De la Sophos la OPNsense
Sophos SG UTM a ajuns la sfârșitul ciclului de viață pe 30 iunie 2026. De atunci nu mai există actualizări de securitate. Cine operează încă un UTM operează un sistem de perimetru fără patch-uri. O schimbare este oricum necesară. Singura întrebare deschisă este destinația.
Pe scurt
- Sursă
- Sophos
- Țintă
- OPNsense Business Edition
- Comutare
- de regulă 1–2 ore
- Revenire
- posibilă până la recepție
Punct de plecare
De ce schimbă operatorii
Sophos oferă trecerea la Sophos Firewall (SFOS), de regulă cu hardware XGS nou. Aceasta nu este o actualizare, ci o migrare completă pe o altă platformă, cu altă interfață, altă logică a regulilor și noi pachete de licențe. Dacă efortul vine oricum, merită comparat cu OPNsense.
Motive tipice
- fără actualizări de securitate pentru SG UTM
- XGS înseamnă hardware nou, interfață nouă și noi pachete de licențe
- abonamente continue pentru funcții pe care OPNsense le oferă fără cost suplimentar
- preferință pentru cod deschis și un producător european
Funcții
Ce devin funcțiile Sophos
| Sophos | OPNsense | Observație |
|---|---|---|
| Definiții de rețea | Aliasuri | hosturile, rețelele, grupurile și FQDN-urile se transferă fără probleme |
| Reguli de firewall | Reguli pe interfață, floating rules | logica este tradusă, nu copiată |
| NAT, DNAT, SNAT | Port forward, outbound NAT, NAT 1:1 | suportat complet |
| Intrusion Prevention | Suricata IPS | ET Open, opțional seturi de reguli comerciale |
| Web Protection | Proxy sau Zenarmor | politicile sunt reconstruite |
| Application Control | Zenarmor | detecție la Layer 7 |
| VPN site-to-site | IPsec (IKEv2) | partenerii sunt coordonați în avans |
| SSL VPN, acces la distanță | WireGuard sau OpenVPN cu 2FA | clienți noi cu profiluri pregătite |
| Dispozitive RED | OPNsense mic cu IPsec sau WireGuard | fără echivalent direct |
| Web Application Firewall | HAProxy sau nginx ca reverse proxy | funcționalitatea se verifică de la caz la caz |
| Email Protection | – | recomandăm un gateway de e-mail separat |
| HA (activ-pasiv) | Cluster CARP cu sincronizarea stărilor | mentenanță fără întrerupere |
Abordare
Cum migrăm
Desfășurare
- Exportul configurației UTM, analiza contoarelor de potriviri
- Curățarea regulilor și obiectelor nefolosite
- Traducerea obiectelor, regulilor, NAT și VPN-urilor
- Reconstruirea filtrării web și a aplicațiilor
- Coordonarea cu partenerii VPN, testare în laborator
- Comutare într-o fereastră de mentenanță, UTM-ul rămâne cale de revenire
- Suport ulterior și predarea documentației
La ce trebuie să fiți atenți
- Email Protection: dacă UTM-ul filtrează și e-mailul, planificăm o soluție separată pentru acesta.
- Filiale RED: fiecare RED este înlocuit de un firewall mic. De regulă mai stabil, dar necesită hardware la fața locului.
- Clienți SSL VPN: angajații primesc un client nou cu profil pregătit.
- Synchronized Security: integrarea cu endpointurile dispare. Segmentarea și integrarea cu SIEM acoperă acest gol.
Procesul general în cinci pași este descris la Migrarea la OPNsense.
FAQ
Întrebări despre migrarea de la Sophos
Nu pot pur și simplu să las UTM-ul să funcționeze în continuare?
Tehnic da, în mod responsabil nu. Un firewall de perimetru fără actualizări de securitate este o ușă deschisă. Sub NIS2, KRITIS (reglementarea germană pentru infrastructura critică) sau cerințele asigurătorilor, acest lucru este greu de justificat.
Putem refolosi hardware-ul Sophos?
O parte din hardware-ul SG mai vechi este bazat pe x86 și poate rula, în principiu, OPNsense. Pentru producție nu recomandăm acest lucru, deoarece garanția și suportul producătorului nu mai sunt disponibile.
Cât durează schimbarea?
Pentru o singură locație, de regulă câteva zile de pregătire și o fereastră de mentenanță de una până la două ore. Mai multe locații le migrăm în etape.
Contact
Trimiteți-ne exportul configurației
Vă spunem ce se poate transfera direct, ce nu și cât va costa migrarea.