Förstå Sophos Firewall Base License

Sophos Firewall Base License är grunden för en Sophos Firewall. Den besvarar däremot bara grundfrågan: Är denna firewall-instans i grunden registrerad och tilldelad licensmässigt? Det är inte samma sak som en supportlicens, ett Security Bundle eller en enskild skydds-Subscription.

Just denna skillnad är viktig i drift. En firewall kan ha en synlig Base License och ändå vara begränsad när det gäller firmwareuppdateringar, support, RMA, Sophos Central Firewall Management eller vissa säkerhetsfunktioner. Den här guiden förklarar hur man ska bedöma Base License, var man kontrollerar den och vilka punkter som inte bör förbises före uppdateringar, renewals, HA-planering eller supportärenden.

Vilken licensartikel passar?

Licensfrågor låter ofta lika, men leder till olika beslut. Den här artikeln passar när man behöver bedöma en synlig Base Firewall i licensvyn och förstå vad den innebär för support, firmware, HA, Central och Security-Subscriptions.

För angränsande frågor passar andra guider bättre: modellval och prestandaklass hör hemma i Sophos Firewall Sizing Guide, bundle-beslut i artikeln om Sophos Firewall Bundles, isolerade firewalls i processen för Air-Gap-licensiering och Pattern-Updates, kontobyten i artikeln om Sophos Fusion-transfer och hårdvarufrågor i genomgången av XG, XGS Appliance, EOL och migrering. För att ta med en befintlig SG- eller virtuell UTM-licens följer du i stället guiden för att migrera en UTM-licens till Sophos Firewall.

Den här uppdelningen förhindrar det viktigaste felantagandet: En synlig Base License bevisar inte automatiskt aktiv support, passande Security-Subscriptions, giltig lifecycle eller korrekt account ownership. För drift, renewal och supportärenden bör serienummer, konto, supportstatus, bundle, utgångsdatum och plattform alltid kontrolleras tillsammans.

Vad Base License är

Base License identifierar och berättigar den grundläggande Sophos Firewall-installationen. Utan passande licens- och serienummertilldelning kan en appliance eller virtuell instans inte drivas och hanteras korrekt som ett produktivt Sophos Firewall-system.

Viktig avgränsning:

• Base License: grund för firewall-installationen och grundläggande berättigande.
• Enhanced Support / Enhanced Plus Support: support- och uppdateringsberättigande beroende på licensmodell.
• Security-Subscription: skyddsmoduler som Network, Web, Email, Zero-Day eller andra licensierade funktioner.
• Serienummer: firewallens entydiga identitet för licens, support, RMA och kontotilldelning.

Base License bör därför inte förstås som “allt är licensierat”. Den besvarar bara en del av licensfrågan.

Den viktigaste kontrollvägen i SFOS är Administration > Licensing. Där ser man registrering, appliance-modell, serienummer, Base Firewall, supportstatus, bundles, enskilda Subscriptions och utgångsdatum. På en online-ansluten firewall synkroniserar SFOS normalt licenserna automatiskt med Sophos Fusion (tidigare Sophos Central). För en aktuell vy kan man köra Synchronize där innan man drar fel slutsatser från en gammal visning.

Snabb driftbedömning

I vardagen hjälper en enkel bedömning. Base License besvarar bara frågan om firewallen i grunden är tilldelad som Sophos Firewall-instans. Därefter kommer den egentliga driftfrågan: Finns rätt berättigande för det man vill göra just nu?

Om firewallen bara ska routa, använda enkla regler eller tillhandahålla VPN är Base License startpunkten. Så snart firmwareuppgraderingar, tillverkarsupport, RMA, IPS, Web Protection, Zero-Day Protection, WAF, Central Firewall Management eller längre rapportering blir viktiga måste man kontrollera respektive support-, bundle- eller Security-Subscription separat.

För HA-kluster räcker det inte heller att titta på en enda licensrad. Roller, serienummer, plattformstyp, Subscription-synkronisering och supportmodell avgör tillsammans om failover, RMA och central hantering fungerar rent i ett skarpt läge. För virtuella och mjukvarubaserade firewalls tillkommer CPU-core-licensiering, instanstilldelning och restore-scenario.

