Obsługa licencjonowania i aktualizacji wzorców w trybie Air-Gap na Sophos Firewall

Sophos Firewall może być używana w szczególnie izolowanych środowiskach bez bezpośredniego dostępu do Internetu. To nie jest zwykły tryb offline, lecz świadomie zaplanowany tryb Air-Gap z własną logiką licencyjną, ręczną synchronizacją i oddzielnym procesem aktualizacji wzorców.

Najważniejszy punkt: Air Gap nie jest sposobem na proste “działanie bez Internetu”. Wymaga wcześniejszej autoryzacji, przypisanej sprzętowej zapory sieciowej, jasnego procesu aktualizacji i regularnej kontroli stanu licencji i wzorców. W przeciwnym razie zapora może działać dalej, ale funkcje ochronne tracą aktualność lub subskrypcje zostają dezaktywowane.

Dla ogólnej logiki licencyjnej najpierw warto zrozumieć Podstawową licencję Sophos Firewall. Ten artykuł koncentruje się na szczególnym przypadku Air Gap.

Kiedy Air Gap ma sens

Air Gap pasuje tylko do środowisk, w których zapora jest świadomie odłączona od Internetu. Typowe przykłady to silnie regulowane sieci, środowiska badawcze, środowiska obronne, segmenty produkcyjne lub inne strefy, w których bezpośrednie połączenia z chmurą lub aktualizacjami są niedozwolone.

Przed podjęciem decyzji należy rozważyć trzy pytania:

Air Gap nie zwiększa automatycznie bezpieczeństwa. Redukuje określoną powierzchnię połączeń, ale przenosi odpowiedzialność na procesy: pobieranie, weryfikacja, transfer, przesyłanie, dokumentacja i monitorowanie.

Wymagania wstępne

Przed instalacją należy wyjaśnić następujące kwestie:

• Zapora musi być przypisana jako zapora Air-Gap w Sophos Central.
• Użycie Air-Gap musi być autoryzowane przez menedżera konta Sophos.
• Według Sophos, Air Gap jest przeznaczony dla sprzętowych zapór sieciowych.
• Środowisko nie może być po prostu tymczasowo offline, lecz musi być zaplanowane jako izolowane środowisko.
• Zapora nie może być używana z licencjonowaniem MSP-Flex w nieodpowiednim modelu.
• Potrzebny jest dostęp administracyjny do CLI i WebAdmin.
• Potrzebny jest bezpieczny sposób przesyłania plików licencyjnych i wzorców do izolowanego środowiska.

Przed realizacją należy udokumentować numer seryjny, model, konto Sophos Central, status licencji i odpowiedzialną osobę. W przypadku numerów seryjnych i podstaw licencyjnych pomocne są Aktywacja klucza licencyjnego Sophos Firewall i Znajdowanie numeru seryjnego Sophos Firewall.

Przegląd procesu

Proces Air-Gap składa się z kilku oddzielnych kroków. Jeśli któryś z nich zostanie pominięty, zapora nie będzie działać poprawnie w trybie Air-Gap.

Ważna jest kolejność. Sam plik licencyjny nie wystarczy, jeśli Air Gap nie został aktywowany na zaporze. Odwrotnie, polecenie CLI nic nie da, jeśli nie ma ważnego pliku licencyjnego Air-Gap z właściwego konta.

Pobieranie licencji Air-Gap

Plik licencyjny jest pobierany z Sophos Central. Typowa ścieżka to:

Sophos Central > Profil-Menü > Licensing > Firewall licenses > Download airgap license

Plik licencyjny powinien być traktowany z należytą ostrożnością po pobraniu i nie powinien być przechowywany w prywatnych pobraniach, komunikatorach czy niejasnych schowkach. Warto sporządzić krótki wewnętrzny dowód:

• Data pobrania
• Konto Sophos Central
• Dotknięta zapora lub grupa zapór
• Numery seryjne
• Osoba odpowiedzialna
• Planowany czas przesłania

Sophos zaleca, aby pobrana licencja Air-Gap została zastosowana w ciągu 30 dni. Jeśli plik zostanie użyty zbyt późno, należy pobrać nowy plik.

Aktywacja Air Gap na zaporze

Aby ręczna synchronizacja licencji była widoczna w WebAdmin, Air Gap musi być aktywowany na zaporze za pomocą CLI.

