Przenoszenie licencji Sophos Firewall na urządzenie zastępcze
Podczas wymiany Sophos Firewall płatna subskrypcja musi zostać przeniesiona ze starego numeru seryjnego na nowy firewall. W Sophos Central operacja ta nazywa się Transfer subscriptions. Przenosi licencję, ale nie lokalną konfigurację ani rejestrację Central Management.
Przy typowej wymianie należy zachować następującą kolejność:
- Sprawdzić stary i nowy numer seryjny, modele, konto Central oraz role HA.
- Zabezpieczyć aktualny backup, hasło szyfrowania i Secure Storage Master Key.
- Wykonać claim nowego firewalla na tym samym koncie Sophos Central.
- W przypadku RMA sprawdzić oferowany transfer automatyczny; w przeciwnym razie użyć Transfer subscriptions.
- Sprawdzić subskrypcję i datę wygaśnięcia na firewallu docelowym oraz zsynchronizować licencję w SFOS.
- Oddzielnie odtworzyć konfigurację i przetestować działanie produkcyjne.
⚠️ Podczas transferu RMA Sophos ostrzega, że stary firewall stanie się bezużyteczny. Przed potwierdzeniem muszą więc zgadzać się numery seryjne, backup i droga odzyskiwania. Transfer licencji nie jest backupem konfiguracji.
Najpierw wybrać właściwy rodzaj transferu
Sophos Central udostępnia kilka podobnie nazwanych operacji. Rozwiązują one różne zadania:
- Transfer subscriptions przenosi płatne licencje między dwoma firewallami na tym samym koncie Central. Ten artykuł opisuje tę procedurę.
- Transfer firewalls przenosi przypisanie claim i licencji na inne konto Central. Do tego służy Przenoszenie Sophos Firewall na inne konto Sophos Central.
- Activate subscription aktywuje nowy Subscription Key. Procedurę opisuje Aktywacja klucza licencyjnego Sophos Firewall.
- Backup i restore przenoszą konfigurację SFOS. Są niezależne od transferu licencji.
Numer seryjny łączy sprzęt, claim i stan licencji. Przed każdym krokiem należy jednoznacznie udokumentować numery seryjne obu firewalli. Sama wyświetlana nazwa lub lokalizacja nie jest wystarczającą kontrolą przy podobnych urządzeniach.
Wymagania przed transferem
Firewall docelowy musi najpierw zostać zgłoszony przez claim na tym samym koncie Sophos Central. Sophos określa też trzy stałe ograniczenia ręcznego transferu subskrypcji: firewalle muszą być tego samego modelu lub modelu uznanego przez Sophos za równoważny, nie można przenosić Evaluation Subscriptions, a urządzenia Hardware as a Service są wykluczone.
Jeśli cel nie pojawia się pod Transfer to lub równoważność modeli jest niejasna, nie należy eksperymentować z innym numerem seryjnym ani drugim kontem. Najpierw trzeba porównać dokumenty licencyjne, oba numery seryjne oraz zlecenie RMA lub wymiany z partnerem Sophos albo Support.
Równolegle przygotowuje się migrację techniczną. Obejmuje ona aktualny backup Sophos Firewall z testem restore, wymagane certyfikaty, dane dostępowe WAN, okno serwisowe i plan powrotu. W HA przed krokiem licencyjnym trzeba ustalić Initial Primary, bieżący Primary i Auxiliary.
Ręczny transfer subskrypcji na firewall docelowy
Ta procedura pasuje do zwykłej wymiany sprzętu lub sytuacji, w której automatyczny transfer RMA nie jest oferowany:
- Otworzyć ikonę profilu w Sophos Central.
- Przejść do Licensing > Firewall licenses.
- Wyszukać firewall źródłowy po numerze seryjnym i rozwinąć wiersz szczegółów.
- Wybrać Transfer subscriptions.
- W razie potrzeby zaznaczyć opcję wyświetlania także firewalli, które mają już płatne licencje.
- Pod Transfer to wybrać firewall docelowy na podstawie nowego numeru seryjnego.
- Potwierdzić przyciskiem Finish. Jeśli subskrypcje się nakładają, Central wyświetli dodatkowe okno potwierdzenia.
- Ponownie wyszukać firewall docelowy, rozwinąć szczegóły i sprawdzić subskrypcję oraz okres obowiązywania.
Istniejąca licencja na firewallu docelowym nie jest powodem do bezrefleksyjnego potwierdzenia komunikatu o nakładaniu. Najpierw trzeba ustalić, jakich okresów i modułów oczekuje się po transferze. Jeśli dane są sprzeczne, należy zatrzymać procedurę i wyjaśnić przypisanie licencji.
Wykonanie claim urządzenia zastępczego RMA i kontrola transferu licencji
W przypadku RMA rozpoznanego przez Sophos transfer licencji może zostać zaoferowany podczas zgłaszania urządzenia zastępczego przez claim. W Sophos Central należy otworzyć Licensing > Firewall licenses, wybrać Claim firewall, wprowadzić nowy numer seryjny i kliknąć Validate. Okno ostrzega, że licencja zostanie przeniesiona na urządzenie zastępcze, a starego firewalla nie będzie można już używać. Dopiero po sprawdzeniu obu numerów seryjnych potwierdza się transfer i wykonuje Claim firewall.
