Gerir o licenciamento e as atualizações de padrões do Sophos Firewall em Air Gap

Um Sophos Firewall com SFOS 22 pode ser operado em ambientes altamente isolados sem acesso direto à internet. Este não é um modo offline normal, mas sim uma operação Air-Gap planeada com lógica de licença própria, sincronização manual e processo de atualização de padrões separado.

O ponto mais importante: Air Gap não é uma maneira de operar um firewall “sem internet” de forma casual. É necessário obter uma autorização adequada, um firewall de hardware associado, um processo de atualização claro e um controlo regular dos estados de licença e padrões. Caso contrário, o firewall pode continuar funcionando, mas as funções de proteção perdem sua atualidade ou as subscrições são desativadas.

Para a lógica geral de licenciamento, comece por Entender a Licença Base do Sophos Firewall. Este artigo concentra-se no caso especial de Air Gap.

Importante: uma licença Air-Gap não desconecta tecnicamente o firewall da internet. Se o firewall for conectado à internet mesmo com Air Gap ativado, ele volta a sincronizar as licenças online. Em ambientes Air-Gap reais, esse caminho de rede deve ser impedido ou controlado de forma consciente.

Quando o Air Gap é adequado

Air Gap é adequado apenas para ambientes onde o firewall é operado intencionalmente separado da internet. Exemplos típicos são redes altamente regulamentadas, ambientes de pesquisa, ambientes de defesa, segmentos de produção ou outras zonas onde conexões diretas com a nuvem ou atualizações não são permitidas.

Antes de decidir, deve-se separar três questões:

• O firewall realmente não pode ter acesso à internet?: Se o acesso controlado à internet for possível, a sincronização normal de licença e padrões geralmente é mais fácil e segura.
• Quem assumirá o processo de atualização manual?: Air Gap gera carga operacional. Ficheiros de licença e padrões devem ser mantidos conscientemente.
• Quais funções são perdidas ou enfraquecidas?: Algumas funções requerem serviços online, reputação, Sophos Fusion (anteriormente Sophos Central) ou resolução externa.

Air Gap não aumenta automaticamente a segurança. Ele reduz uma determinada superfície de conexão, mas transfere a responsabilidade para processos: download, verificação, transferência, upload, documentação e monitorização.

Pré-requisitos

Antes da instalação, deve-se esclarecer os seguintes pontos:

• O firewall deve ser associado como um firewall Air-Gap no Sophos Fusion.
• O uso de Air-Gap deve ser autorizado pelo Sophos Account Manager.
• Segundo a Sophos, Air Gap é destinado a firewalls de hardware.
• O ambiente não deve estar apenas temporariamente offline, mas deve ser planeado como um ambiente isolado.
• A rede isolada não pode conter firewalls com licença MSP Flex.
• É necessário acesso de administrador ao CLI e WebAdmin.
• É necessário um meio seguro de transferir ficheiros de licença e padrões para o ambiente isolado.

Antes da implementação, deve-se documentar o número de série, modelo, conta Sophos Fusion, estado da licença e pessoa responsável. Para números de série e fundamentos de licença, consulte Ativar chave de licença do Sophos Firewall e Encontrar número de série do Sophos Firewall.

Antes da ativação, deve também verificar se as regras em utilização de Web Server Protection (WAF) e Email Protection dependem de RBL e da reputação de IP, e documentar a proteção que deixará de estar disponível no registo da alteração. Se estas verificações forem essenciais para o modelo de segurança, não deve ativar Air Gap antes de ser aprovado um modelo de segurança revisto. Uma licença válida e padrões atualizados não tornam estas verificações online disponíveis offline.

Visão geral do processo

O processo Air-Gap consiste em várias etapas separadas. Se uma delas faltar, o firewall não estará corretamente em operação Air-Gap.

