Trasferire una licenza Sophos Firewall a un dispositivo sostitutivo
Quando si sostituisce un Sophos Firewall, la subscription a pagamento deve passare dal vecchio numero di serie al nuovo firewall. In Sophos Fusion questa operazione si chiama Transfer subscriptions. Trasferisce la licenza, ma non la configurazione locale né la registrazione a Central Management.
Per una sostituzione tipica si segue questo ordine:
- Verificare i numeri di serie vecchio e nuovo, i modelli, l’account Central e i ruoli HA.
- Mettere al sicuro un backup aggiornato, la password di cifratura e il Secure Storage Master Key.
- Eseguire il claim del nuovo firewall nello stesso account Sophos Fusion.
- Per un RMA controllare il trasferimento automatico proposto; in caso contrario usare Transfer subscriptions.
- Verificare la subscription e la data di scadenza sul firewall di destinazione e sincronizzare la licenza in SFOS.
- Ripristinare separatamente la configurazione e testare il funzionamento in produzione.
⚠️ Durante un trasferimento RMA, Sophos avverte che il vecchio firewall diventerà inutilizzabile. Prima della conferma devono quindi essere corretti i numeri di serie, il backup e il piano di passaggio. Il trasferimento della licenza non è un backup della configurazione.
Scegliere prima il trasferimento corretto
Sophos Fusion offre diverse operazioni dai nomi simili. Risolvono compiti differenti:
- Transfer subscriptions sposta le licenze a pagamento tra due firewall nello stesso account Central. Questo articolo descrive tale procedura.
- Transfer firewalls sposta l’assegnazione del claim e della licenza in un altro account Central. Per questo serve Trasferire Sophos Firewall a un altro account Sophos Fusion.
- Activate subscription attiva un nuovo Subscription Key. La procedura è descritta in Attivare una chiave di licenza Sophos Firewall.
- Backup e restore trasferiscono la configurazione SFOS. Sono indipendenti dal trasferimento della licenza.
Il numero di serie collega hardware, claim e stato della licenza. Prima di ogni passaggio occorre documentare chiaramente i numeri di serie di entrambi i firewall. Il nome visualizzato o la posizione non bastano come controllo quando i dispositivi sono simili.
Anche senza HA, una licenza a pagamento già assegnata al numero di serie del firewall sbagliato può richiedere un trasferimento al numero di serie previsto.
Prerequisiti prima del trasferimento
L’operazione va eseguita nell’account Sophos Fusion Admin in cui è stato effettuato il claim del firewall di origine. L’account amministratore utilizzato deve poter visualizzare Licensing > Firewall licenses e l’azione di trasferimento. Prima di un trasferimento manuale, il firewall di destinazione deve essere sottoposto a claim nello stesso account Central. Se i dispositivi si trovano in account diversi o cambia soltanto il proprietario, occorre usare Transfer firewalls e non il trasferimento di una subscription.
Sophos specifica tre limiti fissi per il trasferimento manuale delle subscription: i firewall devono essere dello stesso modello o di un modello accettato da Sophos come equivalente, le Evaluation Subscriptions non possono essere trasferite e i dispositivi Hardware as a Service sono esclusi. In Central si registrano prima Features, Subscription, License ID ed Expiry dell’origine. Per il numero di serie di destinazione si controllano claim, modello ed eventuali subscription a pagamento già presenti.
Se la destinazione non compare sotto Transfer to o l’equivalenza dei modelli non è chiara, non si deve sperimentare con un altro numero di serie o un secondo account. Occorre prima confrontare i documenti di licenza, entrambi i numeri di serie e l’ordine RMA o di sostituzione con il partner Sophos o con il Support.
La migrazione tecnica viene preparata in parallelo. Comprende un backup Sophos Firewall aggiornato con test di restore, i certificati necessari, le credenziali WAN, l’accesso locale a entrambi i dispositivi, una finestra di manutenzione e un piano di ritorno per cablaggio e configurazione. Il firewall di destinazione deve avere accesso a Internet per recuperare e sincronizzare la licenza. In HA occorre identificare Initial Primary, Primary attuale e Auxiliary prima del passaggio di licenza.
