Sophos Firewall Base License begrijpen

De Sophos Firewall Base License is de basis van een Sophos Firewall. Ze beantwoordt echter alleen de basisvraag: is deze firewall-instance geregistreerd en licentietechnisch toegewezen? Dat is niet hetzelfde als een supportlicentie, een Security Bundle of een afzonderlijke Security-Subscription.

Juist dit onderscheid is belangrijk in de praktijk. Een firewall kan een zichtbare Base License hebben en toch beperkt zijn bij firmware-updates, support, RMA, Sophos Central Firewall Management of bepaalde beveiligingsfuncties. Deze handleiding legt uit hoe men de Base License moet plaatsen, waar men die controleert en welke punten vóór updates, renewals, HA-planning of supportcases niet over het hoofd mogen worden gezien.

Welk licentieartikel past?

Licentiekwesties lijken vaak op elkaar, maar leiden tot verschillende beslissingen. Dit artikel past wanneer een zichtbare Base Firewall in de licentieweergave moet worden geplaatst en duidelijk moet worden wat dit betekent voor support, firmware, HA, Central en Security-Subscriptions.

Voor aangrenzende vragen passen andere handleidingen beter: modelkeuze en prestatieklasse horen bij de Sophos Firewall Sizing Guide, bundelbeslissingen bij het artikel over Sophos Firewall-bundels, geïsoleerde firewalls bij het proces voor Air-Gap-licenties en pattern updates, accountwissels bij het artikel over Sophos Central-transfer, en hardwarevragen bij de plaatsing van XG, XGS, EOL en migratie.

Deze scheiding voorkomt de belangrijkste verkeerde aanname: een zichtbare Base License bewijst niet automatisch actieve support, passende Security-Subscriptions, een geldige lifecycle of correct accounteigendom. Voor beheer, renewal en supportcases moeten serienummer, account, supportstatus, bundel, vervaldata en platform altijd samen worden gecontroleerd.

Wat de Base License is

De Base License identificeert en autoriseert de basisinstallatie van de Sophos Firewall. Zonder correcte toewijzing van licentie en serienummer kan een appliance of virtuele instance niet netjes als productief Sophos Firewall-systeem worden gebruikt en beheerd.

Het onderscheid is belangrijk:

• Base License: Basis van de firewallinstallatie en basisautorisatie.
• Enhanced Support / Enhanced Plus Support: Support- en updateautorisatie afhankelijk van het licentiemodel.
• Security-Subscription: Beschermingsmodules zoals Network, Web, Email, Zero-Day of andere gelicentieerde functies.
• Serienummer: Unieke identiteit van de firewall voor licentie, support, RMA en accounttoewijzing.

De Base License moet daarom niet worden opgevat als “alles is gelicenseerd”. Slechts een deel van de licentievraag wordt beantwoord.

Het belangrijkste controlepad in SFOS is Administration > Licensing. Daar ziet men registratie, appliance-model, serienummer, Base Firewall, supportstatus, bundels, afzonderlijke Subscriptions en vervaldata. Bij een online verbonden firewall synchroniseert SFOS de licenties normaal automatisch met Sophos Central. Voor een actuele weergave kan men daar Synchronize uitvoeren voordat uit een oude weergave verkeerde conclusies worden getrokken.

Snelle operationele indeling

Voor dagelijks beheer helpt een eenvoudige indeling. De Base License beantwoordt alleen de vraag of de firewall in principe als Sophos Firewall-instance is toegewezen. Daarna volgt de echte operationele vraag: is er de juiste entitlement voor wat men wil doen?

Als de firewall alleen moet routeren, eenvoudige regels moet toepassen of VPN moet aanbieden, is de Base License het startpunt. Zodra firmware-upgrades, fabrikantsupport, RMA, IPS, Web Protection, Zero-Day Protection, WAF, Central Firewall Management of langere reporting belangrijk worden, moet de betreffende support-, bundel- of Security-Subscription apart worden gecontroleerd.

Bij HA-clusters is een blik op één licentieregel ook niet genoeg. Rollen, serienummers, platformtype, Subscription-synchronisatie en supportmodel bepalen samen of failover, RMA en centraal beheer in een ernstig geval goed werken. Bij virtuele en softwaregebaseerde firewalls komen CPU-core-licenties, instance-toewijzing en restore-scenario daarbij.

