Sophos Firewall Firmware Update durchführen

Dieser Artikel zeigt die konkrete Durchführung eines Sophos Firewall Firmware Updates: Image beziehen, im WebAdmin installieren, ein Update über Sophos Central planen und bei Bedarf auf die vorherige Firmware zurückrollen.

Upgrade-Pfad, Backup, HA-Zustand, Testplan und Rollback-Kriterien sollten vorher bereits geklärt sein. Dafür dient Sophos Firewall Firmware Update: Vorbereitung und Best Practices. Vor SFOS 22 oder neuer gehört zusätzlich der SFOS 22 Upgrade-Check dazu.

⚠️ Plattform prüfen: SFOS 21.0 GA und neuere Versionen unterstützen XG- und SG-Hardware-Appliances nicht mehr. Für diese Geräte muss vor dem Update geklärt werden, ob eine Migration auf XGS Appliance nötig ist.

Firmware-Update in sieben Schritten

1. Aktive Version, Zielversion und unterstützten Upgrade-Pfad prüfen.
2. Frisches Backup erstellen und den Secure Storage Master Key bereithalten.
3. Unter Backup and firmware > Firmware den aktiven und inaktiven Firmware-Slot kontrollieren.
4. Zielversion direkt herunterladen oder ein passendes Image hochladen.
5. Mit Install beziehungsweise Upload and boot den Versionswechsel starten.
6. Nach dem Neustart die aktive Version und bei HA beide Appliances prüfen.
7. WAN, VPN, DNS, NAT, veröffentlichte Dienste und Logging mit echten Tests abnehmen.

Die Firewall beendet beim Versionswechsel bestehende Sessions und startet neu. Auch bei HA ist ein Wartungsfenster nötig, weil beim Failover einzelne Sessions, VPN-Tunnel oder Pings kurz unterbrochen werden können.

Vor dem Start prüfen

Vor dem Upload sollten mindestens diese Punkte geklärt sein:

• Aktuelle Version, Zielversion und unterstützter Upgrade-Pfad sind dokumentiert.
• Ein aktuelles Firewall-Backup, Backup-Passwort und Secure Storage Master Key sind verfügbar.
• HA-Status und Synchronisation sind fehlerfrei, falls ein Cluster verwendet wird.
• Für entfernte Standorte besteht ein alternativer Zugriff, etwa ein lokaler Kontakt, Out-of-Band-Zugang oder Management-VPN.
• Release Notes und Known Issues der Zielversion wurden auf passende Plattform-, VPN-, Interface- und Migrationshinweise geprüft.

Wer von SFOS 19.0 MR1 oder einer neueren Version auf einen anderen Firmwarestand wechselt, benötigt für unbegrenzt viele Wechsel Enhanced Support oder Enhanced Plus Support. Ohne dieses Abonnement sind drei Firmware-Upgrades auf GA-, MR- oder EAP-Versionen frei. Danach kann die Firmware weiterhin heruntergeladen, aber nicht installiert werden; Install ist deaktiviert. Der Wechsel auf 19.0 MR1 selbst sowie Pattern Updates, Hotfixes, Reimage und Mandatory oder Assistant Firmware Upgrades sind davon ausgenommen.

Sophos Firewall zeigt höchstens zwei Firmwarestände: die aktive und eine inaktive Version. Die inaktive Version ist entweder die vorherige Version oder ein kompatibles, manuell hochgeladenes Image. Beide Partitionen besitzen ihren eigenen Konfigurationsstand. Ein späterer Rollback aktiviert deshalb auch die Konfiguration der vorherigen Partition.

Konfigurationssprache nicht mit WebAdmin-Sprache verwechseln

Auf derselben Seite bietet SFOS 22 unter Factory reset with default configuration language eine Auswahl der Konfigurationssprache an. Damit wird die Sprache der Standardobjekte in der Konfigurationsdatenbank festgelegt, nicht die Anzeigesprache der WebAdmin-Oberfläche.

⚠️ Achtung: Ein Klick auf Apply setzt die Firewall auf Werkseinstellungen zurück und löscht die eigene Konfiguration sowie den Secure Storage Master Key. Für einen späteren Restore oder Import muss der Schlüssel verfügbar sein. Ein vorheriges Backup ist zwar als Recovery-Weg nötig, kann aber nicht verwendet werden, um die bisherige Konfiguration mit der neuen Sprache zu kombinieren: Beim Restore kommt auch die im Backup gespeicherte Konfigurationssprache zurück. Diese Auswahl gehört deshalb in die Erstbereitstellung, nicht in ein normales Firmware-Wartungsfenster.

