Migrar una licencia Sophos UTM a Sophos Firewall

Una licencia Sophos UTM puede migrarse a Sophos Firewall OS (SFOS) de dos formas distintas. La primera convierte a SFOS un appliance SG Series con UTM 9.x y migra la licencia UTM completa. La segunda aplica una licencia UTM virtual a un appliance SFOS virtual existente, que antes necesita una Base License virtual adquirida por separado. La conversión de un appliance de software queda fuera de esta guía porque requiere otro instalador y otro método de despliegue.

⚠️ Ambas migraciones de licencia son irreversibles. Tras confirmar la migración completa o aplicar la licencia UTM al firewall, esta ya no puede utilizarse en UTM. Un backup de SFOS no revierte la operación. Este procedimiento no se aplica a una migración a una XGS Appliance; contacte con Ventas de Sophos o utilice Sophos Migration Center.

La migración de licencia no migra la configuración. Las reglas, objetos, VPN, certificados, interfaces y servicios son un proyecto aparte y deben recrearse en SFOS.

Conservar evidencias y una alternativa antes de migrar

Antes del cambio, registre al menos el número de serie, UTM License ID, modelo SG o recursos de la máquina virtual, suscripciones activas y fechas de vencimiento. En MyUTM Licensing Portal, abra la licencia en License Management y guárdela mediante Actions > Download License File. El archivo debe corresponder al SG que va a convertir: Sophos advierte que usar la licencia de otro modelo provoca una interrupción del servicio.

Aplique primero en UTM cualquier clave nueva o renovación pendiente y espere al menos un día para que se sincronice en los registros de Sophos. El cambio debe incluir también un backup UTM reciente, certificados y claves exportados, credenciales WAN, acceso de administrador local probado y ventana de mantenimiento. El backup UTM sirve como evidencia y alternativa antes de la conversión completa. Para volver a UTM durante la prueba de SFOS hay que reinstalar UTM y restaurar este backup UTM conservado por separado; un backup de SFOS no puede restaurarse en UTM ni revertir la conversión de licencia.

La vía SG requiere además acceso al appliance, MyUTM y Sophos Fusion (antes Sophos Central), Internet, una memoria USB de al menos 4 GB, teclado USB y monitor VGA. Las instrucciones de migración de Sophos indican un mínimo de 1 GB; 4 GB cumplen también el requisito más conservador de la guía de reimage enlazada más abajo. La vía virtual requiere el archivo UTM y el número de serie de la SFOS virtual Base License comprada por separado.

Vía A: convertir por completo un SG Series UTM 9.x a SFOS

Según Sophos, esta vía es para un SG Series UTM 9.x con licencia UTM completa. Una UTM Trial License no puede convertirse. Si necesita probar SFOS conservando la posibilidad de volver a UTM, instale la prueba SFOS de 30 días en lugar de elegir la migración completa. Para volver hay que reinstalar UTM y restaurar el backup UTM conservado por separado; un backup de SFOS no puede restaurarse en UTM. Puede iniciar la migración completa durante la prueba; después de seleccionarla no hay rollback genérico a la licencia UTM.

1. Descargue el .iso que Sophos denomina Hardware Installers: Firewall OS for XGS Series desde la página de Sophos o desde My Environment > Installers > Firewall Protection > Download installers en Sophos Fusion.
2. Cree el medio y reinstale el appliance siguiendo Reinstalar Sophos Firewall OS. El reimage borra el sistema y la configuración existentes.
3. Cuando aparezca Firmware installed. Press y to reboot when done., retire la memoria USB, pulse Y y luego Intro.
4. Conecte un equipo al puerto LAN e inicie sesión inicialmente con usuario admin y contraseña admin. Debe cambiar la contraseña predeterminada.
5. Seleccione I would like to migrate my UTM 9 license now, elija con Browse el archivo UTM verificado y pulse Continue.
6. En License Migration & Renewals, pulse Login, inicie sesión y, solo tras la última revisión, elija Yes - Proceed with Registration en Important Information About Your License.
7. Complete el CAPTCHA y pulse Continue. En la página de detalles siguiente, revise de nuevo la asignación y después pulse Confirm Registration + Evaluation License.
8. En Registration Successful, ejecute Initiate License Synchronization y complete Basic Setup y Network Configuration Assistant.
9. En Administration > Licensing, compare el resultado con los derechos convertidos esperados que se indican más abajo; utilice el registro del cambio para identificar los datos UTM de origen.

