Sophos Firewall Config Studio 2.6: Migration eingebaut

Als wir vor einiger Zeit über das SonicWall Migration Tool und später über das Fortinet Migration Tool geschrieben haben, waren das noch zwei separate, über den Partner Portal gated Werkzeuge: eine 2,5 GB grosse OVA-Datei für SonicWall, ein eigenständiger Migration Assistant für Fortinet. Mit Sophos Firewall Config Studio und speziell mit der aktuellen Version 2.6 hat sich das grundlegend geändert: Die Migrations-Funktion ist jetzt direkt im Tool eingebaut, ohne separaten Download, ohne Partner-Portal-Freischaltung.

Für uns heisst das konkret: Die beiden alten Blogposts zu den dedizierten Migration-Tools sind mit dem aktuellen Stand nicht mehr der beste Einstiegspunkt. Wer heute von Fortinet oder SonicWall zu Sophos Firewall migrieren will, sollte zuerst bei Config Studio anfangen.

Was sich geändert hat

Sophos beschreibt es in den eigenen Partner-News so: Config Studio “now includes the migration assistants previously gated behind the Partner Portal”. Das ist der entscheidende Satz. Was früher ein eigener Download mit eigenem Freigabeprozess war, ist jetzt ein Menüpunkt in einem Tool, das ohnehin für Konfigurationsvergleiche und Reviews genutzt wird.

Config Studio unterstützt den Import von Konfigurationen aus:

• Sophos UTM
• Fortinet (FortiGate)
• SonicWall
• Palo Alto Networks

Migriert werden dabei die üblichen Verdächtigen: Netzwerkobjekte, Firewall-Regeln, NAT-Regeln, statische Routen und weitere grundlegende Konfigurationselemente. Was weiterhin nicht automatisch übernommen wird, ist im Kern identisch mit dem, was schon die alten Einzeltools nicht migriert haben: Benutzer, Gruppen, Authentifizierungsmethoden, VPN-Konfigurationen, dynamisches Routing, Admin-Einstellungen, WLAN, Zertifikate und Passwörter. Wer hier eine automatische Komplettübernahme erwartet, wird nach wie vor enttäuscht – das war nie das Versprechen, weder beim alten Migration Assistant noch jetzt bei Config Studio.

Neu ist aber, dass Config Studio nach dem Import eine klare Übersicht liefert, was erfolgreich migriert wurde und was manuell nachgezogen werden muss. Das ersetzt das bisherige Rätselraten, welche Regel jetzt eigentlich sauber importiert wurde und welche man von Hand nachbauen muss.

Was Config Studio 2.6 sonst noch bringt

Neben der Migrations-Integration hat die Version 2.6 noch einige Detailverbesserungen, die den Alltag mit dem Tool angenehmer machen:

• Merge von Konfigurationsvorlagen: Baseline-Konfigurationen lassen sich mit branchenspezifischen Templates kombinieren, zum Beispiel für Education, Retail oder Manufacturing. Für einen Neuaufbau ist das ein sinnvoller Startpunkt statt einer komplett leeren Konfiguration.
• Erweiterte globale Suche: Konfigurationsobjekte lassen sich mit einem Klick direkt in der passenden Regel oder Policy finden, statt sich manuell durch verschachtelte Menüs zu klicken.
• Bessere Configuration Reports: Referenzierte Objektwerte werden jetzt direkt in Firewall-, NAT- und TLS-Regeln angezeigt, nicht nur als Name ohne Kontext.
• Mehrere Konfigurationsdateien gleichzeitig vergleichen: Ein Diff über mehrere Zeitpunkte hinweg, nicht nur zwischen zwei Ständen. Praktisch, wenn man nachvollziehen will, wann genau sich eine Regel verändert hat.
• Backup-Restore-Kompatibilität und Flexi-Modul-Referenz: Prüfwerkzeuge für Hardware-Kompatibilität und Portbelegung, bevor ein Backup auf anderer Hardware wiederhergestellt wird.
• Dark Mode: Kein Funktionsmerkmal im engeren Sinn, aber bei stundenlangen Config-Reviews nicht die schlechteste Ergänzung.

Was das für die alten Migration-Tool-Posts bedeutet

Der SonicWall-Post und der Fortinet-Post bleiben online, weil die grundsätzlichen Überlegungen zur Migrationsplanung, zu nicht übernommenen Konfigurationsteilen und zum Vorgehen bei der Nachbearbeitung weiterhin gültig sind. Der technische Weg dorthin hat sich aber geändert: Statt eine separate OVA herunterzuladen oder einen gaten Migration Assistant anzufragen, ist Config Studio heute der richtige Einstiegspunkt für alle vier unterstützten Herkunftsplattformen.

Für die praktische Nutzung von Config Studio, inklusive Configuration Report, Configuration Compare und Configuration Editor, bleibt Sophos Firewall Config Studio nutzen der richtige KB-Artikel.

Schnelles Tool, langsame Firewall

Was mir bei der Update-Kadenz auffällt: Config Studio entwickelt sich seit dem Launch auffällig zügig weiter, von V2 über 2.5 zu jetzt 2.6, mit modernen Workflows wie Multi-File-Diff, Template-Merge und Dark Mode. Das wirkt fast so, als würde hier mit modernen, KI-gestützten Entwicklungsmethoden gearbeitet, im Sinne von “Vibe Coding”, bei dem ein schlankes Tool schnell iteriert und Feedback direkt einfliesst. Schön für Config Studio, aber ein bisschen schade für die Firewall selbst: Die WebAdmin-Oberfläche der Sophos Firewall bewegt sich im Vergleich dazu in sehr viel kleineren Schritten. Das Klonen und Gruppieren von NAT-Regeln steht seit Jahren auf der Wunschliste vieler Admins, ein wirklich durchdachtes responsives Design fehlt weiterhin, und die GUI wirkt speziell bei grossen Regelwerken nach wie vor eher träge als flüssig.

Daraus entsteht der Eindruck, dass es aktuell einfacher ist, ein schlankes neues Parallel-Tool weiterzuentwickeln, als sich an das über Jahre gewachsene WebAdmin selbst heranzuwagen. Das ist aus Entwicklungssicht nachvollziehbar, ein gewachsenes System umzubauen ist ungleich aufwendiger als ein neues Tool von Grund auf zu bauen. Aus Admin-Sicht bleibt aber der Wunsch, dass ein Teil dieser Innovationsgeschwindigkeit früher oder später auch in der Firewall-GUI selbst ankommt, und nicht nur in den Werkzeugen drumherum.

Fazit

Dass Sophos die Migrations-Funktion aus separaten, partnergated Tools in ein zentrales, frei zugängliches Werkzeug verschoben hat, ist konsequent. Wer heute eine Migration von Fortinet, SonicWall, Palo Alto oder UTM zu Sophos Firewall plant, sollte nicht mehr nach einem eigenen Migration-Tool suchen, sondern direkt mit Config Studio starten. Die Grenzen bleiben dieselben wie vorher: Eine automatisierte Migration ersetzt keine saubere Nachprüfung, besonders bei VPN, Authentifizierung und Admin-Einstellungen. Aber der Weg dorthin ist jetzt kürzer und für jeden Partner ohne zusätzlichen Freigabeprozess erreichbar.

Unsere Techniker unterstützen gerne bei jeder Migration zu einer Sophos Firewall, inklusive der Nacharbeiten, die kein Tool automatisch erledigt. Kontakt