Eseguire l'aggiornamento del firmware di Sophos Firewall

Questo articolo mostra come eseguire un aggiornamento del firmware di Sophos Firewall: ottenere l’immagine, installarla nel WebAdmin, pianificare un aggiornamento tramite Sophos Central e, se necessario, tornare al firmware precedente.

Il percorso di upgrade, il backup, lo stato HA, il piano di test e i criteri di rollback devono essere già definiti. A questo scopo serve Aggiornamento firmware di Sophos Firewall: preparazione e best practice. Prima di passare a SFOS 22 o versioni successive, occorre anche completare la verifica preliminare per SFOS 22.

⚠️ Verificare la piattaforma: SFOS 21.0 GA e le versioni successive non supportano più le appliance hardware XG e SG. Per questi dispositivi, prima dell’aggiornamento occorre stabilire se è necessaria una migrazione a XGS Appliance.

Aggiornamento firmware in sette passaggi

1. Verificare la versione attiva, la versione di destinazione e il percorso di upgrade supportato.
2. Creare un backup recente e tenere a disposizione la Secure Storage Master Key.
3. In Backup and firmware > Firmware, controllare gli slot firmware attivo e inattivo.
4. Scaricare direttamente la versione di destinazione oppure caricare un’immagine adatta.
5. Avviare il cambio di versione con Install o Upload and boot.
6. Dopo il riavvio, verificare la versione attiva e, in HA, entrambe le appliance.
7. Collaudare WAN, VPN, DNS, NAT, servizi pubblicati e logging con test reali.

Durante il cambio di versione, il firewall termina le sessioni esistenti e si riavvia. Anche con HA è necessaria una finestra di manutenzione, perché durante il failover alcune sessioni, tunnel VPN o risposte ping possono interrompersi brevemente.

Verifiche prima di iniziare

Prima del caricamento, verificare almeno questi punti:

• La versione attuale, la versione di destinazione e il percorso di upgrade supportato sono documentati.
• Sono disponibili un backup del firewall recente, la password del backup e la Secure Storage Master Key.
• Lo stato e la sincronizzazione HA sono corretti, se si utilizza un cluster.
• Per le sedi remote esiste un accesso alternativo, ad esempio un contatto locale, un accesso out-of-band o una VPN di gestione.
• Le release notes e i Known Issues della versione di destinazione sono stati controllati per individuare indicazioni rilevanti su piattaforma, VPN, interfacce e migrazione.

Per effettuare cambi illimitati da SFOS 19.0 MR1 o versioni successive a un altro firmware sono necessari Enhanced Support o Enhanced Plus Support. Senza questo abbonamento sono consentiti tre upgrade gratuiti del firmware a versioni GA, MR o EAP. In seguito il firmware può ancora essere scaricato, ma non installato; Install viene disattivato. Il passaggio a 19.0 MR1 stesso, Pattern Updates, hotfix, reimage e Mandatory o Assistant Firmware Upgrades sono esclusi da questa limitazione.

Sophos Firewall mostra al massimo due versioni firmware: una attiva e una inattiva. La versione inattiva è la versione precedente oppure un’immagine compatibile caricata manualmente. Ogni partizione dispone della propria configurazione. Un rollback successivo attiva quindi anche la configurazione della partizione precedente.

Non confondere la lingua della configurazione con quella di WebAdmin

Nella stessa pagina, SFOS 22 offre una selezione della lingua della configurazione in Factory reset with default configuration language. Questa impostazione definisce la lingua degli oggetti predefiniti nel database di configurazione, non la lingua visualizzata nell’interfaccia WebAdmin.

⚠️ Attenzione: Facendo clic su Apply, il firewall viene ripristinato alle impostazioni di fabbrica e vengono eliminate la configurazione personalizzata e la Secure Storage Master Key. La chiave deve essere disponibile per un successivo ripristino o importazione. Un backup resta necessario come percorso di ripristino, ma non può essere usato per combinare la configurazione esistente con la nuova lingua: il restore ripristina anche la lingua della configurazione memorizzata nel backup. Questa scelta appartiene quindi alla distribuzione iniziale, non a una normale finestra di manutenzione del firmware.

