Sophos Firewall FWDS501: Primary Disk vor SFOS 22 vergrössern

FWDS501 bedeutet, dass die Primary Disk oder deren Partitionsaufteilung ein Upgrade auf SFOS 22 blockiert. Bei älteren virtuellen Sophos Firewalls genügt es nicht, nur den virtuellen Datenträger zu vergrössern: Nach der Erweiterung von Hard disk 1 muss das von Sophos bereitgestellte Resize-Skript die Partitionen vorbereiten.

⚠️ Dieser Ablauf gilt nur für eine betroffene virtuelle Standalone-Firewall auf SFOS 21.0 MR2 Build 349 beziehungsweise 21.0.2.x. Das Skript nicht auf einer Hardware- oder Software-Appliance, in einem HA-Cluster oder unter einer anderen SFOS-Version ausführen. Die Versionsprüfung des Skripts darf nicht verändert oder umgangen werden.

SFOS 21.0 ist bereits End-of-Life. Die Version dient in diesem Sonderfall nur als von Sophos dokumentierter Zwischenschritt innerhalb eines geplanten Wartungsfensters. Anschliessend sollte direkt auf eine im SFOS-22-Upgrade-Check aufgeführte unterstützte Version aktualisiert werden.

Zuerst prüfen, ob dieser Ablauf passt

Eine Änderung ist nur nötig, wenn FWDS501 im Control Center, unter Backup & Firmware > Firmware oder in einer E-Mail-Warnung erscheint. Die Meldung blockiert das Upgrade, nicht den laufenden Betrieb. In Sophos Central kennzeichnet unter Firewall Management ein Download-Symbol mit Warnzeichen die betroffenen Firewalls. Ohne diese Warnung muss die Partitionierung nicht vorsorglich verändert werden.

Der folgende Ablauf passt, wenn alle Punkte erfüllt sind:

virtuelle Sophos Firewall, nicht Hardware oder Software Appliance
Standalone-System ohne HA
exakt SFOS 21.0 MR2 Build 349 beziehungsweise 21.0.2.x
FWDS501 wegen zu kleiner Primary Disk oder Partitionen
Hard disk 1 lässt sich im Hypervisor eindeutig identifizieren und erweitern
aktuelles Backup, Secure Storage Master Key, Backup-Passwort und Seriennummer sind verfügbar

Läuft die Firewall noch auf einer älteren kompatiblen Version, muss zuerst ein unterstützter Upgradepfad auf SFOS 21.0 MR2 geplant und abgeschlossen werden. Das Skript wird erst danach ausgeführt. Ist die Firewall bereits auf SFOS 21.5 oder 22, darf sie dafür nicht zurückgestuft werden. Bei HA, einer Software Appliance oder unklaren virtuellen Disk- und Snapshot-Ketten ist ein abgestimmter Weg mit Sophos Support oder eine neue Bereitstellung mit Backup-Restore sicherer.

Warum die 80-GB-Disk das Problem nicht löst

Ältere virtuelle Installationen wurden teilweise mit zwei Datenträgern bereitgestellt:

Hard disk 1 / Primary Disk: früher nur 4 GB; enthält die Systempartitionen
Hard disk 2 / Report Disk: meist 80 GB; speichert lokale Reports und Protokolldaten

Für Hard disk 1 nennt Sophos 32 GB als Minimum und 64 GB als Empfehlung für eine neue virtuelle Bereitstellung; Hard disk 2 bleibt die separate 80-GB-Report-Disk. Eine grosse Report Disk ersetzt die Primary Disk nicht. Wer nur Hard disk 2 vergrössert, schafft deshalb keinen Platz für die Root- und Content-Partitionen auf Hard disk 1.

Eine volle Report- oder /var-Partition ist ein anderes Fehlerbild. Dafür hilft Speicherplatz und Reports auf Sophos Firewall prüfen.

Voraussetzungen und Wiederherstellungsplan

Der Eingriff verändert den virtuellen Datenträger und die Partitionsaufteilung. Vor dem Wartungsfenster sollten daher folgende Punkte vorbereitet sein:

Ein frisches Konfigurationsbackup ausserhalb der Firewall speichern. Der passende Secure Storage Master Key, das Backup-Passwort und die Seriennummer müssen ebenfalls verfügbar sein. Der vollständige Wiederherstellungsweg steht unter Sophos Firewall Backup erstellen oder wiederherstellen.
Direkten Zugriff auf die Hypervisor-Konsole sicherstellen. Nach einem Shutdown oder bei einem Netzwerkproblem darf die Wiederherstellung nicht vom normalen VPN-Zugang abhängen.
SSH und der Zugang zur Advanced Shell müssen funktionieren. Die Anmeldung ist in Per SSH mit Sophos Firewall verbinden beschrieben.
Snapshots und differenzierende Diskketten prüfen. Blockiert die Plattform eine Erweiterung von Hard disk 1, wird nicht improvisiert oder eine virtuelle Disk nachträglich verkleinert.
Das Wartungsfenster muss zwei Neustarts, die Partitionsprüfung und den anschliessenden SFOS-22-Start abdecken.

