Migracja firewalla na FortiGate: reguły, VPN i przestój

Migracja firewalla na FortiGate to przeniesienie reguł, tuneli VPN i usług dostępnych z internetu ze starego urządzenia na nowe. Po przełączeniu biuro ma działać tak jak wcześniej. Przestój ogranicza się wtedy do samego przełączenia i testów z listy kontrolnej. Dlatego większość pracy robimy przed oknem serwisowym: porządkujemy reguły, przygotowujemy konfigurację i plan wycofania.

Jesteśmy partnerem Fortinet. Dobór modelu, licencje i utrzymanie opisujemy na stronie wdrożenia firewalla Fortinet FortiGate. Ten tekst dotyczy samej migracji: co przenieść, jak ograniczyć przerwę w pracy i kiedy wrócić do starego urządzenia.

Co przenosimy ze starego firewalla

Stary firewall zwykle robi więcej, niż ktokolwiek pamięta. Zanim zaczniemy, spisujemy wszystko, co przez niego przechodzi albo na nim działa:

• reguły ruchu między sieciami i do internetu,
• przekierowania portów, czyli usługi dostępne z zewnątrz (poczta, zdalny pulpit, kamery, systemy dziedzinowe),
• tunele VPN do oddziałów, dostawców i partnerów,
• VPN dla pracowników zdalnych razem z kontami i sposobem logowania,
• sieci VLAN, trasy statyczne, a czasem też serwer DHCP i DNS,
• adresy publiczne od operatora i to, do czego każdy z nich służy.

Konfiguracji z urządzenia innego producenta nie da się po prostu wgrać na FortiGate. Każdy producent inaczej opisuje obiekty, translację adresów i VPN. Reguły przepisujemy więc i sprawdzamy po kolei. Korzystamy przy tym z własnych, opracowanych metod przenoszenia konfiguracji, a w razie potrzeby współpracujemy z producentem.

Porządek w regułach przed migracją

Migracja to najlepszy moment na porządki, bo każdą regułę i tak trzeba obejrzeć. Przy każdej pytamy, kto jej potrzebuje i po co. Jeśli stare urządzenie pokazuje liczniki trafień, sprawdzamy, czy reguła w ogóle jest używana.

Reguły bez właściciela i bez ruchu nie trafiają na nowe urządzenie. Reguły typu „wszystko do wszystkiego” zastępujemy konkretnymi: źródło, cel i port. Jeśli nie wiadomo, czy reguła jest potrzebna, przenosimy ją z włączonym logowaniem i oceniamy po kilku tygodniach.

Przy okazji wychodzą rzeczy do naprawy niezależnie od firewalla. Typowe przykłady to otwarte porty zdalnego pulpitu, konta VPN byłych pracowników i urządzenia z domyślnymi hasłami.

VPN przy migracji na FortiGate: SSL VPN czy IPsec?

Przy nowych wdrożeniach projektujemy VPN dla pracowników na IPsec. Fortinet ogłosił, że od FortiOS 7.6.3 tryb tunelowy SSL VPN został zastąpiony przez IPsec VPN na wszystkich modelach FortiGate (release notes FortiOS 7.6, stan na 14.09.2026). Konfiguracja trybu tunelowego SSL VPN nie jest przenoszona przy aktualizacji. Trzeba ją przenieść na IPsec przed podniesieniem wersji.

Dla migracji oznacza to dwie rzeczy:

• jeśli Twój stary firewall ma VPN oparty na SSL, na FortiGate od razu budujemy go na IPsec,
• każdy laptop pracownika dostaje nową konfigurację klienta VPN, więc rozsyłamy ją przed dniem przełączenia.

Tunele do oddziałów i partnerów wymagają uzgodnień z drugą stroną. Jeśli zmienia się adres publiczny albo parametry szyfrowania, administrator po drugiej stronie musi zmienić swoją konfigurację w tym samym oknie.

