Attivare una chiave di licenza Sophos Firewall

Se il Sophos License Schedule contiene un Subscription Key, lo si attiva in SFOS 22 da Administration > Licensing > Activate subscription. Quindi verificare il Key con Verify key, controllare la subscription visualizzata e attivarla con Confirm.

Spesso i Renewal vengono associati automaticamente al numero di serie indicato nell’ordine e non contengono un nuovo Key. In questo caso, non riutilizzare un vecchio Key, ma fare clic su Synchronize in Administration > Licensing.

⚠️ Importante: Una chiave di licenza può essere utilizzata una sola volta ed è vincolata a uno specifico modello di firewall. L’attivazione non modifica le regole firewall, le configurazioni VPN o la registrazione di Central Management.

Controlli prima dell’attivazione

• Il firewall è associato all’account Sophos Central corretto.
• In Administration > Licensing, la Base License ha lo stato Subscribed, non Evaluating.
• Il modello e il numero di serie di Sophos Firewall corrispondono al License Schedule.
• Il Subscription Key non è già stato utilizzato su un altro firewall. Una License ID in Central non è la chiave di licenza.
• Per l’attivazione online e la sincronizzazione è disponibile l’accesso a Internet.
• Per un dispositivo Hardware as a Service (HWaaS), il bundle viene assegnato automaticamente; non è possibile applicare subscription proprie.

Per un’appliance hardware isolata si applica invece la procedura separata per licenze Air Gap e Pattern Updates. Se il License Schedule non contiene un Key, è possibile che la subscription sia già stata attivata automaticamente.

Rimandare la registrazione durante la prima configurazione

Durante l’installazione iniziale è possibile rimandare la registrazione del firewall. L’appliance può quindi essere utilizzata per 30 giorni. A ogni accesso compare la registrazione della licenza, che può però essere saltata entro tale periodo.

Alla scadenza dei 30 giorni, la registrazione diventa obbligatoria prima che un amministratore possa accedere nuovamente alla WebAdmin Console. Contemporaneamente scadono tutte le licenze tranne la Base Firewall. Questo periodo transitorio non è quindi un modello operativo per sistemi produttivi. Registrazione, claim nell’account Central corretto e stato della licenza vanno completati e documentati già durante la messa in servizio.

Attivare la chiave di licenza sul firewall

1. Accedere alla WebAdmin Console di Sophos Firewall.
2. Aprire Administration > Licensing. L’attuale pagina Licensing info di SFOS 22 indica questo percorso completo, mentre la guida di configurazione lo abbrevia in Administration. Attivazione, stato e sincronizzazione si trovano nell’area delle licenze. Nelle varianti meno recenti dell’interfaccia utente, lo stesso settore del prodotto è accessibile dal menu utente tramite About product.

3. Fare clic su Activate subscription.

4. Inserire il Subscription Key dal License Schedule. Non inserire una License ID, un numero di serie o un Key già utilizzato.
5. Fare clic su Verify key e controllare modello, subscription e durata.

6. Attivare con Confirm. In Module subscription details, la nuova subscription deve quindi apparire come Subscribed.

Le nuove subscription decorrono dall’evasione dell’ordine; un inserimento successivo del Key non posticipa le date di inizio e di scadenza.

Attivazione alternativa in Sophos Central

1. In Sophos Central, aprire l’icona del profilo.
2. Selezionare Licensing, quindi la scheda Firewall licenses.
3. Cercare il firewall in base al numero di serie e aprirne i dettagli.
4. Fare clic su Apply subscriptions.
5. Inserire il Subscription Key e selezionare Preview subscription.
6. Controllare assegnazione e durata e confermare con Apply subscription.
7. Sul firewall, fare clic su Synchronize in Administration > Licensing.

Le pagine Sophos attuali indicano due percorsi per lo stesso inventario Central: la guida alle licenze Central usa icona del profilo > Licensing > Firewall licenses, mentre la guida di configurazione di SFOS 22 usa My Products > Firewall Management > Firewall licenses. Il percorso visibile può dipendere dalla navigazione Central mostrata. La vista corretta offre la ricerca per nome, numero di serie e modello e il pulsante Apply subscriptions.

Claim, assegnazione della licenza e Central Management sono operazioni distinte. Se il firewall si trova nell’account Central errato, consultare Trasferire Sophos Firewall a un altro account Sophos Central; se necessario, la registrazione di Central Management deve essere modificata separatamente.

Gestire le licenze firewall in Sophos Central

La vista d’inventario centrale si trova in icona del profilo > Licensing > Firewall licenses. Qui è possibile cercare i firewall per nome, numero di serie e modello, nonché filtrarli per periodo del claim, periodo di scadenza e stato della subscription. I dispositivi nascosti compaiono solo dopo aver attivato Show hidden. Il nome visualizzato può essere modificato direttamente, ma per decisioni su licenze e trasferimenti fa fede il numero di serie.