SFOS Firmware beziehen

Für registrierte Firewalls ist Sophos Central der sicherste Einstieg: Im Profil-Menü Licensing > Firewall licenses öffnen, die Firewall aufklappen und unter Downloads die zugewiesene Firmware wählen. Other downloads öffnet die Pakete der anderen Plattformtypen. Diese Auswahl ersetzt die Prüfung des Upgrade-Pfads nicht, reduziert aber das Risiko, ein Paket für die falsche Appliance-Klasse zu nehmen.

Offizielle Downloadseiten:

• Hardware-Appliances: SFOS Firmware für Hardware-Appliances. Im Dateinamen steht SF300 für die XG- und SF310 für die XGS Appliance-Serie. Ein SF300-Paket ist nur für einen Firmwarestand geeignet, der XG noch unterstützt; es macht SFOS 21 oder neuer nicht XG-kompatibel.
• Software-Appliances: SFOS Firmware für Software-Appliances. Diese Pakete beginnen mit SW- und enthalten die Plattformkennung SFW. Sie gehören zu einer Installation mit Software-Appliance-Lizenz, nicht zu einer virtuellen oder Cloud-Appliance.
• Virtuelle und Cloud-Appliances: SFOS Firmware für virtuelle und Cloud-Appliances. Diese Pakete beginnen mit VI-; die Kennung vor der Buildnummer muss zur Umgebung passen: AMI für AWS, AZU für Azure, HYV für Hyper-V, KVM für KVM, VMW für VMware und XEN für Xen.

Vor dem Download die aktive Version festhalten und separat gegen den unterstützten Upgrade-Pfad prüfen. Anschliessend drei Werte im Dateinamen kontrollieren: Ziel-Release, exakte Buildnummer und Plattformkennung. Beispielsweise bezeichnet HW-22.0.2_MR-2.SF310-546.sig ein Hardwarepaket für XGS Appliance mit SFOS 22.0 MR2 Build 546. Gibt es für dasselbe Release mehrere Builds, entscheidet die für den geplanten Upgrade-Pfad freigegebene Buildnummer – nicht das Änderungsdatum und nicht einfach die höchste Zahl. Die öffentlichen Verzeichnisse prüfen weder Modell noch Lizenz oder Upgrade-Berechtigung; diese Angaben müssen mit Licensing > Firewall licenses, dem laufenden System und den Release Notes übereinstimmen.

Nach dem Download die lokal berechnete SHA-256-Prüfsumme Zeichen für Zeichen mit der Spalte Checksum im selben Verzeichnis vergleichen. Bei einer Abweichung die Datei löschen und neu herunterladen. Die Prüfsumme erkennt Übertragungsfehler, bestätigt aber allein nicht die Herkunft.

Image-Prüfung nicht umgehen: SFOS prüft das unveränderte .sig-Paket vor Installation, Upgrade und Downgrade, auch in Air-Gap-Umgebungen. Die digitale Signatur mit RSA und SHA-512 bestätigt Quelle und Integrität; zusätzlich kontrolliert SFOS das Paket intern mit einer MD5-Prüfsumme. MD5 ersetzt weder den SHA-256-Transportcheck noch die Signaturprüfung. Ein abgewiesenes Image wird deshalb nicht umbenannt, verändert oder neu verpackt, sondern erneut aus einer offiziellen Sophos-Quelle bezogen und gegen Plattform, Lizenz, Build sowie Upgrade-Pfad geprüft.

Vor dem Upload müssen Plattform, Appliance-Serie, aktive Version und Zielpfad zum Image passen. Inkompatible Images werden abgewiesen. Für einen inkompatiblen Versionswechsel ist ein Reimage nötig; ein automatischer Rollback steht bei einem nicht unterstützten Upgrade-Pfad nicht zur Verfügung.

Der manuelle Upload eignet sich auch für Air-Gap-Umgebungen. Lizenzabgleich und Pattern Updates bleiben dort separate Betriebsprozesse, die in Sophos Firewall Air-Gap-Lizenzierung und Pattern-Updates beschrieben sind.

