Von Fortinet FortiGate zu OPNsense
FortiGates sind leistungsstark, aber an Security-Bundles und Support-Verträge gebunden. Dazu kommen wiederholt aktiv ausgenutzte Schwachstellen im SSL-VPN, die die US-Behörde CISA in ihrem Katalog bekannter ausgenutzter Schwachstellen führt. Viele Betreiber stellen deshalb die Grundsatzfrage.
Auf einen Blick
- Quelle
- Fortinet FortiGate
- Ziel
- OPNsense, Business Edition
- Umschaltung
- meist 1–2 Stunden
- Rückfallebene
- bis zur Freigabe
Ausgangslage
Warum Betreiber wechseln
Bei FortiGates hängen IPS, Webfilter und Application Control an Bundles, die jährlich verlängert werden. Hardware-Generation und Lizenzlaufzeit sind eng gekoppelt. Wer ohnehin vor einer Erneuerung steht, sollte den Vergleich machen.
Typische Gründe
- jährliche Bundle-Kosten für Funktionen, die OPNsense ohne Aufpreis liefert
- Kopplung von Hardware-Lebenszyklus und Lizenz
- wiederkehrende Notfall-Patches für das SSL-VPN
- Wunsch nach offenem Code und europäischem Hersteller
Funktionen
Was aus Ihren Fortinet FortiGate-Funktionen wird
| Fortinet FortiGate | OPNsense | Hinweis |
|---|---|---|
| Adressobjekte, Gruppen | Aliases | inklusive FQDN-Objekte |
| Policies (Interface-Paare) | Interface-Regeln, Floating Rules | Logik wird übersetzt |
| VIPs (DNAT) | Port-Forward, 1:1-NAT | vollständig abbildbar |
| IPS | Suricata IPS | ET-Open, optional kommerziell |
| Web Filter, App Control | Zenarmor oder Proxy-Kategorien | Richtlinien neu aufbauen |
| SSL-VPN, FortiClient | WireGuard oder OpenVPN mit 2FA | neue Clients mit Profilen |
| IPsec Site-to-Site | IPsec (IKEv2) | Parameter mit Gegenstellen abstimmen |
| SD-WAN | Gateway-Gruppen, Multi-WAN, Policy-based Routing | Failover und Lastverteilung |
| HA (FGCP) | CARP-Cluster mit State-Sync | Wartung ohne Unterbrechung |
| FortiManager, FortiAnalyzer | OPNcentral, API, Syslog an SIEM | anderes Konzept, gleiches Ziel |
| Security Fabric | – | kein direktes Gegenstück |
Vorgehen
So migrieren wir
Ablauf
- Export der FortiOS-Konfiguration, Auswertung der Policy-Treffer
- Bereinigung ungenutzter Policies und Objekte
- Übersetzung von Objekten, Policies, VIPs und VPNs
- Neuaufbau von Web- und Anwendungsfilter
- Dimensionierung nach realem Durchsatz
- Umschaltung im Wartungsfenster, FortiGate als Rückfallebene
- Nachbetreuung und Dokumentation
Worauf Sie achten sollten
- Hardware-Beschleunigung: FortiGates nutzen ASICs. Wir dimensionieren nach Ihrem Durchsatz mit aktivem IPS, nicht nach Datenblatt.
- Zonenlogik: Policies gelten zwischen Interface-Paaren, OPNsense wertet pro Interface eingehend aus.
- FortiToken: Die 2FA wird auf TOTP mit Authenticator-App umgestellt.
Der allgemeine Ablauf in fünf Arbeitsgängen steht unter Migration auf OPNsense.
FAQ
Fragen zur Migration von Fortinet FortiGate
Können wir die FortiGate-Konfiguration importieren?
Nein. Wir übersetzen strukturiert und entfernen dabei Altlasten.
Reicht der Durchsatz von OPNsense?
Mit passend dimensionierter Hardware ja. Entscheidend ist der Durchsatz mit aktivem IPS, und den planen wir realistisch.
Was wird aus FortiToken?
Wir stellen auf TOTP um. Das funktioniert mit gängigen Authenticator-Apps.
Kontakt
Senden Sie uns Ihren Konfigurations-Export
Wir sagen Ihnen, was sich direkt übertragen lässt, was nicht und was die Migration kostet.