Aggiornamento firmware Sophos Firewall: preparazione e best practice

Un aggiornamento firmware di Sophos Firewall deve essere approvato solo dopo aver chiarito percorso di upgrade, backup, accesso, stato del sistema, HA e procedura di recovery. Eseguire un aggiornamento firmware di Sophos Firewall descrive l’installazione in WebAdmin o tramite Sophos Central.

⚠️ Prima di ogni aggiornamento: Devono essere disponibili un backup recente, il Secure Storage Master Key associato e un piano di rollback concreto. Per SFOS 22 o versioni successive, eseguire anche il controllo per l’upgrade a SFOS 22.

Approvazione in dieci punti

Un cambio firmware è pronto quando è possibile rispondere sì a tutti i dieci punti:

1. La versione attuale, la versione target e il percorso di upgrade supportato sono documentati.
2. Release notes e known issues sono stati controllati per la piattaforma e la configurazione utilizzate.
3. Licenza e diritto al supporto consentono l’installazione.
4. Sono disponibili un backup recente, la relativa password e il Secure Storage Master Key corretto.
5. Spazio libero, stato del sistema e, per i modelli XGS Appliance interessati, firmware SSD soddisfano i requisiti.
6. Stato, ruoli e sincronizzazione HA sono corretti; entrambi i nodi soddisfano i requisiti.
7. Finestra di manutenzione, responsabili, orario limite e criteri di rollback sono definiti.
8. È stato predisposto un accesso di amministrazione locale o alternativo.
9. Sono definiti test per WAN, VPN, DNS, NAT, WAF, autenticazione e applicazioni centrali.
10. Monitoring, comunicazione e documentazione del change sono pronti.

Se manca uno di questi punti, l’aggiornamento non deve essere avviato sotto pressione. Rinviare una finestra di manutenzione costa meno di un reimage o di un intervento in sede non pianificati.

Verificare versione, piattaforma e autorizzazione

Un processo operativo definito verifica almeno una volta al mese in Sophos Central o in Backup & Firmware > Firmware se è disponibile un aggiornamento. Vengono inoltre seguite attivamente le nuove release notes e le maintenance release annunciate. Ogni MR deve rientrare nella pianificazione, perché anche una release di sola manutenzione può contenere importanti correzioni di sicurezza. Installazione, test e rollback restano comunque attività controllate da eseguire nella finestra di manutenzione.

Release notes e percorso di upgrade

Prima del change, confrontare nelle release notes la versione SFOS attuale, la versione target e il percorso supportato. Verificare inoltre i problemi noti relativi a piattaforma, HA, VPN, routing, autenticazione e alle funzioni effettivamente utilizzate.

Sophos Firewall può mostrare un avviso per un percorso di migrazione non supportato. Se il cambio viene comunque confermato, il firewall può avviarsi con la Factory Configuration e perdere la configurazione esistente. Il rollback automatico non protegge da un percorso di upgrade non supportato. Utilizzare solo un percorso approvato; per un cambio di versione incompatibile, il metodo corretto è un reimage seguito da un restore.

⚠️ Limite della piattaforma: SFOS 21.0 GA e le versioni successive non supportano le appliance hardware XG e SG. Per questi dispositivi occorre pianificare una migrazione a XGS Appliance prima dell’upgrade.

Il controllo di upgrade a SFOS 22 documenta le versioni di partenza supportate per l’upgrade diretto e l’interpretazione dei blocker di SFOS 22.0 MR2 Build 546. Questa matrice è specifica per tale build e non è un percorso universale per SFOS 22; per qualsiasi altro build target, verificare subito prima del change le versioni di partenza supportate e i blocker applicabili nelle release notes aggiornate.

È necessario escludere esplicitamente due blocker di SFOS 22:

• SFOS 22.0 MR1 e versioni successive: La configurazione legacy di Remote Access IPsec ancora presente blocca l’upgrade. Risolverla secondo le istruzioni di migrazione Sophos aggiornate; la semplice disattivazione non è sufficiente.
• SFOS 22.0 MR2 e versioni successive: Il VLAN tagging legacy configurato tramite CLI sulle interfacce bridge blocca l’upgrade. Identificare i bridge interessati e risolvere prima tale configurazione secondo le release notes.

Il controllo separato copre gli altri temi di SFOS 22, tra cui spazio, nomi delle interfacce, STAS, firmware SSD e piattaforma. Per altre versioni target valgono le rispettive release notes aggiornate.

⚠️ Prima del primo upgrade a SFOS 21 o versioni successive: In Certificates > Certificate authorities, cercare i nomi CA Let’s Encrypt riservati. Una voce esistente con lo stesso identico nome può interrompere la migrazione a causa di NC-146082. Non eliminare la CA senza verifiche: mettere prima al sicuro e controllare il backup, la chiave privata, i certificati dipendenti e i servizi.

