Exploiter la licence et les mises à jour de modèles de Sophos Firewall en mode Air Gap

Un Sophos Firewall sous SFOS 22 peut être exploité dans des environnements particulièrement isolés sans accès direct à Internet. Ce n’est pas un mode hors ligne normal, mais un fonctionnement Air Gap planifié avec une logique de licence propre, une synchronisation manuelle et un processus de mise à jour séparé pour les modèles.

Le point le plus important : le mode Air Gap n’est pas un moyen de faire fonctionner un pare-feu simplement “sans Internet” en parallèle. Il faut au préalable une autorisation appropriée, un pare-feu matériel revendiqué, un processus de mise à jour clair et un contrôle régulier des états de licence et de modèles. Sinon, le pare-feu peut continuer à fonctionner, mais les fonctions de protection perdent leur actualité ou les abonnements sont désactivés.

Pour la logique générale de licence, commencez par Comprendre la licence de base de Sophos Firewall. Cet article se concentre sur le cas particulier du mode Air Gap.

Important : une licence Air Gap ne déconnecte pas techniquement le pare-feu d’Internet. Si le pare-feu est connecté à Internet alors que le mode Air Gap est activé, il synchronise à nouveau ses licences en ligne. Dans les vrais environnements Air Gap, ce chemin réseau doit donc être empêché ou contrôlé volontairement.

Quand le mode Air Gap est-il pertinent ?

Le mode Air Gap convient uniquement aux environnements où le pare-feu est délibérément exploité sans connexion à Internet. Les exemples typiques incluent les réseaux fortement réglementés, les environnements de recherche, les environnements de défense, les segments de production ou d’autres zones où les connexions directes au cloud ou aux mises à jour ne sont pas autorisées.

Avant de prendre une décision, il est important de séparer trois questions :

• Le pare-feu peut-il vraiment ne pas avoir accès à Internet ?: Si un accès Internet contrôlé est possible, la synchronisation normale des licences et des modèles est généralement plus simple et plus sûre.
• Qui prendra en charge le processus de mise à jour manuelle ?: Le mode Air Gap génère une charge de travail opérationnelle. Les fichiers de licence et les modèles doivent être soigneusement entretenus.
• Quelles fonctions sont perdues ou affaiblies ?: Certaines fonctions nécessitent des services en ligne, une réputation, Sophos Fusion (anciennement Sophos Central) ou une résolution externe.

Le mode Air Gap n’augmente pas automatiquement la sécurité. Il réduit une certaine surface de connexion, mais transfère la responsabilité aux processus : téléchargement, vérification, transfert, téléchargement, documentation et surveillance.

Prérequis

Avant l’installation, il est important de clarifier ces points :

• Le pare-feu doit être revendiqué en tant que pare-feu Air Gap dans Sophos Fusion.
• L’utilisation du mode Air Gap doit être autorisée par le gestionnaire de compte Sophos.
• Selon Sophos, le mode Air Gap est prévu pour les pare-feu matériels.
• L’environnement ne doit pas être simplement temporairement hors ligne, mais doit être planifié comme un environnement isolé.
• Le réseau isolé ne doit contenir aucun pare-feu sous licence MSP Flex.
• Un accès administrateur à la CLI et à WebAdmin est nécessaire.
• Un moyen sécurisé de transférer les fichiers de licence et de modèles dans l’environnement isolé est nécessaire.

Avant la mise en œuvre, il est conseillé de documenter le numéro de série, le modèle, le compte Sophos Fusion, le statut de la licence et la personne responsable. Pour les numéros de série et les bases de licence, consultez Activer la clé de licence Sophos Firewall et Trouver le numéro de série du Sophos Firewall.

