Utilizzare Sophos Firewall Config Studio

Sophos Firewall Config Studio è il successore di Configuration Viewer basato su browser. Lo strumento crea rapporti da un file Entities.xml, confronta due o più versioni della configurazione e prepara modifiche o migrazioni. L’elaborazione avviene localmente nel browser; la configurazione non viene caricata su Sophos.

Config Studio è particolarmente adatto per revisioni, confronti prima e dopo modifiche o aggiornamenti firmware e per preparare modifiche importanti alle regole. Non sostituisce tuttavia una copia di sicurezza per il ripristino o test funzionali reali. Per un problema di traffico attuale sono più diretti Log Viewer, Policy Test sul firewall e Packet Capture.

Esportare e proteggere Entities.xml

Config Studio non confronta copie di sicurezza per il ripristino cifrate. Prima di una modifica in produzione sono quindi necessari due tipi di file diversi: una copia di sicurezza completa come percorso di ripristino ed esportazioni Entities.xml per Config Studio.

1. In Backup & firmware > Backup & restore, creare una copia di sicurezza aggiornata per il ripristino e conservarla in modo sicuro.
2. Aprire Backup & firmware > Import export.
3. Selezionare Full configuration per un rapporto completo o Selective configuration per singoli moduli. Per un’esportazione selettiva, attivare Include dependent entity se necessario.
4. Scaricare l’esportazione. Se SFOS fornisce un file .tar, estrarlo e utilizzare il file Entities.xml contenuto.
5. Esportare un secondo Entities.xml dopo la modifica.

Se il file potrebbe essere nuovamente importato in un firewall, non rinominarlo. Nomi di cartella chiari evitano comunque confusioni, ad esempio:

firewall-sede-prima-della-modifica-2026-07-16/Entities.xml
firewall-sede-dopo-la-modifica-2026-07-16/Entities.xml

⚠️ Importante: Entities.xml e le copie di sicurezza per il ripristino contengono informazioni sensibili su struttura della rete, regole, oggetti, VPN e servizi. Elaborarli solo su un dispositivo amministrativo attendibile, non condividerli tramite spazio di archiviazione online personale, app di messaggistica o liste di distribuzione non controllate e infine archiviarli o eliminarli in modo sicuro.

Creare o ripristinare una copia di sicurezza di Sophos Firewall spiega la relazione tra copie di sicurezza, Secure Storage Master Key, compatibilità di ripristino e mappatura delle interfacce.

Controllare una configurazione come rapporto

1. Aprire Configuration report in Config Studio.
2. Caricare il file Entities.xml.
3. Selezionare un modulo o utilizzare Global search per cercare direttamente regole, oggetti e relative occorrenze.
4. Utilizzare Policy test per verificare quali regole e route corrispondono a una determinata origine e destinazione.
5. Utilizzare Usage reference per vedere dove viene usato un oggetto e Analyze per controllare regole e oggetti duplicati o in shadowing.
6. Documentare la versione controllata con Download as HTML.

Da Config Studio 2.6, il rapporto mostra direttamente i valori degli oggetti referenziati nelle regole firewall, NAT e TLS. In questo modo è più semplice capire cosa si nasconde dietro il nome di un oggetto e quali altre regole sono interessate da una modifica.

Durante una revisione sono particolarmente rilevanti origini, destinazioni o servizi troppo ampi, vecchie regole NAT, VPN o WAF, oggetti duplicati e funzioni di sicurezza attivate consapevolmente. Controllare anche gli accessi amministrativi in Device Access, perché le normali regole firewall non gestiscono l’accesso a WebAdmin, SSH, User Portal o VPN Portal.

Policy Test in Config Studio valuta la configurazione esportata e non il flusso di pacchetti attuale. Confermare quindi i risultati sospetti di Analyze in WebAdmin e, se necessario, con test di connessione reali.

Confrontare più configurazioni

Config Studio 2.6 può confrontare due o più file Entities.xml come sequenza temporale. I file vengono ordinati per data di modifica.

1. Aprire Compare configurations e caricare i file esportati.
2. Utilizzare il filtro dei moduli per selezionare solo le aree interessate.
3. Espandere le categorie Removed, Modified e Added.
4. Controllare le differenze previste e impreviste.
5. Salvare il risultato con Export HTML.

