Sophos Firewall-configuratie selectief exporteren en importeren

Onder Backup and firmware > Import export kan Sophos Firewall de volledige configuratie of een geselecteerd deel exporteren. De export kan op een beveiligd beheersysteem worden beoordeeld, gecontroleerd worden aangepast en als .tar-bestand opnieuw worden geïmporteerd. Dit is bruikbaar voor duidelijk afgebakende objectwijzigingen, migraties en gedocumenteerde bulkwijzigingen.

Een import is echter geen restore. De volledige huidige configuratie wordt niet vervangen; nieuwe instellingen worden toegevoegd en overeenkomende instellingen uit het importpakket worden overschreven. Niet opgenomen instellingen blijven bestaan. Voor elke productie-import zijn daarom een volledige firewallback-up met wachtwoord en SSMK, een herstelpad voor beheer en een testplan nodig.

⚠️ Belangrijk: Entities.xml kan wachtwoorden, secrets, gebruikers, netwerkobjecten, regels en andere gevoelige gegevens bevatten. Verwerk bestanden uitsluitend op een betrouwbaar beheersysteem, verspreid ze niet via ongecontroleerde cloudopslag of berichtenservices en archiveer of verwijder ze na de wijziging op een beveiligde manier.

Een selectieve import in tien stappen uitvoeren

1. Doel, betrokken objecttypen en verwachte wijzigingen documenteren.
2. Een volledige restoreback-up maken en back-upwachtwoord en Secure Storage Master Key controleren.
3. Doelfirmware, patternversie, platform, aantal poorten en modelcompatibiliteit vastleggen.
4. Onder Backup and firmware > Import export naar Export selective configuration gaan.
5. Alleen de benodigde configuratietypen selecteren en afhankelijkheden bewust meenemen.
6. Het geëxporteerde .tar-bestand beschermd opslaan en ongewijzigd als referentie bewaren.
7. Het pakket uitpakken, Entities.xml controleren en alleen de geplande velden wijzigen.
8. Entities.xml en aanwezige begeleidende bestanden met ongewijzigde namen opnieuw als .tar verpakken.
9. Het pakket in een onderhoudsvenster importeren en de juiste SSMK invoeren wanneer SFOS daarom vraagt.
10. Objecten, afhankelijke policies, de verwachte Firewall Rule ID, logs en werkelijk verkeer controleren.

Wanneer de import een onverwachte omvang toont, een afhankelijkheid ontbreekt of compatibiliteit van het doelplatform niet duidelijk is, wordt niet in productie geïmporteerd. Het ongewijzigde exportpakket dient als vergelijking en de volledige back-up als herstelpad.

Import/export niet met een back-up verwarren

Een volledige back-up vertegenwoordigt de firewall als herstelpakket. Bij een restore vervangt deze de huidige configuratie, activeert het beheeradres uit de back-up en start de firewall opnieuw. Import/export werkt daarentegen met configuratieobjecten:

• Nieuwe instellingen uit het pakket worden toegevoegd.
• Bestaande overeenkomende instellingen worden met de geïmporteerde waarden bijgewerkt.
• Instellingen die niet in het pakket staan, blijven ongewijzigd.
• Een selectieve import verwijdert daarom niet automatisch oude objecten of eerdere waarden buiten het geïmporteerde object.
• Een geslaagde import bewijst niet dat alle afhankelijkheden bestaan of dat het verkeerstraject werkt.

Voor hardwarevervanging, reimage, volledig herstel of een grote modelwisseling blijft back-up en restore de primaire werkwijze. Import/export past wanneer de scope duidelijk beperkt is, objectafhankelijkheden zijn begrepen en het effect afzonderlijk kan worden gevalideerd.

De export voorbereiden

Scope en afhankelijkheden bepalen

Voor een volledige configuratie-export onder Backup and firmware > Import export de optie Export full configuration selecteren en daarna Export kiezen. Ook deze export is geen restoreback-up; het hierboven beschreven onderscheid tussen import/export en herstel blijft bestaan.

Onder Export selective configuration selecteer je de benodigde configuratietypen. Include dependent entity neemt afhankelijke objecten mee. Deze optie is nuttig, maar vervangt geen inhoudelijke controle.

