Przenoszenie licencji Sophos Firewall na urządzenie zastępcze

Podczas wymiany Sophos Firewall płatna subskrypcja musi zostać przeniesiona ze starego numeru seryjnego na nowy firewall. W Sophos Fusion (dawniej Sophos Central) operacja ta nazywa się Transfer subscriptions. Przenosi licencję, ale nie lokalną konfigurację ani rejestrację Central Management.

Przy typowej wymianie należy zachować następującą kolejność:

1. Sprawdzić stary i nowy numer seryjny, modele, konto Central oraz role HA.
2. Zabezpieczyć aktualny backup, hasło szyfrowania i Secure Storage Master Key.
3. Wykonać claim nowego firewalla na tym samym koncie Sophos Fusion.
4. W przypadku RMA sprawdzić oferowany transfer automatyczny; w przeciwnym razie użyć Transfer subscriptions.
5. Sprawdzić subskrypcję i datę wygaśnięcia na firewallu docelowym oraz zsynchronizować licencję w SFOS.
6. Oddzielnie odtworzyć konfigurację i przetestować działanie produkcyjne.

⚠️ Podczas transferu RMA Sophos ostrzega, że stary firewall stanie się bezużyteczny. Przed potwierdzeniem muszą więc zgadzać się numery seryjne, backup i plan przełączenia. Transfer licencji nie jest backupem konfiguracji.

Najpierw wybrać właściwy rodzaj transferu

Sophos Fusion udostępnia kilka podobnie nazwanych operacji. Rozwiązują one różne zadania:

• Transfer subscriptions przenosi płatne licencje między dwoma firewallami na tym samym koncie Central. Ten artykuł opisuje tę procedurę.
• Transfer firewalls przenosi przypisanie claim i licencji na inne konto Central. Do tego służy Przenoszenie Sophos Firewall na inne konto Sophos Fusion.
• Activate subscription aktywuje nowy Subscription Key. Procedurę opisuje Aktywacja klucza licencyjnego Sophos Firewall.
• Backup i restore przenoszą konfigurację SFOS. Są niezależne od transferu licencji.

Numer seryjny łączy sprzęt, claim i stan licencji. Przed każdym krokiem należy jednoznacznie udokumentować numery seryjne obu firewalli. Sama wyświetlana nazwa lub lokalizacja nie jest wystarczającą kontrolą przy podobnych urządzeniach.

Także bez HA płatna licencja już przypisana do numeru seryjnego niewłaściwego firewalla może wymagać przeniesienia na zamierzony numer seryjny.

Wymagania przed transferem

Operację wykonuje się na koncie Sophos Fusion Admin, na którym zgłoszono przez claim firewall źródłowy. Używane konto administratora musi wyświetlać Licensing > Firewall licenses i akcję transferu. Przed transferem ręcznym firewall docelowy musi zostać zgłoszony przez claim na tym samym koncie Central. Jeśli urządzenia znajdują się na różnych kontach albo zmienia się tylko właściciel, należy użyć Transfer firewalls, a nie transferu subskrypcji.

Sophos określa trzy stałe ograniczenia ręcznego transferu subskrypcji: firewalle muszą być tego samego modelu lub modelu uznanego przez Sophos za równoważny, nie można przenosić Evaluation Subscriptions, a urządzenia Hardware as a Service są wykluczone. Najpierw należy zapisać w Central wartości Features, Subscription, License ID i Expiry dla źródła. Dla docelowego numeru seryjnego sprawdza się claim, model i istniejące płatne subskrypcje.

Jeśli cel nie pojawia się pod Transfer to lub równoważność modeli jest niejasna, nie należy eksperymentować z innym numerem seryjnym ani drugim kontem. Najpierw trzeba porównać dokumenty licencyjne, oba numery seryjne oraz zlecenie RMA lub wymiany z partnerem Sophos albo Support.

Równolegle przygotowuje się migrację techniczną. Obejmuje ona aktualny backup Sophos Firewall z testem restore, wymagane certyfikaty, dane dostępowe WAN, lokalny dostęp do obu urządzeń, okno serwisowe oraz plan powrotu dla okablowania i konfiguracji. Firewall docelowy potrzebuje dostępu do Internetu, aby pobrać i zsynchronizować licencję. W HA przed krokiem licencyjnym trzeba ustalić Initial Primary, bieżący Primary i Auxiliary.

