Migrácia na OPNsense
Migrácia firewallu zriedka zlyhá kvôli novému firewallu. Zlyhá kvôli zabudnutým pravidlám, starým VPN protistranám, nezdokumentovaným výnimkám a tej jednej tlačiarni, ktorá už roky potrebuje presmerovanie portu. Preto začíname tým, čo už máte.
Postup
Päť krokov, jeden runbook
-
10 Inventarizáciaspoločne vyčistená cieľová sada pravidiel
Export konfigurácie, rozhovor s vaším IT tímom, analýza pravidiel, NAT, VPN, certifikátov a špeciálnych prípadov. Počítadlá zásahov ukážu, ktoré pravidlá sa skutočne používajú.
-
20 Prekladaepfel+birnen hotová cieľová konfigurácia
Prevod do logiky OPNsense: aliasy, pravidlá rozhraní, NAT, VPN tunely, napojenie používateľov. Funkcie špecifické pre výrobcu pokryjeme vstavanými nástrojmi alebo pluginmi.
-
30 Testovaniespoločne schválené testovacie protokoly
Nasadenie v laboratóriu alebo paralelne v testovacom segmente. Kritické aplikácie, VPN tunely a špeciálne prípady overujeme podľa spoločného kontrolného zoznamu.
-
40 Prepnutieaepfel+birnen OPNsense v produkcii
Prepnutie v servisnom okne podľa runbooku. Starý firewall zostáva zapojený a pripravený, návrat trvá niekoľko minút.
-
50 Následná starostlivosťaepfel+birnen úplná dokumentácia
Analýza logov kvôli zablokovaným legitímnym spojeniam, doladenie sady pravidiel, odovzdanie dokumentácie.
Podľa výrobcu
Migrácia podľa zdrojového systému
Každý výrobca má svoje zvláštnosti. Každý zdrojový systém má vlastnú stránku s mapovaním funkcií.
Inventarizácia
Čo zisťujeme a kde to viazne
Čo zisťujeme
- rozhrania, VLAN, zóny a plán IP adries
- pravidlá firewallu s počítadlami zásahov
- NAT a sprístupnené služby
- VPN medzi lokalitami s ich protistranami
- VPN pre vzdialený prístup, používatelia, 2FA
- DHCP, DNS, NTP, certifikáty
- webové a aplikačné filtre
- špeciálne prípady: VoIP, multicast, IPv6, zdravotnícke prístroje
Typické úskalia
- Logika zón: mnohí výrobcovia uvažujú v pároch zón, zatiaľ čo OPNsense vyhodnocuje pravidlá na vstupe každého rozhrania. Logiku prekladáme.
- MTU a MSS pri IPsec: MSS clamping nastavujeme od začiatku.
- VPN protistrany: parametre a termín dohodneme vopred.
- VoIP a SIP: správanie ALG sa líši, preto telefóniu cielene testujeme.
- Skryté závislosti: počítadlá zásahov a logy ukážu, čo sa skutočne používa.
Náročnosť
Ako dlho to trvá
| Prostredie | Príprava | Prepnutie |
|---|---|---|
| jedna lokalita, prehľadná sada pravidiel | niekoľko dní | 1–2 hodiny |
| viacero lokalít, sieť VPN | 1–3 týždne | postupne po lokalitách |
| klaster HA, dátové centrum, nemocnica | niekoľko týždňov | podľa runbooku, často bez citeľného prerušenia |
Výsledok
Čo máte na konci
Dokumentácia je štruktúrovaná tak, aby ju mohol prevziať aj iný poskytovateľ služieb. Chceme si vás udržať kvalitou, nie znalosťami, ktoré máme len my.
Odovzdanie
- fungujúci OPNsense s vyčistenou sadou pravidiel
- sieťová schéma a dokumentácia sady pravidiel
- testovacie protokoly a schválenie
- prístupové údaje a núdzový postup
- záloha konfigurácie mimo firewallu
FAQ
Časté otázky
Môžeme jednoducho importovať starú konfiguráciu?
Nie, a to je dobre. Ani medzi pfSense a OPNsense neexistuje spoľahlivý priamy import. Štruktúrovaný preklad je príležitosťou zbaviť sa starých nánosov.
Čo ak po prechode niečo nefunguje?
Starý firewall zostáva až do schválenia zapojený a pripravený. V prípade pochybností prepneme späť v priebehu minút, problém analyzujeme a skúsime to znova.
Musia naši zamestnanci niečo robiť?
Ak sa zmení technológia VPN, nainštalujú si nového klienta. Poskytneme predkonfigurované profily a stručný návod.
Kontakt
Aká náročná bude vaša migrácia?
Pošlite nám export konfigurácie a dostanete spoľahlivý odhad náročnosti.