Aktywowanie klucza licencyjnego Sophos Firewall

Jeśli Sophos License Schedule zawiera Subscription Key, aktywuje się go w SFOS 22 przez Administration > Licensing > Activate subscription. Następnie należy sprawdzić Key za pomocą Verify key, skontrolować wyświetlaną subskrypcję i aktywować ją przyciskiem Confirm.

Odnowienia są często automatycznie przypisywane do numeru seryjnego podanego w zamówieniu i nie zawierają nowego Key. W takim przypadku nie należy ponownie używać starego Key, lecz kliknąć Synchronize w Administration > Licensing.

⚠️ Ważne: Klucza licencyjnego można użyć tylko raz i jest on przeznaczony dla określonego modelu firewalla. Aktywacja nie zmienia reguł firewalla, konfiguracji VPN ani rejestracji Central Management.

Kontrola przed aktywacją

• Firewall jest przypisany do właściwego konta Sophos Fusion (dawniej Sophos Central).
• W Administration > Licensing Base License ma status Subscribed, a nie Evaluating.
• Model i numer seryjny Sophos Firewall są zgodne z License Schedule.
• Subscription Key nie został wcześniej użyty na innym firewallu. License ID w Sophos Fusion nie jest kluczem licencyjnym.
• Aktywacja online i synchronizacja mają dostęp do Internetu.
• W przypadku urządzenia Hardware as a Service (HWaaS) pakiet jest przypisywany automatycznie; nie można zastosować własnych subskrypcji.

Dla odizolowanego urządzenia sprzętowego obowiązuje zamiast tego oddzielna procedura licencjonowania Air Gap i aktualizacji patternów. Jeśli License Schedule nie zawiera Key, subskrypcja mogła już zostać aktywowana automatycznie.

Odroczenie rejestracji podczas pierwszej konfiguracji

Podczas pierwszej instalacji można odroczyć rejestrację firewalla. Appliance może być wtedy używany przez 30 dni. Przy każdym logowaniu wyświetlana jest rejestracja licencji, ale w tym okresie można ją pominąć.

Po upływie 30 dni rejestracja jest obowiązkowa, zanim administrator będzie mógł ponownie zalogować się do WebAdmin Console. Jednocześnie wygasają wszystkie licencje z wyjątkiem Base Firewall. Ten okres przejściowy nie jest więc modelem eksploatacji dla systemów produkcyjnych. Rejestracja, Claim na właściwym koncie Sophos Fusion i stan licencji powinny zostać zakończone i udokumentowane już podczas uruchamiania systemu.

Aktywowanie klucza licencyjnego na firewallu

1. Zalogować się do WebAdmin Console Sophos Firewall.
2. Otworzyć Administration > Licensing. Aktualna strona SFOS 22 Licensing info podaje tę pełną ścieżkę, natomiast instrukcja konfiguracji skraca ją do Administration. Aktywacja, status i synchronizacja znajdują się w obszarze licencji. W starszych wariantach interfejsu ten sam obszar produktu jest dostępny w menu użytkownika przez About product.

3. Kliknąć Activate subscription.

4. Wprowadzić Subscription Key z License Schedule. Nie wpisywać License ID, numeru seryjnego ani wcześniej używanego Key.
5. Kliknąć Verify key i sprawdzić model, subskrypcję oraz okres ważności.

6. Aktywować przyciskiem Confirm. W Module subscription details nowa subskrypcja musi następnie pojawić się ze statusem Subscribed.

Nowe subskrypcje rozpoczynają się z chwilą realizacji zamówienia; późniejsze wprowadzenie Key nie przesuwa daty rozpoczęcia ani wygaśnięcia.

Alternatywna aktywacja w Sophos Fusion

1. Zalogować się do Sophos Fusion przez fusion.sophos.com i otworzyć ikonę profilu.
2. Wybrać Licensing, a następnie kartę Firewall licenses.
3. Wyszukać firewall na podstawie numeru seryjnego i rozwinąć jego szczegóły.
4. Kliknąć Apply subscriptions.
5. Wprowadzić Subscription Key i wybrać Preview subscription.
6. Sprawdzić przypisanie i okres ważności, a następnie potwierdzić za pomocą Apply subscription.
7. Na firewallu kliknąć Synchronize w Administration > Licensing.