Den här korta bedömningen ersätter ingen licenskontroll, men förhindrar det vanligaste felet: Man ser en giltig Base License och antar att support, skyddsmoduler och uppdateringsrätt därmed också är klara.

Vad som ingår i Base License

I den officiella licensvyn kopplar Sophos Base License till grundfunktionerna Stateful Firewall, VPN, Wireless, High Availability och Firewall RED. För praktiken är det viktigt vad det betyder: Firewallen kan i grunden drivas som router, firewall och VPN-gateway, men utan ytterligare Security-Subscriptions saknas många skydds- och supportfunktioner.

Typiska funktioner i Base License:

• Stateful Firewall: firewall-regler, zoner, tjänster, hosts, NAT och grundläggande policystyrning. Regeln kan tillåta eller blockera trafik. Skyddsmoduler som IPS, Web Protection eller Zero-Day Protection är därmed ännu inte automatiskt licensierade.
• Routing och nätverk: interfaces, VLAN, statiska routes, SD-WAN-routes, DHCP, DNS och grundläggande nätverkstjänster. Firewallen kan fungera som central nätverksrouter. Säkerhetskontroll av trafiken beror på ytterligare moduler.
• VPN: Site-to-Site IPsec, Remote Access IPsec och SSL VPN. VPN-funktionalitet är i grunden möjlig. MFA, portalåtkomst, Device Access och loggning bör ändå planeras separat och ordentligt.
• Firewall RED: här avses RED-funktioner i firewallen, särskilt Site-to-Site RED mellan Sophos Firewalls. Det är inte samma sak som SD-RED Device Management eller SD-RED-tunnlar till SD-RED-enheter.
• Wireless: hantering av kompatibla Sophos Access Points via firewallen. Det är inte samma sak som modern Sophos Central Wireless-arkitektur. Många miljöer använder i dag andra WLAN-system.
• High Availability: HA-drift av Sophos Firewall. Licensiering och roller måste kontrolleras separat och ordentligt i HA-kluster, särskilt vid Active-Passive och Subscription-synkronisering.
• Lokala loggar och rapporter: lokala händelser, Log Viewer och enkla rapporter. För längre lagring, central sökning eller rapportering behövs beroende på mål Central Firewall Reporting, syslog eller SIEM.

Därmed är Base License framför allt den tekniska driftgrunden. Den gör en appliance eller instans till en användbar Sophos Firewall, men inte till ett fullständigt licensierat skyddspaket.

Vad som inte ingår i Base License

Mycket ofta uppstår frågan om man med Base License också får firmwareuppdateringar, support eller alla säkerhetsfunktioner. Just det är inte fallet.

• Firmwareuppgraderingar utan supportberättigande: Sophos tillåter tre fria firmwareuppgraderingar. Därefter behövs ett giltigt support- respektive bundle-berättigande. Base License ensam är därför ingen tillförlitlig uppdateringsstrategi.
• Tillverkarsupport via Sophos Case, chatt eller telefon: support är knuten till Enhanced Support, Enhanced Plus Support eller ett passande bundle.
• SD-RED och Network Protection: SD-RED Device Management och SD-RED-tunnlar till SD-RED-enheter bör inte planeras som Base License-funktioner. De kräver rätt Network Protection Subscription.
• IPS / Network Protection: Intrusion Prevention, Sophos X-Ops Threat Feeds och Security Heartbeat kräver också Network Protection.
• Web Protection och Application Control: webbfilter, Application Control och web malware-kontroll är inte en ren Base License-funktion.
• Zero-Day Protection: sandboxing, Machine Learning och Threat Intelligence kräver en motsvarande licens.
• Email Protection: anti-spam, antivirus, DLP, kryptering och skydd mot mail malware licensieras separat.
• Webserver Protection / WAF: Web Application Firewall är en egen skyddsfunktion och ingår inte i Base License.
• Sophos Central Firewall Management endast med Base License: den rena Base Firewall-licensen räcker inte för Central Firewall Management. För det krävs en aktiv betald Subscription utanför Base License eller ett aktivt supportavtal.
• Längre central rapportering: Central Firewall Reporting beror på licens, lagring och retentionstid.