Avant l’activation, vérifiez également si les règles déployées pour Web Server Protection (WAF) et Email Protection dépendent des contrôles RBL et de réputation IP, et consignez la protection perdue dans le dossier de changement. Si ces contrôles sont indispensables à la conception de sécurité, n’activez pas Air Gap tant qu’une conception de sécurité adaptée n’a pas été approuvée. Une licence valide et des patterns à jour ne rendent pas ces contrôles en ligne disponibles hors ligne.

Aperçu du processus

Le processus Air Gap se compose de plusieurs étapes distinctes. Si l’une d’elles manque, le pare-feu n’est pas correctement en mode Air Gap.

• Revendiquer le pare-feu: Sophos Fusion. Le pare-feu est associé au bon compte
• Clarifier l’autorisation Air Gap: Gestionnaire de compte Sophos. L’autorisation Air Gap est présente
• Télécharger la licence Air Gap: Sophos Fusion. Le fichier de licence est disponible
• Activer le mode Air Gap sur le pare-feu: Console de l’appareil CLI. La synchronisation manuelle des licences est visible
• Télécharger le fichier de licence: Administration > Licensing. Le statut de la licence est mis à jour localement
• Appliquer les mises à jour de modèles: Backup & firmware > Pattern updates. Les modèles de protection sont mis à jour
• Surveiller le processus et les journaux: WebAdmin, Alertes, licensing.log. Les désactivations ou les modèles obsolètes sont détectés tôt

L’ordre est important. Un fichier de licence seul ne suffit pas si le mode Air Gap n’a pas été activé sur le pare-feu. Inversement, la commande CLI n’est pas utile sans un fichier de licence Air Gap valide provenant du bon compte.

Télécharger la licence Air Gap

Connectez-vous à Sophos Fusion, puis téléchargez le fichier de licence via ce chemin :

Sophos Fusion > Profile icon > Licensing > Firewall licenses > Download airgap license

Le fichier de licence doit être traité de manière contrôlée après le téléchargement et ne doit pas être placé dans des téléchargements privés, des messageries ou des presse-papiers non sécurisés. Il est judicieux de fournir une preuve interne rapide :

• Date de téléchargement
• Compte Sophos Fusion
• Pare-feu ou groupe de pare-feu concerné
• Numéros de série
• Personne responsable
• Date prévue de téléchargement

Sophos stipule qu’une licence Air Gap téléchargée doit être appliquée dans les 30 jours. Si le fichier est utilisé trop tard, un nouveau fichier doit être téléchargé.

Selon Sophos, un fichier de licence Air Gap peut être utilisé pour plusieurs pare-feu du même compte Sophos Fusion. Il faut néanmoins documenter en interne quels numéros de série ont été mis à jour avec le même fichier.

Activer le mode Air Gap sur le pare-feu

Pour que la synchronisation manuelle des licences soit visible dans WebAdmin, le mode Air Gap doit être activé sur le pare-feu via la CLI.

Procédure :

1. Connectez-vous à la console du pare-feu ou via SSH.
2. Dans la console Sophos, sélectionnez 4 pour Device Console.
3. Exécutez la commande :

system airgap enable

Ensuite, la section Manual license synchronization devrait être visible sous Administration > Licensing.

Cette étape doit être documentée. Dans les environnements de production, elle doit être incluse dans le même changement que l’importation du fichier de licence, afin qu’il soit clair plus tard quand le mode Air Gap a été activé et quel fichier de licence y est associé.

Contrôler l’état et quitter Air Gap de manière planifiée

Après l’activation et avant chaque fenêtre de licence, la commande suivante affiche l’état Air Gap actuel. Consigner la sortie avec le numéro de série, le build SFOS et le fichier de licence :

system airgap show

system airgap disable n’est pas une étape de dépannage pour un échec d’upload de licence. Cette commande ne convient qu’à une sortie planifiée du fonctionnement Air Gap. Préparer auparavant le chemin Internet autorisé, le DNS et la source de temps, la synchronisation normale des licences en ligne, les Pattern Updates et l’état de toutes les subscriptions.

system airgap disable
system airgap show

La désactivation ne rétablit pas un chemin réseau précédemment bloqué et ne prouve pas une synchronisation en ligne réussie. Après la modification, contrôler Administration > Licensing, l’état des patterns, licensing.log et les modules de protection utilisés. Si le pare-feu reste physiquement isolé, ne pas désactiver Air Gap uniquement pour modifier un indicateur.

