Transferir uma licença Sophos Firewall para um dispositivo de substituição
Quando uma Sophos Firewall é substituída, a subscrição paga tem de passar do número de série anterior para a nova firewall. No Sophos Central, esta operação chama-se Transfer subscriptions. Transfere a licença, mas não a configuração local nem o registo no Central Management.
Para uma substituição típica, segue-se esta ordem:
- Verificar os números de série antigo e novo, os modelos, a conta Central e as funções HA.
- Guardar um backup atual, a palavra-passe de encriptação e a Secure Storage Master Key.
- Fazer claim da nova firewall na mesma conta Sophos Central.
- Numa RMA, verificar a transferência automática proposta; caso contrário, utilizar Transfer subscriptions.
- Verificar a subscrição e a data de expiração na firewall de destino e sincronizar a licença no SFOS.
- Restaurar a configuração separadamente e testar o funcionamento em produção.
⚠️ Durante uma transferência RMA, a Sophos avisa que a firewall antiga ficará inutilizável. Por isso, os números de série, o backup e o caminho de recuperação têm de estar corretos antes da confirmação. Uma transferência de licença não é um backup de configuração.
Escolher primeiro a transferência correta
O Sophos Central disponibiliza várias operações com nomes semelhantes. Elas resolvem tarefas diferentes:
- Transfer subscriptions move licenças pagas entre duas firewalls na mesma conta Central. Este artigo explica esse procedimento.
- Transfer firewalls move a atribuição de claim e licença para outra conta Central. Para isso, utiliza-se Transferir Sophos Firewall para outra conta Sophos Central.
- Activate subscription ativa uma nova Subscription Key. O procedimento está descrito em Ativar uma chave de licença Sophos Firewall.
- Backup e restore transferem a configuração SFOS. São independentes da transferência da licença.
O número de série liga o hardware, o claim e o estado da licença. Antes de cada passo, é necessário documentar claramente os números de série de ambas as firewalls. O nome apresentado ou a localização não bastam como controlo quando os dispositivos são semelhantes.
Pré-requisitos antes da transferência
Primeiro é necessário fazer claim da firewall de destino na mesma conta Sophos Central. A Sophos também especifica três limites fixos para uma transferência manual de subscrições: as firewalls têm de ser do mesmo modelo ou de um modelo que a Sophos aceite como equivalente, as Evaluation Subscriptions não podem ser transferidas e os dispositivos Hardware as a Service estão excluídos.
Se o destino não aparecer em Transfer to ou a equivalência dos modelos não for clara, não se deve experimentar com outro número de série ou uma segunda conta. Primeiro é necessário comparar os documentos de licença, ambos os números de série e o pedido RMA ou de substituição com o parceiro Sophos ou o Support.
A migração técnica é preparada em paralelo. Isto inclui um backup atual da Sophos Firewall com teste de restore, os certificados necessários, as credenciais WAN, uma janela de manutenção e um plano de retorno. Em HA, é preciso identificar Initial Primary, Primary atual e Auxiliary antes do passo da licença.
Transferir manualmente a subscrição para a firewall de destino
Este procedimento é adequado para uma substituição normal de hardware ou quando a transferência RMA automática não é proposta:
- Abrir o ícone de perfil no Sophos Central.
- Aceder a Licensing > Firewall licenses.
- Procurar a firewall de origem pelo número de série e expandir a linha de detalhes.
- Selecionar Transfer subscriptions.
- Se necessário, ativar a opção para mostrar também firewalls que já tenham licenças pagas.
- Em Transfer to, selecionar a firewall de destino pelo novo número de série.
- Confirmar com Finish. Se as subscrições se sobrepuserem, o Central apresenta uma caixa de confirmação adicional.
- Procurar novamente a firewall de destino, expandir os detalhes e verificar a subscrição e o prazo.
Uma firewall de destino que já tenha uma licença não justifica confirmar cegamente a caixa de sobreposição. Primeiro tem de estar claro que prazos e módulos são esperados depois da transferência. Se as informações forem contraditórias, interrompe-se o procedimento e esclarece-se a atribuição da licença.
Fazer claim de uma substituição RMA e verificar a transferência
Numa RMA reconhecida pela Sophos, a transferência da licença pode ser proposta durante o claim do dispositivo de substituição. No Sophos Central abre-se Licensing > Firewall licenses, seleciona-se Claim firewall, introduz-se o novo número de série e clica-se em Validate. A caixa avisa que a licença será transferida para o dispositivo de substituição e que a firewall antiga deixará de poder ser utilizada. Só depois de verificar ambos os números de série se confirma a transferência e se executa Claim firewall.
