Trasferire una licenza Sophos Firewall a un dispositivo sostitutivo
Quando si sostituisce un Sophos Firewall, la subscription a pagamento deve passare dal vecchio numero di serie al nuovo firewall. In Sophos Fusion questa operazione si chiama Transfer subscriptions. Trasferisce la licenza, ma non la configurazione locale né la registrazione a Central Management.
Per una sostituzione tipica si segue questo ordine:
- Verificare i numeri di serie vecchio e nuovo, i modelli, l’account Central e i ruoli HA.
- Mettere al sicuro un backup aggiornato, la password di cifratura e il Secure Storage Master Key.
- Eseguire il claim del nuovo firewall nello stesso account Sophos Fusion.
- Per un RMA controllare il trasferimento automatico proposto; in caso contrario usare Transfer subscriptions.
- Verificare la subscription e la data di scadenza sul firewall di destinazione e sincronizzare la licenza in SFOS.
- Ripristinare separatamente la configurazione e testare il funzionamento in produzione.
⚠️ Durante un trasferimento RMA, Sophos avverte che il vecchio firewall diventerà inutilizzabile. Prima della conferma devono quindi essere corretti i numeri di serie, il backup e il piano di passaggio. Il trasferimento della licenza non è un backup della configurazione.
Scegliere prima il trasferimento corretto
Sophos Fusion offre diverse operazioni dai nomi simili. Risolvono compiti differenti:
- Transfer subscriptions sposta le licenze a pagamento tra due firewall nello stesso account Central. Questo articolo descrive tale procedura.
- Transfer firewalls sposta l’assegnazione del claim e della licenza in un altro account Central. Per questo serve Trasferire Sophos Firewall a un altro account Sophos Fusion.
- Activate subscription attiva un nuovo Subscription Key. La procedura è descritta in Attivare una chiave di licenza Sophos Firewall.
- Backup e restore trasferiscono la configurazione SFOS. Sono indipendenti dal trasferimento della licenza.
Il numero di serie collega hardware, claim e stato della licenza. Prima di ogni passaggio occorre documentare chiaramente i numeri di serie di entrambi i firewall. Il nome visualizzato o la posizione non bastano come controllo quando i dispositivi sono simili.
Anche senza HA, una licenza a pagamento già assegnata al numero di serie del firewall sbagliato può richiedere un trasferimento al numero di serie previsto.
Prerequisiti prima del trasferimento
L’operazione va eseguita nell’account Sophos Fusion Admin in cui è stato effettuato il claim del firewall di origine. L’account amministratore utilizzato deve poter visualizzare Licensing > Firewall licenses e l’azione di trasferimento. Prima di un trasferimento manuale, il firewall di destinazione deve essere sottoposto a claim nello stesso account Central. Se i dispositivi si trovano in account diversi o cambia soltanto il proprietario, occorre usare Transfer firewalls e non il trasferimento di una subscription.
Sophos specifica tre limiti fissi per il trasferimento manuale delle subscription: i firewall devono essere dello stesso modello o di un modello accettato da Sophos come equivalente, le Evaluation Subscriptions non possono essere trasferite e i dispositivi Hardware as a Service sono esclusi. In Central si registrano prima Features, Subscription, License ID ed Expiry dell’origine. Per il numero di serie di destinazione si controllano claim, modello ed eventuali subscription a pagamento già presenti.
Se la destinazione non compare sotto Transfer to o l’equivalenza dei modelli non è chiara, non si deve sperimentare con un altro numero di serie o un secondo account. Occorre prima confrontare i documenti di licenza, entrambi i numeri di serie e l’ordine RMA o di sostituzione con il partner Sophos o con il Support.
La migrazione tecnica viene preparata in parallelo. Comprende un backup Sophos Firewall aggiornato con test di restore, i certificati necessari, le credenziali WAN, l’accesso locale a entrambi i dispositivi, una finestra di manutenzione e un piano di ritorno per cablaggio e configurazione. Il firewall di destinazione deve avere accesso a Internet per recuperare e sincronizzare la licenza. In HA occorre identificare Initial Primary, Primary attuale e Auxiliary prima del passaggio di licenza.
Stabilire il momento e il rischio di interruzione
Transfer subscriptions sposta il diritto a pagamento sul numero di serie di destinazione. L’azione va quindi eseguita solo quando il firewall di destinazione è pronto e può essere verificato subito dopo. Claim, trasferimento della licenza, restore e commutazione dei cavi sono passaggi distinti; il trasferimento riuscito nel portale non sposta il percorso del traffico sul dispositivo sostitutivo.
