Beschädigte Sophos Firewall Firmware mit SFLoader ersetzen

Wenn die aktive Firmware beschädigt ist und WebAdmin nicht mehr startet, kann SFLoader ein kompatibles Firmware-Image über einen temporären Browserzugang auf die Firewall übertragen. Dieser Weg repariert keinen normalen Konfigurationsfehler. Er ist ein Recovery-Verfahren für Appliances, auf denen SFLoader tatsächlich vorhanden ist.

⚠️ Wichtig: SFLoader ist auf XGS Appliances nicht verfügbar. Eine XGS Appliance mit beschädigter Firmware wird über den USB-Reimage-Ablauf wiederhergestellt. SFLoader überschreibt die gewählte Firmwarepartition. Factory startet das neue Image zusätzlich mit Factory-Konfiguration. Ohne geprüften Rückkehrweg darf der Vorgang nicht begonnen werden; ein Backup ist nur dann wiederherstellbar, wenn auch sein Verschlüsselungspasswort und – sofern für dieses Backup verwendet – der passende SSMK vorliegen.

SFLoader in zwölf Schritten

Das kompatible .gpg-Firmware-Image über den Sophos-Ablauf Firmware herunterladen für die aktive Firewall beziehen.
Prüfen, ob SFLoader auf der Appliance verfügbar ist und ob für einen Versionswechsel eine gültige Support-Berechtigung beziehungsweise noch eines der drei kostenlosen Firmware-Upgrades vorhanden ist.
Rückkehrweg, Managementdaten und lokalen Recovery-Zugang vorbereiten. Den Endpoint per Konsolenkabel mit dem seriellen Port verbinden und die Terminalverbindung prüfen. Falls Factory infrage kommt, zusätzlich Backup, Backup-Passwort und gegebenenfalls SSMK prüfen.
Firewall neu starten, im Bootmenü mit den Pfeiltasten SFLoader wählen und Enter drücken.
Im SFLoader zuerst 4 Upgrade Loader ausführen. Der Loader aktualisiert sich bei Firmwareupdates nicht automatisch; sichtbare Menüpunkte gelten nicht automatisch als unterstützt.
1 Load New Firmware wählen.
Unter 1 Network Device den Netzwerkzugang konfigurieren, 1 Port1 wählen und per 1 Enable DHCP oder 2 Manual IP settings eine Adresse setzen.
Upload firmware using your desktop browser wählen.
Am verbundenen Endpoint http://<SFOS device IP address> öffnen, das .gpg-Image mit Choose file auswählen, mit Open bestätigen und mit Send übertragen.
In der seriellen SFLoader-Sitzung die zu überschreibende Firmware wählen und Overwrite bestätigen.
Bewusst Migrate für die Konfiguration der nicht überschriebenen Firmware oder Factory für die Factory-Konfiguration wählen und mit OK bestätigen.
Bestätigungen mit Enter abschliessen, Neustart abwarten und sich mit dem Passwort der migrierten Konfiguration beziehungsweise nach Factory mit admin anmelden.

Der entscheidende Moment liegt nicht beim Upload, sondern vor Overwrite und bei der Wahl in Schritt 11. Migrate versucht, die Konfiguration der anderen Firmwarepartition für das neue Image zu übernehmen. Factory verwirft diesen Migrationspfad und startet mit Standardkonfiguration. Das Überschreiben lässt sich in SFLoader nicht einfach rückgängig machen. Ist nicht klar, welche Partition überschrieben wird, ob die andere Partition startfähig ist oder welche Konfiguration erhalten bleiben soll, wird der Vorgang vor Overwrite gestoppt.

Wann SFLoader passt

SFLoader passt, wenn die Firmware beschädigt ist, WebAdmin nicht mehr erreichbar ist und das Bootmenü der Appliance den Loader anbietet. Für ein reguläres Upgrade, Downgrade oder Rollback bleibt der normale SFOS-Firmware-Ablauf der kontrolliertere Weg.

Die Recovery-Wege unterscheiden sich deutlich:

WebAdmin erreichbar: kompatibles Image regulär hochladen und geplant booten.
Vorherige Firmwarepartition funktionsfähig: kontrolliertes Rollback prüfen.
SFLoader vorhanden, WebAdmin ausgefallen: beschädigte Firmware über SFLoader ersetzen.
XGS Appliance oder vollständige Neuinstallation nötig: Reimage mit USB-Stick verwenden.
Nur Konfiguration zurücksetzen: den separaten Factory-Reset-Ablauf prüfen.

