Aggiornamento firmware Sophos Firewall: preparazione e best practice

Un aggiornamento firmware di Sophos Firewall deve essere approvato solo dopo aver chiarito percorso di upgrade, backup, accesso, stato del sistema, HA e procedura di recovery. Eseguire un aggiornamento firmware di Sophos Firewall descrive l’installazione in WebAdmin o tramite Sophos Central.

⚠️ Prima di ogni aggiornamento: Devono essere disponibili un backup recente, il Secure Storage Master Key associato e un piano di rollback concreto. Per SFOS 22 o versioni successive, eseguire anche il controllo per l’upgrade a SFOS 22.

Approvazione in dieci punti

Un cambio firmware è pronto quando è possibile rispondere sì a tutti i dieci punti:

La versione attuale, la versione target e il percorso di upgrade supportato sono documentati.
Release notes e known issues sono stati controllati per la piattaforma e la configurazione utilizzate.
Licenza e diritto al supporto consentono l’installazione.
Sono disponibili un backup recente, la relativa password e il Secure Storage Master Key corretto.
Spazio libero, stato del sistema e, per i modelli XGS interessati, firmware SSD soddisfano i requisiti.
Stato, ruoli e sincronizzazione HA sono corretti; entrambi i nodi soddisfano i requisiti.
Finestra di manutenzione, responsabili, orario limite e criteri di rollback sono definiti.
È stato predisposto un accesso di amministrazione locale o alternativo.
Sono definiti test per WAN, VPN, DNS, NAT, WAF, autenticazione e applicazioni centrali.
Monitoring, comunicazione e documentazione del change sono pronti.

Se manca uno di questi punti, l’aggiornamento non deve essere avviato sotto pressione. Rinviare una finestra di manutenzione costa meno di un reimage o di un intervento in sede non pianificati.

Verificare versione, piattaforma e autorizzazione

Release notes e percorso di upgrade

Prima del change, confrontare nelle release notes la versione SFOS attuale, la versione target e il percorso supportato. Cercare inoltre nei Sophos Known Issues la piattaforma, HA, VPN, routing, autenticazione e le funzioni effettivamente utilizzate.

Sophos Firewall può mostrare un avviso per un percorso di migrazione non supportato. Se il cambio viene comunque confermato, il firewall può avviarsi con la Factory Configuration e perdere la configurazione esistente. Il rollback automatico non protegge da un percorso di upgrade non supportato. Utilizzare solo un percorso approvato; per un cambio di versione incompatibile, il metodo corretto è un reimage seguito da un restore.

⚠️ Limite della piattaforma: SFOS 21.0 GA e le versioni successive non supportano le appliance hardware XG e SG. Per questi dispositivi occorre pianificare una migrazione a XGS prima dell’upgrade.

I blocker specifici di una versione non devono essere ripetuti come un lungo elenco in ogni articolo sul firmware. Per SFOS 22, il controllo separato copre, tra l’altro, spazio aggiuntivo, nomi delle interfacce, Remote Access IPsec legacy, STAS, firmware SSD e supporto della piattaforma. Per altre versioni target valgono le rispettive release notes aggiornate.

⚠️ Prima del primo upgrade a SFOS 21 o versioni successive: In Certificates > Certificate authorities, cercare i nomi CA Let’s Encrypt riservati. Una voce esistente con lo stesso identico nome può interrompere la migrazione a causa di NC-146082. Non eliminare la CA senza verifiche: mettere prima al sicuro e controllare il backup, la chiave privata, i certificati dipendenti e i servizi.

Licenza e supporto

A partire da SFOS 19.0 MR1, senza Enhanced Support o Enhanced Plus Support sono consentiti tre passaggi gratuiti a versioni GA, MR o EAP. Successivamente il firmware può ancora essere scaricato, ma non installato; Install è disattivato.

Pattern Updates, hotfix, reimage, Mandatory Firmware Upgrades e Assistant Firmware Upgrades sono esclusi da questa regola di supporto. Prima della finestra di manutenzione verificare comunque che:

Administration > Licensing mostri la licenza e il diritto al supporto previsti.
Sophos Central mostri il firewall e il numero di serie corretti.
La versione target e il download siano disponibili.
Accesso al supporto, contatti e procedura di escalation siano noti.

Se per il change è necessario un accesso esterno, provarlo in anticipo. Per Avanet, vedere Configurare l’accesso di supporto a Sophos Firewall.