Primary Disk Schritt für Schritt vergrössern

1. Ausgangszustand prüfen und dokumentieren

In der SSH-Konsole 5. Device Management > 3. Advanced Shell öffnen und beide Werte erfassen:

df -kh | grep content
showfw -g | grep ROOT_SZ

Bei df zählt die Spalte Size, nicht nur der freie Platz. /dev/content muss insgesamt mehr als 7 GB gross sein. ROOT_SZ wird in Bytes ausgegeben und muss grösser als 629145600 sein. Der Wert 629145600 entspricht genau 600 MiB und reicht noch nicht.

Liegt mindestens einer der Werte darunter und wird FWDS501 angezeigt, ist dies genau der Zustand, den der folgende Ablauf behebt. Die Ausgaben gehören in die Change-Dokumentation. Sind beide Werte bereits ausreichend, FWDS501 bleibt aber sichtbar, sollte die Ursache vor einer Änderung mit Sophos Support geklärt werden.

2. Firewall sauber herunterfahren

In 4. Device Console die virtuelle Firewall herunterfahren:

system shutdown

Erst wenn die VM vollständig ausgeschaltet ist, wird die virtuelle Disk geändert. Ein hartes Ausschalten über den Hypervisor kann Dateisysteme und Konfiguration beschädigen.

3. Hard disk 1 im Hypervisor erweitern

Im Hypervisor Hard disk 1 beziehungsweise die Primary Disk auf mindestens 32 GB vergrössern. Hard disk 2 mit der Report-Partition bleibt unverändert.

Die Menünamen unterscheiden sich zwischen VMware, Hyper-V, KVM und anderen Plattformen. Entscheidend ist nicht die Position in einer bestimmten Oberfläche, sondern die eindeutige Zuordnung der bestehenden Primary Disk. Bei Zweifeln zuerst die VM-Dokumentation und Disk-Zuordnung prüfen.

4. VM starten und nochmals neu starten

Die VM starten und warten, bis SFOS vollständig erreichbar ist. Anschliessend in 4. Device Console den von Sophos vorgesehenen zusätzlichen Neustart ausführen:

system restart

Nach diesem Neustart erneut warten, bis WebAdmin und SSH erreichbar sind.

⚠️ Das Skript erst jetzt nach /tmp kopieren. Sophos leert /tmp bei einem Neustart. Würde die Datei vorher kopiert, wäre sie beim nächsten Schritt nicht mehr vorhanden.

5. Resize-Skript kopieren

Das offizielle Sophos Resize-Skript auf dem Admin-Computer speichern. Der Download heisst derzeit resize_partitions.sh. Das folgende Beispiel kopiert die Datei und setzt auf der Firewall bewusst den einheitlichen Namen resize_partition.sh:

scp resize_partitions.sh admin@192.0.2.1:/tmp/resize_partition.sh

Der Befehl läuft auf dem Admin-Computer, nicht in der Firewall-Shell. 192.0.2.1 ist eine Dokumentationsadresse und wird durch die erreichbare Management-IP der Firewall ersetzt. Hat der Browser die lokale Datei anders benannt, muss auch der erste Dateiname im Befehl angepasst werden.

6. Skript prüfen und ausführen

Zurück in 5. Device Management > 3. Advanced Shell zuerst prüfen, ob die Datei vorhanden ist:

ls -l /tmp/resize_partition.sh

Danach die Berechtigung setzen und das Skript ausführen:

chmod 755 /tmp/resize_partition.sh
sh /tmp/resize_partition.sh

Nur folgende Ausgabe ist die von Sophos dokumentierte Erfolgsmeldung:

Success: New root offset stored and content partition relocated

Fehlt diese Meldung, meldet das Skript eine falsche Version oder bricht es mit einem Fehler ab, darf das Upgrade nicht fortgesetzt werden. Das Skript wird nicht bearbeitet und die Partitionen werden nicht mit fdisk, parted, growpart oder ähnlichen Werkzeugen manuell verändert.

7. Neustarten und Ergebnis kontrollieren

Nach der Erfolgsmeldung in 4. Device Console neu starten:

system restart

Danach in der Advanced Shell die beiden lesenden Prüfungen wiederholen:

df -kh | grep content
showfw -g | grep ROOT_SZ

/dev/content muss nun insgesamt mehr als 7 GB gross sein und ROOT_SZ weiterhin über 629145600 liegen. Bei 629145600 oder einem kleineren Wert darf das Upgrade nicht beginnen. Beide Ausgaben werden für den Vorher-Nachher-Vergleich dokumentiert; manuelle Partitionsbefehle sind kein Ersatz für ein korrektes Ergebnis.

