Distribuire in sicurezza il firmware Sophos AP6 da Central

Per un Sophos AP6 gestito centralmente, il percorso più rapido è My Products > Wireless > Access Points > Firmware upgrade. Selezionare i dispositivi, quindi usare Now per l’aggiornamento immediato, Custom per una data e un’ora singole oppure Recurring per applicare automaticamente il nuovo firmware ogni giorno, settimana o mese. L’articolo riguarda solo AP6.

⚠️ Prevedere un’interruzione: durante l’aggiornamento l’AP6 non può servire senza interruzioni i client Wi-Fi. Non spegnere o scollegare l’access point durante l’operazione, perché il dispositivo potrebbe danneggiarsi. Stabilizzare alimentazione, PoE e uplink prima di iniziare; non interrompere l’operazione con riavvio o reset.

Piano di gestione e percorso dati

Sophos Fusion è il piano di gestione: pianifica o avvia l’attività, mentre l’AP6 scarica e installa il firmware. Il traffico client continua a seguire AP6, switch/VLAN e gateway; non passa attraverso Central. La disponibilità del portale non mantiene quindi attivo il percorso Wi-Fi durante il riavvio dell’AP.

L’AP6 deve essere registrato, online e raggiungibile tramite la rete di gestione. Per il firmware più recente Sophos richiede anche un abbonamento di supporto valido. Consultare i requisiti di Central Wireless e la gestione locale o tramite Central.

Prima del rollout

Il Release Owner Avanet esporta da My Products > Wireless > Access Points modello, Firmware corrente, sede, funzioni configurate, stato online e Last activity nel change record.
All’inizio di ogni change apre le note di rilascio AP6 aggiornate in tempo reale e registra Latest version, data, modelli interessati, correzioni, funzioni e problemi noti. La consultazione è obbligatoria; una versione fissa in questo articolo non deve diventare il target.
Il release ledger Avanet registra data di verifica, versione candidata, versioni e modelli installati, stato del supporto, funzioni rilevanti e link a change e note. L’Owner valuta problemi noti, vulnerabilità corrette e security advisory, dipendenze da switch, VLAN, RADIUS, captive portal e mesh, e modifiche di configurazione necessarie. L’esito è approvare, rinviare o rifiutare, motivato e autorizzato dal Service Owner.
Se approvato, l’Owner definisce finestra, AP pilota, piccoli ring per sede/modello, ring ampio, osservazione, criteri di successo e stop/go per ring. Non iniziare un’area critica dal suo unico AP; combinazioni hardware/funzione non approvate restano fuori dall’ondata.
Prima di ogni ring, l’engineer verifica abbonamento di supporto, PoE, porta switch, DHCP, DNS, uscita verso Central e backup o export della configurazione. Non procede con alimentazione instabile, AP già offline o criteri mancanti.
Il change stabilisce test identici prima e dopo: SSID, autenticazione, IP, gateway, DNS, destinazioni consentite ed eventualmente VLAN, RADIUS, captive portal o mesh. Subito prima dell’esecuzione, Owner ed engineer confermano target, dispositivi, finestra, comunicazioni e limite di rollback.

MR10 1.10.3192: validare funzioni e correzioni specifiche

Riferimento datato: AP6 MR10 usa la versione firmware 1.10.3192. Le note di rilascio indicano il 24 agosto 2026 come data di pubblicazione; l’annuncio MR10 dell’8 settembre 2026 descrive il rollout regionale graduale e le funzioni di gestione associate. Queste informazioni non sostituiscono la verifica delle release attuali né l’approvazione per il proprio tenant.

Per EU-Central, le date dell’annuncio sono contraddittorie: il titolo della fase 3 riporta «New Date Coming September 14, 2026», mentre il testo sottostante indica ancora il 7 settembre 2026. Non è quindi possibile dedurre che la disponibilità regionale sia stata effettivamente raggiunta. Prima di un change nel tenant interessato, verificare il firmware proposto, la freccia di upgrade o il download specifico del modello e le funzioni Wireless necessarie. Se manca qualcosa, rinviare il ring e chiarire la disponibilità con Sophos Support. Una data storica o un file firmware disponibile non dimostra che tutte le funzioni cloud siano già presenti nel tenant.