Ottenere il firmware SFOS

Per i firewall registrati, Sophos Central è il punto di partenza più sicuro: dal menu del profilo aprire Licensing > Firewall licenses, espandere il firewall e selezionare in Downloads il firmware assegnato. Other downloads apre i pacchetti per gli altri tipi di piattaforma. Questa selezione non sostituisce la verifica del percorso di upgrade, ma riduce il rischio di scegliere un pacchetto per la classe di appliance sbagliata.

Pagine ufficiali per il download:

• Appliance hardware: Firmware SFOS per appliance hardware. Nel nome del file, SF300 identifica la serie XG e SF310 la serie XGS Appliance. Un pacchetto SF300 è adatto solo a una release firmware che supporta ancora XG; non rende SFOS 21 o versioni successive compatibile con XG.
• Appliance software: Firmware SFOS per appliance software. Questi pacchetti iniziano con SW- e contengono l’identificatore di piattaforma SFW. Sono destinati a un’installazione con licenza software appliance, non a un’appliance virtuale o cloud.
• Appliance virtuali e cloud: Firmware SFOS per appliance virtuali e cloud. Questi pacchetti iniziano con VI-; l’identificatore prima del numero di build deve corrispondere all’ambiente: AMI per AWS, AZU per Azure, HYV per Hyper-V, KVM per KVM, VMW per VMware e XEN per Xen.

Prima del download, annotare la versione attiva e verificarla separatamente rispetto al percorso di upgrade supportato. Controllare poi tre valori nel nome del file: release di destinazione, numero di build esatto e identificatore di piattaforma. Ad esempio, HW-22.0.2_MR-2.SF310-546.sig è un pacchetto XGS Appliance per SFOS 22.0 MR2 Build 546. Se la stessa release presenta più build, utilizzare quella approvata per il percorso di upgrade previsto, non la data di modifica o semplicemente il numero più alto. Le directory pubbliche non convalidano modello, licenza o diritto all’upgrade; questi dati devono corrispondere a Licensing > Firewall licenses, al sistema in esecuzione e alle release notes.

Dopo il download, confrontare carattere per carattere il checksum SHA-256 calcolato localmente con la colonna Checksum della stessa directory. In caso di differenza, eliminare il file e scaricarlo nuovamente. Il checksum rileva errori di trasferimento, ma da solo non autentica l’origine.

Non aggirare la verifica dell’immagine: SFOS verifica il pacchetto .sig non modificato prima dell’installazione, dell’upgrade e del downgrade, anche negli ambienti air gap. La firma digitale con RSA e SHA-512 conferma origine e integrità; SFOS controlla inoltre internamente il pacchetto con un checksum MD5. MD5 non sostituisce né il controllo di trasferimento SHA-256 né la verifica della firma. Un’immagine rifiutata non deve quindi essere rinominata, modificata o ricreata, ma scaricata nuovamente da una fonte Sophos ufficiale e verificata rispetto a piattaforma, licenza, build e percorso di upgrade.

Prima del caricamento, la piattaforma, la serie dell’appliance, la versione attiva e il percorso di destinazione devono corrispondere all’immagine. Le immagini incompatibili vengono rifiutate. Un cambio di versione incompatibile richiede un reimage; il rollback automatico non è disponibile per un percorso di upgrade non supportato.

Il caricamento manuale è adatto anche agli ambienti air gap. La sincronizzazione delle licenze e i Pattern Updates restano processi operativi separati, descritti in Licenze air gap e Pattern Updates di Sophos Firewall.

Un firewall software, virtuale o AWS/Azure BYOL non ancora rivendicato deve prima essere rivendicato in Sophos Central, prima di passare a SFOS 22.0 o versioni successive. In seguito occorre verificare il percorso di upgrade supportato e la versione effettivamente attiva; la sola rivendicazione non abilita Central Management.