Die Firmwareseite synchronisiert die Warnungen ungefähr alle 30 Minuten. Es kann bis zu einer Stunde dauern, bis FWDS501 verschwindet. Bleibt die Warnung danach bestehen, ist Sophos Support der nächste Schritt.

Erst danach auf SFOS 22 aktualisieren

Das Upgrade beginnt erst, wenn das Skript erfolgreich war, /dev/content mehr als 7 GB umfasst, ROOT_SZ grösser als 629145600 ist und FWDS501 nicht mehr angezeigt wird. Danach den vollständigen SFOS-22-Upgrade-Check durchführen.

Beim ersten Start von SFOS 22 werden Root- und Konfigurationspartitionen automatisch weiter angepasst. Dieser Vorgang kann den Start einmalig um etwa fünf bis sechs Minuten verlängern. Die VM in dieser Phase nicht hart ausschalten, auch wenn WebAdmin und Ping noch nicht reagieren.

Wenn der Skriptweg nicht passt

Eine neue virtuelle Firewall mit einem aktuellen Installer ist der sauberere Weg, wenn die Versionsvoraussetzung fehlt, die bestehende Disk-Struktur unklar ist oder das Skript nicht erfolgreich endet:

Konfigurationsbackup, Secure Storage Master Key, Backup-Passwort und Seriennummer sichern.
Neue virtuelle Firewall mit mindestens 32 GB, nach Möglichkeit den empfohlenen 64 GB auf der Primary Disk sowie 80 GB auf der separaten Report Disk bereitstellen.
Lizenz aktivieren und das Backup wiederherstellen.
Interfaces, Routing, VPN, NAT, Authentifizierung und zentrale Verwaltung testen.

Lokale Reports werden mit einem Konfigurationsbackup nicht wiederhergestellt. Bereits an Central Firewall Reporting übertragene Daten bleiben dort erhalten.

Software Appliance mit FWDS501

Bei einer Software Appliance auf eigener x86-Hardware kann FWDS501 ebenfalls auf zu kleine Partitionen oder einen zu kleinen Datenträger hinweisen. Das virtuelle Resize-Skript darf hier nicht verwendet werden. In der Advanced Shell werden stattdessen drei Werte geprüft:

fdisk -l
showfw -g | grep ROOT_SZ
df -kh | grep var

fdisk -l zeigt die Gesamtdisk. Bei df zählt die Spalte Size, nicht der noch freie Platz. Für den Bestandscheck nennt Sophos mehr als 32 GB für die Disk, mehr als 629145600 Bytes für die Root-Partition und mehr als 20 GB für /var.

Ist die Gesamtdisk 32 GB oder kleiner, wird SFOS neu installiert. Für diese neue Software-Appliance mindestens 64 GB einplanen, danach Lizenz aktivieren und das zuvor gesicherte Backup wiederherstellen.
Ist nur die Root-Partition zu klein und die Gesamtdisk ausreichend, beschreibt Sophos SFOS 21.0 MR2 als Zwischenschritt, der die Root-Partition automatisch erweitert. Da SFOS 21.0 End-of-Life ist, gehört dieser Pfad in ein geplantes Wartungsfenster mit unmittelbarem Upgrade auf eine unterstützte SFOS-22-Version. Eine bereits neuere Firewall wird dafür nicht zurückgestuft.
Ist /var höchstens 20 GB gross, ist ein separater, von Sophos freigegebener Partitionsablauf oder die Unterstützung durch Sophos Support nötig. Das virtuelle Skript und manuelle Linux-Partitionsbefehle sind dafür keine Lösung.

Wann abbrechen und Support einschalten

Der Ablauf wird gestoppt, wenn:

das Skript ausgeführt werden soll, obwohl die Firewall noch nicht exakt auf SFOS 21.0 MR2 Build 349 beziehungsweise 21.0.2.x läuft
HA aktiv ist oder beide Nodes nicht mit einem freigegebenen Plan einzeln behandelt werden können
Hard disk 1 und Hard disk 2 nicht eindeutig zu unterscheiden sind
Backup, SSMK, Backup-Passwort, Seriennummer oder Hypervisor-Konsole fehlen
Snapshots oder die virtuelle Diskkette eine sichere Erweiterung verhindern
das Skript nicht die exakte Erfolgsmeldung ausgibt
/dev/content nach dem Neustart nicht mehr als 7 GB umfasst
ROOT_SZ nach dem Neustart 629145600 oder weniger beträgt oder FWDS501 nach einer Stunde noch angezeigt wird

In diesen Fällen ist ein geplanter Restore auf eine neue VM meist sicherer als ein manueller Reparaturversuch an den Partitionen.