Procedura:

1. Zaloguj się do konsoli zapory lub przez SSH.
2. Wybierz 4 w konsoli Sophos, aby przejść do Device Console.
3. Wykonaj polecenie:

system airgap enable

Następnie w Administration > Licensing powinien być widoczny obszar Manual license synchronization.

Ten krok powinien być udokumentowany. W środowiskach produkcyjnych należy go uwzględnić w tym samym procesie zmiany co przesłanie pliku licencyjnego, aby później było jasne, kiedy Air Gap został aktywowany i który plik licencyjny do niego należy.

Przesyłanie licencji Air-Gap

Po aktywacji plik licencyjny jest wgrywany w WebAdmin.

Procedura:

1. Zaloguj się do WebAdmin Console.
2. Otwórz Administration > Licensing.
3. W obszarze Manual license synchronization wybierz Choose file.
4. Wybierz plik licencyjny Air-Gap.
5. Wgraj go za pomocą Update license.
6. Sprawdź status licencji i daty wygaśnięcia.

Po przesłaniu należy sprawdzić, czy oczekiwane subskrypcje są aktywne. Udana synchronizacja licencji nie zastępuje testu funkcjonalności. Jeśli używane są Web Protection, IPS, Zero-Day Protection lub inne moduły, muszą być one osobno sprawdzone pod kątem polityki, stanu wzorców, logowania i testów.

HA-Cluster: Zwróć uwagę na Initial Primary

W przypadku Active-Passive-HA licencjonowanie Air-Gap jest szczególnie delikatne. Plik licencyjny powinien być wgrany tylko na Initial Primary. To urządzenie musi być również aktualnym Primary podczas przesyłania.

Jeśli licencja zostanie wgrana na niewłaściwy węzeł, mogą wystąpić różnice w licencjach lub nieoczekiwane zachowanie HA. Dlatego dla działania jest to sensowne:

1. Przed przesłaniem sprawdź System services > High availability.
2. Udokumentuj Initial Primary i aktualną rolę.
3. Ustaw Initial Primary jako Preferred primary device.
4. Wgraj plik licencyjny na właściwy Primary.
5. Następnie sprawdź status HA i licencji.

Dla podstaw HA i logiki ról pasuje Konfiguracja High Availability na Sophos Firewall. W przypadku Air Gap ta praca przygotowawcza nie jest opcjonalna, ponieważ niewłaściwy węzeł może później powodować trudne do zrozumienia objawy licencyjne lub failover.

Ręczne wgrywanie aktualizacji wzorców

Bez automatycznych aktualizacji online wzorce muszą być świadomie zarządzane. Dotyczy to sygnatur, silników, klientów i innych komponentów aktualizacji. W środowiskach Air-Gap pobierany jest plik wzorców i wgrywany w WebAdmin.

Dla SFOS 22.0 i nowszych Sophos odsyła do pliku wzorców Air-Gap:

https://airgap.u2d.sophos.com/sfos_pattern_updates_v2.tar

Procedura:

1. Pobierz plik wzorców na przeznaczonym do tego systemie.
2. Przenieś plik do izolowanego środowiska za pomocą autoryzowanej ścieżki transferu.
3. Zaloguj się do zapory.
4. Otwórz Backup & firmware > Pattern updates > Manual pattern update.
5. Wybierz Choose file.
6. Wgraj plik wzorców.
7. Potwierdź przesłanie i sprawdź status aktualizacji.

W środowiskach HA wzorce są wgrywane na Primary i następnie synchronizowane z Auxiliary. Dlatego również tutaj najpierw należy sprawdzić status HA.

Kontrola stanu wzorców

Działanie w trybie Air-Gap jest tylko tak dobre, jak rutyna za nim stojąca. Nowe wzorce są regularnie dostępne. Jeśli zapora długo nie jest aktualizowana, wartość IPS, Antivirus, Application Signatures i innych funkcji ochronnych spada.

Praktyczna kontrola:

Dla ogólnej kontroli operacyjnej dodatkowo pasuje Właściwe korzystanie z Sophos Firewall Health Check. Tam Air Gap nie powinien być rozumiany jako wyjątek od higieny aktualizacji, lecz jako specjalny proces dla tej samej obowiązku: utrzymanie aktualności funkcji ochronnych.

