Mettre à jour le firmware sur Sophos Firewall

Ce guide explique comment préparer et installer en sécurité une mise à jour firmware sur Sophos Firewall.

⚠️ Remarque importante concernant les anciennes appliances : SFOS 21.x et les versions 21 ultérieures ne prennent plus en charge les appliances matérielles XG et SG. Si une XG est encore utilisée, il faut vérifier avant chaque upgrade si une migration vers XGS est nécessaire. Les articles Quelle est la différence entre un pare-feu XG et XGS ? et Calendrier Sophos Product Lifecycle sont utiles à ce sujet.

Info : Ce guide suppose qu’une appliance prise en charge avec Enhanced Support valide est disponible, ou que l’appareil se trouve encore dans la période des premières mises à jour gratuites. Avant chaque mise à jour, il faut d’abord créer une sauvegarde Sophos Firewall. La mise à jour est installée sur la deuxième partition et un rollback est disponible en cas de besoin. Malgré cela, il ne faut jamais mettre à jour sans sauvegarde.

Télécharger manuellement le firmware SFOS

Avant d’installer le nouveau firmware, il doit être obtenu via Sophos Central ou la page de téléchargement du firmware.

• Image firmware SFOS pour appliances matérielles prises en charge
• SF300 correspond à la série XG
• SF310 correspond à la série XGS

Images firmware SFOS pour appliances logicielles (machines virtuelles)

Firmware SFOS pour appliances cloud

Remarque : Avec Enhanced Support, le firmware le plus récent peut souvent être téléchargé directement via le GUI. La méthode manuelle reste utile lorsqu’une mise à jour doit être préparée, contrôlée ou planifiée de manière ciblée.

Installer manuellement le firmware SFOS

Le firmware téléchargé peut maintenant être installé sur Sophos Firewall.

1. Se connecter à Sophos Firewall.
2. Ouvrir Backup & Firmware dans la navigation.
3. Sous Firmware, sélectionner la version souhaitée et cliquer sur l’icône d’upload.
4. Dans la fenêtre Firmware Upgrade/Downgrade, sélectionner le fichier firmware depuis l’ordinateur local et lancer Upload Firmware ou Upload & Boot.

Les étapes ci-dessus sont également présentées avec des captures d’écran :

Remarque : Le choix entre Upload Firmware et Upload & Boot doit être fait consciemment. Upload Firmware téléverse seulement l’image. Upload & Boot démarre directement l’installation.

Cluster HA Info : Lorsqu’un cluster HA est configuré, nous recommandons la variante Upload & Boot. Les deux firewalls sont alors mises à jour l’une après l’autre, ce qui évite une interruption du réseau. La firewall passive est mise à jour en premier. Dès qu’elle est à nouveau en ligne, la mise à jour firmware est installée sur la firewall primaire. La seule interruption est le basculement de l’active vers la passive, où l’on perd généralement 2 à 6 pings.

Si seule l’option Upload Firmware a été choisie, le moment de l’installation peut être défini plus tard. Pour cela, utiliser l’icône avec les deux flèches dans la section Firmware lorsque le moment convient.

Installer automatiquement le firmware SFOS

Si une licence Enhanced Support valide est disponible, le firmware peut souvent être téléchargé directement dans le GUI.

Remarque : Si une nouvelle version firmware n’apparaît pas assez rapidement dans le GUI, la méthode manuelle peut toujours être utilisée.

1. Se connecter à Sophos Firewall.
2. Ouvrir Backup & Firmware dans la navigation.
3. Sous Latest Available Firmware, sélectionner Download pour la mise à jour listée.
4. Une fois le téléchargement terminé, lancer l’installation avec Install.

Rollback vers l’ancienne version

Après une mise à jour, certaines fonctions peuvent ne pas fonctionner comme prévu. Dans ce cas, il est possible de revenir à la partition précédente. Cliquer sur l’icône de rollback marquée à côté de la version actuelle. Dans un cluster HA, les deux appliances démarrent également avec la version sélectionnée.

FAQ

Pourquoi les mises à jour ne sont-elles plus gratuites ?

Seules les trois premières mises à jour sont gratuites. Ensuite, une licence Enhanced Support est nécessaire pour recevoir d’autres mises à jour. Ce changement vise à garantir que seuls les clients disposant d’une licence de support active aient accès aux améliorations continues et aux mises à jour de sécurité. Article de blog : Les mises à jour Sophos Firewall ne seront plus gratuites à l’avenir

Qu’est-ce qu’une licence Enhanced Support ?

La licence Enhanced Support donne accès aux mises à jour et au support technique. Elle est incluse dans chaque bundle de licences ou peut être achetée séparément. Sans licence Enhanced Support valide, aucune autre mise à jour ne peut être installée après les trois premières mises à jour gratuites, ce qui peut entraîner des risques de sécurité.