Esportare e importare selettivamente la configurazione Sophos Firewall

In Backup and firmware > Import export, Sophos Firewall può esportare l’intera configurazione o una parte selezionata. L’export può essere esaminato su un sistema di amministrazione protetto, modificato in modo controllato e reimportato come file .tar. È utile per modifiche a oggetti con un perimetro chiaro, migrazioni e modifiche di massa documentate.

Un import, tuttavia, non è un restore. Non sostituisce l’intera configurazione corrente, ma aggiunge nuove impostazioni e sovrascrive quelle corrispondenti contenute nel pacchetto importato. Le impostazioni non incluse rimangono invariate. Prima di ogni import in produzione servono quindi un backup completo del firewall con password e SSMK, un percorso di recupero per la gestione e un piano di test.

⚠️ Importante: Entities.xml può contenere password, secret, utenti, oggetti di rete, regole e altri dati sensibili. Elaborare i file solo su un sistema di amministrazione affidabile, non distribuirli tramite cloud storage o servizi di messaggistica non controllati e archiviarli o eliminarli in modo protetto dopo il change.

Eseguire un import selettivo in dieci passaggi

1. Documentare obiettivo, tipi di oggetto interessati e modifiche previste.
2. Creare un backup completo per il restore e verificare password e Secure Storage Master Key.
3. Registrare firmware di destinazione, versione dei pattern, piattaforma, numero di porte e compatibilità del modello.
4. In Backup and firmware > Import export, selezionare Export selective configuration.
5. Selezionare solo i tipi di configurazione necessari e includere consapevolmente le dipendenze.
6. Conservare in modo protetto il file .tar esportato e mantenerlo invariato come riferimento.
7. Estrarre il pacchetto, esaminare Entities.xml e modificare solo i campi pianificati.
8. Reimpacchettare Entities.xml e gli eventuali file associati, con nomi invariati, come .tar.
9. Importare il pacchetto in una finestra di manutenzione e inserire l’SSMK se sono coinvolte informazioni sensibili.
10. Verificare oggetti, policy dipendenti, Firewall Rule ID prevista, log e traffico reale.

Se l’import mostra un perimetro inatteso, manca una dipendenza o la compatibilità della piattaforma di destinazione non è chiara, non eseguire l’import in produzione. Il pacchetto esportato invariato serve per il confronto e il backup completo come percorso di recupero.

Non confondere import/export e backup

Un backup completo rappresenta il firewall come pacchetto di recovery. Durante un restore sostituisce la configurazione corrente, attiva l’indirizzo di gestione contenuto nel backup e riavvia il firewall. L’area import/export lavora invece con oggetti di configurazione:

• Le nuove impostazioni del pacchetto vengono aggiunte.
• Le impostazioni esistenti corrispondenti vengono aggiornate con i valori importati.
• Le impostazioni non incluse nel pacchetto rimangono invariate.
• Un import selettivo non rimuove quindi automaticamente vecchi oggetti o valori precedenti al di fuori dell’oggetto importato.
• Un import riuscito non prova né che siano presenti tutte le dipendenze né che il percorso del traffico funzioni.

Per sostituzione hardware, reimage, ripristino completo o un cambio di modello importante, backup e restore rimangono il flusso principale. Import/export è adatto quando il perimetro è chiaramente limitato, le dipendenze sono comprese e l’effetto può essere validato singolarmente.

Preparare l’export

Definire perimetro e dipendenze

In Export selective configuration si selezionano i tipi di configurazione necessari. Include dependent entity include gli oggetti dipendenti. L’opzione è utile, ma non sostituisce un controllo dei contenuti.

Un esempio è una regola firewall che fa riferimento a host, servizi, schedule, Web Policy o oggetti NAT. Se viene esportata solo la regola, sul firewall di destinazione possono mancare dipendenze oppure i riferimenti possono puntare a oggetti con nomi differenti. Prima dell’export documentare:

• quale oggetto principale deve essere modificato o trasferito;
• quali host, reti, servizi, gruppi, profili e policy dipendono da esso;
• quali oggetti con lo stesso nome esistono già sulla destinazione;
• quali flussi produttivi possono essere interessati dopo l’import;
• come verrà ripristinato lo stato precedente.

Per le configurazioni RED esiste un’eccezione documentata: REDDevice non esporta automaticamente la configurazione DHCP Server necessaria, anche se Include dependent entity è attivo. Selezionare inoltre DHCPServer oppure ricreare il server DHCP in modo controllato dopo l’import.