Aggiornare prima solo il firmware dell’AP pilota e ripetere i test client esistenti. Validare poi separatamente la nuova autenticazione, Traffic Shaping o i valori del profilo; altrimenti non sarà possibile attribuire un errore con certezza al firmware o alla modifica di configurazione. Registrare nel change, per ogni funzione, il valore precedente, la modifica prevista, il client utilizzato e l’esito.

Entra ID e RADIUS per SSID

MR10 aggiunge Microsoft Entra ID come provider di identità cloud per SSID AP6 con Enterprise Authentication. Seguire il runbook Entra ID per AP6 esistente. Restano obbligatori EAP-TTLS/PAP, la verifica del certificato e dell’identità del server e i limiti relativi a client e tenant descritti nel runbook. Un Test connection riuscito è solo la prima fase: verificare poi un accesso reale con identità pilota e profilo client approvati, oltre a DHCP, DNS e destinazioni consentite. L’annuncio Entra non elimina le restrizioni per RADIUS VLAN assignment, Accounting o Captive Portal.

L’annuncio MR10 cita la gestione RADIUS per SSID; le note di rilascio documentano esplicitamente l’assegnazione dei server RADIUS per SSID nell’interfaccia locale AP6. Non è una garanzia generale che qualsiasi combinazione di server o IdP diversi funzioni senza conflitti su bande di frequenza sovrapposte. Rilevare prima le assegnazioni server/IdP e le bande di tutte le SSID Enterprise sull’AP pilota. Dopo la modifica, autenticarsi nuovamente su ogni SSID interessata e controllare nei log RADIUS quale server elabora la richiesta. Se un’assegnazione esistente cambia in modo inatteso, interrompere e ripristinare la configurazione documentata; non saltare la verifica dei conflitti tra bande nel runbook Entra.

Con RADIUS classico, verificare anche l’assegnazione VLAN prevista e NAS Identifier. L’annuncio MR10 cita WIFIX-10111/10166 per assegnazioni VLAN errate con WPA2/WPA3 Enterprise e WIFIX-7922 per il numero di serie dell’AP come NAS Identifier. La validazione richiede coerenza tra risposta RADIUS, VLAN effettiva del client e associazione NAS usata dal server. Questa verifica RADIUS non è un test delle VLAN dinamiche con l’IdP Entra.

Traffic Shaping e WMM

Traffic Shaping per le SSID AP6 si configura in Sophos Fusion sotto Advanced settings > Quality of service. Scegliere una SSID pilota, salvare la policy precedente e verificare il limite effettivamente configurato con un trasferimento controllato. Testare in parallelo una SSID esistente non modificata. WIFIX-9535 riguarda policy che smettevano di funzionare dopo alcuni giorni: ripetere quindi la misura dopo due o tre giorni di esercizio prima di considerare il caso validato. Un breve test di throughput subito dopo l’upgrade non basta.

WMM assegna priorità al traffico radio e va distinto da un limite di throughput della SSID. La gestione dei profili distribuisce i valori WMM a uno o più AP6. Le note di rilascio attribuiscono la configurazione WMM-EDCA nella scheda Advanced Wireless già alla release di gestione Central 2026.29 del 20 luglio 2026; non va quindi trattata come una nuova funzione del firmware MR10. Mantenere i valori WMM predefiniti finché valori diversi non sono stati validati nel proprio ambiente radio. Se serve una modifica, usare inizialmente un profilo assegnato solo all’AP pilota e confrontare voce o video sotto carico dati simultaneo con lo stato precedente. In caso di peggioramento, ripristinare i valori del profilo salvati e ripetere lo stesso test.

