Trasferire una licenza Sophos Firewall a un dispositivo sostitutivo
Quando si sostituisce un Sophos Firewall, la subscription a pagamento deve passare dal vecchio numero di serie al nuovo firewall. In Sophos Central questa operazione si chiama Transfer subscriptions. Trasferisce la licenza, ma non la configurazione locale né la registrazione a Central Management.
Per una sostituzione tipica si segue questo ordine:
- Verificare i numeri di serie vecchio e nuovo, i modelli, l’account Central e i ruoli HA.
- Mettere al sicuro un backup aggiornato, la password di cifratura e il Secure Storage Master Key.
- Eseguire il claim del nuovo firewall nello stesso account Sophos Central.
- Per un RMA controllare il trasferimento automatico proposto; in caso contrario usare Transfer subscriptions.
- Verificare la subscription e la data di scadenza sul firewall di destinazione e sincronizzare la licenza in SFOS.
- Ripristinare separatamente la configurazione e testare il funzionamento in produzione.
⚠️ Durante un trasferimento RMA, Sophos avverte che il vecchio firewall diventerà inutilizzabile. Prima della conferma devono quindi essere corretti i numeri di serie, il backup e il percorso di ripristino. Il trasferimento della licenza non è un backup della configurazione.
Scegliere prima il trasferimento corretto
Sophos Central offre diverse operazioni dai nomi simili. Risolvono compiti differenti:
- Transfer subscriptions sposta le licenze a pagamento tra due firewall nello stesso account Central. Questo articolo descrive tale procedura.
- Transfer firewalls sposta l’assegnazione del claim e della licenza in un altro account Central. Per questo serve Trasferire Sophos Firewall a un altro account Sophos Central.
- Activate subscription attiva un nuovo Subscription Key. La procedura è descritta in Attivare una chiave di licenza Sophos Firewall.
- Backup e restore trasferiscono la configurazione SFOS. Sono indipendenti dal trasferimento della licenza.
Il numero di serie collega hardware, claim e stato della licenza. Prima di ogni passaggio occorre documentare chiaramente i numeri di serie di entrambi i firewall. Il nome visualizzato o la posizione non bastano come controllo quando i dispositivi sono simili.
Prerequisiti prima del trasferimento
Il firewall di destinazione deve prima essere sottoposto a claim nello stesso account Sophos Central. Sophos specifica inoltre tre limiti fissi per il trasferimento manuale delle subscription: i firewall devono essere dello stesso modello o di un modello accettato da Sophos come equivalente, le Evaluation Subscriptions non possono essere trasferite e i dispositivi Hardware as a Service sono esclusi.
Se la destinazione non compare sotto Transfer to o l’equivalenza dei modelli non è chiara, non si deve sperimentare con un altro numero di serie o un secondo account. Occorre prima confrontare i documenti di licenza, entrambi i numeri di serie e l’ordine RMA o di sostituzione con il partner Sophos o con il Support.
La migrazione tecnica viene preparata in parallelo. Comprende un backup Sophos Firewall aggiornato con test di restore, i certificati necessari, le credenziali WAN, una finestra di manutenzione e un piano di ritorno. In HA occorre identificare Initial Primary, Primary attuale e Auxiliary prima del passaggio di licenza.
Trasferire manualmente la subscription al firewall di destinazione
Questa procedura è adatta a una normale sostituzione hardware o quando il trasferimento RMA automatico non viene proposto:
- Aprire l’icona del profilo in Sophos Central.
- Accedere a Licensing > Firewall licenses.
- Cercare il firewall di origine tramite il numero di serie ed espandere la riga dei dettagli.
- Selezionare Transfer subscriptions.
- Se necessario, attivare l’opzione per visualizzare anche i firewall che dispongono già di licenze a pagamento.
- Sotto Transfer to, selezionare il firewall di destinazione tramite il nuovo numero di serie.
- Confermare con Finish. Se le subscription si sovrappongono, Central mostra un’ulteriore finestra di conferma.
- Cercare nuovamente il firewall di destinazione, espandere i dettagli e verificare subscription e durata.
Il fatto che il firewall di destinazione abbia già una licenza non giustifica la conferma alla cieca della finestra di sovrapposizione. Prima deve essere chiaro quali durate e moduli sono previsti dopo il trasferimento. Se le informazioni sono contraddittorie, si interrompe la procedura e si chiarisce l’assegnazione delle licenze.
Eseguire il claim di un sostitutivo RMA e verificare il trasferimento
Per un RMA riconosciuto da Sophos, il trasferimento della licenza può essere proposto durante il claim del dispositivo sostitutivo. In Sophos Central si apre Licensing > Firewall licenses, si seleziona Claim firewall, si inserisce il nuovo numero di serie e si fa clic su Validate. La finestra avverte che la licenza verrà trasferita al dispositivo sostitutivo e che il vecchio firewall non potrà più essere utilizzato. Solo dopo aver verificato entrambi i numeri di serie si conferma il trasferimento e si esegue Claim firewall.