Verificare versione e piattaforma di destinazione

Sophos supporta l’import sulla stessa versione firmware o su una successiva. Anche la versione dei pattern del firewall di destinazione deve essere uguale o successiva. Se è precedente, aggiornare prima i pattern e quindi ripianificare l’import.

Le configurazioni selettive possono essere trasferite solo da un modello inferiore allo stesso modello o a uno superiore compatibile. La destinazione deve avere almeno lo stesso numero di porte Ethernet. Se i nomi delle porte o le funzioni della piattaforma differiscono, chiarire prima la mappatura. Per queste migrazioni, il Backup Restore Assistant è spesso più adatto di una modifica XML manuale.

I modelli wireless hanno limiti aggiuntivi per LocalWiFi, bande di frequenza, SSID, Security Modes precedenti, TKIP e assegnazioni bridge. Un import parziale riuscito non significa che ogni configurazione wireless sia stata trasferita. Controllare la configurazione di destinazione oggetto per oggetto.

Classificare SSMK e informazioni sensibili

Il Secure Storage Master Key non viene inserito durante l’export. È però decisivo nel successivo import se il pacchetto contiene password, secret, chiavi o configurazioni dipendenti.

• Su un altro firewall, oppure dopo Factory Reset o reimage, inserire l’SSMK associato all’export.
• Senza l’SSMK corretto, SFOS può importare il resto, ma le informazioni sensibili e le configurazioni dipendenti vanno perse.
• Se l’export non contiene informazioni sensibili, non serve alcun SSMK.
• Un import senza messaggi di errore non prova quindi che siano stati trasferiti tutti i secret e tutte le dipendenze.

L’SSMK non viene salvato con il file esportato. Proteggere separatamente export, backup completo, password del backup e SSMK, ma associarli senza ambiguità allo stesso firewall e allo stesso periodo per il recovery.

Esaminare e modificare il pacchetto esportato in sicurezza

Comprendere il contenuto del pacchetto

Dopo l’export è disponibile un file .tar. Un pacchetto senza informazioni sensibili può contenere solo Entities.xml. Per configurazioni sensibili contiene anche:

• hashFile.json
• propertyfile

Estrarre il pacchetto in una directory di lavoro dedicata:

tar -xvf <file-export>.tar

Non rinominare Entities.xml. Se sono presenti hashFile.json e propertyfile, conservare anche questi file e reinserirli nel pacchetto. Un export di file non è un formato adatto per operazioni globali di ricerca e sostituzione non controllate.

Preparare modifiche tracciabili

Per report, confronti e preparazione strutturata, Sophos Firewall Config Studio può analizzare Entities.xml localmente nel browser. Anche qui vale la stessa regola: verificare la configurazione generata prima dell’import. In particolare, interfacce, zone, NAT, VPN, Device Access, Authentication, certificati e HA richiedono una propria validazione.

Prima di una modifica manuale, copiare il file Entities.xml invariato. Modificare poi solo i valori pianificati e leggere il diff rispetto all’originale. Non ricostruire per supposizione nomi di elementi, ID, riferimenti o nomi di file. Se il significato di un campo non è chiaro, il processo termina prima dell’import.

Reimpacchettare i file come archivio TAR:

tar -cvf <file-import>.tar Entities.xml hashFile.json propertyfile

Se l’export originale conteneva solo Entities.xml, impacchettare solo quel file. Non inventare file associati vuoti né prenderli da un altro export.

Importare la configurazione

1. Mantenere aperti una sessione Full Admin esistente e un percorso di gestione alternativo.
2. Confermare finestra di manutenzione, file di backup, password, SSMK e decisione di rollback.
3. Aprire Backup and firmware > Import export.
4. In Import file, selezionare esclusivamente il pacchetto .tar preparato.
5. Avviare Import e inserire l’SSMK corretto quando richiesto da SFOS.
6. Documentare integralmente successo, avvisi e oggetti rifiutati.
7. Prima di altri import, validare innanzitutto l’effetto di questo pacchetto.

Per un change, diversi pacchetti piccoli e logicamente separati sono in genere più sicuri di un unico import grande e generico. Rendono più comprensibili perimetro dell’errore, dipendenze e percorso di recupero. È una decisione operativa, non una garanzia che oggetti arbitrari possano essere importati in modo indipendente.