Los appliances de software quedan deliberadamente fuera de este procedimiento SG. No pruebe la imagen de hardware: confirme con Sophos Support el instalador oficial y el método de despliegue adecuados para la plataforma antes de convertir una licencia.

Vía B: aplicar una licencia UTM virtual a un appliance SFOS virtual

Esta vía no reinstala el appliance virtual: aplica una licencia UTM virtual existente a Sophos Firewall virtual. La licencia UTM no incluye una SFOS virtual Base License. Cómprela por separado y asocie su número de serie al appliance SFOS virtual.

Durante la configuración de SFOS

1. Abra WebAdmin en https://<SFOS-IP>:4444, revise conscientemente el aviso del certificado local predeterminado y abra Welcome to Sophos Firewall.
2. Acepte Sophos End User Terms of Use y pulse Start setup.
3. Desmarque Install the latest firmware automatically during setup (recommended), pulse Continue, defina nombre y zona horaria y vuelva a pulsar Continue.
4. Seleccione I have an existing serial number e introduzca el número de serie de la SFOS virtual Base License adquirida.
5. En UTM 9 users, pulse Browse, cargue el archivo UTM y pulse Continue.
6. En Claim your firewall with Sophos Central, pulse Claim in Sophos Central. El botón abre Sophos Fusion; inicie sesión en fusion.sophos.com, compruebe el número detectado y confirme Claim firewall con Claim and migrate.
7. De vuelta en SFOS, en Basic setup is complete, elija Skip to finish o Continue para otros ajustes.

Posteriormente en Sophos Fusion

Si el firewall virtual ya está asociado a Sophos Fusion, abra el icono de perfil y seleccione Licensing > Firewall licenses. Búsquelo por número de serie, despliegue la fila y pulse Migrate UTM 9 license. En Upload UTM 9 license file, pulse Choose, cargue el archivo verificado y confirme con Finish. Después abra Administration en el firewall y pulse Synchronize.

Derechos esperados tras la conversión

Tras la migración, espere Enhanced Support. Al migrar un SG, espere además una SFOS Base License junto a las licencias convertidas. Sophos indica expresamente que la Base License se migra aunque la licencia UTM no tenga suscripciones activas. Esto no se aplica a la vía virtual: una Base License UTM virtual no se migra, por lo que la SFOS virtual Base License comprada por separado sigue siendo la licencia base. En ambas vías, Sophos concede además licencias de prueba para todas las demás licencias SFOS durante la vigencia restante de la licencia UTM.

BasicGuard es la excepción de vigencia: se convierte en Xstream Protection más Email Protection y Web Server Protection, y su vigencia restante se reduce a la mitad. Para la vía virtual descrita aquí, use el nivel de usuarios/IP UTM para comprobar el modelo SFOS y el límite de recursos convertidos:

Verificar el resultado y detenerse ante discrepancias

En SFOS, Administration o Administration > Licensing debe mostrar la Base License, los módulos convertidos, las licencias de prueba, el paquete de soporte, la vigencia y, cuando corresponda, el modelo virtual del estado esperado anterior. En Sophos Fusion, despliegue el número de serie en Firewall Management > Firewall Licenses o Licensing > Firewall licenses y compruebe la misma asignación. Ambas vistas deben coincidir entre sí; utilice la evidencia previa como entrada de la conversión, no como requisito de que módulos, modelo o vigencia permanezcan sin cambios.

Si tras la vía de Sophos Fusion la licencia solo aparece en Sophos Fusion, compruebe Internet y el claim en Sophos Fusion y vuelva a ejecutar Synchronize. Ante un número de serie o modelo incorrecto, una vigencia inesperada o módulos distintos, no intente otro registro, reinstalación o segunda migración. Conserve el archivo UTM, License ID, ambos números, capturas y hora, y eleve el caso a Sophos Support o a su partner de licencias. No hay un rollback general de autoservicio tras una migración completa confirmada.

Migrar la configuración por separado

Empiece la configuración solo cuando la licencia esté verificada. Las reglas y objetos UTM-to-SFOS deben replantearse; Config Studio puede documentar y comparar estados SFOS posteriores, pero no convierte UTM automáticamente. Antes de más cambios, cree un backup de Sophos Firewall y comprenda la restauración. Active por separado otras claves SFOS según Activar una clave de licencia de Sophos Firewall.