Reinstalar Sophos Firewall OS: reimage con USB

Un reimage instala Sophos Firewall OS completamente de nuevo. El procedimiento está pensado para situaciones de recovery, sistemas de laboratorio, cambios de modelo o una reinstalación limpia. Para cambios normales de versión, normalmente es mejor hacer una actualización de firmware desde la interfaz WebAdmin.

⚠️ Importante: Un reimage sobrescribe por completo el firewall. La configuración, los logs locales, los certificados, los informes y los datos de cuentas guardados dejan de estar disponibles en el dispositivo. Antes de empezar se necesita un backup actual y el Secure Storage Master Key (SSMK) correcto si más adelante se deben restaurar datos de configuración cifrados.

¿Reimage, actualización de firmware o Factory Reset?

Para una actualización normal, conviene revisar primero el artículo Sophos Firewall: ejecutar la actualización de firmware SFOS. Un Factory Reset tampoco es lo mismo que un reimage: restablece la configuración, pero no elimina todos los datos locales como una reinstalación completa. El Secure Storage Master Key tampoco se borra durante un Factory Reset. Si el firewall debe volver realmente a un estado default limpio, incluidos logs, informes y datos operativos locales, el reimage es el camino más adecuado. Para appliances XGS con firmware dañado, Sophos remite al procedimiento de reimage, porque SFLoader no está disponible para XGS.

Cuándo no se debería iniciar un reimage

Un reimage es la variante de recovery más drástica. Si todavía es posible acceder normalmente a la administración, primero se debería comprobar si basta con un método menos invasivo.

Reimage tiene sentido si el sistema operativo está dañado, se desea una reconstrucción limpia o Sophos Support o el plan de recovery indican este camino. Para mantenimiento normal, problemas aislados de GUI o problemas de rendimiento sin aclarar, normalmente es demasiado pronto.

Guardar antes del reimage

Antes de un reimage productivo se deberían preparar estos puntos:

• Descargar el backup de configuración actual y guardarlo de forma segura.
• Documentar el Secure Storage Master Key si el backup contiene datos de cuentas cifrados.
• Comprobar el estado de licencia, el número de serie y la asignación a Sophos Central.
• Documentar modelo, revisión, versión SFOS actual, build, versión objetivo y versión del backup.
• Anotar por separado datos WAN, VLAN, rutas estáticas, parámetros VPN e información especial de HA.
• Planificar una ventana de mantenimiento, porque durante el reimage el firewall no protege ni procesa tráfico.
• Asegurar el acceso local a la appliance, alimentación eléctrica, puerto USB y puerto de gestión.
• Comprobar previamente el proceso de restore, especialmente en clústeres HA y ubicaciones VPN críticas.
• Guardar logs o archivos de soporte si la causa debe analizarse más tarde.

Las bases correspondientes están en Sophos Firewall: crear y restaurar backup, Sophos Firewall: comprobación de upgrade a SFOS 22 y Clúster HA de Sophos Firewall: Active-Passive, Active-Active y Auxiliary Appliance.

Si el reimage forma parte de un escenario RMA o HA, esta documentación es todavía más importante. Entonces no solo cuenta la versión principal, sino también el build. Un dispositivo de sustitución debería coincidir con el firewall sano o llevarse conscientemente a la versión objetivo antes de iniciar backup, transferencia de licencia y reconfiguración de HA.

Aclarar antes la compatibilidad del restore

La parte más importante de un reimage no es escribir la memoria USB, sino conseguir después un restore correcto. Un backup no debería evaluarse por primera vez después de la reinstalación.

Aclarar antes:

En sustituciones de hardware, migraciones de XG a XGS o restores en otro modelo, se debería comprobar además si está disponible el Backup-Restore Assistant y si la asignación de puertos es correcta antes del restore final. El proceso está descrito en Sophos Firewall Backup erstellen oder wiederherstellen.

Para HA y RMA se aplica como regla práctica: la versión de firmware y el build de los dispositivos implicados se comprueban antes del restore. Si la versión antigua de firmware necesaria ya no se puede descargar por la vía normal, no conviene improvisar; se debería incluir a Sophos Support o el proceso de soporte existente.