Een concreet voorbeeld voor een gebruiker-export: voer User in het zoekveld in, selecteer het configuratietype User en kies Apply selected items. Schakel zo nodig Include dependent entity in en kies daarna Export om het .tar-bestand te maken. User is hier een configuratietype, niet de naam van één account; zoek voor een andere scope naar het bijbehorende type.

Een voorbeeld is een firewallregel die verwijst naar hosts, services, een schedule, een Web Policy of NAT-objecten. Wanneer alleen de regel wordt geëxporteerd, kunnen afhankelijkheden op de doelfirewall ontbreken of naar objecten met andere namen wijzen. Documenteer vóór de export:

• welk hoofdobject moet worden gewijzigd of overgedragen;
• welke hosts, netwerken, services, groepen, profielen en policies ervan afhangen;
• welke gelijknamige objecten al op het doel bestaan;
• welke productiestromen na de import kunnen worden geraakt;
• hoe de vorige toestand wordt hersteld.

Voor RED-configuraties geldt een gedocumenteerde uitzondering: REDDevice exporteert de benodigde DHCP-serverconfiguratie niet automatisch, ook niet wanneer Include dependent entity is ingeschakeld. Selecteer ook DHCPServer of maak de DHCP-server na de import gecontroleerd opnieuw aan.

Versie en doelplatform controleren

Sophos ondersteunt import naar dezelfde of een latere firmwareversie. Ook de patternversie van de doelfirewall moet gelijk of nieuwer zijn. Is deze ouder, werk dan eerst de patterns bij en plan daarna de import opnieuw.

Selectieve configuraties kunnen alleen van een lager model naar hetzelfde of een hoger compatibel model worden overgedragen. Zonder aanpassing heeft het doel minstens hetzelfde aantal Ethernet-poorten nodig. Voor een doel met minder poorten of afwijkende poortnamen documenteert Sophos echter een uitzondering: vóór de import kan Entities.xml aan de doelpoorten worden aangepast. De poortmapping en betrokken verwijzingen moeten vooraf ondubbelzinnig zijn vastgesteld; deze uitzondering staat geen willekeurige modeldowngrade toe en heft de controle op firmware-, pattern- en modelcompatibiliteit niet op. Controleer na de import de interfaces, afhankelijke policies en het werkelijke verkeer voordat de wijziging wordt geaccepteerd. Als platformfuncties verschillen, moet ook vooraf worden vastgesteld of deze kunnen worden overgedragen. Voor dergelijke migraties is de Backup-Restore Assistant vaak geschikter dan een handmatige XML-aanpassing.

Voor XGS 88w, 108w, 118w en 128w gelden precieze wireless-beperkingen. Als LocalWiFi0 en LocalWiFi1 dezelfde frequentieband gebruiken, importeert SFOS alleen de instellingen van LocalWiFi0. In de volgende gevallen worden alle andere instellingen geïmporteerd, maar mislukt de configuratie van LocalWiFi0:

• Een SSID met een Security Mode ouder dan WPA2 is toegewezen aan LocalWiFi0 of LocalWiFi1.
• De versleuteling van een toegewezen SSID staat op TKIP of TKIP/AES.
• Een wireless-interface is lid van een fysieke bridge.
• LocalWiFi0 en LocalWiFi1 gebruiken samen meer dan acht unieke SSIDs.

Een geslaagde gedeeltelijke import bewijst daarom niet dat de volledige wireless-configuratie is overgenomen. Controleer de doelconfiguratie object voor object. Een geïmporteerde URL-lijst mag bovendien maximaal 128 domeinen bevatten.

SSMK en gevoelige informatie classificeren

De Secure Storage Master Key wordt bij de export niet ingevoerd. Bij de latere import is deze wel doorslaggevend wanneer het pakket gevoelige informatie bevat, zoals wachtwoorden, secrets of sleutels.

• Om gevoelige informatie op een andere firewall, of na Factory Reset of reimage, te behouden, moet de geëxporteerde configuratie een Master Key hebben en moet bij de import de bijbehorende SSMK worden ingevoerd.
• Als de geëxporteerde configuratie geen Master Key heeft, of als de juiste SSMK niet wordt ingevoerd wanneer daarom wordt gevraagd, kan SFOS de rest importeren, maar gaan gevoelige informatie en afhankelijke configuraties verloren.
• Op dezelfde firewall kan gevoelige informatie zonder een nieuwe SSMK-invoer worden geïmporteerd zolang de firmware sinds de export niet is gereset of opnieuw geïnstalleerd.
• Als de export geen gevoelige informatie bevat, is geen SSMK nodig.
• Een import zonder foutmelding bewijst daarom niet dat alle secrets en afhankelijkheden zijn overgenomen.