Installare il firmware manualmente

1. Accedere al WebAdmin di Sophos Firewall.
2. Aprire Backup and firmware > Firmware.
3. In Firmware, selezionare Upload accanto alla versione inattiva.
4. Nella finestra a comparsa, selezionare l’immagine appropriata dal dispositivo dell’amministratore.
5. Selezionare Upload firmware se l’immagine deve essere solo predisposta.
6. Selezionare Upload and boot quando la finestra di manutenzione è attiva e il riavvio deve iniziare immediatamente.

Le tre azioni sono nettamente diverse:

• Upload firmware: Carica l’immagine nello slot inattivo, ma non la avvia. Anche un successivo riavvio per un altro motivo non passa automaticamente a questa versione.
• Upload and boot: Carica l’immagine, termina le sessioni esistenti e avvia subito il firewall con la nuova versione.
• Boot firmware image: Avvia una versione compatibile già presente nello slot inattivo. Viene avviata esattamente quella versione, non automaticamente la più recente disponibile.

Boot with factory default configuration non è un’azione di rollback. Termina anch’essa tutte le sessioni, ma avvia il firmware selezionato con le impostazioni di fabbrica ed elimina la configurazione personalizzata. Anche se non cancella la Secure Storage Master Key, deve essere usata solo in una procedura di recovery pianificata con backup verificato e accesso di gestione, non per un normale aggiornamento.

Aggiornamento firmware in un cluster HA

Non è necessario disattivare HA prima dell’aggiornamento. In un cluster connesso, il processo viene avviato sul Primary: prima viene aggiornata e riavviata l’appliance Auxiliary, poi avviene il failover e infine viene aggiornato il precedente Primary. Se è definito un Preferred Primary, al termine può verificarsi un failback.

L’appliance Auxiliary non deve essere aggiornata separatamente. Un dispositivo HA in modalità standalone non può essere aggiornato tramite il normale processo del cluster. Prima di iniziare devono quindi essere chiari ruoli, link HA e sincronizzazione. I Pattern Updates vengono aggiornati sul Primary e poi sincronizzati verso l’Auxiliary. Cluster HA di Sophos Firewall: varianti e manutenzione spiega altri casi particolari.

Aggiornare direttamente nel WebAdmin o tramite Central

Aggiornare direttamente nel WebAdmin

Con un’autorizzazione valida, il firewall può scaricare direttamente il firmware disponibile:

1. Aprire Backup and firmware > Firmware.
2. In Latest Available Firmware, selezionare Check for new firmware.
3. Selezionare Download per la versione desiderata.
4. Al termine del download, avviare Install.
5. Attendere il riavvio ed effettuare nuovamente l’accesso.
6. Verificare la versione attiva nell’angolo superiore sinistro del Control center e in Backup and firmware > Firmware.

Pianificare il firmware tramite Sophos Central

Sophos Central mostra una freccia blu quando è disponibile un aggiornamento firmware. Tramite Central si possono installare solo le versioni di destinazione che hanno raggiunto la fase Available to all nel processo di rilascio.

1. Aprire My Products > Firewall Management > Firewalls.
2. Selezionare la freccia blu del firewall e poi Schedule upgrade.
3. Se vengono proposte più versioni, selezionare la versione di destinazione.
4. Selezionare Immediately o At e, per At, impostare data e ora.
5. Selezionare Schedule upgrade. Se esiste già una pianificazione firmware ricorrente, occorre invece ignorare un’occorrenza o sovrascrivere la pianificazione per il singolo firewall.

Central utilizza il fuso orario configurato sul firewall. Cinque icone accanto alla versione firmware ne indicano lo stato:

• Freccia blu: aggiornamento disponibile.
• Orologio grigio: aggiornamento pianificato.
• Cerchio blu rotante: aggiornamento in corso.
• Segno di spunta verde: aggiornamento riuscito.
• Avviso rosso: aggiornamento non riuscito.

