Desplegar de forma segura el firmware de Sophos AP6 en Central

Para un Sophos AP6 administrado de forma centralizada, la ruta más directa es My Products > Wireless > Access Points > Firmware upgrade. Selecciona los dispositivos y usa Now para actualizar de inmediato, Custom para una fecha y hora únicas o Recurring para aplicar automáticamente firmware nuevo cada día, semana o mes. Este artículo solo cubre AP6.

⚠️ Planifica una interrupción: durante la actualización, el AP6 no puede prestar servicio continuo a los clientes Wi-Fi. No apagues ni desconectes el punto de acceso durante la operación, pues podría dañarse. Estabiliza alimentación, PoE y enlace antes de empezar, y no interrumpas la operación con un reinicio o restablecimiento.

Plano de administración y ruta de datos

Sophos Fusion es el plano de administración: Central programa o inicia la tarea, y el AP6 descarga e instala el firmware. El tráfico cliente sigue pasando por AP6, switch/VLAN y gateway; no atraviesa Central. Por tanto, un portal Central disponible no mantiene la ruta Wi-Fi durante el reinicio del AP.

El AP6 debe estar registrado, en línea y accesible por su red de administración. Para el firmware más reciente se necesita además una suscripción de soporte válida. Consulta los requisitos de Central Wireless y la administración local o mediante Central.

Antes del despliegue

1. El responsable de versiones de Avanet exporta desde My Products > Wireless > Access Points modelo, Firmware actual, sitio, funciones configuradas, estado en línea y Last activity al registro del cambio. Una marca verde en la columna Firmware indica que está actualizado, una flecha azul señala una actualización disponible y un reloj indica una programación.
2. Al iniciar cada cambio abre las notas de la versión AP6 en vivo y registra Latest version, fecha, modelos afectados, correcciones, funciones y problemas conocidos. Esta consulta es obligatoria; una versión fija en este artículo nunca debe convertirse en objetivo.
3. El ledger de versiones de Avanet recoge fecha de revisión, versión candidata, versiones y modelos instalados, estado del soporte, funciones relevantes y enlaces al cambio y las notas. El responsable evalúa problemas conocidos, vulnerabilidades corregidas y avisos de seguridad, dependencias de switch, VLAN, RADIUS, portal cautivo y mesh, y cambios de configuración necesarios. Decide aprobar, aplazar o rechazar, con motivo y visto bueno del Service Owner.
4. Si se aprueba, define ventana, AP piloto, anillos pequeños por sitio/modelo, anillo amplio, periodo de observación, criterios de éxito y decisión de parada/avance por anillo. No se empieza una zona crítica por su único AP y ninguna combinación no aprobada entra en la fase.
5. Antes de cada anillo, el ingeniero comprueba suscripción de soporte, PoE, puerto, DHCP, DNS, salida a Central y copia o exportación de configuración. No comienza con alimentación inestable, un AP ya sin conexión o criterios pendientes.
6. El cambio define las mismas pruebas antes y después: SSID, autenticación, IP, gateway, DNS, destinos permitidos y, si se usan, VLAN, RADIUS, portal cautivo o mesh. Justo antes de ejecutar, responsable e ingeniero confirman objetivo, dispositivos, ventana, comunicación y límite de reversión.

MR10 1.10.3192: validar funciones y correcciones concretas

Referencia fechada: AP6 MR10 lleva la versión de firmware 1.10.3192. Las notas de versión indican el 24 de agosto de 2026 como fecha de publicación; el anuncio de MR10 del 8 de septiembre de 2026 describe el despliegue regional por fases y las funciones de administración asociadas. Estos datos no sustituyen la consulta actual de versiones ni la aprobación para tu propio tenant.

Para EU-Central, las fechas del anuncio se contradicen: el encabezado de la fase 3 dice «New Date Coming September 14, 2026», pero el texto inferior sigue indicando el 7 de septiembre de 2026. No se puede deducir que la disponibilidad regional se haya hecho efectiva. Antes de un cambio en el tenant afectado, comprueba el firmware ofrecido, la flecha de actualización o la descarga específica del modelo y las funciones Wireless necesarias. Si falta algo, aplaza el anillo y consulta la disponibilidad con Sophos Support. Una fecha histórica o un archivo de firmware disponible no demuestra que todas las funciones cloud estén ya disponibles en el tenant.

