Sophos Firewall FWDS501: ampliare il Primary Disk prima di SFOS 22

FWDS501 indica che il Primary Disk o il relativo layout delle partizioni blocca l’upgrade a SFOS 22. Nelle Sophos Firewall virtuali meno recenti non è sufficiente ampliare soltanto il disco virtuale: dopo l’espansione di Hard disk 1, lo script di ridimensionamento fornito da Sophos deve preparare le partizioni.

⚠️ Questa procedura si applica esclusivamente a un firewall virtuale standalone interessato che esegue SFOS 21.0 MR2 Build 349 o 21.0.2.x. Lo script non deve essere eseguito su un’appliance hardware o software, in un cluster HA o con una versione SFOS diversa. Il controllo della versione dello script non deve essere modificato né aggirato.

SFOS 21.0 ha già raggiunto l’End-of-Life. In questo caso particolare, la versione serve soltanto come passaggio intermedio documentato da Sophos all’interno di una finestra di manutenzione pianificata. Successivamente, il firewall dovrebbe essere aggiornato direttamente a una versione supportata elencata nella verifica per l’upgrade a SFOS 22.

Verificare prima se la procedura è applicabile

Una modifica è necessaria soltanto se FWDS501 compare nel Control Center, in Backup & Firmware > Firmware o in un avviso e-mail. L’avviso blocca l’upgrade, non il funzionamento corrente. In Sophos Central, i firewall interessati sono contrassegnati in Firewall Management da un’icona di download con un simbolo di avviso. In assenza dell’avviso non è necessario modificare preventivamente le partizioni.

La procedura seguente è adatta quando sono soddisfatte tutte queste condizioni:

Sophos Firewall virtuale, non un’appliance hardware o software
sistema standalone senza HA
esattamente SFOS 21.0 MR2 Build 349 o 21.0.2.x
FWDS501 dovuto a un Primary Disk o a partizioni di dimensioni insufficienti
Hard disk 1 può essere identificato e ampliato in modo univoco nell’hypervisor
sono disponibili un backup recente, il Secure Storage Master Key, la password del backup e il numero di serie

Se il firewall esegue ancora una versione precedente compatibile, occorre prima pianificare e completare un percorso di upgrade supportato a SFOS 21.0 MR2. Lo script viene eseguito soltanto dopo. Se il firewall esegue già SFOS 21.5 o 22, non deve essere sottoposto a downgrade appositamente per questo script. In presenza di HA, di una Software Appliance o di catene di dischi virtuali e snapshot poco chiare, è più sicuro concordare la procedura con Sophos Support oppure effettuare un nuovo deployment seguito dal ripristino del backup.

Perché il disco da 80 GB non risolve il problema

Alcune installazioni virtuali meno recenti sono state distribuite con due dischi:

Hard disk 1 / Primary Disk: in precedenza solo 4 GB; contiene le partizioni di sistema
Hard disk 2 / Report Disk: in genere 80 GB; archivia i report locali e i dati di log

Per Hard disk 1, Sophos indica 32 GB come minimo e 64 GB come valore consigliato per un nuovo deployment virtuale; Hard disk 2 rimane il Report Disk separato da 80 GB. Un Report Disk di grandi dimensioni non sostituisce il Primary Disk. Ampliare soltanto Hard disk 2 non crea quindi spazio per le partizioni root e content su Hard disk 1.

Una partizione Report o /var piena è un problema diverso. In questo caso è utile Controllare lo spazio di archiviazione e i report su Sophos Firewall.

Prerequisiti e piano di ripristino

L’intervento modifica il disco virtuale e il layout delle partizioni. Prima della finestra di manutenzione devono quindi essere predisposti i seguenti elementi:

Salvare un backup recente della configurazione all’esterno del firewall. Devono essere disponibili anche il Secure Storage Master Key corrispondente, la password del backup e il numero di serie. La procedura di ripristino completa è descritta in Creare o ripristinare un backup di Sophos Firewall.
Garantire l’accesso diretto alla console dell’hypervisor. Dopo uno shutdown o in caso di problemi di rete, il ripristino non deve dipendere dal normale accesso VPN.
SSH e l’accesso alla Advanced Shell devono funzionare. La procedura di login è descritta in Connettersi a Sophos Firewall tramite SSH.
Verificare gli snapshot e le catene di dischi differenziali. Se la piattaforma impedisce l’espansione di Hard disk 1, non devono essere tentate soluzioni improvvisate né una successiva riduzione di un disco virtuale.
La finestra di manutenzione deve comprendere due riavvii, la verifica delle partizioni e il successivo avvio di SFOS 22.