Il trasferimento in Central non prevede un riavvio documentato. La commutazione complessiva può comunque causare un’interruzione per il restore, una diversa mappatura delle porte, la commutazione WAN o la riconfigurazione HA. Sophos avverte esplicitamente del downtime durante il ripristino di HA active-passive dopo un RMA. La finestra di manutenzione va quindi dimensionata per l’intera sostituzione e non solo per l’operazione nel portale.
Trasferire manualmente la subscription al firewall di destinazione
Questa procedura è adatta a una normale sostituzione hardware o quando il trasferimento RMA automatico non viene proposto. Se sono soddisfatti i prerequisiti indicati sopra, la stessa procedura manuale serve anche a correggere questa assegnazione errata senza HA: l’origine è il firewall a cui la licenza è stata assegnata per errore; la destinazione è il firewall previsto.
- Aprire l’icona del profilo in Sophos Fusion.
- Accedere a Licensing > Firewall licenses.
- Cercare il firewall di origine tramite il numero di serie ed espandere la riga dei dettagli.
- Confrontare Features, Subscription, License ID ed Expiry con il risultato pianificato.
- Selezionare Transfer subscriptions.
- Se necessario, attivare l’opzione per visualizzare anche i firewall che dispongono già di licenze a pagamento.
- Sotto Transfer to, selezionare il firewall di destinazione tramite il numero di serie previsto. Prima di proseguire, confrontare ancora origine e destinazione con il runbook.
- Confermare con Finish. Se le subscription si sovrappongono, Central mostra un’ulteriore finestra di conferma.
- Cercare nuovamente il firewall di destinazione, espandere i dettagli e verificare Features, Subscription, License ID ed Expiry.
Il fatto che il firewall di destinazione abbia già una licenza non giustifica la conferma alla cieca della finestra di sovrapposizione. Prima deve essere chiaro quali durate e moduli sono previsti dopo il trasferimento. Se le informazioni sono contraddittorie, si interrompe la procedura e si chiarisce l’assegnazione delle licenze.
Eseguire il claim di un sostitutivo RMA e verificare il trasferimento
Per un RMA riconosciuto da Sophos, il trasferimento della licenza può essere proposto durante il claim del dispositivo sostitutivo. In Sophos Fusion si apre Licensing > Firewall licenses, si seleziona Claim firewall, si inserisce il nuovo numero di serie e si fa clic su Validate. La finestra avverte che la licenza verrà trasferita al dispositivo sostitutivo e che il vecchio firewall non potrà più essere utilizzato. Solo dopo aver verificato entrambi i numeri di serie si conferma il trasferimento e si esegue Claim firewall.
La finestra automatica compare solo se Central riconosce il caso RMA corrispondente. Secondo la guida SFOS 22, il trasferimento automatico può non avvenire se i registranti non coincidono, un numero di serie è stato registrato in modo errato nel caso RMA, il dispositivo sostitutivo non è dello stesso modello o il dispositivo guasto non era registrato. In questo caso si esegue prima il claim del sostitutivo e poi il trasferimento manuale controllato delle subscription.
Al termine del trasferimento RMA, il dispositivo guasto viene deregistrato. Prima della restituzione occorre verificare questo stato e i dettagli di licenza del firewall sostitutivo. Sophos richiede in genere la restituzione entro 15 giorni dalla ricezione del sostitutivo; in caso di restituzione tardiva o incompleta può sospendere il trasferimento della subscription o addebitare i costi. Prima della restituzione si rimuovono SFP, moduli Flexi Port, kit rack, alimentatori e cavi. La procedura hardware completa con diagnosi, caso Support, restore e restituzione è descritta in Preparare un guasto hardware Sophos, RMA e sostituzione.
Applicare una licenza a pagamento a un firewall virtuale Trial esistente
Sophos documenta una procedura speciale per un firewall virtuale con numero di serie Trial. Si esegue il claim del firewall appena acquistato con il nuovo numero di serie nello stesso account Central. Quindi si trasferiscono le subscription a pagamento da questo nuovo numero di serie al firewall virtuale esistente con il numero di serie Trial.
L’operazione non trasferisce l’Evaluation Subscription a un altro dispositivo. La subscription a pagamento passa invece alla VM esistente e il nuovo numero di serie utilizzato per il claim viene eliminato durante l’operazione. Il firewall virtuale non deve quindi essere reinstallato. Prima della conferma occorre verificare con particolare attenzione i numeri di serie di origine e destinazione.
