Von WatchGuard zu OPNsense
WatchGuard-Fireboxen sind im Mittelstand weit verbreitet. Die Schutzfunktionen hängen an Security-Suiten, die jährlich verlängert werden, und das Management wandert zunehmend in die WatchGuard Cloud.
Auf einen Blick
- Quelle
- WatchGuard
- Ziel
- OPNsense, Business Edition
- Umschaltung
- meist 1–2 Stunden
- Rückfallebene
- bis zur Freigabe
Ausgangslage
Warum Betreiber wechseln
Eine Firebox bringt Firewall, VPN und Security-Dienste mit, gebündelt in Basic- oder Total-Security-Suiten. Mit jeder Hardware-Generation und Verlängerung stellt sich die Kostenfrage neu.
Typische Gründe
- jährliche Suite-Lizenzen für Funktionen, die OPNsense ohne Aufpreis liefert
- Management zunehmend über die Hersteller-Cloud
- Hardware-Tausch bei Lizenz- oder Generationswechsel
- Wunsch nach offenem Code und europäischem Hersteller
Funktionen
Was aus Ihren WatchGuard-Funktionen wird
| WatchGuard | OPNsense | Hinweis |
|---|---|---|
| Aliases, Policies | Aliases, Interface-Regeln | Logik wird übersetzt |
| SNAT, Port-Weiterleitung | NAT | vollständig abbildbar |
| Branch Office VPN | IPsec (IKEv2) | Gegenstellen werden abgestimmt |
| Mobile VPN (SSL, IKEv2) | WireGuard oder OpenVPN mit 2FA | neue Client-Profile |
| IPS | Suricata IPS | ET-Open, optional kommerziell |
| WebBlocker, Application Control | Zenarmor oder Proxy-Kategorien | Richtlinien neu aufbauen |
| Gateway AntiVirus, APT Blocker | – | Schutz an Endpoint und Mail-Gateway |
| FireCluster | CARP-Cluster mit State-Sync | Wartung ohne Unterbrechung |
| WatchGuard Cloud, Dimension | OPNcentral, API, Syslog an SIEM | anderes Konzept, gleiches Ziel |
| AuthPoint (MFA) | TOTP-2FA | Authenticator-App statt Hersteller-MFA |
Vorgehen
So migrieren wir
Ablauf
- Export der Firebox-Konfiguration, Auswertung der Policies
- Bereinigung ungenutzter Policies und Aliases
- Übersetzung von Policies, NAT und VPNs
- Neuaufbau von Web- und Anwendungsfilter
- Umschaltung im Wartungsfenster, Firebox als Rückfallebene
- Nachbetreuung und Dokumentation
Worauf Sie achten sollten
- Proxy-Policies: Pro Dienst entscheiden wir, ob Paketfilter, Proxy oder Zenarmor das richtige Gegenstück ist.
- Gateway AV und APT Blocker: Diesen Schutz verlagern wir auf Endpoint und Mail-Gateway.
- AuthPoint: Die MFA wird auf TOTP umgestellt.
Der allgemeine Ablauf in fünf Arbeitsgängen steht unter Migration auf OPNsense.
FAQ
Fragen zur Migration von WatchGuard
Können wir die Firebox-Konfiguration importieren?
Nein. Wir übersetzen strukturiert und räumen dabei auf.
Was wird aus Gateway AntiVirus?
Diesen Schutz leisten moderne Endpoint-Lösungen und das Mail-Gateway besser. Die Firewall konzentriert sich auf Segmentierung, IPS und Zugriffskontrolle.
Kontakt
Senden Sie uns Ihren Konfigurations-Export
Wir sagen Ihnen, was sich direkt übertragen lässt, was nicht und was die Migration kostet.