Appliquer la licence Air Gap

Après l’activation, le fichier de licence est appliqué dans WebAdmin.

Procédure :

1. Connectez-vous à la console WebAdmin.
2. Ouvrez Administration > Licensing.
3. Dans la section Manual license synchronization, sélectionnez Choose file.
4. Sélectionnez le fichier de licence Air Gap.
5. Appliquez-le avec Update license.
6. Vérifiez le statut de la licence et les dates d’expiration.

Après l’importation, vérifiez si les abonnements attendus sont actifs. Une synchronisation de licence réussie ne remplace pas un test fonctionnel. Si Web Protection, IPS ou d’autres modules utilisables localement sont employés, les règles, l’état des patterns, les journaux et les tests doivent être contrôlés séparément. Zero-Day Protection ne fait pas partie de cette validation, car cette fonction n’est pas prise en charge en mode Air Gap.

HA-Cluster : Attention à l’Initial Primary

Dans le cas de la HA Active-Passive, la gestion des licences Air Gap est particulièrement délicate. Le fichier de licence ne doit être appliqué que sur l’Initial Primary. Cet appareil doit également être le Primary actuel lors de l’importation.

Si la licence est importée sur le mauvais nœud, des différences de licence ou un comportement inattendu de la HA peuvent survenir. Pour l’exploitation, il est donc conseillé de :

1. Vérifier System services > High availability avant l’importation.
2. Documenter l’Initial Primary et le rôle actuel.
3. Définir l’Initial Primary comme Preferred primary device.
4. Appliquer le fichier de licence sur le bon Primary.
5. Ensuite, vérifier le statut de la HA et de la licence.

Pour les bases de la HA et la logique des rôles, consultez Configurer la haute disponibilité de Sophos Firewall. Dans le cas du mode Air Gap, cette préparation n’est pas facultative, car le mauvais nœud peut plus tard générer des symptômes de licence ou de basculement difficiles à comprendre.

Appliquer manuellement les mises à jour de modèles

Sans mises à jour en ligne automatiques, les modèles doivent être soigneusement entretenus. Cela concerne les signatures, les moteurs, les clients et d’autres composants de mise à jour. Dans les environnements Air Gap, un fichier de modèles est téléchargé, puis importé dans WebAdmin.

Pour SFOS 22.0 et versions ultérieures, Sophos fournit un fichier .tar commun contenant les patterns de tous les modules :

Ouvrir le guide de sélection et de téléchargement des patterns SFOS 22

Pour les anciennes versions de SFOS, sélectionnez un fichier de patterns qui correspond explicitement à la version installée. Les paquets Air Gap dépendent de la version ; un paquet incorrect peut être refusé ou mettre à jour le mauvais ensemble de composants.

Procédure :

1. Téléchargez le fichier de patterns sur un système prévu à cet effet et laissez-le inchangé.
2. Transférez le fichier via le chemin de transfert autorisé dans l’environnement isolé.
3. Connectez-vous au pare-feu.
4. Ouvrez Backup & firmware > Pattern updates > Manual pattern update.
5. Sélectionnez Choose File et ouvrez le fichier .tar téléchargé.
6. Cliquez sur Upload, puis confirmez avec OK.
7. Dans la liste, vérifiez la version, la dernière mise à jour réussie et l’état de chaque composant nécessaire.

Dans les environnements HA, les modèles sont appliqués sur le Primary et ensuite synchronisés sur l’Auxiliary. Il est donc également conseillé de vérifier d’abord le statut de la HA.