Ampliare il Primary Disk passo dopo passo

1. Verificare e documentare lo stato iniziale

Aprire 5. Device Management > 3. Advanced Shell nella console SSH e registrare entrambi i valori:

df -kh | grep content
showfw -g | grep ROOT_SZ

Per df è rilevante la colonna Size, non soltanto lo spazio disponibile. /dev/content deve avere una dimensione complessiva di oltre 7 GB. ROOT_SZ è espresso in byte e deve essere maggiore di 629145600. Il valore 629145600 corrisponde esattamente a 600 MiB e non è ancora sufficiente.

Se almeno uno dei valori è inferiore alla soglia e viene visualizzato FWDS501, si tratta esattamente della condizione corretta dalla procedura seguente. Gli output devono essere inclusi nella documentazione della modifica. Se entrambi i valori sono già sufficienti ma FWDS501 rimane visibile, la causa dovrebbe essere chiarita con Sophos Support prima di apportare modifiche.

2. Arrestare correttamente il firewall

Arrestare il firewall virtuale in 4. Device Console:

system shutdown

Il disco virtuale deve essere modificato soltanto quando la VM è completamente spenta. Uno spegnimento forzato tramite l’hypervisor può danneggiare i file system e la configurazione.

3. Ampliare Hard disk 1 nell’hypervisor

Nell’hypervisor, ampliare Hard disk 1, ossia il Primary Disk, fino ad almeno 32 GB. Hard disk 2 con la partizione Report rimane invariato.

I nomi dei menu differiscono tra VMware, Hyper-V, KVM e altre piattaforme. Non è importante la posizione all’interno di una determinata interfaccia, ma l’identificazione univoca del Primary Disk esistente. In caso di dubbi, occorre prima verificare la documentazione della VM e la mappatura dei dischi.

4. Avviare la VM e riavviarla nuovamente

Avviare la VM e attendere che SFOS sia completamente raggiungibile. Quindi eseguire il riavvio aggiuntivo previsto da Sophos in 4. Device Console:

system restart

Dopo il riavvio, attendere nuovamente che WebAdmin e SSH siano raggiungibili.

⚠️ Copiare lo script in /tmp soltanto a questo punto. Sophos svuota /tmp durante il riavvio. Se il file fosse copiato prima, non sarebbe più disponibile per il passaggio successivo.

5. Copiare lo script di ridimensionamento

Salvare lo script di ridimensionamento ufficiale di Sophos sul computer di amministrazione. Attualmente il download si chiama resize_partitions.sh. L’esempio seguente copia il file e gli assegna intenzionalmente il nome uniforme resize_partition.sh sul firewall:

scp resize_partitions.sh admin@192.0.2.1:/tmp/resize_partition.sh

Il comando viene eseguito sul computer di amministrazione, non nella shell del firewall. 192.0.2.1 è un indirizzo di documentazione e deve essere sostituito con l’indirizzo IP di management raggiungibile del firewall. Se il browser ha assegnato un nome diverso al file locale, deve essere modificato anche il primo nome di file nel comando.

6. Verificare ed eseguire lo script

Tornando in 5. Device Management > 3. Advanced Shell, verificare innanzitutto che il file sia presente:

ls -l /tmp/resize_partition.sh

Quindi impostare i permessi ed eseguire lo script:

chmod 755 /tmp/resize_partition.sh
sh /tmp/resize_partition.sh

Solo l’output seguente corrisponde al messaggio di successo documentato da Sophos:

Success: New root offset stored and content partition relocated

Se il messaggio non compare, se lo script segnala una versione errata o se termina con un errore, l’upgrade non deve proseguire. Lo script non deve essere modificato e le partizioni non devono essere alterate manualmente con fdisk, parted, growpart o strumenti simili.

7. Riavviare e controllare il risultato

Dopo il messaggio di successo, eseguire il riavvio in 4. Device Console:

system restart

Quindi ripetere entrambe le verifiche di sola lettura nella Advanced Shell:

df -kh | grep content
showfw -g | grep ROOT_SZ

/dev/content deve ora avere una dimensione totale superiore a 7 GB e ROOT_SZ deve rimanere maggiore di 629145600. Se il valore è pari o inferiore a 629145600, l’upgrade non deve iniziare. Entrambi gli output devono essere documentati per il confronto prima-dopo; i comandi di partizionamento manuali non sostituiscono un risultato corretto.

