De Sophos para OPNsense
A Sophos SG UTM atingiu o fim de vida a 30 de junho de 2026. Desde então não há atualizações de segurança. Quem ainda opera uma UTM tem um sistema de perímetro sem correções. A mudança é inevitável. A única questão em aberto é o destino.
Em resumo
- Origem
- Sophos
- Destino
- OPNsense Business Edition
- Comutação
- normalmente 1–2 horas
- Retorno
- até à aceitação
Ponto de partida
Porque mudam os operadores
A Sophos propõe a passagem para o Sophos Firewall (SFOS), normalmente com novo hardware XGS. Não se trata de uma atualização, mas de uma migração completa para outra plataforma, com outra interface, outra lógica de regras e novos pacotes de licenças. Se o esforço vai acontecer de qualquer forma, vale a pena comparar com o OPNsense.
Motivos habituais
- deixa de haver atualizações de segurança para a SG UTM
- XGS significa novo hardware, nova interface e novos pacotes de licenças
- subscrições contínuas para funcionalidades que o OPNsense oferece sem custo adicional
- preferência por código aberto e por um fabricante europeu
Funcionalidades
O que acontece às suas funcionalidades Sophos
| Sophos | OPNsense | Nota |
|---|---|---|
| Network definitions | Aliases | hosts, redes, grupos e FQDN transferem-se sem problemas |
| Regras de firewall | Regras de interface, regras flutuantes | a lógica é traduzida, não copiada |
| NAT, DNAT, SNAT | Port forward, NAT de saída, NAT 1:1 | totalmente suportado |
| Intrusion Prevention | Suricata IPS | ET Open, conjuntos de regras comerciais opcionais |
| Web Protection | Proxy ou Zenarmor | as políticas são reconstruídas |
| Application Control | Zenarmor | deteção na camada 7 |
| VPN site-to-site | IPsec (IKEv2) | os peers são coordenados previamente |
| SSL VPN, acesso remoto | WireGuard ou OpenVPN com 2FA | novos clientes com perfis prontos |
| Equipamentos RED | pequeno OPNsense com IPsec ou WireGuard | sem equivalente direto |
| Web Application Firewall | HAProxy ou nginx como proxy inverso | verificar o âmbito caso a caso |
| Email Protection | – | recomenda-se um gateway de email separado |
| HA (ativo-passivo) | Cluster CARP com sincronização de estados | manutenção sem interrupção |
Abordagem
Como migramos
Processo
- Exportação da configuração da UTM, análise dos contadores de ocorrências
- Limpeza de regras e objetos não utilizados
- Tradução de objetos, regras, NAT e VPNs
- Reconstrução da filtragem web e de aplicações
- Coordenação com os peers VPN, testes em laboratório
- Comutação numa janela de manutenção, a UTM fica como plano de retorno
- Acompanhamento posterior e entrega da documentação
Pontos de atenção
- Email Protection: se a UTM também filtra o email, planeamos uma solução separada para isso.
- Filiais RED: cada RED é substituído por uma pequena firewall. Normalmente mais estável, mas requer hardware no local.
- Clientes SSL VPN: os colaboradores recebem um novo cliente com perfil pronto.
- Synchronized Security: a integração com os endpoints desaparece. A segmentação e a ligação ao SIEM colmatam esta lacuna.
O processo geral em cinco passos está descrito em Migrar para OPNsense.
FAQ
Perguntas sobre a migração a partir de Sophos
Não posso simplesmente continuar a usar a UTM?
Tecnicamente sim, de forma responsável não. Uma firewall de perímetro sem atualizações de segurança é uma porta aberta. Perante a NIS2, o KRITIS (regulamentação alemã de infraestruturas críticas) ou os requisitos das seguradoras, isso é difícil de justificar.
Podemos reutilizar o hardware Sophos?
Algum hardware SG mais antigo é baseado em x86 e, em princípio, pode executar OPNsense. Em produção desaconselhamos, porque a garantia e o suporte do fabricante já não estão disponíveis.
Quanto tempo demora a mudança?
Para uma instalação, normalmente alguns dias de preparação e uma janela de manutenção de uma a duas horas. Migramos várias instalações de forma faseada.
Contacto
Envie-nos a exportação da sua configuração
Indicamos o que pode ser transferido diretamente, o que não pode e quanto custará a migração.