Migrations-Fragen

[kosta]

Hallo,

da ich in der nächsten Zeit eine Migration auf OPNsense schrittweise vorbereiten werde, möchte ich hier ein Allgemein-Thread dazu eröffnen, und hoffe dass ich hier die Fragen einfach laufend, wenn ich eventuell wo hängen bleibe, stellen kann. Ich glaube so macht es mehr Sinn, als einzelne Threads.

Nun, ich bin beim Erstellen der OPNsense VM. Ich hab im Server 4 Ports zur Verfügung (eventuell 5, wenn nötig, andere NIC hat nur 3 belegt). Da wir aber auf der Sophos 7 LAN Ports belegt haben, muss ich mir was überlegen wie ich die Sachen erstmal "zusammenfasse", auch für einen temporären laufenden Betrieb.

Aus dem Plan (Infos gestrippt) sieht man dass wir eine Hauptfirewall haben (Sophos) und dann einen zweiten Router hinter der Sophos, der zwei IPSEC Tunnels aufbaut. Das ist eine Anforderung des Hostings, die ich aktuell so umgesetzt habe damit keiner sich beschwert - zukünftig anders, nur eine Leitung für den Cisco. Nichts desto trotz möchte ich bei OPNsense erstmal ein Setup erstellen, der der Sophos gleicht und wenn das funktioniert, die Änderungen am Cisco vornehmen lassen und umstellen.
Das bedeutet ich muss die WAN1 und WAN2 am Cisco "zusammenfassen" und auf ein Port auf der virtuellen OPNsense legen. Bin eben beim Überlegen ob ich das mit VLAN realisieren kann. Gedanklich spricht erstmal nichts dagegen.

Ich hätte es erstmal so angedacht, 4 Ports zur Verfügung:
WAN1 und WAN2 je ein phy. Port.
Port3: LAN, Client-Netz
Port4: VLANs (DMZ, WAN1 und WAN2 für Cisco, LAB, Server, Management, WLAN, Externe Server...)

Grundsätzliche Idee wäre einen physikalischen Port zu haben, und hierrüber alle Netze die aktuell auf der Sophos physikalisch sind logisch zu trennen und dann auf dem Switch diese entsprechend verteilen, ein entsprechendes Tagging am Switch und in der OPNsense (VLANs) müsste ja reichen.
Indem Hyper-V automatisch ein "Trunk" macht (also erlaubt 1-4096) automatisch dürfte nichts weiteres notwendig sein.

Der Durchsatz des einen 1GBit Ports würde für alle Zwecke erstmal reichen. Auf der HW-Firewall möchte ich dann eh trennen.

So, das wäre erstmal der Plan für den Anfang.
Aktuelle Netzwerk-Skizze, die neue mit OPNsense muss ich erst machen.

Was meint ihr? Ist das so umsetzbar vom Grundsatz her?

EDIT: vergessen zu erwähnen, natürlich wird die OPNsense erstmal *Privat* betrieben, damit ich die gleichen Netze einrichten kann, erst dann wenn ich sie mal produktiv machen will, dann stelle ich auf External um.