Administrar Sophos AP6 localmente o con Sophos Fusion (antes Sophos Central)

Un Sophos AP6 se administra desde su propia interfaz web o con Sophos Fusion. La opción local puede bastar para un AP6 autónomo. Para varios recomendamos Sophos Fusion, que reúne inventario, estado, firmware, perfiles y asignaciones SSID. Sophos Firewall no es un controlador AP6.

Decisión rápida: local para un AP6 bien documentado; Sophos Fusion para varios equipos, sedes o una vista operativa común. Antes, comprobar los requisitos de red.

Separar plano de administración y ruta de datos

El plano de administración lleva configuración, estado y tareas: el navegador conecta directamente con la IP local, o el AP6 establece su conexión hacia Sophos Fusion por red e Internet.

La ruta de datos es cliente, AP6, switch/VLAN y gateway/firewall; Sophos Fusion no se convierte automáticamente en tránsito. Por eso un AP puede estar online y fallar el cliente por DHCP, VLAN, DNS o reglas.

Tras un SD-RED, un AP6 separado sigue admitiendo administración local o mediante Sophos Fusion; no se convierte en su módulo Wi-Fi. El tráfico puede recorrer RED, mientras la administración sigue el modo de gestión AP6 elegido. Hay que probar Sophos Fusion desde esa red remota, sin prometer conectividad universal. La configuración de Sophos RED es independiente.

¿Dónde se administra cada tipo de hardware?

Hardware/tipo	Administración	GUI local	Sophos Fusion	SFOS	¿Requiere licencia?	Varios AP	Roaming/coordinación
AP6	local o Sophos Fusion	sí	sí	no	solo con Sophos Fusion: sí, por AP6	Sophos Fusion recomendado	funciones AP6; decide cliente
XGS Appliance modelo W	SFOS `LocalWiFi`	GUI SFOS	vía gestión Firewall	sí	no	limitado	radio local
Módulo Wi-Fi Firewall	SFOS	GUI SFOS	no como AP	sí	no	limitado	funciones SFOS
Módulo Wi-Fi SD-RED	Sophos Firewall	no	no	sí	no	limitado	funciones SFOS

El Wi-Fi integrado de un modelo W es LocalWiFi y sigue formando parte de la Firewall. Un módulo Wi-Fi compatible en una Firewall o un SD-RED también pertenece al controlador wireless de SFOS. Para estos despliegues SFOS, véase Configurar Wi-Fi en Sophos Firewall.

Administrar AP6 localmente

Abrir la IP del AP6. Sophos indica 192.168.2.2 de fábrica y usuario admin; la contraseña individual está en el equipo y la caja. El primer acceso exige cambiar la contraseña y configurar el código de país; con DHCP la IP puede variar.

No requiere licencia cloud, pero la configuración, las copias de seguridad, el firmware y los cambios se mantienen por equipo. Con varios equipos aumenta el riesgo de diferencias en SSID, parámetros de seguridad o radio. Antes de un cambio local, guardar los valores actuales y documentar cómo volver al estado anterior.

Operar varios AP6 en Sophos Fusion

La ruta actual es My Products > Wireless > Access Points. Muestra nombre, IP, modelo, configuración, carga, canal, perfil, firmware, uptime y última actividad. Register registra uno; Register > Bulk Provisioning, varios por CSV. El Onboarding Wizard cubre el alta inicial.

Al abrir un AP, Settings contiene dispositivo, radios y SSID; Task queue muestra Created, Pending, In progress, Failed, Success, Skipped o Invalid license. My Products > Wireless > Access Points > Profile management aplica ajustes a varios AP6.

⚠️ Impacto operativo: Save en la página de detalles actualiza el AP inmediatamente. Puede provocar una breve interrupción y desconectar temporalmente a los clientes Wi-Fi. Por eso, aplicar primero los cambios de grupo o perfil a un AP piloto, no a todas las sedes a la vez.

