Migração de firewall não falha por bug.
Ela falha porque algo óbvio foi esquecido.

Esse checklist não é teórico.
É baseado no que costuma dar problema às 3h da manhã, quando ninguém quer estar em call.

Coisas que quase sempre esquecem

🔹 DNS e dependências indiretas

• Regras que “não usam DNS”, mas usam
• Forwarders, resolvers internos e externos
• FQDN em regras que mudam IP sem aviso

Erro comum: testar acesso por IP e esquecer que a aplicação usa nome.

🔹 NTP e sincronismo

• Firewall sem horário correto gera:
  • Logs confusos
  • Problemas de autenticação
  • Falhas em VPN

NTP parece detalhe.
Nunca é.

🔹 Tráfego de gerenciamento

• Acesso ao FMC / gerência
• SNMP
• Syslog
• Backup
• AAA

Depois da virada, ninguém consegue acessar o firewall.
Clássico.

🔹 NAT “esquecido”

• NAT de retorno
• NAT hairpin
• NAT manual antigo que ninguém lembra

Regra existe.
Sem NAT, não funciona.

Pontos que costumam explodir às 3h da manhã

🔥 VPNs

• Phase 1 / Phase 2 incompatível
• Criptografia diferente
• Rotas não previstas
• ACL de VPN mal definida

VPN só mostra problema em produção.
Sempre.

🔥 Assimetrias de rota

• Tráfego entra por um lado e sai por outro
• Load balancer no meio
• Roteamento diferente do esperado

Firewall não perdoa assimetria.

🔥 Performance subestimada

• Inspeção demais ativada sem critério
• IPS em inline sem sizing correto
• Políticas aplicadas de forma global

A caixa está “funcionando”, mas tudo fica lento.

🔥 Logs desativados

• Política sem log
• Falta de visibilidade
• Dificuldade total de troubleshooting

Sem log, não existe diagnóstico.

O que validar com o cliente (antes da virada)

Escopo real

• O que é crítico
• O que pode parar
• O que não pode parar em hipótese nenhuma

Nada pior que descobrir isso durante o incidente.

Janela de mudança

• Horário
• Duração realista
• Plano de rollback

“Janela curta” sem rollback não é janela.
É aposta.

Expectativa de segurança

• O que pode ser bloqueado
• O que deve ser liberado temporariamente
• Quem aprova exceção em emergência

Decisão precisa estar combinada antes.

Critério de sucesso

• O que define que a migração deu certo
• Quem valida
• Quando encerrar a mudança

Sem critério, a mudança nunca termina.

Checklist final (o que salva projeto)

• Design validado por mais de uma pessoa
• Levantamento baseado em tráfego real
• Logs habilitados
• Plano de rollback testado
• Contato do cliente disponível
• Time alinhado

Checklist não evita todos os problemas.
Mas evita os piores.

Conclusão🧘‍♂️

Migrar firewall em produção não é sobre coragem.
É sobre preparo.

Quem confia só na experiência acaba improvisando.
Quem segue checklist dorme melhor depois da virada.

Produção não perdoa esquecimento.
Mas sempre cobra mais caro a falta de validação.