Remplacer un firmware Sophos Firewall corrompu avec SFLoader

Si le firmware actif est corrompu et que WebAdmin ne démarre plus, SFLoader peut transférer une image de firmware compatible vers le pare-feu au moyen d’un accès temporaire par navigateur. Cette méthode ne répare pas une erreur de configuration ordinaire. Il s’agit d’une procédure de récupération pour les appliances sur lesquelles SFLoader est réellement disponible.

⚠️ Important : SFLoader n’est pas disponible sur les XGS Appliances. Une XGS Appliance dont le firmware est corrompu se restaure au moyen de la procédure de reimage USB. SFLoader écrase la partition de firmware sélectionnée. Factory démarre en plus la nouvelle image avec la configuration d’usine. Ne pas commencer sans chemin de retour vérifié ; une sauvegarde ne peut être restaurée qu’avec son mot de passe de chiffrement et, si elle en utilise un, le SSMK correspondant.

SFLoader en douze étapes

Obtenir l’image firmware .gpg compatible en suivant la procédure Sophos Download firmware pour le pare-feu actif.
Confirmer que SFLoader est disponible sur l’appliance et, pour un changement de version, qu’un droit de support valide ou l’un des trois upgrades gratuits reste disponible.
Préparer le chemin de retour, les informations de gestion et l’accès local. Relier le terminal au port série avec un câble de console et vérifier la connexion. Si Factory est envisagé, vérifier aussi la sauvegarde, son mot de passe et le SSMK si nécessaire.
Redémarrer le pare-feu, sélectionner SFLoader dans le menu de démarrage avec les flèches et appuyer sur Enter.
Dans SFLoader, exécuter d’abord 4 Upgrade Loader. Les mises à jour du firmware ne mettent pas automatiquement le loader à jour et les options visibles ne sont pas automatiquement prises en charge.
Sélectionner 1 Load New Firmware.
Configurer l’accès réseau sous 1 Network Device, sélectionner 1 Port1 et attribuer une adresse avec 1 Enable DHCP ou 2 Manual IP settings.
Sélectionner Upload firmware using your desktop browser.
Sur le terminal connecté, ouvrir http://<SFOS device IP address>, sélectionner l’image .gpg avec Choose file, confirmer avec Open et la transférer avec Send.
Dans la session série SFLoader, sélectionner le firmware à écraser et confirmer Overwrite.
Choisir délibérément Migrate pour la configuration du firmware qui n’est pas écrasé ou Factory pour la configuration d’usine et confirmer avec OK.
Terminer les confirmations avec Enter, attendre le redémarrage et se connecter avec le mot de passe de la configuration migrée ou, après Factory, avec admin.

Le moment décisif n’est pas le téléversement, mais l’instant avant Overwrite et le choix de l’étape 11. Migrate tente d’appliquer à la nouvelle image la configuration de l’autre partition. Factory abandonne ce chemin de migration et démarre avec la configuration par défaut. SFLoader ne permet pas d’annuler simplement un écrasement. Si la partition à écraser, la capacité de démarrage de l’autre partition ou la configuration à conserver ne sont pas clairement établies, arrêter avant Overwrite.

Quand SFLoader convient

SFLoader convient lorsque le firmware est corrompu, que WebAdmin n’est plus accessible et que le menu de démarrage de l’appliance propose le loader. Pour un upgrade, downgrade ou rollback normal, la procédure firmware SFOS reste la méthode la plus contrôlée.

Les chemins de récupération sont nettement différents :

WebAdmin accessible : téléverser normalement une image compatible et la démarrer de manière planifiée.
Partition de firmware précédente fonctionnelle : évaluer un rollback contrôlé.
SFLoader présent, WebAdmin indisponible : remplacer le firmware corrompu avec SFLoader.
XGS Appliance ou réinstallation complète nécessaire : effectuer un reimage avec une clé USB.
Réinitialiser uniquement la configuration : consulter la procédure Factory Reset distincte.

SFLoader ne se met pas à jour automatiquement. Un ancien loader peut encore afficher des options qui ne sont plus prises en charge par la plateforme ou le firmware utilisé. Exécuter 4 Upgrade Loader avant le téléversement ; une option visible ne constitue pas à elle seule une validation. La séquence des menus de ce runbook reprend intégralement la procédure prise en charge.