Requisitos

• Sophos Firewall Appliance o una Software Appliance o Virtual Appliance adecuada.
• Memoria USB con al menos 4 GB de capacidad.
• Equipo Windows, macOS o Linux para crear la memoria USB arrancable.
• Herramienta para escribir la imagen ISO, por ejemplo balenaEtcher.
• Acceso local a la appliance.
• Opcional: cable USB a Micro-USB o adaptador RJ45-COM para mensajes de estado y diagnóstico mediante consola serie.

Para el reimage en sí no se necesita autorización de Enhanced Support. Para upgrades de firmware regulares se aplican, en cambio, las condiciones de licencia y soporte correspondientes.

1. Descargar la imagen adecuada del instalador SFOS

La imagen del instalador se obtiene desde la página oficial de descargas de Sophos:

1. Abrir Sophos Firewall Installer. También es posible usar la descarga directa.
2. Para Sophos Hardware Appliances, seleccionar la versión SFOS deseada en Hardware Installers.
3. Aceptar las condiciones de licencia y descargar la imagen ISO.

En Hardware Appliances normalmente se utiliza una imagen con el prefijo HW. Software Appliances y Virtual Appliances usan otros tipos de imagen. Lo decisivo es que la plataforma, la versión objetivo y el plan de restore encajen. Una imagen incorrecta no es un pequeño detalle cosmético, sino que puede detener el proceso de recovery.

Nombre de archivo de la imagen del instalador

Ejemplo: HW-22.0.1_MR-1-490.iso

Los componentes más importantes del nombre de archivo:

• Plataforma o tipo de appliance

  • HW: imagen ISO para Sophos Hardware Appliances. Para el reimage de una XGS Appliance normalmente se necesita esta variante.
  • SW: imagen ISO para Sophos Firewall como Software Appliance.
  • VI: paquete de imagen para Sophos Firewall como Virtual Appliance.
  • AMI: imagen para Amazon AWS.
  • AZU: imagen para Microsoft Azure.

• Plataforma de virtualización en archivos VI

  • HYV: Microsoft Hyper-V.
  • KVM: KVM.
  • VMW: VMware Hypervisor.
  • XEN: Xen.

• Tipo de release

  • GA: General Availability. Es una versión principal o intermedia disponible de forma general, a menudo con funciones nuevas.
  • MR: Maintenance Release. Un MR contiene sobre todo correcciones, mejoras de estabilidad y ajustes de seguridad dentro de una versión existente.

• Extensión de archivo

  • .iso: imagen ISO que se puede escribir en una memoria USB o utilizar para Software Appliances.
  • .zip: archivo con ficheros de imagen para Virtual Appliances.
  • .sig: imagen firmada para determinados modelos de appliance o escenarios de actualización.

Para sistemas productivos, normalmente el MR actual de una versión soportada es mejor opción que una versión GA recién publicada. Pero si un reimage forma parte de un caso de recovery o soporte, la versión objetivo siempre debe encajar con el backup existente, el estado de licencia y el restore previsto.

Para un reimage de XGS, por tanto, normalmente es relevante un archivo como HW-22.0.1_MR-1-490.iso. SW, VI, AMI o AZU están pensados para otras plataformas y no se deberían utilizar para una Hardware Appliance.

2. Crear una memoria USB arrancable

La memoria USB se formatea al escribir la imagen ISO. Todos los datos existentes en la memoria USB se pierden.

1. Conectar al equipo una memoria USB con al menos 4 GB de capacidad.
2. Descargar e iniciar balenaEtcher.
3. Seleccionar con Flash from file la imagen ISO de SFOS descargada.
4. Seleccionar en Select target la memoria USB correcta.
5. Escribir la imagen ISO en la memoria USB con Flash!.

Después del proceso de escritura, la memoria USB debería expulsarse correctamente. Si macOS o Windows indican después que la memoria no es legible, no tiene por qué ser un error, porque la imagen se escribió para el proceso de arranque de la appliance.

3. Reinstalar SFOS en el firewall

El proceso de reimage se ejecuta directamente en la appliance. Durante el proceso no se debe apagar el dispositivo.

1. Apagar el firewall por completo.
2. Preparar opcionalmente monitor, LCD o consola serie si se debe observar el estado de instalación.
3. Insertar en el firewall la memoria USB preparada.
4. Encender el firewall.
5. Esperar hasta que Sophos Firmware Installer arranque desde la memoria USB.
6. Supervisar el estado de instalación según el modelo de appliance.
7. Tras una instalación correcta, retirar la memoria USB.
8. Si después el instalador solicita confirmación, reiniciar con y.