Actualiza primero solo el firmware del AP piloto y repite las pruebas de clientes existentes. Después valida por separado la nueva autenticación, Traffic Shaping o los valores del perfil; de lo contrario, no podrás atribuir un fallo de forma fiable al firmware o al cambio de configuración. Registra para cada función el valor anterior, el cambio previsto, el cliente utilizado y el resultado en el registro del cambio.

Entra ID y RADIUS por SSID

MR10 incorpora Microsoft Entra ID como proveedor de identidad cloud para SSID AP6 con Enterprise Authentication. Sigue el runbook de Entra ID para AP6. Siguen siendo obligatorios EAP-TTLS/PAP, la comprobación del certificado y la identidad del servidor y los límites de clientes y tenants descritos allí. Un Test connection satisfactorio es solo la primera etapa: después prueba un inicio de sesión real con una identidad piloto y un perfil de cliente aprobados, además de DHCP, DNS y destinos permitidos. El anuncio de Entra no elimina las restricciones de RADIUS VLAN assignment, Accounting o Captive Portal.

El anuncio de MR10 menciona la administración de RADIUS por SSID; las notas de versión documentan expresamente la asignación de servidores RADIUS por SSID en la interfaz local del AP6. Esto no garantiza que cualquier combinación de servidores o IdP distintos funcione sin conflictos en bandas de frecuencia solapadas. Registra primero la asignación de servidores/IdP y las bandas de todas las SSID Enterprise del AP piloto. Tras el cambio, vuelve a autenticarte en cada SSID afectada y comprueba en el registro RADIUS qué servidor procesa la solicitud. Si una asignación existente cambia inesperadamente, detén el proceso y restaura la configuración documentada; no omitas la comprobación de conflictos de bandas del runbook de Entra.

Con RADIUS clásico, comprueba también la asignación VLAN esperada y NAS Identifier. El anuncio de MR10 cita WIFIX-10111/10166 para asignaciones VLAN incorrectas con WPA2/WPA3 Enterprise y WIFIX-7922 para el número de serie del AP como NAS Identifier. La validación exige que coincidan la respuesta RADIUS, la VLAN real del cliente y la asignación NAS utilizada en el servidor. Esta comprobación RADIUS no es una prueba de VLAN dinámicas con el IdP Entra.

Traffic Shaping y WMM

Traffic Shaping para SSID AP6 se configura en Sophos Fusion en Advanced settings > Quality of service. Elige una SSID piloto, guarda su política anterior y comprueba el límite configurado mediante una transferencia controlada. Prueba en paralelo una SSID existente sin modificar. WIFIX-9535 afecta a políticas que dejaban de aplicarse tras varios días: repite la medición después de dos o tres días de funcionamiento antes de dar este caso por validado. Una prueba breve de rendimiento inmediatamente después de actualizar no basta.

WMM prioriza el tráfico inalámbrico y no equivale a limitar el rendimiento de una SSID. La administración de perfiles distribuye los valores WMM a uno o varios AP6. Las notas de versión sitúan la configuración WMM-EDCA de la pestaña Advanced Wireless en la versión de administración anterior Central 2026.29 del 20 de julio de 2026; no debe tratarse como una función nueva del firmware MR10. Mantén los valores predeterminados de WMM mientras no hayas validado otros en tu entorno inalámbrico. Si necesitas cambiarlos, utiliza primero un perfil asignado únicamente al AP piloto y compara voz o vídeo bajo carga de datos simultánea con el estado anterior. Si empeora el resultado, restaura los valores guardados del perfil y repite la misma prueba.