1. Associar a firewall ao Sophos Fusion: a firewall fica associada à conta correta.
2. Esclarecer a autorização Air-Gap com o Sophos Account Manager: a autorização Air-Gap tem de estar disponível.
3. Descarregar a licença Air-Gap no Sophos Fusion: o ficheiro fica disponível para transferência para o ambiente isolado.
4. Ativar Air Gap na Device Console da firewall: passa a estar visível Manual license synchronization.
5. Carregar o ficheiro de licença em Administration > Licensing: o estado da licença é atualizado localmente.
6. Aplicar atualizações de padrões em Backup & firmware > Pattern updates: os padrões de proteção são atualizados.
7. Monitorizar a expiração e os logs: WebAdmin, alertas e licensing.log ajudam a detetar antecipadamente a desativação ou padrões desatualizados.

A ordem é importante. Um ficheiro de licença sozinho não é suficiente se o Air Gap não foi ativado no firewall. Inversamente, o comando CLI não tem efeito se não houver um ficheiro de licença Air-Gap válido da conta correta.

Descarregar licença Air-Gap

Inicie sessão no Sophos Fusion e descarregue o ficheiro de licença por este caminho:

Sophos Fusion > Profile icon > Licensing > Firewall licenses > Download airgap license

O ficheiro de licença deve ser tratado com cuidado após o download e não deve ser colocado em downloads privados, mensageiros ou áreas de transferência incertas. É sensato um breve registo interno:

• Data do download
• Conta Sophos Fusion
• Firewall ou grupo de firewalls afetado
• Números de série
• Pessoa responsável
• Data planeada para upload

A Sophos estipula que uma licença Air-Gap descarregada deve ser aplicada dentro de 30 dias. Se esse prazo já tiver sido ultrapassado, é necessário descarregar um novo ficheiro.

Segundo a Sophos, um ficheiro de licença Air-Gap pode ser usado para vários firewalls da mesma conta Sophos Fusion. Mesmo assim, deve-se documentar internamente quais números de série foram atualizados com o mesmo ficheiro.

Ativar Air Gap no firewall

Para que a sincronização manual de licença seja visível no WebAdmin, o Air Gap deve ser ativado no firewall via CLI.

Procedimento:

1. Faça login na consola do firewall ou via SSH.
2. Na consola Sophos, selecione 4 para Device Console.
3. Execute o comando:

system airgap enable

Depois disso, a secção Manual license synchronization deve estar visível em Administration > Licensing.

Esta etapa deve ser documentada. Em ambientes produtivos, ela deve estar no mesmo Change que o upload do ficheiro de licença, para que mais tarde fique claro quando o Air Gap foi ativado e qual ficheiro de licença está associado.

Verificar o estado e sair de Air Gap de forma planeada

Após a ativação e antes de cada janela de licença, o comando seguinte mostra o estado Air Gap atual. O output é documentado com o número de série, a build do SFOS e o ficheiro de licença:

system airgap show

system airgap disable não é um passo de troubleshooting para um upload de licença falhado. O comando só deve ser usado numa saída planeada da operação Air Gap. Primeiro têm de ser preparados o caminho de Internet permitido, DNS e fonte de tempo, sincronização normal de licenças online, Pattern Updates e o estado de todas as subscriptions.

system airgap disable
system airgap show

A desativação não repõe um caminho de rede anteriormente bloqueado e não comprova uma sincronização online bem-sucedida. Depois da alteração verificam-se Administration > Licensing, estado dos patterns, licensing.log e módulos de proteção utilizados. Se a firewall continuar fisicamente isolada, o Air Gap não deve ser desativado apenas para alterar um indicador.

Carregar licença Air-Gap

Após a ativação, o ficheiro de licença é carregado no WebAdmin.

Procedimento:

1. Faça login na WebAdmin Console.
2. Abra Administration > Licensing.
3. Na secção Manual license synchronization, selecione Choose file.
4. Selecione o ficheiro de licença Air-Gap.
5. Carregue com Update license.
6. Verifique o estado da licença e as datas de validade.

Após o upload, confirme se as subscrições esperadas estão ativas. Uma sincronização bem-sucedida não substitui um teste funcional. Para Web Protection, IPS e outros módulos utilizáveis localmente, verifique separadamente políticas, patterns, logs e testes. Zero-Day Protection não faz parte desta validação porque não é suportado numa implementação Air Gap.

