Sophos Firewall Config Studio nutzen

Sophos Firewall Config Studio ist der browserbasierte Nachfolger des Configuration Viewer. Das Tool erstellt Reports aus einer Entities.xml, vergleicht zwei oder mehr Konfigurationsstände und bereitet Änderungen oder Migrationen vor. Die Verarbeitung findet lokal im Browser statt; die Konfiguration wird nicht an Sophos hochgeladen. Diese Anleitung berücksichtigt Config Studio 2.6.8 und SFOS 22.0 MR2.

Config Studio eignet sich besonders für Reviews, Vorher-Nachher-Vergleiche bei Changes oder Firmware-Updates und die Vorbereitung grösserer Regelwerksänderungen. Es ersetzt jedoch weder ein Restore-Backup noch reale Funktionstests. Für ein aktuelles Traffic-Problem sind Log Viewer, Policy Test auf der Firewall und Packet Capture direkter.

Entities.xml exportieren und schützen

Config Studio vergleicht keine verschlüsselten Restore-Backups. Vor einem produktiven Change werden deshalb zwei unterschiedliche Dateitypen benötigt: ein vollständiges Backup als Rückweg und Entities.xml-Exporte für Config Studio.

1. Unter Backup & firmware > Backup & restore ein aktuelles Restore-Backup erstellen und geschützt ablegen.
2. Backup & firmware > Import export öffnen.
3. Full configuration für einen vollständigen Report oder Selective configuration für einzelne Module auswählen. Bei einem selektiven Export bei Bedarf Include dependent entity aktivieren.
4. Den Export herunterladen. Liefert SFOS eine .tar-Datei, diese entpacken und daraus Entities.xml verwenden.
5. Nach dem Change eine zweite Entities.xml exportieren.

Wenn die Datei später wieder in eine Firewall importiert werden könnte, ihren Namen nicht ändern. Eindeutige Ordner verhindern trotzdem Verwechslungen, zum Beispiel:

firewall-standort-vor-change-2026-07-16/Entities.xml
firewall-standort-nach-change-2026-07-16/Entities.xml

⚠️ Wichtig: Entities.xml und Restore-Backups enthalten sensible Informationen zu Netzstruktur, Regeln, Objekten, VPNs und Diensten. Nur auf einem vertrauenswürdigen Admin-Gerät verarbeiten, nicht über private Cloudspeicher, Messenger oder unkontrollierte E-Mail-Verteiler teilen und danach geschützt archivieren oder löschen.

Wie Backup, Secure Storage Master Key, Restore-Kompatibilität und Interface-Mapping zusammenhängen, erklärt Sophos Firewall Backup erstellen oder wiederherstellen.

Konfiguration als Report prüfen

1. In Config Studio Configuration report öffnen.
2. Die Entities.xml lokal auswählen. Die Oberfläche spricht von Upload, die Datei verlässt das Admin-Gerät dabei laut Sophos jedoch nicht.
3. Ein Modul auswählen oder mit Global search direkt nach Regeln, Objekten und ihren Fundstellen suchen.
4. Mit Policy test prüfen, welche Regeln und Routen zu einer angegebenen Quelle und einem Ziel passen.
5. Mit Usage reference die Verwendung eines Objekts und mit Analyze überschattete oder doppelte Regeln und Objekte prüfen.
6. Den geprüften Stand als HTML Report oder PDF Report exportieren.

Im Policy test Quelle und Ziel eintragen und Run test wählen. Eine überschattete Firewallregel wird nicht erreicht, weil eine weiter oben stehende Regel bereits passt: Die Firewall prüft von oben nach unten und beendet die Regelsuche beim ersten Treffer. Für den HTML-Export nennt Sophos in der SFOS-22/23-Anleitung Download as HTML.

Seit Config Studio 2.6 zeigt der Report referenzierte Objektwerte direkt in Firewall-, NAT- und TLS-Regeln. Dadurch erkennt man schneller, was hinter einem Objektnamen steckt und wo eine Änderung weitere Regeln betrifft.

Bei einem Review sind vor allem breite Quellen, Ziele oder Services, alte NAT-, VPN- oder WAF-Regeln, doppelte Objekte und bewusst aktivierte Security-Funktionen relevant. Management-Zugriffe werden zusätzlich unter Device Access geprüft, da normale Firewall-Regeln den Zugriff auf WebAdmin, SSH, User Portal oder VPN Portal nicht steuern.