Särskilt firmwareuppgraderingar är en vanlig fallgrop: En brandvägg kan visa en giltig Base License och ändå sakna tillräcklig behörighet för ytterligare planerade firmwareuppgraderingar. Bakgrunden beskrivs i blogginlägget Sophos Firewall-uppdateringar blir inte längre kostnadsfria.

Hardware Appliance

För en XGS Appliance är Base License kopplad till hårdvaran respektive serienumret. Hardware appliances har i grunden Base Firewall som enhetsbas. Ändå beror den praktiska användbarheten på lifecycle, support, bundle, utgångsdatum och kontotilldelning.

Serienumret är särskilt viktigt i drift eftersom licensstatus, support, RMA, kontotilldelning och dokumentation hänger på det.

Kontrollera:

• Är firewallen registrerad i rätt Sophos-konto?
• Stämmer serienumret med beställning, licensunderlag och enhet?
• Finns en aktiv support- eller bundle-licens?
• Är de nödvändiga Security-Subscriptions aktiva?
• Är det klart vilka firmwareuppdateringar som fortfarande är möjliga?
• Är själva hårdvaran fortfarande inom supported lifecycle?

Serienumret finns direkt i SFOS-dashboarden. Processen beskrivs i Hitta serienummer för Sophos Firewall.

Virtuella och mjukvarubaserade firewalls

För virtuella, mjukvarubaserade och cloud-baserade Sophos Firewall-instanser beror licensieringen mer på den tilldelade instansen och serienumret. Till skillnad från hårdvara finns inget fysiskt appliance-serienummer på en enhetsetikett. Licens- och instanstilldelningen måste därför dokumenteras särskilt ordentligt.

Viktigt:

• Serienummer och licensfil hör till den konkreta instansen.
• Kontotilldelningen måste stämma före produktiv drift.
• CPU-core-licensiering, Base Firewall och support måste kontrolleras separat.
• Backups ersätter inte ordentlig licens- och serienummerdokumentation.
• Vid nyinstallation, restore eller migrering måste det vara klart vilken instans som använder vilken licens.

Sedan 2025 är CPU-core-licensiering särskilt relevant för virtuella och mjukvarubaserade Sophos Firewall-instanser; RAM är inte längre den tidigare licensgränsen. Detaljerna sätts in i sitt sammanhang i artikeln Sophos Firewall VM & SW - Nur CPU zählt - Kein RAM Limit mehr. För det grundläggande plattformsbeslutet passar Sophos Firewall: Hardware, virtuell eller Cloud?.

För HA är skillnaden viktig: Vid Active-Passive-HA aktiveras licenserna på enheten som konfigurerats som Initial primary och synkroniseras med Auxiliary-enheten. För virtuella appliances räcker en Base Firewall; enligt Sophos gäller denna regel med en enda licens inte för cloud appliances. Vid Active-Active-HA bär båda enheterna sina licenser oberoende och behöver samma licenstyp; varje virtuell appliance behöver en egen Base Firewall. För Hardware-HA gäller dessutom RMA- och supportdetaljer som inte kan härledas ur Base License ensam. För Sophos Central Firewall Management räcker dessutom ren licenssynkronisering inte; firewalls måste vara registrerade för Firewall Management och ha en passande betald Subscription eller supportlicens.

Vad man inte bör härleda ur Base License

Base License säger inte automatiskt att alla önskade funktioner kan användas produktivt, stöds eller är uppdateringsberättigade. Många missförstånd uppstår eftersom flera saker står bredvid varandra i licensvyn.

Härled inte ur Base License:

• att firmwareuppdateringar är möjliga permanent utan support,
• att alla skyddsmoduler är aktiva,
• att Web Protection, Mail Protection, Zero-Day Protection eller andra Security Modules är licensierade,
• att support eller RMA omfattas,
• att firewallen ligger i rätt konto,
• att HA-licensiering och Subscription-synkronisering är korrekt.

När det gäller firmwareuppdateringar är följande viktigt: Sophos införde redan med SFOS v19 MR1 ett supportkrav för framtida firmwareuppgraderingar. Kunder utan support har tre kostnadsfria firmwareuppgraderingar; därefter krävs en giltig Support-Subscription. Avanet har satt ändringen i sitt sammanhang i Sophos Firewall-uppdateringar blir inte längre kostnadsfria.