Aktualne strony Sophos podają dwie ścieżki do tego samego inwentarza Sophos Fusion: przewodnik Sophos Fusion Licensing używa ikona profilu > Licensing > Firewall licenses, a instrukcja konfiguracji SFOS 22 — My Products > Firewall Management > Firewall licenses. Widoczna ścieżka może zależeć od prezentowanej nawigacji Sophos Fusion. Właściwy widok zawiera wyszukiwanie według nazwy firewalla, numeru seryjnego i modelu oraz przycisk Apply subscriptions.

Claim, przypisanie licencji i Central Management to odrębne operacje. Jeśli firewall znajduje się na niewłaściwym koncie Sophos Fusion, pomocny będzie artykuł Przenoszenie Sophos Firewall na inne konto Sophos Fusion; rejestrację Central Management trzeba w razie potrzeby zmienić oddzielnie.

Zarządzanie licencjami firewalla w Sophos Fusion

Centralny widok inwentarza znajduje się w ikona profilu > Licensing > Firewall licenses. Firewalle można tam wyszukiwać według nazwy, numeru seryjnego i modelu oraz filtrować według okresu Claim, okresu wygaśnięcia i statusu Subscription. Ukryte urządzenia pojawiają się dopiero po włączeniu Show hidden. Nazwę wyświetlaną można zmienić bezpośrednio przez kliknięcie dotychczasowej nazwy, ale przy decyzjach dotyczących licencji i transferów nadal rozstrzygający jest numer seryjny.

Z tego samego widoku można wykonywać Claim firewalli, stosować lub przenosić Subscriptions między urządzeniami, przenosić firewalle na inne konto Sophos Fusion, uruchamiać Evaluations, generować licencje Air Gap i pobierać pliki firmware przez Other Downloads. Te przyciski nie służą do tej samej operacji: Claim przypisuje numer seryjny do konta, Apply subscriptions realizuje klucz licencyjny, a Transfer subscriptions przenosi istniejące uprawnienie na inny firewall.

Dla Hardware as a Service (HWaaS) obowiązują stałe ograniczenia. W tym widoku nie można stosować do takich urządzeń własnych Subscriptions, przenosić Subscriptions między firewallami, aktywować Evaluations ani przenosić firewalli między kontami Sophos Fusion.

Ewaluacja Subscription Bundle

Dla firewalla, na którym wykonano już Claim, Sophos Fusion może w sekcji Activate evaluations włączyć wybrane funkcje na 30 dni. Po ich wyborze i kliknięciu Evaluate selected licencje testowe pojawiają się w szczegółach firewalla. Wygasłą Evaluation można uruchomić ponownie w Sophos Fusion, jeśli od jej wygaśnięcia minęło co najmniej 90 dni. Wcześniej Sophos Fusion nie wyświetla opcji Activate evaluations dla kolejnego okresu testowego. Strona SFOS 22 Licensing info wskazuje natomiast następną wersję główną jako warunek ponownej ewaluacji na firewallu. Sophos dokumentuje zatem różne kryteria dla obu ścieżek; ten artykuł nie stosuje 90-dniowej reguły Sophos Fusion do bezpośredniej aktywacji w SFOS.

Evaluation należy dokumentować tak samo jak produkcyjną Subscription i sprawdzić ją technicznie przed wygaśnięciem. Nie zastępuje ona ani Renewal, ani umowy wsparcia i nie powinna niepostrzeżenie stać się warunkiem działania produkcyjnej ścieżki danych.

Dlaczego nowy okres może być krótszy

Jeśli Enhanced Support lub Bundle zawierający Enhanced Support zostanie aktywowany na firewallu, którego Warranty albo wcześniejsze uprawnienie do wsparcia już wygasło, Sophos może skrócić nowy okres. W ten sposób przerwa we wsparciu zostaje pokryta wstecznie na podstawie kalkulacji Fair Value. Naliczenie jest ograniczone do maksymalnie sześciu miesięcy.

W przypadku samej Subscription Enhanced Support skrócenie zasadniczo odpowiada długości przerwy we wsparciu. Jeśli poprzednie uprawnienie wygasło na przykład dwa miesiące wcześniej, od nowego okresu odliczane są dwa miesiące. W przypadku Bundle Sophos przelicza udział wartości Enhanced Support na odpowiednią liczbę dni na podstawie ceny katalogowej w USD.

