Migrácia z platformy pfSense na OPNsense
OPNsense a pfSense majú spoločné korene: OPNsense vznikol v roku 2014 ako fork a je dostupný od januára 2015. Odvtedy sa oba projekty výrazne rozišli. Migrácia je zvládnuteľná, ale tlačidlo na import neexistuje.
Na prvý pohľad
- Zdroj
- pfSense
- Cieľ
- OPNsense Business Edition
- Prepnutie
- zvyčajne 1–2 hodiny
- Záložné riešenie
- do schválenia
Východisko
Prečo prevádzkovatelia prechádzajú
pfSense je rozdelený na bezplatnú Community Edition a komerčný pfSense Plus. Mnohí prevádzkovatelia sa pýtajú, aká je budúcnosť CE. OPNsense ponúka pevný cyklus vydaní, jednotné API a európskeho výrobcu.
Typické dôvody
- neistota spôsobená rozdelením na CE a Plus
- pevný cyklus vydaní v januári a júli
- jednotné REST API na automatizáciu
- európsky výrobca s otvoreným procesom vývoja
Funkcie
Čo sa stane s funkciami platformy pfSense
| pfSense | OPNsense | Poznámka |
|---|---|---|
| Rozhrania, VLAN | Rozhrania, VLAN | priamo prenosné |
| Aliasy | Aliasy | vrátane tabuliek URL |
| Pravidlá firewallu | Pravidlá firewallu | rovnaké jadro (pf), starostlivo prenesené |
| NAT | NAT | plne podporované |
| IPsec, OpenVPN | IPsec, OpenVPN | vrátane certifikátov a CA |
| Balík WireGuard | WireGuard (integrovaný) | protistrany sa prenesú |
| pfBlockerNG | Blocklisty v Unbound, aliasy URL, CrowdSec | overiť individuálne |
| HAProxy, ACME | Pluginy HAProxy a ACME | dostupné |
| Squid, SquidGuard | Plugin proxy alebo Zenarmor | politiky sa vytvoria nanovo |
| CARP, HA | CARP, HA | rovnaký koncept |
Postup
Ako migrujeme
Priebeh
- Záloha config.xml a zoznamu balíkov
- Priradenie každého balíka k jeho náprotivku v OPNsense
- Prenos rozhraní, aliasov, pravidiel, NAT a VPN
- Testovanie v laboratóriu alebo paralelne
- Prepnutie v servisnom okne, pfSense ako záloha
- Následná podpora a dokumentácia
Na čo si dať pozor
- Žiadny priamy import: konfiguračné súbory vyzerajú podobne, ale nie sú kompatibilné.
- Balíky: nie každý balík pfSense existuje v rovnakej podobe ako plugin OPNsense.
- Rovnaké jadro: oba používajú pf, takže logika pravidiel je známa. To výrazne znižuje riziko.
Všeobecný postup v piatich krokoch je opísaný na stránke Migrácia na OPNsense.
FAQ
Otázky k migrácii z platformy pfSense
Je migrácia z pfSense jednoduchšia ako od iných výrobcov?
Áno, pretože oba sú založené na pf a používajú podobné koncepty. Napriek tomu prenášame štruktúrovane, nie importom.
Čo bude s pfBlockerNG?
OPNsense ponúka DNS blocklisty v Unbound, tabuľky URL ako aliasy a plugin CrowdSec. Spolu pokrývajú typické prípady.
Môžeme naďalej používať hardvér pfSense?
Pri hardvéri x86 zvyčajne áno, ak je ešte v záruke a dostatočne výkonný. Overíme to vopred.
Kontakt
Pošlite nám export konfigurácie
Povieme vám, čo sa dá preniesť priamo, čo nie a koľko bude migrácia stáť.