Migracija na OPNsense
Migracija požarnega zidu redko spodleti zaradi novega požarnega zidu. Spodleti zaradi pozabljenih pravil, starih VPN-partnerjev, nedokumentiranih izjem in tistega tiskalnika, ki že leta potrebuje posredovanje vrat. Zato začnemo pri tem, kar že imate.
Postopek
Pet korakov, en izvedbeni načrt
-
10 Popisskupaj prečiščen ciljni nabor pravil
Izvoz konfiguracije, pogovor z vašo ekipo IT, analiza pravil, NAT, VPN-jev, potrdil in posebnih primerov. Števci zadetkov pokažejo, katera pravila se dejansko uporabljajo.
-
20 Prevodaepfel+birnen dokončana ciljna konfiguracija
Pretvorba v logiko OPNsense: aliasi, pravila vmesnikov, NAT, tuneli VPN, vključitev uporabnikov. Posebne funkcije proizvajalcev preslikamo z vgrajenimi orodji ali vtičniki.
-
30 Testiranjeskupaj odobreni testni zapisniki
Postavitev v laboratoriju ali vzporedno v testnem segmentu. Kritične aplikacije, tunele VPN in posebne primere preverimo po skupnem kontrolnem seznamu.
-
40 Preklopaepfel+birnen OPNsense v produktivnem delovanju
Preklop v vzdrževalnem oknu po izvedbenem načrtu. Stari požarni zid ostane priključen in pripravljen, vrnitev traja nekaj minut.
-
50 Spremljanjeaepfel+birnen popolna dokumentacija
Analiza dnevnikov glede blokiranih legitimnih povezav, fino nastavljanje nabora pravil, predaja dokumentacije.
Po proizvajalcu
Migracija po izvornem sistemu
Vsak proizvajalec ima svoje posebnosti. Vsak izvorni sistem ima svojo stran s preslikavo funkcij.
Popis
Kaj zabeležimo in kje se zatakne
Kaj zabeležimo
- vmesnike, VLAN-e, cone in načrt IP
- pravila požarnega zidu s števci zadetkov
- NAT in objavljene storitve
- VPN-je med lokacijami z njihovimi partnerji
- VPN za oddaljeni dostop, uporabnike, 2FA
- DHCP, DNS, NTP, potrdila
- spletne in aplikacijske filtre
- posebne primere: VoIP, multicast, IPv6, medicinske naprave
Tipične pasti
- Logika con: mnogi proizvajalci razmišljajo v parih con, OPNsense pa pravila vrednoti dohodno na vsakem vmesniku. Logiko prevedemo.
- MTU in MSS pri IPsec: MSS clamping nastavimo že od začetka.
- VPN-partnerji: parametre in časovni načrt uskladimo vnaprej.
- VoIP in SIP: obnašanje ALG se razlikuje, zato telefonijo testiramo posebej.
- Skrite odvisnosti: števci zadetkov in dnevniki pokažejo, kaj se dejansko uporablja.
Obseg dela
Koliko časa traja
| Okolje | Priprava | Preklop |
|---|---|---|
| ena lokacija, pregleden nabor pravil | nekaj dni | 1–2 uri |
| več lokacij, mreža VPN | 1–3 tedne | postopno po lokacijah |
| gruča HA, podatkovni center, bolnišnica | več tednov | po izvedbenem načrtu, pogosto brez opazne prekinitve |
Rezultat
Kaj imate na koncu
Dokumentacija je strukturirana tako, da bi jo lahko prevzel tudi drug ponudnik storitev. Želimo vas obdržati s kakovostjo, ne z znanjem, ki ga imamo samo mi.
Predaja
- delujoč OPNsense s prečiščenim naborom pravil
- omrežni diagram in dokumentacija nabora pravil
- testni zapisniki in potrditev
- dostopni podatki in postopek v sili
- varnostna kopija konfiguracije zunaj požarnega zidu
FAQ
Pogosta vprašanja
Ali lahko staro konfiguracijo preprosto uvozimo?
Ne, in to je dobro. Celo med pfSense in OPNsense ni zanesljivega neposrednega uvoza. Strukturiran prevod je priložnost, da se znebite starih ostankov.
Kaj se zgodi, če po preklopu kaj ne deluje?
Stari požarni zid ostane priključen in pripravljen do potrditve. V dvomu v nekaj minutah preklopimo nazaj, analiziramo težavo in poskusimo znova.
Ali morajo naši zaposleni kaj narediti?
Če se tehnologija VPN spremeni, namestijo nov odjemalec. Zagotovimo predkonfigurirane profile in kratka navodila.
Kontakt
Koliko dela bo z vašo migracijo?
Pošljite nam izvoz konfiguracije in dobili boste zanesljivo oceno obsega dela.