Per una modifica semplice sono sufficienti le esportazioni immediatamente prima e dopo. Sono utili anche i confronti prima e dopo un aggiornamento firmware, una migrazione hardware o un incidente, nonché con una configurazione di riferimento. Più versioni aiutano a identificare quando una modifica è comparsa per la prima volta.

Durante la revisione classificare brevemente le differenze:

• Pianificata: Confrontare con l’obiettivo della modifica e la richiesta di modifica.
• Di sistema: Controllare modifiche a firmware, certificati o riferimenti interni.
• Imprevista: Identificare account amministratore e orario tramite Audit Trail o, se necessario, configuration-audit.log.
• Mancante: Controllare se la modifica è stata salvata, sincronizzata o importata.
• Rimossa: Controllare le dipendenze in regole, NAT, VPN, WAF e Device Access.

Config Studio mostra cosa è diverso tra le versioni. Audit Trail indica chi ha apportato la modifica e quando.

Preparare modifiche e modelli

In Configuration editor è possibile importare un file Entities.xml e scegliere Keep all configurations o Keep only editable configurations. A seconda del modulo, è possibile aggiungere nuove voci con Add o Bulk add. Config Studio 2.6 può anche unire una configurazione di base con modelli Sophos o di settore.

Dopo la modifica, Preview offre i formati Import XML, API Request e cURL. Download genera XML o un file TAR da importare nel firewall.

⚠️ Controllare prima dell’applicazione: Non importare o eseguire mai l’output dell’editor su un firewall di produzione senza verifica. Soprattutto per NAT, VPN, interfacce, Device Access, Authentication e HA, oggetti dipendenti, nomi di destinazione, zone e servizi devono essere corretti. La modifica richiede una copia di sicurezza aggiornata, una finestra di manutenzione, un percorso di ripristino e successivi test funzionali.

Per output API o curl, controllare anche account API, IP di origine e autorizzazioni. La configurazione sicura è descritta in Proteggere l’accesso XML API di Sophos Firewall. Dopo l’applicazione, controllare i servizi interessati, Log Viewer e un nuovo confronto della configurazione.

Controllare migrazioni e sostituzioni hardware

In Migrate to Sophos Firewall, Config Studio converte configurazioni di Sophos UTM, SonicWall, FortiGate e Palo Alto Networks. Il rapporto dei risultati mostra cosa è supportato completamente, parzialmente, manualmente o non è supportato; Config Studio 2.6 aggiunge un tasso di conversione e interventi successivi consigliati.

Una percentuale non sostituisce il collaudo. Prima dell’importazione, controllare le voci non migrate, nonché zone, interfacce, regole e oggetti dipendenti. Successivamente, convalidare almeno VPN, NAT, WAF, instradamento, DHCP, DNS, HA e accesso amministrativo con test reali.

Per SFOS 20.0 MR2 e versioni successive, la vista integrata Backup-restore compatibility aiuta a controllare in anticipo i modelli XG e XGS di destinazione. Mostra i layout delle porte, nonché moduli Flexi Port, ricetrasmettitori e standard di porta compatibili. Per il processo completo restano determinanti l’articolo su copia di sicurezza e ripristino, il confronto tra XG e XGS e, per i cluster, le varianti HA.

Le novità relative a Multi-File-Diff, modelli e Migration Insights sono riassunte in Sophos Firewall Config Studio 2.6.

Risoluzione dei problemi

Config Studio non carica l’esportazione

Verificare che si utilizzi realmente Entities.xml da Backup & firmware > Import export. Un file .backup da Backup & restore è errato; un file .tar scaricato deve prima essere estratto. Se fallisce anche un’esportazione nuova e non modificata, ricaricare il browser e disattivare temporaneamente le estensioni che bloccano l’elaborazione dei file locali o JavaScript.

Il diff contiene troppe modifiche

Controllare prima ordine e data di modifica dei file, quindi filtrare i moduli interessati o creare esportazioni più piccole con Selective configuration. Aggiornamenti firmware o migrazioni possono generare differenze di sistema; contano regole, NAT, interfacce, VPN, certificati, Authentication, Hosts and services e Device Access.

L’output dell’editor non può essere applicato

Non improvvisare sul sistema di produzione. Ricontrollare configurazione di origine, oggetti dipendenti, nomi, zone, interfacce e servizi. Per l’importazione di un file utilizzare il file TAR generato; per API o curl controllare anche account, IP di origine e diritti. Ripetere il test solo in presenza di una copia di sicurezza e di un percorso di ripristino definito.