De SSMK wordt niet samen met het exportbestand opgeslagen. Bescherm export, volledige back-up, back-upwachtwoord en SSMK afzonderlijk, maar wijs ze voor herstel ondubbelzinnig aan dezelfde firewall en periode toe.

Het exportpakket veilig controleren en aanpassen

De pakketinhoud begrijpen

Na de export is een .tar-bestand beschikbaar. Een pakket zonder gevoelige informatie kan alleen Entities.xml bevatten. Bij gevoelige configuraties bevat het daarnaast:

• hashFile.json
• propertyfile

Pak het pakket uit in een aparte werkmap:

tar -xvf sfos-users-export.tar

sfos-users-export.tar is een voorbeeldnaam die je vervangt door de naam van je eigen export. De opdracht gebruikt bewust geen tijdelijke aanduidingen tussen punthaken, omdat een shell < en > als omleidingsoperatoren kan interpreteren.

Wijzig de naam Entities.xml niet. Wanneer hashFile.json en propertyfile aanwezig zijn, moeten ook deze bestanden behouden en opnieuw opgenomen worden. Een bestandsexport is niet geschikt voor ongecontroleerde globale zoek-en-vervangacties.

Wijzigingen traceerbaar voorbereiden

Voor rapporten, vergelijkingen en een gestructureerde voorbereiding kan Sophos Firewall Config Studio Entities.xml lokaal in de browser analyseren. Ook daar geldt: controleer de gegenereerde configuratie voor de import. Vooral interfaces, zones, NAT, VPN, Device Access, Authentication, certificaten en HA vragen een eigen validatie.

Kopieer voor een handmatige wijziging het ongewijzigde Entities.xml. Wijzig daarna alleen de geplande waarden en lees de diff ten opzichte van het origineel. Bouw elementnamen, ID’s, verwijzingen of bestandsnamen niet op goed geluk om. Wanneer de betekenis van een veld onduidelijk is, stopt de procedure vóór de import.

Verpak de bestanden opnieuw als TAR-pakket:

tar -cvf sfos-users-import.tar Entities.xml hashFile.json propertyfile

sfos-users-import.tar is de aanpasbare naam van het nieuwe pakket. Als de oorspronkelijke export alleen Entities.xml bevatte, pak je alleen dat bestand in. Maak geen lege begeleidende bestanden en neem ze niet over uit een andere export.

De configuratie importeren

1. Een bestaande Full Admin-sessie en een alternatief beheerpad openhouden.
2. Onderhoudsvenster, back-upbestand, wachtwoord, SSMK en rollbackbesluit bevestigen.
3. Backup and firmware > Import export openen.
4. Onder Import file uitsluitend het voorbereide .tar-pakket selecteren.
5. Import starten en de juiste SSMK invoeren wanneer SFOS daarom vraagt.
6. Succes, waarschuwingen en afgewezen objecten volledig documenteren.
7. Vóór verdere imports eerst de werking van dit pakket valideren.

Voor een wijziging zijn meerdere kleine, logisch gescheiden pakketten meestal veiliger dan één grote, onspecifieke import. Ze maken foutomvang, afhankelijkheden en herstelpad beter inzichtelijk. Dit is een operationele beslissing, geen garantie dat willekeurige objecten onafhankelijk kunnen worden geïmporteerd.

Voor terugkerende automatisering op SFOS 22.0 MR2 of nieuwer past de afzonderlijke werkwijze configuratie exporteren en importeren via de Sophos Central API in Sophos Fusion (voorheen Sophos Central). De lokale WebAdmin-import blijft relevant voor gerichte handmatige wijzigingen en onafhankelijke controle.

