Sophos Firewall-configuratie selectief exporteren en importeren

Onder Backup and firmware > Import export kan Sophos Firewall de volledige configuratie of een geselecteerd deel exporteren. De export kan op een beveiligd beheersysteem worden beoordeeld, gecontroleerd worden aangepast en als .tar-bestand opnieuw worden geïmporteerd. Dit is bruikbaar voor duidelijk afgebakende objectwijzigingen, migraties en gedocumenteerde bulkwijzigingen.

Een import is echter geen restore. De volledige huidige configuratie wordt niet vervangen; nieuwe instellingen worden toegevoegd en overeenkomende instellingen uit het importpakket worden overschreven. Niet opgenomen instellingen blijven bestaan. Voor elke productie-import zijn daarom een volledige firewallback-up met wachtwoord en SSMK, een herstelpad voor beheer en een testplan nodig.

⚠️ Belangrijk: Entities.xml kan wachtwoorden, secrets, gebruikers, netwerkobjecten, regels en andere gevoelige gegevens bevatten. Verwerk bestanden uitsluitend op een betrouwbaar beheersysteem, verspreid ze niet via ongecontroleerde cloudopslag of berichtenservices en archiveer of verwijder ze na de wijziging op een beveiligde manier.

Een selectieve import in tien stappen uitvoeren

1. Doel, betrokken objecttypen en verwachte wijzigingen documenteren.
2. Een volledige restoreback-up maken en back-upwachtwoord en Secure Storage Master Key controleren.
3. Doelfirmware, patternversie, platform, aantal poorten en modelcompatibiliteit vastleggen.
4. Onder Backup and firmware > Import export naar Export selective configuration gaan.
5. Alleen de benodigde configuratietypen selecteren en afhankelijkheden bewust meenemen.
6. Het geëxporteerde .tar-bestand beschermd opslaan en ongewijzigd als referentie bewaren.
7. Het pakket uitpakken, Entities.xml controleren en alleen de geplande velden wijzigen.
8. Entities.xml en aanwezige begeleidende bestanden met ongewijzigde namen opnieuw als .tar verpakken.
9. Het pakket in een onderhoudsvenster importeren en de SSMK invoeren wanneer gevoelige informatie betrokken is.
10. Objecten, afhankelijke policies, de verwachte Firewall Rule ID, logs en werkelijk verkeer controleren.

Wanneer de import een onverwachte omvang toont, een afhankelijkheid ontbreekt of compatibiliteit van het doelplatform niet duidelijk is, wordt niet in productie geïmporteerd. Het ongewijzigde exportpakket dient als vergelijking en de volledige back-up als herstelpad.

Import/export niet met een back-up verwarren

Een volledige back-up vertegenwoordigt de firewall als herstelpakket. Bij een restore vervangt deze de huidige configuratie, activeert het beheeradres uit de back-up en start de firewall opnieuw. Import/export werkt daarentegen met configuratieobjecten:

• Nieuwe instellingen uit het pakket worden toegevoegd.
• Bestaande overeenkomende instellingen worden met de geïmporteerde waarden bijgewerkt.
• Instellingen die niet in het pakket staan, blijven ongewijzigd.
• Een selectieve import verwijdert daarom niet automatisch oude objecten of eerdere waarden buiten het geïmporteerde object.
• Een geslaagde import bewijst niet dat alle afhankelijkheden bestaan of dat het verkeerstraject werkt.

Voor hardwarevervanging, reimage, volledig herstel of een grote modelwisseling blijft back-up en restore de primaire werkwijze. Import/export past wanneer de scope duidelijk beperkt is, objectafhankelijkheden zijn begrepen en het effect afzonderlijk kan worden gevalideerd.

De export voorbereiden

Scope en afhankelijkheden bepalen

Onder Export selective configuration worden de benodigde configuratietypen geselecteerd. Include dependent entity neemt afhankelijke objecten mee. Deze optie is nuttig, maar vervangt geen inhoudelijke controle.

Een voorbeeld is een firewallregel die verwijst naar hosts, services, een schedule, een Web Policy of NAT-objecten. Wanneer alleen de regel wordt geëxporteerd, kunnen afhankelijkheden op de doelfirewall ontbreken of naar objecten met andere namen wijzen. Documenteer vóór de export:

• welk hoofdobject moet worden gewijzigd of overgedragen;
• welke hosts, netwerken, services, groepen, profielen en policies ervan afhangen;
• welke gelijknamige objecten al op het doel bestaan;
• welke productiestromen na de import kunnen worden geraakt;
• hoe de vorige toestand wordt hersteld.

Voor RED-configuraties geldt een gedocumenteerde uitzondering: REDDevice exporteert de benodigde DHCP-serverconfiguratie niet automatisch, ook niet wanneer Include dependent entity is ingeschakeld. Selecteer ook DHCPServer of maak de DHCP-server na de import gecontroleerd opnieuw aan.

