Sophos Firewall SFOS 22: verifica dei blocchi prima dell'upgrade

Prima di un upgrade a SFOS 22 occorre verificare se piattaforma, percorso di upgrade e configurazione supportano la release di destinazione. Questa verifica tiene conto di SFOS 22.0 MR2 Build 546 del 14 luglio 2026 e integra la guida generale all’aggiornamento del firmware di Sophos Firewall.

Blocchi rigidi per upgrade e restore

• Hardware XG o SG: SFOS 22 non è supportato. Invece di un upgrade, è necessaria una migrazione a XGS o a una piattaforma virtuale, software o cloud.
• Legacy Remote Access IPsec: A partire da SFOS 22.0 MR1, la configurazione deve essere migrata o rimossa prima dell’upgrade.
• Legacy CLI VLAN Tagging su un’interfaccia bridge: A partire da SFOS 22.0 MR2, system vlan-tag deve essere sostituito con interfacce VLAN supportate.
• Backup con Legacy VLAN Tagging: Per un restore su SFOS 22.0 GA o versioni successive, occorre correggere la configurazione di origine e creare un nuovo backup.
• Storage o percorso di upgrade: Se la pagina del firmware segnala storage insufficiente o un percorso di upgrade non valido, occorre prima risolvere la causa.

Se è presente un blocco o un punto resta incerto, l’upgrade non dovrebbe essere avviato.

Percorso di upgrade diretto a SFOS 22.0 MR2

Per la destinazione trattata qui, SFOS 22.0 MR2 Build 546, Sophos supporta un upgrade diretto dalle versioni seguenti:

• SFOS 22.0: MR1 Build 490 e GA Build 411 o 365
• SFOS 21.5: MR2 Build 323, MR1 Build 261 o GA Build 171
• SFOS 21.0: MR2 Build 349, MR1 Build 277, 272 o 237 e GA Build 169
• Versioni precedenti: qualsiasi versione SFOS 20.0, 19.5 o 19.0

⚠️ Se la versione attuale non è presente in questo elenco, l’avviso relativo a una migrazione non supportata non deve essere confermato. In caso contrario, il firewall si riavvia con le impostazioni di fabbrica e la configurazione attuale viene persa. Anche un backup può essere ripristinato soltanto da una versione per la quale è supportata la migrazione della configurazione.

Per una versione precedente o non elencata occorre innanzitutto pianificare un percorso intermedio supportato. L’elenco delle versioni non sostituisce inoltre gli altri controlli: anche piattaforma, storage, dipendenze legacy e piano di ripristino devono essere idonei.

Verifiche prima della finestra di manutenzione

Piattaforma e dipendenze legacy

• Documentare il modello e il firmware attuale affinché il percorso di upgrade indicato sopra e un eventuale ripristino rimangano tracciabili.
• Trattare l’hardware XG e SG come una migrazione, non come un normale upgrade.
• Sostituire prima dell’upgrade i tunnel UTM9 SSL VPN e i dispositivi RED 15, RED 15w e RED 50.
• In Network > Interfaces, correggere i nomi che terminano con dieci o più cifre. Dopo l’upgrade, questi nomi possono nascondere le interfacce in WebAdmin.

Storage, backup e accesso

Il riempimento delle partizioni può essere verificato in modo approssimativo nella Advanced Shell:

df -kh

Gli avvisi nella pagina del firmware devono essere risolti prima dell’aggiornamento. Il codice di riferimento indica che cosa blocca l’aggiornamento:

• FWDS501: il Primary Disk o una delle relative partizioni è troppo piccolo per SFOS 22. FWDS501: ampliare il Primary Disk prima di SFOS 22 spiega come individuare la partizione interessata e se l’installazione esistente può essere ampliata o se è necessario ridistribuire il firewall.
• FWDS502: lo spazio libero in /var non è sufficiente. In 4. Device Console, system firmware check-disk-space mostra lo spazio necessario e le aree dati coinvolte. Reports o logs devono essere eliminati in modo controllato solo dopo aver salvato i dati necessari; la procedura è descritta in Controllare lo spazio e gestire i reports.
• FWDS503: la partizione /content è troppo piccola. Sophos richiede un factory reset con interruzione del servizio e perdita della configurazione attuale. Dopo aver creato un backup recente e salvato il SSMK, inserire RESET in maiuscolo tramite la console seriale e selezionare l’opzione 2; in questo modo vengono eliminate le configurazioni personalizzate e le firme dei pattern vengono ripristinate allo stato del firmware attivo. Successivamente, ripristinare il backup, verificare le funzioni e solo allora eseguire l’upgrade. I reports locali non vengono ripristinati.
• FWDS504: il firmware dell’SSD è obsoleto e deve essere aggiornato prima dell’upgrade di SFOS.
• FWDS505: Sophos Support deve verificare lo stato dell’SSD. Un controllo SMART locale può documentare i valori per il supporto, ma non rimuove il blocco.