Wygaśnięcie licencji i okno Incommunicado

Przy normalnej synchronizacji licencji 90 dni bez udanej synchronizacji jest krytyczne. Dla licencji Air-Gap obowiązuje dłuższe okno 180 dni. Po tym czasie subskrypcje bezpieczeństwa są dezaktywowane; Base Firewall i Enhanced Support pozostają aktywne.

Dla działania oznacza to:

• Najpóźniej od dnia 160 należy przygotować nowy plik licencyjny Air-Gap.
• Najpóźniej przy ostrzeżeniach należy zaplanować przesłanie.
• Po 180 dniach bez nowej licencji Air-Gap grozi dezaktywacja subskrypcji ochronnych.
• Ruch może nadal trwać, ale bez dotkniętych funkcji ochronnych.
• Stan powinien być kontrolowany przez WebAdmin, Alerts i licensing.log.

licensing.log jest szczególnie ważny przy problemach z licencją. Przegląd istotnych logów zapory znajduje się w Rozwiązywanie problemów z Sophos Firewall: Usługi i logi.

Co jest ograniczone w środowiskach Air-Gap

Air Gap oznacza, że usługi online nie działają jak w normalnie podłączonej zaporze. Niektóre funkcje nie są obsługiwane, inne tracą część swojej skuteczności.

Typowe ograniczenia:

Ten punkt jest często niedoceniany w projektach. Zapora Air-Gap nie może dostarczyć tej samej ochrony opartej na chmurze, co normalnie podłączona zapora. Dlatego przed projektowaniem należy zdecydować, które funkcje ochronne są niezbędne i jak skompensować brakujące funkcje online: wewnętrzne serwery DNS i NTP, ręczna rutyna wzorców, Syslog, lokalna dokumentacja i jasny proces wsparcia.

Ustalenie rutyny operacyjnej

Dla Air Gap potrzebny jest stały proces. W przeciwnym razie aktualizacje licencji i wzorców stają się zauważalne dopiero, gdy pojawi się ostrzeżenie lub moduł ochronny nie jest już aktualny.

Sensowna rutyna:

Aktualizacje oprogramowania pozostają osobnym procesem. Dla realizacji pasuje Przeprowadzanie aktualizacji oprogramowania Sophos Firewall, dla kopii zapasowej i odzyskiwania Tworzenie lub przywracanie kopii zapasowej Sophos Firewall.

Częste błędy

Wyjaśnienie Air Gap dopiero po instalacji

Air Gap powinien być wyjaśniony przed zakupem i instalacją. Jeśli zapora już działa w izolacji, ale nie ma odpowiedniej autoryzacji Air-Gap lub pliku licencyjnego, powstaje niepotrzebna presja.

Traktowanie aktualizacji wzorców jako opcjonalnych

Aktualizacje wzorców w środowiskach Air-Gap nie są mniej ważne, lecz bardziej pracochłonne operacyjnie. Bez rutyny funkcje ochronne starzeją się po cichu.

Ignorowanie roli HA przed przesłaniem licencji

W przypadku Active-Passive-HA Initial Primary musi być właściwym aktualnym Primary. W przeciwnym razie status licencji po failoverze lub przesłaniu może być niejasny.

Zakładanie funkcji chmurowych

Zero-Day Protection, Sophos Central Management, Online-Reputation, RED Online Provisioning lub Support Access nie powinny być cicho zakładane w projektach Air-Gap.

Zbyt późne reagowanie na ostrzeżenia licencyjne

Licencje Air-Gap mają okno 180 dni, ale proces nie powinien zaczynać się w ostatnim dniu. Pobieranie, transfer, autoryzacja zmiany i przesyłanie wymagają czasu.

Lista kontrolna

• Wyjaśniona autoryzacja Air-Gap z Sophos.
• Zapora przypisana do właściwego konta Sophos Central.
• Udokumentowany numer seryjny, model i status licencji.
• Zdefiniowany bezpieczny transfer plików do izolowanego środowiska.
• Wykonano i udokumentowano system airgap enable.
• Wgrano licencję Air-Gap w Administration > Licensing.
• W przypadku HA: sprawdzono Initial Primary, aktualny Primary i Preferred Primary.
• Pobranie i wgranie pliku wzorców w Backup & firmware > Pattern updates.
• Sprawdzenie statusu licencji, stanu wzorców i licensing.log.
• Ustalenie rutyny operacyjnej dla wzorców, pliku licencyjnego, statusu HA i okna aktualizacji oprogramowania.

FAQ