Van Fortinet FortiGate naar OPNsense
FortiGates zijn krachtig, maar gebonden aan securitybundels en supportcontracten. Daarbij kwamen herhaaldelijk misbruikte kwetsbaarheden in de SSL VPN, die de Amerikaanse instantie CISA in haar catalogus van actief misbruikte kwetsbaarheden opneemt. Veel beheerders stellen daarom de principiële vraag.
In één oogopslag
- Bron
- Fortinet FortiGate
- Doel
- OPNsense Business Edition
- Omschakeling
- meestal 1–2 uur
- Terugvaloptie
- tot de acceptatie
Uitgangssituatie
Waarom beheerders overstappen
Bij FortiGates hangen IPS, webfilter en applicatiecontrole af van bundels die jaarlijks worden verlengd. Hardwaregeneratie en licentieduur zijn nauw met elkaar verbonden. Wie toch voor een verlenging staat, doet er goed aan te vergelijken.
Typische redenen
- jaarlijkse bundelkosten voor functies die OPNsense zonder meerprijs biedt
- koppeling van hardwarelevenscyclus en licentie
- terugkerende noodpatches voor de SSL VPN
- voorkeur voor open code en een Europese leverancier
Functies
Wat er van uw Fortinet FortiGate-functies wordt
| Fortinet FortiGate | OPNsense | Opmerking |
|---|---|---|
| Adresobjecten, groepen | Aliassen | inclusief FQDN-objecten |
| Policies (interfaceparen) | Interfaceregels, floating rules | logica wordt vertaald |
| VIP’s (DNAT) | Port forward, 1:1 NAT | volledig ondersteund |
| IPS | Suricata IPS | ET Open, optioneel commercieel |
| Web Filter, App Control | Zenarmor of proxycategorieën | policies worden opnieuw opgebouwd |
| SSL VPN, FortiClient | WireGuard of OpenVPN met 2FA | nieuwe clients met profielen |
| IPsec site-to-site | IPsec (IKEv2) | parameters afstemmen met peers |
| SD-WAN | Gatewaygroepen, multi-WAN, policy-based routing | failover en load balancing |
| HA (FGCP) | CARP-cluster met state sync | onderhoud zonder onderbreking |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog naar SIEM | ander concept, zelfde doel |
| Security Fabric | – | geen direct equivalent |
Aanpak
Hoe wij migreren
Verloop
- Export van de FortiOS-configuratie, analyse van policy-hits
- Opschonen van ongebruikte policies en objecten
- Vertaling van objecten, policies, VIP’s en VPN’s
- Herinrichting van web- en applicatiefilter
- Dimensionering op basis van werkelijke doorvoer
- Omschakeling in een onderhoudsvenster, FortiGate als terugvaloptie
- Nazorg en documentatie
Waar u op moet letten
- Hardwareversnelling: FortiGates gebruiken ASIC’s. Wij dimensioneren op uw doorvoer met actieve IPS, niet op de datasheet.
- Zonelogica: policies gelden tussen interfaceparen, OPNsense evalueert inkomend per interface.
- FortiToken: 2FA wordt omgezet naar TOTP met een authenticator-app.
Het algemene verloop in vijf stappen vindt u onder Migratie naar OPNsense.
FAQ
Vragen over de migratie van Fortinet FortiGate
Kunnen wij de FortiGate-configuratie importeren?
Nee. Wij vertalen gestructureerd en ruimen daarbij oude ballast op.
Is de doorvoer van OPNsense voldoende?
Met passend gedimensioneerde hardware wel. Bepalend is de doorvoer met actieve IPS, en daar plannen wij realistisch voor.
Wat gebeurt er met FortiToken?
Wij stappen over op TOTP. Dat werkt met gangbare authenticator-apps.
Contact
Stuur ons uw configuratie-export
Wij vertellen u wat direct kan worden overgenomen, wat niet en wat de migratie kost.