Naar de inhoud
Avanet

Sophos Firewall Back-up maken of herstellen

Sophos Firewall

Een Sophos Firewall-back-up vormt de basis voor firmware-updates, hardwarevervanging, reimage, HA-werkzaamheden en migraties. Alleen het bestand is echter niet voldoende: voor een betrouwbaar herstel zijn ook het back-upwachtwoord, de juiste Secure Storage Master Key (SSMK), een compatibele doelversie en werkende beheertoegang nodig.

⚠️ Belangrijk: Vóór een risicovolle wijziging moeten het back-upbestand, wachtwoord, SSMK, doelversie, beheer-IP en herstelpad beschikbaar en gecontroleerd zijn. Een back-up die alleen lokaal op de firewall staat of waarvan de sleutel ontbreekt, is geen betrouwbare terugvaloptie.

De video toont het maken en herstellen van een Sophos Firewall-back-up en vormt een aanvulling op de praktische herstelinstructies in dit artikel.

Herstelpad en vereisten

Het juiste herstelpad kiezen

Een herstel is niet voor elk probleem de juiste eerste stap:

Vóór een reimage is bijna altijd een herstelback-up nodig. Een firmware-rollback vervangt daarentegen geen back-up, omdat het firmware-slot en de opgeslagen configuratiestatus twee verschillende herstelpaden zijn.

Back-upwachtwoord en Secure Storage Master Key

Actuele Sophos Firewall-back-ups zijn met een wachtwoord versleuteld. Als de back-up is gemaakt nadat de SSMK was ingesteld, zijn voor het herstel het back-upwachtwoord en de SSMK die op dat moment geldig was nodig.

De SSMK beschermt gevoelige informatie zoals wachtwoorden, secrets en sleutels. Deze wordt ingesteld met het standaardaccount admin en hoort thuis in een wachtwoordmanager of een ander beveiligd herstelproces. Minstens twee bevoegde personen moeten weten waar de sleutel is opgeslagen.

Als de SSMK later wordt gewijzigd, blijven oudere back-ups aan de vorige sleutel gekoppeld. Bewaar daarom de huidige en eerdere SSMK-versies samen met hun geldigheidsperiode en firewallreferentie.

Legacy-back-ups zonder SSMK kunnen zonder master key worden hersteld. Wordt een geplande back-up zonder SSMK hersteld, dan blijft het opgeslagen schema actief, maar kan de frequentie pas worden gewijzigd nadat een SSMK is ingesteld. Maak daarna direct een nieuwe handmatige back-up.

Herstelpakket per firewall

Naast de back-up moet voor elke locatie of tenant een beveiligd herstelpakket beschikbaar zijn:

  • laatste gecontroleerde back-up met datum en doel
  • back-upwachtwoord en huidige en eerdere SSMK’s
  • firewallnaam, serienummer, model en SFOS-versie
  • WAN-toegangsgegevens, providerinformatie en default gateway
  • toewijzing van interfaces, VLAN’s, LAG’s, bridges en HA-poorten
  • lokale beheerderstoegang en break-glass-toegang
  • licentie- en Sophos Central-toewijzing
  • kritieke services met concrete acceptatietests

Bewaar de back-up en toegangsgegevens niet onbeveiligd bij elkaar. Werk het herstelpakket bij na wijzigingen in personeel, provider, poorten, HA of locatie.

Back-ups veilig maken en beheren

Handmatige back-up vóór wijzigingen

Backup & Firmware > Backup & Restore
Een back-up van de SFOS-configuratie maken
Sophos Firewall Backup & Restore: een handmatige back-up maken en geplande back-ups configureren

Met Backup Now wordt direct een back-up gemaakt. Sla het bestand vervolgens extern op en documenteer minstens de firewallnaam, het serienummer, de SFOS-versie, de datum en het doel van de wijziging.

Een handmatige back-up is vooral belangrijk vóór:

  • wijzigingen aan firmware, interfaces, VLAN’s, routing, SD-WAN of VPN
  • HA-configuratie, rolwisselingen of clusteronderhoud
  • grote wijzigingen aan NAT-, WAF- of firewallregels
  • reimage, factory reset, hardwarevervanging of platformmigratie

Bij grotere wijzigingen kan Sophos Firewall Config Studio daarnaast configuratieverschillen zichtbaar maken. Een vergelijking van Entities.xml vervangt echter geen herstelback-up.

