Bir firewall güncellemesinin en kötü senaryosu, güncelleme sonrası bir kuralın ya da VPN tünelinin çalışmaması ve eski haline dönüş yolunun bilinmemesidir. Sophos Firewall bu iş için iki mekanizma sunar: şifreli yapılandırma yedeği ve cihazın iki firmware sürümünü yan yana tutması. İkisini de güncellemeden önce doğru kurmak, olası bir sorunu bir iş günü kaybından birkaç dakikalık geri dönüşe indirir.
Yapılandırma yedeği nerede alınır, neleri kapsar?
Yedek ekranı Backup and firmware > Backup and restore altındadır. Sophos’un dokümantasyonuna göre yedekler şifrelenir ve üç şekilde saklanabilir:
- Local: Yedek yalnızca firewall’un üzerinde tutulur.
- FTP: Yedek yerelde saklanır ve ek olarak bir FTP sunucusuna gönderilir. Sunucu adresi (IPv4 veya IPv6), kullanıcı adı, parola ve FTP yolu girilir.
- Email: Yedek yerelde saklanır ve belirttiğiniz alıcıya e-postayla gönderilir.
Burada kaçırılan iki ayrıntı var. Birincisi, firewall üzerinde yalnızca en son yedek tutulur. Her yeni yedek bir öncekinin yerini alır; eski yedeği saklamak istiyorsanız indirmeniz gerekir. Yalnızca Local modda çalışan bir cihazda cihaz arızalanırsa yedek de cihazla birlikte gider. İkincisi, FTP kullanıcı adında ters eğik çizgi kullanılamaz, kullanıcı adı ve parolada yalnızca @, / ve $ özel karakterleri desteklenir. Parolası ! içeren bir FTP hesabıyla yedek almaya çalışan biri bunu zor yoldan öğrenir.
Birden fazla firewall’unuz varsa isteğe bağlı backup prefix alanına cihazı tanıtan bir ön ek (en fazla 32 karakter) yazın. Aksi halde FTP klasöründeki dosyaların hangi şubeye ait olduğunu ayırt etmek zorlaşır.
Yedeğe dahil olmayanlar da var: özel tarih ve saat ayarı yedekte gelmez, yalnızca saat dilimi ve NTP sunucusu ayarları geri yüklenir. Cihaz modeline özgü ayarlar (örneğin IPS örnek sayısı) da yedekten taşınmaz, cihazın varsayılan değerleri geçerli olur.
Şifreleme parolası neden kritik?
Tüm yedekler tek bir şifreleme parolasıyla korunur ve geri yüklerken bu parolayı girmeniz gerekir. Parolayı değiştirmek için Change encryption password seçeneği var. Yedeği indirirken ayrıca farklı bir parola da belirleyebilirsiniz; bu, tüm yedeklerin şifreleme parolasını değiştirmez.
Pratik öneri: parolayı yedek dosyasının tutulduğu yerde değil, kurumun parola yöneticisinde saklayın. Yedek var ama parola yok ise yedek yok demektir.
Güncellemeden önce hangi yedek alınmalı?
Sophos, firmware değiştirmeden önce yapılandırma yedeği almayı ve işlemi yoğun olmayan saatlerde yapmayı öneriyor. Uygulamada şu sırayı izlemek işe yarıyor:
- Backup now ile anlık yedek alın.
- Yedeği indirip firewall dışında bir yere (paylaşım klasörü ya da FTP) kopyalayın.
- Mevcut firmware sürümünü ve etkin lisans modüllerini not edin.
- Güncellemeyi bakım penceresinde başlatın.
Küçük bir ayrıntı: yedeği geri yüklemek mevcut yapılandırmanın üzerine yazar, depolanan yedeği siler ve firewall’u yeniden başlatır. Geri yüklenen yapılandırmadaki web yönetim IP adresi aktif olur; yönetim arayüzüne o adresle girmeniz gerekir.
Firmware güncellemesi nasıl yapılır?
Menü: Backup and firmware > Firmware. Bu ekranda en fazla iki sürüm görünür. Biri çalışmakta olan (Active) sürümdür. Diğer yuva ya önceki sürümü ya da etkin sürümle uyumlu, yüklediğiniz başka bir sürümü tutar.
