Sophos XG → OPNsense HA‑Cluster. Drei Wochen, keine Minute Ausfall.

Eine Sophos XG mit auslaufender Subscription, dahinter zwei Standorte und ein Regelwerk, das über Jahre nur gewachsen war. Die Frage war nicht, ob gewechselt wird, sondern wie: ohne Produktionsstillstand und ohne das Risiko, beim Umschalten eine vergessene Freigabe zu übersehen.

Konfigurationsexport der XG, Abgleich mit den Trefferzählern, Gespräch mit der IT. Ergebnis: 90 Regeln im Bestand, darunter Regeln ohne Treffer, doppelte und solche für abgeschaltete Dienste. Das bereinigte Soll-Regelwerk hatte 65 Regeln, gemeinsam abgenommen, bevor die erste Zeile OPNsense geschrieben wurde.

Zwei baugleiche Appliances im Cluster, synchronisierte Verbindungen, Updates und Hardwaretausch ohne Unterbrechung. Beide Standorte angebunden, Admin-Zugriff nur aus dem Management-Netz mit Zwei-Faktor-Anmeldung, versionierte Konfigurationssicherung außerhalb der Firewall.

Über weitere Details der Architektur sprechen wir aus gutem Grund nicht öffentlich.

Drei Wochen von der Bestandsaufnahme bis zum Produktivbetrieb. Aufbau parallel im Testsegment, dann zwei Tage Tests am Wochenende: Standortverbindungen, kritische Anwendungen und Sonderfälle gegen die gemeinsame Checkliste. Montag früh lief der Betrieb auf OPNsense. Die XG blieb verkabelt, der Rückweg wurde nicht gebraucht.

Mit der Umschaltung endete das Projekt, nicht die Betreuung. Beide Appliances laufen im Managed-Firewall-Modell: Updates über die HA-Umschaltung ohne Unterbrechung, jede Regeländerung begründet und versioniert, Zertifikate und VPN-Tunnel überwacht.

Die Firewall-Ereignisse fließen in das SIEM von NEOSEC. Was die Firewall blockiert oder das IPS erkennt, wird zentral erfasst, nach MITRE ATT&CK zugeordnet und monatlich als Statusbericht aufbereitet. Ein Nachweis, der vorher nicht existierte.