Från Sophos till OPNsense
Sophos SG UTM nådde end of life den 30 juni 2026. Sedan dess har det inte kommit några säkerhetsuppdateringar. Den som fortfarande kör en UTM kör ett opatchat perimetersystem. Ett byte är ändå nödvändigt. Den enda öppna frågan är vart.
I korthet
- Källa
- Sophos
- Mål
- OPNsense Business Edition
- Omställning
- oftast 1–2 timmar
- Reservväg
- fram till godkännande
Utgångsläge
Varför verksamheter byter
Sophos erbjuder en övergång till Sophos Firewall (SFOS), oftast med ny XGS-hårdvara. Det är ingen uppdatering utan en fullständig migrering till en annan plattform med ett annat gränssnitt, en annan regellogik och nya licenspaket. Om arbetsinsatsen ändå kommer lönar det sig att jämföra med OPNsense.
Vanliga skäl
- inga fler säkerhetsuppdateringar för SG UTM
- XGS innebär ny hårdvara, ett nytt gränssnitt och nya licenspaket
- löpande abonnemang för funktioner som OPNsense erbjuder utan extra kostnad
- önskemål om öppen kod och en europeisk leverantör
Funktioner
Vad som händer med dina Sophos-funktioner
| Sophos | OPNsense | Kommentar |
|---|---|---|
| Network definitions | Alias | värdar, nätverk, grupper och FQDN överförs korrekt |
| Brandväggsregler | Gränssnittsregler, flytande regler | logiken översätts, kopieras inte |
| NAT, DNAT, SNAT | Port forward, utgående NAT, 1:1 NAT | stöds fullt ut |
| Intrusion Prevention | Suricata IPS | ET Open, valfria kommersiella regeluppsättningar |
| Web Protection | Proxy eller Zenarmor | policyer byggs upp på nytt |
| Application Control | Zenarmor | detektering på lager 7 |
| Site-to-site-VPN | IPsec (IKEv2) | motparter stäms av i förväg |
| SSL VPN, fjärråtkomst | WireGuard eller OpenVPN med 2FA | nya klienter med färdiga profiler |
| RED-enheter | liten OPNsense med IPsec eller WireGuard | ingen direkt motsvarighet |
| Web Application Firewall | HAProxy eller nginx som omvänd proxy | kontrollera funktionsomfånget i varje enskilt fall |
| Email Protection | – | separat e-postgateway rekommenderas |
| HA (aktiv-passiv) | CARP-kluster med tillståndssynkronisering | underhåll utan avbrott |
Arbetssätt
Så migrerar vi
Förlopp
- Export av UTM-konfigurationen, analys av träffräknare
- Rensning av oanvända regler och objekt
- Översättning av objekt, regler, NAT och VPN
- Ny uppbyggnad av webb- och applikationsfilter
- Avstämning med VPN-motparter, test i labbet
- Omställning i ett underhållsfönster, UTM:en finns kvar som reservväg
- Uppföljande support och överlämning av dokumentation
Att tänka på
- Email Protection: om UTM:en även filtrerar e-post planerar vi en separat lösning för det.
- RED-filialer: varje RED ersätts av en liten brandvägg. Oftast stabilare, men det kräver hårdvara på plats.
- SSL VPN-klienter: medarbetarna får en ny klient med en färdig profil.
- Synchronized Security: integrationen med slutpunkterna försvinner. Segmentering och SIEM-anslutning täpper till den luckan.
Det allmänna förloppet i fem steg beskrivs under Migrera till OPNsense.
FAQ
Frågor om migrering från Sophos
Kan jag inte bara låta UTM:en fortsätta att köra?
Tekniskt ja, ansvarsfullt nej. En perimeterbrandvägg utan säkerhetsuppdateringar är en öppen dörr. Med krav enligt NIS2, KRITIS (tysk reglering för samhällsviktig infrastruktur) eller försäkringsvillkor är det svårt att försvara.
Kan vi återanvända Sophos-hårdvaran?
En del äldre SG-hårdvara är x86-baserad och kan i princip köra OPNsense. För produktion avråder vi, eftersom garanti och leverantörssupport inte längre finns.
Hur lång tid tar bytet?
För en enskild anläggning oftast några dagars förberedelse och ett underhållsfönster på en till två timmar. Flera anläggningar migrerar vi stegvis.
Kontakt
Skicka oss din konfigurationsexport
Vi berättar vad som kan överföras direkt, vad som inte kan det och vad migreringen kommer att kosta.