Eine noch nicht geclaimte Software-, virtuelle oder AWS-/Azure-BYOL-Firewall muss vor dem Wechsel auf SFOS 22.0 oder neuer zuerst in Sophos Central geclaimt werden. Erst danach den unterstützten Upgrade-Pfad und die tatsächlich aktive Version prüfen; das Claiming allein aktiviert noch kein Central Management.

Firmware manuell installieren

1. Am WebAdmin der Sophos Firewall anmelden.
2. Backup and firmware > Firmware öffnen.
3. Unter Firmware beim inaktiven Firmwarestand auf Upload klicken.
4. Im Pop-up das passende Image vom Admin-Rechner auswählen.
5. Upload firmware wählen, wenn das Image nur bereitgestellt werden soll.
6. Upload and boot wählen, wenn das Wartungsfenster läuft und der Neustart sofort erfolgen soll.

Die drei Aktionen unterscheiden sich deutlich:

• Upload firmware: Lädt das Image in den inaktiven Slot, startet es aber noch nicht. Auch ein späterer Neustart aus einem anderen Grund wechselt nicht automatisch auf diese Version.
• Upload and boot: Lädt das Image hoch, beendet bestehende Sessions und startet die Firewall sofort mit der neuen Version.
• Boot firmware image: Startet eine bereits vorhandene kompatible Version im inaktiven Slot. Dabei wird genau diese Version gebootet, nicht automatisch die neuste verfügbare.

Boot with factory default configuration ist keine Rollback-Aktion. Sie beendet ebenfalls alle Sessions, startet den ausgewählten Firmwarestand aber mit Werkseinstellungen; die benutzerdefinierte Konfiguration geht dabei verloren. Der Secure Storage Master Key wird durch diese Aktion zwar nicht gelöscht, trotzdem gehört sie nur in einen geplanten Recovery-Ablauf mit geprüftem Backup und Managementzugang – nicht in ein normales Update.

Firmware-Update im HA-Cluster

HA muss vor dem Update nicht deaktiviert werden. Bei einem verbundenen Cluster wird der Vorgang auf dem Primary gestartet: Zuerst wird die Auxiliary Appliance aktualisiert und neu gestartet, danach folgt der Failover und anschliessend das Update des bisherigen Primary. Wenn ein Preferred Primary definiert ist, kann am Ende ein Failback erfolgen.

Die Auxiliary Appliance darf nicht separat aktualisiert werden. Ein HA-Gerät im Standalone-Modus kann nicht über den normalen Clusterablauf aktualisiert werden. Vor dem Start müssen deshalb Rollen, HA-Link und Synchronisation eindeutig sein. Pattern Updates werden auf dem Primary aktualisiert und danach zum Auxiliary synchronisiert. Weitere Sonderfälle erklärt Sophos Firewall HA-Cluster: Varianten und Wartung.

Direkt im WebAdmin oder über Central aktualisieren

Update direkt im WebAdmin

Mit gültiger Berechtigung kann die Firewall verfügbare Firmware direkt herunterladen:

1. Backup and firmware > Firmware öffnen.
2. Unter Latest Available Firmware auf Check for new firmware klicken.
3. Bei der gewünschten Version Download wählen.
4. Nach dem Download Install starten.
5. Neustart abwarten und erneut anmelden.
6. Oben links im Control center und unter Backup and firmware > Firmware die aktive Version prüfen.

Firmware über Sophos Central planen

Sophos Central zeigt einen blauen Pfeil an, wenn ein Firmware-Update verfügbar ist. Über Central können nur Zielversionen installiert werden, die im Release-Prozess die Phase Available to all erreicht haben.

1. My Products > Firewall Management > Firewalls öffnen.
2. Bei der Firewall den blauen Pfeil und danach Schedule upgrade wählen.
3. Falls mehrere Versionen angeboten werden, die Zielversion auswählen.
4. Immediately oder At wählen und bei At Datum und Uhrzeit setzen.
5. Schedule upgrade wählen. Wenn bereits ein wiederkehrender Firmware-Zeitplan besteht, muss dieser für die einzelne Firewall stattdessen überschrieben oder ein Termin übersprungen werden.

Central verwendet die auf der Firewall eingestellte Zeitzone. Neben der Firmwareversion zeigen fünf Symbole den Stand:

• Blauer Pfeil: Update verfügbar.
• Graue Uhr: Update geplant.
• Blauer drehender Kreis: Update läuft.
• Grüner Haken: Update erfolgreich.
• Rote Warnung: Update fehlgeschlagen.

