Von Sophos zu OPNsense
Die Sophos SG UTM hat am 30. Juni 2026 ihr End of Life erreicht. Seitdem gibt es keine Sicherheitsupdates mehr. Wer noch eine UTM betreibt, betreibt ein ungepatchtes Perimeter-System. Der Wechsel ist ohnehin fällig, offen ist nur das Ziel.
Auf einen Blick
- Quelle
- Sophos
- Ziel
- OPNsense, Business Edition
- Umschaltung
- meist 1–2 Stunden
- Rückfallebene
- bis zur Freigabe
Ausgangslage
Warum Betreiber wechseln
Sophos bietet den Wechsel auf die Sophos Firewall (SFOS) an, meist mit neuer XGS-Hardware. Das ist kein Update, sondern eine vollständige Migration auf eine andere Plattform mit anderer Oberfläche, anderer Regellogik und neuen Lizenzbündeln. Wenn der Aufwand ohnehin anfällt, lohnt der Vergleich mit OPNsense.
Typische Gründe
- keine Sicherheitsupdates mehr für die SG UTM
- XGS bedeutet neue Hardware, neue Oberfläche, neue Lizenzbündel
- laufende Subscriptions für Funktionen, die OPNsense ohne Aufpreis liefert
- Wunsch nach offenem Code und europäischem Hersteller
Funktionen
Was aus Ihren Sophos-Funktionen wird
| Sophos | OPNsense | Hinweis |
|---|---|---|
| Netzwerkdefinitionen | Aliases | Hosts, Netze, Gruppen und FQDNs sauber übertragbar |
| Firewall-Regeln | Interface-Regeln, Floating Rules | Logik wird übersetzt, nicht kopiert |
| NAT, DNAT, SNAT | Port-Forward, Outbound-NAT, 1:1-NAT | vollständig abbildbar |
| Intrusion Prevention | Suricata IPS | ET-Open, optional kommerzielle Regelsätze |
| Web Protection | Proxy oder Zenarmor | Richtlinien werden neu aufgebaut |
| Application Control | Zenarmor | Erkennung auf Layer 7 |
| Site-to-Site-VPN | IPsec (IKEv2) | Gegenstellen werden vorab abgestimmt |
| SSL-VPN, Remote Access | WireGuard oder OpenVPN mit 2FA | neue Clients mit fertigen Profilen |
| RED-Geräte | kleine OPNsense mit IPsec oder WireGuard | kein direktes Gegenstück |
| Web Application Firewall | HAProxy oder nginx als Reverse Proxy | Funktionsumfang im Einzelfall prüfen |
| Email Protection | – | separates Mail-Gateway empfohlen |
| HA (Active-Passive) | CARP-Cluster mit State-Sync | Wartung ohne Unterbrechung |
Vorgehen
So migrieren wir
Ablauf
- Export der UTM-Konfiguration, Auswertung der Trefferzähler
- Bereinigung ungenutzter Regeln und Objekte
- Übersetzung von Objekten, Regeln, NAT und VPNs
- Neuaufbau von Web- und Anwendungsfilter
- Abstimmung mit VPN-Gegenstellen, Test im Labor
- Umschaltung im Wartungsfenster, UTM bleibt als Rückfallebene
- Nachbetreuung und Übergabe der Dokumentation
Worauf Sie achten sollten
- Email Protection: Filtert die UTM auch Mails, planen wir dafür eine eigene Lösung ein.
- RED-Außenstellen: Jede RED wird durch eine kleine Firewall ersetzt. Meist stabiler, braucht aber Hardware vor Ort.
- SSL-VPN-Clients: Mitarbeitende bekommen einen neuen Client mit fertigem Profil.
- Synchronized Security: Die Endpoint-Kopplung entfällt. Segmentierung und SIEM-Anbindung schließen diese Lücke.
Der allgemeine Ablauf in fünf Arbeitsgängen steht unter Migration auf OPNsense.
FAQ
Fragen zur Migration von Sophos
Kann ich die UTM nicht einfach weiterlaufen lassen?
Technisch ja, verantwortbar nein. Eine Perimeter-Firewall ohne Sicherheitsupdates ist ein offenes Einfallstor. Mit NIS2-, KRITIS- oder Versicherungspflichten ist das kaum zu begründen.
Können wir die Sophos-Hardware weiterverwenden?
Manche ältere SG-Hardware ist x86-basiert und kann OPNsense grundsätzlich ausführen. Für den Produktivbetrieb raten wir ab, weil Garantie und Herstellersupport fehlen.
Wie lange dauert die Umstellung?
Für einen Einzelstandort meist wenige Tage Vorbereitung und ein Wartungsfenster von ein bis zwei Stunden. Mehrere Standorte stellen wir gestaffelt um.
Kontakt
Senden Sie uns Ihren Konfigurations-Export
Wir sagen Ihnen, was sich direkt übertragen lässt, was nicht und was die Migration kostet.