Licenza e supporto

A partire da SFOS 19.0 MR1, senza Enhanced Support o Enhanced Plus Support sono consentiti tre passaggi gratuiti a versioni GA, MR o EAP. Successivamente il firmware può ancora essere scaricato, ma non installato; Install è disattivato.

Pattern Updates, hotfix, reimage, Mandatory Firmware Upgrades e Assistant Firmware Upgrades sono esclusi da questa regola di supporto. Prima della finestra di manutenzione verificare comunque che:

• Administration > Licensing mostri la licenza e il diritto al supporto previsti.
• Sophos Central mostri il firewall e il numero di serie corretti.
• La versione target e il download siano disponibili.
• Accesso al supporto, contatti e procedura di escalation siano noti.

Se per il change è necessario un accesso esterno, provarlo in anticipo. Per Avanet, vedere Configurare l’accesso di supporto a Sophos Firewall.

Controllare separatamente gli hotfix automatici

Gli hotfix non sono né uno slot firmware né un Pattern Update. SFOS 22 verifica ogni 30 minuti la disponibilità di hotfix e li installa automaticamente per impostazione predefinita. Sophos consiglia di non modificare questa impostazione. Leggere lo stato nella Device Console prima e dopo un change del firmware:

system hotfix show

Secondo Sophos, gli hotfix installati rimangono anche dopo un firmware upgrade. Se il controllo mostra che l’installazione automatica è disattivata, determinare prima chi l’ha disattivata e perché. In assenza di un’eccezione documentata, riattivarla:

system hotfix enable

system hotfix disable disattiva soltanto l’installazione automatica e non è una procedura generale di troubleshooting. Uno stato attivo non dimostra inoltre che uno specifico hotfix sia già stato applicato o che il percorso di download funzioni. Per un errore concreto, verificare anche build, ora, accesso a Internet, log e riferimento dell’errore Sophos.

Preparare backup, recovery e documentazione

Backup, SSMK e slot firmware

Prima dell’aggiornamento scaricare un backup recente della configurazione e verificare quale Secure Storage Master Key gli appartiene. Registrare inoltre nel change la password del backup, l’accesso amministratore, la versione firmware attiva e la versione target.

Sophos Firewall conserva al massimo due versioni firmware: una attiva e una inattiva. Ogni partizione ha il proprio stato di configurazione. Un rollback attiva quindi non solo il firmware precedente, ma anche la relativa configurazione. Le modifiche eseguite dopo l’upgrade possono andare perse tornando indietro.

Il rollback automatico è disponibile da SFOS 20.0 per determinati errori di migrazione della configurazione. È una funzione di sicurezza, ma non sostituisce il backup o l’analisi della causa e non è disponibile per un percorso di upgrade non supportato.

Il processo completo è descritto in Creare o ripristinare un backup di Sophos Firewall. Se non è possibile un normale cambio di versione, vedere Reinstallare Sophos Firewall OS con una chiavetta USB.

Definire in anticipo i criteri di rollback

Prima di iniziare, definire per quanto tempo verrà analizzato un errore e quando inizierà la recovery. Un rollback è opportuno se WAN, HA, VPN centrali o pubblicazioni critiche per la produzione non possono essere stabilizzate entro il tempo concordato. Per una singola regola, un oggetto o un servizio esterno, il troubleshooting mirato è spesso preferibile.

Per una normale Maintenance Release sono sufficienti come documentazione un backup, uno screenshot della pagina firmware, la finestra e il risultato dei test. Per change più ampi, Sophos Firewall Config Studio aiuta a confrontare le configurazioni e l’Audit Trail registra le modifiche durante la finestra di manutenzione.

Verificare stato del sistema, spazio e HA

Spazio di archiviazione e SSD

Prima di un upgrade importante, verificare in WebAdmin che:

• Control center non mostri avvisi critici irrisolti.
• Backup & Firmware > Firmware mostri gli slot firmware previsti.
• Diagnostics > Log viewer non contenga errori ricorrenti di sistema o migrazione.
• I servizi rilevanti siano stabili.
• Firewall Health Check non contenga punti aperti che influiscono sul change.

Dopo l’accesso SSH, aprire Device Management > Advanced Shell e controllare lo spazio libero:

df -kh

Se una partizione è quasi piena, non eliminare alla cieca file, log o report in Advanced Shell. Individuare prima la causa e utilizzare il metodo di pulizia documentato. Vedere Controllare lo spazio di Sophos Firewall e gestire i report.

SFOS 22 può richiedere spazio aggiuntivo. Su alcuni modelli XGS Appliance deve essere aggiornato prima anche il firmware SSD; WebAdmin mostra un messaggio quando è necessario. In un cluster HA ogni nodo viene valutato separatamente. Se un’appliance non soddisfa i requisiti, può bloccare l’intero upgrade.

Per appliance meno recenti o con problemi di I/O, database o report, controllare anche lo stato dell’SSD con SMART. Senza un riscontro concreto, modifiche manuali a database o file system non sono una preparazione utile.