Automatyczne okno pojawia się tylko wtedy, gdy Central rozpozna pasujący przypadek RMA. Według pomocy SFOS 22 automatyczny transfer może nie nastąpić, jeśli dane rejestrujących się nie są zgodne, numer seryjny został błędnie zapisany w przypadku RMA, urządzenie zastępcze nie jest tego samego modelu albo urządzenie uszkodzone nie było zarejestrowane. Wtedy najpierw wykonuje się claim urządzenia zastępczego, a następnie kontrolowany ręczny transfer subskrypcji.
Po zakończeniu transferu RMA uszkodzone urządzenie jest wyrejestrowywane. Przed zwrotem należy sprawdzić ten stan oraz szczegóły licencji firewalla zastępczego. Pełną procedurę sprzętową z diagnostyką, przypadkiem Support, restore i zwrotem opisuje Przygotowanie usterki sprzętowej Sophos, RMA i wymiany.
Zastosowanie płatnej licencji na istniejącym wirtualnym firewallu testowym
Sophos opisuje specjalną procedurę dla wirtualnego firewalla z numerem seryjnym Trial. Nowo zakupiony firewall należy zgłosić przez claim z nowym numerem seryjnym na tym samym koncie Central. Następnie płatne subskrypcje przenosi się z tego nowego numeru seryjnego na istniejący wirtualny firewall z numerem Trial.
Nie oznacza to przeniesienia Evaluation Subscription na inne urządzenie. Płatna subskrypcja trafia do istniejącej VM, a nowo zgłoszony numer seryjny jest usuwany w trakcie operacji. Wirtualnego firewalla nie trzeba więc instalować ponownie. Przed potwierdzeniem trzeba szczególnie dokładnie sprawdzić źródłowy i docelowy numer seryjny.
Prawidłowe przypisanie licencji HA
Według Sophos w active-passive HA licencje należą do Initial Primary. Jeśli zostały omyłkowo przypisane do Auxiliary, trzeba je przenieść na Initial Primary. Sama wyświetlana nazwa Primary nie wystarcza, ponieważ bieżąca rola może zmienić się po failover.
Active-active i active-passive mają różne wymagania licencyjne. Najpierw należy porównać numery seryjne, Initial Primary, bieżący stan i model licencji z Wariantami HA i licencjonowaniem Sophos Firewall. Transferu nie używa się jako próby naprawy niejasnego stanu HA.
Walidacja licencji i urządzenia zastępczego
Po transferze należy sprawdzić w Sophos Central oczekiwane subskrypcje i okresy pod docelowym numerem seryjnym. Na firewallu sprawdza się stan licencji pod Administration > Licensing i w razie potrzeby uruchamia Synchronize. Wymagane moduły muszą być widoczne jako aktywne lub Subscribed.
Następnie przeprowadza się odbiór techniczny oddzielnie od kontroli licencji:
- Odtworzyć backup na planowanym firmware i modelu docelowym.
- Sprawdzić interfejsy, strefy, routing, DNS, NAT, reguły firewalla i połączenia VPN.
- Oddzielnie sprawdzić Central Management i Reporting; claim lub transfer licencji nie rejestruje tych usług automatycznie ponownie.
- Poczekać na synchronizację patterns i licencji, a następnie zweryfikować moduły ochronne kontrolowanym testem.
- W przypadku RMA potwierdzić, że uszkodzony firewall został wyrejestrowany.
Widoczna data wygaśnięcia w Central nie dowodzi działania ścieżki ruchu. Z kolei początkowo nieaktualny widok w SFOS nie oznacza automatycznie, że transfer się nie udał. Dopiero synchronizacja, szczegóły licencji i rzeczywisty test funkcjonalny dają razem wiarygodny odbiór.
Gdy transfer licencji nie działa
Brak firewalla docelowego na liście
Najpierw trzeba sprawdzić, czy nowy firewall został zgłoszony przez claim na tym samym koncie Central. Następnie sprawdza się model, numer seryjny, stan Evaluation i stan HWaaS. Brakującej lub niejasnej kombinacji modeli nie obchodzi się przez wymyślony transfer pośredni.
Automatyczny transfer RMA nie pojawia się
Należy porównać numer RMA oraz stary i nowy numer seryjny z przypadkiem Support. Jeśli rejestrujący, model lub rejestracja nie odpowiadają przypadkowi, może być potrzebny transfer ręczny. Nie wolno zwracać starego firewalla, dopóki claim, szczegóły licencji i wyrejestrowanie nie zostaną wyjaśnione.
Central pokazuje licencję, ale SFOS nie
Najpierw uruchomić Synchronize pod Administration > Licensing. Jeśli stan pozostaje nieprawidłowy, sprawdzić dostęp do Internetu, DNS, czas systemowy i licensing.log. Szczegółowa procedura znajduje się w Aktywacji i synchronizacji licencji Sophos Firewall.
Brak konfiguracji na urządzeniu zastępczym
Nie jest to błąd transferu licencji. Konfigurację trzeba przenieść oddzielnie przez backup i restore albo w ramach planowanej migracji. Odtwarzanie należy zatrzymać, jeśli brakuje zgodnego backupu, hasła i, gdy jest wymagany, Secure Storage Master Key.