Gérer un Sophos AP6 localement ou avec Sophos Fusion

Un Sophos AP6 se gère localement depuis sa propre interface web ou de façon centralisée dans Sophos Fusion (anciennement Sophos Central). La première option peut suffire pour un AP6 autonome. Pour plusieurs AP6, nous recommandons Sophos Fusion : inventaire, état, firmware, profils et affectations de SSID y sont regroupés. Sophos Firewall n’est en revanche pas un contrôleur AP6.

Décision rapide : gestion locale pour un AP6 dont la configuration est bien documentée ; Sophos Fusion pour plusieurs appareils, plusieurs sites ou une vue d’exploitation commune. Vérifier d’abord les exigences réseau.

Distinguer plan de gestion et chemin des données

Le plan de gestion transporte configuration, états et tâches. En local, le navigateur joint directement l’adresse IP de l’AP6 ; avec Sophos Fusion, l’AP6 établit une connexion de gestion via le réseau et Internet.

Le chemin des données suit client Wi-Fi, AP6, switch ou VLAN, puis passerelle ou pare-feu. Choisir Sophos Fusion ne fait pas transiter automatiquement ce trafic par le cloud. Un AP peut donc être en ligne dans Sophos Fusion alors que DHCP, VLAN, DNS ou une règle de pare-feu bloque le client.

Derrière un SD-RED, un AP6 séparé reste un AP6 administrable localement ou dans Sophos Fusion ; il ne devient pas le module Wi-Fi du SD-RED. Son trafic peut emprunter le chemin RED tandis que son administration suit le mode de gestion AP6 choisi. Il faut tester l’accès à Sophos Fusion depuis le réseau distant réel, sans présumer qu’il sera toujours joignable. La configuration de Sophos RED est une procédure distincte.

Quel matériel se gère où ?

Matériel/type	Gestion	GUI locale	Sophos Fusion	SFOS	Licence requise ?	Plusieurs AP	Roaming/coordination
AP6	locale ou Sophos Fusion	oui	oui	non	uniquement avec Sophos Fusion : oui, par AP6	Sophos Fusion conseillé	fonctions AP6 ; décision client
XGS Appliance modèle W	SFOS `LocalWiFi`	GUI SFOS	via gestion Firewall	oui	non	limité	radio locale
Module Wi-Fi Firewall	SFOS	GUI SFOS	pas comme AP	oui	non	limité	fonctions SFOS
Module Wi-Fi SD-RED	Sophos Firewall	non	non	oui	non	limité	fonctions SFOS

Le Wi-Fi intégré d’un modèle W est LocalWiFi et reste rattaché au pare-feu. Un module Wi-Fi compatible dans un pare-feu ou un SD-RED dépend également du contrôleur wireless SFOS. Pour ces déploiements SFOS, suivre Configurer le Wi-Fi sur Sophos Firewall.

Gérer un AP6 localement

Ouvrir l’adresse IP de l’AP6. Sophos indique 192.168.2.2 à l’état d’usine et l’utilisateur admin ; le mot de passe individuel figure sur l’appareil et dans la boîte. La première connexion impose un nouveau mot de passe et le code pays. Après DHCP, l’adresse réelle peut différer.

Cette option évite une licence de gestion cloud, mais configuration, sauvegarde, firmware et historique doivent être suivis appareil par appareil. Avec plusieurs AP6, les divergences de SSID, sécurité ou radio sont plus probables. Relever les valeurs et prévoir un retour arrière avant toute modification.

Exploiter plusieurs AP6 dans Sophos Fusion

Le chemin actuel est My Products > Wireless > Access Points. La liste fournit notamment nom, IP, modèle, état de configuration, charge, canal, profil, firmware, uptime et dernière activité. Register enregistre un AP6 ; Register > Bulk Provisioning importe plusieurs numéros de série par CSV. L’Onboarding Wizard décrit le premier enregistrement.

Cliquer sur un AP ouvre sa fiche. Settings regroupe configuration, radios et SSID affectés ; Task queue affiche Created, Pending, In progress, Failed, Success, Skipped ou Invalid license. My Products > Wireless > Access Points > Profile management applique certains réglages à plusieurs AP6.

