Eseguire l'aggiornamento del firmware di Sophos Firewall

Questo articolo mostra come eseguire un aggiornamento del firmware di Sophos Firewall: ottenere l’immagine, installarla nel WebAdmin, pianificare un aggiornamento tramite Sophos Central e, se necessario, tornare al firmware precedente.

Il percorso di upgrade, il backup, lo stato HA, il piano di test e i criteri di rollback devono essere già definiti. A questo scopo serve Aggiornamento firmware di Sophos Firewall: preparazione e best practice. Prima di passare a SFOS 22 o versioni successive, occorre anche completare la verifica preliminare per SFOS 22.

⚠️ Verificare la piattaforma: SFOS 21.0 GA e le versioni successive non supportano più le appliance hardware XG e SG. Per questi dispositivi, prima dell’aggiornamento occorre stabilire se è necessaria una migrazione a XGS.

Aggiornamento firmware in sette passaggi

1. Verificare la versione attiva, la versione di destinazione e il percorso di upgrade supportato.
2. Creare un backup recente e tenere a disposizione la Secure Storage Master Key.
3. In Backup & Firmware > Firmware, controllare gli slot firmware attivo e inattivo.
4. Scaricare direttamente la versione di destinazione oppure caricare un’immagine adatta.
5. Avviare il cambio di versione con Install o Upload & Boot.
6. Dopo il riavvio, verificare la versione attiva e, in HA, entrambe le appliance.
7. Collaudare WAN, VPN, DNS, NAT, servizi pubblicati e logging con test reali.

Durante il cambio di versione, il firewall termina le sessioni esistenti e si riavvia. Anche con HA è necessaria una finestra di manutenzione, perché durante il failover alcune sessioni, tunnel VPN o risposte ping possono interrompersi brevemente.

Verifiche prima di iniziare

Prima del caricamento, verificare almeno questi punti:

• La versione attuale, la versione di destinazione e il percorso di upgrade supportato sono documentati.
• Sono disponibili un backup del firewall recente, la password del backup e la Secure Storage Master Key.
• Lo stato e la sincronizzazione HA sono corretti, se si utilizza un cluster.
• Per le sedi remote esiste un accesso alternativo, ad esempio un contatto locale, un accesso out-of-band o una VPN di gestione.
• Le release notes e i Known Issues della versione di destinazione sono stati controllati per individuare indicazioni rilevanti su piattaforma, VPN, interfacce e migrazione.

A partire da SFOS 19.0 MR1, senza Enhanced Support o Enhanced Plus Support sono consentiti tre passaggi gratuiti a versioni GA, MR o EAP. In seguito, il firmware può ancora essere scaricato, ma non installato; Install viene disattivato. Pattern Updates, hotfix, reimage, Mandatory Firmware Upgrades e Assistant Firmware Upgrades sono esclusi da questa limitazione.

Sophos Firewall mostra al massimo due versioni firmware: una attiva e una inattiva. La versione inattiva è la versione precedente oppure un’immagine compatibile caricata manualmente. Ogni partizione dispone della propria configurazione. Un rollback successivo attiva quindi anche la configurazione della partizione precedente.

Ottenere il firmware SFOS

Per i firewall registrati, l’immagine può essere ottenuta in Sophos Central dal menu del profilo in Licensing > Firewall licenses. Espandere il firewall, selezionare il firmware appropriato in Downloads e, se necessario, aprire il tipo di piattaforma tramite Other downloads.

Pagine ufficiali per il download:

• Appliance hardware: Firmware SFOS per appliance hardware. SF300 identifica la serie XG e SF310 la serie XGS.
• Appliance software e virtuali: Firmware SFOS per appliance software.
• Appliance cloud: Firmware SFOS per appliance cloud.

Prima del caricamento, la piattaforma, la serie dell’appliance, la versione attiva e il percorso di destinazione devono corrispondere all’immagine. Le immagini incompatibili vengono rifiutate. Un cambio di versione incompatibile richiede un reimage; il rollback automatico non è disponibile per un percorso di upgrade non supportato.

Il caricamento manuale è adatto anche agli ambienti air gap. La sincronizzazione delle licenze e i Pattern Updates restano processi operativi separati, descritti in Licenze air gap e Pattern Updates di Sophos Firewall.

Installare il firmware manualmente

1. Accedere al WebAdmin di Sophos Firewall.
2. Aprire Backup & Firmware > Firmware.
3. Selezionare l’icona di caricamento dello slot firmware inattivo.
4. Nella finestra Firmware Upgrade/Downgrade, selezionare l’immagine appropriata.
5. Selezionare Upload Firmware se l’immagine deve essere solo predisposta.
6. Selezionare Upload & Boot quando la finestra di manutenzione è attiva e il riavvio deve iniziare immediatamente.

