Z Sophos do OPNsense
Sophos SG UTM osiągnął koniec cyklu życia 30 czerwca 2026 roku. Od tego dnia nie ma aktualizacji bezpieczeństwa. Kto nadal używa UTM, eksploatuje niezałatany system brzegowy. Zmiana i tak jest konieczna. Otwarte pozostaje tylko pytanie, na co.
W skrócie
- Źródło
- Sophos
- Cel
- OPNsense Business Edition
- Przełączenie
- zwykle 1–2 godziny
- Plan powrotu
- do czasu odbioru
Punkt wyjścia
Dlaczego firmy zmieniają zaporę
Sophos oferuje przejście na Sophos Firewall (SFOS), zwykle z nowym sprzętem XGS. To nie aktualizacja, lecz pełna migracja na inną platformę z innym interfejsem, inną logiką reguł i nowymi pakietami licencyjnymi. Skoro nakład pracy i tak jest nieunikniony, warto porównać to rozwiązanie z OPNsense.
Typowe powody
- brak aktualizacji bezpieczeństwa dla SG UTM
- XGS oznacza nowy sprzęt, nowy interfejs i nowe pakiety licencyjne
- stałe subskrypcje za funkcje, które OPNsense zapewnia bez dopłat
- preferencja dla otwartego kodu i europejskiego producenta
Funkcje
Co dzieje się z funkcjami Sophos
| Sophos | OPNsense | Uwagi |
|---|---|---|
| Definicje sieci | Aliasy | hosty, sieci, grupy i FQDN przenoszą się bez problemów |
| Reguły zapory | Reguły interfejsów, reguły floating | logika jest tłumaczona, a nie kopiowana |
| NAT, DNAT, SNAT | Przekierowanie portów, NAT wychodzący, NAT 1:1 | pełne wsparcie |
| Intrusion Prevention | Suricata IPS | ET Open, opcjonalnie komercyjne zestawy reguł |
| Web Protection | Proxy lub Zenarmor | polityki są odtwarzane |
| Application Control | Zenarmor | rozpoznawanie w warstwie 7 |
| VPN site-to-site | IPsec (IKEv2) | punkty końcowe uzgadniamy z wyprzedzeniem |
| SSL VPN, dostęp zdalny | WireGuard lub OpenVPN z 2FA | nowi klienci z gotowymi profilami |
| Urządzenia RED | mały OPNsense z IPsec lub WireGuard | brak bezpośredniego odpowiednika |
| Web Application Firewall | HAProxy lub nginx jako reverse proxy | zakres funkcji sprawdzamy indywidualnie |
| Email Protection | – | zalecana osobna brama pocztowa |
| HA (aktywny-pasywny) | Klaster CARP z synchronizacją stanów | prace serwisowe bez przerw |
Sposób działania
Jak przeprowadzamy migrację
Przebieg
- Eksport konfiguracji UTM, analiza liczników trafień
- Usunięcie nieużywanych reguł i obiektów
- Tłumaczenie obiektów, reguł, NAT i VPN
- Odtworzenie filtrowania stron i aplikacji
- Uzgodnienia z partnerami VPN, testy w laboratorium
- Przełączenie w oknie serwisowym, UTM pozostaje planem powrotu
- Wsparcie po wdrożeniu i przekazanie dokumentacji
Na co zwrócić uwagę
- Email Protection: jeśli UTM filtruje także pocztę, planujemy dla niej osobne rozwiązanie.
- Oddziały z RED: każde urządzenie RED zastępuje mała zapora. Zwykle działa to stabilniej, ale wymaga sprzętu na miejscu.
- Klienci SSL VPN: pracownicy otrzymują nowego klienta z gotowym profilem.
- Synchronized Security: integracja z punktami końcowymi znika. Tę lukę zamykają segmentacja i podłączenie do SIEM.
Ogólny przebieg w pięciu krokach opisujemy na stronie Migracja do OPNsense.
FAQ
Pytania o migrację z Sophos
Czy nie mogę po prostu dalej używać UTM?
Technicznie tak, odpowiedzialnie nie. Zapora brzegowa bez aktualizacji bezpieczeństwa to otwarte drzwi. W świetle NIS2, KRITIS (niemieckich przepisów o infrastrukturze krytycznej) lub wymagań ubezpieczycieli trudno to uzasadnić.
Czy możemy ponownie wykorzystać sprzęt Sophos?
Część starszego sprzętu SG jest oparta na x86 i w zasadzie może uruchomić OPNsense. W produkcji to odradzamy, ponieważ gwarancja i wsparcie producenta już nie obowiązują.
Jak długo trwa zmiana?
Dla jednej lokalizacji zwykle kilka dni przygotowań i okno serwisowe od jednej do dwóch godzin. Wiele lokalizacji migrujemy etapami.
Kontakt
Proszę przesłać nam eksport konfiguracji
Powiemy Państwu, co można przenieść bezpośrednio, czego nie i ile będzie kosztować migracja.