Deze snelle beslissing vervangt geen licentiecontrole, maar voorkomt de meest voorkomende fout: een geldige Base License zien en aannemen dat daarmee ook support, beschermingsmodules en updategeschiktheid duidelijk zijn.

Wat is inbegrepen in de Base License

In de officiële licentieweergave wijst Sophos de Base License toe aan de basisfuncties Stateful Firewall, VPN, Wireless, High Availability en Firewall RED. Wat in de praktijk van belang is, is wat dit betekent: de firewall kan in principe worden gebruikt als router, firewall en VPN-gateway, maar zonder extra Security-Subscriptions ontbreken veel beveiligings- en ondersteuningsfuncties.

Typische functies van de Base License:

• Stateful Firewall: Firewallregels, zones, services, hosts, NAT en basis-policybesturing. De regel kan verkeer toestaan of blokkeren. Beschermingsmodules zoals IPS, Web Protection of Zero-Day Protection zijn daarmee nog niet automatisch gelicentieerd.
• Routing en netwerk: Interfaces, VLAN’s, statische routes, SD-WAN-routes, DHCP, DNS en basisnetwerkdiensten. De firewall kan als centrale netwerkrouter werken. Security-inspectie van traffic hangt af van aanvullende modules.
• VPN: Site-to-Site IPsec, Remote Access IPsec en SSL VPN. VPN-functionaliteit is in principe mogelijk. MFA, portaltoegang, Device Access en logging moeten toch apart zorgvuldig worden gepland.
• Firewall RED: Hiermee worden RED-functies van de firewall bedoeld, vooral Site-to-Site RED tussen Sophos Firewalls. Dit is niet hetzelfde als SD-RED Device Management of SD-RED-tunnels naar SD-RED-apparaten.
• Wireless: Beheer van compatibele Sophos Access Points via de firewall. Dit is niet hetzelfde als moderne Sophos Central Wireless-architectuur. Veel omgevingen gebruiken tegenwoordig andere WLAN-systemen.
• High Availability: HA-bedrijf van de Sophos Firewall. Licenties en rollen moeten bij HA-clusters apart zorgvuldig worden gecontroleerd, vooral bij Active-Passive en Subscription-synchronisatie.
• Lokale logs en reports: Lokale events, Log Viewer en eenvoudige reports. Voor langere bewaartermijnen, centrale zoekfuncties of reporting zijn afhankelijk van het doel Sophos Central Reporting, syslog of SIEM nodig.

Dit betekent dat de Base License vooral de technische basis voor de bediening vormt. Hierdoor wordt een apparaat of instance een bruikbare Sophos Firewall, maar geen volledig gelicentieerd beveiligingspakket.

Wat is niet inbegrepen in de Base License

Vaak rijst de vraag of men met de Base License ook firmware-updates, support of alle beveiligingsfuncties ontvangt. Dat is precies niet het geval.

• Firmware-upgrades zonder supportautorisatie: Sophos staat drie gratis firmware-upgrades toe. Daarna is een geldige support- of bundelautorisatie nodig. De Base License alleen is daarom geen betrouwbare updatestrategie.
• Fabrikantsupport via Sophos Case, chat of telefoon: Support is gekoppeld aan Enhanced Support, Enhanced Plus Support of een passende bundel.
• SD-RED en Network Protection: SD-RED Device Management en SD-RED-tunnels naar SD-RED-apparaten mogen niet als Base License-functies worden gepland. Ze vereisen de passende Network Protection Subscription.
• IPS / Network Protection: Intrusion Prevention, Sophos X-Ops Threat Feeds en Security Heartbeat vereisen eveneens Network Protection.
• Web Protection en Application Control: Webfilter, Application Control en web-malwarescans zijn geen pure Base-License-functie.
• Zero-Day Protection: Sandboxing, Machine Learning en Threat Intelligence vereisen een passende licentie.
• Email Protection: Anti-Spam, Antivirus, DLP, encryptie en mail-malwarebescherming zijn apart gelicentieerd.
• Webserver Protection / WAF: Web Application Firewall is een eigen beschermingsfunctie en geen onderdeel van de Base License.
• Sophos Central Firewall Management alleen met Base License: De pure Base Firewall-licentie is niet voldoende voor Central Firewall Management. Daarvoor is een actieve betaalde Subscription buiten de Base License of een actief supportcontract nodig.
• Langere centrale reporting: Central Firewall Reporting hangt af van licentie, opslag en bewaartermijn.