Wanneer alleen een duidelijk afgebakend configuratiedeel moet worden overgedragen of aangepast, beschrijft configuratie selectief exporteren en importeren de afzonderlijke WebAdmin-werkwijze. Ook deze import vervangt het volledige herstelpad niet.

Automatische back-ups

Onder Frequency kunnen dagelijkse, wekelijkse of maandelijkse back-ups worden geconfigureerd. Afhankelijk van de configuratie zijn lokale opslag, FTP en e-mail als doel beschikbaar.

Belangrijke operationele punten:

  • Een lokale back-up helpt niet als de appliance uitvalt of opnieuw wordt geïnstalleerd.
  • Op de firewall blijft alleen de laatste lokale back-up behouden; benodigde oudere versies moeten extern worden opgeslagen.
  • FTP- en e-mailback-ups gelden pas als functioneel na een echte test van levering, ophalen en ontsleuteling.
  • Gebruik speciale tekens in Backup prefix, FTP-gebruikersnaam of wachtwoord niet zonder ze te testen.
  • Automatische back-ups vervangen geen verse handmatige back-up direct vóór een risicovolle wijziging.
  • Bewaartermijn, toegang en verwijderingsproces moeten passen bij de beschermingsbehoefte van de configuratie.

Firewall-back-ups bevatten vertrouwelijke informatie over netwerken, regels, VPN’s, certificaten en accountgegevens. Beperk de toegang tot beheerders en herstelverantwoordelijken; wachtwoord en SSMK blijven gescheiden, maar moeten in een noodgeval vindbaar zijn.

Sophos Central-back-ups

Sophos documenteert momenteel twee navigatiepaden in Central, afhankelijk van de weergave en helppagina:

Global Settings > Products and Services > Firewall
My Products > Firewall Management > Backup

De firewall moet met Sophos Central verbonden zijn en voor configuratieback-ups zijn vrijgegeven. Sophos Firewall verbinden met Sophos Central beschrijft hoe deze verbinding wordt ingesteld.

Controleer het schema altijd expliciet in plaats van uit te gaan van een standaardwaarde. Wanneer de eerste firewall automatisch wordt toegevoegd aan een leeg schema met Never, kan Central dit eenmalig wijzigen in Monthly en de eerste dag van de maand. Bestaande schema’s worden niet gewijzigd.

Andere vaste eigenschappen:

  • Back-ups worden om 08:00 uur uitgevoerd in de tijdzone van de Central-regio; de tijd kan niet worden gewijzigd.
  • Central probeert maximaal vijf keer een back-up te maken en genereert daarna een alert en een e-mail aan de beheerder.
  • De vijf nieuwste back-ups blijven behouden; daarnaast kan precies één back-up permanent worden opgeslagen.
  • Bij het downloaden wordt de back-up opnieuw versleuteld met een nieuw toegewezen wachtwoord.
  • Als de firewall uit Central Management wordt verwijderd, worden de bijbehorende Central-back-ups verwijderd. Download benodigde bestanden vóór een accountwijziging, RMA of tenantopschoning.
  • Bij HA worden Primary en Auxiliary aan het schema toegevoegd, maar de back-up wordt door de Primary gemaakt.

Als een geregistreerde firewall niet in het schema verschijnt, voeg deze toe onder Schedule Backup. Als Send configuration backup to Sophos Central al is ingeschakeld, verwijder het vinkje, pas toe, schakel het opnieuw in, pas opnieuw toe en accepteer daarna de uitstaande servicegoedkeuring in Central.

Central is een nuttige extra opslaglocatie, maar vervangt niet de SSMK, lokale toegang, WAN-gegevens en een onafhankelijk bereikbare back-upkopie.