Le tre azioni sono nettamente diverse:

• Upload Firmware: Carica l’immagine nello slot inattivo, ma non la avvia. Anche un successivo riavvio per un altro motivo non passa automaticamente a questa versione.
• Upload & Boot: Carica l’immagine, termina le sessioni esistenti e avvia subito il firewall con la nuova versione.
• Boot firmware image: Avvia una versione compatibile già presente nello slot inattivo. Viene avviata esattamente quella versione, non automaticamente la più recente disponibile.

Aggiornamento firmware in un cluster HA

Non è necessario disattivare HA prima dell’aggiornamento. In un cluster connesso, il processo viene avviato sul Primary: prima viene aggiornata e riavviata l’appliance Auxiliary, poi avviene il failover e infine viene aggiornato il precedente Primary. Se è definito un Preferred Primary, al termine può verificarsi un failback.

L’appliance Auxiliary non deve essere aggiornata separatamente. Un dispositivo HA in modalità standalone non può essere aggiornato tramite il normale processo del cluster. Prima di iniziare devono quindi essere chiari ruoli, link HA e sincronizzazione. I Pattern Updates vengono aggiornati sul Primary e poi sincronizzati verso l’Auxiliary. Cluster HA di Sophos Firewall: varianti e manutenzione spiega altri casi particolari.

Aggiornare direttamente nel WebAdmin o tramite Central

Aggiornare direttamente nel WebAdmin

Con un’autorizzazione valida, il firewall può scaricare direttamente il firmware disponibile:

1. Aprire Backup & Firmware > Firmware.
2. In Latest Available Firmware, selezionare Check for new firmware.
3. Selezionare Download per la versione desiderata.
4. Al termine del download, avviare Install.
5. Attendere il riavvio ed effettuare nuovamente l’accesso.
6. Verificare la versione attiva nel Control center e in Backup & Firmware > Firmware.

Pianificare il firmware tramite Sophos Central

Sophos Central mostra un pulsante di download per i firewall idonei. Tramite Central si possono installare solo le versioni di destinazione che hanno raggiunto la fase Available to all nel processo di rilascio.

1. Aprire My Products > Firewall Management > Firewalls.
2. Selezionare il pulsante di download del firewall e poi Schedule Upgrades.
3. Se vengono proposte più versioni, selezionare la versione di destinazione.
4. Impostare data e ora oppure avviare subito l’aggiornamento.
5. Se necessario, modificare o annullare gli aggiornamenti pianificati prima dell’avvio.

Central utilizza il fuso orario configurato sul firewall. Cinque icone accanto alla versione firmware ne indicano lo stato:

• Freccia blu: aggiornamento disponibile.
• Orologio grigio: aggiornamento pianificato.
• Cerchio blu rotante: aggiornamento in corso.
• Segno di spunta verde: aggiornamento riuscito.
• Avviso rosso: aggiornamento non riuscito.

Un clic sull’icona mostra i dettagli, mentre un clic sul numero di versione apre lo stato dell’aggiornamento. Gli aggiornamenti firmware non compaiono né nella Task Queue delle policy di gruppo né nella Firewall Task Queue delle attività MDR e API. Anche dopo un segno di spunta verde, la versione attiva deve essere controllata localmente nel WebAdmin. In caso di rollback automatico, Central mostra un messaggio corrispondente accanto alla versione firmware.