Legacy-Verfahren, keine Freigabe für aktuelle Hardware: Die SFLoader-Anleitung steht weiterhin in der SFOS-22/23-Hilfe. Daraus folgt weder, dass XG- oder SG-Hardware diese Versionen unterstützt, noch dass der Loader auf jeder Plattform verfügbar ist. XG- und SG-Hardware unterstützen SFOS 21.0 GA und neuer nicht; für den Hardwarewechsel hilft die XG-/XGS-Migrationsübersicht. Dieses Runbook gilt nur für eine Legacy-Installation mit tatsächlich verfügbarem SFLoader und einem ausdrücklich passenden Image.

SFLoader aktualisiert sich nicht automatisch. Ein älterer Loader kann noch nicht unterstützte Menüpunkte zeigen. Vor dem weiteren Ablauf 4 Upgrade Loader wählen und die Firmware nach den angezeigten Aufforderungen manuell laden; die Menüwahl allein beweist noch kein erfolgreiches Loader-Upgrade. Die Legacy-Anleitung verlangt eine .gpg-Datei, während aktuelle Firmwaredownloads auch .sig-Pakete anbieten. Ein .sig-Paket darf deshalb nicht einfach in .gpg umbenannt werden. Wenn sich kein für Modell, Loader und Versionspfad freigegebenes Image beschaffen lässt oder die Aufforderungen abweichen, stoppen und den Recovery-Weg mit Support klären.

Recovery vorbereiten

Vor dem Neustart ein Wartungsfenster mit eingeplanter Verkehrsunterbrechung, stabiler Stromversorgung und einer lokalen Person oder unabhängigem Konsolenzugang festlegen. Der Recovery-Zugang darf nicht ausschliesslich über einen VPN-Tunnel dieser Firewall laufen. Wenn WebAdmin noch erreichbar ist, zuerst einen aktuellen Backup extern sichern; andernfalls den letzten verfügbaren Backup und dessen Restore-Kompatibilität prüfen. Für Migrate muss auch das Anmeldepasswort der Konfiguration auf der nicht überschriebenen Partition bekannt sein. Weder Migrate noch eine vermeintlich intakte zweite Partition garantieren den Erhalt von Konfiguration, Logs, Zertifikaten, Secrets oder SSMK. Bei unklarem Rückweg vor dem Neustart stoppen.

Das Firmware-Image muss zur Appliance und zum aktiven Versionspfad passen. Für eine aktive Firewall verweist Sophos auf Sophos Central > Licensing > Firewall licenses. Dort wird die Firewall ausgewählt und eines der für sie angebotenen Firmware-Images heruntergeladen. Die allgemeine Seite Firewall Installers ist dafür nicht geeignet: Sophos kennzeichnet diese Dateien als Images für Neuinstallationen und warnt davor, dass ihre Installation auf einem bestehenden Gerät dessen Daten und Einstellungen löscht. Ein zufällig vorhandenes .gpg-Image aus einem alten Downloadordner ist ebenfalls keine verlässliche Recovery-Datei.

Seit SFOS 19.0 MR1 benötigt ein Wechsel auf eine andere Firmwareversion grundsätzlich Enhanced Support oder Enhanced Plus Support. Ohne Support-Berechtigung stehen insgesamt drei kostenlose Firmware-Upgrades zur Verfügung; sind sie verbraucht, kann das Image zwar heruntergeladen, aber auch über SFLoader nicht installiert werden. Diese Einschränkung gilt laut Sophos für den Versionswechsel. Sie darf nicht mit einem vollständigen Reimage verwechselt werden, für das Sophos keine Support-Berechtigung verlangt.

Vor dem Neustart werden soweit noch möglich dokumentiert:

Modell, Seriennummer, aktive und vorherige Firmwareversion
Kompatibilität des Zielimages und Berechtigung für einen Versionswechsel
HA-Rolle und Zustand des betroffenen Nodes
Backup-Datei, Verschlüsselungspasswort und – falls das Backup damit geschützt wurde – passender SSMK
Management-IP, Portbelegung, WAN-Zugang und lokaler Konsolenzugang
gewünschter Entscheid Migrate oder Factory samt Rückweg

Bei einem HA-Cluster ist SFLoader kein normal orchestriertes Cluster-Upgrade. Die öffentliche SFLoader-Anleitung beschreibt keinen eigenständigen HA-Recovery-Ablauf. Deshalb werden Rollen, Firmwarestände und Konsolenausgabe gesichert und der Eingriff vor Overwrite mit Sophos oder dem betreuenden Partner abgestimmt. Keinesfalls werden beide Nodes gleichzeitig in Recovery gebracht. Nach dem Start müssen Clusterzustand, Rollen, Firmwarestände und Synchronisierung erneut geprüft werden.