Der Policy Test in Config Studio bewertet Firewall-, NAT-, SSL/TLS- und SD-WAN-Regeln aus der exportierten Konfiguration, aber keinen aktuellen Paketfluss. Die Prüfung unterstützt bei Quelle und Ziel IP- beziehungsweise MAC-Werte, jedoch keine FQDN-Objekte. Ein Treffer ist deshalb eine statische Vorauswahl und kein Beweis, dass die Verbindung funktioniert. Auffällige Ergebnisse aus Analyze im WebAdmin und bei Bedarf mit echten Verbindungstests bestätigen.

Mehrere Konfigurationen vergleichen

Config Studio kann zwei oder mehr Entities.xml-Dateien als zeitlichen Verlauf vergleichen. Die Dateien werden nach ihrem Änderungsdatum sortiert.

1. Compare configurations öffnen und die Exportdateien hochladen.
2. In der Chronological order kontrollieren, ob die Stände tatsächlich in der richtigen Reihenfolge liegen.
3. Den gewünschten From- und To-Stand auswählen und mit Typ-, Such- und Statusfiltern auf Added, Removed, Modified oder Unchanged eingrenzen.
4. Die Unterschiede je nach Aufgabe in der Side-by-side-, Unified- oder Semantic-Ansicht prüfen.
5. Das Ergebnis als HTML- oder PDF-Report sichern.

Für ein einzelnes Modul beschreibt Sophos All types > Deselect all, danach die Auswahl des gewünschten Moduls. Das Modul aufklappen und rechts Removed (R), Modified (M) oder Added (A) öffnen, um die betroffenen Einträge zu sehen. Der HTML-Export heisst in dieser Anleitung Export HTML und befindet sich oben rechts.

Für einen einfachen Change reichen der Export unmittelbar davor und danach. Sinnvolle Paare sind ausserdem vor und nach einem Firmware-Update, einer Hardwaremigration, einer Störung oder der Abgleich mit einer Referenzkonfiguration. Mehrere Stände helfen zu erkennen, wann eine Änderung erstmals auftrat.

Beim Review die Unterschiede knapp einordnen:

• Geplant: mit Change-Ziel und Ticket abgleichen.
• Systembedingt: Firmware-, Zertifikats- oder interne Referenzänderung prüfen.
• Unerwartet: Admin-Konto und Zeitpunkt über den Audit Trail beziehungsweise bei Bedarf configuration-audit.log klären.
• Fehlend: kontrollieren, ob der Change gespeichert, synchronisiert oder importiert wurde.
• Entfernt: Abhängigkeiten in Regeln, NAT, VPN, WAF und Device Access prüfen.

Config Studio zeigt, was zwischen den Ständen anders ist. Der Audit Trail beantwortet, wer die Änderung wann vorgenommen hat.

Änderungen und Templates vorbereiten

Im Configuration editor kann man eine Entities.xml importieren und Keep all configurations oder Keep only editable configurations wählen. Neue Einträge lassen sich je nach Modul mit Add oder Bulk add ergänzen. Config Studio kann ausserdem eine Basiskonfiguration mit Sophos- oder Branchenvorlagen zusammenführen.

Für den Editor-Import Import oben rechts öffnen und die Entities.xml auswählen. Die Analyse der Einträge zeigt ihre Verwendung und mögliche Duplikate; beim Bewegen des Mauszeigers über die Konfigurationsanalyse eines Eintrags erscheinen weitere Details. Diese Hinweise vor Änderungen auswerten, damit man nicht nur den einzelnen Eintrag, sondern auch seine Verwendung berücksichtigt.

Seit Config Studio 2.6.8 lassen sich Firewall-Regeln nach IPS Policy, NDR Active Threat Intelligence, Application Control, Web Filter, HTTPS Decryption und Malware Scanning filtern und anschliessend gezielt per Bulk Edit bearbeiten. Ausserdem blockiert das Tool Preview und Download, wenn Firewall- oder NAT-Regeln innerhalb derselben IP-Familie denselben Namen verwenden. Solche Konflikte müssen vor dem Export eindeutig benannt werden.

Nach der Bearbeitung bietet Preview die Formate Import XML, API Request und cURL. Download erzeugt XML oder eine TAR-Datei für den Import auf die Firewall.

⚠️ Vor der Übernahme prüfen: Editor-Ausgaben nie ungeprüft in eine produktive Firewall importieren oder ausführen. Besonders bei NAT, VPN, Interfaces, Device Access, Authentication und HA müssen abhängige Objekte, Zielnamen, Zonen und Services stimmen. Ein aktuelles Backup, ein Wartungsfenster, ein Rückweg und anschliessende Funktionstests gehören zum Change.