Un clic sull’icona mostra i dettagli, mentre un clic sul numero di versione apre lo stato dell’aggiornamento. Gli aggiornamenti firmware non compaiono né nella Task Queue delle policy di gruppo né nella Firewall Task Queue delle attività MDR e API. Anche dopo un segno di spunta verde, la versione attiva deve essere controllata localmente nel WebAdmin. In caso di rollback automatico, Central mostra un messaggio corrispondente accanto alla versione firmware.

Azione mancante o aggiornamento non riuscito

• Install è disattivato: Verificare se i tre aggiornamenti firmware gratuiti sono stati utilizzati e se Enhanced Support o Enhanced Plus è attivo.
• Central non mostra la freccia blu: Verificare lo stato online e di gestione, l’autorizzazione, la piattaforma e la versione di destinazione disponibile. Per una nuova release, la fase Available to all potrebbe non essere ancora stata raggiunta.
• L’aggiornamento Central non viene eseguito nonostante la pianificazione: Aprire l’icona di stato e controllare localmente se è rimasta attiva la versione precedente. Escludere quindi fuso orario, stato di gestione Central, Available to all, percorso di upgrade, avvisi locali e un rollback automatico. Su SFOS 21.5.1 MR1 Build 261, NC-181150 può impedire temporaneamente la ricezione dei metadati firmware, mentre gli altri servizi Central continuano a funzionare. In questo caso, avviare nuovamente l’aggiornamento in Central o nel WebAdmin locale; potrebbero essere necessari diversi tentativi. Sophos non indica una versione corretta, ma solo miglioramenti dell’affidabilità a partire da SFOS 22.0 MR1. Un aggiornamento mancato su un’altra versione non dimostra questo problema.
• Il caricamento viene rifiutato: Verificare il tipo di piattaforma, la serie dell’appliance, il percorso di upgrade e l’integrità del file. Un cambio incompatibile richiede un reimage anziché un nuovo tentativo di caricamento.
• SFOS segnala troppi gateway configurati: Il cambio di firmware viene bloccato quando il numero di gateway supera il massimo supportato dal firewall. Prima di eliminare qualcosa, documentare le dipendenze in route SD-WAN, route statiche, VPN e configurazioni di failover. Rimuovere in modo controllato solo i gateway di cui è dimostrato il mancato utilizzo; se non esiste un percorso sostitutivo sicuro, interrompere il cambio.
• Caricamento o installazione non riescono nonostante un’immagine adatta: Verificare lo spazio libero e, in HA, lo stato di sincronizzazione di entrambe le appliance. Non caricare ripetutamente la stessa immagine prima di aver chiarito la causa.
• Il firewall esegue automaticamente il rollback: A partire da SFOS 20.0, questo avviene per determinati errori di migrazione della configurazione. Nel Control center locale compaiono un alert e una voce di log; un aggiornamento tramite Central mostra inoltre un messaggio accanto alla versione firmware. L’alert locale di rollback è visibile solo durante una migrazione da SFOS 19.5 MR2 o versioni successive; con una versione di origine precedente, la sua assenza non esclude il rollback. Per individuare la causa sono particolarmente rilevanti migration.log e migrationhash.log.
• WebAdmin resta irraggiungibile a causa di firmware danneggiato: Su un’appliance dotata del loader può essere necessaria la procedura di recovery con SFLoader. XGS Appliance non supporta SFLoader; per questi dispositivi, il reimage con una chiavetta USB è il percorso di ripristino previsto.

Un aggiornamento sottoposto a rollback automatico non deve essere ripetuto senza analizzarne la causa. Salvare i log di migrazione e coinvolgere Sophos o il supporto del partner se il risultato non è chiaro.