Dessutom är ändringen från 2025 relevant, där Sophos begränsar firewalls utan giltig supportlicens mer. Översikten finns i Sophos Firewall: Viktig ändring för kunder utan supportlicens.

Kontrollera licensstatus ordentligt

I den lokala WebAdmin Console kan man kontrollera licensstatus under Administration > Licensing. Där ser man bland annat serienummer, registrerade licenser, löptider och information om utgångna eller saknade Subscriptions. Poängen är inte bara om det någonstans står Base Firewall. Avgörande är om de visade licenserna passar den planerade åtgärden.

Kontrollera:

1. Logga in på Sophos Firewall.
2. Öppna Administration > Licensing.
3. Dokumentera serienummer och modell.
4. Kontrollera Base Firewall / Base License.
5. Kontrollera support- och Security-Subscriptions.
6. Bedöm statusvärden som Subscribed, Evaluating, Not subscribed eller Expired.
7. Dokumentera utgångsdatum och varningsmeddelanden.
8. Kör vid behov Synchronize för att hämta aktuell status från Sophos Fusion.
9. Aktivera vid behov licensnyckel eller Subscription.

En skyddsmodul kan aktiveras med en betald licensnyckel eller som en kostnadsfri 30-dagarsutvärdering. För en bundle-utvärdering som startas via Sophos Fusion gäller för närvarande följande: En ny 30-dagarsutvärdering erbjuds först när den föregående testperioden har varit utgången i minst 90 dagar. Dessförinnan saknas Activate evaluations i firewall-detaljerna. En utvärdering ersätter varken ett renewal eller personlig support via telefon, chatt eller supportärende; det kräver ett bundle, Enhanced Support eller Enhanced Plus Support.

Den andra vyn finns i Sophos Fusion under Profile icon > Licensing > Firewall licenses. Efter sökning på Name, Serial number eller Model visar pilen bredvid firewallen Features, Subscription, License, License ID och Expiry. För Base-licensen är License ID serienumret, inte licensnyckeln i License Schedule. Om firewallen ännu inte är tilldelad kontot används Claim firewall: ange serienumret, välj Validate, välj firewallen och sedan Claim firewall. Först därefter kan Subscriptions hanteras. Den lokala vyn och Central-vyn ska visa samma serienummer och utgångsdatum.

Om Synchronize inte uppdaterar statusen

En internetansluten firewall synkroniserar licenserna automatiskt var 24:e timme. Om en förväntad licens fortfarande inte visas efter Synchronize, jämför först serienumret och det registrerade Sophos Fusion-kontot och kontrollera sedan licensing.log för en lyckad eller misslyckad synkronisering. Utan licenssynkronisering varnar SFOS för avaktivering efter 70 dagar; efter 90 dagar i följd avaktiveras Security-Subscriptions och i allmänhet förblir endast Base Firewall och Enhanced Support aktiva. Active-Passive-HA har ett allvarligare undantag: om Initial-primary-enheten slutar fungera och inte kan synkronisera under 90 dagar avaktiveras även Base Firewall på virtuella och mjukvaru-appliances och HA inaktiveras. En lyckad synkronisering nollställer perioden. För Air-Gap-licenser kommer varningen efter 160 dagar och utgången efter 180 dagar; använd den separata Air-Gap-processen.

Synchronize ändrar inte konfigurationen och kräver därför ingen traditionell rollback av konfigurationen. Synkroniseringen kan däremot uppdatera den gällande licensstatusen och därmed vilka skyddsfunktioner som är aktiva eller inaktiva. Dokumentera därför först förväntade Subscriptions och kontrollera sedan deras status, utgångsdatum och de skyddsmoduler som behövs. Vid avvikelser ska kontotilldelning, Subscription och anslutning korrigeras innan en ny synkronisering görs.

Den praktiska processen för att aktivera en licensnyckel finns i Aktivera Sophos Firewall-licensnyckel.

Dokumentera licens- och supportstatus

Vid licens-, support- och renewal-frågor räcker en skärmbild av Base License sällan. För drift, supportärenden, RMA, restore eller account transfer bör en liten licensdatapost underhållas per firewall.