La finestra automatica compare solo se Central riconosce il caso RMA corrispondente. Secondo la guida SFOS 22, il trasferimento automatico può non avvenire se i registranti non coincidono, un numero di serie è stato registrato in modo errato nel caso RMA, il dispositivo sostitutivo non è dello stesso modello o il dispositivo guasto non era registrato. In questo caso si esegue prima il claim del sostitutivo e poi il trasferimento manuale controllato delle subscription.
Al termine del trasferimento RMA, il dispositivo guasto viene deregistrato. Prima della restituzione occorre verificare questo stato e i dettagli di licenza del firewall sostitutivo. La procedura hardware completa con diagnosi, caso Support, restore e restituzione è descritta in Preparare un guasto hardware Sophos, RMA e sostituzione.
Applicare una licenza a pagamento a un firewall virtuale Trial esistente
Sophos documenta una procedura speciale per un firewall virtuale con numero di serie Trial. Si esegue il claim del firewall appena acquistato con il nuovo numero di serie nello stesso account Central. Quindi si trasferiscono le subscription a pagamento da questo nuovo numero di serie al firewall virtuale esistente con il numero di serie Trial.
L’operazione non trasferisce l’Evaluation Subscription a un altro dispositivo. La subscription a pagamento passa invece alla VM esistente e il nuovo numero di serie utilizzato per il claim viene eliminato durante l’operazione. Il firewall virtuale non deve quindi essere reinstallato. Prima della conferma occorre verificare con particolare attenzione i numeri di serie di origine e destinazione.
Assegnare correttamente la licenza HA
Per HA active-passive, secondo Sophos le licenze appartengono all’Initial Primary. Se sono state assegnate per errore all’Auxiliary, devono essere trasferite all’Initial Primary. Il nome visualizzato Primary non basta, perché il ruolo attuale può cambiare dopo un failover.
Active-active e active-passive hanno requisiti di licenza differenti. Occorre prima confrontare numeri di serie, Initial Primary, stato attuale e modello di licenza con Varianti HA e licenze Sophos Firewall. Un trasferimento non va usato per tentare di riparare uno stato HA non chiaro.
Validare la licenza e il dispositivo sostitutivo
Dopo il trasferimento, in Sophos Central si verificano le subscription e le durate previste sotto il numero di serie di destinazione. Sul firewall si controlla lo stato della licenza in Administration > Licensing e, se necessario, si esegue Synchronize. I moduli necessari devono apparire attivi o con stato Subscribed.
Successivamente si esegue il collaudo tecnico separatamente dal controllo della licenza:
- Ripristinare il backup sul firmware previsto e sul modello di destinazione.
- Verificare interfacce, zone, routing, DNS, NAT, regole firewall e connessioni VPN.
- Controllare separatamente Central Management e Reporting; un claim o un trasferimento di licenza non registra di nuovo automaticamente questi servizi.
- Attendere la sincronizzazione dei pattern e della licenza, quindi verificare i moduli di protezione con un test controllato.
- In caso di RMA, confermare che il firewall guasto sia deregistrato.
Una data di scadenza visibile in Central non dimostra un percorso di traffico funzionante. Viceversa, una visualizzazione inizialmente non aggiornata in SFOS non significa automaticamente che il trasferimento sia fallito. Solo sincronizzazione, dettagli della licenza e un vero test funzionale forniscono insieme un collaudo affidabile.
Se il trasferimento della licenza non funziona
Il firewall di destinazione non compare nell’elenco
Prima si verifica se il nuovo firewall è stato sottoposto a claim nello stesso account Central. Poi si controllano modello, numero di serie, stato Evaluation e stato HWaaS. Una combinazione di modelli assente o incerta non va aggirata con un trasferimento intermedio inventato.
Il trasferimento RMA automatico non compare
Confrontare il numero RMA e i numeri di serie vecchio e nuovo con il caso Support. Se registrante, modello o registrazione non corrispondono al caso, può essere necessario un trasferimento manuale. Non restituire il vecchio firewall finché claim, dettagli della licenza e deregistrazione non sono stati chiariti.
Central mostra la licenza, ma SFOS no
Eseguire prima Synchronize in Administration > Licensing. Se lo stato rimane errato, controllare accesso a Internet, DNS, ora di sistema e licensing.log. La procedura dettagliata si trova in Attivare e sincronizzare le licenze Sophos Firewall.
Sul dispositivo sostitutivo manca la configurazione
Non è un errore di trasferimento della licenza. La configurazione deve essere trasferita separatamente tramite backup e restore oppure nell’ambito di una migrazione pianificata. Il ripristino deve fermarsi se non sono disponibili un backup compatibile, la password e, dove richiesto, il Secure Storage Master Key.