Sophos UTM auf XGS umstellen
SG-Hardware und UTM 9 sind am Ende ihres Lebenszyklus. Der Umstieg ist kein Tauschgeschäft, sondern ein Projekt mit Regelwerk, VPN-Gegenstellen und einem Umschaltfenster – planbar, wenn man früh anfängt.
Sophos hat die SG-Hardware und die Software UTM 9 abgekündigt; Nachfolger sind die XGS-Geräte mit Sophos Firewall OS. Ein direkter Weiterbetrieb der alten Konfiguration ist nicht vorgesehen – die Betriebssysteme sind verschieden. Systemhaus Erdmann aus Solingen nimmt die bestehende UTM auf, übernimmt Netze, Dienste und VPN-Gegenstellen als Substanz, baut das Regelwerk auf der XGS neu auf und schaltet in einem vereinbarten Fenster von zwei bis drei Stunden um. Das Altgerät bleibt einige Wochen als Rückfallebene konfiguriert, aber vom Netz getrennt.
Was abgekündigt ist – und was das praktisch heißt
„End of Life“ heißt nicht, dass ein Gerät stehenbleibt. Es heißt, dass niemand mehr Lücken schließt. Der Unterschied wird erst sichtbar, wenn eine Lücke bekannt wird.
| Betrifft | Status | Was daraus folgt |
|---|---|---|
| SG-Hardware | abgekündigt, kein Nachfolgemodell in der Reihe | Ersatzteile und Austauschgeräte laufen aus – ein Defekt ist dann kein Servicefall mehr |
| UTM 9 (Software) | Wartung endet, keine neuen Funktionen | Sicherheitsupdates enden ebenfalls – das ist der eigentliche Grund für einen Termin |
| Ihr Regelwerk | nicht 1:1 übertragbar | anderes Betriebssystem, andere Logik – Übernahme heißt Neuaufbau auf gleicher Grundlage |
| Lizenzen | nicht übertragbar auf XGS | neues Abonnement; Restlaufzeiten werden im Angebot berücksichtigt |
| Versicherung & Prüfung | fragt nach Supportstatus | ein Gerät ohne Sicherheitsupdates wird im Fragebogen regelmäßig zum Problem |
Niemand weiß mehr, warum Regel 47 existiert
Eine UTM, die zehn Jahre gelaufen ist, trägt zehn Jahre Entscheidungen. Ein Port, der für ein Projekt geöffnet wurde, das es nicht mehr gibt. Eine Ausnahme für einen Dienstleister, der längst gewechselt ist. Eine Weiterleitung auf einen Server, der abgeschaltet wurde – die Regel steht noch.
Genau das ist der Grund, warum wir vom automatischen Import abraten. Er überträgt die Altlast zuverlässig mit und niemand merkt es, weil das Netz danach funktioniert. Funktionieren ist aber nicht dasselbe wie geschlossen sein.
Der zweite unterschätzte Punkt sind die VPN-Gegenstellen. Jede Verbindung zu einem Kunden, Lieferanten oder Maschinenhersteller braucht einen Termin mit dessen IT. Diese Termine sind der Grund, warum Migrationen scheitern – nicht die Firewall.
Substanz übernehmen, Altlast liegen lassen
Ergebnis ist in der Regel ein Regelwerk mit deutlich weniger Einträgen als vorher – und mit einer Begründung je Eintrag, die auch in drei Jahren noch lesbar ist.
Fünf Etappen bis zum Umschalttag
Konfiguration sichten, Regelwerk begründen, VPN-Gegenstellen und Ansprechpartner listen, Modell und Lizenz festlegen. Ergebnis ist ein Angebot mit Terminplan, kein Schätzwert.
Die XGS wird bei uns fertig konfiguriert: Regelwerk, Zonen, Zertifikate, Weiterleitungen. Sie kommt vorbereitet zu Ihnen, nicht als Rohgerät.
Termine mit den Partner-IT-Abteilungen für die VPN-Verbindungen. Diese Etappe bestimmt den Gesamttermin, deshalb startet sie früh.
Im vereinbarten Fenster, meist abends oder samstags: Gerät tauschen, Verbindungen prüfen, Dienste durchtesten. Das Altgerät bleibt konfiguriert daneben.
Feinjustierung im Alltag, Rückfallebene noch verfügbar, dann Abbau des Altgeräts. Danach geht die Firewall in die laufende Betreuung über.
Die drei Stellen, an denen es klemmt
Wir nennen sie vorher, weil sie planbar sind, sobald man sie kennt. Unangenehm werden sie nur am Umschalttag.
Erstreaktion unter einer Stunde in der Servicezeit Mo–Do 8–17 Uhr, Fr 8–16 Uhr – am Umschalttag sind wir ohnehin vor Ort oder in Bereitschaft.
Drei Anlässe, mit denen der Umstieg beginnt
Läuft es meistens auch. Die Frage ist, wer die nächste bekannt gewordene Lücke schließt – und die Antwort lautet bei einem abgekündigten Gerät: niemand.
Damit wird aus einer technischen Frage eine kaufmännische. Wir liefern die Bestandsaufnahme in einer Form, die im Fragebogen verwendbar ist.
Der häufigste Auslöser. Nach diesem Erlebnis geht es nicht mehr um die Frage ob, sondern um ein Fenster, das den Betrieb möglichst wenig stört.