Les mises à jour de modèles ne contiennent pas de hotfixes. Si un hotfix est nécessaire dans un environnement Air Gap, il doit être clarifié séparément avec Sophos Support ou dans le processus de support prévu.

Utilisez Configurer et contrôler les mises à jour de patterns de Sophos Firewall pour sélectionner et télécharger le bon paquet manuel, interpréter les états et distinguer ces paquets des firmwares APX, RED et SFOS. L’automatisation transporte uniquement les patterns et ne renouvelle pas le fichier de licence Air Gap.

Automatiser le transfert des patterns

Cette automatisation exige un serveur ou ordinateur équipé d’Apache, ou d’un service équivalent d’échange de fichiers, joignable par les pare-feu depuis le réseau isolé. N’exposez pas inutilement ce serveur. Limitez les clients et les droits d’écriture, appliquez le processus approuvé de transfert et d’analyse antimalware, et consignez les empreintes ou tailles avant et après le passage de la frontière Air Gap. Les commandes ci-dessous utilisent HTTP et curl --insecure. Avec une URL HTTP, --insecure n’apporte rien ; avec HTTPS, il désactive la vérification du certificat. Cela ne garantit donc ni authenticité ni confidentialité : limitez ce mécanisme au chemin de transfert isolé, vérifiez les fichiers indépendamment et préférez HTTPS avec validation du certificat si la conception prise en charge et approuvée le permet.

Sur le serveur d’échange, obtenez l’objet de métadonnées et le paquet de patterns officiels actuels. Comme la pièce jointe Salesforce du script renvoie actuellement du HTML lors d’une requête non authentifiée, demandez le fichier officiel actuel airgap_pattern_update.sh à Sophos Support en citant KBA-000006644 ; rejetez toute réponse HTML ou page de connexion au lieu de l’enregistrer comme script. Placez les trois fichiers vérifiés airgap_pattern_update.sh, sfos_pattern_updates_script.info et sfos_pattern_updates_script.tar sous /var/www/html/. La charge utile et les métadonnées doivent être servies sous ces noms cibles :

/var/www/html/airgap_pattern_update.sh
/var/www/html/sfos_patterns_update.tar
/var/www/html/sfos_patterns_update.info

Avertissement opérationnel : les noms de paquet disponibles sont incohérents : sfos_patterns_updates_script.info et sfos_pattern_updates_script.info apparaissent tous les deux, et certaines commandes mv peuvent désigner le fichier .info comme source de sfos_patterns_update.tar. Ces commandes ne créeraient pas correctement la charge tar requise. Ne les exécutez pas aveuglément et ne les corrigez pas en silence. Inspectez les fichiers téléchargés, confirmez leur type et leur contenu, puis associez la source .tar à sfos_patterns_update.tar et la source .info à sfos_patterns_update.info. Arrêtez-vous et contactez Sophos Support si les noms, types ou contenus ne correspondent pas.

Dans la copie serveur de airgap_pattern_update.sh, réglez PATTERN_URL sur http://<server ip address>/sfos_patterns_update.tar et INFO_URL sur http://<server ip address>/sfos_patterns_update.info. Ne remplacez les paramètres fictifs qu’une fois l’adresse approuvée connue, conservez une copie relue et vérifiez que les deux URL renvoient les fichiers prévus, non une page HTML d’erreur ou de connexion.

Sur chaque pare-feu, ouvrez Device Management > Advanced Shell et exécutez :

cd /content
curl --insecure http://<server ip address>/airgap_pattern_update.sh -o /content/airgap_pattern_update.sh
sh /content/airgap_pattern_update.sh > /log/airgap.log 2>&1 &
ps -w | grep airgap
tail -f /log/airgap_pattern_update.log

Remplacez uniquement <server ip address>. La valeur WAIT par défaut lance une interrogation toutes les 24 heures ; ne modifiez WAIT qu’après avoir documenté la charge et l’intervalle résultants. Exécutez cette configuration une fois par pare-feu. En HA, contrairement au chargement manuel décrit plus haut, installez et démarrez l’automatisation sur les deux nœuds Primary et Secondary.

