Migrácia z platformy Sophos na OPNsense
Sophos SG UTM dosiahla 30. júna 2026 koniec životnosti. Odvtedy nevychádzajú žiadne bezpečnostné aktualizácie. Kto UTM stále prevádzkuje, prevádzkuje neopravený perimetrový systém. Prechod je tak či tak nevyhnutný. Otvorenou otázkou zostáva len cieľ.
Na prvý pohľad
- Zdroj
- Sophos
- Cieľ
- OPNsense Business Edition
- Prepnutie
- zvyčajne 1–2 hodiny
- Záložné riešenie
- do schválenia
Východisko
Prečo prevádzkovatelia prechádzajú
Sophos ponúka prechod na Sophos Firewall (SFOS), zvyčajne s novým hardvérom XGS. Nejde o aktualizáciu, ale o úplnú migráciu na inú platformu s iným rozhraním, inou logikou pravidiel a novými licenčnými balíkmi. Ak vás táto námaha čaká tak či tak, oplatí sa porovnanie s OPNsense.
Typické dôvody
- žiadne ďalšie bezpečnostné aktualizácie pre SG UTM
- XGS znamená nový hardvér, nové rozhranie a nové licenčné balíky
- priebežné predplatné za funkcie, ktoré OPNsense poskytuje bez príplatku
- preferencia otvoreného kódu a európskeho výrobcu
Funkcie
Čo sa stane s funkciami platformy Sophos
| Sophos | OPNsense | Poznámka |
|---|---|---|
| Definície sietí | Aliasy | hostitelia, siete, skupiny a FQDN sa prenesú čisto |
| Pravidlá firewallu | Pravidlá rozhraní, plávajúce pravidlá | logika sa prekladá, nekopíruje |
| NAT, DNAT, SNAT | Presmerovanie portov, odchádzajúci NAT, 1:1 NAT | plne podporované |
| Intrusion Prevention | Suricata IPS | ET Open, voliteľne komerčné sady pravidiel |
| Web Protection | Proxy alebo Zenarmor | politiky sa vytvoria nanovo |
| Application Control | Zenarmor | detekcia na vrstve 7 |
| VPN medzi lokalitami | IPsec (IKEv2) | protistrany sa vopred zosúladia |
| SSL VPN, vzdialený prístup | WireGuard alebo OpenVPN s 2FA | noví klienti s pripravenými profilmi |
| Zariadenia RED | malý OPNsense s IPsec alebo WireGuard | bez priameho ekvivalentu |
| Web Application Firewall | HAProxy alebo nginx ako reverzný proxy | rozsah funkcií overiť individuálne |
| Email Protection | – | odporúčame samostatnú e-mailovú bránu |
| HA (aktívny-pasívny) | Klaster CARP so synchronizáciou stavov | údržba bez prerušenia |
Postup
Ako migrujeme
Priebeh
- Export konfigurácie UTM, analýza počítadiel zásahov
- Vyčistenie nepoužívaných pravidiel a objektov
- Preklad objektov, pravidiel, NAT a VPN
- Nové vytvorenie webového a aplikačného filtrovania
- Koordinácia s VPN protistranami, testovanie v laboratóriu
- Prepnutie v servisnom okne, UTM zostáva ako záloha
- Následná podpora a odovzdanie dokumentácie
Na čo si dať pozor
- Email Protection: ak UTM filtruje aj e-maily, naplánujeme na to samostatné riešenie.
- Pobočky s RED: každé zariadenie RED nahradí malý firewall. Zvyčajne je to stabilnejšie, ale vyžaduje to hardvér na mieste.
- Klienti SSL VPN: zamestnanci dostanú nového klienta s pripraveným profilom.
- Synchronized Security: integrácia koncových zariadení odpadá. Túto medzeru uzatvára segmentácia a pripojenie k SIEM.
Všeobecný postup v piatich krokoch je opísaný na stránke Migrácia na OPNsense.
FAQ
Otázky k migrácii z platformy Sophos
Nemôžem UTM jednoducho nechať bežať?
Technicky áno, zodpovedne nie. Perimetrový firewall bez bezpečnostných aktualizácií je otvorenými dverami. Pri NIS2, KRITIS (nemecká regulácia kritickej infraštruktúry) alebo požiadavkách poisťovní sa to len ťažko obhajuje.
Môžeme znova použiť hardvér Sophos?
Niektorý starší hardvér SG je založený na x86 a v princípe na ňom OPNsense beží. Na produkčné nasadenie to neodporúčame, pretože záruka a podpora výrobcu už nie sú k dispozícii.
Ako dlho trvá prechod?
Pri jednej lokalite zvyčajne niekoľko dní prípravy a servisné okno v trvaní jednej až dvoch hodín. Viacero lokalít migrujeme postupne.
Kontakt
Pošlite nám export konfigurácie
Povieme vám, čo sa dá preniesť priamo, čo nie a koľko bude migrácia stáť.