Iš Sophos į OPNsense
Sophos SG UTM palaikymas baigėsi 2026 m. birželio 30 d. Nuo tada saugumo atnaujinimų nebėra. Kas vis dar naudoja UTM, eksploatuoja nepataisytą perimetro sistemą. Perėjimas vis tiek neišvengiamas. Lieka tik klausimas, kur pereiti.
Trumpai
- Šaltinis
- Sophos
- Tikslas
- OPNsense Business Edition
- Perjungimas
- paprastai 1–2 valandos
- Atsarginis variantas
- iki priėmimo
Pradinė padėtis
Kodėl įmonės keičia sprendimą
Sophos siūlo pereiti prie Sophos Firewall (SFOS), dažniausiai su nauja XGS aparatine įranga. Tai ne atnaujinimas, o visiška migracija į kitą platformą su kita sąsaja, kita taisyklių logika ir naujais licencijų paketais. Jei darbų vis tiek bus, verta palyginti su OPNsense.
Tipinės priežastys
- SG UTM nebegauna saugumo atnaujinimų
- XGS reiškia naują aparatinę įrangą, naują sąsają ir naujus licencijų paketus
- nuolatinės prenumeratos už funkcijas, kurias OPNsense teikia be papildomo mokesčio
- pirmenybė atviram kodui ir europiniam gamintojui
Funkcijos
Kaip perkeliamos Sophos funkcijos
| Sophos | OPNsense | Pastaba |
|---|---|---|
| Tinklo apibrėžtys | Aliasai | mazgai, tinklai, grupės ir FQDN perkeliami sklandžiai |
| Ugniasienės taisyklės | Sąsajų taisyklės, slankiosios taisyklės | logika išverčiama, o ne kopijuojama |
| NAT, DNAT, SNAT | Prievadų peradresavimas, išeinantis NAT, 1:1 NAT | visiškai palaikoma |
| Intrusion Prevention | Suricata IPS | ET Open, pasirinktinai komerciniai taisyklių rinkiniai |
| Web Protection | Tarpinis serveris arba Zenarmor | politikos sukuriamos iš naujo |
| Application Control | Zenarmor | 7 lygmens atpažinimas |
| Site-to-site VPN | IPsec (IKEv2) | partneriai suderinami iš anksto |
| SSL VPN, nuotolinė prieiga | WireGuard arba OpenVPN su 2FA | nauji klientai su paruoštais profiliais |
| RED įrenginiai | mažas OPNsense su IPsec arba WireGuard | tiesioginio atitikmens nėra |
| Web Application Firewall | HAProxy arba nginx kaip atvirkštinis tarpinis serveris | funkcijų apimtis tikrinama kiekvienu atveju |
| Email Protection | – | rekomenduojamas atskiras pašto šliuzas |
| HA (aktyvus-pasyvus) | CARP klasteris su būsenų sinchronizavimu | techninė priežiūra be pertrūkių |
Metodas
Kaip atliekame migraciją
Eiga
- UTM konfigūracijos eksportas, atitikčių skaitiklių analizė
- Nenaudojamų taisyklių ir objektų išvalymas
- Objektų, taisyklių, NAT ir VPN vertimas
- Žiniatinklio ir programų filtravimo atkūrimas
- Derinimas su VPN partneriais, testavimas laboratorijoje
- Perjungimas techninės priežiūros lange, UTM lieka kaip atsarginis variantas
- Tolesnė priežiūra ir dokumentacijos perdavimas
Į ką atkreipti dėmesį
- Email Protection: jei UTM filtruoja ir el. paštą, tam suplanuojame atskirą sprendimą.
- RED filialai: kiekvienas RED pakeičiamas maža ugniasiene. Paprastai tai stabiliau, tačiau vietoje reikia aparatinės įrangos.
- SSL VPN klientai: darbuotojai gauna naują klientą su paruoštu profiliu.
- Synchronized Security: galinių įrenginių integracija nebenaudojama. Šią spragą užpildo segmentavimas ir SIEM integracija.
Bendroji penkių žingsnių eiga aprašyta puslapyje Migracija į OPNsense.
FAQ
Klausimai apie migraciją iš Sophos
Ar negaliu tiesiog toliau naudoti UTM?
Techniškai galite, atsakingai vertinant ne. Perimetro ugniasienė be saugumo atnaujinimų yra atviros durys. Atsižvelgiant į NIS2, KRITIS (Vokietijos ypatingos svarbos infrastruktūros reguliavimą) ar draudimo reikalavimus, tai sunku pateisinti.
Ar galime pakartotinai naudoti Sophos aparatinę įrangą?
Kai kuri senesnė SG aparatinė įranga yra x86 pagrindo ir iš principo gali veikti su OPNsense. Gamybinei aplinkai to nerekomenduojame, nes garantijos ir gamintojo palaikymo nebėra.
Kiek trunka perėjimas?
Vienam padaliniui paprastai reikia kelių pasiruošimo dienų ir vienos dviejų valandų techninės priežiūros lango. Kelis padalinius perkeliame etapais.
Kontaktai
Atsiųskite mums konfigūracijos eksportą
Pasakysime, ką galima perkelti tiesiogiai, ko negalima ir kiek kainuos migracija.