• Serienummer: kopplar licens, enhet, support, RMA och kontotilldelning.
• Modell och plattform: skiljer mellan XGS Appliance, virtuell firewall, Software Appliance eller Cloud Deployment.
• Sophos Account / Central Tenant: förhindrar felaktig licensaktivering eller problem vid account transfer.
• Base License Status: visar om firewallen i grunden är korrekt tilldelad.
• Support / Bundle: avgör update-, support- och renewal-frågor.
• Security-Subscriptions: visar vilka skyddsmoduler som faktiskt kan användas.
• Utgångsdatum: viktigt för renewal, budget och planerade firmwareuppgraderingar.
• Backup och Secure Storage Master Key: viktigt för restore, migrering och supportärenden.

Denna dokumentation bör inte skapas först när ett fel inträffar. Om en firewall överförs till ett annat konto passar Överför Sophos Firewall till ett annat Sophos Fusion-konto. Om restore, hårdvarubyte eller reimage är aktuellt bör man dessutom kontrollera artikeln Skapa eller återställ Sophos Firewall-backup.

Base License utgångsdatum

I licensvyn kan Base Firewall visas med ett utgångsdatum mycket långt fram i tiden. Det bör man inte förväxla med obegränsad support eller obegränsad uppdateringsrätt.

I praktiken betyder det:

• Base License kan fortsätta vara synlig långsiktigt som firewallens grund.
• Hårdvara, plattform och firmware har ändå egna lifecycle-gränser.
• Ytterligare firmwareuppgraderingar kan kräva giltigt supportberättigande.
• Säkerhetsfunktioner beror på aktiva Subscriptions.
• Support, RMA och renewal måste kontrolleras separat.

För cloud-, virtuella och mjukvarubaserade firewalls löper Base Firewall enligt Sophos uppgifter inte ut som en normal skydds-Subscription. För hardware appliances är Base Firewall-statusen däremot kopplad till hårdvarans lifecycle. Därför bör ett avlägset utgångsdatum aldrig bedömas isolerat: modell, EOL-status, SFOS-version, support och Security-Subscriptions hör alltid till samma kontroll.

När Base Firewall faktiskt löper ut

En utgången Base Firewall-status är ingen kosmetisk licensnotis. Konfigurationen förblir visserligen synlig och kan delvis fortfarande redigeras, men enforcement ändras kraftigt.

Sophos beskriver bland annat detta beteende för en utgången Base Firewall: firewall-regler behandlas inte längre, vissa LAN/DMZ-till-WAN- eller interna trafikflöden tillåts som på en enkel router, annan trafik förblir blockerad, VPN-tunnlar kan visserligen fortsätta existera men inte längre transportera nyttotrafik, och NAT-regler, Site-to-Site-RED-tunnlar, Remote Access Points samt Wireless Networks fungerar inte längre som avsett. Just därför bör man inte vänta till nästa renewal-samtal med att titta på en Base Firewall-varning.

Appliance-enheten fortsätter att ta emot Feature-, Maintenance- och Pattern-uppdateringar på en SFOS-version som stöds. Det gör dock inte tillståndet säkert: Konfigurationen kan fortfarande redigeras, men reglerna tillämpas inte längre som avsett utan en giltig licens. Redan anslutna WLAN-klienter kan förbli synliga samtidigt som Wireless Networks och Remote Access Points inte längre fungerar normalt. Inte heller en VPN-tunnel som fortfarande visas som ansluten bevisar att en användbar datasökväg finns.

Viktig avgränsning: En utgången säkerhetsmodul är inte samma sak som en utgången Base Firewall. Om exempelvis Web Protection, Zero-Day Protection eller Webserver Protection löper ut blir firewallen inte automatiskt utan all grundfunktionalitet, men den berörda skydds- eller enforcement-funktionen faller bort eller fungerar bara begränsat. Felsökningen börjar därför alltid med frågan vilken licens som faktiskt har löpt ut.

För admins betyder det praktiskt:

• Kontrollera licensstatus under Administration > Licensing.
• Kontrollera serienummer, Sophos Fusion-konto och kontotilldelning.
• Kontrollera om det handlar om ett normalt online sync-problem, ett Air-Gap-ämne, ett HA-problem eller en faktisk licensutgång.
• Starta support-, renewal- eller partnerprocessen direkt för produktiva system.