Herstel voorbereiden en uitvoeren

Voorbereiding en veilige hersteltest

Controleer vóór het herstel:

  • juiste back-upbestand, wachtwoord en toenmalige SSMK zijn beschikbaar
  • bronversie, doelversie, model en platform zijn compatibel
  • back-up van de actuele configuratie is extern opgeslagen
  • beheer-IP uit de back-up en lokale toegang zijn bekend
  • WAN-, NTP-, DNS-, licentie- en Central-gegevens zijn gedocumenteerd
  • HA-doel en herstelvolgorde zijn vastgelegd
  • interface-mapping en afwijkende poorttoewijzingen zijn voorbereid

⚠️ Let op: Een herstel overschrijft de huidige configuratie en start de firewall opnieuw. Een waarschuwing voor een niet-ondersteund migratiepad mag niet routinematig worden bevestigd; de firewall kan daarna met de factory-configuratie starten.

Voer een echte hersteltest uit op een geschikte laboratorium- of vervangende firewall. Schakel productieve WAN-, VPN- en Central-verbindingen vóór de test uit of isoleer ze, zodat geen adresconflicten, tunnels of dubbele registraties ontstaan.

Zonder testapparaat is minstens een organisatorische test mogelijk: haal de back-up uit de geplande opslag, controleer de toewijzing, bevestig wachtwoord en SSMK, beoordeel het doelplatform en doorloop de beheertoegang en acceptatietests in het runbook. Dit vervangt geen echt herstel, maar voorkomt veel klassieke noodproblemen.

Een back-up herstellen

Backup & Firmware > Backup & Restore
  1. Open de doelfirewall via WebAdmin.
  2. Sla indien mogelijk de huidige status op.
  3. Selecteer onder Restore configuration met Choose file het back-upbestand.
  4. Voer het Encryption password in en bij een SSMK-beveiligde back-up ook de SSMK die toen geldig was.
  5. Start Upload and Restore.
  6. Wacht tot de firewall opnieuw is gestart en het herstel is voltooid.
  7. Open WebAdmin via het beheer-IP uit de back-up.
  8. Controleer tijdzone, NTP en huidige tijd.
  9. Valideer netwerk, services, VPN, HA en Central-verbinding.

Het herstel verwijdert de lokaal opgeslagen back-up van de doelfirewall. Het gebruikte bestand moet daarom extern beschikbaar blijven. Voltooi op een nieuwe appliance eerst de setup wizard en herstel daarna de back-up.

Wat een herstel niet automatisch oplost

  • Het wachtwoord van het standaardaccount admin wordt niet uit de back-up hersteld; de doelfirewall behoudt het bestaande wachtwoord. Als het verloren is, wordt het op een fysieke appliance afzonderlijk via de seriële console gereset. Voor virtuele en cloudfirewalls moeten de platformconsole en de ondersteunde herstelroute worden gecontroleerd.
  • Na de herstart komen beheer-IP, Device Access, routes en services weer uit de back-up.
  • Tijdzone, NTP en tijd moeten als actuele operationele status worden gecontroleerd.
  • Model- of instance-afhankelijke waarden kunnen terugvallen op defaults als ze niet bij het doel passen.
  • Sophos Central blijft alleen geregistreerd bij herstel naar dezelfde firewall. Een andere firewall of een HA-cluster moet opnieuw worden geregistreerd; controleer daarna Security Heartbeat, ZTNA, Central Management, Backup, Reporting, Task Queue en groepstoewijzing.
  • Logs, reports en externe monitoringgegevens maken geen deel uit van een volledige configuratie-rollback.

Bij een migratie naar FIPS 140-3-modus is ook de back-upstatus doorslaggevend: Een back-up met uitgeschakelde FIPS herstelt de niet-FIPS-status en is dus een terugweg, geen ongewijzigde overdracht naar FIPS-modus.

Herstellen naar andere hardware en platforms

Compatibiliteit en SFOS-versies

Noteer vóór een migratie de bronversie, doelversie, het doelmodel en platform. De backup-restore compatibility check maakt nu deel uit van Sophos Firewall Config Studio. Open daar Backup-restore compatibility en controleer de compatibiliteit van de XG/XGS-modellen en de gebruikte Flexi Port-modules en transceivers. De tool geldt voor SFOS 20.0 MR2 en nieuwer; houd daarnaast rekening met de upgrade-informatie in de actuele release notes en de SFOS 22 Upgrade Check.

