Migration

Sophos XGS ablösen und auf FortiGate wechseln

Wer eine bestehende Sophos-Firewall ersetzt, migriert meist deutlich mehr als ein einzelnes Gerät. An der Firewall hängen VLANs, Standortverbindungen, Remote Access, WLAN, Serververöffentlichungen, DNS, Routing und oft jahrelang gewachsene Regeln.

Genau deshalb beginnt eine saubere Migration mit der Aufnahme der vorhandenen Umgebung.

Was ich vor dem Wechsel prüfe

• physische und virtuelle Interfaces
• VLANs und Netzstruktur
• Firewall-Regeln und NAT
• Site-to-Site-VPNs
• Remote-Access-VPN
• öffentliche IP-Adressen und Serververöffentlichungen
• Routing und gegebenenfalls dynamisches Routing
• DHCP und DNS-Abhängigkeiten
• WLAN und vorhandene Access Points
• Zertifikate und Authentifizierung
• vorhandene Security-Funktionen

Nicht jede alte Regel gehört auf die neue Firewall

Eine Migration ist ein guter Zeitpunkt, historisch gewachsene Regeln zu prüfen. Nicht mehr benötigte Freigaben, zu weit gefasste Netze oder unklare Ausnahmen sollten nicht ungeprüft übernommen werden.

Ich überführe die benötigte Funktionalität in eine nachvollziehbare FortiGate-Konfiguration und dokumentiere die wesentlichen Abhängigkeiten.

FortiGate, FortiAP und Standortvernetzung

Wenn neben der Firewall auch WLAN oder weitere Standorte betroffen sind, kann die Umgebung als Gesamtsystem betrachtet werden. FortiGate und FortiAP lassen sich dabei ebenso einbeziehen wie bestehende HPE-/Aruba-Switches und andere vorhandene Netzwerkkomponenten.

Cutover mit Plan

Für den eigentlichen Wechsel gehören für mich eine definierte Reihenfolge, vorbereitete Tests und eine Rückfallmöglichkeit dazu. Gerade bei produktiven Standorten muss vorab klar sein, welche Funktionen nach dem Umschalten geprüft werden und wann ein Rollback notwendig wäre.