Preparare backup, recovery e documentazione

Backup, SSMK e slot firmware

Prima dell’aggiornamento scaricare un backup recente della configurazione e verificare quale Secure Storage Master Key gli appartiene. Registrare inoltre nel change la password del backup, l’accesso amministratore, la versione firmware attiva e la versione target.

Sophos Firewall conserva al massimo due versioni firmware: una attiva e una inattiva. Ogni partizione ha il proprio stato di configurazione. Un rollback attiva quindi non solo il firmware precedente, ma anche la relativa configurazione. Le modifiche eseguite dopo l’upgrade possono andare perse tornando indietro.

Il rollback automatico è disponibile da SFOS 20.0 per determinati errori di migrazione della configurazione. È una funzione di sicurezza, ma non sostituisce il backup o l’analisi della causa e non è disponibile per un percorso di upgrade non supportato.

Il processo completo è descritto in Creare o ripristinare un backup di Sophos Firewall. Se non è possibile un normale cambio di versione, vedere Reinstallare Sophos Firewall OS con una chiavetta USB.

Definire in anticipo i criteri di rollback

Prima di iniziare, definire per quanto tempo verrà analizzato un errore e quando inizierà la recovery. Un rollback è opportuno se WAN, HA, VPN centrali o pubblicazioni critiche per la produzione non possono essere stabilizzate entro il tempo concordato. Per una singola regola, un oggetto o un servizio esterno, il troubleshooting mirato è spesso preferibile.

Per una normale Maintenance Release sono sufficienti come documentazione un backup, uno screenshot della pagina firmware, la finestra e il risultato dei test. Per change più ampi, Sophos Firewall Config Studio aiuta a confrontare le configurazioni e l’Audit Trail registra le modifiche durante la finestra di manutenzione.

Verificare stato del sistema, spazio e HA

Spazio di archiviazione e SSD

Prima di un upgrade importante, verificare in WebAdmin che:

Control center non mostri avvisi critici irrisolti.
Backup & Firmware > Firmware mostri gli slot firmware previsti.
Diagnostics > Log viewer non contenga errori ricorrenti di sistema o migrazione.
I servizi rilevanti siano stabili.
Firewall Health Check non contenga punti aperti che influiscono sul change.

Dopo l’accesso SSH, aprire Device Management > Advanced Shell e controllare lo spazio libero:

df -kh

Se una partizione è quasi piena, non eliminare alla cieca file, log o report in Advanced Shell. Individuare prima la causa e utilizzare il metodo di pulizia documentato. Vedere Controllare lo spazio di Sophos Firewall e gestire i report.

SFOS 22 può richiedere spazio aggiuntivo. Su alcuni modelli XGS deve essere aggiornato prima anche il firmware SSD; WebAdmin mostra un messaggio quando è necessario. In un cluster HA ogni nodo viene valutato separatamente. Se un’appliance non soddisfa i requisiti, può bloccare l’intero upgrade.

Per appliance meno recenti o con problemi di I/O, database o report, controllare anche lo stato dell’SSD con SMART. Senza un riscontro concreto, modifiche manuali a database o file system non sono una preparazione utile.

Cluster HA

Non è necessario disattivare HA per un normale aggiornamento firmware. Prima dell’approvazione, tuttavia, entrambe le appliance devono essere connesse, sincronizzate e chiaramente identificabili come Primary e Auxiliary. Anche un aggiornamento HA richiede una finestra di manutenzione, perché il failover può interrompere brevemente singole sessioni, tunnel VPN o ping.

Prima di iniziare, documentare:

Ruoli, stato HA e sincronizzazione.
Stato del link HA.
Requisiti di firmware, spazio e SSD di entrambi i nodi.
Accesso di amministrazione alternativo.
Failover previsto e possibili brevi interruzioni.

L’appliance Auxiliary non deve essere aggiornata separatamente. L’articolo operativo descrive la sequenza esatta: aggiornamento dell’Auxiliary, failover e aggiornamento del precedente Primary. Altri casi HA sono descritti in Cluster HA Sophos Firewall: varianti e manutenzione.

I Pattern Updates vengono installati sul Primary e poi sincronizzati sull’Auxiliary. Gli hotfix e il loro stato devono essere considerati separatamente e controllati su entrambi i dispositivi dopo la finestra di manutenzione.