Ein Klick auf das Symbol zeigt Details, ein Klick auf die Versionsnummer öffnet den Update-Status. Firmware-Upgrades erscheinen weder in der Task Queue für Gruppenrichtlinien noch in der Firewall Task Queue für MDR- und API-Aufträge. Auch nach einem grünen Haken muss die aktive Version lokal im WebAdmin geprüft werden. Bei einem automatischen Rollback zeigt Central neben der Firmwareversion eine entsprechende Meldung.

Fehlende Aktion oder fehlgeschlagenes Update

• Install ist deaktiviert: Prüfen, ob die drei kostenlosen Firmware-Upgrades verbraucht sind und Enhanced Support oder Enhanced Plus aktiv ist.
• Central zeigt keinen blauen Pfeil: Online- und Managementstatus, Berechtigung, Plattform und verfügbare Zielversion prüfen. Bei einem neuen Release kann die Phase Available to all noch ausstehen.
• Central-Update bleibt trotz Planung aus: Statussymbol öffnen und lokal prüfen, ob die alte Version aktiv geblieben ist. Danach Zeitzone, Central-Managementstatus, Available to all, Upgradepfad, lokale Warnungen und einen automatischen Rollback ausschliessen. Auf SFOS 21.5.1 MR1 Build 261 kann NC-181150 den Abruf der Firmware-Metadaten vorübergehend verhindern, während andere Central-Dienste weiter funktionieren. In diesem Fall das Update erneut in Central oder im lokalen WebAdmin starten; mehrere Versuche können nötig sein. Sophos nennt keine Fix-Version, sondern nur Zuverlässigkeitsverbesserungen ab SFOS 22.0 MR1. Auf anderen Versionen beweist ein verpasstes Update diesen Fehler nicht.
• Upload wird abgewiesen: Plattformtyp, Appliance-Serie, Upgrade-Pfad und Dateiintegrität prüfen. Bei einem inkompatiblen Wechsel ist Reimage statt eines weiteren Uploadversuchs nötig.
• SFOS meldet zu viele konfigurierte Gateways: Ein Versionswechsel wird blockiert, wenn die Zahl der Gateways das von der Firewall unterstützte Maximum überschreitet. Vor dem Löschen zuerst Abhängigkeiten in SD-WAN-Routen, statischen Routen, VPNs und Failover-Konfigurationen dokumentieren. Nur nachweislich ungenutzte Gateways kontrolliert entfernen; fehlt ein sicherer Ersatzpfad, wird der Wechsel gestoppt.
• Upload oder Installation scheitert trotz passendem Image: Freien Speicherplatz und bei HA den Synchronisationsstatus beider Appliances prüfen. Nicht dasselbe Image mehrfach hochladen, bevor die Ursache geklärt ist.
• Firewall rollt automatisch zurück: Ab SFOS 20.0 passiert dies bei bestimmten Fehlern der Konfigurationsmigration. Lokal erscheinen ein Alert im Control center und ein Logeintrag; bei einem Central-Update zusätzlich eine Meldung neben der Firmwareversion. Der lokale Rollback-Alert ist nur bei einer Migration ab SFOS 19.5 MR2 sichtbar; bei einer älteren Ausgangsversion widerlegt sein Fehlen den Rollback nicht. Für die Ursache sind insbesondere migration.log und migrationhash.log relevant.
• WebAdmin bleibt wegen beschädigter Firmware unerreichbar: Bei einer Appliance mit Loader kann der SFLoader-Recovery-Ablauf nötig sein. XGS Appliance unterstützt SFLoader nicht; dort ist ein Reimage mit USB-Stick der vorgesehene Recovery-Pfad.

Ein automatisch zurückgerolltes Update sollte nicht ohne Ursachenanalyse wiederholt werden. Die Migrationslogs sichern und bei unklarem Befund Sophos oder den Partner-Support einbeziehen.

Der Schutz gilt nicht für jeden Updateweg. Er steht bei manuell hochgeladener Firmware, beim lokalen Abruf einer neuen Version und beim HA-Update zur Verfügung. Wird dagegen im Setup Assistant die neuste Firmware installiert oder ein Mandatory Firmware Upgrade ausgeführt, gibt es keinen automatischen Rollback. Dasselbe gilt für eine nicht unterstützte Ausgangsversion oder einen nicht unterstützten Upgrade-Pfad. Für diese Fälle müssen Backup, Managementzugang und Recovery-Weg vor dem Start unabhängig abgesichert sein.

