Fortinet zu OPNsense migrieren: Ablauf, Fallstricke und Kosten

Die FortiGuard-Verlängerung liegt auf dem Tisch, die Hardware nähert sich dem End-of-Life, und mit FortiOS 7.6.3 fällt der SSL-VPN-Tunnelmodus weg. Spätestens jetzt stellt sich die Frage, ob Sie weiter in FortiGate investieren oder auf eine offene Plattform wechseln.

Dieser Artikel zeigt, welche FortiGate-Funktionen OPNsense abdeckt, was sich nicht 1:1 übertragen lässt und wie eine Migration in sieben Schritten abläuft. Am Ende wissen Sie, mit welchem Aufwand Sie rechnen müssen und wann sich der Wechsel lohnt.

Warum Unternehmen von FortiGate zu OPNsense wechseln

FortiGate ist eine leistungsfähige Plattform. Die Gründe für einen Wechsel liegen selten in der Technik selbst, sondern im Betriebsmodell: Lizenzbindung, Hardwarezyklen und eine Sicherheitsfunktion, die über Jahre im Fokus von Angreifern stand.

Lizenzmodell: Die Schutzfunktionen hängen am Abo

IPS, Application Control, Web- und DNS-Filter sowie Malware-Schutz laufen bei FortiGate über FortiGuard-Abonnements, typischerweise im Paket Unified Threat Protection (UTP). Läuft das Abo aus, arbeitet die Firewall weiter, erhält aber keine neuen Signaturen mehr. Die Lizenz ist an das jeweilige Gerätemodell gebunden. Ein Hardwaretausch bedeutet in der Regel ein neues Bundle aus Gerät und Lizenz.

OPNsense ist unter der BSD-2-Clause-Lizenz quelloffen. Die Community Edition enthält den vollen Firewall-Funktionsumfang. Die Business Edition von Deciso ergänzt einen konservativeren Release-Kanal, kommerzielle Plugins und Herstellerunterstützung. Sie bezahlen für Stabilität und Support, nicht für das Freischalten von Schutzfunktionen.

Hardware: Kein Zwang zur Appliance

OPNsense läuft auf Standard-x86-Hardware, auf Deciso-Appliances oder virtualisiert, zum Beispiel unter Proxmox VE. Das Ende eines Gerätezyklus erzwingt keinen Lizenzneukauf. Sie wählen die Hardware nach Durchsatz und Schnittstellen, nicht nach Herstellerkatalog.

SSL-VPN: Sicherheitshistorie und Funktionsabbau

Das SSL-VPN von FortiOS war in den vergangenen Jahren mehrfach Ziel aktiv ausgenutzter Schwachstellen, darunter CVE-2022-42475, CVE-2023-27997 und CVE-2024-21762. Letztere wurde mit CVSS 9.6 bewertet und erlaubt nicht authentifizierten Angreifern die Ausführung von Code. Die US-Behörde CISA nahm sie im Februar 2024 in ihren Katalog aktiv ausgenutzter Schwachstellen auf.

Im April 2025 informierte Fortinet zudem darüber, dass Angreifer über einen symbolischen Link im SSL-VPN-Verzeichnis Lesezugriff auf bereits kompromittierte Geräte behalten konnten, auch nach dem Einspielen der Patches. CERT.at empfahl Organisationen daraufhin, langfristig auf andere Remote-Access-Verfahren umzusteigen.

Fortinet zieht selbst Konsequenzen: Ab FortiOS 7.6.0 entfiel SSL-VPN auf Modellen mit 2 GB RAM oder weniger. Mit FortiOS 7.6.3 wurde der Tunnelmodus auf allen Modellen durch IPsec ersetzt. Bestehende Tunnelmodus-Konfigurationen werden beim Upgrade nicht übernommen. Wer ohnehin alle VPN-Clients umstellen muss, kann die Plattformfrage zum selben Zeitpunkt stellen.

Transparenz und Souveränität

Der Quellcode von OPNsense ist öffentlich und prüfbar. Deciso dokumentiert Sicherheitskorrekturen mit CVE-Kennung, und der Hersteller sitzt in den Niederlanden. Die Konfiguration liegt als lesbare XML-Datei vor und lässt sich versionieren, sichern und auf neue Hardware übertragen. Für Betreiber im Geltungsbereich von NIS2 oder mit Vorgaben zu offenen Standards ist das ein nachvollziehbares Argument im Audit.

Funktionsvergleich: Was OPNsense statt FortiGate leistet

Für fast jede zentrale FortiGate-Funktion gibt es in OPNsense eine Entsprechung im Kern oder über ein Plugin. Die Logik dahinter unterscheidet sich teilweise deutlich.

