Gestire Sophos AP6 localmente o con Sophos Fusion (in precedenza Sophos Central)

Un Sophos AP6 può essere gestito localmente dalla propria interfaccia Web oppure centralmente con Sophos Fusion. Per un solo AP6 autonomo può bastare la gestione locale. Con più AP6 consigliamo Sophos Fusion, che riunisce inventario, stato, attività firmware, profili e assegnazioni SSID. Sophos Firewall non è un controller AP6.

Scelta rapida: locale per un AP6 con configurazione ben documentata; Sophos Fusion per più dispositivi, più sedi o una vista operativa comune. Prima della registrazione verificare i requisiti di rete.

Separare piano di gestione e percorso dati

Il piano di gestione trasporta configurazione, stato e attività. In locale il browser si collega all’IP dell’AP6; con Sophos Fusion l’AP6 apre la connessione di gestione tramite rete e Internet.

Il percorso dati è client Wi-Fi, AP6, switch o VLAN, poi gateway o firewall. Scegliere Sophos Fusion non instrada automaticamente i dati nel cloud. Un AP può risultare online mentre DHCP, VLAN, DNS o regole firewall impediscono al client di comunicare.

Dietro un SD-RED, un AP6 separato resta gestibile localmente o in Sophos Fusion e non diventa il modulo Wi-Fi dell’SD-RED. I client possono usare il percorso RED mentre la gestione segue la modalità AP6 scelta. La raggiungibilità di Sophos Fusion va provata dalla rete remota reale, senza garanzie generiche. La configurazione di Sophos RED è separata.

Quale hardware si gestisce dove?

• AP6: Interfaccia web locale o Sophos Fusion; nessuna gestione tramite SFOS. Solo la gestione in Sophos Fusion richiede una licenza per AP6. Per più AP6 è consigliato Sophos Fusion. Le funzioni di roaming AP6 agevolano il passaggio, deciso in ultima analisi dal client.
• XGS Appliance modello W: Il LocalWiFi integrato viene gestito nella GUI SFOS; tramite Sophos Fusion solo nell’ambito della gestione del firewall. Nessuna licenza AP6 necessaria; funzionamento multi-AP e coordinamento restano limitati dal modulo radio locale.
• Modulo Wi-Fi in un firewall: Gestione in SFOS e nella relativa GUI, non come AP autonomo in Sophos Fusion. Nessuna licenza AP6 necessaria; il funzionamento multi-AP è limitato e il coordinamento dipende dalle funzioni SFOS.
• Modulo Wi-Fi in una SD-RED: Gestione tramite Sophos Firewall, senza GUI locale propria né gestione autonoma in Sophos Fusion. Nessuna licenza AP6 necessaria; il funzionamento multi-AP è limitato e il coordinamento dipende dalle funzioni SFOS.

Il Wi-Fi integrato dei modelli W è LocalWiFi e rimane parte del firewall. Anche un modulo Wi-Fi compatibile in un firewall o in un SD-RED appartiene al controller wireless SFOS. Per queste installazioni SFOS, seguire Configurare il Wi-Fi su Sophos Firewall.

Gestire AP6 localmente

Aprire l’indirizzo IP dell’AP6. Sophos indica 192.168.2.2 allo stato di fabbrica e l’utente admin; la password individuale è sul dispositivo e nella confezione. Al primo accesso si imposta una nuova password e si seleziona il codice paese. Con DHCP l’IP effettivo può cambiare.

Non serve una licenza di gestione cloud, ma configurazione, backup, firmware e modifiche vanno curati dispositivo per dispositivo. Con più AP6 aumentano le possibili differenze tra SSID, sicurezza e radio. Annotare i valori correnti e il rollback prima di intervenire.

Gestire più AP6 in Sophos Fusion

Il percorso attuale è My Products > Wireless > Access Points. La lista mostra nome, IP, modello, stato configurazione, carico, canale, profilo, firmware, uptime e ultima attività. Register registra un AP6; Register > Bulk Provisioning importa più seriali da CSV. L’Onboarding Wizard descrive la registrazione iniziale.

