Exportar e importar seletivamente a configuração do Sophos Firewall

Em Backup and firmware > Import export, o Sophos Firewall pode exportar a configuração completa ou uma parte selecionada. O export pode ser analisado num sistema de administração protegido, alterado de forma controlada e novamente importado como ficheiro .tar. Isto é adequado para alterações de objetos claramente delimitadas, migrações e alterações em massa documentadas.

No entanto, um import não é um restore. Não substitui toda a configuração atual, mas adiciona novas definições e substitui as definições correspondentes do pacote importado. As definições não incluídas permanecem. Por isso, antes de cada import em produção são necessários um backup completo da firewall com palavra-passe e SSMK, um percurso alternativo de gestão e um plano de testes.

⚠️ Importante: Entities.xml pode conter palavras-passe, secrets, utilizadores, objetos de rede, regras e outros dados sensíveis. Processar os ficheiros apenas num sistema de administração fiável, não os distribuir por armazenamento cloud ou serviços de mensagens não controlados e arquivá-los ou eliminá-los de forma protegida após a alteração.

Executar um import seletivo em dez passos

1. Registar o objetivo, os tipos de objeto afetados e as alterações esperadas.
2. Criar um backup completo para restore e verificar a palavra-passe e o Secure Storage Master Key.
3. Registar firmware de destino, versão dos patterns, plataforma, número de portas e compatibilidade do modelo.
4. Em Backup and firmware > Import export, selecionar Export selective configuration.
5. Selecionar apenas os tipos de configuração necessários e incluir conscientemente as dependências.
6. Guardar de forma protegida o ficheiro .tar exportado e mantê-lo inalterado como referência.
7. Extrair o pacote, verificar Entities.xml e alterar apenas os campos planeados.
8. Voltar a empacotar Entities.xml e os ficheiros auxiliares existentes, sem alterar os nomes, como .tar.
9. Importar o pacote numa janela de manutenção e introduzir o SSMK se houver informação sensível.
10. Verificar objetos, políticas dependentes, Firewall Rule ID esperada, logs e tráfego real.

Se o import mostrar um âmbito inesperado, faltar uma dependência ou a compatibilidade da plataforma de destino não for clara, não se importa em produção. O pacote exportado inalterado serve para comparação e o backup completo como percurso de recuperação.

Não confundir import/export com backup

Um backup completo representa a firewall como pacote de recuperação. Durante um restore substitui a configuração atual, ativa o endereço de gestão incluído no backup e reinicia a firewall. A área de import/export trabalha, pelo contrário, com objetos de configuração:

• As novas definições do pacote são adicionadas.
• As definições existentes correspondentes são atualizadas com os valores importados.
• As definições não incluídas no pacote permanecem inalteradas.
• Um import seletivo não remove automaticamente objetos antigos nem valores anteriores fora do objeto importado.
• Um import bem-sucedido não prova que todas as dependências existem nem que o percurso do tráfego funciona.

Para substituição de hardware, reimage, recuperação completa ou uma grande mudança de modelo, backup e restore continuam a ser o processo principal. Import/export adequa-se quando o âmbito está claramente limitado, as dependências são compreendidas e o efeito pode ser validado individualmente.

Preparar o export

Definir âmbito e dependências

Em Export selective configuration, selecionam-se os tipos de configuração necessários. Include dependent entity inclui objetos dependentes. Esta opção é útil, mas não substitui a revisão do conteúdo.

Um exemplo é uma regra de firewall que referencia hosts, serviços, schedule, Web Policy ou objetos NAT. Se apenas a regra for exportada, podem faltar dependências na firewall de destino ou apontar para objetos com nomes diferentes. Antes do export, documentar:

• qual o objeto principal a alterar ou transferir;
• quais os hosts, redes, serviços, grupos, perfis e políticas que dependem dele;
• quais os objetos com o mesmo nome que já existem no destino;
• quais os fluxos produtivos que podem ser afetados após o import;
• como será reposto o estado anterior.

Existe uma exceção documentada para configurações RED: REDDevice não exporta automaticamente a configuração de servidor DHCP necessária, mesmo com Include dependent entity ativado. Selecionar também DHCPServer ou recriar o servidor DHCP de forma controlada após o import.