Stabilire il momento e il rischio di interruzione
Transfer subscriptions sposta il diritto a pagamento sul numero di serie di destinazione. L’azione va quindi eseguita solo quando il firewall di destinazione è pronto e può essere verificato subito dopo. Claim, trasferimento della licenza, restore e commutazione dei cavi sono passaggi distinti; il trasferimento riuscito nel portale non sposta il percorso del traffico sul dispositivo sostitutivo.
Il trasferimento in Central non prevede un riavvio documentato. La commutazione complessiva può comunque causare un’interruzione per il restore, una diversa mappatura delle porte, la commutazione WAN o la riconfigurazione HA. Sophos avverte esplicitamente del downtime durante il ripristino di HA active-passive dopo un RMA. La finestra di manutenzione va quindi dimensionata per l’intera sostituzione e non solo per l’operazione nel portale.
Trasferire manualmente la subscription al firewall di destinazione
Questa procedura è adatta a una normale sostituzione hardware o quando il trasferimento RMA automatico non viene proposto. Se sono soddisfatti i prerequisiti indicati sopra, la stessa procedura manuale serve anche a correggere questa assegnazione errata senza HA: l’origine è il firewall a cui la licenza è stata assegnata per errore; la destinazione è il firewall previsto.
- Aprire l’icona del profilo in Sophos Fusion.
- Accedere a Licensing > Firewall licenses.
- Cercare il firewall di origine tramite il numero di serie ed espandere la riga dei dettagli.
- Confrontare Features, Subscription, License ID ed Expiry con il risultato pianificato.
- Selezionare Transfer subscriptions.
- Se necessario, attivare l’opzione per visualizzare anche i firewall che dispongono già di licenze a pagamento.
- Sotto Transfer to, selezionare il firewall di destinazione tramite il numero di serie previsto. Prima di proseguire, confrontare ancora origine e destinazione con il runbook.
- Confermare con Finish. Se le subscription si sovrappongono, Central mostra un’ulteriore finestra di conferma.
- Cercare nuovamente il firewall di destinazione, espandere i dettagli e verificare Features, Subscription, License ID ed Expiry.
Il fatto che il firewall di destinazione abbia già una licenza non giustifica la conferma alla cieca della finestra di sovrapposizione. Prima deve essere chiaro quali durate e moduli sono previsti dopo il trasferimento. Se le informazioni sono contraddittorie, si interrompe la procedura e si chiarisce l’assegnazione delle licenze. Solo dopo aver verificato che le durate e i moduli previsti sono corretti e che non rimangono contraddizioni, si fa clic su Yes nella finestra di sovrapposizione per proseguire con il trasferimento.
Eseguire il claim di un sostitutivo RMA e verificare il trasferimento
Per un RMA riconosciuto da Sophos, il trasferimento della licenza può essere proposto durante il claim del dispositivo sostitutivo. In Sophos Fusion si apre Licensing > Firewall licenses, si seleziona Claim firewall, si inserisce il nuovo numero di serie e si fa clic su Validate. La finestra avverte che la licenza verrà trasferita al dispositivo sostitutivo e che il vecchio firewall non potrà più essere utilizzato. Solo dopo aver verificato entrambi i numeri di serie si conferma il trasferimento e si esegue Claim firewall.
La finestra automatica compare solo se Central riconosce il caso RMA corrispondente. Secondo la guida SFOS 22, il trasferimento automatico può non avvenire se i registranti non coincidono, un numero di serie è stato registrato in modo errato nel caso RMA, il dispositivo sostitutivo non è dello stesso modello o il dispositivo guasto non era registrato. In questo caso si esegue prima il claim del sostitutivo e poi il trasferimento manuale controllato delle subscription.
