Panne matérielle Sophos : préparer le RMA et l’échange

En cas de panne matérielle, il faut suivre une procédure claire : sécuriser l’exploitation, isoler la panne, sauvegarder les informations de l’appareil et la configuration, ouvrir un dossier de support technique, restaurer l’appareil de remplacement et documenter le retour. Une RMA ne remplace ni une sauvegarde à jour, ni la HA, ni un plan d’urgence.

La procédure en bref :

1. Confirmer la panne matérielle par de simples vérifications croisées.
2. Clarifier la garantie, le statut du support et la variante de RMA.
3. Préparer le numéro de série, la description de la panne, les logs, la sauvegarde et les informations d’expédition.
4. Ouvrir un dossier de support technique avec le formulaire RMA.
5. Vérifier l’appareil de remplacement, transférer la licence, restaurer la configuration et tester le fonctionnement.
6. Retourner l’appareil défectueux dans le délai imparti, conformément aux instructions RMA.

Vérifier la panne matérielle et le droit au remplacement

Isoler la panne

Avant de demander une RMA, il faut exclure l’alimentation, le câble, l’équipement distant, le fournisseur, le firmware ou la configuration comme cause. Les signes typiques d’une panne matérielle sont les suivants :

• L’appareil ne démarre pas ou reste bloqué au démarrage.
• Les LED d’alimentation, d’état ou du disque n’affichent pas un état normal.
• Les ventilateurs, l’alimentation ou les valeurs de température présentent des anomalies répétées. Sur une XGS Appliance, on peut vérifier la température et l’état du ventilateur via SSH.
• Un port reste sans lien alors que le câble et l’équipement distant ont été vérifiés.
• Des erreurs de SSD, de mémoire ou d’E/S se produisent de manière répétée. Pour un firewall, consulter également Vérifier l’état du SSD d’une Sophos Firewall.
• L’appareil est physiquement endommagé ou instable depuis un incident électrique.
• Une SD-RED, un switch ou un point d’accès reste hors ligne malgré une alimentation correcte et la vérification du réseau.

Sur une Sophos Firewall, vérifier si WebAdmin, SSH, Log Viewer ou un pair HA sont encore accessibles. Si seule l’interface WebAdmin ne répond plus, l’appliance n’est pas nécessairement défectueuse ; il faut d’abord suivre Redémarrer l’interface WebAdmin d’une Sophos Firewall.

Si l’appliance s’allume mais que WebAdmin et SSH restent inaccessibles, la console série constitue la prochaine vérification non destructive. La connecter directement avec le câble série fourni ou le câble console USB adapté au modèle, puis régler le débit sur 38400 bauds. Dans un premier temps, relever uniquement la sortie de démarrage, l’heure et le message d’erreur ; ce diagnostic ne nécessite ni Factory Reset, ni reimage, ni modification du menu de démarrage. Si la console reste muette, un second câble ou un autre ordinateur permet de distinguer un problème de connexion console d’une panne de l’appliance.

En cas de panne d’un port, la Device Console accessible par SSH indique si SFOS détecte l’interface. Sélectionner l’option de menu 4, puis saisir :

show network interfaces

Dans l’Advanced Shell, sous 5. Device Management > 3. Advanced Shell, observer les messages système pendant le débranchement et le rebranchement du câble :

tail -f /log/syslog.log

Des messages de lien ou d’erreur concernant le port affecté doivent apparaître. Arrêter l’affichage avec Ctrl+C et enregistrer les lignes pertinentes dans le dossier de support. Des tests de port plus approfondis peuvent interrompre le fonctionnement et ne doivent être exécutés que pendant une fenêtre de maintenance planifiée ou sur instruction du support.

Garantie et droit au support

Le remplacement d’un appareil par Sophos dépend du produit, du numéro de série, de la date d’achat, du contrat de support, du statut de la licence et du cycle de vie. En HA, les deux numéros de série ainsi que le rôle du nœud défectueux sont nécessaires. Garantie matérielle, support et RMA Sophos explique les différences entre la garantie de base, le support et l’Advance Hardware Replacement ; une Base License visible ne prouve pas à elle seule le droit à une RMA anticipée.