Un clic sull’AP apre i dettagli. Settings contiene configurazione, radio e SSID; Task queue mostra Created, Pending, In progress, Failed, Success, Skipped o Invalid license. My Products > Wireless > Access Points > Profile management applica impostazioni selezionate a più AP6.

⚠️ Impatto operativo: Save aggiorna subito l’AP e può scollegare brevemente i client. Provare profili e modifiche di gruppo su un AP pilota.

Assegnare un piano di riavvio centrale tramite profilo

Un Reboot schedule centrale appartiene alla gestione dei profili, non alla pianificazione del firmware. Il piano locale in Advanced > Reboot schedule segue una procedura distinta. Prima di una modifica centrale documentare profilo precedente, assegnazioni AP, valori locali di riavvio e ora del dispositivo con fuso orario. AP6 Support and Services deve essere valido per ogni AP pilota gestito centralmente.

⚠️ Il riavvio pianificato disconnette i client Wi-Fi. Scegliere un orario fuori dall’uso normale e assegnare inizialmente solo un AP pilota adatto. Un riavvio regolare non sostituisce l’analisi delle cause e non promette né una durata specifica dell’interruzione né un miglioramento generale di prestazioni o sicurezza.

1. Aprire My Products > Wireless > Access Points > Profile management e creare un profilo pilota dedicato con Create profile; inserire Name e, facoltativamente, Description. Non modificare incidentalmente un profilo condiviso esistente per il test.
2. Espandere Management > Reboot schedule e attivare l’interruttore.
3. Scegliere consapevolmente Maintain local configuration: se selezionato, restano validi i valori di riavvio configurati localmente sull’AP. Non significa «disattivare tutti i piani». Per un piano imposto centralmente, non selezionarlo e impostare Weekday e Start time, ad esempio una domenica approvata alle 03:00. Giorni e ora sono esempi; prima del primo evento verificare fuso orario, ora legale e ora realmente visualizzata dal dispositivo, senza presumere effetti del fuso non verificati.
4. Scegliere Save & assign APs, selezionare solo l’AP pilota e salvare l’assegnazione con Save. Add APs later salva invece il profilo senza assegnare subito AP.
5. Riaprire il profilo salvato e confrontare valori e assegnazione. Nella pagina dell’AP verificare Task queue e impostazioni effettive. Dopo l’orario previsto controllare uptime o ultimo riavvio, accesso dei client, DHCP, DNS e una destinazione consentita. Assegnare altri AP solo dopo la verifica positiva.

In caso di discrepanze, interrompere altre assegnazioni e ripristinare valori del profilo e assegnazioni precedentemente approvati; se si mantiene la configurazione locale, controllare anche il piano locale. Non usare Maintain local configuration come interruttore generale di spegnimento. Poi confrontare nuovamente valori salvati ed effettivi. Un riavvio già avviato non è annullabile; se l’AP resta irraggiungibile, verificare prima PoE, porta switch e percorso di gestione, senza eseguire un reset.

Network settings cablate nel profilo

Profile management > Network settings > Advanced settings riguarda le porte Ethernet dell’AP6, non i canali radio o un upgrade del firmware. Qui Maintain local configuration mantiene le impostazioni di rete locali. Impostare centralmente solo le funzioni necessarie: STP management, IGMP snooping, LLDP-MED settings e Port trunking, quest’ultima esclusivamente su AP6 840E. L’opzione del profilo centrale non garantisce comandi identici per ogni funzione in ogni interfaccia locale.

Prima di una modifica registrare modello AP, assegnazione del profilo, valori locali e configurazione corrispondente della porta switch, garantendo un accesso di gestione indipendente. Modificare solo un’opzione di rete necessaria sul pilota, salvare e assegnare tramite la procedura descritta; poi verificare Task queue, valori effettivi, link Ethernet, accesso di gestione e percorso client. Se l’effetto è inatteso, fermare le altre assegnazioni e ripristinare in modo controllato i valori documentati di profilo, configurazione locale e switch. Il quadro esistente sullo stato della gestione Wireless e sui limiti del rollout resta il riferimento per release e firmware; questa modifica di profilo non giustifica un aggiornamento del firmware non verificato.