Versie en doelplatform controleren

Sophos ondersteunt import naar dezelfde of een latere firmwareversie. Ook de patternversie van de doelfirewall moet gelijk of nieuwer zijn. Is deze ouder, werk dan eerst de patterns bij en plan daarna de import opnieuw.

Selectieve configuraties kunnen alleen van een lager model naar hetzelfde of een hoger compatibel model worden overgedragen. Het doel heeft minstens hetzelfde aantal Ethernet-poorten nodig. Wanneer poortnamen of platformfuncties verschillen, moet de mapping vooraf worden opgehelderd. Voor dergelijke migraties is de Backup Restore Assistant vaak geschikter dan een handmatige XML-aanpassing.

Wireless-modellen hebben extra grenzen voor LocalWiFi, frequentiebanden, SSID’s, oudere Security Modes, TKIP en bridgetoewijzingen. Een geslaagde gedeeltelijke import betekent niet dat elke wireless-configuratie is overgenomen. Controleer de doelconfiguratie object voor object.

SSMK en gevoelige informatie classificeren

De Secure Storage Master Key wordt bij de export niet ingevoerd. Bij de latere import is deze wel doorslaggevend wanneer het pakket wachtwoorden, secrets, sleutels of afhankelijke configuraties bevat.

• Op een andere firewall, of na Factory Reset of reimage, moet de SSMK worden ingevoerd die bij de export hoort.
• Zonder de passende SSMK kan SFOS de rest importeren, maar gaan gevoelige informatie en afhankelijke configuraties verloren.
• Bevat de export geen gevoelige informatie, dan is geen SSMK nodig.
• Een import zonder foutmelding bewijst daarom niet dat alle secrets en afhankelijkheden zijn overgenomen.

De SSMK wordt niet samen met het exportbestand opgeslagen. Bescherm export, volledige back-up, back-upwachtwoord en SSMK afzonderlijk, maar wijs ze voor herstel ondubbelzinnig aan dezelfde firewall en periode toe.

Het exportpakket veilig controleren en aanpassen

De pakketinhoud begrijpen

Na de export is een .tar-bestand beschikbaar. Een pakket zonder gevoelige informatie kan alleen Entities.xml bevatten. Bij gevoelige configuraties bevat het daarnaast:

• hashFile.json
• propertyfile

Pak het pakket uit in een aparte werkmap:

tar -xvf <exportbestand>.tar

Wijzig de naam Entities.xml niet. Wanneer hashFile.json en propertyfile aanwezig zijn, moeten ook deze bestanden behouden en opnieuw opgenomen worden. Een bestandsexport is niet geschikt voor ongecontroleerde globale zoek-en-vervangacties.

Wijzigingen traceerbaar voorbereiden

Voor rapporten, vergelijkingen en een gestructureerde voorbereiding kan Sophos Firewall Config Studio Entities.xml lokaal in de browser analyseren. Ook daar geldt: controleer de gegenereerde configuratie voor de import. Vooral interfaces, zones, NAT, VPN, Device Access, Authentication, certificaten en HA vragen een eigen validatie.

Kopieer voor een handmatige wijziging het ongewijzigde Entities.xml. Wijzig daarna alleen de geplande waarden en lees de diff ten opzichte van het origineel. Bouw elementnamen, ID’s, verwijzingen of bestandsnamen niet op goed geluk om. Wanneer de betekenis van een veld onduidelijk is, stopt de procedure vóór de import.

Verpak de bestanden opnieuw als TAR-pakket:

tar -cvf <importbestand>.tar Entities.xml hashFile.json propertyfile

Wanneer de oorspronkelijke export alleen Entities.xml bevatte, wordt alleen dat bestand verpakt. Maak geen lege begeleidende bestanden aan en neem ze niet over uit een andere export.

De configuratie importeren

1. Een bestaande Full Admin-sessie en een alternatief beheerpad openhouden.
2. Onderhoudsvenster, back-upbestand, wachtwoord, SSMK en rollbackbesluit bevestigen.
3. Backup and firmware > Import export openen.
4. Onder Import file uitsluitend het voorbereide .tar-pakket selecteren.
5. Import starten en de juiste SSMK invoeren wanneer SFOS daarom vraagt.
6. Succes, waarschuwingen en afgewezen objecten volledig documenteren.
7. Vóór verdere imports eerst de werking van dit pakket valideren.

Voor een wijziging zijn meerdere kleine, logisch gescheiden pakketten meestal veiliger dan één grote, onspecifieke import. Ze maken foutomvang, afhankelijkheden en herstelpad beter inzichtelijk. Dit is een operationele beslissing, geen garantie dat willekeurige objecten onafhankelijk kunnen worden geïmporteerd.