Voor SFOS 22 gelden harde grenzen:

  • SFOS 22.0 GA en nieuwer ondersteunen geen XG- of SG-hardware.
  • Back-ups met legacy CLI VLAN-tagging op bridge-interfaces kunnen niet worden hersteld naar SFOS 22.0 GA of nieuwer. Bridge-VLAN’s controleren vóór SFOS 22 beschrijft de opschoning.
  • Legacy Remote Access IPsec blokkeert upgrades naar SFOS 22.0 MR1 en nieuwer. Bij herstel of import naar deze versies wordt de oude configuratie niet gemigreerd; schakel vooraf over op de ondersteunde methode. Zie Legacy Remote Access IPsec migreren.

Backup-Restore Assistant en interface-mapping

De Assistant verschijnt alleen als aan alle voorwaarden is voldaan:

  • De back-up is afkomstig van XG, SG met SFOS, XGS, virtual of cloud met SFOS 19.5 MR4 of nieuwer.
  • Het doel draait op SFOS 20.0 MR2 of nieuwer.
  • Het doel is een XGS-, virtual- of cloud-appliance.

Op XG- of SG-doelen en bij back-ups uit SFOS 19.5 MR3 of ouder verschijnt de Assistant niet. De firewall voert de mapping dan automatisch uit; controleer daarna interfaces, zones, gateways, VLAN’s, HA-link, SD-WAN, NAT en VPN extra zorgvuldig.

De Assistant kan ook op dezelfde geschikte appliance worden gebruikt om VLAN’s of interfaceconfiguraties naar een andere fysieke poort te verplaatsen.

Fysieke en logische interfaces

  • Fysieke poort: wijs deze bewust toe aan een doelpoort of laat deze ongemapt; controleer bekabeling, zone en WAN-/LAN-functie.
  • VLAN of alias: volgt de gemapte parent-interface; de parent-poort moet operationeel correct zijn.
  • LAG of bridge: wordt opnieuw opgebouwd uit de gemapte fysieke poorten; controleer het aantal members en de switchconfiguratie.
  • RED of Cellular: bijbehorende configuratie wordt gemigreerd; test de verbinding na het herstel gericht.

Pseudo-poorten, breakout, management en HA

  • Pseudo-poort: behoudt de configuratie, maar verwerkt geen verkeer. Verplaats routing, NAT, VLAN’s en regels naar een actieve poort.
  • Breakout root port: alleen root ports, niet afzonderlijke members, kunnen worden gemapt. Het doel moet een ondersteund aantal en een ondersteunde combinatie van poorten hebben.
  • Management-poort: wordt toegewezen aan een aanwezige managementpoort of als pseudo-poort behouden. Plan het managementnetwerk en de lokale toegang vooraf.
  • Dedicated HA-link: het poorttype moet gelijk blijven; de Assistant kan de HA-link-poort niet wijzigen. Bij LAG moet het aantal members overeenkomen, bij VLAN de VLAN-ID en bij monitored ports de doelstatus.

Verplaats vóór het verwijderen van een pseudo-poort alle afhankelijke routes en NAT-, firewall- en VLAN-configuraties. Stel daarna onder Network > Interfaces de zone in op None en start de firewall opnieuw in een onderhoudsvenster. Controleer vervolgens of de poort is verwijderd; ongebonden pseudo-poorten met een VLAN-configuratie worden niet automatisch verwijderd.

De Backup-Restore Assistant wijst interfaces opnieuw toe, maar kan een Wireless- of bridgeconfiguratie die op het doel niet wordt ondersteund niet compatibel maken. Dergelijke afhankelijkheden moeten vóór de migratieback-up op de bron worden opgeschoond of opnieuw voor het doel worden gepland.

HA-, Wireless-, virtual- en cloud-doelen

Om de HA-configuratie te behouden, mag een HA-back-up alleen naar een HA-cluster worden hersteld. Configureer eerst het nieuwe cluster en herstel de back-up op de Primary, of herstel eerst en configureer HA daarna. Controleer vervolgens rollen, firmwareversie, Dedicated HA-link en monitored ports.

