No Sophos uz OPNsense
Sophos SG UTM darbības beigas bija 2026. gada 30. jūnijā. Kopš tā laika drošības atjauninājumu vairs nav. Kas joprojām izmanto UTM, darbina perimetra sistēmu bez ielāpiem. Pāreja ir nepieciešama jebkurā gadījumā. Atklāts ir tikai jautājums par mērķi.
Īsumā
- Avots
- Sophos
- Mērķis
- OPNsense Business Edition
- Pārslēgšana
- parasti 1–2 stundas
- Atkāpšanās iespēja
- līdz pieņemšanai
Sākuma situācija
Kāpēc operatori pāriet
Sophos piedāvā pāreju uz Sophos Firewall (SFOS), parasti ar jaunu XGS aparatūru. Tas nav atjauninājums, bet pilnīga migrācija uz citu platformu ar citu saskarni, citu noteikumu loģiku un jauniem licenču komplektiem. Ja darbs tik un tā ir priekšā, ir vērts salīdzināt ar OPNsense.
Tipiskie iemesli
- SG UTM vairs nesaņem drošības atjauninājumus
- XGS nozīmē jaunu aparatūru, jaunu saskarni un jaunus licenču komplektus
- pastāvīgi abonementi par funkcijām, ko OPNsense nodrošina bez papildu maksas
- priekšroka atvērtam kodam un Eiropas ražotājam
Funkcijas
Kas notiek ar Jūsu Sophos funkcijām
| Sophos | OPNsense | Piezīme |
|---|---|---|
| Tīkla definīcijas | Aliases | resursdatori, tīkli, grupas un FQDN tiek pārnesti precīzi |
| Ugunsmūra noteikumi | Saskarņu noteikumi, peldošie noteikumi | loģika tiek tulkota, nevis kopēta |
| NAT, DNAT, SNAT | Portu pāradresācija, izejošais NAT, 1:1 NAT | pilnībā atbalstīts |
| Intrusion Prevention | Suricata IPS | ET Open, pēc izvēles komerciālas noteikumu kopas |
| Web Protection | Starpniekserveris vai Zenarmor | politikas tiek veidotas no jauna |
| Application Control | Zenarmor | 7. slāņa atpazīšana |
| VPN starp atrašanās vietām | IPsec (IKEv2) | partneri tiek saskaņoti iepriekš |
| SSL VPN, attālinātā piekļuve | WireGuard vai OpenVPN ar 2FA | jauni klienti ar gataviem profiliem |
| RED ierīces | neliels OPNsense ar IPsec vai WireGuard | nav tieša ekvivalenta |
| Web Application Firewall | HAProxy vai nginx kā reversais starpniekserveris | funkciju apjomu pārbauda katrā gadījumā atsevišķi |
| Email Protection | – | ieteicama atsevišķa e-pasta vārteja |
| HA (aktīvs-pasīvs) | CARP klasteris ar stāvokļu sinhronizāciju | apkope bez pārtraukuma |
Pieeja
Kā mēs migrējam
Norise
- UTM konfigurācijas eksports, trāpījumu skaitītāju analīze
- Neizmantoto noteikumu un objektu sakārtošana
- Objektu, noteikumu, NAT un VPN tulkošana
- Tīmekļa un lietotņu filtrēšanas izveide no jauna
- Saskaņošana ar VPN partneriem, testēšana laboratorijā
- Pārslēgšana apkopes logā, UTM paliek kā atkāpšanās iespēja
- Pēcatbalsts un dokumentācijas nodošana
Kam pievērst uzmanību
- Email Protection: ja UTM filtrē arī e-pastu, mēs tam plānojam atsevišķu risinājumu.
- RED filiāles: katru RED aizstāj neliels ugunsmūris. Parasti tas ir stabilāk, taču uz vietas nepieciešama aparatūra.
- SSL VPN klienti: darbinieki saņem jaunu klientu ar gatavu profilu.
- Synchronized Security: galiekārtu integrācija izzūd. Šo robu aizpilda segmentācija un SIEM integrācija.
Vispārējā norise piecos soļos ir aprakstīta sadaļā Migrācija uz OPNsense.
FAQ
Jautājumi par migrāciju no Sophos
Vai nevaru vienkārši turpināt izmantot UTM?
Tehniski var, atbildīgi nē. Perimetra ugunsmūris bez drošības atjauninājumiem ir atvērtas durvis. Ņemot vērā NIS2, KRITIS (Vācijas kritiskās infrastruktūras regulējums) vai apdrošinātāju prasības, to ir grūti pamatot.
Vai varam atkārtoti izmantot Sophos aparatūru?
Daļa vecākās SG aparatūras ir balstīta uz x86, un principā uz tās var darbināt OPNsense. Produktīvai lietošanai mēs to neiesakām, jo garantija un ražotāja atbalsts vairs nav pieejami.
Cik ilgi ilgst pāreja?
Vienai atrašanās vietai parasti dažas dienas sagatavošanas un apkopes logs uz vienu līdz divām stundām. Vairākas atrašanās vietas mēs migrējam pakāpeniski.
Kontakti
Atsūtiet mums savas konfigurācijas eksportu
Mēs pateiksim, ko var pārnest tieši, ko nevar un cik izmaksās migrācija.