FortiGate-Funktion	OPNsense-Entsprechung	Hinweis für die Migration
Firewall-Policies	Firewall-Regeln pro Interface, Floating Rules	Andere Regellogik, siehe nächster Abschnitt
Adress- und Serviceobjekte	Aliases (Hosts, Netze, Ports, URL-Tabellen, GeoIP)	Gute Gelegenheit zum Bereinigen
IPS (FortiGuard IPS)	Suricata mit frei wählbaren Regelsätzen	Seit 26.4 zusätzlich Inline-Modus per Divert
Web-Filter, Application Control	Zenarmor (Plugin)	Volle App-Control nur in kostenpflichtigen Zenarmor-Stufen
SSL-VPN / FortiClient	WireGuard, OpenVPN, IPsec (IKEv2)	Neue Clients für alle Nutzer
Site-to-Site-VPN	IPsec (route- oder policy-basiert), WireGuard	IPsec zu Bestandsgegenstellen bleibt kompatibel
HA-Cluster (FGCP)	CARP mit pfsync und Konfigurationssync	Aktiv/Passiv; kein Aktiv/Aktiv wie bei FGCP
SD-WAN	Gateway-Gruppen, Multi-WAN mit Failover und Lastverteilung	Keine applikationsbasierte Pfadwahl im Kern
FortiToken (MFA)	TOTP integriert; privacyIDEA für zentrale MFA	Token-Neuausgabe einplanen
FortiAnalyzer	Lokales Logging, Syslog-Export, Insight; Checkmk-Monitoring	SIEM-Anbindung über Syslog
FortiManager	OPNcentral (Business Edition) für zentrale Verwaltung	Funktionsumfang vorab abgleichen

Die Tabelle ersetzt keine Bestandsaufnahme. Entscheidend ist, welche Funktionen Sie heute tatsächlich nutzen. In vielen Umgebungen sind das deutlich weniger, als die Lizenz enthält.

Was sich nicht 1:1 übertragen lässt

Eine FortiGate-Konfiguration lässt sich nicht per Knopfdruck in OPNsense importieren. Es gibt kein offizielles Konvertierungstool. Werkzeuge, die Regeln automatisch übersetzen, übertragen auch Altlasten. Wir übersetzen Regeln deshalb bewusst und bereinigen sie dabei.

Policy-Logik vs. Interface-Regeln

FortiGate denkt in Policies zwischen Quell- und Zielinterface. OPNsense filtert eingehend pro Interface, ausgewertet nach dem Prinzip „first match“. Eine FortiGate-Policy von LAN nach WAN wird zur Regel auf dem LAN-Interface. Policies mit mehreren Interfaces oder Zonen müssen aufgeteilt oder über Interface-Gruppen und Floating Rules abgebildet werden. Gegen Ende der Regelliste blockiert OPNsense standardmäßig, was nicht ausdrücklich erlaubt ist.

VDOMs

Virtuelle Domains haben in OPNsense kein direktes Gegenstück. Getrennte Mandanten oder Sicherheitszonen bilden Sie entweder über VLANs und Regelsätze auf einer Instanz ab oder über getrennte OPNsense-Instanzen, etwa als VMs unter Proxmox. Welche Variante passt, hängt von Mandantentrennung, Administration und Audit-Anforderungen ab.

SSL-Inspection

Deep Inspection von TLS-Verkehr ist bei FortiGate tief integriert. In OPNsense steht dafür kein gleichwertiger Mechanismus im Kern zur Verfügung. Prüfen Sie vor der Migration, ob Sie die Inspection fachlich brauchen oder ob Endpoint-Schutz und DNS-Filter das Ziel sinnvoller erreichen.

SD-WAN-Regeln

FortiGate SD-WAN steuert Verkehr anhand von Anwendungen und gemessener Leitungsqualität. OPNsense bietet Gateway-Gruppen mit Failover, Lastverteilung und Policy-Routing nach Netz, Port oder Ziel. Für die meisten Mittelstandsszenarien mit zwei bis drei Leitungen reicht das. Wer applikationsbasiertes Steering zwingend braucht, sollte das im Vorfeld klären.

Remote-Access-VPN: die Client-Umstellung

Der größte organisatorische Aufwand liegt meist nicht an der Firewall, sondern an den Endgeräten. Jeder Nutzer mit FortiClient braucht einen neuen VPN-Client und ein neues Profil. Mit Softwareverteilung lässt sich das automatisieren. Ohne zentrale Verteilung sollten Sie dafür Zeit und Supportkapazität einplanen. Wer wegen FortiOS 7.6.3 ohnehin von SSL-VPN auf IPsec umstellen muss, hat diesen Aufwand in jedem Fall.

FortiGate OPNsense Migration in 7 Schritten

Eine saubere Migration läuft parallel zum Bestand und endet mit einem geplanten Umschaltfenster, nicht mit einem Sprung ins kalte Wasser.