Wie Entities.xml, Begleitdateien, Secure Storage Master Key und die Merge-Wirkung beim manuellen WebAdmin-Import zusammenhängen, erklärt Konfiguration selektiv exportieren und importieren.

Für API- oder curl-Ausgaben zusätzlich API-Konto, Quell-IP und Berechtigungen kontrollieren. Die sichere Einrichtung steht unter Sophos Firewall XML API Zugriff absichern. Nach der Übernahme betroffene Dienste, Log Viewer und einen neuen Konfigurationsvergleich prüfen.

Migration und Hardwarewechsel prüfen

Unter Migrate to Sophos Firewall verarbeitet Config Studio Konfigurationen von Sophos Firewall, Sophos UTM, SonicWall, FortiGate und Palo Alto Networks. Der Ergebnisbericht zeigt, was vollständig, teilweise, manuell oder nicht unterstützt ist; Config Studio 2.6 ergänzt eine Konvertierungsquote und empfohlene Nacharbeiten.

Eine Quote ersetzt keine Abnahme. Vor dem Import müssen nicht migrierte Einträge sowie Zonen, Interfaces, Regeln und abhängige Objekte geprüft werden. Danach mindestens VPN, NAT, WAF, Routing, DHCP, DNS, HA und Management-Zugriff mit echten Tests validieren.

Die integrierte Backup-restore compatibility-Ansicht unterstützt bei SFOS 20.0 MR2 und neuer die Vorprüfung von XG- und XGS-Appliance-Zielmodellen. Sie zeigt Portlayouts sowie kompatible Flexi-Port-Module, Transceiver und Portstandards. Für den vollständigen Ablauf bleiben der Backup- und Restore-Artikel, der Vergleich von XG und XGS und bei Clustern die HA-Varianten massgebend.

Die Release-Neuigkeiten zu Multi-File-Diff, Templates und Migration Insights sind im Beitrag Sophos Firewall Config Studio 2.6 zusammengefasst.

Interaktive Planungsassistenten nutzen

Unter Interactive guides bündelt Config Studio weitere Planungswerkzeuge: Schrittfolgen für HA- und über Sophos Fusion (ehemals Sophos Central) orchestrierte SD-WAN-Deployments, den Backup-restore compatibility check, Prüfungen für Flexi-Port-Module und Transceiver sowie Referenzen zu Portstandards, Ethernet-Aushandlung und FEC-Defaults. Diese Assistenten benötigen keine Entities.xml, wenn man nur Hardware- oder Designoptionen nachschlagen möchte.

Die Ergebnisse sind Planungshilfen, keine automatische Freigabe. Bei einem Restore müssen weiterhin SFOS-Version, Port-Mapping und Gerätevoraussetzungen geprüft werden; bei HA oder SD-WAN zusätzlich Verkabelung, Lizenzen, Redundanzdesign und ein getesteter Rückweg. Config Studio 2.6.7 ergänzt im SD-WAN-Assistenten einen Tunnelrechner für Hub-and-spoke-, Multi-hub- und Full-mesh-Designs. Das Ergebnis mit der tatsächlich geplanten Topologie und den Grenzen der beteiligten Firewalls abgleichen.

Troubleshooting

Config Studio lädt den Export nicht

Prüfen, ob wirklich Entities.xml aus Backup & firmware > Import export verwendet wird. Eine .backup-Datei aus Backup & restore ist falsch; eine heruntergeladene .tar-Datei muss zuerst entpackt werden. Schlägt auch ein frischer, unveränderter Export fehl, den Browser neu laden und testweise Erweiterungen deaktivieren, die lokale Dateiverarbeitung oder JavaScript blockieren.

Der Diff enthält zu viele Änderungen

Zuerst Dateireihenfolge und Änderungsdatum kontrollieren, dann auf die betroffenen Module filtern oder mit Selective configuration kleinere Exporte erstellen. Nach Firmware-Updates oder Migrationen können systembedingte Unterschiede auftreten; entscheidend sind Regeln, NAT, Interfaces, VPN, Zertifikate, Authentication, Hosts and services und Device Access.

Editor-Ausgabe lässt sich nicht übernehmen

Nicht im produktiven System improvisieren. Ausgangskonfiguration, abhängige Objekte, Namen, Zonen, Interfaces und Services erneut prüfen. Für einen Dateiimport die erzeugte TAR-Datei verwenden; bei API oder curl zusätzlich Konto, Quell-IP und Rechte kontrollieren. Erst mit vorhandenem Backup und geklärtem Rückweg erneut testen.