Asignar un calendario de reinicio central mediante un perfil

Un Reboot schedule central se configura en la gestión de perfiles, no en el calendario de firmware. El calendario local en Advanced > Reboot schedule es un procedimiento independiente. Antes de un cambio central, documentar el perfil anterior, las asignaciones de AP, los valores locales de reinicio y la hora del dispositivo con zona horaria. Cada AP piloto gestionado centralmente debe tener AP6 Support and Services válido.

⚠️ El reinicio programado desconecta a los clientes Wi-Fi. Elegir un horario fuera del uso normal y asignar inicialmente un solo AP piloto adecuado. Reiniciar regularmente no sustituye el análisis de causas ni promete una duración concreta de la interrupción o mejoras generales de rendimiento o seguridad.

Abrir My Products > Wireless > Access Points > Profile management y crear un perfil piloto propio con Create profile; indicar Name y, opcionalmente, Description. No modificar de paso un perfil compartido existente para la prueba.
Desplegar Management > Reboot schedule y activar el interruptor.
Elegir conscientemente Maintain local configuration: si se selecciona, siguen vigentes los valores de reinicio configurados localmente en el AP. No significa «desactivar todos los calendarios». Para un plan impuesto centralmente, no seleccionarlo y definir Weekday y Start time, por ejemplo un domingo autorizado a las 03:00. Días y hora son ejemplos; contrastar zona horaria, horario de verano y hora realmente mostrada por el dispositivo antes de la primera ejecución, sin presuponer efectos de zona horaria no verificados.
Elegir Save & assign APs, seleccionar solo el AP piloto y guardar la asignación con Save. Add APs later guarda el perfil sin asignar AP de inmediato.
Volver a abrir el perfil guardado y comparar valores y asignación. En los detalles del AP, comprobar Task queue y los ajustes efectivos. Tras la hora prevista, comprobar uptime o último reinicio, inicio de sesión de clientes, DHCP, DNS y un destino permitido. Asignar más AP solo tras una validación satisfactoria.

Ante desviaciones, detener nuevas asignaciones y restaurar valores de perfil y asignaciones previamente aprobados; si se conserva la configuración local, comprobar también el calendario local. No usar Maintain local configuration como interruptor universal de apagado. Comparar después valores guardados y efectivos. Un reinicio en marcha no se puede revertir; si el AP sigue inaccesible, comprobar primero PoE, puerto de switch y ruta de administración, sin resetearlo.

Network settings cableados en el perfil

Profile management > Network settings > Advanced settings trata los puertos Ethernet del AP6, no canales de radio ni actualizaciones de firmware. Aquí, Maintain local configuration conserva los ajustes de red locales. Imponer centralmente solo las funciones necesarias: STP management, IGMP snooping, LLDP-MED settings y Port trunking, esta última exclusivamente en AP6 840E. La opción del perfil central no garantiza que cada función se maneje igual en todas las interfaces locales.

Antes de cambiar nada, registrar modelo de AP, asignación de perfil, valores locales y configuración correspondiente del puerto del switch, y asegurar acceso de administración independiente. Cambiar solo una opción de red necesaria en el piloto, guardar y asignar mediante el procedimiento descrito; después, comprobar Task queue, valores efectivos, enlace Ethernet, acceso de administración y ruta del cliente. Ante efectos inesperados, detener nuevas asignaciones y restaurar de forma controlada los valores documentados del perfil, locales y del switch. La explicación existente del estado de gestión Wireless y los límites del despliegue sigue siendo el punto de referencia para versiones y firmware; este cambio de perfil no justifica una actualización de firmware sin verificar.

AP6 Support and Services: licencia y caducidad

Cada AP6 administrado en Sophos Fusion requiere AP6 Support and Services y la cantidad debe coincidir. Incluye gestión en Sophos Fusion, firmware, soporte 24/7 y Advanced RMA. La administración local de AP6 y el Wi-Fi administrado por Sophos Firewall no requieren esta licencia AP6. Véase Cómo se licencia Sophos Fusion.

