Firewall getauscht: 15 Sekunden Pause, Rückfahrschein inklusive

Die Herausforderung

Ein Produktionsbetrieb mit zwei Standorten hing an einer Sophos-UTM, deren Abo und Lebenszyklus im Juni 2026 endeten. Das Tückische war nicht der Ausfall, sondern seine Pünktlichkeit: Zehn Sekunden nach Mitternacht schaltete die Firewall vertragsgemäß das VPN aller Mitarbeiter ab. Der Außenstandort hing an einem Sophos-RED-Tunnel, der weiterlief – bis zum nächsten Neustart der Zentrale. Danach wäre er nicht mehr hochgekommen. Eine Zeitbombe mit Netzstecker. Und eine Produktion im Schichtbetrieb verzeiht keinen Umbau-Sonntag, der bis Montag dauert.

Was wir gebaut haben

• Außenstandort zuerst. Eine eigene OPNsense übernimmt Routing, DHCP, DNS und den Internetausgang vor Ort; die Firma erreicht sie über WireGuard, ohne Hersteller-Abo. Konfiguriert wurde aus der Ferne, vor Ort am 24. Juni 2026 nur umgesteckt. Die Alt-Firewall verriet dabei die Wahrheit: drei Netze statt des einen, das dokumentiert war.
• Eigener Fernzugang statt Lizenzverlängerung. Innerhalb eines Tages stand ein VPN mit Windows-Passwort und Einmalcode. Die Authenticator-Einträge von 26 Mitarbeitern wurden übernommen – niemand musste einen QR-Code neu scannen. Beim Austritt wird der Zugang automatisch gesperrt.
• Hauptstandort mit Totmannschalter. Die neue Firewall wurde neben dem Datenpfad komplett vorgebaut, das Regelwerk gegen den Live-Stand abgeglichen. Die Umschaltung läuft als Skript: Bestätigt niemand den Erfolg, kehrt alles von selbst zurück. Am 31. August scheiterte der erste Anlauf an einem Kabel im falschen Switch-Port – die Automatik rollte zurück. Am Abend saß der zweite: rund 15 Sekunden Unterbrechung.
• Direkter Draht mit Notweg. Seit September verbindet ein Tunnel die beiden Firewalls direkt. Fällt er aus, schwenkt der Verkehr nach rund 15 Sekunden auf den alten Weg über das Rechenzentrum. Getestet, indem wir ihn absichtlich gekappt haben.

Was es bringt

Kein Abo-Ende kann den Betrieb mehr über Nacht abschalten. Am Außenstandort antwortet das Internet in 7–10 Millisekunden, weil der Umweg über die Zentrale entfällt; zwischen den Standorten sank die Laufzeit von 16 auf unter 10 Millisekunden. Im Prüflauf nach dem Umstieg antworteten alle 18 internen Webanwendungen. Änderungen laufen unter einem Wächter, der nach einem Fehlgriff die letzte gute Konfiguration zurückspielt; gesichert wird sie zweimal täglich. Eine Lehre gab es gratis: Manche übernommene Regel steht in der Konfiguration und wird trotzdem nicht geladen. Geprüft wird seither, was die Firewall tut, nicht was sie verspricht. Das zweite Gerät für den Hochverfügbarkeitsbetrieb steht bereit und wartet nur noch auf seine Kabel.

Für wen das passt

Für Betriebe mit mehreren Standorten, deren Firewall auf ein Abo- oder Support-Ende zuläuft und die auf eine offene Lösung wechseln wollen, die ihnen gehört. Besonders dann, wenn am Außenstandort niemand sitzt, der eine Konsole bedienen kann.