Una volta completato il trasferimento RMA, il dispositivo guasto viene deregistrato. Prima di restituire il firewall guasto, occorre verificare questo stato e i dettagli della licenza del firewall sostitutivo. Per la restituzione fanno fede le istruzioni del caso RMA specifico. Se il caso RMA specifico richiede la restituzione, Sophos deve ricevere il firewall guasto entro 15 giorni dalla ricezione del dispositivo sostitutivo da parte del cliente. Spedirlo il giorno 15 non è sufficiente; in caso di restituzione tardiva o incompleta, Sophos può sospendere il trasferimento delle subscription o addebitare costi. Prima di restituire il firewall guasto, si rimuovono SFP, moduli Flexi-Port, kit di montaggio a rack, alimentatori e cavi. La procedura hardware completa, con diagnosi, apertura del caso di supporto, ripristino e restituzione, è descritta in Guasto hardware Sophos: preparare l’RMA e la sostituzione.
Applicare una licenza a pagamento a un firewall virtuale Trial esistente
Sophos descrive una procedura specifica per un firewall virtuale con numero di serie Trial. La VM già in esecuzione rimane la destinazione; il nuovo numero di serie ricevuto al momento dell’acquisto è l’origine delle subscription a pagamento. La VM esistente non viene quindi sostituita con un’appliance installata ex novo.
- Documentare separatamente il numero di serie Trial della VM in esecuzione e il nuovo numero di serie riportato nei documenti di acquisto. Nel runbook, contrassegnare il nuovo numero di serie come Origine e il numero di serie Trial esistente come Destinazione.
- Eseguire il claim del firewall appena acquistato con il suo nuovo numero di serie nello stesso account Central in cui è registrato il numero di serie Trial.
- Avviare la procedura manuale descritta sopra a partire dal nuovo numero di serie. Sotto Transfer to, selezionare il firewall virtuale già in esecuzione con il numero di serie Trial, non il contrario. Prima di confermare con Finish, confrontare nuovamente entrambi i numeri di serie con il runbook.
- Dopo il trasferimento, verificare i dettagli della licenza associati al numero di serie Trial preesistente e sincronizzare la licenza sulla VM in esecuzione in Administration > Licensing. I moduli a pagamento e le relative durate devono corrispondere allo stato previsto.
Questa operazione non trasferisce l’Evaluation Subscription a un altro dispositivo. La subscription a pagamento passa invece alla VM esistente; il nuovo numero di serie utilizzato per il claim viene eliminato durante la procedura. In questa procedura specifica, l’assenza della nuova voce dopo il trasferimento è quindi prevista e non indica, di per sé, che il trasferimento sia fallito. Il firewall virtuale non deve essere reinstallato e continua a funzionare con le subscription trasferite.
Assegnare correttamente la licenza HA
Per HA Active-Passive, secondo Sophos le licenze appartengono all’Initial Primary. Il solo nome visualizzato Primary non è sufficiente, perché il ruolo corrente può cambiare dopo un failover.
Se le licenze sono state assegnate per errore all’Auxiliary, documentare innanzitutto il suo numero di serie di origine, a cui sono state assegnate erroneamente le licenze, e il numero di serie di destinazione previsto dell’Initial Primary, separatamente dai ruoli HA correnti, e verificarne la corrispondenza in SFOS e Central.
⚠️ Questa procedura di correzione abbreviata si applica solo se il Primary corrente e l’Initial Primary sono lo stesso dispositivo fisico. Se sono dispositivi diversi o l’associazione non è chiara, interrompere la procedura prima di disabilitare HA o trasferire le licenze e concordare la procedura appropriata con Sophos Support; non improvvisare un ritorno ai ruoli precedenti.
Solo quando l’associazione è inequivocabile, disabilitare HA in modo pianificato sul Primary corrente, trasferire le licenze in Central dal numero di serie di origine documentato al numero di serie di destinazione documentato dell’Initial Primary e quindi riconfigurare HA. Si tratta di una modifica HA pianificata, non di un normale trasferimento online.