Altre verifiche delle correzioni dopo l’upgrade

Le seguenti verifiche valgono solo per funzioni effettivamente utilizzate. Una correzione elencata non dimostra che la propria sede funzioni già senza errori:

WIFIX-12318: Una modifica di configurazione pilota approvata deve arrivare all’AP. Confrontare Task queue, configurazione applicata ed effetto sui client; lo stato della coda sbloccata da solo non basta.
WIFIX-10877: La correzione riguarda un crash del daemon SD con riavvio dell’AP. Registrare uptime e riavvii inattesi durante il periodo di osservazione concordato. Un singolo riavvio riuscito dopo l’upgrade non dimostra stabilità a lungo termine.
WIFIX-10717: Se si usa Walled Garden, confrontare una destinazione di test consentita e una bloccata; la block list deve applicare realmente il blocco previsto.
WIFIX-10142: La correzione riguarda avvisi di potenza errati e intermittenti. Verificare comunque prima i nuovi avvisi rispetto a classe PoE, budget della porta e budget totale; non ignorarli perché è indicata una correzione.
WIFIX-9594: MR10 aggiorna Dnsmasq a 2.91 per correggere vulnerabilità. Verificare la versione firmware approvata e ripetere i propri test DHCP/DNS. Senza ulteriori prove, non dedurne un’approvazione completa della sicurezza del dispositivo.

Fusion Wireless 2026.41: release di gestione separata

Release di gestione successiva: Fusion 2026.44, pubblicata il 12 ottobre 2026. I dettagli di 2026.41 restano come riferimento.

Le note di rilascio verificate l’11 ottobre 2026 indicano Fusion 2026.41, pubblicata il 22 settembre 2026, come release di gestione attuale. È una versione successiva della gestione Wireless e non una versione firmware AP6 1.10.41. Le nuove funzioni richiedono la licenza appropriata; verificare separatamente la loro visibilità nel proprio tenant e il firmware dell’AP pilota. Per questa release di gestione le note non indicano nuove funzioni della GUI locale né problemi risolti.

Nella gestione dei profili AP, la scheda Network settings offre impostazioni per le porte Ethernet cablate: Spanning Tree Protocol (STP), Internet Group Management Protocol (IGMP) snooping, Link Layer Discovery Protocol Media Endpoint Discovery (LLDP-MED) e, esclusivamente per AP6 840E, port trunking. Non attivare queste opzioni automaticamente insieme a MR10. Rilevare prima il profilo esistente, gli AP assegnati e la configurazione corrispondente delle porte switch. Applicare una modifica necessaria solo al profilo pilota, poi verificare raggiungibilità di gestione, link Ethernet e percorso client interessato. In caso di effetti inattesi, interrompere ulteriori assegnazioni del profilo e ripristinare i valori documentati di profilo e switch. La presenza dell’opzione non garantisce una specifica configurazione di trunking o l’uso su un altro modello AP6.

In Diagnostics > System logs è possibile attivare l’opzione advanced diagnostic logging. Serve per la diagnosi mirata, non è un upgrade firmware. Durante un’indagine, registrare ora, AP e sintomo riprodotto, salvare i log pertinenti e disattivare poi il logging aggiuntivo oppure ripristinare lo stato precedente documentato. Controllare i log prima di condividerli per individuare credenziali e informazioni personali. Non tentare di far apparire opzioni mancanti nel tenant con un reset o un presunto downgrade firmware.

Aggiornare subito, una volta o periodicamente in Central

Aprire My Products > Wireless > Access Points e fare clic su Firmware upgrade.
Selezionare solo gli AP del pilota o dell’ondata prevista e fare clic su Choose schedule.
Scegliere un’opzione:
- Now: Upgrade avvia subito l’aggiornamento degli AP selezionati.
- Custom: scegliere data e ora singole, quindi Save.
- Recurring: scegliere frequenza giornaliera, settimanale o mensile. Gli upgrade saranno applicati automaticamente agli AP selezionati. Il valore predefinito mostrato è martedì alle 03:00 ogni settimana; adattarlo consapevolmente alla propria finestra di manutenzione.
Tornare all’elenco e verificare selezione e icona Firmware. Per un upgrade pianificato deve comparire l’orologio.

Prima dell’avvio si può annullare da Firmware upgrade, selezionando l’AP6 e facendo clic su Cancel schedule. È un limite sicuro di arresto, non un downgrade.