Ustalenie terminu i ryzyka przerwy

Transfer subscriptions przenosi płatne uprawnienie na docelowy numer seryjny. Dlatego tę akcję wykonuje się dopiero wtedy, gdy firewall docelowy jest gotowy i można go od razu sprawdzić. Claim, transfer licencji, restore i przełączenie kabli to oddzielne kroki; udany transfer w portalu nie przełącza ścieżki ruchu na urządzenie zastępcze.

Dla samego transferu w Central nie udokumentowano restartu. Całe przełączenie może jednak spowodować przerwę z powodu restore, innego mapowania portów, przełączenia WAN lub ponownej konfiguracji HA. Sophos wyraźnie ostrzega o downtime podczas odtwarzania active-passive HA po RMA. Okno serwisowe należy więc zaplanować dla całej wymiany urządzenia, a nie tylko operacji w portalu.

Ręczny transfer subskrypcji na firewall docelowy

Ta procedura pasuje do zwykłej wymiany sprzętu lub sytuacji, w której automatyczny transfer RMA nie jest oferowany. Po spełnieniu powyższych wymagań ta sama procedura ręczna służy również do skorygowania takiego błędnego przypisania bez HA: źródłem jest firewall, do którego licencję przypisano omyłkowo; celem jest zamierzony firewall.

1. Otworzyć ikonę profilu w Sophos Fusion.
2. Przejść do Licensing > Firewall licenses.
3. Wyszukać firewall źródłowy po numerze seryjnym i rozwinąć wiersz szczegółów.
4. Porównać Features, Subscription, License ID i Expiry z planowanym wynikiem.
5. Wybrać Transfer subscriptions.
6. W razie potrzeby zaznaczyć opcję wyświetlania także firewalli, które mają już płatne licencje.
7. Pod Transfer to wybrać firewall docelowy na podstawie zamierzonego numeru seryjnego. Przed kontynuowaniem ponownie porównać źródło i cel z runbookiem.
8. Potwierdzić przyciskiem Finish. Jeśli subskrypcje się nakładają, Central wyświetli dodatkowe okno potwierdzenia.
9. Ponownie wyszukać firewall docelowy, rozwinąć szczegóły i sprawdzić Features, Subscription, License ID oraz Expiry.

Istniejąca licencja na firewallu docelowym nie jest powodem do bezrefleksyjnego potwierdzenia komunikatu o nakładaniu. Najpierw trzeba ustalić, jakich okresów i modułów oczekuje się po transferze. Jeśli dane są sprzeczne, należy zatrzymać procedurę i wyjaśnić przypisanie licencji. Dopiero po sprawdzeniu, że oczekiwane okresy i moduły są prawidłowe i nie pozostały żadne sprzeczności, należy kliknąć Yes w oknie dotyczącym nakładania się subskrypcji, aby kontynuować transfer.

Wykonanie claim urządzenia zastępczego RMA i kontrola transferu licencji

W przypadku RMA rozpoznanego przez Sophos transfer licencji może zostać zaoferowany podczas zgłaszania urządzenia zastępczego przez claim. W Sophos Fusion należy otworzyć Licensing > Firewall licenses, wybrać Claim firewall, wprowadzić nowy numer seryjny i kliknąć Validate. Okno ostrzega, że licencja zostanie przeniesiona na urządzenie zastępcze, a starego firewalla nie będzie można już używać. Dopiero po sprawdzeniu obu numerów seryjnych potwierdza się transfer i wykonuje Claim firewall.

Automatyczne okno pojawia się tylko wtedy, gdy Central rozpozna pasujący przypadek RMA. Według pomocy SFOS 22 automatyczny transfer może nie nastąpić, jeśli dane rejestrujących się nie są zgodne, numer seryjny został błędnie zapisany w przypadku RMA, urządzenie zastępcze nie jest tego samego modelu albo urządzenie uszkodzone nie było zarejestrowane. Wtedy najpierw wykonuje się claim urządzenia zastępczego, a następnie kontrolowany ręczny transfer subskrypcji.