Voor terugkerende automatisering op SFOS 22.0 MR2 of nieuwer past de afzonderlijke werkwijze configuratie exporteren en importeren via de Sophos Central API. De lokale WebAdmin-import blijft relevant voor gerichte handmatige wijzigingen en onafhankelijke controle.

De import volledig valideren

De validatie begint bij het object en eindigt bij het echte verkeerstraject:

1. Geïmporteerde objecten en hun waarden in WebAdmin openen.
2. Afhankelijke hosts, services, groepen, profielen en policies controleren.
3. Bij wachtwoorden, secrets of sleutels de functie testen, niet alleen de zichtbare objectregel.
4. De betrokken firewall-, NAT-, web-, VPN- of Authentication-regel openen en volgorde en verwijzingen controleren.
5. Een gecontroleerde positieve en negatieve test uitvoeren.
6. In Log Viewer de verwachte Firewall Rule ID, Action, gebruiker, Source, Destination en Service vergelijken.
7. Bij HA de clusterstatus en werking na een geplande rolwisseling afzonderlijk controleren; ga niet uit van sessiecontinuïteit.
8. Audit Trail, tijdstip, importbestand, testresultaat en rollbackbesluit documenteren.

Voor meerlaagse policyvalidatie helpt Firewallregels systematisch testen. Bij importfouten kunnen apiparser.log, validation.log, validationError.log, applog.log en de betreffende servicelog relevant zijn. Sophos Firewall-services en logs geeft de toewijzing.

Typische fouten veilig afbakenen

Import meldt een incompatibele versie

Vergelijk actieve firmware, exportversie en patternstatus op beide firewalls. Probeer een oudere doelfirewall niet passend te maken via handmatige XML-wijzigingen. Breng eerst een ondersteunde firmware- en patternstatus tot stand of ontwerp het migratiepad opnieuw.

Objecten ontbreken ondanks een geslaagde import

Controleer of Include dependent entity is gebruikt en welke afhankelijkheden het objecttype werkelijk heeft. Controleer bij RED ook DHCPServer. Verberg ontbrekende afhankelijkheden niet met brede vervangingsobjecten of Any.

Gebruikers, OTP of secrets ontbreken

Extern geauthenticeerde gebruikers die bij het aanmelden automatisch lokaal verschenen, worden niet zoals handmatig gemaakte gebruikers geëxporteerd. Bij MFA exporteert OTPSettings de instellingen; OTPTokens bevat alleen uitgegeven tokens voor handmatig gemaakte lokale gebruikers. Controleer ook SSMK en importdoel.

Wanneer gevoelige informatie ontbreekt, plaats dan niet zomaar een nieuw secret over het bestaande object. Bepaal eerst of een verkeerde SSMK, een export zonder SSMK-bescherming of een niet-exporteerbare externe identiteit de oorzaak is. Test daarna de gebruikers- en groepswerking met een nieuwe aanmelding. De lifecycle van accounts staat in Lokale gebruikers maken en beheren.

TAR-bestand wordt afgewezen

Controleer bestandsnamen en pakketinhoud. SFOS verwacht een .tar-bestand; Entities.xml mag niet worden hernoemd. Aanwezige hashFile.json en propertyfile moeten uit dezelfde export komen. Hernoem een ZIP-bestand niet simpelweg naar .tar.

Import is geslaagd, maar verkeer werkt niet

Controleer objectverwijzing, zones, regelvolgorde, NAT, routing, gebruikers-/groepscontext en de verwachte Firewall Rule ID. Een groene importstatus bevestigt alleen de configuratiehandeling, niet de functionele werking.

Rollback en checklist

Een selectieve import heeft geen universele knop voor ongedaan maken. Bij kleine, volledig gedocumenteerde objectwijzigingen kunnen de eerdere waarden gecontroleerd worden teruggezet. Wanneer scope of afhankelijkheden onduidelijk zijn, wordt het voorbereide volledige restorepad gebruikt.

Voor afronding moeten alle volgende punten kloppen:

• volledige back-up, wachtwoord en SSMK zijn beschikbaar;
• ongewijzigd exportpakket en bewerkte versie zijn afzonderlijk gearchiveerd;
• doelversie, patterns en modelcompatibiliteit zijn bevestigd;
• alleen benodigde objecten en afhankelijkheden zijn geïmporteerd;
• waarschuwingen en mislukte deelobjecten zijn beoordeeld;
• secrets en afhankelijke functies zijn praktisch getest;
• positief en negatief productieverkeer treffen de verwachte regel;
• logs en Audit Trail passen bij de wijziging;
• bij HA is de status van beide nodes gecontroleerd;
• werkkopieën blijven niet onbeveiligd op het beheersysteem staan.

Veelgestelde vragen