AP6 Support and Services: licenza e scadenza

Ogni AP6 gestito in Sophos Fusion richiede AP6 Support and Services; la quantità deve coincidere. Include gestione AP6 in Sophos Fusion, firmware, supporto 24/7 e Advanced RMA. La gestione locale di AP6 e il Wi-Fi gestito da Sophos Firewall non richiedono questa licenza AP6. Vedere Come viene concesso in licenza Sophos Fusion?.

Sophos Fusion avvisa se la licenza manca o è insufficiente. Il limite documentato è: senza licenza valida, le modifiche agli AP6 tramite Sophos Fusion sono bloccate. Sophos non afferma qui che il traffico client si fermi o che sparisca la configurazione esistente. Anche il supporto personale via telefono, chat o ticket richiede copertura valida.

In budget separare hardware, AP6 Support and Services e gestione. La nostra analisi prezzi di settembre 2026 riporta hardware AP6 +10% dal 1° novembre 2026 e un anno di AP6 Support dal 5% al 10% del prezzo hardware. Non è la prova di un aumento generale di un abbonamento Sophos Wireless.

Valutare correttamente il roaming

È il client ad avviare il roaming. SSID e sicurezza uguali con celle sovrapposte possono quindi consentire il passaggio senza rendere Sophos Fusion obbligatorio. La piattaforma migliora coerenza e visibilità, non sostituisce il progetto RF.

Sophos indica per AP6, come valori minimi di pianificazione, -67 dBm per la voce e -72 dBm per i dati, oltre a circa 15–20 % di sovrapposizione delle celle: sono valori iniziali per il site survey e le misurazioni, non una garanzia per ogni dispositivo. AP6 supporta 802.11k, 802.11r e Smart Handover, ma non tutti i client. Smart Handover disconnette sotto la soglia RSSI scelta: abilitarlo solo dopo un site survey.

Eseguire un rollout pilota controllato

1. Documentare modello, seriale, sede, porta, PoE, rete e modalità di gestione, oltre ai valori precedenti di profilo, SSID, radio e gestione.
2. Verificare DHCP, DNS, NTP, Internet, trunk VLAN e gateway separatamente per AP e client.
3. Registrare un AP6 resettato in My Products > Wireless > Access Points > Register e attendere lo stato aggiornato.
4. Assegnare un SSID di test solo al pilota, senza modifiche globali.
5. Con almeno due client diversi testare associazione, DHCP, DNS, destinazioni consentite, destinazioni interne bloccate e il passaggio tra due AP, se il roaming rientra nell’ambito previsto.
6. Controllare la pagina dei dettagli dell’AP e Task queue per Failed o Invalid license; procedere con il gruppo di AP successivo solo dopo aver documentato l’esito positivo.
7. In caso di errore riapplicare l’assegnazione precedente nota e i valori documentati di profilo, SSID, radio e gestione, quindi ricontrollare attività, stato AP e client. Non iniziare con reboot, reset o cambio VLAN di gestione.

Validazione e risoluzione dei problemi

Per una procedura basata sui sintomi che copre Offline, provisioning bloccato, connettività client, diagnostica, VoIP, prestazioni e roaming, consultare la guida alla risoluzione dei problemi AP6.

AP assente o offline: in My Products > Wireless > Access Points controllare registrazione, Config status, IP interno e Last activity, poi PoE, porta, DHCP, DNS, NTP e uscita verso Sophos Fusion.

Modifica non applicata: aprire Task queue. Usare Retry solo per Failed, Skipped o Invalid license, dopo aver corretto la causa. Esaminare Pending e usare Skip solo se appropriato. Non saltare mai alla cieca un’attività sconosciuta.

SSID visibile ma niente traffico: controllare IP, gateway e DNS del client, poi VLAN switch, DHCP e regole firewall. Uno stato verde in Sophos Fusion non valida il percorso dati.

Roaming o voce instabili: confrontare SSID, cifratura e bande, misurare RSSI e sovrapposizione, verificare 802.11k/r. Cambiare potenza, canale o Smart Handover uno alla volta e ripetere lo stesso percorso.