Déployer en toute sécurité le firmware Sophos AP6 dans Central

Pour un Sophos AP6 géré de façon centralisée, le chemin le plus direct est My Products > Wireless > Access Points > Firmware upgrade. Sélectionnez les appareils, puis utilisez Now pour une mise à jour immédiate, Custom pour une date unique ou Recurring pour appliquer automatiquement les nouveaux firmwares chaque jour, semaine ou mois. Ce guide concerne uniquement les AP6.

⚠️ Prévoir une interruption : pendant la mise à jour, l’AP6 ne dessert pas les clients Wi-Fi de façon continue. N’éteignez ni ne déconnectez le point d’accès pendant l’opération, sous peine de l’endommager. Stabilisez l’alimentation, le PoE et l’uplink avant de commencer ; n’interrompez pas l’opération par un redémarrage ou une réinitialisation.

Plan de gestion et chemin des données

Sophos Fusion (anciennement Sophos Central) constitue ici le plan de gestion : Central planifie ou lance la tâche, puis l’AP6 télécharge et installe le firmware. Le trafic client continue à suivre le chemin AP6, commutateur/VLAN et passerelle ; il ne transite pas par Central. La disponibilité du portail Central ne maintient donc pas le chemin Wi-Fi pendant le redémarrage de l’AP.

L’AP6 doit être enregistré, en ligne et joignable par son réseau de gestion. Un abonnement de support valide est aussi nécessaire pour obtenir le firmware le plus récent. Consultez les prérequis Central Wireless et la gestion locale ou Central d’un AP6.

Avant le déploiement

Le responsable des versions Avanet exporte depuis My Products > Wireless > Access Points le modèle, le Firmware actuel, le site, les fonctions configurées, l’état en ligne et Last activity dans le dossier de changement.
Au début de chaque changement, il ouvre les notes de version AP6 actualisées en direct et relève Latest version, date, modèles concernés, correctifs, nouveautés et problèmes connus. Cette consultation est obligatoire ; une version figée dans cet article ne doit jamais servir de cible.
Le registre de versions Avanet consigne date de contrôle, version candidate, versions et modèles installés, état du support, fonctions concernées et liens vers le changement et les notes. Le responsable évalue problèmes connus, vulnérabilités corrigées et avis de sécurité, dépendances switch, VLAN, RADIUS, portail captif et mesh, ainsi que les changements de configuration requis. Il décide approuver, reporter ou refuser, avec motif et validation du Service Owner.
Si la version est approuvée, il définit fenêtre de maintenance, AP pilote, petits anneaux par site/modèle, anneau large, durée d’observation, critères de réussite et décision stop/go par anneau. Ne commencez jamais une zone critique par son unique AP ; toute combinaison matériel/fonction non approuvée reste hors de la vague.
Avant chaque anneau, l’ingénieur vérifie abonnement de support, PoE, port du commutateur, DHCP, DNS, accès sortant à Central et sauvegarde ou export de configuration. Il ne démarre pas si l’alimentation est instable, si l’AP est déjà hors ligne ou si un critère manque.
Le changement fixe les mêmes tests avant et après : SSID, authentification, adresse IP, passerelle, DNS, destinations autorisées et, le cas échéant, VLAN, RADIUS, portail captif ou mesh. Juste avant l’exécution, responsable et ingénieur confirment cible, appareils, fenêtre, canal de communication et limite de retour ci-dessous.

MR10 1.10.3192 : valider les fonctions et correctifs ciblés

Repère daté : AP6 MR10 correspond à la version de firmware 1.10.3192. Les notes de version indiquent le 24 août 2026 comme date de publication ; l’annonce MR10 du 8 septembre 2026 décrit le déploiement régional progressif et les fonctions de gestion associées. Ces indications ne remplacent ni la consultation des versions actuelles ni l’approbation pour votre propre tenant.

Pour EU-Central, les dates de l’annonce se contredisent : le titre de la phase 3 indique «New Date Coming September 14, 2026», tandis que le texte en dessous mentionne toujours le 7 septembre 2026. Cela ne permet pas de conclure que la disponibilité régionale est devenue effective. Avant un changement dans le tenant concerné, vérifiez le firmware proposé, la flèche de mise à jour ou le téléchargement propre au modèle, ainsi que les fonctions Wireless nécessaires. Si un élément manque, reportez l’anneau et clarifiez la disponibilité avec Sophos Support. Une date historique ou un fichier de firmware disponible ne prouve pas que toutes les fonctions cloud sont déjà accessibles dans le tenant.