Nieoczekiwanie krótkiego okresu nie można więc skorygować przez ponowne wprowadzenie tego samego Key. Datę wygaśnięcia poprzedniego uprawnienia, datę aktywacji, zamówiony okres i License Schedule należy sprawdzić łącznie, a rozbieżność wyjaśnić z partnerem lub Sophos.

Renewal, Mid-term Upgrade i zmiana modelu licencjonowania

Renewal zawsze zamawia się z numerem seryjnym faktycznie licencjonowanego firewalla. Dwie aktualne strony Sophos są sprzeczne w kwestii Key: FAQ aktywacji podaje, że wszystkie Renewal są po realizacji zamówienia aktywowane automatycznie i bez Key, natomiast FAQ odnowień mówi, że zależnie od kraju License Schedule zawiera Key albo potwierdzenie automatycznej aktywacji. Należy więc postępować zgodnie z otrzymanym License Schedule: aktywować wskazany nowy Key; jeśli go nie ma, zsynchronizować licencje i sprawdzić status. W przypadku starych pakietów licencji XG wcześniejszy zestaw funkcji może obecnie składać się z kilku produktów. Przykładowo dawnego TotalProtect Plus nie zastępuje samo Xstream Protection, jeśli nadal potrzebne są również Email Protection i Web Server Protection.

Nowy okres rozpoczyna się zwykle następnego dnia po zakończeniu istniejącej Subscription. Jeśli w momencie aktywacji poprzednia Subscription już wygasła, Renewal rozpoczyna się z reguły w dniu aktywacji, a w niektórych przypadkach może zostać datowany wstecz. Dlatego po każdym przedłużeniu należy wspólnie sprawdzić poprzednią datę wygaśnięcia, nową datę rozpoczęcia i rzeczywisty stan ochrony.

Rozszerzenie licencji w trakcie okresu obowiązywania

Mid-term Upgrade jest realizowany na podstawie oferty partnera. Wartość pozostałego okresu bieżących Subscriptions zostaje uwzględniona w nowym zamówieniu. Jednak po aktywacji zmiany nowa Subscription rozpoczyna się natychmiast, a pozostały okres poprzedniej Subscription zostaje zakończony, chyba że wyraźnie uzgodniono przyszłą datę rozpoczęcia.

Downgrade nie jest możliwy w bieżącym okresie umowy. Przed aktywacją należy zatem pisemnie ustalić nowy zestaw funkcji, naliczenie wartości, datę rozpoczęcia i pozostały okres. Pozornie tańszy Upgrade nie jest korzystny, jeśli nieumyślnie rozpoczyna się natychmiast i zastępuje nadal potrzebny pozostały okres.

Sprawdzanie nakładających się Subscriptions

Sophos Fusion może zastosować nową Subscription, nawet jeśli jest ona identyczna z istniejącą Subscription albo obejmuje wspólne funkcje. W przypadku płatnego nakładania się Apply subscription wyświetla ostrzeżenie przed zastosowaniem nowego uprawnienia. Następnie Sophos Fusion pokazuje połączoną Subscription i jej nową datę wygaśnięcia.

Takiego ostrzeżenia nie należy potwierdzać automatycznie. Najpierw trzeba udokumentować moduły, których dotyczy zmiana, poprzedni i nowy okres oraz oczekiwaną konfigurację końcową. To samo dotyczy transferu Subscription na firewall, który ma już nakładającą się licencję.

Zmiana licencji Term na MSP Monthly

Aktywną lub wygasłą licencję Term można przekształcić w miesięczną licencję MSP przez Sophos Fusion Partner. W przypadku wygasłej licencji należy wybrać nową Subscription w szczegółach firewalla, a następnie sprawdzić nową datę wygaśnięcia.

Przy nadal aktywnej licencji Term zmiana może zniszczyć opłaconą wartość pozostałego okresu. Jeśli na przykład miesięczny Xstream Protection Bundle zastępuje nadal aktywną licencję Term Central Orchestration, Sophos Fusion wyraźnie ostrzega przed utratą wartości licencji Term. Dlatego zmianę przeprowadza się wyłącznie po zatwierdzeniu biznesowym i udokumentowanym potwierdzeniu, które funkcje i pozostałe wartości zostaną zastąpione.