Azione mancante o aggiornamento non riuscito

• Install è disattivato: Verificare se i tre aggiornamenti firmware gratuiti sono stati utilizzati e se Enhanced Support o Enhanced Plus è attivo.
• Central non mostra un pulsante di download: Verificare lo stato online e di gestione, l’autorizzazione, la piattaforma e la versione di destinazione disponibile. Per una nuova release, la fase Available to all potrebbe non essere ancora stata raggiunta.
• L’aggiornamento Central non viene eseguito nonostante la pianificazione: Aprire l’icona di stato e controllare localmente se è rimasta attiva la versione precedente. Escludere quindi fuso orario, stato di gestione Central, Available to all, percorso di upgrade, avvisi locali e un rollback automatico. Su SFOS 21.5.1 MR1 Build 261, NC-181150 può impedire temporaneamente la ricezione dei metadati firmware, mentre gli altri servizi Central continuano a funzionare. In questo caso, avviare nuovamente l’aggiornamento in Central o nel WebAdmin locale; potrebbero essere necessari diversi tentativi. Sophos non indica una versione corretta, ma solo miglioramenti dell’affidabilità a partire da SFOS 22.0 MR1. Un aggiornamento mancato su un’altra versione non dimostra questo problema.
• Il caricamento viene rifiutato: Verificare il tipo di piattaforma, la serie dell’appliance, il percorso di upgrade e l’integrità del file. Un cambio incompatibile richiede un reimage anziché un nuovo tentativo di caricamento.
• Caricamento o installazione non riescono nonostante un’immagine adatta: Verificare lo spazio libero e, in HA, lo stato di sincronizzazione di entrambe le appliance. Non caricare ripetutamente la stessa immagine prima di aver chiarito la causa.
• Il firewall esegue automaticamente il rollback: A partire da SFOS 20.0, questo avviene per determinati errori di migrazione della configurazione. Nel Control center locale compaiono un alert e una voce di log; un aggiornamento tramite Central mostra inoltre un messaggio accanto alla versione firmware. Per individuare la causa sono particolarmente rilevanti migration.log e migrationhash.log.
• WebAdmin resta irraggiungibile a causa di firmware danneggiato: Per i dispositivi XG/SG può essere necessario SFLoader. XGS non supporta SFLoader; per questi dispositivi, il reimage con una chiavetta USB è il percorso di ripristino previsto.

Un aggiornamento sottoposto a rollback automatico non deve essere ripetuto senza analizzarne la causa. Salvare i log di migrazione e coinvolgere Sophos o il supporto del partner se il risultato non è chiaro.

Verificare dopo l’aggiornamento

Dopo il riavvio, controllare innanzitutto la versione attiva prevista in Backup & Firmware > Firmware. Quindi verificare con connessioni reali:

• Uplink WAN, Default Gateway, route SD-WAN e interfacce principali.
• Stato, ruoli e sincronizzazione HA.
• Connessioni Site-to-Site VPN, Remote Access VPN e RED.
• DNS, DHCP, NAT, WAF e regole firewall importanti.
• Accesso web, TLS Inspection, autenticazione e applicazioni pubblicate.
• Stato dei pattern e degli hotfix al livello previsto.
• Sincronizzazione Sophos Central, monitoring, Syslog e dati SIEM.

Se è interessata solo una regola, una regola NAT o una pubblicazione WAF, utilizzare prima Log Viewer, Policy Test, Packet Capture e i service log pertinenti. Sono utili Testare una regola firewall con Log Viewer, Policy Test e Packet Capture e Troubleshooting di Sophos Firewall: servizi e log.

Tornare al firmware precedente

Un rollback avvia il firmware compatibile precedente nello slot inattivo e attiva la configurazione associata. Aprire Backup & Firmware > Firmware e selezionare l’icona di rollback o Boot firmware image sulla versione firmware precedente. Le modifiche alla configurazione apportate dopo l’aggiornamento possono andare perse. Un rollback non sostituisce quindi un backup o un restore.

• Rollback: Passaggio al firmware compatibile precedentemente installato e alla relativa configurazione.
• Downgrade: Passaggio a una versione compatibile precedente che non è necessariamente quella immediatamente antecedente.
• Reimage: Reinstallazione di Sophos Firewall OS seguita da un restore.

Un rollback è appropriato quando WAN, HA, le VPN principali o le pubblicazioni critiche non possono essere stabilizzati entro la finestra di analisi definita. Per una singola regola o un servizio esterno, un troubleshooting mirato è in genere preferibile. Un’interfaccia che appare soltanto lenta non giustifica da sola un rollback.

Prima di selezionare l’azione, documentare le versioni firmware attiva e nuova, l’ora, il sintomo, i servizi interessati, lo stato HA e i test già eseguiti. In questo modo rimane chiaro in seguito perché è stato eseguito il rollback e quale causa deve ancora essere analizzata.

In un cluster HA, lo stesso firmware inattivo deve essere presente su entrambe le appliance. In alternativa, disattivare HA ed eseguire il rollback separatamente su ciascun dispositivo. Se la versione precedente non era configurata per HA, dopo il rollback entrambi i dispositivi si avviano in modalità standalone e HA deve essere configurato nuovamente.

Dopo il rollback, ricontrollare la versione attiva, WAN, VPN, HA, regole, NAT, WAF, DNS, DHCP, sincronizzazione Central e logging. Documentare quindi la causa e la prossima finestra di manutenzione.