Rollout graduale sotto responsabilità Avanet

L’engineer registra inizio, fine, AP selezionati e stato Central di ogni ondata; il Release Owner Avanet autorizza il ring successivo solo dopo la validazione:

Pilota: aggiornare un AP6 rappresentativo che non sia l’unico dispositivo critico. Eseguire tutti i test client e osservarlo per un periodo rappresentativo.
Piccolo gruppo: aggiornare una piccola ondata dello stesso modello e con configurazione simile, mantenendo copertura non aggiornata contemporaneamente in ogni sede.
Rollout ampio: pianificare altri gruppi solo dopo aver documentato il successo del pilota. Non assimilare mesh, RADIUS o captive portal a semplici AP autonomi.
Dispositivi restanti: cercare in Central freccia blu, orologio o versione diversa. L’Owner riconcilia il risultato con il ledger e documenta aggiornamento o rinvio.

Prima di un’ondata, il ritorno sicuro consiste nell’annullare la pianificazione e lasciare gli AP non ancora aggiornati sulla versione esistente, non nell’inventare un downgrade.

Aggiornare un AP6 localmente

La GUI locale offre due sorgenti in Advanced > Update firmware:

Auto: l’AP6 aggiorna automaticamente il firmware da Sophos. La pagina mostra Current Firmware Version, Server Firmware Version e Status.
a file on your PC: in Central aprire My Environment > Installers e, in Wireless, fare clic su Download firmware for your wireless. Estrarre dall’archivio esattamente il file .tar.gz.sig del modello AP6. Nella GUI locale aprire Advanced > Update firmware > a file on your PC > Choose file, scegliere il file, fare clic su Open, quindi Update.

Per il firmware più recente servono anche registrazione in Central e abbonamento di supporto valido. L’upload locale non aggira questi requisiti. Non confondere i pacchetti, non modificare il file firmato e non scollegare alimentazione o rete.

Validare il risultato

Dopo il riavvio, attendere che l’AP6 torni online. In Central confrontare il Firmware visualizzato con la release approvata; il segno verde indica una versione corrente. In gestione locale controllare Current Firmware Version, Server Firmware Version e Status.

Collegare un vero client e ripetere i test. Lo stato di gestione online non basta: autenticazione, DHCP, gateway, DNS e destinazioni consentite devono funzionare. Verificare specificamente VLAN, RADIUS, captive portal o mesh se presenti. L’engineer registra esito, modello, versioni, orario e deviazioni; l’Owner aggiorna il ledger e autorizza il ring successivo solo se tutti i criteri sono soddisfatti.

Risolvere i problemi in sicurezza

Nessun upgrade proposto: verificare registrazione, abbonamento, stato online e Last activity, poi freccia blu e note di rilascio. Un AP già aggiornato non richiede attività.

La pianificazione non parte: confermare AP corretto e orologio nella colonna firmware. Riaprire data, ora e ricorrenza. Prima dell’avvio, annullare e ricreare una pianificazione pulita, senza appuntamenti paralleli.

Upload locale rifiutato: scaricare di nuovo l’archivio e verificare il .tar.gz.sig dell’esatto modello. Non rinominare, modificare o decomprimere ulteriormente il file. Annotare modello, versione, nome file, orario e messaggio.

AP offline dopo l’upgrade: non togliere subito alimentazione e non usare Factory default come prima misura. Controllare PoE, porta, lease DHCP e connettività Central. Se ritorna, validare firmware e percorso client; altrimenti l’Owner arresta i ring successivi e registra ora, modello, seriale, versioni, stato e verifiche eseguite, poi l’engineer apre il caso con il supporto Sophos. La guida alla diagnosi degli AP6 offline descrive i controlli dell’alimentazione e della connettività di gestione.

Limite sicuro del rollback

Questo processo AP6 non prevede alcun downgrade del firmware approvato. Non caricare una vecchia immagine per tentativi e non promettere un downgrade. Prima dell’avvio l’engineer usa Cancel schedule e l’Owner blocca le ondate successive in change e ledger. Se l’upgrade è in corso, mantenere alimentazione e rete, attendere il completamento o un errore chiaro e raccogliere lo stato. L’Owner decide se ripristinare le condizioni di alimentazione, rete o configurazione, coinvolgere il supporto o sostituire il dispositivo; il rollout riprende solo dopo recupero documentato e nuova approvazione. Un reset non ripristina automaticamente il firmware precedente.