Umstieg Sophos UTM 9 (VM) zu OPNsense (VM)

[Mr.Bit]

Hallo zusammen,

ich habe eine Sophos UTM 9 Installation, welche ich aufgrund des EOL der Sophos auf OPNsense umstellen möchte. Die UTM läuft als VM auf einem vmware Server, hat aktuell nur ein Interface konfiguriert, über welches Management und Dienste laufen.
Die UTM fungiert aktuell nur als Web Application Firewall (Reverse Proxy) und SMTP Filter, so soll auch die Sense arbeiten (ebenfalls als VM).

Netzaufbau aktuell:


      WAN / Internet
            :
            : Telekom Glas / WAN
            :
      .-----+-----.
      |  Lancom   | ---> Weiterleitung Port 25, 80, 443 zu Sophos UTM -> Mails gehen zu Exchange, 443 zu Exchange, Port 80 bleibt auf der UTM (LetsEncrypt)
      '-----+-----'
            |
            |
            |
      .-----+------.
      | LAN-Switch | -  - - - - - - - - Sophos mit Revers Proxy und SMTP Filter (eingehend)
      '-----+------'
            |
    (Clients/Servers)
      '-----+------'

Wenn ich die richtigen Informationen in der heiligen Suchmaschine gefunden habe, würde sich für dieses Scenario eine OPNsense als "Filtering Bridge" Modus anbieten, mit HAproxy, nginx oder caddy und Mailgateway (ClamAV, Postfix, Redis, Rspamd).

Würde es so funktionieren?

Danke und Gruß

Mr. Bit
           

     

[viragomann]

Hallo,

es sollte genau so funktionieren wie mit der Sophos.

Aber wie kommst du auf "Filtering Bridge Modus"?
Das gibt es bei einem "Router on a Stick" Setup gar nicht. Eine Bridge würde mehr als ein Interface voraussetzen. Das hast du aber nicht geplant.
Oder meinst du Transparent Reverse-Proxy? Dann vergiss es. Das funktioniert nur, wenn der Reverse-Prosy am Pfad zum Default Gateway liegt, oder die Firewall nicht stateful ist und alles raus lässt.
Das hast du aber aktuell wohl auch nicht.

Die HAproxy Konfiguration ist ziemlich umständlich auf OPNsense. Da muss man sich eine Zeit einarbeiten. Caddy sollte laut den Threads hier einfacher sein.

Mailgateway wird wohl kein Probem sein. Ich verwende es allerdings ohne Filtertools.

Grüße