Voor Wireless-migraties gelden aanvullende beperkingen:

  • Verwijder Wireless Networks vóór het maken van de back-up bij Wireless-to-Non-Wireless.
  • Back-ups van Gen.2 XGS Wireless-modellen kunnen niet worden hersteld naar XG- of Gen.1 XGS Wireless-modellen.
  • Bij de overstap van oudere Wireless-modellen naar Gen.2 XGS gelden aanvullende beperkingen voor SSID’s, WPA, bridge mode en radio bands.

LocalWiFi- en bridgeconfiguraties bij de migratie

Voor het herstellen van een back-up van XG Wireless of Gen.1 XGS Wireless naar een Gen.2 XGS W-model gelden de volgende voorwaarden en beperkingen:

  • Aan LocalWiFi0 en LocalWiFi1 zijn alleen SSID’s met minimaal WPA2 toegewezen.
  • De versleuteling gebruikt noch TKIP noch TKIP/AES.
  • Geen enkele Wireless-interface is lid van een fysieke bridge.
  • LocalWiFi0 en LocalWiFi1 gebruiken samen maximaal acht unieke SSID’s.
  • Als beide radio’s dezelfde frequentieband gebruiken, worden alleen de instellingen van LocalWiFi0 hersteld.

Het verschil tussen de bridges is hierbij doorslaggevend. Voor een Wireless Network van het type Bridge to AP LAN verbinden de Gen.1-modellen XGS 87w, 107w, 116w, 126w en 136w het lokale wifinetwerk via een fysieke bridge met het LAN. De Gen.2-modellen XGS 88w, 108w, 118w en 128w ondersteunen dit ontwerp niet; daar wordt onder Wireless > Access points > LocalWiFi > Advanced settings de optie Bridge to Ethernet met precies één Ethernet-poort en de zone LAN gebruikt. De configuratie op Gen.2 wordt uitgelegd in Wifi rechtstreeks op Sophos Firewall instellen.

Als de Gen.1-back-up nog een fysieke bridge bevat met de interface van een Wireless Network van het type Bridge to AP LAN, mislukt het herstel naar Gen.2. Sophos vermeldt dit gedrag als Known Issue NC-135094. Als een configuratie voor OSPF, OSPFv3, RIP, SPX Portal Setting of Quarantine naar deze interface verwijst, wordt het herstel voltooid, maar werkt de afhankelijke configuratie niet op Gen.2.

Controleer daarom vóór de migratieback-up onder Network > Interfaces of een Wireless-interface deel uitmaakt van een bridge en documenteer alle afhankelijke instellingen. Verwijder een bridge in productie niet onvoorbereid: zet eerst in een onderhoudsvenster het IP-adres, de zone, DHCP, aangesloten poorten en routingafhankelijkheden om naar een ontwerp dat compatibel is met Gen.2. Maak daarna een nieuwe back-up. Configureer op het doel Bridge to Ethernet opnieuw en test vervolgens gericht SSID’s, beveiligingsmodus, frequentiebanden, DHCP en de eerder afhankelijke services.

Vóór een XG-naar-XGS-migratie helpt ook de vergelijking van XG en XGS.

Voor virtual- en cloud-firewalls is het geïntegreerde Sophos-back-up- en herstelproces het enige ondersteunde SFOS-herstelpad. Sophos ondersteunt hiervoor geen hypervisor snapshots, cloud images of back-ups van derden; deze kunnen problemen met gegevensintegriteit of niet-ondersteunde configuraties veroorzaken.

Valideren na het herstel

Technische controle

Controleer direct na het herstel:

  • WebAdmin-IP, toegestane managementnetwerken en Device Access
  • interfaces, zones, VLAN’s, bridges, LAG’s en alias-interfaces
  • WAN, PPPoE, default gateway, statische en SD-WAN-routes
  • firewall-, NAT- en WAF-regels inclusief volgorde
  • IPsec, SSL VPN, Sophos Connect, RED en Remote Access
  • certificaten, TLS Inspection, DNS, DHCP, NTP en Authentication Server
  • HA-status, rollen en synchronisatie
  • licentiestatus, Pattern Updates, Hotfixes en Central-synchronisatie
  • Log Viewer, Syslog, Central Reporting en lokale reporting

Afhankelijk van het probleem helpen Log Viewer, Policy Test en Packet Capture, Packet Capture in WebAdmin en het overzicht Services en logs. Sophos noemt voor algemene herstelfouten geen betrouwbaar universeel SSH-logpad; daarom wordt hier geen shell-opdracht aangeraden.