Préparer la récupération

L’image firmware doit correspondre à l’appliance et au chemin de version actif. Pour un pare-feu actif, Sophos indique d’utiliser Sophos Central > Licensing > Firewall licenses, puis de sélectionner le pare-feu et l’un des téléchargements de firmware proposés. Ne pas utiliser la page générale Firewall Installers : Sophos présente ces fichiers comme des images pour les nouvelles installations et avertit que leur installation sur un appareil existant efface ses données et paramètres. Une image .gpg trouvée par hasard dans un ancien dossier de téléchargements n’est pas non plus un fichier de récupération fiable.

À partir de SFOS 19.0 MR1, le passage à une autre version du firmware exige généralement Enhanced Support ou Enhanced Plus Support. Sans droit de support, trois upgrades de firmware gratuits sont disponibles ; une fois épuisés, l’image reste téléchargeable mais ne peut plus être installée, y compris avec SFLoader. Selon Sophos, cette restriction concerne le changement de version. Elle ne doit pas être confondue avec un reimage complet, pour lequel Sophos n’exige pas de droit de support.

Avant le redémarrage, documenter dans la mesure du possible :

modèle, numéro de série, version firmware active et version précédente
compatibilité de l’image cible et droit requis pour un changement de version
rôle HA et état du nœud concerné
fichier de sauvegarde, mot de passe de chiffrement et SSMK correspondant si la sauvegarde en utilise un
adresse IP de gestion, affectation des ports, accès WAN et accès local à la console
choix prévu entre Migrate et Factory, ainsi que le chemin de retour

Dans un cluster HA, SFLoader n’est pas un upgrade de cluster orchestré normal. Les instructions SFLoader publiques ne définissent pas de procédure autonome de récupération HA. Consigner les rôles, versions de firmware et sorties de console, puis coordonner l’intervention avec Sophos ou le partenaire de support avant Overwrite. Ne jamais placer les deux nœuds simultanément en récupération. Après le démarrage, vérifier de nouveau l’état, les rôles, les versions et la synchronisation du cluster.

Configurer l’accès série et réseau temporaire

SFLoader se pilote depuis la console série. Selon l’appliance, utiliser un câble micro-USB ou un câble de console USB vers RJ45 ou RJ45 vers DB9. Sous Windows, identifier le port attribué dans Gestionnaire de périphériques > Ports (COM et LPT). Configurer l’émulateur de terminal avec ce port COM, 38400 bauds, 8 bits de données, 1 bit d’arrêt, aucune parité et aucun contrôle de flux.

Sous macOS, ls /dev/tty.* permet d’identifier le port ; démarrer ensuite la session avec une commande telle que screen /dev/tty.usbserial-AD0K15UY 38400, en remplaçant le port d’exemple par celui qui a été détecté. Si les câbles série micro-USB et RJ45 sont connectés simultanément, le micro-USB est prioritaire ; ne connecter que le câble requis pour éviter toute ambiguïté pendant la récupération. Après le redémarrage, sélectionner SFLoader dans le menu de démarrage. Si le menu ne répond pas, contrôler le pilote, le terminal, le câble de console et le port série utilisé au lieu d’éteindre brutalement l’appliance à plusieurs reprises.

Pour le téléversement de l’image, SFLoader fournit un accès HTTP temporaire par Port1. Sous 1 Network Device > 1 Port1, l’adresse peut être obtenue par DHCP ou définie de manière statique avec 2 Manual IP settings. Le terminal et Port1 doivent ensuite pouvoir se joindre directement ou au travers d’un réseau local préparé à cet effet.

La page de téléversement s’ouvre explicitement en HTTP :

http://<SFOS device IP address>

<SFOS device IP address> est un espace réservé. Le remplacer par l’adresse de Port1 affichée dans SFLoader ou définie manuellement. Ce chemin de récupération local ne nécessite ni accès Internet, ni proxy, ni ouverture étendue du réseau de production.

Transférer le firmware et choisir la configuration

Après avoir sélectionné Upload firmware using your desktop browser, choisir l’image .gpg compatible sur la page locale avec Choose file, puis la transférer avec Send. Ne pas couper l’alimentation, la connexion série ou le lien réseau pendant le transfert.

Une fois le transfert terminé, poursuivre dans la session série. Sélectionner le firmware à écraser et confirmer Overwrite. Deux chemins fondamentalement différents sont ensuite proposés :

Migrate

Migrate charge la configuration de la partition de firmware qui n’est pas écrasée et la migre dans la nouvelle image. Ce chemin convient lorsque l’état de configuration présent sur cette partition est connu et prévu comme point de départ. Après le redémarrage, utiliser le mot de passe de cette configuration migrée.

