Migracja do OPNsense
Migracja zapory rzadko kończy się niepowodzeniem z powodu nowej zapory. Przyczyną są zapomniane reguły, stare punkty końcowe VPN, nieudokumentowane wyjątki i ta jedna drukarka, która od lat potrzebuje przekierowania portu. Dlatego zaczynamy od tego, co już Państwo mają.
Proces
Pięć kroków, jeden runbook
-
10 Inwentaryzacjawspólnie uporządkowany docelowy zestaw reguł
Eksport konfiguracji, rozmowa z Państwa zespołem IT, analiza reguł, NAT, VPN, certyfikatów i przypadków szczególnych. Liczniki trafień pokazują, które reguły są faktycznie używane.
-
20 Tłumaczenieaepfel+birnen gotowa konfiguracja docelowa
Przeniesienie do logiki OPNsense: aliasy, reguły interfejsów, NAT, tunele VPN, integracja użytkowników. Funkcje specyficzne dla producenta odwzorowujemy za pomocą wbudowanych narzędzi lub wtyczek.
-
30 Testywspólnie zatwierdzone protokoły testów
Uruchomienie w laboratorium lub równolegle w segmencie testowym. Krytyczne aplikacje, tunele VPN i przypadki szczególne sprawdzamy według wspólnej listy kontrolnej.
-
40 Przełączenieaepfel+birnen OPNsense w produkcji
Przełączenie w oknie serwisowym według runbooka. Stara zapora pozostaje podłączona i gotowa, a powrót zajmuje kilka minut.
-
50 Wsparcie po wdrożeniuaepfel+birnen kompletna dokumentacja
Analiza logów pod kątem zablokowanych prawidłowych połączeń, dostrojenie zestawu reguł, przekazanie dokumentacji.
Według producenta
Migracja według systemu źródłowego
Każdy producent ma swoje specyfiki. Każdy system źródłowy ma własną stronę z mapowaniem funkcji.
Inwentaryzacja
Co ustalamy i gdzie pojawiają się trudności
Co ustalamy
- interfejsy, sieci VLAN, strefy i plan adresacji IP
- reguły zapory z licznikami trafień
- NAT i publikowane usługi
- połączenia VPN site-to-site wraz z ich punktami końcowymi
- VPN zdalnego dostępu, użytkownicy, 2FA
- DHCP, DNS, NTP, certyfikaty
- filtry stron i aplikacji
- przypadki szczególne: VoIP, multicast, IPv6, urządzenia medyczne
Typowe pułapki
- Logika stref: wielu producentów myśli parami stref, a OPNsense ocenia reguły na wejściu każdego interfejsu. Tłumaczymy tę logikę.
- MTU i MSS przy IPsec: od początku ustawiamy MSS clamping.
- Punkty końcowe VPN: parametry i termin uzgadniamy z wyprzedzeniem.
- VoIP i SIP: działanie ALG się różni, dlatego testujemy telefonię osobno.
- Ukryte zależności: liczniki trafień i logi pokazują, co jest faktycznie używane.
Nakład pracy
Ile to trwa
| Środowisko | Przygotowanie | Przełączenie |
|---|---|---|
| jedna lokalizacja, przejrzysty zestaw reguł | kilka dni | 1–2 godziny |
| kilka lokalizacji, sieć VPN typu mesh | 1–3 tygodnie | etapami dla każdej lokalizacji |
| klaster HA, centrum danych, szpital | kilka tygodni | według runbooka, często bez zauważalnej przerwy |
Rezultat
Co Państwo otrzymują na końcu
Dokumentacja jest przygotowana tak, aby mógł ją przejąć inny usługodawca. Chcemy zatrzymać Państwa jakością, a nie wiedzą, którą mamy tylko my.
Przekazanie
- działający OPNsense z uporządkowanym zestawem reguł
- schemat sieci i dokumentacja zestawu reguł
- protokoły testów i odbiór
- dane dostępowe i procedura awaryjna
- kopia konfiguracji poza zaporą
FAQ
Najczęściej zadawane pytania
Czy możemy po prostu zaimportować starą konfigurację?
Nie, i dobrze. Nawet między pfSense a OPNsense nie ma niezawodnego bezpośredniego importu. Uporządkowane tłumaczenie to okazja, aby pozbyć się starych naleciałości.
Co jeśli po przełączeniu coś nie działa?
Stara zapora pozostaje podłączona i gotowa do pracy aż do odbioru. W razie wątpliwości wracamy do niej w ciągu kilku minut, analizujemy problem i próbujemy ponownie.
Czy nasi pracownicy muszą coś zrobić?
Jeśli zmienia się technologia VPN, instalują nowego klienta. Dostarczamy wstępnie skonfigurowane profile i krótką instrukcję.
Kontakt
Ile pracy wymaga Państwa migracja?
Proszę przesłać nam eksport konfiguracji, a rzetelnie oszacujemy nakład pracy.