Om en firewall drivs isolerat passar inte den normala 24-timmars-synken som måttstock. Då hör Air-Gap-processen med licensfil, manuell uppladdning och Pattern-rutin till driftansvaret.

När enskilda skydds- och supportlicenser löper ut

När en enskild Subscription löper ut får det andra följder än när Base Firewall löper ut. Den lokala konfigurationen bevaras och kan fortfarande redigeras, men den kontroll eller tillämpning som inte längre är licensierad upphör. Riskanalysen måste därför behandla den berörda modulen separat.

För Active-Active-HA behöver varje aktiv enhet en giltig Enhanced- eller Enhanced Plus-behörighet för att Advanced Hardware Replacement ska gälla för båda enheterna. För Active-Passive-HA krävs Enhanced Plus på Primary om även Auxiliary ska omfattas av Advanced Hardware Replacement. För detta Active-Passive-fall med Enhanced Plus på Primary och Advanced Hardware Replacement för Auxiliary anger Sophos förnyelse inom 90 dagar efter utgången och att skyddet upphör efter dessa 90 dagar. Detta fastställer ingen generell regel för Active-Active, fristående enheter eller molninstanser. Teknisk support och RMA upphör redan när supportprenumerationen löper ut; de 90 dagarna är ingen respitperiod för support och inte Air-Gap-fönstret.

En Air-Gap-licens följer en separat cykel på 180 dagar; SFOS varnar efter 160 dagar. Hämta och ladda upp en ny licensfil före utgången, annars inaktiveras säkerhetsprenumerationerna. Kontrollera de förväntade prenumerationerna och utgångsdatumen under Administration > Licensing efter uppladdningen. Det går inte att generellt garantera att rätten till Enhanced Support kvarstår när Air-Gap-licensen har löpt ut: kontrollera den faktiska supportprenumerationen och RMA-rätten separat och klargör osäkerheter med behörig kontoadministration eller Sophos Support. En licensuppladdning förnyar inte ett betalt supportavtal. Den exakta offlineprocessen beskrivs i Sophos Firewall Air-Gap-licensiering.

Vad som bör kontrolleras före updates och renewals

Före firmwareuppdateringar, renewal-samtal eller migreringar bör man inte bara titta ytligt på licensstatus. Bättre är en kort driftkontroll.

Först dokumenteras serienummer, modell, plattform, Sophos-konto och Base License. Därefter kontrollerar man support- eller bundle-licens, nödvändiga Security-Subscriptions, utgångsdatum och varningsmeddelanden. För HA-kluster hör båda noderna, rollerna och licenssynkroniseringen till kontrollen; för virtuella firewalls dessutom CPU-cores, instanstilldelning och restore-scenario.

Före en firmwareuppgradering bör man inte lita på att en synlig Base Firewall-post räcker. En rimlig kombination är aktuell backup, kontrollerad supportstatus, känd målversion, servicefönster och en kort fallback-plan. De fria firmwareuppgraderingarna utan support är som mest en övergångssituation, men ingen ren driftstrategi.

För större uppdateringar hjälper dessutom Kontrollera Sophos Firewall före SFOS 22-upgrade. För HA-miljöer är Konfigurera Sophos Firewall High Availability (HA) relevant eftersom licensiering och roller i klustret måste dokumenteras ordentligt.

Vanliga fel

Förväxla Base License med support

En synlig Base License betyder inte automatiskt att support och firmwareuppgraderingar omfattas. Supportstatus måste kontrolleras separat.

Inte kontrollera säkerhetsmoduler

Om en funktion inte fungerar eller inte går att konfigurera bör man inte bara titta på Base License. Avgörande är om rätt Subscription är aktiv och om funktionen också har konfigurerats.

Använda fel serienummer

Vid flera firewalls, HA-kluster, virtuella instanser eller account transfers uppstår snabbt förväxlingar. Serienummer, konto och licensunderlag måste passa ihop.

Dokumentera virtuell firewall ofullständigt

För virtuella firewalls bör man dokumentera licens, serienummer, instansnamn, hypervisor, CPU-cores, backup och ansvarigt konto tillsammans. Annars blir ett restore- eller supportärende onödigt svårt.

FAQ