Factory

Factory démarre la nouvelle image avec la configuration d’usine. Ce chemin est plus destructif et ne doit pas servir de test rapide. Après le démarrage, le mot de passe par défaut est admin ; il faut ensuite exécuter Basic Setup ou une restauration contrôlée. Le guide de sauvegarde et restauration explique quand le SSMK est nécessaire en plus du fichier et du mot de passe.

Chemin de retour et limites

Après Overwrite, SFLoader ne fournit aucun rollback garanti en un clic. La partition non écrasée peut encore contenir son propre firmware et sa configuration, mais il ne faut s’y fier que si sa version, sa capacité à démarrer et la configuration associée ont été vérifiées au préalable. Factory n’est pas un mode d’aperçu. Sans seconde partition dont le démarrage est établi ni sauvegarde compatible entièrement déchiffrable, un échec de démarrage ne laisse que les éléments consignés pour Sophos Support ou un reimage complet. Le reimage supprime toutes les données du pare-feu.

Vérifier le résultat après le redémarrage

Un téléversement terminé ne prouve pas encore que le firmware et la configuration sont utilisables. Après le redémarrage, confirmer d’abord la version active, la connexion et le chemin de configuration choisi. Effectuer ensuite les tests d’exploitation :

accès de gestion par le port prévu et l’adresse IP attendue
interfaces, zones, passerelles, DNS et NTP
chemins firewall, NAT, SD-WAN et routing
IPsec, Remote Access, RED et autres liaisons de sites
en HA, rôles, état, versions de firmware et synchronisation
licence, patterns, hotfixes, logs et connexion Sophos Fusion

Avec Migrate, vérifier aussi que la migration de configuration, les certificats, les secrets et les services dépendants fonctionnent entièrement. Avec Factory, mettre en service l’appareil comme un pare-feu non configuré ; ne libérer les câbles ou tunnels de production qu’après validation de la restauration ou de Basic Setup.

Isoler les erreurs courantes en sécurité

Sur XGS Appliance, il s’agit du comportement attendu du produit et non d’une erreur de menu masquée. Ne pas expérimenter avec d’anciennes instructions du loader, mais utiliser le chemin de reimage. Sur une autre appliance, vérifier de nouveau le modèle et la procédure de récupération officielle.

La page de téléversement n’est pas accessible

Contrôler l’adresse et le masque réseau de SFLoader, le lien de Port1, l’adresse du terminal et l’appel explicite en http://. Un proxy de navigateur ou un VPN sur le terminal peut perturber l’accès local. Ne pas connecter largement le pare-feu au réseau de production uniquement pour rendre la page de récupération accessible.

Le firmware est refusé

L’image peut être incompatible ou corrompue. Vérifier de nouveau le pare-feu et le firmware proposé sous Sophos Central > Licensing > Firewall licenses, puis télécharger un fichier neuf auprès de Sophos. Ne pas renommer une image ni forcer une option non documentée du loader.

La migration ou le démarrage échoue

Ne pas alterner à plusieurs reprises entre Migrate, Factory et différentes images. Conserver la sortie de console, la partition choisie, le nom du fichier image, le modèle, le numéro de série et l’heure. Ouvrir ensuite un ticket Sophos Support avec le déroulement documenté de la récupération.

Liste de contrôle

SFLoader est disponible sur l’appliance concernée ; XGS Appliance est exclue.
L’image .gpg compatible a été obtenue par la procédure de téléchargement Sophos pour le pare-feu actif, et non parmi les images de nouvelle installation de Firewall Installers.
La console série et l’accès local à Port1 fonctionnent.
4 Upgrade Loader a été exécuté avant le téléversement du firmware.
Le firmware à écraser et le choix Migrate ou Factory sont documentés.
Si une restauration peut être nécessaire, la sauvegarde, son mot de passe et, le cas échéant, le SSMK sont disponibles ; les informations de gestion sont consignées.
Le téléversement, le redémarrage, le firmware actif et la connexion ont été confirmés.
Le réseau, le VPN, le HA, la licence, les patterns et les logs ont été testés en pratique.
En cas de résultat incertain, les autres tentatives d’écrasement ont été arrêtées et les preuves conservées.

FAQ

SFLoader peut-il être utilisé sur un Sophos Firewall XGS Appliance ?

Non. Sophos ne fournit pas SFLoader sur XGS Appliance. En cas de firmware XGS Appliance corrompu, le reimage avec une clé USB amorçable est le chemin de récupération prévu.

Quelle est la différence entre Migrate et Factory ?

Migrate applique à la nouvelle image la configuration de la partition de firmware qui n’est pas écrasée. Factory démarre avec la configuration par défaut et exige ensuite Basic Setup ou une restauration contrôlée.