Si falta o es insuficiente, Sophos Fusion avisa. El límite documentado es exacto: sin licencia válida se bloquean los cambios de AP6 desde Sophos Fusion. Sophos no afirma que pare el tráfico ni desaparezca la configuración. El soporte personal también requiere cobertura válida.

Separar hardware, soporte y administración en el presupuesto. Nuestro análisis de septiembre de 2026 indica hardware AP6 +10 % el 1 de noviembre de 2026 y un año de AP6 Support del 5 % al 10 % del precio del hardware. No demuestra una subida general de una suscripción de Sophos Wireless.

Entender los límites del roaming

El cliente inicia el roaming. SSID y seguridad iguales con celdas solapadas pueden permitirlo sin que Sophos Fusion sea obligatorio; la plataforma aporta coherencia, no sustituye el diseño RF.

Los valores de planificación son como mínimo -67 dBm para voz y -72 dBm para datos, con aproximadamente 15–20 % de solapamiento de celdas. Son puntos de partida para un estudio de cobertura y mediciones, no una garantía para cada dispositivo. Smart Handover desconecta los equipos por debajo del umbral RSSI seleccionado y solo debe activarse después de un estudio de cobertura. AP6 admite 802.11k, 802.11r y Smart Handover, pero no todos los clientes admiten estas funciones.

Desplegar con un AP piloto controlado

Documentar modelo, serie, sede, puerto, PoE, red y modo de gestión, además de los valores anteriores de perfil, SSID, radio y gestión.
Probar DHCP, DNS, NTP, Internet, trunk VLAN y gateway para AP y clientes por separado.
Registrar un AP6 reseteado en My Products > Wireless > Access Points > Register y esperar estado actualizado.
Asignar solo al piloto un SSID de prueba. No cambiar simultáneamente SSID de producción, VLAN o parámetros de radio en todas las sedes.
Con al menos dos clientes diferentes, probar asociación, DHCP, DNS, destinos permitidos, destinos internos bloqueados y un cambio entre dos AP si el roaming está incluido en el alcance.
Revisar la página de detalles del AP y Task queue por Failed o Invalid license. Ampliar al siguiente grupo de AP solo después de documentar el éxito.
Ante un error, volver a aplicar la asignación anterior conocida y los valores documentados de perfil, SSID, radio y gestión; después, repetir las comprobaciones de tarea, estado del AP y clientes. No empezar con reinicio, reset o cambio de VLAN de gestión.

Validación y solución de problemas

Para seguir una secuencia por síntomas que cubre Offline, aprovisionamiento bloqueado, conectividad de clientes, diagnóstico, VoIP, rendimiento y roaming, consulte la guía de solución de problemas de AP6.

AP ausente/offline: en My Products > Wireless > Access Points, revisar registro, Config status, IP interna y Last activity, luego PoE, puerto, concesión DHCP, DNS, NTP y salida a Sophos Fusion. Un alta fallida no implica automáticamente un problema de radio.

Cambio no aplicado: abrir Task queue en la página de detalles del AP. usar Retry solo para Failed, Skipped o Invalid license, una vez corregida la causa. Examinar Pending y usar Skip solo cuando corresponda. No omitir a ciegas una tarea desconocida.

SSID visible, pero sin tráfico: la administración funciona al menos parcialmente. Comprobar en el cliente IP, gateway y DNS y, después, las VLAN del switch, DHCP y las reglas de firewall a lo largo de la ruta de datos; un estado verde en Sophos Fusion no demuestra que la red cliente esté bien configurada.

Roaming/voz: comparar SSID, cifrado y bandas, medir RSSI/solape y verificar 802.11k/r; cambiar potencia, canal o Smart Handover uno por uno. Volver a recorrer el mismo trayecto de prueba tras cada cambio.