Dalla stessa vista si possono eseguire il claim dei firewall, applicare o trasferire subscription, spostare firewall in un altro account Central, avviare evaluation, generare licenze Air Gap e scaricare firmware tramite Other Downloads. Questi pulsanti non rappresentano la stessa operazione: il claim associa un numero di serie all’account, Apply subscriptions riscatta una chiave e Transfer subscriptions sposta un diritto esistente su un altro firewall.

Per Hardware as a Service (HWaaS) valgono limitazioni fisse. Su questi dispositivi non è possibile applicare subscription proprie, trasferire subscription tra firewall, attivare evaluation o spostare il firewall tra account Central.

Valutare un Subscription Bundle

Per un firewall già sottoposto a claim, Central può abilitare singole funzioni per 30 giorni in Activate evaluations. Dopo la selezione con Evaluate selected, le licenze di prova compaiono nei dettagli del firewall. Un’evaluation scaduta può essere riavviata in Central se la scadenza risale ad almeno 90 giorni prima. Prima di allora, Central non mostra Activate evaluations per questa nuova fase di test. La pagina Licensing info di SFOS 22 indica invece la versione principale successiva come criterio per ripetere una valutazione dal firewall. Sophos documenta quindi criteri diversi per i due percorsi; questo articolo non applica la regola Central dei 90 giorni all’attivazione diretta in SFOS.

Un’evaluation va documentata come una subscription produttiva e verificata tecnicamente prima della scadenza. Non sostituisce un Renewal o un contratto di supporto e non deve diventare, senza controllo, un requisito per un percorso dati produttivo.

Perché una nuova durata può risultare più breve

Se Enhanced Support o un bundle che lo include viene attivato su un firewall la cui Warranty o precedente copertura di supporto è già scaduta, Sophos può ridurre la nuova durata. In questo modo il vuoto di supporto viene coperto retroattivamente mediante un calcolo Fair Value. L’addebito è limitato a un massimo di sei mesi.

Per una subscription di solo Enhanced Support, la riduzione corrisponde in linea di principio al periodo senza copertura. Se la precedente autorizzazione è scaduta due mesi prima, due mesi vengono sottratti dalla nuova durata. Per un bundle, Sophos calcola la quota di valore dell’Enhanced Support in base al prezzo di listino USD e la converte in un numero corrispondente di giorni.

Una durata inaspettatamente breve non si corregge reinserendo la stessa chiave. Scadenza del diritto precedente, data di attivazione, durata ordinata e License Schedule vanno verificati insieme e, in caso di discrepanza, chiariti con il partner o Sophos.

Renewal, Mid-term Upgrade e cambio del modello di licenza

Un Renewal va sempre ordinato per il numero di serie del firewall effettivamente licenziato. Due pagine Sophos attuali si contraddicono sulla chiave: la FAQ di attivazione afferma che tutti i Renewal vengono attivati automaticamente, senza Key, dopo l’elaborazione dell’ordine; la FAQ sui rinnovi afferma che, a seconda del Paese, il License Schedule contiene un Key oppure conferma l’attivazione automatica. Fa quindi fede il License Schedule ricevuto: attivare il nuovo Key se presente; in sua assenza, sincronizzare e verificare lo stato. Nei vecchi pacchetti di licenza XG, l’insieme di funzioni precedente può oggi essere suddiviso in più prodotti. Un vecchio TotalProtect Plus, ad esempio, non viene sostituito dal solo Xstream Protection se continuano a servire anche Email Protection e Web Server Protection.

La nuova durata inizia normalmente il giorno successivo alla fine della subscription esistente. Se la vecchia subscription era già scaduta al momento dell’attivazione, il Renewal inizia di regola il giorno dell’attivazione e in alcuni casi può essere retrodatato. Dopo ogni rinnovo occorre quindi controllare insieme vecchia scadenza, nuova data d’inizio e stato reale della protezione.

Estendere la licenza durante la durata contrattuale

Un Mid-term Upgrade viene gestito tramite un’offerta del partner. Il valore residuo delle subscription attive viene accreditato sul nuovo ordine. Tuttavia, non appena la modifica viene attivata, la nuova subscription inizia immediatamente e la parte rimanente di quella precedente termina, salvo che sia stata concordata esplicitamente una data d’inizio futura.

Un downgrade non è possibile durante il periodo contrattuale. Prima dell’attivazione devono quindi essere definiti per iscritto nuovo set di funzioni, accredito, data d’inizio e durata residua. Un upgrade apparentemente più conveniente non è vantaggioso se parte involontariamente subito e sostituisce una durata ancora necessaria.

Verificare subscription sovrapposte

Central può applicare una nuova subscription anche se è identica a una esistente o contiene funzioni comuni. In caso di sovrapposizione a pagamento, Apply subscription visualizza un avviso prima dell’applicazione. In seguito, Central mostra la subscription combinata e la nuova data di scadenza.