1. Bestandsaufnahme. Exportieren Sie die FortiGate-Konfiguration und dokumentieren Sie Interfaces, VLANs, Zonen, NAT, VPN-Tunnel, Authentifizierung (LDAP, RADIUS, SAML), aktive Security-Profile und Logging-Ziele. Notieren Sie auch, was über die Firewall läuft, ohne dass es konfiguriert aussieht, etwa DHCP-Relays oder DNS-Weiterleitungen.
2. Regel-Audit und Bereinigung. Werten Sie die Hit-Counts der Policies aus. Regeln ohne Treffer, doppelte Objekte und zu weit gefasste „any“-Regeln fliegen raus oder werden präzisiert. Hier entsteht der größte Sicherheitsgewinn der Migration.
3. Hardware- und Sizing-Wahl. Bestimmen Sie Durchsatz mit aktivem IPS, Anzahl gleichzeitiger VPN-Verbindungen und benötigte Ports. Entscheiden Sie zwischen Appliance, x86-Server und virtueller Instanz sowie zwischen Einzelgerät und HA-Cluster.
4. Parallelaufbau. Bauen Sie OPNsense mit der übersetzten Konfiguration auf, ohne den Produktivverkehr anzufassen. Site-to-Site-Tunnel und VPN-Profile werden vorbereitet, Nutzer erhalten die neuen Clients schon vorab.
5. Testphase. Prüfen Sie jede Regelgruppe gegen definierte Testfälle: Zugriffe, die gehen müssen, und Zugriffe, die blockiert sein müssen. Eine Pilotgruppe nutzt das neue VPN im Alltag. Suricata läuft zunächst nur im Erkennungsmodus.
6. Umschaltung mit Rückfallplan. Die Umstellung erfolgt im Wartungsfenster. Die FortiGate bleibt verkabelt und konfiguriert, damit Sie bei Bedarf in Minuten zurückschalten können. Öffentliche IP-Adressen, DNS-Einträge und Gegenstellen der Tunnel sind vorher abgestimmt.
7. Schulung und Betrieb. Ihr Team lernt die neue Oberfläche, Updates, Backups und die Regelpflege. Danach betreiben Sie selbst oder übergeben den Betrieb an einen Managed Service mit SLA.

Die Dauer der Migration hängt weniger von der Firewall als von Regelanzahl, VPN-Gegenstellen und Client-Verteilung ab.

Kostenvergleich über fünf Jahre: ein Rechenbeispiel

Der ehrliche Vergleich stellt nicht Lizenz gegen Lizenz, sondern Gesamtkosten gegen Gesamtkosten. Dazu gehören Hardware, Abonnements, Projektaufwand und Betrieb.

Beispielszenario: 250 Nutzer an einem Standort, HA-Cluster aus zwei Geräten, Laufzeit fünf Jahre. Auf FortiGate-Seite dient eine FortiGate 120G mit UTP-Bundle als Vergleichsbasis, auf OPNsense-Seite zwei Deciso-Appliances DEC3862 mit Business Edition.

 

Kostenposition (5 Jahre, netto)	FortiGate 120G HA mit UTP	OPNsense DEC3862 HA mit Business Edition
Hardware inkl. Sicherheitsabo, 2 Geräte	36.800 € (2 × 18.400 € Bundle mit 5 Jahren UTP und FortiCare Premium)	4.496 € (2 × 2.248 €, inkl. 1. Jahr Business Edition)
Subscription Jahre 2–5	im Bundle enthalten	1.096 € (je Knoten 3-Jahres-Paket 399 € + 1 Jahr 149 €)
MFA für 100 Remote-Nutzer	ca. 6.500 € (FortiToken Mobile, 100 Nutzer, Listenpreis 7.638 USD)	0 € (TOTP in OPNsense integriert)
Migrationsprojekt (einmalig)	entfällt	8.400 € (Annahme: 7 Personentage à 1.200 €)
Managed Betrieb mit SLA	24.000 € (Annahme: 400 € pro Monat)	24.000 € (Annahme: 400 € pro Monat)
Summe ohne Application Control	67.300 €	37.992 €
Optional: Application Control / Web-Filter	im UTP enthalten	16.350 € (Zenarmor Business, 250 Geräte, 2 Knoten: 3.270 € pro Jahr)
Summe mit Application Control	67.300 €	54.342 €
pro Nutzer und Monat (250 Nutzer, 60 Monate)	ca. 4,49 €	ca. 2,53 € ohne / 3,62 € mit Application Control

Was bedeutet das für Ihr Unternehmen?

Dieser Abschnitt ist für die Geschäftsführung. Leiten Sie ihn gerne weiter.

