انتهاء ترخيص الفايروول: ما الذي يتوقف فعلا على فورتي جيت وسوفوس

يصل عرض التجديد قبل الانتهاء بشهر، فيُؤجَّل. يمر الموعد ولا يحدث شيء: الإنترنت شغال، الفروع متصلة، ولا شكوى من مستخدم. بعد ثلاثة أشهر يصبح السؤال منطقيا تماما: ولماذا ندفع ما دام الجهاز يعمل؟

الإجابة أن الجهاز يعمل فعلا — لكن جزءا كبيرا من وظيفته الأمنية توقّف، ولم يظهر ذلك على أي شاشة ينظر إليها أحد. وفيما يلي ما يستمر وما يقف عند انتهاء ترخيص فورتي جيت أو سوفوس، وكيف تتحقق بنفسك، وماذا تفعل لو انتهى بالفعل.

الفكرة التي تفسّر كل شيء: توقيع محلي مقابل تصنيف لحظي

حماية أي فايروول حديث تقوم على مصدرين مختلفين تماما، وهذا التقسيم وحده يفسّر كل سلوك بعد الانتهاء:

• قواعد بيانات محفوظة على الجهاز نفسه — توقيعات IPS، وقاعدة الانتي فيروس، وتوقيعات التحكم في التطبيقات. تُحدَّث دوريا لكنها تعيش داخله، فتستمر بعد الانتهاء متجمّدة عند آخر تحديث وصلها.
• استعلامات لحظية إلى سحابة المُصنِّع — تصنيف المواقع في فلترة الويب، وتصنيف النطاقات في فلترة DNS، ومنع التفشي، وفلترة السبام. الجهاز يسأل السحابة عن كل عنوان لحظة طلبه، فيتوقف كل هذا فورا لأن الاستعلام يُرفَض.

فورتي جيت: ما يستمر وما يقف

توثيق فورتينت صريح في هذه النقطة: الجهاز يظل يعمل كجدار حماية حتى لو انتهت تراخيص FortiGuard كلها. التوجيه وNAT وسياسات المرور التي كتبتها وأنفاق VPN — كلها تستمر كما هي.

ويستمر معها، لكن بقواعد متجمّدة:

• فحص IPS يعمل بالتوقيعات الموجودة على الجهاز، ولا تُضاف توقيعات جديدة.
• الانتي فيروس على البوابة يواصل الفحص بقاعدته الحالية دون تحديث.
• التحكم في التطبيقات، وقاعدة Internet Service Database، وتعريف الأجهزة وأنظمة التشغيل، وتوقيعات Virtual Patch — تعمل بما لديها فقط.
• قوائم Botnet IPs/Domains تواصل الحجب بما هو مخزَّن. وتفصيلة تخلط على كثيرين: هذه القوائم تتبع عقد Firmware & General Updates لا عقد IPS، رغم ظهورها تحت بند Intrusion Prevention.
• الفلترة بالقوائم الثابتة (Static URL/Domain) التي كتبتها بنفسك تعمل بالكامل.

أما الذي يتوقف:

• فلترة الويب وفلترة DNS بالتصنيفات — لأنها استعلام لحظي. والسلوك الافتراضي هنا هو المفاجأة: بحسب فورتينت، افتراضيا يُسقَط كل مرور الويب وDNS. وإذا كان خيار «السماح عند خطأ التصنيف» (Allow websites when a rating error occurs) مفعّلا، يمر كل المرور بلا فلترة إطلاقا. والخيار معطَّل افتراضيا في البروفايل الافتراضي وفي أي بروفايل جديد، فابدأ بالتحقق من قيمته عندك.
• منع التفشي (Outbreak Prevention) — استعلام لحظي بحت إلى قاعدة التهديدات العالمية لدى فورتي جارد.
• فلترة السبام المعتمدة على خوادم فورتي جارد، وتبقى الخيارات المحلية وحدها.
• فحوص Security Rating المدفوعة وربطها بمعايير CIS؛ ولا يبقى سوى المدمج في النظام.

