De Fortinet FortiGate para OPNsense
As FortiGate são potentes, mas estão ligadas a pacotes de segurança e contratos de suporte. Acresce que houve repetidamente vulnerabilidades exploradas na SSL VPN, incluídas pela agência norte-americana CISA no seu catálogo de vulnerabilidades conhecidas e exploradas. Por isso, muitos operadores colocam a questão de fundo.
Em resumo
- Origem
- Fortinet FortiGate
- Destino
- OPNsense Business Edition
- Comutação
- normalmente 1–2 horas
- Retorno
- até à aceitação
Ponto de partida
Porque mudam os operadores
Nas FortiGate, o IPS, a filtragem web e o controlo de aplicações dependem de pacotes renovados anualmente. A geração de hardware e o prazo da licença estão estreitamente ligados. Se tem uma renovação pela frente, vale a pena fazer a comparação.
Motivos habituais
- custos anuais de pacotes para funcionalidades que o OPNsense oferece sem custo adicional
- ligação entre o ciclo de vida do hardware e a licença
- correções de emergência recorrentes para a SSL VPN
- preferência por código aberto e por um fabricante europeu
Funcionalidades
O que acontece às suas funcionalidades Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Nota |
|---|---|---|
| Objetos de endereço, grupos | Aliases | incluindo objetos FQDN |
| Policies (pares de interfaces) | Regras de interface, regras flutuantes | a lógica é traduzida |
| VIPs (DNAT) | Port forward, NAT 1:1 | totalmente suportado |
| IPS | Suricata IPS | ET Open, opcionalmente comercial |
| Web Filter, App Control | Zenarmor ou categorias de proxy | as políticas são reconstruídas |
| SSL VPN, FortiClient | WireGuard ou OpenVPN com 2FA | novos clientes com perfis |
| IPsec site-to-site | IPsec (IKEv2) | acordar parâmetros com os peers |
| SD-WAN | Grupos de gateways, multi-WAN, encaminhamento por políticas | failover e balanceamento de carga |
| HA (FGCP) | Cluster CARP com sincronização de estados | manutenção sem interrupção |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog para SIEM | conceito diferente, mesmo objetivo |
| Security Fabric | – | sem equivalente direto |
Abordagem
Como migramos
Processo
- Exportação da configuração FortiOS, análise das ocorrências das políticas
- Limpeza de políticas e objetos não utilizados
- Tradução de objetos, políticas, VIPs e VPNs
- Reconstrução da filtragem web e de aplicações
- Dimensionamento com base no débito real
- Comutação numa janela de manutenção, FortiGate como plano de retorno
- Acompanhamento posterior e documentação
Pontos de atenção
- Aceleração por hardware: as FortiGate utilizam ASICs. Dimensionamos para o seu débito com IPS ativo, não segundo a ficha técnica.
- Lógica de zonas: as políticas aplicam-se entre pares de interfaces, enquanto o OPNsense avalia à entrada de cada interface.
- FortiToken: a 2FA passa para TOTP com uma aplicação autenticadora.
O processo geral em cinco passos está descrito em Migrar para OPNsense.
FAQ
Perguntas sobre a migração a partir de Fortinet FortiGate
Podemos importar a configuração da FortiGate?
Não. Traduzimos de forma estruturada e eliminamos o lastro acumulado pelo caminho.
O débito do OPNsense é suficiente?
Com hardware devidamente dimensionado, sim. O decisivo é o débito com IPS ativo, e planeamos isso de forma realista.
O que acontece ao FortiToken?
Mudamos para TOTP. Funciona com as aplicações autenticadoras habituais.
Contacto
Envie-nos a exportação da sua configuração
Indicamos o que pode ser transferido diretamente, o que não pode e quanto custará a migração.