Remplacement standard ou anticipé

• Avec le Standard Hardware Replacement, l’appareil défectueux est retourné en premier. Sophos expédie l’appareil de remplacement après réception du matériel.
• Avec l’Advance Hardware Replacement, Sophos peut expédier l’appareil de remplacement après l’approbation de la RMA et avant la réception du matériel défectueux. La couverture de support active correspondante est nécessaire.

La procédure applicable figure dans l’approbation RMA concernée. Il ne faut compter sur un remplacement anticipé qu’après confirmation de Sophos.

Préparer le dossier RMA

Appareil, panne et impact

Les informations suivantes accélèrent l’examen :

• produit, modèle, numéro de série et révision matérielle
• version et build du firmware
• affectation de la licence et de Sophos Fusion (anciennement Sophos Central)
• date d’achat ou de livraison
• site et pays concerné
• description précise de la panne, date de début et fréquence
• alimentations, câbles, ports et équipements distants vérifiés
• état des LED, photos, captures d’écran et logs pertinents
• impact sur les utilisateurs, le site et les services
• en HA : les deux numéros de série, le rôle du nœud défectueux et l’état du cluster
• solution de contournement ou matériel de remplacement disponible

Au lieu d’écrire simplement defective, fournir une description précise de la panne :

• XGS 2100 does not boot after power event
• Port3 no link with tested cable and switch port
• SSD errors and reporting database failures

Selon l’état de l’appareil, le numéro de série de la Sophos Firewall se trouve dans WebAdmin, Sophos Fusion, sur le châssis ou dans les documents de licence.

Préparer la restauration

Pour un firewall, il faut déterminer en parallèle comment rétablir le fonctionnement :

• une sauvegarde à jour est disponible
• le mot de passe de chiffrement de la sauvegarde est connu
• si elle a été configurée pour la sauvegarde, la Secure Storage Master Key est également disponible
• la compatibilité du firmware et du modèle pour la restauration a été vérifiée
• les identifiants WAN, les certificats et les accès d’administration locaux sont disponibles
• les rôles HA, l’enregistrement dans Central et le transfert de licence sont compris
• une fenêtre de maintenance, un plan de retour arrière et les contacts sont définis
• les logs pertinents sont enregistrés tant que l’ancien appareil reste accessible

Les procédures détaillées figurent dans Sauvegarde et restauration sur Sophos Firewall, Enregistrer les logs de Sophos Firewall pour le support et, si nécessaire, Réinstaller Sophos Firewall OS avec une clé USB.

Pour un cluster, il faut également documenter l’état HA et le rôle de l’appliance défectueuse.

⚠️ Lors d’une panne en production, la restauration et la RMA doivent être menées en parallèle. Le processus de remplacement fournit du matériel, mais pas une configuration opérationnelle.

Ouvrir un dossier de support pour la RMA

Une RMA commence par un dossier de support technique. Dans le Support Portal, il est lancé via le Sophos Support Assistant. L’Assistant peut proposer des diagnostics, mais le dossier n’est ouvert qu’après vérification et envoi des informations recueillies. Le critère de réussite est l’affichage du numéro de dossier. Sophos Support vérifie ensuite la panne et le droit au remplacement ; Customer Care crée la RMA, puis le contrôle de conformité autorise l’expédition. La procédure exacte du portail est décrite dans Ouvrir un ticket de support Sophos.

Ce modèle regroupe les informations techniques et le formulaire RMA actuel ; il peut être copié dans le dossier :

Subject: RMA request - Sophos Firewall XGS 2100 - serial C123456789

===================================================
Technical Issue
===================================================
Description/RMA Reason:
Troubleshooting performed:
Business impact:
Attachments:
Fault Code: (leave it for Sophos Support to fill)
Sub Fault Code: (leave it for Sophos Support to fill)

======================================
Defective Product Details/License Details
======================================
Model/Product:
Revision:
Firmware version:
Serial # of faulty device:
License #:
Dead on arrival: Y/N
Is this part of a HA Cluster: Y/N
HA role and peer serial number:

======================================
Shipping Info (All fields required)
======================================
Company:
TAX ID / VAT number:
Contact name:
Address:
City:
Zip/Postal code:
Country:
Phone:
Email:
Special Instructions:

Pour les envois en Europe, Sophos exige le numéro de TVA, pour le Brésil les numéros CNPJ et IR et pour l’Inde le numéro GST ; aucun appareil de remplacement ne peut être expédié sans les informations fiscales nécessaires. Sophos expédie généralement dans le pays où le matériel d’origine a été acheté. Les autres sites ou exigences d’importation doivent donc être clarifiés dans le dossier.

