite.
Eiga
Penki žingsniai, vienas veiksmų planas
-
10 Inventorizacijabendrai sutvarkytas tikslinis taisyklių rinkinys
Konfigūracijos eksportas, pokalbis su Jūsų IT komanda, taisyklių, NAT, VPN, sertifikatų ir ypatingų atvejų analizė. Atitikčių skaitikliai parodo, kurios taisyklės iš tikrųjų naudojamos.
-
20 Vertimasaepfel+birnen paruošta tikslinė konfigūracija
Perkėlimas į OPNsense logiką: aliasai, sąsajų taisyklės, NAT, VPN tuneliai, naudotojų integracija. Gamintojui būdingas funkcijas atkartojame integruotomis priemonėmis arba papildiniais.
-
30 Testavimasbendrai patvirtinti testavimo protokolai
Diegimas laboratorijoje arba lygiagrečiai testiniame segmente. Kritines programas, VPN tunelius ir ypatingus atvejus tikriname pagal bendrą kontrolinį sąrašą.
-
40 Perjungimasaepfel+birnen OPNsense gamybinėje aplinkoje
Perjungimas techninės priežiūros lange pagal veiksmų planą. Senoji ugniasienė lieka prijungta ir parengta, o grįžimas užtrunka kelias minutes.
-
50 Tolesnė priežiūraaepfel+birnen išsami dokumentacija
Žurnalų analizė ieškant užblokuotų teisėtų ryšių, taisyklių rinkinio derinimas, dokumentacijos perdavimas.
Pagal gamintoją
Migracija pagal šaltinio sistemą
Kiekvienas gamintojas turi savų ypatumų. Kiekvienai šaltinio sistemai skirtas atskiras puslapis su funkcijų atitikmenimis.
Inventorizacija
Ką fiksuojame ir kur kyla kliūčių
Ką fiksuojame
- sąsajas, VLAN, zonas ir IP planą
- ugniasienės taisykles su atitikčių skaitikliais
- NAT ir publikuojamas paslaugas
- VPN tarp padalinių su jų partneriais
- nuotolinės prieigos VPN, naudotojus, 2FA
- DHCP, DNS, NTP, sertifikatus
- žiniatinklio ir programų filtrus
- ypatingus atvejus: VoIP, multicast, IPv6, medicinos prietaisus
Tipinės kliūtys
- Zonų logika: daugelis gamintojų mąsto zonų poromis, o OPNsense taisykles vertina įeinančiam srautui kiekvienoje sąsajoje. Logiką išverčiame.
- MTU ir MSS su IPsec: MSS clamping nustatome iš karto.
- VPN partneriai: parametrus ir laiką suderiname iš anksto.
- VoIP ir SIP: ALG elgsena skiriasi, todėl telefoniją testuojame atskirai.
- Paslėptos priklausomybės: atitikčių skaitikliai ir žurnalai parodo, kas iš tikrųjų naudojama.
Sąnaudos
Kiek tai trunka
| Aplinka | Pasiruošimas | Perjungimas |
|---|---|---|
| vienas padalinys, nedidelis taisyklių rinkinys | kelios dienos | 1–2 valandos |
| keli padaliniai, VPN tinklas | 1–3 savaitės | etapais pagal padalinius |
| HA klasteris, duomenų centras, ligoninė | kelios savaitės | pagal veiksmų planą, dažnai be pastebimo pertrūkio |
Rezultatas
Ką turite pabaigoje
Dokumentacija struktūruota taip, kad ją galėtų perimti kitas paslaugų teikėjas. Norime Jus išlaikyti kokybe, o ne žiniomis, kurias turime tik mes.
Perdavimas
- veikiantis OPNsense su sutvarkytu taisyklių rinkiniu
- tinklo schema ir taisyklių rinkinio dokumentacija
- testavimo protokolai ir priėmimas
- prisijungimo duomenys ir avarinė procedūra
- konfigūracijos atsarginė kopija už ugniasienės ribų
FAQ
Dažniausi klausimai
Ar galime tiesiog importuoti senąją konfigūraciją?
Ne, ir tai yra gerai. Net tarp pfSense ir OPNsense nėra patikimo tiesioginio importo. Struktūruotas vertimas yra galimybė atsikratyti senų šiukšlių.
Kas, jei po perjungimo kažkas neveikia?
Senoji ugniasienė lieka prijungta ir parengta iki priėmimo. Abejonių atveju per kelias minutes perjungiame atgal, išanalizuojame problemą ir bandome dar kartą.
Ar mūsų darbuotojams reikia ką nors daryti?
Jei keičiasi VPN technologija, jie įdiegia naują klientą. Pateikiame iš anksto sukonfigūruotus profilius ir trumpą vadovą.
Kontaktai
Kiek darbo pareikalaus Jūsų migracija?
Atsiųskite mums konfigūracijos eksportą ir pateiksime patikimą darbo sąnaudų įvertinimą.