Otras comprobaciones de correcciones tras actualizar

Las siguientes comprobaciones solo se aplican a funciones utilizadas realmente. Una corrección documentada no demuestra que tu sitio ya funcione sin errores:

• WIFIX-12318: Un cambio de configuración piloto aprobado debe llegar al AP. Compara Task queue, la configuración aplicada y el efecto en los clientes; un estado de cola desbloqueada no basta.
• WIFIX-10877: Corrige una caída del daemon SD que provocaba el reinicio del AP. Registra el tiempo de actividad y los reinicios inesperados durante el periodo de observación acordado. Un único reinicio correcto tras actualizar no demuestra estabilidad a largo plazo.
• WIFIX-10717: Si utilizas Walled Garden, compara un destino de prueba permitido y otro bloqueado; la lista de bloqueo debe aplicar realmente la restricción prevista.
• WIFIX-10142: Corrige alertas de potencia incorrectas que aparecían de forma intermitente. Comprueba primero cualquier alerta nueva frente a la clase PoE, el presupuesto del puerto y el total; no la ignores por figurar una corrección.
• WIFIX-9594: MR10 actualiza Dnsmasq a 2.91 para corregir vulnerabilidades. Verifica la versión de firmware aprobada y repite tus pruebas DHCP/DNS. Sin pruebas adicionales, no deduzcas una aprobación completa de seguridad del dispositivo.

Fusion Wireless 2026.41: versión de administración independiente

Versión de administración posterior: Fusion 2026.44, publicada el 12 de octubre de 2026. Los detalles de 2026.41 siguen como referencia.

Las notas de versión consultadas el 11 de octubre de 2026 indican Fusion 2026.41, publicada el 22 de septiembre de 2026, como versión de administración actual. Es una versión posterior de la administración Wireless y no una versión de firmware AP6 1.10.41. Las funciones nuevas requieren la licencia correspondiente; comprueba por separado su visibilidad en tu tenant y el firmware del AP piloto. Para esta versión de administración, las notas no indican funciones nuevas en la interfaz local ni problemas corregidos.

En la administración de perfiles AP, la pestaña Network settings ofrece ajustes para los puertos Ethernet cableados: Spanning Tree Protocol (STP), Internet Group Management Protocol (IGMP) snooping, Link Layer Discovery Protocol Media Endpoint Discovery (LLDP-MED) y, exclusivamente para AP6 840E, port trunking. No actives estas opciones automáticamente junto con MR10. Registra primero el perfil existente, los AP asignados y la configuración correspondiente de los puertos del switch. Aplica cualquier cambio necesario solo al perfil piloto y comprueba después la accesibilidad de administración, el enlace Ethernet y la ruta del cliente afectada. Si aparecen efectos inesperados, detén las siguientes asignaciones del perfil y restaura los valores documentados del perfil y del switch. La presencia de la opción no garantiza una configuración concreta de trunking ni su uso en otro modelo AP6.

En Diagnostics > System logs puedes activar la opción advanced diagnostic logging. Sirve para investigar problemas concretos, no para actualizar el firmware. Durante la investigación, registra hora, AP y síntoma reproducido, guarda los registros pertinentes y desactiva después el registro adicional o restablece su estado anterior documentado. Revisa los registros para detectar credenciales y datos personales antes de compartirlos. No intentes hacer aparecer opciones ausentes del tenant mediante un restablecimiento o una supuesta reversión de firmware.

Actualizar ahora, una vez o periódicamente en Central

1. Abre My Products > Wireless > Access Points y haz clic en Firmware upgrade.
2. Selecciona solo los AP del piloto o de la fase prevista y pulsa Choose schedule.
3. Elige una opción:
   • Now: Upgrade inicia inmediatamente la actualización de los AP seleccionados.
   • Custom: selecciona fecha y hora únicas y pulsa Save.
   • Recurring: selecciona periodicidad diaria, semanal o mensual. Las actualizaciones se aplican automáticamente a los AP seleccionados. El valor predeterminado mostrado es semanal, los martes a las 03:00; adáptalo deliberadamente a tu ventana de mantenimiento.
4. Vuelve a la lista y verifica la selección y el icono de Firmware. Debe aparecer un reloj para un AP programado.

Antes del inicio, cancela mediante Firmware upgrade, selección del AP6 y Cancel schedule. Es un límite seguro de parada, no una reversión de firmware.