L’anglais n’est pas une obligation publiée par Sophos, mais peut simplifier la transmission internationale du dossier. Les pièces jointes doivent se limiter aux photos, captures d’écran et extraits de logs nécessaires, sans données confidentielles superflues.

Pour une Advance RMA entièrement traitée et approuvée avant l’heure limite régionale, Sophos vise une expédition le jour ouvrable suivant. Aucune date de livraison n’est garantie ; les contrôles de conformité, demandes d’informations, formalités d’importation, week-ends, jours fériés et transporteurs peuvent entraîner des retards.

Après approbation, cinq étapes doivent pouvoir être suivies : création de la RMA et contrôle de conformité, coordination de l’expédition, envoi avec suivi, livraison avec instructions de retour et clôture du dossier. Toute question ou tout problème concernant le statut, la conformité, l’adresse d’expédition, le suivi, l’étiquette ou le retour doit être traité et remonté dans le dossier de support Sophos existant, en indiquant les numéros de dossier et de RMA. Si ce dossier est inaccessible, suivre Ouvrir un ticket de support Sophos pour joindre le support et communiquer les deux numéros.

Erreurs et escalade

• Aucun numéro de dossier : Le dialogue de l’Assistant n’a pas été envoyé correctement. Terminer la procédure via Ouvrir un ticket de support Sophos et conserver la confirmation.
• Droit refusé ou produit non attribué : Demander par écrit dans le dossier existant la vérification du motif, du numéro de série, de la preuve d’achat et des attributions de compte et de support. Ne rien expédier sans numéro de RMA et approbation.
• RMA approuvée, mais adresse, autorisation de conformité, étiquette ou suivi manquant : Répondre et faire remonter le problème dans le dossier existant en indiquant les numéros de dossier et de RMA. Si le dossier est inaccessible, joindre le support via Ouvrir un ticket de support Sophos et communiquer les deux numéros.
• Appareil de remplacement incorrect, incomplet ou endommagé en transit : Photographier l’emballage, l’étiquette, le numéro de série, le contenu et les dommages avant la mise en service, puis les signaler dans le dossier existant. Ne réexpédier ni éliminer aucun appareil sans instruction écrite.
• Panne persistante après restauration ou remplacement : Ajouter au dossier technique initial le nouveau numéro de série, le firmware, le résultat de la restauration, l’heure du test et les services touchés. Sophos pourra ainsi distinguer le matériel de remplacement, le logiciel, la configuration et l’environnement.
• Suivi du retour bloqué ou confirmation de livraison absente : Vérifier d’abord le suivi et le reçu d’enlèvement auprès du transporteur indiqué, puis faire remonter le problème dans le dossier de support existant avec les numéros de dossier et de RMA. Si le dossier est inaccessible, joindre le support via Ouvrir un ticket de support Sophos et communiquer les deux numéros. Conserver les preuves jusqu’à l’acceptation écrite ou l’élimination autorisée.

⚠️ L’Advance Hardware Replacement n’est pas non plus une solution de haute disponibilité. Les sites critiques ont besoin de HA, d’un matériel de remplacement adapté ou d’un plan d’urgence documenté.

