Z Fortinet FortiGate do OPNsense
FortiGate to wydajne urządzenia, ale powiązane z pakietami bezpieczeństwa i umowami serwisowymi. Do tego dochodzą wielokrotnie wykorzystywane podatności w SSL VPN, które amerykańska agencja CISA umieściła w katalogu znanych wykorzystywanych podatności. Dlatego wielu operatorów zadaje sobie zasadnicze pytanie.
W skrócie
- Źródło
- Fortinet FortiGate
- Cel
- OPNsense Business Edition
- Przełączenie
- zwykle 1–2 godziny
- Plan powrotu
- do czasu odbioru
Punkt wyjścia
Dlaczego firmy zmieniają zaporę
W FortiGate funkcje IPS, filtrowania stron i kontroli aplikacji zależą od pakietów odnawianych co roku. Generacja sprzętu i okres licencji są ze sobą ściśle powiązane. Jeśli i tak zbliża się odnowienie, warto zrobić porównanie.
Typowe powody
- roczne koszty pakietów za funkcje, które OPNsense zapewnia bez dopłat
- powiązanie cyklu życia sprzętu z licencją
- powtarzające się awaryjne poprawki dla SSL VPN
- preferencja dla otwartego kodu i europejskiego producenta
Funkcje
Co dzieje się z funkcjami Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Uwagi |
|---|---|---|
| Obiekty adresowe, grupy | Aliasy | łącznie z obiektami FQDN |
| Polityki (pary interfejsów) | Reguły interfejsów, reguły floating | logika jest tłumaczona |
| VIP (DNAT) | Przekierowanie portów, NAT 1:1 | pełne wsparcie |
| IPS | Suricata IPS | ET Open, opcjonalnie komercyjne |
| Web Filter, App Control | Zenarmor lub kategorie proxy | polityki są odtwarzane |
| SSL VPN, FortiClient | WireGuard lub OpenVPN z 2FA | nowi klienci z profilami |
| IPsec site-to-site | IPsec (IKEv2) | parametry uzgadniane z partnerami |
| SD-WAN | Grupy bram, multi-WAN, routing oparty na politykach | przełączanie awaryjne i równoważenie obciążenia |
| HA (FGCP) | Klaster CARP z synchronizacją stanów | prace serwisowe bez przerw |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog do SIEM | inna koncepcja, ten sam cel |
| Security Fabric | – | brak bezpośredniego odpowiednika |
Sposób działania
Jak przeprowadzamy migrację
Przebieg
- Eksport konfiguracji FortiOS, analiza trafień polityk
- Usunięcie nieużywanych polityk i obiektów
- Tłumaczenie obiektów, polityk, VIP i VPN
- Odtworzenie filtrowania stron i aplikacji
- Dobór sprzętu na podstawie rzeczywistej przepustowości
- Przełączenie w oknie serwisowym, FortiGate jako plan powrotu
- Wsparcie po wdrożeniu i dokumentacja
Na co zwrócić uwagę
- Akceleracja sprzętowa: FortiGate korzysta z układów ASIC. Dobieramy sprzęt do Państwa przepustowości przy włączonym IPS, a nie według karty katalogowej.
- Logika stref: polityki obowiązują między parami interfejsów, a OPNsense ocenia ruch na wejściu każdego interfejsu.
- FortiToken: 2FA przełączamy na TOTP z aplikacją uwierzytelniającą.
Ogólny przebieg w pięciu krokach opisujemy na stronie Migracja do OPNsense.
FAQ
Pytania o migrację z Fortinet FortiGate
Czy możemy zaimportować konfigurację FortiGate?
Nie. Tłumaczymy ją w uporządkowany sposób i przy okazji usuwamy stare naleciałości.
Czy przepustowość OPNsense wystarczy?
Przy odpowiednio dobranym sprzęcie tak. Decyduje przepustowość przy włączonym IPS, a tę planujemy realistycznie.
Co się stanie z FortiToken?
Przechodzimy na TOTP. Działa to z popularnymi aplikacjami uwierzytelniającymi.
Kontakt
Proszę przesłać nam eksport konfiguracji
Powiemy Państwu, co można przenieść bezpośrednio, czego nie i ile będzie kosztować migracja.