Fortinet FortiGate: prehod na OPNsense
FortiGate so zmogljive naprave, vendar vezane na varnostne pakete in pogodbe o podpori. Poleg tega so bile v SSL VPN večkrat izkoriščene ranljivosti, ki jih ameriška agencija CISA vodi v svojem katalogu znanih izkoriščenih ranljivosti. Zato si mnogi upravljavci zastavljajo temeljno vprašanje.
Na prvi pogled
- Izvor
- Fortinet FortiGate
- Cilj
- OPNsense Business Edition
- Preklop
- običajno 1–2 uri
- Povratna možnost
- do potrditve
Izhodišče
Zakaj upravljavci menjajo sistem
Pri FortiGate so IPS, spletni filter in nadzor aplikacij odvisni od paketov, ki se obnavljajo letno. Generacija strojne opreme in trajanje licence sta tesno povezana. Če vas obnova tako ali tako čaka, se primerjava splača.
Tipični razlogi
- letni stroški paketov za funkcije, ki jih OPNsense ponuja brez doplačila
- povezanost življenjskega cikla strojne opreme in licence
- ponavljajoči se nujni popravki za SSL VPN
- prednost odprti kodi in evropskemu proizvajalcu
Funkcije
Funkcije sistema Fortinet FortiGate v OPNsense
| Fortinet FortiGate | OPNsense | Opomba |
|---|---|---|
| Naslovni objekti, skupine | Aliasi | vključno z objekti FQDN |
| Politike (pari vmesnikov) | Pravila vmesnikov, plavajoča pravila | logika se prevede |
| VIP (DNAT) | Posredovanje vrat, 1:1 NAT | v celoti podprto |
| IPS | Suricata IPS | ET Open, po izbiri komercialno |
| Web Filter, App Control | Zenarmor ali kategorije posredniškega strežnika | politike se na novo zgradijo |
| SSL VPN, FortiClient | WireGuard ali OpenVPN z 2FA | novi odjemalci s profili |
| IPsec med lokacijami | IPsec (IKEv2) | parametre uskladiti s partnerji |
| SD-WAN | Skupine prehodov, multi-WAN, usmerjanje na podlagi pravil | preklop ob izpadu in porazdelitev obremenitve |
| HA (FGCP) | Gruča CARP s sinhronizacijo stanj | vzdrževanje brez prekinitve |
| FortiManager, FortiAnalyzer | OPNcentral, API, syslog v SIEM | drug koncept, isti cilj |
| Security Fabric | – | ni neposrednega ustreznika |
Pristop
Kako izvedemo migracijo
Potek
- Izvoz konfiguracije FortiOS, analiza zadetkov politik
- Čiščenje neuporabljenih politik in objektov
- Prevod objektov, politik, VIP in VPN-jev
- Ponovna vzpostavitev spletnega in aplikacijskega filtriranja
- Dimenzioniranje na podlagi dejanske prepustnosti
- Preklop v vzdrževalnem oknu, FortiGate kot povratna možnost
- Spremljanje po prehodu in dokumentacija
Na kaj je treba paziti
- Strojno pospeševanje: FortiGate uporabljajo čipe ASIC. Dimenzioniramo za vašo prepustnost z vklopljenim IPS, ne po podatkovnem listu.
- Logika con: politike veljajo med pari vmesnikov, OPNsense pa vrednoti dohodno na vsakem vmesniku.
- FortiToken: 2FA preklopimo na TOTP z aplikacijo za preverjanje pristnosti.
Splošni postopek v petih korakih je opisan na strani Migracija na OPNsense.
FAQ
Vprašanja o prehodu s sistema Fortinet FortiGate
Ali lahko uvozimo konfiguracijo FortiGate?
Ne. Prevajamo strukturirano in ob tem odstranimo stare ostanke.
Ali prepustnost OPNsense zadošča?
Z ustrezno dimenzionirano strojno opremo da. Odločilna je prepustnost z vklopljenim IPS, ki jo načrtujemo realno.
Kaj se zgodi s FortiToken?
Preklopimo na TOTP. To deluje z običajnimi aplikacijami za preverjanje pristnosti.
Kontakt
Pošljite nam izvoz konfiguracije
Povedali vam bomo, kaj je mogoče neposredno prenesti, česa ne in koliko bo migracija stala.