Migrar para OPNsense
Uma migração de firewall raramente falha por causa da nova firewall. Falha por regras esquecidas, peers VPN antigos, exceções não documentadas e aquela impressora que há anos precisa de um reencaminhamento de porta. Por isso, começamos pelo que já tem.
Processo
Cinco passos, um runbook
-
10 Inventárioem conjunto conjunto de regras de destino depurado
Exportação da configuração, conversa com a sua equipa de TI, análise de regras, NAT, VPNs, certificados e casos especiais. Os contadores de ocorrências mostram que regras são de facto utilizadas.
-
20 Traduçãoaepfel+birnen configuração de destino concluída
Conversão para a lógica OPNsense: aliases, regras de interface, NAT, túneis VPN, integração de utilizadores. Mapeamos as funcionalidades específicas do fabricante com ferramentas integradas ou plugins.
-
30 Testesem conjunto relatórios de teste aprovados
Montagem em laboratório ou em paralelo num segmento de teste. Verificamos aplicações críticas, túneis VPN e casos especiais com base numa lista de verificação comum.
-
40 Comutaçãoaepfel+birnen OPNsense em produção
Comutação numa janela de manutenção segundo um runbook. A firewall antiga fica ligada e pronta, e voltar atrás demora minutos.
-
50 Acompanhamentoaepfel+birnen documentação completa
Análise de registos à procura de ligações legítimas bloqueadas, afinação do conjunto de regras, entrega da documentação.
Por fabricante
Migração por sistema de origem
Cada fabricante tem as suas particularidades. Cada sistema de origem tem a sua própria página com o mapeamento de funcionalidades.
Inventário
O que registamos e onde surgem os obstáculos
O que registamos
- interfaces, VLANs, zonas e plano de endereçamento IP
- regras de firewall com contadores de ocorrências
- NAT e serviços publicados
- VPNs site-to-site com os respetivos peers
- VPN de acesso remoto, utilizadores, 2FA
- DHCP, DNS, NTP, certificados
- filtros web e de aplicações
- casos especiais: VoIP, multicast, IPv6, dispositivos médicos
Armadilhas típicas
- Lógica de zonas: muitos fabricantes pensam em pares de zonas, enquanto o OPNsense avalia as regras à entrada de cada interface. Traduzimos a lógica.
- MTU e MSS com IPsec: configuramos o MSS clamping desde o início.
- Peers VPN: acordamos previamente parâmetros e calendário.
- VoIP e SIP: o comportamento ALG difere, por isso testamos especificamente a telefonia.
- Dependências ocultas: os contadores de ocorrências e os registos mostram o que é realmente utilizado.
Esforço
Quanto tempo demora
| Ambiente | Preparação | Comutação |
|---|---|---|
| uma instalação, conjunto de regras gerível | alguns dias | 1–2 horas |
| várias instalações, malha VPN | 1–3 semanas | escalonada por instalação |
| cluster HA, centro de dados, hospital | várias semanas | segundo o runbook, muitas vezes sem interrupção percetível |
Resultado
O que tem no final
A documentação está estruturada de forma a que outro prestador de serviços possa assumir. Queremos mantê-lo como cliente pela qualidade, não por conhecimento que só nós temos.
Entrega
- OPNsense em funcionamento com um conjunto de regras depurado
- diagrama de rede e documentação do conjunto de regras
- relatórios de teste e aceitação
- credenciais de acesso e procedimento de emergência
- cópia de segurança da configuração fora da firewall
FAQ
Perguntas frequentes
Podemos simplesmente importar a configuração antiga?
Não, e ainda bem. Nem sequer entre pfSense e OPNsense existe uma importação direta fiável. A tradução estruturada é a oportunidade de eliminar o lastro acumulado.
O que acontece se algo não funcionar após a mudança?
A firewall antiga fica ligada e pronta até à aceitação. Em caso de dúvida, voltamos atrás em minutos, analisamos o problema e tentamos de novo.
Os nossos colaboradores têm de fazer alguma coisa?
Se a tecnologia VPN mudar, instalam um novo cliente. Disponibilizamos perfis pré-configurados e um guia breve.
Contacto
Quanto trabalho dará a sua migração?
Envie-nos uma exportação da configuração e damos-lhe uma estimativa fiável do esforço.