HA-Cluster: Atenção ao Initial Primary

Em HA ativo-passivo, o licenciamento Air-Gap é particularmente delicado. O ficheiro de licença só pode ser carregado no Initial Primary. Este dispositivo deve ser o Primary atual no momento do upload.

Se a licença for carregada no nó errado, podem surgir diferenças de licença ou comportamento inesperado de HA. Para a operação, é sensato:

1. Antes do upload, verifique System services > High availability.
2. Documente o Initial Primary e o papel atual.
3. Defina o Initial Primary como Preferred primary device.
4. Carregue o ficheiro de licença no Primary correto.
5. Depois, verifique o estado de HA e o estado da licença.

Para os fundamentos de HA e lógica de papéis, consulte Configurar Alta Disponibilidade no Sophos Firewall. No Air Gap, este trabalho preliminar não é opcional, pois o nó errado pode gerar sintomas de licença ou failover difíceis de entender mais tarde.

Aplicar atualizações de padrões manualmente

Sem atualizações automáticas online, os padrões devem ser mantidos conscientemente. Isso inclui assinaturas, motores, clientes e outros componentes de atualização. Em ambientes Air-Gap, um ficheiro de padrões é descarregado e carregado no WebAdmin.

Para SFOS 22.0 e versões mais recentes, a Sophos fornece um ficheiro .tar com os patterns de todos os módulos:

Abrir as orientações de seleção e download de patterns para SFOS 22

Para versões mais antigas do SFOS, selecione um ficheiro de padrões que corresponda explicitamente à versão instalada. Os pacotes Air-Gap dependem da versão; um pacote incorreto pode ser rejeitado ou atualizar o conjunto errado de componentes.

Procedimento:

1. Descarregue o ficheiro de patterns num sistema designado e mantenha-o inalterado.
2. Traga o ficheiro para o ambiente isolado através do caminho de transferência autorizado.
3. Faça login no firewall.
4. Abra Backup & firmware > Pattern updates > Manual pattern update.
5. Selecione Choose File e abra o ficheiro .tar descarregado.
6. Selecione Upload e confirme com OK.
7. Na lista, confira versão, última atualização bem-sucedida e estado de cada componente necessário.

Em ambientes HA, os padrões são carregados no Primary e depois sincronizados com o Auxiliary. Portanto, aqui também deve-se primeiro verificar o estado de HA.

As atualizações de padrões não contêm hotfixes. Se um hotfix for necessário em um ambiente Air-Gap, isso deve ser tratado separadamente com o Sophos Support ou dentro do processo de suporte planeado.

Use Configurar e verificar Pattern Updates no Sophos Firewall para selecionar e descarregar o pacote manual correto, interpretar os estados e distinguir estes pacotes do firmware APX, RED e SFOS. A automação apenas transporta padrões e não renova o ficheiro de licença Air Gap.

Automatizar a transferência de padrões

Esta automação requer um servidor ou computador com Apache, ou serviço equivalente de troca de ficheiros, acessível pelos firewalls na rede isolada. Não o exponha desnecessariamente: limite clientes e gravação, use o processo aprovado de transferência e verificação antimalware e registe hashes ou tamanhos nos dois lados da fronteira Air Gap. Os comandos abaixo usam HTTP e curl --insecure. Com uma URL HTTP, --insecure não traz benefício; com HTTPS, desativa a verificação do certificado. Isso não garante autenticidade nem confidencialidade: limite o mecanismo ao caminho de transferência isolado, verifique os ficheiros de forma independente e use HTTPS com certificado validado se o projeto suportado e aprovado permitir.