Mettez d’abord à jour uniquement le firmware de l’AP pilote et répétez les tests clients existants. Validez ensuite séparément la nouvelle authentification, Traffic Shaping ou les valeurs du profil ; sinon, il devient impossible d’attribuer une panne de façon fiable au firmware ou au changement de configuration. Pour chaque fonction, consignez la valeur précédente, le changement prévu, le client utilisé et le résultat dans le dossier de changement.

Entra ID et RADIUS par SSID

MR10 ajoute Microsoft Entra ID comme fournisseur d’identité cloud pour les SSID AP6 avec Enterprise Authentication. Suivez le guide Entra ID pour AP6 existant. EAP-TTLS/PAP, le contrôle du certificat et de l’identité du serveur ainsi que les limites des clients et du tenant décrites dans ce guide restent obligatoires. Un Test connection réussi n’est que la première étape : testez ensuite une connexion réelle avec une identité pilote et un profil client approuvés, puis DHCP, DNS et les destinations autorisées. L’annonce Entra ne supprime pas les restrictions relatives à RADIUS VLAN assignment, Accounting ou Captive Portal.

L’annonce MR10 mentionne la gestion RADIUS par SSID ; les notes de version attestent expressément de l’affectation de serveurs RADIUS par SSID dans l’interface locale de l’AP6. Cela ne garantit pas que toute combinaison de serveurs ou d’IdP différents fonctionne sans conflit sur des bandes de fréquences qui se chevauchent. Relevez d’abord les affectations serveur/IdP et les bandes de tous les SSID Enterprise de l’AP pilote. Après le changement, reconnectez-vous à chaque SSID concerné et vérifiez dans les journaux RADIUS quel serveur traite la requête. Si une affectation existante change de manière inattendue, arrêtez et restaurez la configuration documentée ; ne sautez pas le contrôle des conflits de bandes du guide Entra.

Avec RADIUS classique, vérifiez aussi l’affectation VLAN attendue et NAS Identifier. L’annonce MR10 cite WIFIX-10111/10166 pour les affectations VLAN incorrectes avec WPA2/WPA3 Enterprise et WIFIX-7922 pour le numéro de série de l’AP comme NAS Identifier. La validation exige une concordance entre la réponse RADIUS, le VLAN réel du client et l’affectation NAS utilisée sur le serveur. Ce contrôle RADIUS n’est pas un test des VLAN dynamiques avec l’IdP Entra.

Traffic Shaping et WMM

Traffic Shaping pour les SSID AP6 se configure dans Sophos Fusion sous Advanced settings > Quality of service. Choisissez un SSID pilote, sauvegardez sa politique actuelle et vérifiez la limitation réellement configurée au moyen d’un transfert contrôlé. Testez en parallèle un SSID existant inchangé. WIFIX-9535 concerne des politiques qui cessaient de fonctionner après quelques jours : répétez la mesure après deux à trois jours de fonctionnement avant de valider ce cas. Un bref test de débit juste après la mise à jour ne suffit pas.

WMM priorise le trafic radio et se distingue d’une limitation de débit par SSID. La gestion des profils distribue les valeurs WMM à un ou plusieurs AP6. Les notes de version rattachent déjà la configuration WMM-EDCA de l’onglet Advanced Wireless à la version de gestion Central 2026.29 du 20 juillet 2026 ; il ne faut donc pas la présenter comme une nouvelle fonction du firmware MR10. Conservez les valeurs WMM par défaut tant que d’autres valeurs n’ont pas été validées dans votre environnement radio. Si un changement est nécessaire, utilisez d’abord un profil affecté uniquement à l’AP pilote et comparez la voix ou la vidéo sous charge de données simultanée avec l’état précédent. En cas de dégradation, restaurez les valeurs sauvegardées du profil et répétez le même test.

