Sophos Firewall Config Studio nutzen

Sophos Firewall Config Studio ist der browserbasierte Nachfolger des Configuration Viewer. Das Tool erstellt Reports aus einer Entities.xml, vergleicht zwei oder mehr Konfigurationsstände und bereitet Änderungen oder Migrationen vor. Die Verarbeitung findet lokal im Browser statt; die Konfiguration wird nicht an Sophos hochgeladen.

Config Studio eignet sich besonders für Reviews, Vorher-Nachher-Vergleiche bei Changes oder Firmware-Updates und die Vorbereitung grösserer Regelwerksänderungen. Es ersetzt jedoch weder ein Restore-Backup noch reale Funktionstests. Für ein aktuelles Traffic-Problem sind Log Viewer, Policy Test auf der Firewall und Packet Capture direkter.

Entities.xml exportieren und schützen

Config Studio vergleicht keine verschlüsselten Restore-Backups. Vor einem produktiven Change werden deshalb zwei unterschiedliche Dateitypen benötigt: ein vollständiges Backup als Rückweg und Entities.xml-Exporte für Config Studio.

1. Unter Backup & firmware > Backup & restore ein aktuelles Restore-Backup erstellen und geschützt ablegen.
2. Backup & firmware > Import export öffnen.
3. Full configuration für einen vollständigen Report oder Selective configuration für einzelne Module auswählen. Bei einem selektiven Export bei Bedarf Include dependent entity aktivieren.
4. Den Export herunterladen. Liefert SFOS eine .tar-Datei, diese entpacken und daraus Entities.xml verwenden.
5. Nach dem Change eine zweite Entities.xml exportieren.

Wenn die Datei später wieder in eine Firewall importiert werden könnte, ihren Namen nicht ändern. Eindeutige Ordner verhindern trotzdem Verwechslungen, zum Beispiel:

firewall-standort-vor-change-2026-07-16/Entities.xml
firewall-standort-nach-change-2026-07-16/Entities.xml

⚠️ Wichtig: Entities.xml und Restore-Backups enthalten sensible Informationen zu Netzstruktur, Regeln, Objekten, VPNs und Diensten. Nur auf einem vertrauenswürdigen Admin-Gerät verarbeiten, nicht über private Cloudspeicher, Messenger oder unkontrollierte E-Mail-Verteiler teilen und danach geschützt archivieren oder löschen.

Wie Backup, Secure Storage Master Key, Restore-Kompatibilität und Interface-Mapping zusammenhängen, erklärt Sophos Firewall Backup erstellen oder wiederherstellen.

Konfiguration als Report prüfen

1. In Config Studio Configuration report öffnen.
2. Die Entities.xml hochladen.
3. Ein Modul auswählen oder mit Global search direkt nach Regeln, Objekten und ihren Fundstellen suchen.
4. Mit Policy test prüfen, welche Regeln und Routen zu einer angegebenen Quelle und einem Ziel passen.
5. Mit Usage reference die Verwendung eines Objekts und mit Analyze überschattete oder doppelte Regeln und Objekte prüfen.
6. Den geprüften Stand mit Download as HTML dokumentieren.

Seit Config Studio 2.6 zeigt der Report referenzierte Objektwerte direkt in Firewall-, NAT- und TLS-Regeln. Dadurch erkennt man schneller, was hinter einem Objektnamen steckt und wo eine Änderung weitere Regeln betrifft.

Bei einem Review sind vor allem breite Quellen, Ziele oder Services, alte NAT-, VPN- oder WAF-Regeln, doppelte Objekte und bewusst aktivierte Security-Funktionen relevant. Management-Zugriffe werden zusätzlich unter Device Access geprüft, da normale Firewall-Regeln den Zugriff auf WebAdmin, SSH, User Portal oder VPN Portal nicht steuern.

Der Policy Test in Config Studio bewertet die exportierte Konfiguration und keinen aktuellen Paketfluss. Auffällige Ergebnisse aus Analyze deshalb im WebAdmin und bei Bedarf mit echten Verbindungstests bestätigen.

Mehrere Konfigurationen vergleichen

Config Studio 2.6 kann zwei oder mehr Entities.xml-Dateien als zeitlichen Verlauf vergleichen. Die Dateien werden nach ihrem Änderungsdatum sortiert.

1. Compare configurations öffnen und die Exportdateien hochladen.
2. Mit dem Modulfilter nur die betroffenen Bereiche auswählen.
3. Die Kategorien Removed, Modified und Added aufklappen.
4. Erwartete und unerwartete Unterschiede prüfen.
5. Das Ergebnis mit Export HTML sichern.

Für einen einfachen Change reichen der Export unmittelbar davor und danach. Sinnvolle Paare sind ausserdem vor und nach einem Firmware-Update, einer Hardwaremigration, einer Störung oder der Abgleich mit einer Referenzkonfiguration. Mehrere Stände helfen zu erkennen, wann eine Änderung erstmals auftrat.