⚠️ Impact : Save met immédiatement l’AP à jour, avec une brève coupure possible. Tester profil ou changement groupé sur un AP pilote avant les autres sites.

Affecter un calendrier de redémarrage central par profil

Un Reboot schedule central se configure dans la gestion des profils, et non dans le calendrier du firmware. Le calendrier local sous Advanced > Reboot schedule suit une procédure distincte. Avant une modification centrale, documenter le profil précédent, les affectations des AP, les valeurs locales de redémarrage et l’heure de l’appareil avec son fuseau horaire. AP6 Support and Services doit être valide pour chaque AP pilote géré centralement.

⚠️ Le redémarrage planifié déconnecte les clients Wi-Fi. Choisir un créneau hors des heures d’utilisation et n’affecter d’abord qu’un AP pilote adapté. Un redémarrage régulier ne remplace pas l’analyse des causes et ne promet ni durée d’interruption précise ni gain général de performances ou de sécurité.

Ouvrir My Products > Wireless > Access Points > Profile management et créer un profil pilote dédié avec Create profile ; renseigner Name et éventuellement Description. Ne pas modifier au passage un profil partagé existant pour ce test.
Développer Management > Reboot schedule et activer le commutateur.
Choisir délibérément Maintain local configuration : lorsque l’option est cochée, les valeurs de redémarrage configurées localement sur l’AP restent applicables. Elle ne signifie pas « désactiver tous les calendriers ». Pour un calendrier imposé centralement, ne pas la sélectionner et définir Weekday et Start time, par exemple un dimanche approuvé à 03:00. Jours et heure sont des exemples ; comparer fuseau horaire, heure d’été et heure réellement affichée par l’appareil avant le premier créneau, sans supposer un effet non vérifié du fuseau horaire.
Choisir Save & assign APs, sélectionner uniquement l’AP pilote et enregistrer l’affectation avec Save. Add APs later enregistre en revanche le profil sans affectation immédiate.
Rouvrir le profil enregistré et comparer valeurs et affectation. Sur la page de l’AP, vérifier Task queue et les paramètres effectifs. Après l’horaire prévu, contrôler l’uptime ou le dernier redémarrage, la connexion des clients, DHCP, DNS et une destination autorisée. N’affecter d’autres AP qu’après validation réussie.

En cas d’écart, arrêter les nouvelles affectations et restaurer les valeurs de profil et affectations précédemment approuvées ; si la configuration locale est conservée, contrôler aussi le calendrier local. Ne pas utiliser Maintain local configuration comme bouton d’arrêt universel. Comparer ensuite à nouveau les valeurs enregistrées et effectives. Un redémarrage en cours ne peut pas être annulé ; si l’AP reste injoignable, vérifier d’abord PoE, port du switch et chemin d’administration, sans le réinitialiser.

Network settings filaires dans le profil

Profile management > Network settings > Advanced settings concerne les ports Ethernet de l’AP6, et non les canaux radio ou une mise à niveau du firmware. Maintain local configuration conserve ici les paramètres réseau locaux. N’imposer centralement que les fonctions nécessaires : STP management, IGMP snooping, LLDP-MED settings et Port trunking, cette dernière exclusivement sur AP6 840E. L’option de profil central ne garantit pas une commande identique de chaque fonction dans chaque interface locale.

Avant toute modification, relever modèle d’AP, affectation du profil, valeurs locales et configuration correspondante du port du switch, puis garantir un accès d’administration indépendant. Ne modifier qu’une option réseau nécessaire sur le pilote, enregistrer et affecter selon la procédure de profil ci-dessus ; vérifier ensuite Task queue, valeurs effectives, lien Ethernet, accès d’administration et chemin client. En cas d’effet inattendu, arrêter les nouvelles affectations et restaurer de façon contrôlée les valeurs documentées du profil, de l’AP local et du switch. La présentation existante de l’état de gestion Wireless et des limites de déploiement reste le point de relais pour les versions et le firmware ; cette modification de profil ne justifie pas une mise à jour non vérifiée du firmware.