Vooral firmware-upgrades vormen een veelvoorkomend struikelblok: een firewall kan een geldige Base License weergeven en toch niet voldoende autorisatie hebben voor verdere geplande firmware-upgrades. De achtergrond wordt beschreven in de blogpost Sophos Firewall Updates zullen in de toekomst niet langer gratis zijn.

Hardware-apparaten

Bij een XGS-hardware-appliance is de Base License gekoppeld aan het hardware- of serienummer. Hardware appliances hebben de Base Firewall in principe als apparaatbasis. Toch hangt de praktische bruikbaarheid af van lifecycle, support, bundel, vervaldata en accounttoewijzing.

Het serienummer is in de praktijk bijzonder belangrijk, omdat licentiestatus, support, RMA, accounttoewijzing en documentatie daarvan afhangen.

Controleer:

• Is de firewall geregistreerd in het juiste Sophos-account?
• Komt het serienummer overeen met de bestelling, licentiedocumenten en apparaat?
• Is er een actieve support- of bundellicentie?
• Zijn de vereiste Security-Subscriptions actief?
• Is duidelijk welke firmware-updates nog mogelijk zijn?
• Bevindt de hardware zelf zich nog in de ondersteunde lifecycle?

Het serienummer vindt men in SFOS direct in het dashboard. De procedure staat in serienummer van de Sophos Firewall vinden.

Virtuele en softwaregebaseerde firewalls

Voor virtuele, softwaregebaseerde en cloud-Sophos-Firewall-instances hangt licensering sterker af van de toegewezen instance en het serienummer. In tegenstelling tot hardware staat er geen serienummer van een fysiek apparaat op een apparaatlabel. De licentie- en instancetoewijzing moeten daarom bijzonder duidelijk worden gedocumenteerd.

Belangrijk:

• Serienummer en licentiebestand horen bij het specifieke exemplaar.
• Accounttoewijzing moet correct zijn vóór productieve werking.
• CPU-core-licenties, Base Firewall en support moeten afzonderlijk worden gecontroleerd.
• Back-ups vervangen geen schone licentie- en serienummerdocumentatie.
• Bij herinstallatie, Restore of migratie moet duidelijk zijn welke instance welke licentie gebruikt.

Sinds 2025 zijn CPU-Core-licenties vooral relevant voor virtuele en softwaregebaseerde Sophos-firewallinstances; RAM is niet langer de vorige licentielimiet. De details staan ​​vermeld in het artikel Sophos Firewall VM & SW - Alleen CPU-tellingen - Geen RAM-limiet meer. Voor de basisplatformbeslissing is Sophos Firewall: hardware, virtueel of cloud? geschikt.

Voor HA is het onderscheid belangrijk: bij Active-Passive HA heeft bij virtuele en softwaregebaseerde firewalls alleen de Primary-instance de Base Firewall en de verdere licenties nodig. Bij Active-Active HA hebben beide apparaten of instances eigen passende licenties nodig. Bij hardware-HA gelden bovendien RMA- en supportdetails die niet uit de Base License alleen kunnen worden afgeleid. Voor Sophos Central Firewall Management is bovendien eenvoudige licentiesynchronisatie niet genoeg; de firewalls moeten voor Firewall Management geregistreerd zijn en een passende betaalde Subscription of supportlicentie hebben.

Wat je niet moet afleiden uit de Base License

De Base License geeft niet automatisch aan dat alle gewenste functies productief gebruikt kunnen worden, ondersteund worden of recht hebben op updates. Er ontstaan ​​veel misverstanden omdat er in de licentieweergave meerdere zaken naast elkaar worden weergegeven.

Niet afleiden uit de Base License:

• dat firmware-updates permanent mogelijk zijn zonder support,
• dat alle beveiligingsmodules actief zijn,
• dat Web Protection, Mail Protection, Zero-Day Protection of andere Security-Module een licentie hebben,
• dat support of RMA gedekt is,
• dat de firewall in het juiste account staat,
• dat de HA-licentie en Subscription-synchronisatie correct zijn.