• Kosten: Die Schutzfunktionen der FortiGate sind an ein laufendes Abonnement gebunden, dessen Preis der Hersteller festlegt. Mit OPNsense bezahlen Sie für Support und Betrieb, nicht für das Freischalten von Funktionen. Ob sich der Wechsel rechnet, zeigt ein Fünf-Jahres-Vergleich mit Ihren echten Zahlen.
• Risiko: Die Firewall ist das Eingangstor zu Ihrem Netz. Das FortiGate-SSL-VPN war mehrfach Ziel aktiv ausgenutzter Schwachstellen. Eine Migration ist zugleich die Gelegenheit, über Jahre gewachsene Regeln zu bereinigen.
• Ausfallzeit: Bei Parallelaufbau beschränkt sich die Unterbrechung auf ein geplantes Wartungsfenster. Die alte Firewall bleibt als Rückfallebene bereit.
• Abhängigkeit: Offener Code, Standardhardware und eine portable Konfiguration bedeuten: Sie können Hardware, Dienstleister oder Betriebsmodell wechseln, ohne die Plattform zu wechseln.
• Zeitpunkt: Der beste Moment ist vor der nächsten Lizenzverlängerung oder dem nächsten Hardwaretausch. Danach ist das Geld für weitere Jahre gebunden.

Warum EDNT für Ihre FortiGate-Alternative

EDNT IT-Services GmbH ist offizieller Partner von OPNsense und betreibt OPNsense-Firewalls für Kunden in ganz Deutschland. Wir migrieren nicht nur, wir betreiben danach.

• Offizieller OPNsense-Partner: direkter Draht zum Hersteller Deciso, Zugang zur Business Edition und zu OPNcentral.
• Migrationen aus der Praxis: Unsere Techniker übersetzen Regelwerke aus Fortinet-, Sophos- und pfSense-Umgebungen und kennen die typischen Stolpersteine aus Projekten. +1000 Firewall-Migrationen Erfahrung.
• Managed OPNsense mit SLA: Updates, Monitoring mit Checkmk, Backups und Regelpflege. 24/7-Support, Reaktionszeit ab 1 Stunde.
• Schulung für Ihr Team: In der EDNT Akademie lernen Ihre Admins OPNsense von Technikern, die das System täglich betreiben. So bleiben Sie handlungsfähig, auch wenn Sie den Betrieb abgeben.
• Alles aus einer Hand: Firewall, Virtualisierung mit Proxmox, Backup mit Proxmox und Bareos, inhabergeführt aus Bensheim mit festen Ansprechpartnern.

Häufige Fragen zur Migration von FortiGate zu OPNsense

Kann ich meine FortiGate-Konfiguration in OPNsense importieren?

Nein, ein offizielles Importwerkzeug gibt es nicht. Interfaces, Objekte, Regeln und VPNs werden übersetzt und neu angelegt. Das kostet Zeit, ist aber die beste Gelegenheit, veraltete und zu weit gefasste Regeln zu entfernen.

Wie lange dauert eine Migration?

Das hängt von Regelanzahl, VPN-Gegenstellen und der Verteilung der VPN-Clients ab. Zwischen 3 Tage und 14 Tage. Die eigentliche Umschaltung erfolgt in einem geplanten Wartungsfenster.

Ist OPNsense so sicher wie FortiGate?

OPNsense bietet Stateful Firewalling, IPS mit Suricata, moderne VPN-Verfahren und MFA. Der Quellcode ist öffentlich prüfbar, Sicherheitskorrekturen erscheinen regelmäßig mit CVE-Dokumentation. Die Sicherheit im Alltag hängt vor allem von sauberer Konfiguration und konsequenten Updates ab, bei jeder Firewall.

Kann die bestehende FortiGate-Hardware weiterlaufen?

OPNsense lässt sich auf FortiGate-Appliances nicht offiziell installieren. Sie benötigen Hardware, eine Deciso-Appliance oder eine virtuelle Umgebung. Die FortiGate bleibt während der Migration als Rückfallebene in Betrieb.

Was kostet der Umstieg von FortiGate auf OPNsense?

Die Kosten setzen sich aus Hardware, Migrationsprojekt und Betrieb zusammen. Eine laufende Lizenz für Schutzfunktionen fällt nicht an. Im kostenlosen Migrations-Check stellen wir Ihre aktuellen FortiGate-Kosten einem OPNsense-Szenario über fünf Jahre gegenüber.

Nächster Schritt: Ihr kostenloser Migrations-Check

Sie wollen wissen, ob sich der Wechsel von FortiGate zu OPNsense für Ihre Umgebung lohnt? In 30 Minuten klärt ein EDNT-Techniker mit Ihnen den Funktionsumfang, die kritischen Punkte Ihrer Konfiguration und einen realistischen Zeit- und Kostenrahmen. Unverbindlich.

Kostenlosen Migrations-Check buchen

Lieber direkt sprechen? Rufen Sie uns an unter 06251 8405-600 oder schreiben Sie an vertrieb@ednt.de.