Assegnare correttamente la licenza HA
Per HA active-passive, secondo Sophos le licenze appartengono all’Initial Primary. Se sono state assegnate per errore all’Auxiliary, la procedura documentata richiede di disabilitare HA sul Primary, trasferire in Central le subscription dall’Auxiliary al Primary e poi riconfigurare HA. È una modifica HA pianificata, non un normale trasferimento online. Il nome visualizzato Primary non basta, perché il ruolo attuale può cambiare dopo un failover.
In un RMA active-passive, il sostitutivo e il nodo sano devono avere lo stesso build firmware prima di ricreare HA; vanno prima controllati modello, revisione e Initial Primary. Sophos avverte di un’interruzione durante reimage, ricablaggio e riconfigurazione HA. Active-active e active-passive hanno inoltre requisiti di licenza differenti. Seguire la procedura appropriata in Varianti HA e licenze Sophos Firewall e non usare un trasferimento per correggere uno stato HA poco chiaro.
Validare la licenza e il dispositivo sostitutivo
Dopo il trasferimento, in Sophos Fusion si confrontano Features, Subscription, License ID ed Expiry del numero di serie di destinazione con i valori registrati in precedenza. Sul firewall si controlla lo stato della licenza in Administration > Licensing e, se necessario, si esegue Synchronize. Numero di serie, modello, moduli e durate devono corrispondere al piano e i moduli necessari devono apparire come Subscribed.
Successivamente si esegue il collaudo tecnico separatamente dal controllo della licenza:
- Ripristinare il backup sul firmware previsto e sul modello di destinazione.
- Verificare interfacce, zone, routing, DNS, NAT, regole firewall e connessioni VPN.
- Controllare separatamente Central Management e Reporting; un claim o un trasferimento di licenza non registra di nuovo automaticamente questi servizi.
- Attendere la sincronizzazione dei pattern e della licenza, quindi verificare i moduli di protezione con un test controllato.
- In caso di RMA, confermare che il firewall guasto sia deregistrato.
Una data di scadenza visibile in Central non dimostra un percorso di traffico funzionante. Viceversa, una visualizzazione inizialmente non aggiornata in SFOS non significa automaticamente che il trasferimento sia fallito. Solo sincronizzazione, dettagli della licenza e un vero test funzionale forniscono insieme un collaudo affidabile.
Ritorno ed escalation
Prima della commutazione dei cavi, il ritorno tecnico consiste nel backup protetto insieme al vecchio cablaggio documentato e all’accesso locale. Sophos non documenta un comando di annullamento transazionale né garantisce un trasferimento inverso per Transfer subscriptions. Un ritorno della configurazione non va quindi confuso con un’azione di licenza reversibile.
Se una sostituzione normale non riesce dopo il trasferimento, il vecchio dispositivo resta invariato finché il partner o il Support Sophos non hanno chiarito l’assegnazione della licenza; non si avvia un altro trasferimento per tentativi. In un RMA confermato, dopo il trasferimento il vecchio dispositivo è inutilizzabile e deregistrato, quindi non è una destinazione per il rollback della licenza. Per l’escalation servono account Central, caso RMA o Support, entrambi i numeri di serie, modelli e revisioni, dettagli della licenza prima e dopo e ora esatta del trasferimento.
Se il trasferimento della licenza non funziona
Il firewall di destinazione non compare nell’elenco
Prima si verifica se il nuovo firewall è stato sottoposto a claim nello stesso account Central. Poi si controllano modello, numero di serie, stato Evaluation e stato HWaaS. Una combinazione di modelli assente o incerta non va aggirata usando un altro dispositivo come destinazione intermedia.
Il trasferimento RMA automatico non compare
Confrontare il numero RMA e i numeri di serie vecchio e nuovo con il caso Support. Se registrante, modello o registrazione non corrispondono al caso, può essere necessario un trasferimento manuale. Non restituire il vecchio firewall finché claim, dettagli della licenza e deregistrazione non sono stati chiariti.
Central mostra la licenza, ma SFOS no
Eseguire prima Synchronize in Administration > Licensing. Se lo stato rimane errato, controllare accesso a Internet, DNS, ora di sistema e licensing.log. La procedura dettagliata si trova in Attivare e sincronizzare le licenze Sophos Firewall.
Sul dispositivo sostitutivo manca la configurazione
Non è un errore di trasferimento della licenza. La configurazione deve essere trasferita separatamente tramite backup e restore oppure nell’ambito di una migrazione pianificata. Il ripristino deve fermarsi se non sono disponibili un backup compatibile, la password e, dove richiesto, il Secure Storage Master Key.