Van Sophos naar OPNsense
De Sophos SG UTM heeft op 30 juni 2026 het einde van zijn levensduur bereikt. Sindsdien zijn er geen beveiligingsupdates meer. Wie nog een UTM gebruikt, heeft een ongepatcht perimetersysteem in bedrijf. Een overstap is hoe dan ook nodig. De enige open vraag is de bestemming.
In één oogopslag
- Bron
- Sophos
- Doel
- OPNsense Business Edition
- Omschakeling
- meestal 1–2 uur
- Terugvaloptie
- tot de acceptatie
Uitgangssituatie
Waarom beheerders overstappen
Sophos biedt de overstap naar Sophos Firewall (SFOS) aan, meestal met nieuwe XGS-hardware. Dat is geen update maar een volledige migratie naar een ander platform met een andere interface, andere regellogica en nieuwe licentiebundels. Als die inspanning er toch komt, loont een vergelijking met OPNsense.
Typische redenen
- geen beveiligingsupdates meer voor de SG UTM
- XGS betekent nieuwe hardware, een nieuwe interface en nieuwe licentiebundels
- doorlopende abonnementen voor functies die OPNsense zonder meerprijs biedt
- voorkeur voor open code en een Europese leverancier
Functies
Wat er van uw Sophos-functies wordt
| Sophos | OPNsense | Opmerking |
|---|---|---|
| Network definitions | Aliassen | hosts, netwerken, groepen en FQDN’s worden zuiver overgenomen |
| Firewallregels | Interfaceregels, floating rules | logica wordt vertaald, niet gekopieerd |
| NAT, DNAT, SNAT | Port forward, outbound NAT, 1:1 NAT | volledig ondersteund |
| Intrusion Prevention | Suricata IPS | ET Open, optioneel commerciële regelsets |
| Web Protection | Proxy of Zenarmor | policies worden opnieuw opgebouwd |
| Application Control | Zenarmor | Layer 7-detectie |
| Site-to-site-VPN | IPsec (IKEv2) | peers worden vooraf afgestemd |
| SSL VPN, remote access | WireGuard of OpenVPN met 2FA | nieuwe clients met kant-en-klare profielen |
| RED-apparaten | kleine OPNsense met IPsec of WireGuard | geen direct equivalent |
| Web Application Firewall | HAProxy of nginx als reverse proxy | functieomvang per geval controleren |
| Email Protection | – | aparte mailgateway aanbevolen |
| HA (actief-passief) | CARP-cluster met state sync | onderhoud zonder onderbreking |
Aanpak
Hoe wij migreren
Verloop
- Export van de UTM-configuratie, analyse van de hit counters
- Opschonen van ongebruikte regels en objecten
- Vertaling van objecten, regels, NAT en VPN’s
- Herinrichting van web- en applicatiefilter
- Afstemming met VPN-peers, test in het lab
- Omschakeling in een onderhoudsvenster, de UTM blijft als terugvaloptie
- Nazorg en overdracht van de documentatie
Waar u op moet letten
- Email Protection: als de UTM ook e-mail filtert, plannen wij daarvoor een aparte oplossing.
- RED-filialen: elke RED wordt vervangen door een kleine firewall. Meestal stabieler, maar het vraagt hardware ter plaatse.
- SSL VPN-clients: medewerkers krijgen een nieuwe client met kant-en-klaar profiel.
- Synchronized Security: de endpointintegratie vervalt. Segmentatie en SIEM-koppeling vullen dit gat.
Het algemene verloop in vijf stappen vindt u onder Migratie naar OPNsense.
FAQ
Vragen over de migratie van Sophos
Kan ik de UTM niet gewoon laten draaien?
Technisch wel, verantwoord niet. Een perimeterfirewall zonder beveiligingsupdates is een open deur. Onder NIS2, KRITIS (de Duitse regelgeving voor kritieke infrastructuur) of eisen van verzekeraars is dat moeilijk te verantwoorden.
Kunnen wij de Sophos-hardware hergebruiken?
Sommige oudere SG-hardware is x86-gebaseerd en kan in principe OPNsense draaien. Voor productie raden wij dat af, omdat garantie en support van de fabrikant vervallen.
Hoe lang duurt de overstap?
Bij één locatie meestal enkele dagen voorbereiding en een onderhoudsvenster van één tot twee uur. Meerdere locaties migreren wij gefaseerd.
Contact
Stuur ons uw configuratie-export
Wij vertellen u wat direct kan worden overgenomen, wat niet en wat de migratie kost.