Sophos Firewall na Proxmox VE

Sophos Firewall nie musi pracować na osobnym urządzeniu. Ten sam system (SFOS), który działa w firewallach XGS, można uruchomić jako maszynę wirtualną. Sophos oficjalnie wspiera platformy KVM, a w dokumentacji wymienia wprost Proxmox Virtual Environment obok VMware, Hyper-V, Nutanix i Citrix Hypervisor. Polsoft jest partnerem obu producentów: jako Sophos Silver Partner dostarczamy rozwiązania Sophos, a na proxmox.polsoft.pl prowadzimy wdrożenia, migracje z VMware i subskrypcje Proxmox.

Kiedy firewall wirtualny ma sens

Wersja wirtualna dobrze pasuje do serwerowni, w której i tak działa klaster Proxmox: firewall między sieciami maszyn wirtualnych, brama VPN dla oddziałów albo zapora przed usługami wystawionymi do internetu. Nie trzeba kupować i serwisować kolejnego urządzenia, a zasoby firewalla można zwiększyć, dodając rdzenie procesora maszynie wirtualnej.

Sprzętowy XGS bywa lepszy na brzegu sieci małej firmy. Ma stałe porty, nie zależy od obciążenia hosta, a w razie awarii Sophos wymienia urządzenie w ramach wsparcia. Wydajność wersji wirtualnej zależy od procesora hosta, opóźnień dysków i od tego, czy inne maszyny nie zabierają jej zasobów. Wysoka dostępność też wymaga więcej przemyślenia: dwa węzły firewalla powinny stać na różnych hostach, a sieć i dyski muszą być naprawdę nadmiarowe.

Wymagania

Według dokumentacji Sophosa maszyna wirtualna potrzebuje co najmniej:

To minimum instalacyjne, a nie rozmiar produkcyjny. Poniżej tych wartości firewall uruchamia się w trybie awaryjnym. Host musi mieć procesor x86 z włączoną wirtualizacją sprzętową (Intel VT lub AMD-V).

Jak wygląda instalacja na Proxmox

Sophos udostępnia instalator dla KVM jako archiwum z dwoma dyskami w formacie QCOW2: systemowym i pomocniczym. Instalacja w Proxmox przebiega tak:

1. Utwórz maszynę wirtualną bez nośnika instalacyjnego, z 4 GB RAM, i nie uruchamiaj jej od razu.
2. Rozpakuj archiwum w katalogu dysków tej maszyny i podepnij oba pliki QCOW2 w konfiguracji jako dyski SCSI.
3. Dodaj karty sieciowe podłączone do odpowiednich mostów (LAN, WAN) i wyłącz agenta QEMU.
4. Uruchom maszynę i otwórz panel pod adresem https://172.16.16.16:4444, a potem przejdź kreator pierwszej konfiguracji i rejestracji.

Sophos nie wspiera kopii zapasowych firewalla robionych narzędziami platformy wirtualizacji. Kopię konfiguracji trzeba robić mechanizmem samego firewalla. Snapshot maszyny w Proxmox nie zastępuje tej kopii.

Licencja

Od 1 marca 2025 r. licencje wirtualnego Sophos Firewall liczy się tylko po liczbie rdzeni procesora. Wcześniejszy limit pamięci RAM zniknął, więc maszynie można przydzielić tyle pamięci, ile potrzebuje. Subskrypcje ochrony (pakiety Standard i Xstream) działają tak samo jak w urządzeniach XGS; opisujemy je na stronie odnowienie licencji Sophos.

Jak zacząć

Napisz, na jakim sprzęcie działa Twój Proxmox, ile sieci ma rozdzielać firewall i jakie łącza obsługuje. Dobierzemy liczbę rdzeni i pakiet licencji albo podpowiemy, czy w Twoim przypadku lepszy będzie sprzętowy XGS. Możesz też umówić bezpłatną konsultację.