A caixa automática só aparece se o Central reconhecer o caso RMA correspondente. Segundo a ajuda do SFOS 22, a transferência automática pode não ocorrer se os registantes não coincidirem, um número de série tiver sido registado incorretamente no caso RMA, o dispositivo de substituição não for do mesmo modelo ou o dispositivo avariado não estiver registado. Nesse caso, primeiro faz-se claim da substituição e depois executa-se de forma controlada a transferência manual das subscrições.
Depois de concluída a transferência RMA, o dispositivo avariado é desregistado. É necessário verificar este estado e os detalhes da licença da firewall de substituição antes da devolução. O procedimento completo de hardware com diagnóstico, caso de Support, restore e devolução está descrito em Preparar uma avaria de hardware Sophos, RMA e substituição.
Aplicar uma licença paga a uma firewall virtual Trial existente
A Sophos documenta um procedimento especial para uma firewall virtual com número de série Trial. Faz-se claim da firewall recém-adquirida com o novo número de série na mesma conta Central. Depois transferem-se as subscrições pagas desse novo número de série para a firewall virtual existente com o número de série Trial.
Isto não transfere a Evaluation Subscription para outro dispositivo. A subscrição paga passa para a VM existente e o novo número de série utilizado no claim é eliminado durante a operação. Assim, a firewall virtual não precisa de ser reinstalada. Antes da confirmação, os números de série de origem e destino devem ser verificados com especial cuidado.
Atribuir corretamente a licença HA
Em HA active-passive, segundo a Sophos, as licenças pertencem ao Initial Primary. Se tiverem sido atribuídas por engano ao Auxiliary, têm de ser transferidas para o Initial Primary. O nome apresentado Primary não basta, porque a função atual pode mudar após um failover.
Active-active e active-passive têm requisitos de licenciamento diferentes. Primeiro devem ser comparados os números de série, Initial Primary, estado atual e modelo de licença com Variantes HA e licenciamento da Sophos Firewall. Uma transferência não deve ser usada para tentar reparar um estado HA pouco claro.
Validar a licença e o dispositivo de substituição
Depois da transferência, verificam-se no Sophos Central as subscrições e os prazos esperados sob o número de série de destino. Na firewall, verifica-se o estado da licença em Administration > Licensing e, se necessário, executa-se Synchronize. Os módulos necessários têm de aparecer como ativos ou Subscribed.
Em seguida, realiza-se a aceitação técnica separadamente da verificação da licença:
- Restaurar o backup no firmware previsto e no modelo de destino.
- Verificar interfaces, zonas, routing, DNS, NAT, regras de firewall e ligações VPN.
- Verificar separadamente Central Management e Reporting; um claim ou transferência de licença não volta a registar automaticamente estes serviços.
- Aguardar a sincronização de patterns e da licença e verificar os módulos de proteção com um teste controlado.
- Numa RMA, confirmar que a firewall avariada está desregistada.
Uma data de expiração visível no Central não prova que o tráfego funciona. Por outro lado, uma indicação inicialmente desatualizada no SFOS não significa automaticamente que a transferência falhou. Só a sincronização, os detalhes da licença e um teste funcional real permitem em conjunto uma aceitação fiável.
Quando a transferência da licença não funciona
A firewall de destino não aparece na lista
Primeiro verifica-se se foi feito claim da nova firewall na mesma conta Central. Depois verificam-se o modelo, o número de série, o estado Evaluation e o estado HWaaS. Uma combinação de modelos ausente ou pouco clara não é contornada através de uma transferência intermédia inventada.
A transferência RMA automática não aparece
Comparam-se o número RMA e os números de série antigo e novo com o caso de Support. Se o registante, o modelo ou o registo não corresponderem ao caso, pode ser necessária uma transferência manual. A firewall antiga não deve ser devolvida até claim, detalhes da licença e desregisto estarem esclarecidos.
O Central mostra a licença, mas o SFOS não
Primeiro executa-se Synchronize em Administration > Licensing. Se o estado continuar incorreto, verificam-se o acesso à Internet, DNS, hora do sistema e licensing.log. O procedimento detalhado está em Ativar e sincronizar licenças Sophos Firewall.
Falta a configuração no dispositivo de substituição
Isto não é um erro de transferência de licença. A configuração tem de ser transferida separadamente por backup e restore ou como parte de uma migração planeada. A recuperação deve parar se não estiverem disponíveis um backup compatível, a palavra-passe e, quando necessário, a Secure Storage Master Key.