Belangrijk voor firmware-updates: Sophos heeft al met SFOS v19 MR1 een supportvereiste geïntroduceerd voor toekomstige firmware-upgrades. Klanten zonder support hebben drie gratis firmware-upgrades; daarna is een geldige Support Subscription vereist. Avanet heeft deze wijziging geclassificeerd in Sophos Firewall Updates zullen in de toekomst niet langer gratis zijn.

Bovendien is de wijziging van 2025 relevant, omdat Sophos grotere beperkingen oplegt aan firewalls zonder een geldige ondersteuningslicentie. Het overzicht vindt u in Sophos Firewall: Belangrijke wijziging voor klanten zonder supportlicentie.

Licentiestatus schoon controleren

In de lokale WebAdmin Console kan men de licentiestatus onder Administration > Licensing controleren. Daar ziet men onder meer serienummer, geregistreerde licenties, looptijden en meldingen over verlopen of ontbrekende Subscriptions. Het punt is niet alleen of ergens Base Firewall staat. Beslissend is of de weergegeven licenties passen bij de geplande handeling.

Controleer:

1. Aanmelden bij Sophos Firewall.
2. Administration > Licensing openen.
3. Serienummer en model documenteren.
4. Controleer Base Firewall / Base License.
5. Controleer support en Security-Subscriptions.
6. Statuswaarden zoals Subscribed, Evaluating, Not subscribed of Expired plaatsen.
7. Vervaldata en waarschuwingen documenteren.
8. Indien nodig Synchronize uitvoeren om de actuele stand uit Sophos Central op te halen.
9. Indien nodig licentiesleutel of Subscription activeren.

Het praktische proces voor het activeren van een licentiesleutel staat in Sophos Firewall-licentiesleutel activeren.

Licentie- en supportstatus documenteren

Voor licentie-, support- en renewalvragen is een screenshot van de Base License zelden voldoende. Per firewall moet een kleine licentiedataset worden bijgehouden voor beheer, supportcases, RMA, restore of accountoverdracht.

• Serienummer: Koppelt licentie, apparaat, support, RMA en accounttoewijzing.
• Model en platform: Onderscheidt XGS-hardware, virtuele firewall, software-appliance of clouddeployment.
• Sophos Account / Central Tenant: Voorkomt verkeerde licentieactivering of problemen bij accountoverdracht.
• Base License Status: Toont of de firewall in principe correct is toegewezen.
• Support / bundel: Bepaalt update-, support- en renewalvragen.
• Security-Subscriptions: Toont welke beschermingsmodules echt bruikbaar zijn.
• Vervaldata: Belangrijk voor renewal, budget en geplande firmware-upgrades.
• Back-up en Secure Storage Master Key: Belangrijk voor restore, migratie en supportcases.

Deze documentatie mag niet pas in een storing ontstaan. Als een firewall naar een ander account wordt overgedragen, past Sophos Firewall naar een ander Sophos Central-account overdragen. Als restore, hardwarevervanging of reimage aan de orde is, moet ook het artikel Sophos Firewall back-up maken of herstellen worden gecontroleerd.

Vervaldatum van Base License

In de licentieweergave kan Base Firewall verschijnen met een vervaldatum die erg ver in de toekomst ligt. Dit moet niet worden verward met onbeperkte support of onbeperkte updatemogelijkheden.

Praktisch betekent dit:

• De Base License kan op termijn zichtbaar blijven als basis van de firewall.
• Hardware, platform en firmware hebben nog steeds hun eigen levenscycluslimieten.
• Voor firmware-upgrades is mogelijk een geldige ondersteuningsautorisatie vereist.
• Beveiligingsfuncties zijn afhankelijk van actieve Subscriptions.
• Ondersteuning, RMA en Renewal moeten afzonderlijk worden gecontroleerd.

Bij cloud-, virtuele en softwaregebaseerde firewalls verloopt de Base Firewall volgens Sophos niet zoals een normale beschermings-Subscription. Bij hardware appliances is de Base-Firewall-status daarentegen gekoppeld aan de hardware lifecycle. Daarom mag een ver weg liggende vervaldatum nooit geïsoleerd worden beoordeeld: model, EOL-status, SFOS-versie, support en Security-Subscriptions horen altijd bij dezelfde controle.