Avertissement opérationnel : considérez ces commandes comme non validées pour votre modèle de pare-feu et votre build SFOS. Exécutez-les uniquement dans le cadre d’un changement approuvé, surveillez le résultat et préparez l’arrêt du processus. Confirmez le PID attendu avec ps, recherchez les erreurs de lancement dans /log/airgap.log et l’activité de mise à jour dans /log/airgap_pattern_update.log, puis contrôlez les versions, Last successful update et Success sous Backup & firmware > Pattern updates. En HA, contrôlez les processus des deux nœuds et l’état HA.

Avant toute modification des fichiers serveur, URL ou de WAIT, conservez le script fonctionnel, les métadonnées, les détails de la charge et l’état initial des journaux. Si la validation échoue, arrêtez le processus d’arrière-plan concerné selon la procédure de changement approuvée, restaurez les copies relues du serveur et du script, et utilisez le chargement manuel pendant l’analyse. Une ancienne archive de patterns n’est pas un rollback produit ; ne lancez pas de processus d’interrogation en double et ne déduisez pas la réussite de curl seul.

Contrôler le statut des modèles

Un fonctionnement en mode Air Gap n’est aussi bon que la routine qui le sous-tend. Sophos met généralement de nouveaux modèles à disposition chaque semaine. Si le pare-feu n’est pas mis à jour pendant longtemps, la valeur de l’IPS, de l’antivirus, des signatures d’application et d’autres fonctions de protection diminue.

Dans les installations Air Gap, Sophos Firewall met à jour ensemble les signatures IPS et applicatives, même si IPS n’est pas activé. Cela ne remplace pas la vérification que l’abonnement concerné est actif et que la fonction de protection est utilisée dans les politiques.

Un fichier accepté ne suffit pas à prouver la réussite. Avec Success, Current version, Available version et Last successful update doivent être plausibles pour les composants nécessaires. N’utilisez pas une ancienne archive comme retour arrière. Si SFOS refuse le fichier, téléchargez de nouveau le paquet SFOS 22, contrôlez le build et la taille ou le transfert, puis importez-le sans le modifier.

Contrôle pratique :

• Versions actuelles des modèles: Backup & firmware > Pattern updates
• Dernière mise à jour réussie: Backup & firmware > Pattern updates
• Statut de la mise à jour: Prêt à installer, Téléchargement, Succès ou Échec
• Statut de la licence: Administration > Licensing
• Avis de licence et de désactivation: licensing.log

Pour un contrôle général de l’exploitation, consultez également Utiliser correctement le contrôle de santé de Sophos Firewall. Le mode Air Gap ne doit pas être compris comme une exception à l’hygiène des mises à jour, mais comme un processus spécial pour la même obligation : maintenir les fonctions de protection à jour.

Expiration de la licence et fenêtre Incommunicado

Dans le cas d’une synchronisation normale des licences, 90 jours sans synchronisation réussie sont critiques. Pour les licences Air-Gap, une fenêtre plus longue de 180 jours s’applique. Il faut télécharger puis importer un nouveau fichier de licence avant l’expiration, sinon les abonnements de sécurité sont désactivés. Le maintien du droit à Enhanced Support après l’expiration de la licence Air-Gap ne peut pas être garanti de manière générale : vérifier séparément l’abonnement de support réel et le droit au RMA, puis clarifier les incertitudes avec l’administration autorisée du compte ou Sophos Support. L’importation d’une licence ne renouvelle pas un contrat de support payant. Le cycle de 180 jours n’est pas le délai de renouvellement de 90 jours du cas de support Active-Passive documenté ; cette distinction est expliquée dans Base License et expiration du support.

