Utilizzare Sophos Firewall Config Studio

Sophos Firewall Config Studio è il successore di Configuration Viewer basato su browser. Lo strumento crea rapporti da un file Entities.xml, confronta due o più versioni della configurazione e prepara modifiche o migrazioni. L’elaborazione avviene localmente nel browser; la configurazione non viene caricata su Sophos. Questa guida copre Config Studio 2.6.8 e SFOS 22.0 MR2.

Config Studio è particolarmente adatto per revisioni, confronti prima e dopo modifiche o aggiornamenti firmware e per preparare modifiche importanti alle regole. Non sostituisce tuttavia una copia di sicurezza per il ripristino o test funzionali reali. Per un problema di traffico attuale sono più diretti Log Viewer, Policy Test sul firewall e Packet Capture.

Esportare e proteggere Entities.xml

Config Studio non confronta copie di sicurezza per il ripristino cifrate. Prima di una modifica in produzione sono quindi necessari due tipi di file diversi: una copia di sicurezza completa come percorso di ripristino ed esportazioni Entities.xml per Config Studio.

1. In Backup & firmware > Backup & restore, creare una copia di sicurezza aggiornata per il ripristino e conservarla in modo sicuro.
2. Aprire Backup & firmware > Import export.
3. Selezionare Full configuration per un rapporto completo o Selective configuration per singoli moduli. Per un’esportazione selettiva, attivare Include dependent entity se necessario.
4. Scaricare l’esportazione. Se SFOS fornisce un file .tar, estrarlo e utilizzare il file Entities.xml contenuto.
5. Esportare un secondo Entities.xml dopo la modifica.

Se il file potrebbe essere nuovamente importato in un firewall, non rinominarlo. Nomi di cartella chiari evitano comunque confusioni, ad esempio:

firewall-sede-prima-della-modifica-2026-07-16/Entities.xml
firewall-sede-dopo-la-modifica-2026-07-16/Entities.xml

⚠️ Importante: Entities.xml e le copie di sicurezza per il ripristino contengono informazioni sensibili su struttura della rete, regole, oggetti, VPN e servizi. Elaborarli solo su un dispositivo amministrativo attendibile, non condividerli tramite spazio di archiviazione online personale, app di messaggistica o liste di distribuzione non controllate e infine archiviarli o eliminarli in modo sicuro.

Creare o ripristinare una copia di sicurezza di Sophos Firewall spiega la relazione tra copie di sicurezza, Secure Storage Master Key, compatibilità di ripristino e mappatura delle interfacce.

Controllare una configurazione come rapporto

1. Aprire Configuration report in Config Studio.
2. Selezionare il file Entities.xml locale. Anche se l’interfaccia parla di caricamento, Sophos dichiara che il file non lascia il dispositivo di amministrazione.
3. Selezionare un modulo o utilizzare Global search per cercare direttamente regole, oggetti e relative occorrenze.
4. Utilizzare Policy test per verificare quali regole e route corrispondono a una determinata origine e destinazione.
5. Utilizzare Usage reference per vedere dove viene usato un oggetto e Analyze per controllare regole e oggetti duplicati o in shadowing.
6. Esportare la versione controllata come HTML Report o PDF Report.

Da Config Studio 2.6, il rapporto mostra direttamente i valori degli oggetti referenziati nelle regole firewall, NAT e TLS. In questo modo è più semplice capire cosa si nasconde dietro il nome di un oggetto e quali altre regole sono interessate da una modifica.

Durante una revisione sono particolarmente rilevanti origini, destinazioni o servizi troppo ampi, vecchie regole NAT, VPN o WAF, oggetti duplicati e funzioni di sicurezza attivate consapevolmente. Controllare anche gli accessi amministrativi in Device Access, perché le normali regole firewall non gestiscono l’accesso a WebAdmin, SSH, User Portal o VPN Portal.

Policy Test in Config Studio valuta le regole firewall, NAT, SSL/TLS e SD-WAN della configurazione esportata, non il flusso di pacchetti attuale. La corrispondenza di origine e destinazione supporta valori IP e MAC, ma non oggetti FQDN. Una corrispondenza è quindi un controllo statico preliminare, non la prova che la connessione funzioni. Confermare i risultati sospetti di Analyze in WebAdmin e, se necessario, con test di connessione reali.

Confrontare più configurazioni

Config Studio può confrontare due o più file Entities.xml come sequenza temporale. I file vengono ordinati per data di modifica.

1. Aprire Compare configurations e caricare i file esportati.
2. Controllare Chronological order per verificare che le versioni siano nella sequenza corretta.
3. Selezionare le versioni From e To desiderate e limitare i risultati con filtri per tipo, ricerca e stato Added, Removed, Modified o Unchanged.
4. Controllare le differenze nella vista affiancata, unificata o semantica, secondo l’attività.
5. Salvare il risultato come rapporto HTML o PDF.

Per una modifica semplice sono sufficienti le esportazioni immediatamente prima e dopo. Sono utili anche i confronti prima e dopo un aggiornamento firmware, una migrazione hardware o un incidente, nonché con una configurazione di riferimento. Più versioni aiutano a identificare quando una modifica è comparsa per la prima volta.

Durante la revisione classificare brevemente le differenze:

• Pianificata: Confrontare con l’obiettivo della modifica e la richiesta di modifica.
• Di sistema: Controllare modifiche a firmware, certificati o riferimenti interni.
• Imprevista: Identificare account amministratore e orario tramite Audit Trail o, se necessario, configuration-audit.log.
• Mancante: Controllare se la modifica è stata salvata, sincronizzata o importata.
• Rimossa: Controllare le dipendenze in regole, NAT, VPN, WAF e Device Access.