Obtenha o objeto de metadados e o pacote de padrões oficiais atuais. Como o anexo do script no Salesforce retorna atualmente HTML para uma solicitação não autenticada, obtenha o airgap_pattern_update.sh oficial atual por meio do Sophos Support, citando KBA-000006644; rejeite uma resposta HTML ou de login em vez de guardá-la como script. Coloque os três ficheiros verificados airgap_pattern_update.sh, sfos_pattern_updates_script.info e sfos_pattern_updates_script.tar em /var/www/html/. O payload e os metadados devem ser servidos com estes nomes:

/var/www/html/airgap_pattern_update.sh
/var/www/html/sfos_patterns_update.tar
/var/www/html/sfos_patterns_update.info

Aviso operacional: os nomes de pacote disponíveis são inconsistentes: aparecem tanto sfos_patterns_updates_script.info quanto sfos_pattern_updates_script.info, e alguns comandos mv podem indicar o ficheiro .info como origem de sfos_patterns_update.tar. Esses comandos não criariam corretamente o payload tar necessário. Não os execute às cegas nem os corrija silenciosamente. Inspecione os ficheiros descarregados e confirme os tipos e conteúdos; depois associe a origem .tar a sfos_patterns_update.tar e a .info a sfos_patterns_update.info. Pare e consulte o Sophos Support se nomes, tipos ou conteúdos não coincidirem.

Na cópia do servidor de airgap_pattern_update.sh, defina PATTERN_URL como http://<server ip address>/sfos_patterns_update.tar e INFO_URL como http://<server ip address>/sfos_patterns_update.info. Substitua apenas o placeholder pelo endereço aprovado, preserve uma cópia revisada e confirme que ambas as URLs retornam os ficheiros corretos, não HTML de erro ou login.

Em cada firewall, abra Device Management > Advanced Shell e execute:

cd /content
curl --insecure http://<server ip address>/airgap_pattern_update.sh -o /content/airgap_pattern_update.sh
sh /content/airgap_pattern_update.sh > /log/airgap.log 2>&1 &
ps -w | grep airgap
tail -f /log/airgap_pattern_update.log

Substitua apenas <server ip address>. O valor padrão WAIT consulta a cada 24 horas; altere-o somente depois de documentar a carga e o intervalo resultantes. Execute a instalação uma vez por firewall. Em HA, ao contrário do upload manual acima, instale e inicie a automação em Primary e Secondary.

Aviso operacional: trate estes comandos como não validados para o seu modelo de firewall e build do SFOS. Execute-os apenas por meio de uma mudança aprovada, monitorize o resultado e esteja preparado para parar o processo. Confirme o PID com ps, verifique /log/airgap.log para erros de início e /log/airgap_pattern_update.log para atividade e depois versões, Last successful update e Success em Backup & firmware > Pattern updates. Em HA, verifique ambos os processos e a integridade HA.

Antes de alterar ficheiros, URLs ou WAIT, preserve o script funcional, metadados, detalhes do payload e baseline dos logs. Se a validação falhar, pare o processo em segundo plano pelo procedimento aprovado, restaure as cópias revisadas e use o upload manual durante a investigação. Um ficheiro antigo não é rollback do produto; não inicie processos duplicados nem conclua sucesso apenas pelo curl.

Verificar o estado dos padrões

Uma operação Air-Gap é tão boa quanto a rotina por trás dela. A Sophos normalmente disponibiliza novos padrões semanalmente. Se o firewall não for atualizado por muito tempo, o valor do IPS, Antivirus, Assinaturas de Aplicação e outras funções de proteção diminui.

Em instalações Air-Gap, o Sophos Firewall atualiza assinaturas IPS e de aplicações em conjunto, mesmo que o IPS não esteja ativado. Isso não substitui a verificação de que a subscription correspondente está ativa e que a função de proteção é usada nas políticas.

Um ficheiro aceite não é prova completa de sucesso. Com Success, Current version, Available version e Last successful update devem ser plausíveis para os componentes necessários. Não use um ficheiro antigo como rollback. Se o SFOS rejeitar o pacote, descarregue-o novamente para SFOS 22, verifique build, tamanho ou transferência e carregue-o sem alterações.

Controle prático:

• Versões atuais dos padrões: Backup & firmware > Pattern updates
• Última atualização bem-sucedida: Backup & firmware > Pattern updates
• Estado da atualização: Ready to install, Downloading, Success ou Failed
• Estado da licença: Administration > Licensing
• Avisos de licença e desativação: licensing.log

Para uma verificação geral de operação, consulte também Usar corretamente o Health Check do Sophos Firewall. Lá, o Air Gap não deve ser entendido como uma exceção à higiene de atualização, mas como um processo especial para a mesma obrigação: manter as funções de proteção atualizadas.