Sophos indica un riavvio prima dell’upgrade solo come possibilità facoltativa per svuotare la cache di memoria. Non è un requisito e provoca un’interruzione aggiuntiva. Il riavvio va quindi eseguito solo nella finestra di manutenzione, dopo aver salvato i log rilevanti e confermato il percorso di recovery per l’accesso di gestione. Se il firewall mostra un’instabilità non spiegata, l’upgrade deve essere interrotto; un riavvio non deve sostituire l’analisi della causa né far apparire il sistema sano solo temporaneamente.

Cluster HA

Non è necessario disattivare HA per un normale aggiornamento firmware. Prima dell’approvazione, tuttavia, entrambe le appliance devono essere connesse, sincronizzate e chiaramente identificabili come Primary e Auxiliary. Anche un aggiornamento HA richiede una finestra di manutenzione, perché il failover può interrompere brevemente singole sessioni, tunnel VPN o ping.

Prima di iniziare, documentare:

• Ruoli, stato HA e sincronizzazione.
• Stato del link HA.
• Requisiti di firmware, spazio e SSD di entrambi i nodi.
• Accesso di amministrazione alternativo.
• Failover previsto e possibili brevi interruzioni.

L’appliance Auxiliary non deve essere aggiornata separatamente. L’articolo operativo descrive la sequenza esatta: aggiornamento dell’Auxiliary, failover e aggiornamento del precedente Primary. Altri casi HA sono descritti in Cluster HA Sophos Firewall: varianti e manutenzione.

I Pattern Updates vengono installati sul Primary e poi sincronizzati sull’Auxiliary. Gli hotfix e il loro stato devono essere considerati separatamente e controllati su entrambi i dispositivi dopo la finestra di manutenzione.

Pianificare finestra di manutenzione, Central e test

Finestra di manutenzione e accesso

Una finestra di manutenzione comprende più del solo orario di installazione:

• Ora di inizio, termine massimo e decisione di rollback.
• Responsabili di firewall, rete, server, applicazioni e supporto.
• Contatto locale, accesso out-of-band o secondo percorso di amministrazione.
• Canale di comunicazione in caso di guasto WAN o Remote Access.
• Modalità manutenzione per monitoring e alerting.
• Sequenza di test per i processi aziendali più importanti.

Per le sedi remote, non affidarsi esclusivamente a Sophos Central o alla connessione VPN esistente. Se proprio quel percorso si interrompe durante l’aggiornamento, devono rimanere disponibili un accesso o una procedura di escalation definiti.

Pianificare il firmware tramite Sophos Central

Gli aggiornamenti firmware gestiti da Central vengono preparati e monitorati in My Products > Firewall Management > Firewalls. La Task Queue riguarda group policy e task di configurazione MDR/API e non mostra gli aggiornamenti firmware.

Tramite Central si possono installare solo versioni target che hanno raggiunto la fase Available to all del processo di rilascio. Gli aggiornamenti pianificati iniziano secondo il fuso orario impostato sul firewall, non secondo l’ora del browser dell’amministratore. Per le sedi internazionali, registrare nel change fuso orario, finestra locale e versione target.

Durante l’upgrade, un’icona di stato ruota accanto al firewall e scompare al termine. Successivamente è comunque obbligatorio controllare localmente la versione firmware attiva. In caso di rollback automatico, Central mostra un messaggio corrispondente accanto alla versione.

Test funzionali reali

Un ping da solo non dimostra che il firewall funzioni correttamente dopo l’aggiornamento. Definire prima test concreti con source, destination e risultato previsto:

• Accesso a Internet e risoluzione DNS.
• DHCP, VLAN, uplink WAN e route SD-WAN.
• Site-to-Site VPN, Remote Access VPN e RED.
• Regole firewall, NAT e servizi pubblicati.
• WAF, Web Protection e TLS Inspection.
• LDAP, RADIUS, Microsoft Entra ID e altra autenticazione centrale.
• Flusso email e applicazioni aziendali critiche.
• Syslog, SIEM e monitoring.

Validare dopo l’aggiornamento

Dopo il riavvio, controllare prima la versione attiva e lo slot inattivo previsto in Backup & Firmware > Firmware. Quindi:

• Controllare in Control center nuovi avvisi o un rollback automatico.
• Verificare interfacce, WAN, SD-WAN, ruoli HA e sincronizzazione.
• Validare VPN, RED, DNS, DHCP, regole, NAT, WAF e autenticazione con i test preparati.
• Controllare lo stato di pattern e hotfix.
• Verificare la sincronizzazione Sophos Central, oltre a monitoring, syslog e SIEM.
• Registrare nel change risultato, orari, scostamenti ed eventuali attività successive.

Se una singola funzione non opera correttamente, utilizzare prima Log Viewer, Policy Test, Packet Capture e i service log pertinenti. Vedere Testare una regola firewall con Log Viewer, Policy Test e Packet Capture e Troubleshooting Sophos Firewall: servizi e log.

FAQ