Questa protezione non si applica a ogni percorso di aggiornamento. È disponibile per il firmware caricato manualmente, quando si verifica localmente la presenza di una nuova versione e per gli aggiornamenti HA. Non è invece disponibile alcun rollback automatico quando si installa il firmware più recente dal setup assistant o si esegue un Mandatory Firmware Upgrade. Lo stesso vale per una versione di partenza o un percorso di upgrade non supportati. In questi casi, backup, accesso di gestione e percorso di ripristino devono essere garantiti in modo indipendente prima di iniziare.

Verificare dopo l’aggiornamento

Dopo il riavvio, controllare innanzitutto la versione attiva prevista in Backup and firmware > Firmware. Quindi verificare con connessioni reali:

• Uplink WAN, Default Gateway, route SD-WAN e interfacce principali.
• Stato, ruoli e sincronizzazione HA.
• Connessioni Site-to-Site VPN, Remote Access VPN e RED.
• DNS, DHCP, NAT, WAF e regole firewall importanti.
• Accesso web, TLS Inspection, autenticazione e applicazioni pubblicate.
• Stato dei pattern e degli hotfix al livello previsto.
• Sincronizzazione Sophos Central, monitoring, Syslog e dati SIEM.

I test devono registrare più di «raggiungibile» o «non raggiungibile». Un esempio adattabile per il traffico in uscita è un client della rete di produzione interna che risolve un nome DNS noto e poi apre un sito HTTPS autorizzato. Ci si aspetta una risposta DNS, una connessione TLS riuscita e voci corrispondenti nel Log Viewer. Testare un’applicazione pubblicata da una connessione esterna, per evitare di convalidare soltanto un percorso hairpin interno. Adattare rete sorgente e destinazione al proprio ambiente e annotare in anticipo nel piano di test ora e risultato previsto.

Se è interessata solo una regola, una regola NAT o una pubblicazione WAF, utilizzare prima Log Viewer, Policy Test, Packet Capture e i service log pertinenti. Sono utili Testare una regola firewall con Log Viewer, Policy Test e Packet Capture e Troubleshooting di Sophos Firewall: servizi e log.

Tornare al firmware precedente

Un rollback avvia il firmware compatibile precedente nello slot inattivo e attiva la configurazione associata. Aprire Backup and firmware > Firmware e selezionare l’icona di rollback o Boot firmware image sulla versione firmware precedente. Le modifiche alla configurazione apportate dopo l’aggiornamento possono andare perse. Fino alla decisione go/no-go, apportare solo modifiche indispensabili e documentarle separatamente. Un rollback non sostituisce un backup o un restore.

• Rollback: Passaggio al firmware compatibile precedentemente installato e alla relativa configurazione.
• Downgrade: Passaggio a una versione compatibile precedente che non è necessariamente quella immediatamente antecedente.
• Reimage: Reinstallazione di Sophos Firewall OS seguita da un restore.

Un rollback è appropriato quando WAN, HA, le VPN principali o le pubblicazioni critiche non possono essere stabilizzati entro la finestra di analisi definita. Per una singola regola o un servizio esterno, un troubleshooting mirato è in genere preferibile. Un’interfaccia che appare soltanto lenta non giustifica da sola un rollback.

Prima di selezionare l’azione, documentare le versioni firmware attiva e nuova, l’ora, il sintomo, i servizi interessati, lo stato HA e i test già eseguiti. In questo modo rimane chiaro in seguito perché è stato eseguito il rollback e quale causa deve ancora essere analizzata.

In un cluster HA, lo stesso firmware inattivo deve essere presente su entrambe le appliance. In alternativa, disattivare HA ed eseguire il rollback separatamente su ciascun dispositivo. Se la versione precedente non era configurata per HA, dopo il rollback entrambi i dispositivi si avviano in modalità standalone e HA deve essere configurato nuovamente.

Dopo il rollback, ricontrollare la versione attiva, WAN, VPN, HA, regole, NAT, WAF, DNS, DHCP, sincronizzazione Central e logging. Documentare quindi la causa e la prossima finestra di manutenzione.