Migrácia z platformy Fortinet FortiGate na OPNsense
FortiGate sú výkonné, ale viazané na bezpečnostné balíky a zmluvy o podpore. Navyše sa v SSL VPN opakovane objavili zneužívané zraniteľnosti, ktoré americký úrad CISA uvádza vo svojom katalógu známych zneužívaných zraniteľností. Mnohí prevádzkovatelia si preto kladú zásadnú otázku.
Na prvý pohľad
- Zdroj
- Fortinet FortiGate
- Cieľ
- OPNsense Business Edition
- Prepnutie
- zvyčajne 1–2 hodiny
- Záložné riešenie
- do schválenia
Východisko
Prečo prevádzkovatelia prechádzajú
Pri FortiGate závisia IPS, webový filter a kontrola aplikácií od balíkov, ktoré sa obnovujú každý rok. Generácia hardvéru a doba platnosti licencie sú úzko prepojené. Ak vás obnova čaká tak či tak, oplatí sa porovnanie.
Typické dôvody
- ročné náklady na balíky za funkcie, ktoré OPNsense poskytuje bez príplatku
- previazanie životného cyklu hardvéru a licencie
- opakované núdzové záplaty pre SSL VPN
- preferencia otvoreného kódu a európskeho výrobcu
Funkcie
Čo sa stane s funkciami platformy Fortinet FortiGate
| Fortinet FortiGate | OPNsense | Poznámka |
|---|---|---|
| Adresné objekty, skupiny | Aliasy | vrátane objektov FQDN |
| Politiky (páry rozhraní) | Pravidlá rozhraní, plávajúce pravidlá | logika sa prekladá |
| VIP (DNAT) | Presmerovanie portov, 1:1 NAT | plne podporované |
| IPS | Suricata IPS | ET Open, voliteľne komerčné |
| Web Filter, App Control | Zenarmor alebo kategórie proxy | politiky sa vytvoria nanovo |
| SSL VPN, FortiClient | WireGuard alebo OpenVPN s 2FA | noví klienti s profilmi |
| IPsec medzi lokalitami | IPsec (IKEv2) | parametre dohodnúť s protistranami |
| SD-WAN | Skupiny brán, multi-WAN, smerovanie podľa politík | prepnutie pri výpadku a rozkladanie záťaže |
| HA (FGCP) | Klaster CARP so synchronizáciou stavov | údržba bez prerušenia |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog do SIEM | iný koncept, rovnaký cieľ |
| Security Fabric | – | bez priameho ekvivalentu |
Postup
Ako migrujeme
Priebeh
- Export konfigurácie FortiOS, analýza zásahov politík
- Vyčistenie nepoužívaných politík a objektov
- Preklad objektov, politík, VIP a VPN
- Nové vytvorenie webového a aplikačného filtrovania
- Dimenzovanie podľa reálnej priepustnosti
- Prepnutie v servisnom okne, FortiGate ako záloha
- Následná podpora a dokumentácia
Na čo si dať pozor
- Hardvérová akcelerácia: FortiGate používajú ASIC. Dimenzujeme podľa vašej priepustnosti so zapnutým IPS, nie podľa technického listu.
- Logika zón: politiky platia medzi pármi rozhraní, zatiaľ čo OPNsense vyhodnocuje na vstupe každého rozhrania.
- FortiToken: 2FA sa prepne na TOTP s autentifikačnou aplikáciou.
Všeobecný postup v piatich krokoch je opísaný na stránke Migrácia na OPNsense.
FAQ
Otázky k migrácii z platformy Fortinet FortiGate
Môžeme importovať konfiguráciu FortiGate?
Nie. Prekladáme štruktúrovane a popritom odstraňujeme staré nánosy.
Postačuje priepustnosť OPNsense?
S primerane dimenzovaným hardvérom áno. Rozhodujúca je priepustnosť so zapnutým IPS a tú plánujeme realisticky.
Čo bude s FortiToken?
Prejdeme na TOTP. Funguje to s bežnými autentifikačnými aplikáciami.
Kontakt
Pošlite nám export konfigurácie
Povieme vám, čo sa dá preniesť priamo, čo nie a koľko bude migrácia stáť.