وهناك نتيجة تشغيلية تفاجئ الفرق التقنية: الجهاز الذي لا يملك ترخيص Firmware & General Updates ساريا — أو الذي تجاوز مرحلة الدعم الهندسي EOES — يسأل فورتي جارد يوميا، فإن وجد Patch جديدا لإصداره الفرعي جدول لنفسه ترقية إجبارية. لا يمكن إلغاؤها؛ يمكن فقط تأجيل التثبيت سبعة أيام بالأمر execute auto-upgrade delay-installation، وإعادة الجدولة داخل نافذة أربعة عشر يوما من اكتشاف الـ Patch. أي إعادة تشغيل في نافذة لم تخترها أنت.

سوفوس: وحدات منفصلة وسلوك مختلف

ترخيص سوفوس ليس شيئا واحدا، بل وحدات تُشترى وتنتهي كلّ على حدة: Base License وNetwork Protection وWeb Protection وZero-Day Protection وCentral Orchestration وEmail Protection وWebserver Protection واشتراك الدعم Enhanced. فقد تنتهي واحدة ويبقى الباقي ساريا — وهذا وحده سبب كاف لفحص كل وحدة منفردة، لا «الترخيص» إجمالا.

والفارق الجوهري عن فورتي جيت أن سوفوس لا تُبقي الوحدة تعمل بقواعد قديمة، بل تتوقف عن تطبيق السياسة أصلا. بحسب توثيق سوفوس:

• عند انتهاء Network Protection: لا تُحمَّل توقيعات IPS ولا تُطبَّق سياسات IPS. ويستمر الجهاز في سحب تغذية Sophos X-Ops لكنه لا يحجب بها العناوين والنطاقات الخبيثة، ولا يرسل DNS استجابة NXDOMAIN لمؤشرات الاختراق. وتنقطع أنفاق SD-RED وتظهر offline — انقطاع يراه المستخدمون في نفس اللحظة إن كان فرع متصلا عبرها. وتتوقف Security Heartbeat، أي الربط بين الفايروول وحماية الأجهزة الطرفية. في المقابل تبقى أنفاق site-to-site RED قائمة، ويستمر فحص SSL/TLS في وضع DPI.
• عند انتهاء Web Protection: يستمر تمرير حركة المنافذ 80 و443 و3128 إلى البروكسي أو محرك DPI حسب إعدادك، لكن ما يتوقف أوسع مما يتوقعه كثيرون: توقيعات التطبيقات لا تُحمَّل ولا تُطبَّق سياسات فلترتها، وتتوقف سياسات الويب وفحص البرمجيات الخبيثة وسجلات فلترة الويب. وفي وضع البروكسي يتوقف معها فك تشفير HTTPS وتصنيفات المواقع، ويبقى Parent Proxy وحماية Pharming وSafeSearch والمصادقة. أما في وضع DPI فيستمر فك تشفير SSL/TLS وتصنيفات المواقع.

أما Base License فلا ينتهي على النسخ السحابية والافتراضية والبرمجية، ولا على الأجهزة الفعلية إلا ببلوغ الجهاز نهاية عمره (EOL). وإن انتهى فالصورة قاسية: قواعد الفايروول لا تُعالَج أصلا — سماحا كانت أو منعا — ويتصرف الجهاز كراوتر يمرر الخارج بـ masquerade، فيُسمح بالمرور من LAN وDMZ إلى WAN وبينهما فقط. وتتوقف قواعد NAT وأنفاق site-to-site RED ونقاط الوصول البعيدة، وتبقى أنفاق IPsec وSSL VPN قائمة لكن لا تمر البيانات خلالها.

ولمن لا يملك اشتراك دعم ساريا: لا دعم فني ولا استبدال للجهاز المعطوب (RMA) لأي إصدار من SFOS، ويحصل الجهاز على ثلاث ترقيات فيرموير مجانية فقط. كذلك إدارة الفايروول عبر Sophos Central تحتاج اشتراكا مدفوعا — مثل Network Protection أو باقة أو اشتراك دعم — ولا يكفي Base License وحده. وتنص سوفوس على التجديد خلال تسعين يوما من الانتهاء، وبانقضائها تتوقف حماية الجهاز.