Despliegue por fases bajo responsabilidad de Avanet

El ingeniero registra inicio, fin, AP seleccionados y estado de Central de cada fase; el responsable de versiones de Avanet solo libera el anillo siguiente tras validar el anterior:

1. Piloto: actualiza un AP6 representativo que no sea el único dispositivo crítico. Ejecuta todas las pruebas cliente y obsérvalo durante un periodo representativo.
2. Grupo pequeño: actualiza una fase pequeña del mismo modelo y configuración similar, conservando suficiente cobertura fuera de la fase simultánea en cada sitio.
3. Despliegue amplio: programa otros grupos solo tras documentar el éxito del piloto. No presupongas que mesh, RADIUS o portal cautivo se comportan igual que un AP autónomo sencillo.
4. Resto: busca en Central flecha azul, reloj o una versión distinta. El responsable concilia el resultado con el ledger y documenta si se actualiza o se aplaza.

Antes de una fase, la vuelta segura consiste en cancelar su programación y dejar los AP aún no actualizados en su versión existente, no en inventar un downgrade.

Actualizar un AP6 localmente

La interfaz local ofrece dos orígenes en Advanced > Update firmware:

• Auto: el AP6 obtiene el firmware automáticamente de Sophos. La página muestra Current Firmware Version, Server Firmware Version y Status.
• a file on your PC: en Central, abre My Environment > Installers y, en Wireless, pulsa Download firmware for your wireless. Extrae del archivo exactamente el .tar.gz.sig correspondiente al modelo AP6. En la interfaz local abre Advanced > Update firmware > a file on your PC > Choose file, selecciona el fichero, pulsa Open y después Update.

El firmware más reciente también requiere registro en Central y suscripción de soporte válida. La carga local no elude estos requisitos. No mezcles paquetes de modelos, no alteres el fichero firmado y no desconectes alimentación ni red.

Validar el resultado

Tras el reinicio, espera a que el AP6 vuelva a estar en línea. En Central compara el Firmware mostrado con la versión aprobada; la marca verde indica una versión actual. En administración local revisa Current Firmware Version, Server Firmware Version y Status.

Conecta un cliente real y repite las pruebas. El estado de administración en línea no basta: autenticación, DHCP, gateway, DNS y destinos permitidos deben funcionar. Comprueba específicamente VLAN, RADIUS, portal cautivo o mesh si existen. El ingeniero registra resultado, modelo, versiones, hora y desviaciones; el responsable actualiza el ledger y solo libera el siguiente anillo si se cumplen todos los criterios.

Resolver problemas de forma segura

No se ofrece actualización: comprueba registro, suscripción, estado en línea y Last activity; después, la flecha azul y las notas de versión. Un AP ya actualizado no necesita una tarea.

La programación no se inicia: confirma el AP correcto y el reloj en la columna firmware. Reabre fecha, hora y recurrencia. Antes del inicio, cancela y crea una programación limpia en vez de programaciones paralelas.

Se rechaza la carga local: descarga otra vez el archivo y verifica el .tar.gz.sig del modelo exacto. No lo renombres, edites ni descomprimas más. Anota modelo, versión, nombre de fichero, hora y mensaje.

El AP queda sin conexión: no cortes alimentación ni uses Factory default como primera medida. Comprueba PoE, puerto, concesión DHCP y conexión con Central. Si vuelve, valida firmware y ruta cliente. Si sigue sin ser accesible o la actualización informa de un error, el responsable detiene los anillos siguientes y registra hora, modelo, número de serie, versiones, estado y comprobaciones, y el ingeniero abre el caso con soporte de Sophos. La guía de diagnóstico de AP6 sin conexión explica cómo comprobar la alimentación y la conectividad de gestión.

Límite seguro de reversión

Este proceso AP6 no dispone de downgrade de firmware aprobado. No cargues una imagen antigua a modo de prueba ni prometas una reversión. Antes de empezar, el ingeniero usa Cancel schedule y el responsable bloquea los anillos siguientes en el cambio y el ledger. Si ya se actualiza, conserva alimentación y red, espera el final o un error claro y captura el estado. El responsable decide entre restaurar condiciones de alimentación, red o configuración, escalar a soporte o sustituir el equipo; el despliegue solo continúa tras documentar la recuperación y renovar la aprobación. Un restablecimiento no recupera automáticamente el firmware anterior.