Estado en XGS Desktop Appliances

Muchos modelos XGS Desktop no tienen conexión VGA, SVGA o HDMI para una pantalla. Por eso, el estado del reimage se muestra mediante el LED de estado del frontal. Si se necesitan más detalles, se utiliza la consola serie a través del puerto COM.

El reimage solo ha terminado cuando el LED se ilumina en verde fijo. Mientras el LED parpadea en rojo, el proceso sigue en curso.

Estado en XGS Rack Appliances

Las Rack Appliances muestran el estado mediante la pantalla integrada. Mensajes típicos son Installation in progress, Installation successful, Installation failed o Failsafe mode.

Estado mediante consola serie

Para diagnóstico adicional se puede conectar una consola. En las XGS Desktop Appliances actuales, en el día a día normalmente ya no se trata de un puerto RS-232 clásico antiguo en el portátil, sino de un cable USB a Micro-USB conectado al puerto COM Micro USB del firewall. Aun así, la appliance proporciona una consola serie a través de ese puerto. En el equipo de administración aparece como puerto COM en Windows o como dispositivo tty en macOS y Linux.

Esto es especialmente útil si no existe conexión de pantalla, el LED permanece rojo fijo, el arranque desde la memoria USB no está claro o se quieren ver directamente los mensajes del instalador y de error. Muchos modelos XGS tienen además un puerto RJ45-COM. Ese puerto RJ45-COM es una conexión de consola, no un puerto de red normal. Si Micro-USB y RJ45-COM están conectados al mismo tiempo, Micro-USB tiene prioridad.

Herramientas típicas:

• Windows: PuTTY, Windows Terminal u otro cliente de terminal serie.
• macOS: Terminal con screen, por ejemplo screen /dev/tty.usbserial-XXXX 38400.
• Linux: screen, minicom o picocom.

Ajustes serie:

4. Acceder al firewall después del reimage

Después del reimage, el firewall arranca con configuración estándar. El primer acceso se realiza normalmente por Port 1:

• IP de gestión: https://172.16.16.16:4444
• Conexión: conectar el equipo directamente al Port 1 del firewall
• IP del equipo: configurar una IP estática adecuada en la red 172.16.16.0/24 si no es posible acceder

Después sigue la configuración básica o el restore de un backup existente. Durante el restore debe indicarse el Secure Storage Master Key correcto si el backup contiene datos de cuentas protegidos.

Después del restore se deberían comprobar al menos estos puntos:

• Interfaces, zonas y VLAN.
• Default Gateway, rutas estáticas y rutas SD-WAN.
• Reglas de firewall, reglas NAT y protección de servidores web.
• Conexiones VPN y certificados.
• Estado de licencia y sincronización con Sophos Central.
• Estado HA si el firewall forma parte de un clúster.
• Logging, destinos syslog y reporting.

Para firewalls gestionados desde Central también ayuda Conectar Sophos Firewall con Sophos Central. En cambios de modelo o dispositivos más antiguos es relevante Sophos XG o XGS Firewall: elegir la appliance correcta.

No tratar HA y RMA como un dispositivo individual

En un único equipo de laboratorio, un reimage suele ser lineal: escribir imagen, instalar, restaurar backup, probar. En HA y RMA, el proceso es más sensible. Hay que saber antes qué dispositivo está sano, qué rol tiene, qué versión de firmware y qué build ejecuta y si primero hay que limpiar Sophos Central o la transferencia de licencia.

En entornos Active-Passive, un dispositivo de sustitución no debería conectarse simplemente al clúster con todos los cables. Lo habitual es un proceso controlado: comprobar el nivel de firmware, alcanzar el dispositivo de sustitución localmente por Port 1, conectar WAN solo para registro o transferencia de licencia, restaurar el backup adecuado, reconstruir HA de forma consciente y solo después cambiar los cables productivos. El orden exacto depende de si se sustituye el Primary o la Auxiliary.

Prueba de aceptación después de reimage y restore

Después de un login correcto, una mirada rápida al dashboard no basta. El firewall debe volver a servir correctamente las rutas productivas más importantes.