لماذا «الجهاز لسه شغال» أخطر جملة في الموضوع

عطل الشبكة يبلّغ عن نفسه: التليفونات ترن. انتهاء الترخيص لا يفعل. لا يتغير شيء في تجربة أي مستخدم، والتقارير اليومية تبدو كما كانت — بل قد تبدو أفضل: عدد التهديدات المرصودة ينخفض، لا لأن التهديدات قلّت، بل لأن الجهاز توقف عن التعرف على ما هو جديد. فايروول بتوقيعات IPS عمرها ثمانية أشهر لا يكتب في التقرير «قواعدي قديمة»، بل يكتب «لم تُرصد تهديدات» — وهي جملة تُقرأ تماما مثل «أنت محمي».

وهنا المفارقة: الحالة التي «تتعطل» بصوت عال — فلترة الويب التي تُسقِط كل المرور — أرحم الحالتين، لأنها تُكتشف خلال دقائق. الخطرة هي الإعداد الذي يسمح عند خطأ التصنيف: لا شكوى، ولا عرَض ظاهر، وشهور من مرور ويب بلا فلترة. وهذا يتقاطع مع نقطة دخول شائعة: الوصول عن بُعد المكشوف على الإنترنت، حيث يكون الفرق بين الرصد وعدمه تحديثا واحدا للتوقيعات.

كيف تتحقق بنفسك في خمس دقائق

على فورتي جيت

• من الواجهة: صفحة System > FortiGuard تعرض حالة كل خدمة وتاريخ انتهائها. ومن الإصدار 7.4.0 تظهر لوحة Licenses على Dashboard > Status، وتُميّز المرخَّص بالأخضر وغير المرخَّص بالبرتقالي.
• من سطر الأوامر: الأمر diagnose autoupdate versions يعرض قواعد البيانات المثبَّتة وتاريخ انتهاء العقد لكل منها، وdiagnose test update info يعرض تفاصيل العقود على مستوى الحساب والجهاز. وسطر FMWR هو عقد Firmware & General Updates.
• والأهم: التاريخ المعتمد هو الظاهر في بوابة دعم فورتينت (Asset Management بالرقم التسلسلي)، لا الظاهر على الجهاز؛ فالجهاز يعرض تاريخ العقد زائد يوم، لأن فورتينت تضيف مهلة قصيرة لتدارك التجديد المتأخر. لا تبنِ جدولك على تاريخ الجهاز.

على سوفوس

• من واجهة الإدارة: Administration > Licensing، حيث تظهر بيانات تسجيل الجهاز وحالة كل وحدة وتاريخ انتهائها. والحالات أربع: Subscribed وEvaluating وNot subscribed وExpired. افحصها واحدة واحدة؛ الخطأ الشائع أن يرى المسؤول وحدة سارية فيفترض أن الجهاز كله مغطّى.
• الجهاز يزامن تراخيصه تلقائيا كل أربع وعشرين ساعة ما دام متصلا بالإنترنت، ويمكنك الضغط على Synchronize للمزامنة فورا بعد أي تجديد.

ما الذي يشتريه التجديد فعلا

التجديد لا يشتري «تشغيل الجهاز» — الجهاز يعمل بدونه. يشتري ثلاثة أشياء: استمرار تغذية التوقيعات، وعودة الاستعلامات اللحظية للتصنيف، واشتراك الدعم بما فيه استبدال الجهاز المعطوب.

وما يحرّك التكلفة أربعة عوامل: فئة الموديل وقدرته الاستيعابية، ومستوى الباقة أي الخدمات المضمّنة فيها، ومدة العقد، ومستوى الدعم المصاحب. ولهذا فمقارنة عرضين مكتوب في كلّ منهما سطر واحد اسمه «تجديد ترخيص» مقارنة بلا معنى: لا يُقارَنان إلا إذا تطابق الموديل ورمز الباقة والمدة ومستوى الدعم. وإن كنت في مرحلة اختيار الجهاز نفسه، فهذه مقارنة عملية بين سوفوس وفورتي جيت تشرح الفروق قبل الشراء، وصفحات FortiGate 100F وSophos XGS 2100 تعرض الموديلات الشائعة في هذه الفئة.

