Sophos: prehod na OPNsense
Sophos SG UTM je 30. junija 2026 dosegel konec življenjske dobe. Od takrat ni več varnostnih posodobitev. Kdor še uporablja UTM, uporablja nepopravljen obrobni sistem. Menjava je tako ali tako nujna. Odprto je le vprašanje cilja.
Na prvi pogled
- Izvor
- Sophos
- Cilj
- OPNsense Business Edition
- Preklop
- običajno 1–2 uri
- Povratna možnost
- do potrditve
Izhodišče
Zakaj upravljavci menjajo sistem
Sophos ponuja prehod na Sophos Firewall (SFOS), običajno z novo strojno opremo XGS. To ni posodobitev, temveč popolna migracija na drugo platformo z drugim vmesnikom, drugačno logiko pravil in novimi licenčnimi paketi. Če vas ta napor tako ali tako čaka, se splača primerjava z OPNsense.
Tipični razlogi
- ni več varnostnih posodobitev za SG UTM
- XGS pomeni novo strojno opremo, nov vmesnik in nove licenčne pakete
- tekoče naročnine za funkcije, ki jih OPNsense ponuja brez doplačila
- prednost odprti kodi in evropskemu proizvajalcu
Funkcije
Funkcije sistema Sophos v OPNsense
| Sophos | OPNsense | Opomba |
|---|---|---|
| Omrežne definicije | Aliasi | gostitelji, omrežja, skupine in FQDN se prenesejo brez težav |
| Pravila požarnega zidu | Pravila vmesnikov, plavajoča pravila | logika se prevede, ne kopira |
| NAT, DNAT, SNAT | Posredovanje vrat, odhodni NAT, 1:1 NAT | v celoti podprto |
| Intrusion Prevention | Suricata IPS | ET Open, po izbiri komercialni nabori pravil |
| Web Protection | Posredniški strežnik ali Zenarmor | politike se na novo zgradijo |
| Application Control | Zenarmor | zaznavanje na plasti 7 |
| VPN med lokacijami | IPsec (IKEv2) | partnerji se uskladijo vnaprej |
| SSL VPN, oddaljeni dostop | WireGuard ali OpenVPN z 2FA | novi odjemalci s pripravljenimi profili |
| Naprave RED | majhen OPNsense z IPsec ali WireGuard | ni neposrednega ustreznika |
| Web Application Firewall | HAProxy ali nginx kot obratni posredniški strežnik | obseg funkcij preveriti za vsak primer posebej |
| Email Protection | – | priporočen ločen poštni prehod |
| HA (aktivno-pasivno) | Gruča CARP s sinhronizacijo stanj | vzdrževanje brez prekinitve |
Pristop
Kako izvedemo migracijo
Potek
- Izvoz konfiguracije UTM, analiza števcev zadetkov
- Čiščenje neuporabljenih pravil in objektov
- Prevod objektov, pravil, NAT in VPN-jev
- Ponovna vzpostavitev spletnega in aplikacijskega filtriranja
- Uskladitev z VPN-partnerji, testiranje v laboratoriju
- Preklop v vzdrževalnem oknu, UTM ostane kot povratna možnost
- Spremljanje po prehodu in predaja dokumentacije
Na kaj je treba paziti
- Email Protection: če UTM filtrira tudi e-pošto, zanjo načrtujemo ločeno rešitev.
- Podružnice z RED: vsak RED nadomesti majhen požarni zid. Običajno je to stabilneje, vendar na lokaciji potrebuje strojno opremo.
- Odjemalci SSL VPN: zaposleni dobijo nov odjemalec s pripravljenim profilom.
- Synchronized Security: integracija s končnimi točkami odpade. To vrzel zapreta segmentacija in povezava s SIEM.
Splošni postopek v petih korakih je opisan na strani Migracija na OPNsense.
FAQ
Vprašanja o prehodu s sistema Sophos
Ali UTM ne morem preprosto obdržati?
Tehnično da, odgovorno ne. Obrobni požarni zid brez varnostnih posodobitev so odprta vrata. Ob zahtevah NIS2, KRITIS (nemška ureditev kritične infrastrukture) ali zavarovalnic je to težko upravičiti.
Ali lahko strojno opremo Sophos uporabimo naprej?
Nekatera starejša strojna oprema SG temelji na x86 in lahko načeloma poganja OPNsense. Za produktivno uporabo tega ne priporočamo, ker garancija in podpora proizvajalca nista več na voljo.
Kako dolgo traja menjava?
Za eno lokacijo običajno nekaj dni priprave in vzdrževalno okno ene do dveh ur. Več lokacij preselimo postopno.
Kontakt
Pošljite nam izvoz konfiguracije
Povedali vam bomo, kaj je mogoče neposredno prenesti, česa ne in koliko bo migracija stala.