Autres contrôles de correctifs après la mise à jour

Les contrôles suivants ne concernent que les fonctions réellement utilisées. La présence d’un correctif dans les notes ne prouve pas que votre site fonctionne déjà sans erreur :

WIFIX-12318: Un changement de configuration pilote approuvé doit parvenir à l’AP. Comparez Task queue, la configuration appliquée et l’effet sur les clients ; un état de file débloquée ne suffit pas.
WIFIX-10877: Le correctif concerne un plantage du daemon SD provoquant le redémarrage de l’AP. Consignez la durée de fonctionnement et les redémarrages inattendus pendant la période d’observation convenue. Un seul redémarrage réussi après la mise à jour ne démontre pas une stabilité à long terme.
WIFIX-10717: Si Walled Garden est utilisé, comparez une destination de test autorisée et une destination bloquée ; la liste de blocage doit réellement appliquer la restriction prévue.
WIFIX-10142: Le correctif concerne des alertes de puissance erronées intermittentes. Vérifiez néanmoins toute nouvelle alerte par rapport à la classe PoE, au budget du port et au budget total ; ne l’ignorez pas au motif qu’un correctif existe.
WIFIX-9594: MR10 met Dnsmasq à jour vers 2.91 pour corriger des vulnérabilités. Vérifiez la version de firmware approuvée et répétez vos tests DHCP/DNS. Sans preuves supplémentaires, n’en déduisez pas une validation de sécurité complète de l’appareil.

Fusion Wireless 2026.41 : une version de gestion distincte

Version de gestion ultérieure : Fusion 2026.44, publiée le 12 octobre 2026. Les détails de 2026.41 restent une référence.

Les notes de version consultées le 11 octobre 2026 indiquent Fusion 2026.41, publiée le 22 septembre 2026, comme version de gestion actuelle. Il s’agit d’une version ultérieure de la gestion Wireless et non d’une version de firmware AP6 1.10.41. Les nouvelles fonctions nécessitent la licence appropriée ; vérifiez séparément leur visibilité dans votre tenant et le firmware de l’AP pilote. Pour cette version de gestion, les notes ne mentionnent ni nouvelles fonctions dans l’interface locale ni problèmes corrigés.

Dans la gestion des profils AP, l’onglet Network settings propose des réglages pour les ports Ethernet filaires : Spanning Tree Protocol (STP), Internet Group Management Protocol (IGMP) snooping, Link Layer Discovery Protocol Media Endpoint Discovery (LLDP-MED) et, exclusivement pour AP6 840E, port trunking. N’activez pas automatiquement ces options avec MR10. Relevez d’abord le profil existant, les AP affectés et la configuration correspondante des ports du commutateur. Appliquez un changement nécessaire uniquement au profil pilote, puis vérifiez l’accès de gestion, le lien Ethernet et le chemin client concerné. En cas d’effet inattendu, arrêtez les nouvelles affectations du profil et restaurez les valeurs documentées du profil et du commutateur. La présence d’une option ne garantit ni une configuration de trunking particulière ni son utilisation sur un autre modèle AP6.

Sous Diagnostics > System logs, vous pouvez activer l’option advanced diagnostic logging. Elle sert au diagnostic ciblé, pas à une mise à jour du firmware. Pour une investigation, consignez l’heure, l’AP et le symptôme reproduit, sauvegardez les journaux pertinents et désactivez ensuite la journalisation supplémentaire ou rétablissez son état précédent documenté. Vérifiez les journaux avant transmission pour repérer les identifiants et les données personnelles. N’essayez pas de faire apparaître des options absentes du tenant par une réinitialisation ou un downgrade supposé du firmware.

Mettre à jour maintenant, une fois ou périodiquement

Ouvrez My Products > Wireless > Access Points, puis Firmware upgrade.
Sélectionnez uniquement les AP pilotes ou la vague prévue, puis Choose schedule.
Choisissez une option :
- Now : cliquez sur Upgrade pour démarrer immédiatement.
- Custom : choisissez une date et une heure uniques, puis Save.
- Recurring : choisissez une périodicité quotidienne, hebdomadaire ou mensuelle. Les mises à jour seront appliquées automatiquement aux AP sélectionnés. La valeur affichée par défaut est le mardi à 03:00 chaque semaine ; adaptez-la consciemment à votre fenêtre de maintenance.
Revenez à la liste et vérifiez les appareils ainsi que l’icône Firmware. Une horloge doit apparaître pour une mise à jour planifiée.

Avant le début, annulez un horaire via Firmware upgrade, sélection de l’AP6, puis Cancel schedule. C’est une limite d’arrêt sûre, pas un retour à une ancienne version.