Pour l’exploitation, cela signifie :

• Après 160 jours, SFOS affiche un avertissement avec les 20 jours restants ; préparez le nouveau fichier de licence Air Gap au plus tard à ce moment.
• Au plus tard lors des avertissements, le téléchargement doit être planifié.
• Après 180 jours sans nouvelle licence Air Gap, la désactivation des abonnements de protection est imminente.
• Le trafic peut continuer, mais sans les fonctions de protection concernées.
• Le statut doit être contrôlé via WebAdmin, les alertes et licensing.log.

Une synchronisation de licence réussie réinitialise cette période d’incommunicabilité. Après l’importation, ne vérifiez pas seulement la disparition de l’alerte : les abonnements attendus et leurs dates d’expiration doivent être corrects sous Administration > Licensing.

licensing.log est particulièrement important en cas de problèmes de licence. Un aperçu des journaux de pare-feu pertinents est disponible dans Dépannage de Sophos Firewall : Services et journaux.

Ce qui est limité dans les environnements Air Gap

Le mode Air Gap signifie que les services en ligne ne fonctionnent pas comme dans un pare-feu normalement connecté. Certaines fonctions ne sont pas prises en charge, d’autres perdent une partie de leur efficacité.

Limites typiques :

• Gestion Sophos Fusion: la gestion centrale et la sécurité synchronisée ne sont pas utilisables comme dans les environnements en ligne
• DNS dynamique: nécessite une connexion Internet
• NTP externe: fonctionne uniquement si un serveur de temps interne accessible est présent
• FQDN: utile uniquement avec une résolution DNS interne
• Aide en ligne: indisponible sans accès Internet
• Provisionnement en ligne RED: nécessite un provisionnement en ligne
• Email Protection: Anti-spam, RDNS, SPF, RBL et réputation IP ne sont pas disponibles ; l’analyse malware, le routage e-mail, le filtre MIME et le chiffrement SPX peuvent continuer à fonctionner
• Web Server Protection (WAF): Real-time Blackhole List (RBL) et la réputation IP sont également indisponibles en mode Air Gap. Cette limitation ne concerne pas uniquement Email Protection.
• Sophos Anti-Virus Live Protection: les requêtes SXL2 Live ne fonctionnent pas sans connexion en ligne
• Chromebook Authentication et SMS Gateway: nécessitent des services en ligne et ne conviennent pas à un Air Gap classique
• Catégorisation Web et URL: la catégorisation web, Micro Apps Discovery et CASB Lite sont limités aux catégories et signatures locales sans services en ligne
• Protection Zero-Day: nécessite une connexion au cloud et ne convient pas au mode Air Gap classique
• Accès au support: l’accès au support à distance n’est pas disponible dans les réseaux isolés

Ce point est souvent sous-estimé dans les projets. Un pare-feu Air Gap ne peut pas fournir la même protection basée sur le cloud qu’un pare-feu normalement connecté. Il est donc important de décider avant la conception quelles fonctions de protection sont indispensables et comment compenser les fonctions en ligne manquantes : serveurs DNS et NTP internes, routine manuelle des modèles, Syslog, documentation locale et processus de support clair.

Établir une routine d’exploitation

Pour le mode Air Gap, une procédure fixe est nécessaire. Sinon, les mises à jour de licence et de modèles ne deviennent visibles que lorsqu’un avertissement apparaît ou qu’un module de protection n’est plus à jour.

Routine judicieuse :

• Hebdomadaire ou selon le risque interne: Vérifier, télécharger et appliquer le fichier de modèle
• Mensuel: Documenter le statut des modèles, le statut de la licence, le statut de la HA et les alertes
• Au plus tard à partir du jour 160: préparer un nouveau fichier de licence Air Gap depuis Sophos Fusion
• Après chaque téléchargement: vérifier le statut de la licence, le statut des modèles, les modules de protection pertinents et la synchronisation de la HA
• À chaque fenêtre de mise à jour du firmware: planifier ensemble le processus Air Gap, la sauvegarde, les modèles et le retour en arrière

Les mises à jour du firmware restent un processus distinct. Pour l’exécution, consultez Effectuer une mise à jour du firmware de Sophos Firewall, pour la sauvegarde et la récupération Créer ou restaurer une sauvegarde de Sophos Firewall.