Restaurer et vérifier l’appareil de remplacement

Dès réception de l’appareil de remplacement :

1. Vérifier le modèle, la révision et le contenu par rapport à la RMA. Le matériel de remplacement peut être neuf, reconditionné, réparé ou d’une autre révision appropriée.
2. Pour les appliances SG/XG et les XGS Appliances sous SFOS, associer l’appareil de remplacement au même compte Sophos Fusion et vérifier le transfert de licence proposé. L’appareil défectueux est alors désenregistré. Vérifier séparément le transfert de licence vers un équipement de remplacement ou RMA et le rôle HA avant de confirmer.
3. Ne pas supposer qu’un firmware est préinstallé ni que la version de SFOS est identique. La Sophos Replacement Policy indique que le matériel de remplacement est livré sans firmware préinstallé ; comparer donc la version requise, le modèle cible et la compatibilité de la sauvegarde avant la restauration. En HA Active-Passive, le build doit correspondre à celui du pair opérationnel.
4. Restaurer la sauvegarde avec le mot de passe de chiffrement et, le cas échéant, la Secure Storage Master Key.
5. Tester le WAN, le LAN, les VLAN, le routage, le DNS et le DHCP.
6. Vérifier les règles de firewall, le NAT, le VPN et le Remote Access. Pour le flux des paquets, consulter Tester une règle de firewall avec Log Viewer, Policy Test et Packet Capture.
7. Vérifier la HA, Sophos Fusion, les rapports, les logs et la supervision.
8. Documenter le résultat, le nouveau numéro de série et le suivi du retour dans le dossier existant.

Si des problèmes persistent, ajouter les résultats de test précis au dossier existant. Ouvrir un nouveau dossier sans référence à la RMA complique le suivi.

Retourner l’appareil défectueux

Pour un remplacement anticipé, le processus RMA Sophos actuel et la Replacement Policy indiquent un délai de retour de 15 jours après la réception de l’appareil de remplacement. La Warranty Policy prioritaire exige en revanche le retour dans les 15 jours calendaires suivant la réception de la RMA ; sa clause relative au non-retour autorise une éventuelle facturation après 30 jours à compter de la réception de l’appareil de remplacement. Ces 30 jours ne constituent pas un délai opérationnel supplémentaire : il faut planifier prudemment dès l’approbation de la RMA et respecter la première date indiquée dans l’e-mail RMA, l’étiquette ou l’instruction écrite de Sophos. Le retour doit être organisé immédiatement après le transfert de la licence et le rétablissement réussi du service.

Pour un remplacement standard, le client prend en charge les frais de retour. Pour un remplacement anticipé, le retour est effectué par le transporteur désigné par Sophos, aux frais de Sophos ; selon le pays, les obligations douanières et locales peuvent néanmoins incomber au client.

Enlèvement DHL avec une étiquette existante

Si les instructions RMA indiquent DHL et qu’une étiquette de retour valide est déjà disponible, il est possible de réserver un enlèvement DHL. Dans le formulaire DHL en allemand illustré ci-dessous, sélectionner Nein uniquement si l’étiquette est déjà apposée sur le colis.

Le numéro d’expédition figure sur l’étiquette de retour. Il doit être consigné avec la date d’enlèvement et la confirmation dans le dossier RMA.

Appareil, accessoires et données

• Retourner le matériel défectueux sous forme d’unité complète et, si possible, dans le carton de l’appareil de remplacement.
• Ne pas retirer les HDD, SSD ou autres composants internes, sauf autorisation écrite expresse de Sophos.
• Conserver en principe les accessoires externes tels que les alimentations, émetteurs-récepteurs, modules Flexi Port, kits de montage en rack, antennes et câbles, sauf indication contraire dans les instructions RMA.
• Sauvegarder la configuration et effacer complètement les données du client conformément aux directives internes avant l’expédition. Selon les Warranty et Replacement Policies, Sophos n’assume aucune responsabilité pour les données présentes sur le matériel défectueux. Si l’appareil n’est plus accessible, documenter le risque dans le dossier et demander une instruction écrite de Sophos au lieu d’ouvrir soi-même le châssis.
• Conserver l’étiquette de retour, le numéro de suivi, la date d’expédition et la preuve de livraison.
• Ne mettre le matériel au rebut que sur instruction écrite expresse de Sophos.

En cas de retour tardif, incomplet ou non effectué, Sophos peut facturer le prix intégral de l’appareil de remplacement ou des composants manquants. Le dossier n’est clos que lorsque Sophos a reçu et vérifié le retour ou confirmé une mise au rebut ordonnée.

FAQ