Wanneer de Base Firewall echt verloopt

Een verlopen Base-Firewall-status is geen cosmetische licentiemelding. De configuratie blijft zichtbaar en kan deels nog worden bewerkt, maar de handhaving verandert ingrijpend.

Sophos beschrijft voor een verlopen Base Firewall onder meer dit gedrag: firewallregels worden niet meer verwerkt, bepaalde LAN/DMZ-naar-WAN- of interne verkeersrichtingen worden zoals bij een eenvoudige router toegestaan, ander verkeer blijft geblokkeerd, VPN-tunnels kunnen wel blijven bestaan maar geen nuttig verkeer meer transporteren, en NAT rules, Site-to-Site-RED tunnels, Remote Access Points en Wireless Networks werken niet meer zoals bedoeld. Daarom moet een Base-Firewall-waarschuwing niet pas in het volgende renewalgesprek worden bekeken.

Belangrijk is de afbakening: een verlopen Security-Module is niet hetzelfde als een verlopen Base Firewall. Als bijvoorbeeld Web Protection, Zero-Day Protection of Webserver Protection verloopt, verliest de firewall niet automatisch elke basisfunctie, maar valt de betrokken beschermings- of enforcementfunctie weg of werkt alleen nog beperkt. De foutanalyse begint daarom altijd met de vraag welke licentie werkelijk is verlopen.

Voor admins betekent dit praktisch:

• Licentiestatus onder Administration > Licensing controleren.
• Serienummer, Sophos Central-account en accounttoewijzing controleren.
• Controleren of het gaat om een normaal online-syncprobleem, een Air-Gap-onderwerp, een HA-probleem of een echte licentievervaldatum.
• Bij productiesystemen support-, renewal- of partnerproces direct starten.

Als een firewall geïsoleerd wordt gebruikt, is de normale 24-uurs-sync niet de juiste maatstaf. Dan hoort het Air-Gap-proces met licentiebestand, handmatige upload en pattern-routine bij de operationele verantwoordelijkheid.

Wat men vóór updates en renewals moet controleren

Vóór firmware-updates, renewalgesprekken of migraties moet men niet alleen oppervlakkig naar de licentiestatus kijken. Een korte bedrijfscontrole is beter.

Eerst worden serienummer, model, platform, Sophos-account en Base License gedocumenteerd. Daarna controleert men support- of bundellicentie, benodigde Security-Subscriptions, vervaldata en waarschuwingen. Bij HA-clusters horen beide nodes, rollen en licentiesynchronisatie bij de controle; bij virtuele firewalls daarnaast CPU-cores, instance-toewijzing en restore-scenario.

Vóór een firmware-upgrade moet men er niet op vertrouwen dat een zichtbare Base-Firewall-vermelding genoeg is. Zinvol is de combinatie van actuele back-up, gecontroleerde supportstatus, bekende doelversie, onderhoudsvenster en een kort fallbackplan. De gratis firmware-upgrades zonder support zijn hoogstens een overgangssituatie, maar geen schone operationele strategie.

Voor grotere updates helpt Sophos Firewall vóór SFOS 22 upgrade controleren. Voor HA-omgevingen is Sophos Firewall High Availability (HA) installatie relevant omdat licenties en rollen in het cluster duidelijk moeten worden gedocumenteerd.

Veelvoorkomende fouten

Base License met support verwarren

Een zichtbare Base License betekent niet automatisch dat support en firmware-upgrades gedekt zijn. De supportstatus moet afzonderlijk worden gecontroleerd.

Security-modules niet controleren

Als een functie niet werkt of niet configureerbaar is, moet je niet alleen naar Base License kijken. Cruciaal is of de juiste Subscription actief is en of de functie ook is geconfigureerd.

Verkeerd serienummer gebruiken

Met meerdere firewalls, HA clusters, virtuele instanties of accountoverdrachten ontstaat er snel verwarring. Serienummer, account- en licentiedocumenten moeten overeenkomen.

Virtuele firewall onvolledig documenteren

Voor virtuele firewalls moet u de licentie, het serienummer, de instancenaam, de hypervisor, CPU-Cores, de back-up en het verantwoordelijke account samen documenteren. Anders wordt een Restore of supportaanvraag onnodig lastig.

Veelgestelde vragen