Nach dem Update prüfen

Nach dem Neustart zuerst die erwartete aktive Version unter Backup and firmware > Firmware kontrollieren. Danach mit echten Verbindungen prüfen:

• WAN-Uplinks, Default Gateway, SD-WAN-Routen und zentrale Interfaces.
• HA-Status, Rollen und Synchronisation.
• Site-to-Site VPN, Remote Access VPN und RED-Verbindungen.
• DNS, DHCP, NAT, WAF und wichtige Firewall-Regeln.
• Webzugriff, TLS Inspection, Authentifizierung und veröffentlichte Applikationen.
• Pattern- und Hotfix-Status auf den erwarteten Stand prüfen.
• Sophos-Central-Synchronisation, Monitoring, Syslog und SIEM-Daten.

Die Tests sollten mehr als nur «erreichbar» oder «nicht erreichbar» dokumentieren. Ein möglicher Test für ausgehenden Verkehr: Ein Client aus dem internen Produktionsnetz löst einen bekannten DNS-Namen auf und ruft anschliessend eine freigegebene HTTPS-Seite auf. Erwartet werden eine DNS-Antwort, ein erfolgreicher TLS-Aufbau und passende Einträge im Log Viewer. Eine veröffentlichte Anwendung über einen externen Anschluss testen, damit nicht versehentlich nur ein interner Hairpin-Pfad geprüft wird. Quellnetz, Ziel, Testzeitpunkt und Soll-Ergebnis an die eigene Umgebung anpassen und vorab im Testplan festhalten.

Wenn nur eine Regel, NAT- oder WAF-Veröffentlichung auffällig ist, zuerst Log Viewer, Policy Test, Packet Capture und die zuständigen Service-Logs verwenden. Dafür passen Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture und Sophos Firewall Troubleshooting: Services und Logs.

Auf die vorherige Firmware zurückrollen

Ein Rollback startet die vorherige kompatible Firmware im inaktiven Slot und aktiviert deren zugehörigen Konfigurationsstand. Dazu Backup and firmware > Firmware öffnen und beim vorherigen Firmwarestand das Rollback- beziehungsweise Boot firmware image-Icon wählen. Konfigurationsänderungen seit dem Upgrade können dadurch verloren gehen. Bis zur Go/No-Go-Entscheidung sollten deshalb nur unvermeidbare Änderungen vorgenommen und diese separat dokumentiert werden. Ein Rollback ist kein Ersatz für ein Backup oder Restore.

• Rollback: Wechsel auf die zuvor installierte kompatible Firmware und deren Konfiguration.
• Downgrade: Wechsel auf eine frühere kompatible Version, die nicht zwingend die direkte Vorgängerversion ist.
• Reimage: Neuinstallation von Sophos Firewall OS mit anschliessendem Restore.

Ein Rollback ist sinnvoll, wenn WAN, HA, zentrale VPNs oder produktionskritische Veröffentlichungen innerhalb des definierten Analysefensters nicht stabilisiert werden können. Bei einer einzelnen Regel oder einem externen Dienst ist gezieltes Troubleshooting meist besser. Eine nur langsam wirkende Oberfläche rechtfertigt allein noch keinen Rollback.

Vor dem Klick aktive und neue Firmwareversion, Uhrzeit, Symptom, betroffene Dienste, HA-Status und bereits ausgeführte Tests dokumentieren. So bleibt später nachvollziehbar, warum zurückgerollt wurde und welche Ursache noch zu untersuchen ist.

Im HA-Cluster muss dieselbe inaktive Firmware auf beiden Appliances vorhanden sein. Alternativ muss HA deaktiviert und jedes Gerät separat zurückgerollt werden. War die vorherige Version nicht mit HA konfiguriert, starten beide Geräte nach dem Rollback im Standalone-Status und HA muss neu eingerichtet werden.

Nach dem Rollback aktive Version, WAN, VPN, HA, Regeln, NAT, WAF, DNS, DHCP, Central-Synchronisation und Logging erneut prüfen. Danach Ursache und nächstes Wartungsfenster dokumentieren.