ونقطة تغيّر حساب من يفكر في «نؤجل شهرين»: خدمات فورتي جارد مصممة لتكون متصلة بلا انقطاع، وأي فجوة يغطيها التجديد رجوعا إلى تاريخ انتهاء العقد السابق. أي أنك ستدفع عن شهور التأجيل على أي حال دون أن تكون محميا فيها. وحدود هذا الرجوع بالتاريخ ومهلة السماح تختلف باختلاف الإقليم ونوع العقد ومدته، فاطلب تثبيتها كتابة في العرض.

وفي الشراء الجديد فخ مشابه: عقود الخدمة المرتبطة بجهاز لها مهلة تفعيل مدتها تسعون يوما من الشحن — وهي المهلة المطبَّقة على مصر — وستون يوما للشحنات إلى الولايات المتحدة وكندا. وبانقضائها دون تسجيل يبدأ العقد تلقائيا، ويبقى التسجيل مطلوبا بعدها للاستفادة من باقي المدة. جهاز يظل في كرتونته أربعة أشهر يكون قد استهلك من عمر ترخيصه قبل أن يُركَّب.

لو كان الترخيص منتهيا بالفعل

• ثبّت التاريخ الحقيقي من بوابة المصنّع بالرقم التسلسلي، وحدد أي وحدات انتهت ومنذ متى — لا «الترخيص» ككتلة واحدة.
• افحص سلوك الفشل في فلترة الويب أولا. هذا الإعداد وحده يحدد إن كنت قضيت الشهور الماضية بلا فلترة أم بانقطاع ملحوظ.
• اتخذ قرارا واعيا بشأن البروفايلات المعطّلة فعليا بدل تركها تفشل بصمت: إما تجديد، وإما تعديل السياسة لتعتمد على ما يعمل — قوائم ثابتة وتقييد بالمصدر والوجهة — مع معرفة ما فقدته.
• جهّز بيانات التسعير الصحيحة: الرقم التسلسلي، والموديل بالضبط، والباقة الحالية. وباقة موديل ليست باقة موديل آخر.
• تأكد بعد التجديد أنه وصل للجهاز. الشراء ليس تفعيلا: يجب أن يكون الجهاز مسجَّلا تحت الحساب الصحيح، ثم تُحدَّث التراخيص والتعريفات (Update Licenses & Definitions Now على فورتي جيت، وزر Synchronize على سوفوس)، ثم تتحقق أن تواريخ قواعد البيانات تغيّرت فعلا.

فخ يتكرر في السوق المصري

التجديد مرتبط بالرقم التسلسلي وبالحساب الذي سُجِّل تحته الجهاز. وحين يُسجَّل تحت حساب المورّد لا حساب الشركة، يصبح التجديد — وأحيانا مجرد معرفة تاريخ الانتهاء — رهينا باستمرار علاقتك بذلك المورّد. اطلب منذ اليوم الأول أن يُسجَّل تحت حساب شركتك على بوابة المصنّع، واحتفظ ببيانات الدخول عندك: إجراء لا يكلف شيئا وقت التركيب، ومكلف جدا بعد سنتين.

في زيمافو نورّد أجهزة فورتي جيت وسوفوس ونركّبها ونضبطها ضمن خدمة تراخيص جدران الحماية — كما في جدران الحماية التي نفّذناها لسلسلة أولاد رجب وفي جهاز FortiGate على حافة شبكة المرشيدي للأحذية — ونسجّل الأجهزة تحت حساب العميل نفسه، وتواريخ الانتهاء بند ثابت فيما نتابعه ضمن عقود الدعم والصيانة.

وأبسط إجراء وقائي لا يكلف شيئا: افتح الآن صفحة التراخيص، سجّل تاريخ كل وحدة على حدة في تقويم الشركة مع تنبيه قبله بستين يوما، وأضف بندا للمراجعة الشهرية — «هل ما زالت كل وحدة سارية؟». المهم أن يكون لهذا التاريخ مالك محدد داخل الشركة.