La pagina del firmware sincronizza gli avvisi ogni 30 minuti circa. La scomparsa di FWDS501 può richiedere fino a un’ora. Se l’avviso rimane visibile oltre questo intervallo, il passaggio successivo consiste nel contattare Sophos Support.

Solo a questo punto eseguire l’upgrade a SFOS 22

L’upgrade deve iniziare soltanto dopo che lo script si è concluso correttamente, /dev/content supera 7 GB, ROOT_SZ è maggiore di 629145600 e FWDS501 non viene più visualizzato. Successivamente occorre completare la verifica completa per l’upgrade a SFOS 22.

Durante il primo avvio di SFOS 22, le partizioni root e di configurazione vengono ulteriormente adattate in modo automatico. Questo processo può aggiungere circa cinque-sei minuti al primo avvio. In questa fase la VM non deve essere spenta forzatamente, anche se WebAdmin e ping non rispondono ancora.

Quando la procedura con lo script non è applicabile

Un nuovo firewall virtuale con un installer aggiornato rappresenta la soluzione più pulita se non è soddisfatto il requisito relativo alla versione, la struttura dei dischi esistente non è chiara o lo script non termina correttamente:

Salvare il backup della configurazione, il Secure Storage Master Key, la password del backup e il numero di serie.
Distribuire un nuovo firewall virtuale con almeno 32 GB, possibilmente i 64 GB consigliati, sul Primary Disk e 80 GB sul Report Disk separato.
Attivare la licenza e ripristinare il backup.
Verificare interfacce, routing, VPN, NAT, autenticazione e gestione centralizzata.

I report locali non vengono ripristinati con un backup della configurazione. I dati già trasferiti a Central Firewall Reporting rimangono disponibili in tale servizio.

Software Appliance con FWDS501

Su una Software Appliance installata su hardware x86 dedicato, FWDS501 può indicare anche partizioni o un disco troppo piccoli. In questo caso non deve essere utilizzato lo script di ridimensionamento per sistemi virtuali. In Advanced Shell vengono invece verificati tre valori:

fdisk -l
showfw -g | grep ROOT_SZ
df -kh | grep var

fdisk -l mostra la dimensione complessiva del disco. Per df conta la colonna Size, non lo spazio disponibile. Per l’installazione esistente, Sophos richiede più di 32 GB per il disco, più di 629145600 byte per la partizione root e più di 20 GB per /var.

Se il disco complessivo è di 32 GB o meno, SFOS deve essere reinstallato. Per la nuova Software Appliance occorre prevedere almeno 64 GB, quindi attivare la licenza e ripristinare il backup precedentemente salvato.
Se soltanto la partizione root è troppo piccola e il disco complessivo è sufficiente, Sophos descrive SFOS 21.0 MR2 come passaggio intermedio che espande automaticamente la partizione root. Poiché SFOS 21.0 è End-of-Life, questo percorso deve rientrare in una finestra di manutenzione pianificata con upgrade immediato a una versione SFOS 22 supportata. Un firewall che esegue già una versione più recente non deve essere sottoposto a downgrade a questo scopo.
Se /var non supera 20 GB, è necessaria una procedura di partizionamento separata approvata da Sophos o l’assistenza di Sophos Support. Lo script per sistemi virtuali e i comandi manuali di partizionamento Linux non rappresentano una soluzione.

Quando interrompere la procedura e contattare Support

La procedura deve essere interrotta se:

lo script deve essere eseguito anche se il firewall non esegue ancora esattamente SFOS 21.0 MR2 Build 349 o 21.0.2.x
HA è attivo oppure entrambi i nodi non possono essere gestiti singolarmente mediante un piano approvato
Hard disk 1 e Hard disk 2 non possono essere distinti in modo univoco
non sono disponibili il backup, il SSMK, la password del backup, il numero di serie o la console dell’hypervisor
gli snapshot o la catena dei dischi virtuali impediscono un’espansione sicura
lo script non restituisce l’esatto messaggio di successo
/dev/content non supera 7 GB dopo il riavvio
ROOT_SZ è pari o inferiore a 629145600 dopo il riavvio oppure FWDS501 viene ancora visualizzato dopo un’ora

In questi casi, un ripristino pianificato su una nuova VM è generalmente più sicuro di un tentativo di riparazione manuale delle partizioni.