AP6 Support and Services : licence et expiration

Chaque AP6 géré dans Sophos Fusion exige une licence AP6 Support and Services ; la quantité doit correspondre au parc. Elle inclut la gestion AP6 dans Sophos Fusion, firmware, support 24/7 et Advanced RMA. La gestion locale d’un AP6 et le Wi-Fi géré par Sophos Firewall ne nécessitent pas cette licence AP6. Voir aussi Comment Sophos Fusion est-il licencié ?.

Sophos Fusion avertit si la licence manque ou si la quantité est insuffisante. La limite documentée est précise : sans licence valide, les modifications d’AP6 via Sophos Fusion sont bloquées. Sophos ne dit pas ici que le trafic client s’arrête ou que la configuration existante disparaît ; ne pas le déduire. Le support personnel par téléphone, chat ou ticket requiert également un support valide.

Séparer matériel, AP6 Support and Services et mode de gestion dans le budget. Selon notre analyse tarifaire de septembre 2026, le matériel AP6 augmente de 10 % le 1er novembre 2026 et un an d’AP6 Support passe de 5 % à 10 % du prix matériel. Cela ne prouve pas une hausse générale d’un abonnement Sophos Wireless.

Encadrer les attentes de roaming

Le client déclenche finalement le roaming. SSID et sécurité identiques avec des cellules qui se chevauchent peuvent donc permettre le passage sans rendre Sophos Fusion obligatoire. La plateforme facilite cohérence et visibilité, mais ne remplace pas l’étude radio.

Sophos indique pour la planification AP6 un niveau de signal minimal de -67 dBm pour la voix et de -72 dBm pour les données, ainsi qu’environ 15–20 % de recouvrement. Ce sont des repères à mesurer, pas une garantie universelle. AP6 prend en charge 802.11k, 802.11r et Smart Handover, pas forcément les clients. Smart Handover déconnecte sous le seuil RSSI choisi : l’activer seulement après un site survey.

Déployer avec un AP pilote

Documenter modèle, série, site, port, PoE, réseau et mode de gestion, ainsi que les valeurs précédentes du profil, des SSID, des radios et de la gestion.
Tester DHCP, DNS, NTP, Internet, trunk VLAN et passerelle séparément pour AP et clients.
Enregistrer un AP6 réinitialisé sous My Products > Wireless > Access Points > Register et attendre un état à jour.
Affecter un SSID de test au seul pilote, sans changement global.
Avec deux clients différents, tester association, DHCP, DNS, destinations autorisées, destinations internes bloquées et, si prévu, roaming.
Vérifier la fiche et Task queue pour Failed ou Invalid license. Ne déployer le groupe d’AP suivant qu’après avoir documenté la réussite des tests.
En cas d’échec, réappliquer l’affectation précédente connue et les valeurs documentées du profil, des SSID, des radios et de la gestion, puis revérifier la tâche, l’état de l’AP et les clients. Ne pas commencer par un redémarrage, un reset ou un changement de VLAN de gestion.

Validation et dépannage

Pour une démarche guidée par les symptômes couvrant Offline, le provisioning bloqué, la connectivité client, les diagnostics, la VoIP, les performances et le roaming, consultez le guide de dépannage AP6.

AP absent ou offline : dans My Products > Wireless > Access Points, contrôler enregistrement, Config status, IP interne et Last activity, puis PoE, port, DHCP, DNS, NTP et sortie vers Sophos Fusion.

Modification non appliquée : ouvrir Task queue. Utiliser Retry uniquement pour Failed, Skipped ou Invalid license, après correction de la cause. Examiner Pending et n’utiliser Skip que si cela convient. Ne jamais ignorer à l’aveugle une tâche inconnue.

SSID visible, trafic impossible : vérifier IP, passerelle et DNS du client, puis VLAN du switch, DHCP et règles de pare-feu. Un état vert dans Sophos Fusion ne valide pas le chemin des données.

Roaming ou voix instable : comparer SSID, chiffrement et bandes, mesurer RSSI et recouvrement, vérifier 802.11k/r côté client. Modifier puissance, canal ou Smart Handover un par un, puis refaire le même parcours.