De import volledig valideren

De validatie begint bij het object en eindigt bij het echte verkeerstraject:

1. Geïmporteerde objecten en hun waarden in WebAdmin openen.
2. Afhankelijke hosts, services, groepen, profielen en policies controleren.
3. Bij wachtwoorden, secrets of sleutels de functie testen, niet alleen de zichtbare objectregel.
4. De betrokken firewall-, NAT-, web-, VPN- of Authentication-regel openen en volgorde en verwijzingen controleren.
5. Een gecontroleerde positieve en negatieve test uitvoeren.
6. In Log Viewer de verwachte Firewall Rule ID, Action, gebruiker, Source, Destination en Service vergelijken.
7. Bij HA de clusterstatus en werking na een geplande rolwisseling afzonderlijk controleren; ga niet uit van sessiecontinuïteit.
8. Audit Trail, tijdstip, importbestand, testresultaat en rollbackbesluit documenteren.

Voor meerlaagse policyvalidatie helpt Firewallregels systematisch testen. Bij importfouten kunnen apiparser.log, validation.log, validationError.log, applog.log en de betreffende servicelog relevant zijn. Sophos Firewall-services en logs geeft de toewijzing.

Typische fouten veilig afbakenen

Import meldt een incompatibele versie

Vergelijk actieve firmware, exportversie en patternstatus op beide firewalls. Probeer een oudere doelfirewall niet passend te maken via handmatige XML-wijzigingen. Breng eerst een ondersteunde firmware- en patternstatus tot stand of ontwerp het migratiepad opnieuw.

Objecten ontbreken ondanks een geslaagde import

Controleer of Include dependent entity is gebruikt en welke afhankelijkheden het objecttype werkelijk heeft. Controleer bij RED ook DHCPServer. Verberg ontbrekende afhankelijkheden niet met brede vervangingsobjecten of Any.

Gebruikers, OTP of secrets ontbreken

Extern geauthenticeerde gebruikers die bij het aanmelden automatisch lokaal verschenen, worden niet zoals handmatig gemaakte gebruikers geëxporteerd. Bij MFA exporteert OTPSettings de instellingen voor zowel handmatig gemaakte gebruikers als gebruikers die via een externe authenticatieserver automatisch aan de firewall zijn toegevoegd; OTPTokens bevat alleen uitgegeven tokens voor handmatig gemaakte lokale gebruikers. Controleer ook SSMK en importdoel.

Wanneer gevoelige informatie ontbreekt, plaats dan niet zomaar een nieuw secret over het bestaande object. Bepaal eerst of een verkeerde SSMK, een export zonder SSMK-bescherming of een niet-exporteerbare externe identiteit de oorzaak is. Test daarna de gebruikers- en groepswerking met een nieuwe aanmelding. De lifecycle van accounts staat in Lokale gebruikers maken en beheren.

TAR-bestand wordt afgewezen

Controleer bestandsnamen en pakketinhoud. SFOS verwacht een .tar-bestand; Entities.xml mag niet worden hernoemd. Aanwezige hashFile.json en propertyfile moeten uit dezelfde export komen. Hernoem een ZIP-bestand niet simpelweg naar .tar.

Import is geslaagd, maar verkeer werkt niet

Controleer objectverwijzing, zones, regelvolgorde, NAT, routing, gebruikers-/groepscontext en de verwachte Firewall Rule ID. Een groene importstatus bevestigt alleen de configuratiehandeling, niet de functionele werking.

Rollback en checklist

Een selectieve import heeft geen universele knop voor ongedaan maken. Bij kleine, volledig gedocumenteerde objectwijzigingen kunnen de eerdere waarden gecontroleerd worden teruggezet. Wanneer scope of afhankelijkheden onduidelijk zijn, wordt het voorbereide volledige restorepad gebruikt.

Voor afronding moeten alle volgende punten kloppen:

• volledige back-up, wachtwoord en SSMK zijn beschikbaar;
• ongewijzigd exportpakket en bewerkte versie zijn afzonderlijk gearchiveerd;
• doelversie, patterns en modelcompatibiliteit zijn bevestigd;
• alleen benodigde objecten en afhankelijkheden zijn geïmporteerd;
• waarschuwingen en mislukte deelobjecten zijn beoordeeld;
• secrets en afhankelijke functies zijn praktisch getest;
• positief en negatief productieverkeer treffen de verwachte regel;
• logs en Audit Trail passen bij de wijziging;
• bij HA is de status van beide nodes gecontroleerd;
• werkkopieën blijven niet onbeveiligd op het beheersysteem staan.

Veelgestelde vragen