Pianificare finestra di manutenzione, Central e test

Finestra di manutenzione e accesso

Una finestra di manutenzione comprende più del solo orario di installazione:

Ora di inizio, termine massimo e decisione di rollback.
Responsabili di firewall, rete, server, applicazioni e supporto.
Contatto locale, accesso out-of-band o secondo percorso di amministrazione.
Canale di comunicazione in caso di guasto WAN o Remote Access.
Modalità manutenzione per monitoring e alerting.
Sequenza di test per i processi aziendali più importanti.

Per le sedi remote, non affidarsi esclusivamente a Sophos Central o alla connessione VPN esistente. Se proprio quel percorso si interrompe durante l’aggiornamento, devono rimanere disponibili un accesso o una procedura di escalation definiti.

Pianificare il firmware tramite Sophos Central

Gli aggiornamenti firmware gestiti da Central vengono preparati e monitorati in My Products > Firewall Management > Firewalls. La Task Queue riguarda group policy e task di configurazione MDR/API e non mostra gli aggiornamenti firmware.

Tramite Central si possono installare solo versioni target che hanno raggiunto la fase Available to all del processo di rilascio. Gli aggiornamenti pianificati iniziano secondo il fuso orario impostato sul firewall, non secondo l’ora del browser dell’amministratore. Per le sedi internazionali, registrare nel change fuso orario, finestra locale e versione target.

Durante l’upgrade, un’icona di stato ruota accanto al firewall e scompare al termine. Successivamente è comunque obbligatorio controllare localmente la versione firmware attiva. In caso di rollback automatico, Central mostra un messaggio corrispondente accanto alla versione.

Test funzionali reali

Un ping da solo non dimostra che il firewall funzioni correttamente dopo l’aggiornamento. Definire prima test concreti con source, destination e risultato previsto:

Accesso a Internet e risoluzione DNS.
DHCP, VLAN, uplink WAN e route SD-WAN.
Site-to-Site VPN, Remote Access VPN e RED.
Regole firewall, NAT e servizi pubblicati.
WAF, Web Protection e TLS Inspection.
LDAP, RADIUS, Microsoft Entra ID e altra autenticazione centrale.
Flusso email e applicazioni aziendali critiche.
Syslog, SIEM e monitoring.

Validare dopo l’aggiornamento

Dopo il riavvio, controllare prima la versione attiva e lo slot inattivo previsto in Backup & Firmware > Firmware. Quindi:

Controllare in Control center nuovi avvisi o un rollback automatico.
Verificare interfacce, WAN, SD-WAN, ruoli HA e sincronizzazione.
Validare VPN, RED, DNS, DHCP, regole, NAT, WAF e autenticazione con i test preparati.
Controllare lo stato di pattern e hotfix.
Verificare la sincronizzazione Sophos Central, oltre a monitoring, syslog e SIEM.
Registrare nel change risultato, orari, scostamenti ed eventuali attività successive.

Se una singola funzione non opera correttamente, utilizzare prima Log Viewer, Policy Test, Packet Capture e i service log pertinenti. Vedere Testare una regola firewall con Log Viewer, Policy Test e Packet Capture e Troubleshooting Sophos Firewall: servizi e log.

FAQ

Con quale frequenza vanno installati gli aggiornamenti firmware di Sophos Firewall?

Security Fix e Maintenance Release non devono rimanere in sospeso inutilmente. Una cadenza pianificata con verifica delle release notes, piano di test e piano di rollback è preferibile agli aggiornamenti improvvisati.

È necessario un backup prima di ogni aggiornamento firmware?

Sì. Anche quando è disponibile il rollback, devono essere pronti un backup recente e il Secure Storage Master Key corrispondente.

È possibile installare un aggiornamento firmware senza Enhanced Support?

A partire da SFOS 19.0 MR1 sono consentiti tre passaggi gratuiti a GA, MR o EAP senza supporto. Successivamente il firmware può essere scaricato, ma non installato.

HA deve essere disattivato prima di un aggiornamento firmware?

No. Il cluster deve però essere connesso e sincronizzato, entrambi i nodi devono soddisfare i requisiti e rimane necessaria una finestra di manutenzione.

Qual è la differenza tra rollback e reimage?

Un rollback avvia una partizione firmware compatibile esistente con il relativo stato di configurazione. Un reimage reinstalla Sophos Firewall OS e richiede poi un restore.