Okno serwisowe i przestój

Przełączenie planujemy poza godzinami pracy. Przed oknem serwisowym ustalamy z Tobą trzy rzeczy: kiedy, kto z firmy jest pod telefonem i które systemy muszą działać rano w pierwszej kolejności.

Na czas przełączenia przestają działać internet, VPN i usługi dostępne z zewnątrz. Uprzedzamy o tym pracowników, a także partnerów, którzy łączą się z Twoją siecią. Jeśli zmieniają się adresy publiczne, wcześniej skracamy czas ważności rekordów DNS, żeby nowe adresy szybko zaczęły działać.

Przestój trwa zwykle od 30 minut do 2 godzin. Najważniejsze funkcje sprawdzamy na nowym urządzeniu jeszcze przed oknem, żeby przerwa była jak najkrótsza.

Przed oknem mamy gotowe:

• konfigurację FortiGate sprawdzoną na biurku, zanim urządzenie trafi do szafy,
• kopię konfiguracji starego urządzenia,
• dostęp do konsoli obu urządzeń i kontakt do operatora łącza,
• listę testów do wykonania po przełączeniu.

Testy po przełączeniu

Po przełączeniu sprawdzamy każdą usługę z listy, także te, z których firma korzysta rzadko. Usługi dostępne z zewnątrz testujemy spoza sieci firmy, np. z telefonu na danych komórkowych.

Co sprawdzamy	Jak
Internet w każdej sieci	komputer w sieci pracowników, Wi-Fi gości, sieć urządzeń
Serwery i systemy dziedzinowe	logowanie do programu księgowego, dostęp do udziałów sieciowych
Drukowanie i skanowanie	wydruk i skan do folderu lub e-maila
Usługi z internetu	połączenie spoza sieci firmy do każdej opublikowanej usługi
VPN pracownika	połączenie z laptopa spoza biura
Tunele do oddziałów	dostęp z oddziału do serwerów w centrali
Telefonia	połączenie przychodzące i wychodzące

Przez kolejne dni czytamy logi FortiGate. Szukamy ruchu, który nowe reguły blokują, a który ktoś w firmie potrzebuje.

Plan wycofania: kiedy wracamy do starego urządzenia

Plan wycofania ustalamy przed oknem serwisowym. Określamy, które usługi są krytyczne, i godzinę, do której muszą działać. Jeśli o tej godzinie coś krytycznego nie działa, przepinamy stare urządzenie i wracamy do poprzedniego stanu.

Nie naprawiamy problemów na działającej sieci pod presją czasu. Usterkę analizujemy spokojnie i wyznaczamy nowe okno. Dlatego stary firewall przez jakiś czas po migracji czeka obok, z pełną konfiguracją.

Od czego zależy czas i koszt migracji

Migrację wyceniamy indywidualnie, ryczałtem za projekt. Na czas i cenę wpływają:

Czynnik	Dlaczego zmienia koszt
Liczba reguł i ich opis	nieopisane reguły trzeba wyjaśnić, zanim je przeniesiemy
Liczba lokalizacji	każde biuro to osobne urządzenie, łącze i tunel VPN
VPN dla pracowników	nowa konfiguracja na każdym laptopie
Podział sieci na strefy	zmiany na przełącznikach i w Wi-Fi
Okno serwisowe	prace poza godzinami pracy

Sprzęt i subskrypcje FortiGuard wyceniamy osobno, według aktualnych cen Fortinet. Więcej o zabezpieczeniach sieci znajdziesz w ofercie cyberbezpieczeństwa dla firm.

Firewall to jedna z warstw ochrony. Jak wykrywać ataki, które przejdą przez zaporę, opisujemy w tekście o monitorowaniu zagrożeń i reagowaniu na incydenty. Jeśli planujesz wymianę firewalla, napisz do nas. Zaczniemy od spisu tego, co dziś robi Twoje urządzenie.