Déploiement progressif sous responsabilité Avanet

L’ingénieur consigne début, fin, AP sélectionnés et état Central de chaque vague ; le responsable des versions Avanet ne libère l’anneau suivant qu’après validation réussie :

Pilote : mettez à jour un AP6 représentatif qui n’est pas l’unique équipement critique. Exécutez tous les tests clients et observez-le pendant une période représentative.
Petit groupe : traitez une petite vague de même modèle et configuration similaire, en conservant une couverture non mise à jour simultanément sur chaque site.
Déploiement large : planifiez d’autres groupes uniquement après un pilote documenté. Ne supposez pas qu’un mesh, RADIUS ou portail captif se comporte comme un AP autonome simple.
Reliquat : recherchez dans Central flèche bleue, horloge ou version différente. Le responsable rapproche le résultat du registre et consigne la mise à jour ou le report motivé.

Avant une vague, le retour sûr consiste à annuler son calendrier et laisser les AP non mis à jour sur leur version actuelle, et non à inventer un downgrade.

Mettre à jour un AP6 localement

Dans l’interface locale, Advanced > Update firmware propose deux sources :

Auto : l’AP6 se met automatiquement à jour depuis Sophos. La page affiche Current Firmware Version, Server Firmware Version et Status.
a file on your PC : dans Central, ouvrez My Environment > Installers et cliquez, sous Wireless, sur Download firmware for your wireless. Extrayez de l’archive exactement le fichier .tar.gz.sig correspondant au modèle AP6. Dans l’interface locale, choisissez Advanced > Update firmware > a file on your PC > Choose file, sélectionnez le fichier, cliquez sur Open, puis Update.

Le firmware le plus récent requiert également l’enregistrement dans Central et un abonnement de support valide. L’envoi local ne contourne pas ces prérequis. Ne mélangez pas les modèles, ne modifiez pas le fichier signé et ne coupez ni alimentation ni réseau.

Valider le succès

Après le redémarrage, attendez le retour en ligne. Dans Central, comparez le Firmware affiché à la version approuvée ; la coche verte signifie à jour. En gestion locale, contrôlez Current Firmware Version, Server Firmware Version et Status.

Connectez un véritable client et répétez les tests prévus. Un état de gestion en ligne ne suffit pas : authentification, DHCP, passerelle, DNS et destinations autorisées doivent fonctionner. Testez aussi précisément VLAN, RADIUS, portail captif ou mesh si présents. L’ingénieur consigne résultat, modèle, versions, heure et écarts ; le responsable met à jour le registre et ne libère l’anneau suivant que si tous les critères sont satisfaits.

Diagnostiquer sans aggraver la panne

Aucune mise à jour proposée : vérifiez enregistrement, abonnement valide, état en ligne et Last activity, puis la flèche bleue et les notes de version. Un AP déjà à jour n’a pas besoin de tâche.

Le calendrier ne démarre pas : confirmez le bon AP et l’horloge dans la colonne firmware. Rouvrez date, heure et récurrence. Avant le départ, annulez et recréez un calendrier propre plutôt que des rendez-vous parallèles.

Le fichier local est refusé : retéléchargez l’archive et vérifiez que le .tar.gz.sig correspond exactement au modèle. Ne le renommez, modifiez ou décompressez pas davantage. Relevez modèle, version, nom du fichier, heure et message.

L’AP reste hors ligne : ne coupez pas immédiatement l’alimentation et n’utilisez pas Factory default en premier. Vérifiez PoE, port, bail DHCP et connectivité Central. S’il revient, validez firmware et chemin client. S’il reste inaccessible ou si la mise à jour signale une erreur, le responsable bloque les anneaux suivants et consigne heure, modèle, numéro de série, versions, état et contrôles effectués, puis l’ingénieur ouvre un dossier auprès du support Sophos. Le guide de diagnostic des AP6 hors ligne détaille les contrôles de l’alimentation et de la connectivité de gestion.

Limite sûre du retour arrière

Ce processus AP6 ne prévoit aucun downgrade de firmware approuvé. N’envoyez pas une ancienne image au hasard et ne promettez pas de retour de version. Avant le départ, l’ingénieur utilise Cancel schedule ; le responsable bloque les vagues suivantes dans le changement et le registre. Une fois la mise à jour lancée, maintenez alimentation et réseau, attendez la fin ou une erreur claire et relevez l’état. Le responsable choisit ensuite entre rétablir les conditions d’alimentation, réseau ou configuration, escalader au support ou remplacer l’appareil ; le déploiement ne reprend qu’après rétablissement documenté et nouvelle approbation. Une réinitialisation ne restaure pas automatiquement l’ancien firmware.