Po zakończeniu transferu RMA uszkodzone urządzenie zostaje wyrejestrowane. Przed odesłaniem uszkodzonego firewalla należy sprawdzić ten stan oraz szczegóły licencji firewalla zastępczego. Przy zwrocie obowiązują instrukcje dotyczące konkretnego zgłoszenia RMA. Jeśli konkretne zgłoszenie RMA wymaga zwrotu, Sophos musi otrzymać uszkodzony firewall w ciągu 15 dni od otrzymania urządzenia zastępczego przez klienta. Nadanie przesyłki w dniu 15 nie wystarczy; w przypadku opóźnionego lub niekompletnego zwrotu Sophos może wstrzymać przeniesienie subskrypcji lub naliczyć opłaty. Przed odesłaniem uszkodzonego firewalla należy wyjąć moduły SFP i Flexi-Port oraz odłączyć zestawy do montażu w szafie rack, zasilacze i kable. Pełną procedurę wymiany sprzętu, obejmującą diagnostykę, zgłoszenie do pomocy technicznej, odtworzenie konfiguracji i zwrot, opisuje artykuł Awaria sprzętu Sophos: przygotowanie do RMA i wymiany.

Zastosowanie płatnej licencji na istniejącym wirtualnym firewallu testowym

Sophos opisuje specjalną procedurę dla wirtualnego firewalla z numerem seryjnym Trial. Już działająca maszyna wirtualna pozostaje celem transferu; nowy numer seryjny otrzymany przy zakupie jest źródłem płatnych subskrypcji. Istniejącej maszyny wirtualnej nie zastępuje się więc nowo zainstalowanym urządzeniem wirtualnym.

1. Oddzielnie udokumentować numer seryjny Trial działającej maszyny wirtualnej oraz nowy numer seryjny z dokumentów zakupu. W instrukcji operacyjnej oznaczyć nowy numer seryjny jako Źródło, a istniejący numer seryjny Trial jako Cel.
2. Zgłosić nowo zakupiony firewall przez claim, używając jego nowego numeru seryjnego, na tym samym koncie Central, na którym zarejestrowany jest numer seryjny Trial.
3. Rozpocząć opisaną powyżej procedurę ręczną dla nowego numeru seryjnego. W polu Transfer to wybrać już działający wirtualny firewall z numerem seryjnym Trial, a nie odwrotnie. Przed potwierdzeniem przyciskiem Finish ponownie porównać oba numery seryjne z instrukcją operacyjną.
4. Po transferze sprawdzić szczegóły licencji dla dotychczasowego numeru seryjnego Trial i zsynchronizować licencję na działającej maszynie wirtualnej w Administration > Licensing. Płatne moduły i okresy ich ważności muszą tam odpowiadać stanowi docelowemu.

W tej procedurze subskrypcja ewaluacyjna nie jest przenoszona na inne urządzenie. Zamiast tego płatna subskrypcja trafia na istniejącą maszynę wirtualną, a nowy numer seryjny zgłoszony przez claim zostaje usunięty w trakcie tej operacji. Brak tego nowego wpisu po zakończeniu tej specjalnej procedury jest zatem oczekiwany i sam w sobie nie świadczy o niepowodzeniu transferu. Wirtualny firewall nie wymaga ponownej instalacji i nadal działa z przeniesionymi subskrypcjami.

Prawidłowe przypisanie licencji HA

Według Sophos w konfiguracji Active-Passive HA licencje należą do Initial Primary. Sama wyświetlana nazwa Primary nie wystarcza, ponieważ bieżąca rola może zmienić się po przełączeniu awaryjnym.

Jeśli licencje zostały omyłkowo przypisane do Auxiliary, należy najpierw udokumentować źródłowy numer seryjny tego błędnie licencjonowanego urządzenia oraz zamierzony docelowy numer seryjny urządzenia Initial Primary, niezależnie od bieżących ról HA, a następnie porównać te dane w SFOS i Central.

⚠️ Ta skrócona procedura korekty obowiązuje tylko wtedy, gdy bieżący Primary i Initial Primary są tym samym fizycznym urządzeniem. Jeśli są to różne urządzenia lub przypisanie jest niejasne, należy zatrzymać procedurę przed wyłączeniem HA lub transferem licencji i uzgodnić właściwy sposób postępowania z Sophos Support; nie wolno improwizować powrotnej zmiany ról.

Dopiero po jednoznacznym ustaleniu przypisania należy w zaplanowany sposób wyłączyć HA na bieżącym Primary, przenieść licencje w Central z udokumentowanego źródłowego numeru seryjnego na udokumentowany docelowy numer seryjny urządzenia Initial Primary, a następnie ponownie skonfigurować HA. Jest to planowana zmiana konfiguracji HA, a nie zwykły transfer online.