In un cluster HA ogni nodo deve essere controllato separatamente, perché le due appliance possono mostrare codici di riferimento differenti.

Prima di iniziare devono inoltre essere disponibili:

• un backup recente salvato esternamente e il relativo Secure Storage Master Key
• un accesso amministrativo locale o un accesso alternativo al di fuori del normale percorso VPN
• un percorso di fallback definito, con responsabile e punto decisionale
• per HA, un cluster integro e sincronizzato con link HA e Monitored Ports stabili

I dettagli su backup e restore sono descritti in Creare o ripristinare un backup di Sophos Firewall.

Configurazioni particolarmente rischiose

Legacy Remote Access IPsec

Da SFOS 22.0 MR1, una configurazione Legacy Remote Access IPsec esistente blocca l’upgrade. Gli utenti, i pool e i profili interessati devono essere prima migrati alla configurazione Remote Access IPsec attuale, a SSL VPN, ZTNA o a un altro design adatto. La procedura è descritta in Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.

Policy-based IPsec e NAT

I tunnel policy-based Site-to-Site in produzione dovrebbero essere verificati prima e dopo l’upgrade con un flusso di test concreto. Il test deve includere source, destination, service, Traffic Selectors, controparte e regole firewall e NAT previste. In caso di problemi sono utili Troubleshooting IPsec VPN e Comprendere il NAT su Sophos Firewall.

SMTP tramite DNAT

Se un mail server interno viene pubblicato tramite DNAT, il piano di manutenzione dovrebbe includere più messaggi di test reali in ingresso e non soltanto un test della porta. Per NC-184583, Sophos segnala connessioni SMTP interrotte sporadicamente dopo un upgrade a SFOS 22.x; la versione espressamente indicata come interessata è GA Respin Build 411 e non è disponibile un workaround pubblico. La precisa delimitazione delle versioni, la raccolta delle evidenze e l’escalation al supporto sono descritte in Pubblicare un server tramite DNAT su Sophos Firewall.

Legacy VLAN Tagging sui bridge

Il Legacy CLI VLAN Tagging sulle interfacce bridge ha tre conseguenze:

• Con GA e MR1, il traffico da o verso il firewall può interrompersi mentre il traffico di transito continua a funzionare.
• Da MR2, l’upgrade viene bloccato.
• Un backup interessato non può essere ripristinato su SFOS 22.0 GA o versioni successive.

Prima della correzione occorre documentare bridge, ID VLAN, indirizzi IP, zone, trunk degli switch e servizi dipendenti. Successivamente si creano interfacce VLAN supportate con il bridge come parent e si genera un nuovo backup. Il caso specifico è descritto in Verificare i bridge VLAN di Sophos Firewall prima di SFOS 22.

STAS

Per un upgrade a MR1, in Authentication > STAS l’opzione Restrict client traffic during identity probe deve essere impostata su No. MR2 corregge l’errore di MR1 e usa No come valore predefinito per le nuove configurazioni; i valori esistenti e le regole basate su utente dovrebbero comunque essere verificati. Per maggiori dettagli, vedere Configurare STAS su Sophos Firewall.

Finestra di manutenzione e controlli

• Prima: Escludere i blocchi, rendere disponibili backup e SSMK, verificare la sincronizzazione HA e documentare i flussi VPN, i test e il percorso di fallback.
• Durante: Non apportare modifiche parallele a routing, VPN o switching; osservare lo stato e il failover HA.
• Dopo: Verificare firmware, interfacce, Internet, regole firewall, VPN, NAT, HA, STAS, DNS, DHCP, Central e Log Viewer.

Un tunnel verde o un Policy Test riuscito non dimostra ancora che il traffico utile funzioni. Verificare quindi le connessioni critiche con pacchetti reali, Log Viewer, Packet Capture e Firewall e NAT Rule ID. In caso di problemi, non modificare più aree contemporaneamente.

L’upgrade è concluso quando i test definiti hanno avuto esito positivo e sono stati documentati versione di destinazione, stato HA, risultati dei test e attività ancora aperte.

FAQ