W przypadku firewalli wirtualnych należy dodatkowo uwzględnić licencjonowany rozmiar. Zwykła licencja Term wiąże rozmiar wirtualnego firewalla z Base License i nie można go dostosować w trakcie okresu obowiązywania. Wyjątkiem wskazanym przez Sophos jest MSP termed license. Przed skalowaniem należy więc wspólnie sprawdzić liczbę CPU, model licencjonowania i planowaną zmianę.

Kontrola stanu licencji

Po aktywacji sprawdzić w Administration > Licensing:

• właściwy numer seryjny i model urządzenia
• status Subscribed
• oczekiwaną subskrypcję i zawarte w niej moduły
• datę wygaśnięcia i status wsparcia
• takie samo przypisanie w Sophos Fusion

Nowa licencja udostępnia uprawnienia, ale nie konfiguruje żadnych polityk. Nowo licencjonowane funkcje trzeba zatem oddzielnie skonfigurować, przetestować i monitorować. Artykuł Opis Sophos Firewall Base License wyjaśnia różnice między Base License, wsparciem i Security Subscriptions.

W klastrze Active-Passive HA licencje posiada Initial Primary, a Auxiliary otrzymuje ich kopię. W trybie Active-Active oba urządzenia wymagają własnych licencji tego samego typu, choć daty ich wygaśnięcia mogą się różnić. Role i wymagania licencyjne opisano w artykule Warianty klastra HA Sophos Firewall.

Po aktywacji sprawdzić oba numery seryjne, role HA i widoczny stan licencji. W trybie Active-Active licencja musi być prawidłowa na obu urządzeniach.

Firewalle online synchronizują licencje zwykle co 24 godziny i wyświetlają ostrzeżenie po 70 dniach bez pomyślnej synchronizacji. Po 90 dniach Security Subscriptions zostają wyłączone. Użytkownicy nadal mogą się logować, a ruch może nadal przepływać, ale bez wyłączonych funkcji ochronnych. Pomyślna synchronizacja licencji resetuje ten okres braku komunikacji. Bez natychmiastowej synchronizacji ręcznej Subscription właśnie zastosowana w Sophos Fusion może pojawić się w wyniku synchronizacji automatycznej dopiero po 24 godzinach.

Na urządzeniach sprzętowych Base Firewall i Enhanced Support pozostają aktywne; na urządzeniach Virtual lub Software w Active-Passive HA może natomiast zostać wyłączona również Base License, a HA może zostać dezaktywowane. Dla Air Gap obowiązuje oddzielny okres 180 dni.

Jeśli aktywacja lub synchronizacja nie powiedzie się

• Brak Key w License Schedule: sprawdzić, czy Sophos lub partner nie aktywował już automatycznie odnowienia. Następnie uruchomić Synchronize na firewallu.
• Key zostaje odrzucony: najpierw sprawdzić, czy nie zawiera spacji lub błędów transmisji. Key mógł zostać wcześniej użyty, być przeznaczony dla innego modelu albo zostać zastąpiony przez skorygowane zamówienie. Ponadto firewall musi być przypisany do konta, a Base License musi mieć status Subscribed. Płatnych Key nie można stosować do licencji Home ani bezpłatnych licencji 30-dniowych.
• Subskrypcja jest widoczna w Sophos Fusion, ale nie na firewallu: kliknąć Synchronize w Administration > Licensing. Jeśli operacja się nie powiedzie, sprawdzić połączenie internetowe oraz zweryfikować DNS, routing i czas systemowy jako możliwe przyczyny.
• Niewłaściwy firewall lub niewłaściwe konto: nie testować Key na kolejnych urządzeniach. Zabezpieczyć numery seryjne i License Schedule oraz wyjaśnić właściwy transfer subskrypcji lub konta. Dla urządzenia zastępczego obowiązuje oddzielna procedura Przenoszenie licencji Sophos Firewall.

W przypadku komunikatu Synchronization with server failed można śledzić log licencji w czasie rzeczywistym w Advanced Shell:

tail -f /log/licensing.log

Następnie uruchomić Synchronize w WebAdmin i sprawdzić nowe wpisy logu pod kątem błędów połączenia, certyfikatu lub przypisania. Zakończyć wyświetlanie za pomocą Ctrl+C. Polecenie tylko odczytuje log; artykuł Łączenie z Sophos Firewall przez SSH opisuje bezpieczne otwieranie Advanced Shell.