Beim Review die Unterschiede knapp einordnen:

• Geplant: mit Change-Ziel und Ticket abgleichen.
• Systembedingt: Firmware-, Zertifikats- oder interne Referenzänderung prüfen.
• Unerwartet: Admin-Konto und Zeitpunkt über den Audit Trail beziehungsweise bei Bedarf configuration-audit.log klären.
• Fehlend: kontrollieren, ob der Change gespeichert, synchronisiert oder importiert wurde.
• Entfernt: Abhängigkeiten in Regeln, NAT, VPN, WAF und Device Access prüfen.

Config Studio zeigt, was zwischen den Ständen anders ist. Der Audit Trail beantwortet, wer die Änderung wann vorgenommen hat.

Änderungen und Templates vorbereiten

Im Configuration editor kann man eine Entities.xml importieren und Keep all configurations oder Keep only editable configurations wählen. Neue Einträge lassen sich je nach Modul mit Add oder Bulk add ergänzen. Config Studio 2.6 kann ausserdem eine Basiskonfiguration mit Sophos- oder Branchenvorlagen zusammenführen.

Nach der Bearbeitung bietet Preview die Formate Import XML, API Request und cURL. Download erzeugt XML oder eine TAR-Datei für den Import auf die Firewall.

⚠️ Vor der Übernahme prüfen: Editor-Ausgaben nie ungeprüft in eine produktive Firewall importieren oder ausführen. Besonders bei NAT, VPN, Interfaces, Device Access, Authentication und HA müssen abhängige Objekte, Zielnamen, Zonen und Services stimmen. Ein aktuelles Backup, ein Wartungsfenster, ein Rückweg und anschliessende Funktionstests gehören zum Change.

Wie Entities.xml, Begleitdateien, Secure Storage Master Key und die Merge-Wirkung beim manuellen WebAdmin-Import zusammenhängen, erklärt Konfiguration selektiv exportieren und importieren.

Für API- oder curl-Ausgaben zusätzlich API-Konto, Quell-IP und Berechtigungen kontrollieren. Die sichere Einrichtung steht unter Sophos Firewall XML API Zugriff absichern. Nach der Übernahme betroffene Dienste, Log Viewer und einen neuen Konfigurationsvergleich prüfen.

Migration und Hardwarewechsel prüfen

Unter Migrate to Sophos Firewall konvertiert Config Studio Konfigurationen von Sophos UTM, SonicWall, FortiGate und Palo Alto Networks. Der Ergebnisbericht zeigt, was vollständig, teilweise, manuell oder nicht unterstützt ist; Config Studio 2.6 ergänzt eine Konvertierungsquote und empfohlene Nacharbeiten.

Eine Quote ersetzt keine Abnahme. Vor dem Import müssen nicht migrierte Einträge sowie Zonen, Interfaces, Regeln und abhängige Objekte geprüft werden. Danach mindestens VPN, NAT, WAF, Routing, DHCP, DNS, HA und Management-Zugriff mit echten Tests validieren.

Die integrierte Backup-restore compatibility-Ansicht unterstützt bei SFOS 20.0 MR2 und neuer die Vorprüfung von XG- und XGS-Zielmodellen. Sie zeigt Portlayouts sowie kompatible Flexi-Port-Module, Transceiver und Portstandards. Für den vollständigen Ablauf bleiben der Backup- und Restore-Artikel, der Vergleich von XG und XGS und bei Clustern die HA-Varianten massgebend.

Die Release-Neuigkeiten zu Multi-File-Diff, Templates und Migration Insights sind im Beitrag Sophos Firewall Config Studio 2.6 zusammengefasst.

Troubleshooting

Config Studio lädt den Export nicht

Prüfen, ob wirklich Entities.xml aus Backup & firmware > Import export verwendet wird. Eine .backup-Datei aus Backup & restore ist falsch; eine heruntergeladene .tar-Datei muss zuerst entpackt werden. Schlägt auch ein frischer, unveränderter Export fehl, den Browser neu laden und testweise Erweiterungen deaktivieren, die lokale Dateiverarbeitung oder JavaScript blockieren.

Der Diff enthält zu viele Änderungen

Zuerst Dateireihenfolge und Änderungsdatum kontrollieren, dann auf die betroffenen Module filtern oder mit Selective configuration kleinere Exporte erstellen. Nach Firmware-Updates oder Migrationen können systembedingte Unterschiede auftreten; entscheidend sind Regeln, NAT, Interfaces, VPN, Zertifikate, Authentication, Hosts and services und Device Access.

Editor-Ausgabe lässt sich nicht übernehmen

Nicht im produktiven System improvisieren. Ausgangskonfiguration, abhängige Objekte, Namen, Zonen, Interfaces und Services erneut prüfen. Für einen Dateiimport die erzeugte TAR-Datei verwenden; bei API oder curl zusätzlich Konto, Quell-IP und Rechte kontrollieren. Erst mit vorhandenem Backup und geklärtem Rückweg erneut testen.