Seriellen und temporären Netzwerkzugang einrichten

SFLoader wird über die serielle Konsole bedient. Je nach Appliance wird ein Micro-USB-Kabel oder ein Konsolenkabel von USB auf RJ45 beziehungsweise RJ45 auf DB9 verwendet. Unter Windows wird der zugewiesene Port unter Geräte-Manager > Anschlüsse (COM & LPT) geprüft. Der Terminalemulator wird mit dem ermittelten COM-Port, 38400 Baud, 8 Datenbits, 1 Stoppbit, keiner Parität und keiner Flusssteuerung konfiguriert.

Unter macOS zeigt ls /dev/tty.* den Port; die Sitzung wird beispielsweise mit screen /dev/tty.usbserial-AD0K15UY 38400 gestartet, wobei der Beispielport durch den tatsächlich angezeigten Port ersetzt wird. Sind Micro-USB und RJ45-Seriell gleichzeitig angeschlossen, hat Micro-USB Vorrang; für einen eindeutigen Recovery-Pfad wird nur das benötigte Kabel verbunden. Nach dem Neustart wird im Bootmenü SFLoader gewählt. Reagiert das Menü nicht, werden Treiber, Terminalverbindung, Konsolenkabel und verwendeter serieller Port geprüft, statt die Appliance wiederholt hart auszuschalten.

Für den Image-Upload stellt SFLoader über Port1 einen temporären HTTP-Zugang bereit. Unter 1 Network Device > 1 Port1 kann die Adresse über DHCP bezogen oder mit 2 Manual IP settings statisch gesetzt werden. Endpoint und Port1 müssen sich danach direkt oder über ein bewusst vorbereitetes lokales Netz erreichen.

Die Uploadseite wird ausdrücklich über HTTP geöffnet:

http://<SFOS device IP address>

<SFOS device IP address> ist ein Platzhalter und wird durch die im SFLoader angezeigte oder manuell gesetzte Adresse von Port1 ersetzt. Für diesen lokalen Recovery-Pfad werden kein Internetzugang, kein Proxy und keine breite produktive Netzfreigabe benötigt.

Firmware übertragen und Konfiguration wählen

Nach Upload firmware using your desktop browser wird das kompatible .gpg-Image auf der lokalen Uploadseite mit Choose file ausgewählt, mit Open bestätigt und mit Send übertragen. Während der Übertragung werden weder Stromversorgung noch serielle Verbindung oder Netzwerklink getrennt.

Nach abgeschlossenem Transfer geht es in der seriellen Sitzung weiter. Dort wird die zu überschreibende Firmware ausgewählt und Overwrite bestätigt. Danach stehen zwei grundverschiedene Wege bereit:

Migrate

Migrate lädt die Konfiguration der Firmwarepartition, die nicht überschrieben wird, und migriert sie in das neue Image. Dieser Weg passt, wenn der dortige Konfigurationsstand bekannt und als Ausgangspunkt vorgesehen ist. Nach dem Neustart wird das Passwort dieser migrierten Konfiguration verwendet.

Factory

Factory startet das neue Image mit Factory-Konfiguration. Dieser Weg ist destruktiver und darf nicht als schneller Test verwendet werden. Nach dem Start gilt das Standardpasswort admin; anschliessend braucht es Basic Setup oder einen kontrollierten Restore. Die Backup- und Restore-Anleitung erklärt, wann neben Datei und Passwort auch der SSMK benötigt wird.

Rückkehrweg und Grenzen

Die Bestätigungen nicht blind überspringen: Bei Migrate die angezeigte Quellkonfiguration kontrollieren, OK wählen und Enter drücken. Die Sophos-Anleitung nennt danach zwei weitere Aufforderungen mit Enter; jeweils die Meldung lesen und bestätigen, bevor man den Neustart abwartet. Anschliessend das Passwort der migrierten Konfiguration eingeben; nach Factory gilt admin. Das historische Beispiel 17.0.6.181 in der Anleitung bezeichnet die Quellkonfiguration und ist keine Zielversions-Empfehlung. Weichen Meldungen oder Quellpartition ab, nicht auf Verdacht bestätigen, sondern die Konsolenausgabe für Support sichern.