Acceptatietests

Een bereikbare WebAdmin bewijst niet dat productief verkeer werkt. Documenteer per locatie de concrete bron, het doel, de verwachte regel en de verwachte logvermelding voor deze tests:

  • Management: toegang vanuit het managementnetwerk en een tweede beheerderlogin.
  • Internet: een testclient bereikt een gedefinieerd extern doel via de juiste regel, NAT en WAN-route.
  • DNS en DHCP: een client ontvangt een adres en kan interne en externe namen omzetten.
  • Site-to-Site VPN: gedefinieerde hosts zijn in beide richtingen bereikbaar.
  • Remote Access: een testgebruiker controleert login, MFA, profiel, DNS en een intern doel.
  • WAF of DNAT: een externe test bevestigt certificaat, regel, backend en logging.
  • Authenticatie: AD, LDAP, RADIUS, STAS of Entra SSO identificeert een testgebruiker correct.
  • Logging: testverkeer is zichtbaar in Log Viewer, Syslog, Central Reporting of SIEM.
  • HA: rollen, clusterstatus en synchronisatie komen overeen met het plan.

Als WAN, DNS, Remote Access of HA niet werkt, wijzig dan niet meerdere onderdelen tegelijk. Beperk het foutgeval met tijd, testbron, doel, regel en logfragment en test opnieuw na elke correctie.

Troubleshooting en beheer

Typische fouten

  • Back-up staat alleen op de firewall: na een defect of reimage niet bereikbaar; sla deze extern en beveiligd op.
  • SSMK ontbreekt: beveiligde gegevens kunnen niet worden hersteld; documenteer huidige en eerdere sleutels.
  • Bestand heeft geen apparaat- of versiereferentie: de verkeerde back-up wordt gekozen; leg firewallnaam, serienummer, versie en datum vast.
  • Geen back-up van de actuele status vóór herstel: er is geen terugweg naar de vorige toestand.
  • Hersteld beheer-IP onbekend: de firewall lijkt offline; documenteer adres en lokale toegang vooraf.
  • Tijd of NTP onjuist: VPN, certificaten, authenticatie en Central kunnen uitvallen.
  • Niet-ondersteund herstelpad bevestigd: het herstel mislukt of het doel start met factory-configuratie.
  • Interface-mapping niet gecontroleerd: WAN, VLAN, VPN of HA-link komt op de verkeerde poorten terecht.
  • Wireless-beperkingen genegeerd: de back-up is incompatibel of de draadloze configuratie werkt niet zoals verwacht.
  • HA-context genegeerd: clusterconfiguratie of rollen gaan verloren of starten verkeerd.
  • Central is de enige kopie: bij verwijdering van de firewall uit Central worden deze back-ups verwijderd.
  • Alleen WebAdmin gecontroleerd: storingen in routing, NAT, VPN, WAF, DNS of logging blijven onopgemerkt.

Operationeel ritme

Regelmatig:

  • automatische back-ups, levering, ophalen en bewaartermijn controleren
  • back-upopslag, machtigingen en huidige en eerdere SSMK’s controleren
  • herstelpakket en acceptatietests actueel houden
  • steekproefsgewijs bestand, wachtwoord, SSMK en doelcompatibiliteit controleren

Vóór grote wijzigingen:

  • een handmatige back-up maken, extern opslaan en eenduidig labelen
  • beheertoegang, herstelpad en afbreekcriteria vastleggen
  • bij migraties compatibiliteit, SFOS-versie en interface-mapping controleren

Na een herstel:

  • technische controles en acceptatietests volledig documenteren
  • afwijkingen corrigeren en indien nodig vergelijken met Config Studio
  • een nieuwe back-up van de gecontroleerde doelstatus maken en het herstelpakket bijwerken