In un RMA active-passive, il sostitutivo e il nodo sano devono avere lo stesso build firmware prima di ricreare HA; vanno prima controllati modello, revisione e Initial Primary. Sophos avverte di un’interruzione durante reimage, ricablaggio e riconfigurazione HA. Active-active e active-passive hanno inoltre requisiti di licenza differenti. Seguire la procedura appropriata in Varianti HA e licenze Sophos Firewall e non usare un trasferimento per correggere uno stato HA poco chiaro.
Validare la licenza e il dispositivo sostitutivo
Dopo il trasferimento, in Sophos Fusion si confrontano Features, Subscription, License ID ed Expiry del numero di serie di destinazione con i valori registrati in precedenza. Sul firewall si controlla lo stato della licenza in Administration > Licensing e, se necessario, si esegue Synchronize. Numero di serie, modello, moduli e durate devono corrispondere al piano e i moduli necessari devono apparire come Subscribed.
Successivamente si esegue il collaudo tecnico separatamente dal controllo della licenza:
- Ripristinare il backup sul firmware previsto e sul modello di destinazione.
- Verificare interfacce, zone, routing, DNS, NAT, regole firewall e connessioni VPN.
- Controllare separatamente Central Management e Reporting; un claim o un trasferimento di licenza non registra di nuovo automaticamente questi servizi.
- Attendere la sincronizzazione dei pattern e della licenza, quindi verificare i moduli di protezione con un test controllato.
- In caso di RMA, confermare che il firewall guasto sia deregistrato.
Una data di scadenza visibile in Central non dimostra un percorso di traffico funzionante. Viceversa, una visualizzazione inizialmente non aggiornata in SFOS non significa automaticamente che il trasferimento sia fallito. Solo sincronizzazione, dettagli della licenza e un vero test funzionale forniscono insieme un collaudo affidabile.
Ritorno ed escalation
Prima della commutazione dei cavi, il ritorno tecnico consiste nel backup protetto insieme al vecchio cablaggio documentato e all’accesso locale. Sophos non documenta un comando di annullamento transazionale né garantisce un trasferimento inverso per Transfer subscriptions. Un ritorno della configurazione non va quindi confuso con un’azione di licenza reversibile.
Se una sostituzione normale non riesce dopo il trasferimento, il vecchio dispositivo resta invariato finché il partner o il Support Sophos non hanno chiarito l’assegnazione della licenza; non si avvia un altro trasferimento per tentativi. In un RMA confermato, dopo il trasferimento il vecchio dispositivo è inutilizzabile e deregistrato, quindi non è una destinazione per il rollback della licenza. Per l’escalation servono account Central, caso RMA o Support, entrambi i numeri di serie, modelli e revisioni, dettagli della licenza prima e dopo e ora esatta del trasferimento.
Se il trasferimento della licenza non funziona
Il firewall di destinazione non compare nell’elenco
Prima si verifica se il nuovo firewall è stato sottoposto a claim nello stesso account Central. Poi si controllano modello, numero di serie, stato Evaluation e stato HWaaS. Una combinazione di modelli assente o incerta non va aggirata usando un altro dispositivo come destinazione intermedia.
Il trasferimento RMA automatico non compare
Confrontare il numero RMA e i numeri di serie vecchio e nuovo con il caso Support. Se registrante, modello o registrazione non corrispondono al caso, può essere necessario un trasferimento manuale. Non restituire il vecchio firewall finché claim, dettagli della licenza e deregistrazione non sono stati chiariti.
Central mostra la licenza, ma SFOS no
Eseguire prima Synchronize in Administration > Licensing. Se lo stato rimane errato, controllare accesso a Internet, DNS, ora di sistema e licensing.log. La procedura dettagliata si trova in Attivare e sincronizzare le licenze Sophos Firewall.
Sul dispositivo sostitutivo manca la configurazione
Non è un errore di trasferimento della licenza. La configurazione deve essere trasferita separatamente tramite backup e restore oppure nell’ambito di una migrazione pianificata. Il ripristino deve fermarsi se non sono disponibili un backup compatibile, la password e, dove richiesto, il Secure Storage Master Key.