Expiração de licença e janela Incommunicado

Na sincronização normal de licença, 90 dias sem sincronização bem-sucedida são críticos. Para licenças Air-Gap, aplica-se uma janela mais longa de 180 dias. É necessário descarregar e carregar um novo ficheiro de licença antes da expiração, caso contrário as subscrições de segurança são desativadas. Não se pode garantir de forma geral que o direito a Enhanced Support permaneça válido após a expiração da licença Air-Gap: verificar separadamente a subscrição de suporte efetiva e o direito a RMA, e esclarecer as dúvidas com a administração autorizada da conta ou com o Sophos Support. Carregar uma licença não renova um contrato de suporte pago. O ciclo de 180 dias não é o prazo de renovação de 90 dias do caso de suporte Active-Passive documentado; a distinção é explicada em Base License e expiração do suporte.

Para a operação, isso significa:

• Após 160 dias, o SFOS mostra um alerta com os 20 dias restantes; prepare o novo ficheiro de licença Air-Gap até esse momento.
• No máximo ao receber alertas, o upload deve ser planeado.
• Após 180 dias sem uma nova licença Air-Gap, há risco de desativação das subscrições de proteção.
• O tráfego pode continuar, mas sem as funções de proteção afetadas.
• O estado deve ser monitorizado via WebAdmin, Alertas e licensing.log.

Uma sincronização bem-sucedida reinicia esta janela de incommunicado. Depois do upload, não basta o alerta desaparecer: as subscrições esperadas e as datas de expiração devem aparecer corretamente em Administration > Licensing.

licensing.log é particularmente importante em problemas de licença. Uma visão geral dos logs relevantes do firewall está em Solução de Problemas do Sophos Firewall: Serviços e Logs.

O que é limitado em ambientes Air-Gap

Air Gap significa que os serviços online não funcionam como em um firewall normalmente conectado. Algumas funções não são suportadas, outras perdem parte de sua eficácia.

Limitações típicas:

• Gestão Sophos Fusion: gestão central e Synchronized Security não são utilizáveis como em ambientes online
• DNS Dinâmico: requer conexão com a internet
• NTP Externo: os servidores de hora da internet não estão disponíveis. Preveja um servidor NTP interno acessível para sincronizar a hora.
• FQDN: útil apenas com resolução DNS interna
• Ajuda online: não disponível sem acesso à internet
• Provisionamento Online RED: requer provisionamento online
• Email Protection: Anti-spam, RDNS, SPF, RBL e reputação IP não estão disponíveis; análise de malware, encaminhamento de e-mail, filtro de ficheiro MIME e encriptação SPX podem continuar funcionando
• Web Server Protection (WAF): Real-time Blackhole List (RBL) e a reputação de IP também não estão disponíveis em operação Air Gap. Esta limitação não afeta apenas Email Protection.
• Sophos Anti-Virus Live Protection: consultas SXL2 Live não funcionam sem conexão online
• Chromebook Authentication e SMS Gateway: requerem serviços online e não combinam com Air Gap clássico
• Web e Categorização de URL: categorização web, Micro Apps Discovery e CASB Lite oferecem proteção apenas com base em categorias personalizadas locais e assinaturas. Isso não equivale a uma categorização offline completa.
• Zero-Day Protection: não é suportado na operação Air Gap; uma licença válida ou padrões atuais não alteram essa limitação.
• Acesso ao Suporte: acesso remoto ao suporte não está disponível em redes isoladas

Este ponto é frequentemente subestimado em projetos. Um firewall Air-Gap não pode fornecer a mesma eficácia de proteção baseada em nuvem que um firewall normalmente conectado. Portanto, antes do design, deve-se decidir quais funções de proteção são essenciais e como as funções online ausentes serão compensadas: servidores DNS e NTP internos, rotina manual de padrões, Syslog, documentação local e processo de suporte claro.