Orden razonable:

1. Comprobar estado de licencia, número de serie, modelo y versión de firmware.
2. Controlar interfaces, link status, VLAN y zonas.
3. Comprobar WAN Gateway, DNS, NTP y conexión con Sophos Central.
4. Validar reglas de firewall, reglas NAT y Log Viewer con un cliente de prueba.
5. Probar Site-to-Site VPNs y Remote Access con destinos de prueba reales.
6. Comprobar estado y roles HA si participa un clúster.
7. Controlar syslog, Central Reporting, backups e informes programados.
8. Eliminar antiguos accesos temporales, cuentas locales de administrador o excepciones de recovery.

Si un restore fue correcto pero el tráfico no fluye, no se debería hacer inmediatamente otro reimage. A menudo están implicados el interface mapping, routing, NAT, Device Access, estado de licencia o la ruta de retorno del peer. Para el análisis son adecuados Probar reglas de firewall con Log Viewer, Policy Test y Packet Capture, Entender NAT en Sophos Firewall y Sophos Firewall IPsec VPN Troubleshooting.

Problemas frecuentes

El firewall no arranca desde la memoria USB

La mayoría de las veces la memoria USB no se escribió correctamente, se eligió la imagen equivocada o la appliance no arranca desde el puerto USB esperado. En ese caso, volver a escribir la ISO con balenaEtcher, probar otra memoria USB y observar el arranque mediante monitor, LCD, LED de estado o consola serie.

El LED permanece rojo fijo

Un LED de estado rojo fijo significa que el reimage ha fallado. Entonces no conviene seguir trabajando a ciegas en producción: comprobar memoria USB, tipo de imagen, modelo objetivo y mensaje de instalación. Si el error se repite, la consola serie y Sophos Support son más útiles que varios intentos idénticos.

El backup restore falla

Causas típicas son una versión objetivo inadecuada, un backup dañado, un SSMK ausente o un restore en otro modelo sin una asignación de puertos limpia. Primero comprobar versión del backup, versión SFOS objetivo, build, plataforma y SSMK. Después aclarar si se necesita Restore Assistant, un paso intermedio mediante otra versión SFOS o soporte.

WebAdmin no es accesible después del reimage

Después del reimage vuelve a aplicarse la configuración estándar. Se conecta el equipo directamente a Port 1, se configura una IP adecuada en la red 172.16.16.0/24 y se abre https://172.16.16.16:4444. Si eso no funciona, comprobar primero link status, IP local del cliente, advertencia de certificado del navegador y, si procede, el estado de arranque.

HA no arranca limpiamente después del restore

En HA, a menudo el problema no es el reimage en sí, sino el rol, el nivel de firmware, el build, el Initial Primary, la asignación a Central o el orden de restore. Por eso no se debe reactivar HA automáticamente, sino documentar primero el estado de ambos dispositivos y compararlo con el proceso HA previsto.

El tráfico no fluye después del restore

Si la configuración se restauró, pero el tráfico no funciona, a menudo intervienen interface mapping, zonas, routing, NAT, Device Access, estado de licencia o rutas de retorno. En ese caso, Log Viewer, Rule ID, NAT ID, Route Lookup y Packet Capture ayudan más que otro reimage.

Falta la licencia o la conexión con Central

Después de reimage, RMA o cambio de modelo, número de serie, asignación de cuenta, transferencia de licencia, DNS, gateway y conexión con Sophos Central deben volver a encajar. Solo cuando el firewall está correctamente online se debería derivar de ello un estado productivo.

Checklist

• Backup descargado.
• Secure Storage Master Key disponible.
• Versión del backup y versión SFOS objetivo documentadas.
• Firmware build y revisión del modelo comprobados, especialmente en HA o RMA.
• Número de serie, estado de licencia y asignación a Central comprobados.
• Imagen adecuada del instalador SFOS elegida.
• Memoria USB escrita correctamente.
• Ventana de mantenimiento y acceso local aclarados.
• Appliance no apagada durante el reimage.
• WebAdmin alcanzado por Port 1 después del reinicio.
• Backup restaurado y SSMK introducido.
• Red, VPN, licencia, Central y HA comprobados.
• Pruebas de reglas, NAT, routing y VPN realizadas con clientes reales.
• Accesos temporales de recovery y notas limpiados.

FAQ