Przy RMA active-passive urządzenie zastępcze i sprawny węzeł muszą mieć ten sam build firmware przed ponownym zbudowaniem HA; najpierw sprawdza się model, rewizję i Initial Primary. Sophos ostrzega o przerwie podczas reimage, przepinania kabli i ponownej konfiguracji HA. Active-active i active-passive mają ponadto różne wymagania licencyjne. Należy zastosować właściwą procedurę z artykułu Warianty HA i licencjonowanie Sophos Firewall, a transferu nie używać do naprawy niejasnego stanu HA.

Walidacja licencji i urządzenia zastępczego

Po transferze należy porównać w Sophos Fusion wartości Features, Subscription, License ID i Expiry pod docelowym numerem seryjnym z wcześniej zapisanymi wartościami. Na firewallu sprawdza się stan licencji pod Administration > Licensing i w razie potrzeby uruchamia Synchronize. Numer seryjny, model, moduły i okresy muszą odpowiadać planowi, a wymagane moduły muszą być widoczne jako Subscribed.

Następnie przeprowadza się odbiór techniczny oddzielnie od kontroli licencji:

• Odtworzyć backup na planowanym firmware i modelu docelowym.
• Sprawdzić interfejsy, strefy, routing, DNS, NAT, reguły firewalla i połączenia VPN.
• Oddzielnie sprawdzić Central Management i Reporting; claim lub transfer licencji nie rejestruje tych usług automatycznie ponownie.
• Poczekać na synchronizację patterns i licencji, a następnie zweryfikować moduły ochronne kontrolowanym testem.
• W przypadku RMA potwierdzić, że uszkodzony firewall został wyrejestrowany.

Widoczna data wygaśnięcia w Central nie dowodzi działania ścieżki ruchu. Z kolei początkowo nieaktualny widok w SFOS nie oznacza automatycznie, że transfer się nie udał. Dopiero synchronizacja, szczegóły licencji i rzeczywisty test funkcjonalny dają razem wiarygodny odbiór.

Powrót i eskalacja

Przed przełączeniem kabli techniczną drogą powrotu jest zabezpieczony backup wraz z udokumentowanym poprzednim okablowaniem i dostępem lokalnym. Sophos nie dokumentuje transakcyjnego przycisku cofnięcia ani nie gwarantuje transferu odwrotnego dla Transfer subscriptions. Nie wolno więc utożsamiać powrotu konfiguracji z odwracalną operacją licencyjną.

Jeśli zwykła wymiana nie powiedzie się po transferze, stare urządzenie pozostawia się bez zmian do czasu wyjaśnienia przypisania licencji przez partnera lub Sophos Support; nie uruchamia się kolejnego transferu na próbę. Przy potwierdzonym RMA stare urządzenie jest po transferze bezużyteczne i wyrejestrowane, więc nie jest celem rollbacku licencji. Do eskalacji potrzebne są: konto Central, przypadek RMA lub Support, oba numery seryjne, modele i rewizje, szczegóły licencji przed i po oraz dokładny czas transferu.

Gdy transfer licencji nie działa

Brak firewalla docelowego na liście

Najpierw trzeba sprawdzić, czy nowy firewall został zgłoszony przez claim na tym samym koncie Central. Następnie sprawdza się model, numer seryjny, stan Evaluation i stan HWaaS. Brakującej lub niejasnej kombinacji modeli nie należy obchodzić przez użycie innego urządzenia jako celu pośredniego.

Automatyczny transfer RMA nie pojawia się

Należy porównać numer RMA oraz stary i nowy numer seryjny z przypadkiem Support. Jeśli rejestrujący, model lub rejestracja nie odpowiadają przypadkowi, może być potrzebny transfer ręczny. Nie wolno zwracać starego firewalla, dopóki claim, szczegóły licencji i wyrejestrowanie nie zostaną wyjaśnione.

Central pokazuje licencję, ale SFOS nie

Najpierw uruchomić Synchronize pod Administration > Licensing. Jeśli stan pozostaje nieprawidłowy, sprawdzić dostęp do Internetu, DNS, czas systemowy i licensing.log. Szczegółowa procedura znajduje się w Aktywacji i synchronizacji licencji Sophos Firewall.

Brak konfiguracji na urządzeniu zastępczym

Nie jest to błąd transferu licencji. Konfigurację trzeba przenieść oddzielnie przez backup i restore albo w ramach planowanej migracji. Odtwarzanie należy zatrzymać, jeśli brakuje zgodnego backupu, hasła i, gdy jest wymagany, Secure Storage Master Key.

FAQ