Estabelecer rotina operacional

Para o Air Gap, é necessário um procedimento fixo. Caso contrário, as atualizações de licença e padrões só se tornam evidentes quando um aviso aparece ou um módulo de proteção não está mais atualizado.

Rotina sensata:

• Semanalmente ou conforme risco interno: Verificar, descarregar e aplicar ficheiro de padrões
• Mensalmente: Documentar estado dos padrões, estado da licença, estado de HA e alertas
• No máximo a partir do dia 160: preparar novo ficheiro de licença Air-Gap do Sophos Fusion
• Após cada upload: Verificar estado da licença, estado dos padrões, módulos de proteção relevantes e sincronização de HA
• Em cada janela de firmware: Planear processo Air-Gap, backup, padrões e rollback em conjunto

Atualizações de firmware permanecem um processo próprio. Para a execução, consulte Realizar atualização de firmware do Sophos Firewall, para backup e recuperação Criar ou restaurar backup do Sophos Firewall.

Se um upload falhar

Perante uma licença rejeitada, compare primeiro system airgap show, número de série, conta Sophos Fusion, data do download e função do nó HA. Não tente novamente um ficheiro com mais de 30 dias; descarregue um novo no Sophos Fusion. Em HA, o Initial Primary continua a ser o único nó de upload; usar o outro nó não é uma solução alternativa.

Se o upload Air Gap em HA ativo-passivo falhar no SFOS 22.0 GA, o firmware é relevante: a Sophos indica que o problema foi corrigido no 22.0 MR1 (NC-169474). Para o contexto do MR2 sobre SAVI/AVIRA (NC-180066) e um serviço eBPF bloqueado após uma atualização de padrões (NC-177769), consulte Sophos Firewall v22 MR2. Use o guia de atualização de firmware do Sophos Firewall para decidir se deve atualizar antes de novas tentativas; estes IDs não explicam todas as falhas.

Para uma falha de patterns, registe componente, versões, hora e estado e recolha os logs em Diagnostics > Tools > Troubleshooting logs. Para falhas de licença, licensing.log é um dos ficheiros relevantes. Se a causa continuar incerta, envie esses dados, número de série e build SFOS ao Sophos Support. Reiniciar um serviço ou executar system airgap disable sem diagnóstico esconde o estado inicial.

Erros comuns

Resolver Air Gap apenas após a instalação

Air Gap deve ser resolvido antes da aquisição e instalação. Se o firewall já estiver operando isoladamente em produção, mas não houver autorização ou ficheiro de licença Air-Gap adequado, isso gera pressão desnecessária.

Tratar atualizações de padrões como opcionais

Atualizações de padrões não são menos importantes em ambientes Air-Gap, mas sim operacionalmente mais trabalhosas. Sem rotina, as funções de proteção envelhecem silenciosamente.

Ignorar o papel de HA antes do upload de licença

Em HA ativo-passivo, o Initial Primary deve ser o Primary atual correto. Caso contrário, o estado da licença pode se tornar incerto após failover ou upload.

Presumir funções de nuvem

Zero-Day Protection, Sophos Fusion Management, Online Reputation, RED Online Provisioning ou Support Access não devem ser planeados silenciosamente em designs Air-Gap.

Lidar com avisos de licença tarde demais

Licenças Air-Gap têm uma janela de 180 dias, mas o processo não deve começar no último dia. Download, transferência, autorização de mudança e upload levam tempo.

Lista de verificação

• Autorização Air-Gap resolvida com a Sophos.
• Firewall associado na conta correta do Sophos Fusion.
• Número de série, modelo e estado da licença documentados.
• Transferência segura de ficheiros para o ambiente isolado definida.
• system airgap enable executado e documentado.
• Licença Air-Gap carregada em Administration > Licensing.
• Em HA: Initial Primary, Primary atual e Preferred Primary verificados.
• Ficheiro de padrões descarregado e carregado em Backup & firmware > Pattern updates.
• Estado da licença, estado dos padrões e licensing.log verificados.
• Rotina operacional para padrões, ficheiro de licença, estado de HA e janela de firmware estabelecida.

FAQ