- Yeni sürüme geçmek için: “Latest available firmware” altında yeni sürümü kontrol edebilir, indirip Install diyebilirsiniz. Belirli bir sürüm için görüntüyü Sophos’un yükleyici sayfasından indirip Upload firmware ile cihaza yükleyin; Sophos yükleme işleminin birkaç dakika sürdüğünü belirtiyor.
- Eski sürüme geçmek için: Eski sürümün yanındaki Boot firmware image simgesine tıklayın. Yalnızca etkin sürümle uyumlu bir sürüme geçilebilir.
Geçiş sırasında göç (migration) başarısız olursa firewall otomatik olarak mevcut sürümüne geri döner.
Güncelleme sonrası geri dönersem ne kaybederim?
Bu, çoğu yöneticinin atladığı nokta. Sophos’un dokümantasyonuna göre firmware değişimi, o sürüme ait yapılandırmayı da geri getirir. Yani eski sürüme döndüğünüzde, firmware değişikliğinden sonra yaptığınız yapılandırma değişiklikleri kaybolur. Güncelledikten sonra iki gün boyunca yeni kurallar ve nesneler eklediyseniz ve sonra geri dönerseniz, bunları yeniden oluşturmanız gerekir. Bu yüzden sorunu fark ettiğiniz anda karar vermek, günlerce beklemekten daha az maliyetlidir.
Yüksek erişilebilirlik (HA) çiftinde sıra nasıl işler?
HA kuran kurumlar için dokümantasyondaki akış şöyle: birincil cihaz (A) üzerinden güncellemeyi başlatırsınız, A ikincil cihazı (B) günceller, B yeniden başlayınca birincil olur, A kendini güncelleyip yeniden başlar. HA yapılandırmasında “Preferred primary device” seçtiyseniz rol yeniden A’ya döner. Sophos, bu süreçte kesinti yaşanmadığını belirtiyor ve HA’yı devre dışı bırakmadan geri dönüşün de aynı yöntemle yapılabildiğini söylüyor. Kurulumun kendisi için Sophos Firewall HA yazımıza bakabilirsiniz.
Firmware güncellemesi lisansa bağlı mı?
Evet, kısmen. Sophos’un firmware sayfasına göre 19.0 MR1 sürümünden itibaren sınırsız firmware yükseltmesi için Enhanced ya da Enhanced Plus Support gerekir; destek aboneliği olmayan cihazlarda üç ücretsiz yükseltme hakkı vardır. Lisansı ve destek aboneliğini süresi dolduktan sonra fark etmek, kritik bir güvenlik düzeltmesini alamamak anlamına gelebilir. Lisans yenileme tarihlerini bakım takviminizle birlikte izlemek bu yüzden mantıklı. Lisansın bitmesi halinde neler olduğunu lisans bittiğinde ne olur yazısında anlattık.
Xen Bilişim’in bu süreçteki yeri
Xen Bilişim, Sophos Kayıtlı İş Ortağı olarak firewall yedekleme politikasının kurulması, bakım penceresinde firmware güncellemesi ve gerektiğinde geri dönüş planının hazırlanması konusunda destek verir. Mevcut cihazınızın yedek ve güncelleme durumunu gözden geçirtmek için teklif alın sayfasını kullanabilir, model ve lisans seçenekleri için Sophos Firewall sayfasına bakabilirsiniz.
Sık sorulan sorular
Firewall üzerinde kaç yedek tutuluyor? Yalnızca en son yedek tutulur. Önceki yedeği korumak istiyorsanız sonraki yedek onun yerine geçmeden indirmeniz gerekir. Cihaz arızasına karşı FTP ya da e-posta modunu da kullanın.
Yedeği geri yüklerken şifreyi unutursam ne olur? Geri yükleme sırasında yedeğin oluşturulduğu şifreleme parolası istenir. Parola olmadan yedek geri yüklenemez; bu yüzden parolayı kurumun parola yöneticisinde saklayın.
Eski firmware’e dönersem yaptığım ayarlar korunur mu? Hayır. Sophos’un dokümantasyonuna göre firmware değişimi o sürümün yapılandırmasını geri getirir, bu nedenle değişiklikten sonra yaptığınız yapılandırma değişiklikleri kaybolur.
Güncelleme sırasında internet kesilir mi? Tek cihazda güncelleme yeniden başlatma gerektirir, bu yüzden kısa bir kesinti beklemelisiniz ve işlemi bakım penceresinde yapmalısınız. HA çiftinde Sophos kesintisiz geçiş tarif ediyor.