En cas d’échec d’une importation

Pour une licence refusée, comparez d’abord system airgap show, le numéro de série, le compte Sophos Fusion, la date de téléchargement et le rôle du nœud HA. Ne réessayez pas un fichier vieux de plus de 30 jours : téléchargez-en un nouveau depuis Sophos Fusion. En HA, l’Initial Primary reste le seul nœud d’importation ; utiliser l’autre nœud n’est pas une solution de contournement.

Si l’importation Air Gap en HA Active-Passive échoue sous SFOS 22.0 GA, le firmware compte : Sophos indique que ce problème est corrigé dans 22.0 MR1 (NC-169474). Pour le contexte MR2 concernant SAVI/AVIRA (NC-180066) et un service eBPF bloqué après une mise à jour (NC-177769), consultez Sophos Firewall v22 MR2. Appuyez la décision de mettre à jour avant de nouvelles tentatives sur le guide de mise à jour du firmware Sophos Firewall ; ces identifiants n’expliquent pas tous les échecs.

Pour un échec de patterns, consignez le composant, les versions, l’horodatage et l’état, puis récupérez les journaux sous Diagnostics > Troubleshooting logs. Pour les échecs de licence, licensing.log fait partie des fichiers pertinents. Si la cause reste inconnue, transmettez ces éléments, le numéro de série et le build SFOS à Sophos Support. Un redémarrage de service ou system airgap disable sans diagnostic adapté masque l’état initial.

Erreurs fréquentes

Clarifier le mode Air Gap après l’installation

Le mode Air Gap doit être clarifié avant l’acquisition et l’installation. Si le pare-feu fonctionne déjà isolé en production, mais qu’aucune autorisation ou fichier de licence Air Gap approprié n’est disponible, une pression inutile est créée.

Considérer les mises à jour de modèles comme optionnelles

Les mises à jour de modèles ne sont pas moins importantes dans les environnements Air Gap, mais elles sont plus exigeantes sur le plan opérationnel. Sans routine, les fonctions de protection deviennent obsolètes en silence.

Ignorer le rôle de la HA avant l’importation de la licence

Dans le cas de la HA Active-Passive, l’Initial Primary doit être le Primary actuel approprié. Sinon, le statut de la licence peut devenir incertain après un basculement ou une importation.

Supposer des fonctions cloud

La Protection Zero-Day, la gestion Sophos Fusion, la réputation en ligne, le provisionnement en ligne RED ou l’accès au support ne doivent pas être planifiés tacitement dans les conceptions Air Gap.

Traiter les avertissements de licence trop tard

Les licences Air Gap ont une fenêtre de 180 jours, mais le processus ne doit pas commencer le dernier jour. Le téléchargement, le transfert, l’autorisation de changement et le téléchargement prennent du temps.

Liste de contrôle

• Autorisation Air Gap clarifiée avec Sophos.
• Pare-feu revendiqué dans le bon compte Sophos Fusion.
• Numéro de série, modèle et statut de la licence documentés.
• Transfert de fichiers sécurisé dans l’environnement isolé défini.
• system airgap enable exécuté et documenté.
• Licence Air Gap téléchargée sous Administration > Licensing.
• En cas de HA : Initial Primary, Primary actuel et Preferred Primary vérifiés.
• Fichier de modèle téléchargé et appliqué sous Backup & firmware > Pattern updates.
• Statut de la licence, statut des modèles et licensing.log contrôlés.
• Routine d’exploitation pour les modèles, le fichier de licence, le statut de la HA et la fenêtre de mise à jour du firmware établie.

FAQ