Verificar versão e plataforma de destino

A Sophos suporta import para a mesma versão de firmware ou uma posterior. A versão dos patterns da firewall de destino também tem de ser igual ou posterior. Se for anterior, atualizar primeiro os patterns e depois voltar a planear o import.

As configurações seletivas só podem ser transferidas de um modelo inferior para o mesmo modelo ou para um modelo superior compatível. O destino precisa de pelo menos o mesmo número de portas Ethernet. Se os nomes das portas ou as funções da plataforma forem diferentes, esclarecer previamente o mapeamento. Para estas migrações, o Backup Restore Assistant é muitas vezes mais adequado do que uma alteração XML manual.

Os modelos wireless têm limites adicionais para LocalWiFi, bandas de frequência, SSID, Security Modes antigos, TKIP e atribuições de bridge. Um import parcial bem-sucedido não significa que toda a configuração wireless foi transferida. Verificar a configuração de destino objeto a objeto.

Classificar SSMK e informação sensível

O Secure Storage Master Key não é introduzido durante o export. No import posterior é, porém, decisivo quando o pacote contém palavras-passe, secrets, chaves ou configurações dependentes.

• Noutra firewall, ou após Factory Reset ou reimage, introduzir o SSMK correspondente ao export.
• Sem o SSMK correto, o SFOS pode importar o restante, mas a informação sensível e as configurações dependentes perdem-se.
• Se o export não contiver informação sensível, não é necessário SSMK.
• Um import sem mensagem de erro não prova, portanto, que todos os secrets e dependências foram transferidos.

O SSMK não é guardado com o ficheiro exportado. Proteger separadamente export, backup completo, palavra-passe do backup e SSMK, mas associá-los inequivocamente à mesma firewall e ao mesmo período para recuperação.

Verificar e adaptar o pacote exportado em segurança

Compreender o conteúdo do pacote

Após o export fica disponível um ficheiro .tar. Um pacote sem informação sensível pode conter apenas Entities.xml. Em configurações sensíveis contém também:

• hashFile.json
• propertyfile

Extrair o pacote para um diretório de trabalho próprio:

tar -xvf <ficheiro-export>.tar

Não mudar o nome de Entities.xml. Se existirem hashFile.json e propertyfile, conservar também estes ficheiros e voltar a incluí-los. Um export de ficheiros não é um formato adequado para operações globais de pesquisa e substituição não controladas.

Preparar alterações rastreáveis

Para relatórios, comparações e preparação estruturada, o Sophos Firewall Config Studio pode analisar Entities.xml localmente no browser. Também aí se aplica: rever a configuração gerada antes de a importar. Interfaces, zonas, NAT, VPN, Device Access, Authentication, certificados e HA requerem especialmente uma validação própria.

Antes de uma alteração manual, copiar o Entities.xml inalterado. Depois, alterar apenas os valores planeados e rever o diff face ao original. Não reconstruir por suposição nomes de elementos, IDs, referências ou nomes de ficheiros. Se o significado de um campo não for claro, o processo termina antes do import.

Voltar a empacotar os ficheiros como TAR:

tar -cvf <ficheiro-import>.tar Entities.xml hashFile.json propertyfile

Se o export original continha apenas Entities.xml, empacotar apenas esse ficheiro. Não inventar ficheiros auxiliares vazios nem tomá-los de outro export.

Importar a configuração

1. Manter aberta uma sessão Full Admin existente e um percurso de gestão alternativo.
2. Confirmar janela de manutenção, ficheiro de backup, palavra-passe, SSMK e decisão de rollback.
3. Abrir Backup and firmware > Import export.
4. Em Import file, selecionar exclusivamente o pacote .tar preparado.
5. Iniciar Import e introduzir o SSMK correto quando o SFOS o solicitar.
6. Documentar integralmente o sucesso, os avisos e os objetos rejeitados.
7. Antes de outros imports, validar primeiro o efeito deste pacote.

Para uma alteração, vários pacotes pequenos e logicamente separados são normalmente mais seguros do que um import grande e inespecífico. Tornam mais compreensíveis o âmbito do erro, as dependências e o percurso de recuperação. É uma decisão operacional, não uma garantia de que objetos arbitrários possam ser importados de forma independente.