L’avviso non va confermato alla cieca. Prima si documentano moduli interessati, durata precedente e nuova, nonché configurazione finale attesa. Lo stesso vale per il trasferimento di una subscription su un firewall che possiede già una licenza sovrapposta.

Convertire una licenza Term in MSP Monthly

Una licenza Term attiva o scaduta può essere convertita in una licenza mensile MSP tramite Sophos Central Partner. Per una licenza scaduta, si seleziona la nuova subscription nei dettagli del firewall e si controlla poi la nuova data di scadenza.

Con una licenza Term ancora attiva, la conversione può distruggere valore residuo già pagato. Se, ad esempio, un bundle mensile Xstream Protection sostituisce una licenza Term Central Orchestration ancora valida, Central avverte espressamente della perdita del valore Term. La conversione va quindi eseguita solo dopo approvazione commerciale e conferma documentata delle funzioni e dei valori residui sostituiti.

Per i firewall virtuali va considerata anche la dimensione licenziata. Una normale licenza Term vincola la dimensione del firewall virtuale alla Base License e non consente di modificarla durante la durata. L’eccezione indicata da Sophos è una MSP termed license. Prima di scalare vanno quindi verificati congiuntamente dimensione CPU, modello di licenza e modifica desiderata.

Controllare lo stato della licenza

Dopo l’attivazione, controllare in Administration > Licensing:

• numero di serie e modello dell’appliance corretti
• stato Subscribed
• subscription prevista e moduli inclusi
• data di scadenza e stato del supporto
• stessa assegnazione in Sophos Central

Una nuova licenza abilita il diritto d’uso, ma non configura alcuna policy. Le nuove funzioni licenziate devono quindi essere configurate, testate e monitorate separatamente. Comprendere la Sophos Firewall Base License spiega le differenze tra Base License, supporto e Security Subscriptions.

In un cluster Active-Passive HA, l’Initial Primary detiene le licenze e l’Auxiliary ne riceve una copia. In Active-Active, entrambi i dispositivi richiedono licenze proprie dello stesso tipo, ma le date di scadenza possono essere diverse. I ruoli e i requisiti di licenza sono descritti in Varianti dei cluster HA di Sophos Firewall.

Dopo l’attivazione, controllare entrambi i numeri di serie, i ruoli HA e lo stato della licenza visualizzato. In Active-Active, la licenza deve essere corretta su entrambi i dispositivi.

I firewall online sincronizzano normalmente le licenze ogni 24 ore e mostrano un avviso dopo 70 giorni senza una sincronizzazione riuscita. Dopo 90 giorni, le Security Subscriptions vengono disattivate. Gli utenti possono ancora accedere e il traffico può continuare a transitare, ma senza le funzioni di protezione disattivate. Una sincronizzazione della licenza riuscita reimposta questo periodo di incommunicado. Senza una sincronizzazione manuale immediata, una Subscription appena applicata in Central può richiedere fino a 24 ore per comparire tramite la sincronizzazione automatica.

Sull’hardware, Base Firewall ed Enhanced Support restano attivi; sulle appliance Virtual o Software in Active-Passive HA, invece, può essere disattivata anche la Base License e HA può essere disabilitato. Per Air Gap si applica un intervallo separato di 180 giorni.

Se l’attivazione o la sincronizzazione non riesce

• Nessun Key nel License Schedule: verificare se Sophos o il partner ha già attivato automaticamente il Renewal. Quindi eseguire Synchronize sul firewall.
• Il Key viene rifiutato: verificare innanzitutto la presenza di spazi o errori di trasmissione. Il Key potrebbe essere già stato utilizzato, appartenere a un modello errato o essere stato sostituito da un ordine corretto. Inoltre, il firewall deve essere associato all’account e la Base License deve avere lo stato Subscribed. I Key a pagamento non possono essere applicati a licenze Home o gratuite di 30 giorni.
• La subscription è presente in Central ma non sul firewall: fare clic su Synchronize in Administration > Licensing. Se l’operazione non riesce, controllare la connessione Internet e verificare DNS, routing e ora di sistema come possibili cause.
• Firewall o account errato: non provare il Key su altri dispositivi. Conservare numeri di serie e License Schedule e chiarire il corretto trasferimento della subscription o dell’account. Per un dispositivo sostitutivo si usa la procedura separata Trasferire una licenza Sophos Firewall.

In presenza del messaggio Synchronization with server failed, si può seguire in tempo reale il log delle licenze nella Advanced Shell:

tail -f /log/licensing.log

Quindi avviare Synchronize in WebAdmin e controllare le nuove righe del log per individuare errori di connessione, certificato o assegnazione. Terminare l’output con Ctrl+C. Il comando legge soltanto il log; Connettersi a Sophos Firewall tramite SSH descrive come aprire in sicurezza la Advanced Shell.