Per l’automazione ricorrente su SFOS 22.0 MR2 o versioni successive, usare il flusso separato esportare e importare la configurazione tramite API Sophos Central. L’import locale WebAdmin rimane rilevante per modifiche manuali mirate e una verifica indipendente.

Validare completamente l’import

La validazione inizia dall’oggetto e termina con il percorso di traffico reale:

1. Aprire in WebAdmin gli oggetti importati e i relativi valori.
2. Controllare host, servizi, gruppi, profili e policy dipendenti.
3. Per password, secret o chiavi, testare la funzione, non solo la riga dell’oggetto visibile.
4. Aprire la regola firewall, NAT, web, VPN o Authentication interessata e verificare ordine e riferimenti.
5. Eseguire un test positivo e uno negativo controllati.
6. In Log Viewer confrontare Firewall Rule ID, Action, utente, Source, Destination e Service previsti.
7. In HA, controllare separatamente lo stato del cluster e il funzionamento dopo un cambio di ruolo pianificato; non presupporre la continuità delle sessioni.
8. Documentare Audit Trail, orario, file di import, risultato dei test e decisione di rollback.

Per una validazione multilivello delle policy, consultare Testare sistematicamente le regole firewall. Per errori di import possono essere rilevanti apiparser.log, validation.log, validationError.log, applog.log e il log specifico del servizio. Servizi e log di Sophos Firewall mostra la corrispondenza.

Delimitare in sicurezza gli errori tipici

L’import segnala una versione incompatibile

Confrontare firmware attivo, versione dell’export e stato dei pattern su entrambi i firewall. Non tentare di adattare un firewall di destinazione più vecchio tramite modifiche XML manuali. Stabilire prima uno stato firmware e pattern supportato o riprogettare il percorso di migrazione.

Mancano oggetti nonostante un import riuscito

Verificare se è stato usato Include dependent entity e quali dipendenze possiede realmente il tipo di oggetto. Per RED controllare anche DHCPServer. Non mascherare dipendenze mancanti con oggetti sostitutivi ampi o Any.

Mancano utenti, OTP o secret

Gli utenti autenticati esternamente apparsi automaticamente in locale al login non vengono esportati come gli utenti creati manualmente. Per MFA, OTPSettings esporta le impostazioni; OTPTokens contiene solo i token emessi per utenti locali creati manualmente. Verificare anche SSMK e destinazione dell’import.

Se mancano informazioni sensibili, non sovrapporre semplicemente un nuovo secret all’oggetto esistente. Stabilire prima se la causa è un SSMK errato, un export senza protezione SSMK o un’identità esterna non esportabile. Testare poi l’effetto su utenti e gruppi con un nuovo login. Il lifecycle degli account è descritto in Creare e gestire utenti locali.

Il file TAR viene rifiutato

Controllare nomi dei file e contenuto del pacchetto. SFOS si aspetta un file .tar; Entities.xml non deve essere rinominato. I file esistenti hashFile.json e propertyfile devono provenire dallo stesso export. Non rinominare semplicemente un file ZIP in .tar.

L’import è riuscito, ma il traffico non funziona

Controllare riferimenti degli oggetti, zone, ordine delle regole, NAT, routing, contesto utente/gruppo e Firewall Rule ID prevista. Uno stato di import verde conferma solo l’operazione di configurazione, non il suo effetto funzionale.

Rollback e checklist

Un import selettivo non ha un pulsante universale di annullamento. Per piccole modifiche a oggetti completamente documentate, i valori precedenti possono essere ripristinati in modo controllato. Se perimetro o dipendenze non sono chiari, usare il percorso di restore completo preparato.

Prima della chiusura devono essere soddisfatti tutti i punti seguenti:

• backup completo, password e SSMK sono disponibili;
• pacchetto esportato invariato e versione modificata sono archiviati separatamente;
• versione di destinazione, pattern e compatibilità del modello sono confermati;
• sono stati importati solo oggetti e dipendenze necessari;
• avvisi e oggetti parziali non riusciti sono stati analizzati;
• secret e funzioni dipendenti sono stati testati in pratica;
• traffico produttivo positivo e negativo raggiunge la regola prevista;
• log e Audit Trail corrispondono al change;
• in HA è stato verificato lo stato di entrambi i nodi;
• le copie di lavoro non rimangono non protette sul sistema di amministrazione.

Domande frequenti