Para automação recorrente em SFOS 22.0 MR2 ou posterior, usar o processo separado exportar e importar configuração pela API do Sophos Central. O import local no WebAdmin continua relevante para alterações manuais específicas e uma verificação independente.

Validar completamente o import

A validação começa no objeto e termina no percurso de tráfego real:

1. Abrir no WebAdmin os objetos importados e os respetivos valores.
2. Verificar hosts, serviços, grupos, perfis e políticas dependentes.
3. Para palavras-passe, secrets ou chaves, testar a função, não apenas a linha visível do objeto.
4. Abrir a regra de firewall, NAT, web, VPN ou Authentication afetada e verificar ordem e referências.
5. Executar um teste positivo e um negativo controlados.
6. No Log Viewer, comparar Firewall Rule ID, Action, utilizador, Source, Destination e Service esperados.
7. Em HA, verificar separadamente o estado do cluster e o funcionamento após uma mudança de função planeada; não presumir continuidade das sessões.
8. Documentar Audit Trail, hora, ficheiro de import, resultado dos testes e decisão de rollback.

Para uma validação de políticas em várias camadas, consultar Testar sistematicamente regras de firewall. Em erros de import podem ser relevantes apiparser.log, validation.log, validationError.log, applog.log e o log do serviço correspondente. Serviços e logs do Sophos Firewall mostra a correspondência.

Delimitar erros típicos em segurança

O import indica uma versão incompatível

Comparar firmware ativo, versão do export e estado dos patterns em ambas as firewalls. Não tentar adaptar uma firewall de destino mais antiga através de alterações XML manuais. Primeiro estabelecer um estado de firmware e patterns suportado ou redesenhar o percurso de migração.

Faltam objetos apesar de um import bem-sucedido

Verificar se foi usado Include dependent entity e quais as dependências reais do tipo de objeto. Para RED, verificar também DHCPServer. Não ocultar dependências em falta com objetos substitutos amplos ou Any.

Faltam utilizadores, OTP ou secrets

Os utilizadores autenticados externamente que apareceram localmente de forma automática no login não são exportados como utilizadores criados manualmente. Para MFA, OTPSettings exporta as definições; OTPTokens contém apenas tokens emitidos para utilizadores locais criados manualmente. Verificar também SSMK e destino do import.

Se faltar informação sensível, não colocar simplesmente um novo secret sobre o objeto existente. Primeiro determinar se a causa é um SSMK incorreto, um export sem proteção SSMK ou uma identidade externa não exportável. Depois, testar o efeito de utilizadores e grupos com um novo login. O lifecycle das contas está em Criar e gerir utilizadores locais.

O ficheiro TAR é rejeitado

Verificar nomes e conteúdo do pacote. O SFOS espera um ficheiro .tar; Entities.xml não pode ser renomeado. Os ficheiros existentes hashFile.json e propertyfile têm de vir do mesmo export. Não mudar simplesmente o nome de um ficheiro ZIP para .tar.

O import foi bem-sucedido, mas o tráfego não funciona

Verificar referências de objetos, zonas, ordem das regras, NAT, routing, contexto de utilizador/grupo e Firewall Rule ID esperada. Um estado verde de import confirma apenas a operação de configuração, não o efeito funcional.

Rollback e checklist

Um import seletivo não tem um botão universal para desfazer. Em pequenas alterações de objetos completamente documentadas, os valores anteriores podem ser repostos de forma controlada. Se o âmbito ou as dependências não forem claros, usar o percurso completo de restore preparado.

Antes da conclusão, todos os pontos seguintes têm de estar cumpridos:

• backup completo, palavra-passe e SSMK estão disponíveis;
• pacote exportado inalterado e versão editada estão arquivados separadamente;
• versão de destino, patterns e compatibilidade do modelo estão confirmados;
• apenas foram importados os objetos e dependências necessários;
• avisos e objetos parciais falhados foram analisados;
• secrets e funções dependentes foram testados na prática;
• tráfego positivo e negativo de produção atinge a regra esperada;
• logs e Audit Trail correspondem à alteração;
• em HA foi verificado o estado de ambos os nós;
• as cópias de trabalho não ficam desprotegidas no sistema de administração.

Perguntas frequentes