SFLoader bietet nach Overwrite keinen garantierten Ein-Klick-Rollback. Die nicht überschriebene Partition kann zwar weiterhin ihre eigene Firmware und Konfiguration enthalten; darauf darf man sich aber nur verlassen, wenn Version, Startfähigkeit und zugehöriger Konfigurationsstand vorher geklärt wurden. Factory ist kein Vorschau-Modus. Fehlen eine nachweislich startfähige andere Partition und ein kompatibles, vollständig entschlüsselbares Backup, bleibt bei einem Fehlstart nur die dokumentierte Evidenz für Sophos Support beziehungsweise ein vollständiges Reimage. Ein Reimage löscht sämtliche Daten auf der Firewall.

Erfolg nach dem Neustart prüfen

Ein abgeschlossener Upload beweist noch nicht, dass Firmware und Konfiguration verwendbar sind. Nach dem Neustart werden zuerst aktive Version, Login und gewählter Konfigurationspfad bestätigt. Danach folgen die betriebsrelevanten Tests:

Managementzugang über den vorgesehenen Port und die erwartete IP-Adresse
Interfaces, Zonen, Gateways, DNS und NTP
Firewall-, NAT-, SD-WAN- und Routingpfade
IPsec, Remote Access, RED und weitere Standortverbindungen
bei HA Rollen, Status, Firmwarestände und Synchronisierung
Lizenz, Pattern, Hotfixes, Logs und Sophos-Fusion-Verbindung

Bei Migrate wird zusätzlich geprüft, ob Konfigurationsmigration, Zertifikate, Secrets und abhängige Dienste vollständig funktionieren. Bei Factory erfolgt die Inbetriebnahme wie bei einer unkonfigurierten Firewall; produktive Kabel oder Tunnel werden erst nach geprüftem Restore beziehungsweise Basic Setup freigegeben.

Typische Fehler sicher eingrenzen

SFLoader fehlt im Bootmenü

Auf XGS Appliance ist das erwartete Produktverhalten und kein versteckter Menüfehler. Dort wird nicht mit alten Loader-Anleitungen experimentiert, sondern der Reimage-Pfad verwendet. Auf einer anderen Appliance werden Modell und offizieller Recovery-Weg erneut geprüft.

Uploadseite ist nicht erreichbar

Adresse und Netzmaske aus SFLoader, Link an Port1, Endpoint-Adresse und den ausdrücklich verwendeten http://-Aufruf kontrollieren. Browserproxy und VPN des Endpoints können den lokalen Zugriff stören. Die Firewall nicht durch eine breite Freigabe ins Produktionsnetz hängen, nur um die Recovery-Seite erreichbar zu machen.

Firmware wird abgewiesen

Das Image kann inkompatibel oder beschädigt sein. Firewall und angebotene Firmware unter Sophos Central > Licensing > Firewall licenses erneut prüfen und die Datei frisch von Sophos laden. Kein Image umbenennen und keine nicht dokumentierte Loader-Option erzwingen.

Migration oder Start schlägt fehl

Nicht wiederholt zwischen Migrate, Factory und verschiedenen Images wechseln. Konsolenausgabe, gewählte Partition, Image-Dateiname, Modell, Seriennummer und Zeitpunkt sichern. Danach den Sophos-Supportfall mit dem dokumentierten Recovery-Verlauf eröffnen.

Checkliste

SFLoader ist auf der betroffenen Appliance verfügbar; XGS Appliance ist ausgeschlossen.
Das kompatible .gpg-Image wurde über den Sophos-Downloadablauf für die aktive Firewall bezogen und nicht aus den Neuinstallations-Images unter Firewall Installers.
Serielle Konsole und lokaler Zugang zu Port1 funktionieren.
4 Upgrade Loader wurde vor dem Firmware-Upload ausgeführt.
Zu überschreibende Firmware und Entscheid Migrate oder Factory sind dokumentiert.
Falls ein Restore nötig werden kann, sind Backup, Passwort und gegebenenfalls SSMK vorhanden; die Managementdaten sind dokumentiert.
Upload, Neustart, aktive Firmware und Login wurden bestätigt.
Netzwerk, VPN, HA, Lizenz, Pattern und Logs wurden praktisch abgenommen.
Bei unklarem Ergebnis wurden weitere Überschreibversuche gestoppt und Beweise gesichert.

FAQ

Kann SFLoader auf einer XGS Appliance verwendet werden?

Nein. Sophos stellt SFLoader auf XGS Appliance nicht bereit. Bei beschädigter Firmware einer XGS Appliance ist Reimage mit einem bootfähigen USB-Stick der vorgesehene Recovery-Weg.

Was ist der Unterschied zwischen Migrate und Factory?

Migrate übernimmt die Konfiguration der nicht überschriebenen Firmwarepartition in das neue Image. Factory startet mit Standardkonfiguration und benötigt danach Basic Setup oder einen kontrollierten Restore.