Migration auf OPNsense
Eine Firewall-Migration scheitert selten an der neuen Firewall. Sie scheitert an vergessenen Regeln, alten VPN-Partnern, undokumentierten Ausnahmen und an dem einen Drucker, der seit Jahren eine Portfreigabe braucht. Deshalb beginnen wir bei Ihrem Bestand.
Ablauf
Fünf Arbeitsgänge, ein Drehbuch
-
10 Bestandsaufnahmegemeinsam bereinigtes Soll-Regelwerk
Konfigurationsexport, Gespräch mit Ihrer IT, Analyse von Regeln, NAT, VPNs, Zertifikaten und Sonderfällen. Die Trefferzähler zeigen, welche Regeln überhaupt genutzt werden.
-
20 Übersetzungaepfel+birnen fertige Zielkonfiguration
Überführung in die OPNsense-Logik: Aliases, Interface-Regeln, NAT, VPN-Tunnel, Benutzeranbindung. Herstellerspezifisches bilden wir mit Bordmitteln oder Plugins ab.
-
30 Testgemeinsam abgenommene Testprotokolle
Aufbau im Labor oder parallel in einem Testsegment. Kritische Anwendungen, VPN-Tunnel und Sonderfälle prüfen wir gegen eine gemeinsame Checkliste.
-
40 Umschaltungaepfel+birnen produktive OPNsense
Umschaltung im Wartungsfenster nach Drehbuch. Die alte Firewall bleibt verkabelt bereit, der Rückweg dauert Minuten.
-
50 Nachbetreuungaepfel+birnen vollständige Dokumentation
Auswertung der Logs auf blockierte legitime Verbindungen, Feinschliff des Regelwerks, Übergabe der Dokumentation.
Nach Hersteller
Migration nach Quellsystem
Jeder Hersteller hat seine Eigenheiten. Für jedes Quellsystem gibt es eine eigene Seite mit Funktionszuordnung.
Bestandsaufnahme
Was wir erfassen, und wo es hakt
Erfasst wird
- Interfaces, VLANs, Zonen und IP-Plan
- Firewall-Regeln mit Trefferzählern
- NAT und veröffentlichte Dienste
- Site-to-Site-VPNs mit Gegenstellen
- Remote-Access-VPN, Benutzer, 2FA
- DHCP, DNS, NTP, Zertifikate
- Web- und Anwendungsfilter
- Sonderfälle: VoIP, Multicast, IPv6, Medizintechnik
Typische Stolpersteine
- Zonenlogik: Viele Hersteller denken in Zonenpaaren, OPNsense wertet Regeln pro Interface eingehend aus. Wir übersetzen die Logik.
- MTU und MSS bei IPsec: Wir setzen MSS-Clamping von Anfang an.
- VPN-Gegenstellen: Parameter und Termin stimmen wir vorab ab.
- VoIP und SIP: Das ALG-Verhalten unterscheidet sich, wir testen Telefonie gezielt.
- Versteckte Abhängigkeiten: Trefferzähler und Logs zeigen, was wirklich genutzt wird.
Aufwand
Wie lange es dauert
| Umgebung | Vorbereitung | Umschaltung |
|---|---|---|
| Einzelstandort, übersichtliches Regelwerk | wenige Tage | 1–2 Stunden |
| Mehrere Standorte, VPN-Mesh | 1–3 Wochen | gestaffelt je Standort |
| HA-Cluster, Rechenzentrum, Klinik | mehrere Wochen | nach Drehbuch, oft ohne spürbare Unterbrechung |
Ergebnis
Was Sie am Ende in der Hand haben
Die Dokumentation ist so aufgebaut, dass auch ein anderer Dienstleister übernehmen könnte. Wir binden Sie nicht über Wissen, sondern über Qualität.
Übergabe
- laufende OPNsense mit bereinigtem Regelwerk
- Netzplan und Regelwerksdokumentation
- Testprotokolle und Abnahme
- Zugangsdaten und Notfallprozedur
- Konfigurationsbackup außerhalb der Firewall
FAQ
Häufige Fragen
Können wir die alte Konfiguration einfach importieren?
Nein, und das ist gut so. Selbst zwischen pfSense und OPNsense gibt es keinen verlässlichen Direktimport. Die strukturierte Übersetzung ist die Gelegenheit, Altlasten loszuwerden.
Was passiert, wenn nach der Umstellung etwas nicht funktioniert?
Die alte Firewall bleibt bis zur Freigabe verkabelt bereit. Im Zweifel schalten wir innerhalb von Minuten zurück, analysieren und setzen neu an.
Müssen unsere Mitarbeiter etwas tun?
Bei einem Wechsel der VPN-Technik installieren sie einen neuen Client. Wir liefern vorkonfigurierte Profile und eine kurze Anleitung.
Kontakt
Wie aufwendig wird Ihre Migration?
Senden Sie uns einen Konfigurations-Export, wir schätzen den Aufwand belastbar.