Config Studio mostra cosa è diverso tra le versioni. Audit Trail indica chi ha apportato la modifica e quando.

Preparare modifiche e modelli

In Configuration editor è possibile importare un file Entities.xml e scegliere Keep all configurations o Keep only editable configurations. A seconda del modulo, è possibile aggiungere nuove voci con Add o Bulk add. Config Studio può anche unire una configurazione di base con modelli Sophos o di settore.

Da Config Studio 2.6.8 è possibile filtrare le regole firewall per IPS policy, NDR Active Threat Intelligence, Application Control, Web Filter, HTTPS decryption e malware scanning, quindi modificarle in modo mirato con Bulk edit. Lo strumento blocca inoltre anteprima e download quando regole firewall o NAT riutilizzano un nome nella stessa famiglia IP. Assegnare nomi univoci a questi conflitti prima dell’esportazione.

Dopo la modifica, Preview offre i formati Import XML, API Request e cURL. Download genera XML o un file TAR da importare nel firewall.

⚠️ Controllare prima dell’applicazione: Non importare o eseguire mai l’output dell’editor su un firewall di produzione senza verifica. Soprattutto per NAT, VPN, interfacce, Device Access, Authentication e HA, oggetti dipendenti, nomi di destinazione, zone e servizi devono essere corretti. La modifica richiede una copia di sicurezza aggiornata, una finestra di manutenzione, un percorso di ripristino e successivi test funzionali.

Il rapporto tra Entities.xml, file associati, Secure Storage Master Key ed effetto merge durante un import WebAdmin manuale è spiegato in Esportare e importare selettivamente la configurazione.

Per output API o curl, controllare anche account API, IP di origine e autorizzazioni. La configurazione sicura è descritta in Proteggere l’accesso XML API di Sophos Firewall. Dopo l’applicazione, controllare i servizi interessati, Log Viewer e un nuovo confronto della configurazione.

Controllare migrazioni e sostituzioni hardware

In Migrate to Sophos Firewall, Config Studio elabora configurazioni di Sophos Firewall, Sophos UTM, SonicWall, FortiGate e Palo Alto Networks. Il rapporto dei risultati mostra cosa è supportato completamente, parzialmente, manualmente o non è supportato; Config Studio 2.6 aggiunge un tasso di conversione e interventi successivi consigliati.

Una percentuale non sostituisce il collaudo. Prima dell’importazione, controllare le voci non migrate, nonché zone, interfacce, regole e oggetti dipendenti. Successivamente, convalidare almeno VPN, NAT, WAF, instradamento, DHCP, DNS, HA e accesso amministrativo con test reali.

Per SFOS 20.0 MR2 e versioni successive, la vista integrata Backup-restore compatibility aiuta a controllare in anticipo i modelli XG e XGS Appliance di destinazione. Mostra i layout delle porte, nonché moduli Flexi Port, ricetrasmettitori e standard di porta compatibili. Per il processo completo restano determinanti l’articolo su copia di sicurezza e ripristino, il confronto tra XG e XGS e, per i cluster, le varianti HA.

Le novità relative a Multi-File-Diff, modelli e Migration Insights sono riassunte in Sophos Firewall Config Studio 2.6.

Utilizzare le guide di pianificazione interattive

In Interactive guides, Config Studio offre altri strumenti di pianificazione: procedure guidate per implementazioni HA e SD-WAN orchestrate tramite Sophos Central, Backup-restore compatibility check, verifiche per moduli Flexi Port e ricetrasmettitori e riferimenti per standard di porta, negoziazione Ethernet e valori FEC predefiniti. Queste guide non richiedono un file Entities.xml quando si consultano solo opzioni hardware o di progettazione.

I risultati sono ausili alla pianificazione, non un’approvazione automatica. Un ripristino richiede comunque la verifica di versione SFOS, mappatura delle porte e prerequisiti dei dispositivi; HA o SD-WAN richiedono inoltre verifiche di cablaggio, licenze, progetto di ridondanza e percorso di ripristino testato. Config Studio 2.6.7 ha aggiunto alla guida SD-WAN un calcolatore di tunnel per progetti hub-and-spoke, multi-hub e full-mesh. Confrontarne il risultato con la topologia effettivamente pianificata e i limiti dei firewall coinvolti.

Risoluzione dei problemi

Config Studio non carica l’esportazione

Verificare che si utilizzi realmente Entities.xml da Backup & firmware > Import export. Un file .backup da Backup & restore è errato; un file .tar scaricato deve prima essere estratto. Se fallisce anche un’esportazione nuova e non modificata, ricaricare il browser e disattivare temporaneamente le estensioni che bloccano l’elaborazione dei file locali o JavaScript.

Il diff contiene troppe modifiche

Controllare prima ordine e data di modifica dei file, quindi filtrare i moduli interessati o creare esportazioni più piccole con Selective configuration. Aggiornamenti firmware o migrazioni possono generare differenze di sistema; contano regole, NAT, interfacce, VPN, certificati, Authentication, Hosts and services e Device Access.

L’output dell’editor non può essere applicato

Non improvvisare sul sistema di produzione. Ricontrollare configurazione di origine, oggetti dipendenti, nomi, zone, interfacce e servizi. Per l’importazione di un file utilizzare il file TAR generato; per API o curl controllare anche account, IP di origine e diritti. Ripetere il test solo in presenza di una copia di sicurezza e di un percorso di ripristino definito.