Beschädigte Sophos Firewall Firmware mit SFLoader ersetzen

Wenn die aktive Firmware beschädigt ist und WebAdmin nicht mehr startet, kann SFLoader ein kompatibles Firmware-Image über einen temporären Browserzugang auf die Firewall übertragen. Dieser Weg repariert keinen normalen Konfigurationsfehler. Er ist ein Recovery-Verfahren für Appliances, auf denen SFLoader tatsächlich vorhanden ist.

⚠️ Wichtig: SFLoader ist auf XGS-Appliances nicht verfügbar. Eine XGS mit beschädigter Firmware wird über den USB-Reimage-Ablauf wiederhergestellt. Wird im SFLoader später Factory statt Migrate gewählt, startet die Firewall mit Factory-Konfiguration. Ohne geprüftes Backup, Passwort und SSMK darf dieser Entscheid nicht unter Zeitdruck erfolgen.

SFLoader in zwölf Schritten

Passendes, kompatibles .gpg-Firmware-Image über Firewall Installers beziehen.
Backup, Backup-Passwort, SSMK, Managementdaten und lokalen Recovery-Zugang bereitlegen.
Endpoint mit einem Konsolenkabel am seriellen Port der Firewall anschliessen und die Terminalverbindung prüfen.
Firewall neu starten, im Bootmenü mit den Pfeiltasten SFLoader wählen und Enter drücken.
Ist der Loader veraltet, zuerst 4 Upgrade Loader ausführen. Sichtbare Menüpunkte gelten nicht automatisch als unterstützt.
1 Load New Firmware wählen.
Unter 1 Network Device den Netzwerkzugang konfigurieren, 1 Port1 wählen und per 1 Enable DHCP oder 2 Manual IP settings eine Adresse setzen.
Upload firmware using your desktop browser wählen.
Am verbundenen Endpoint http://<SFOS device IP address> öffnen, das .gpg-Image mit Choose file auswählen, mit Open bestätigen und mit Send übertragen.
In der seriellen SFLoader-Sitzung die zu überschreibende Firmware wählen und Overwrite bestätigen.
Bewusst Migrate für die Konfiguration der nicht überschriebenen Firmware oder Factory für die Factory-Konfiguration wählen und mit OK bestätigen.
Bestätigungen mit Enter abschliessen, Neustart abwarten und sich mit dem Passwort der migrierten Konfiguration beziehungsweise nach Factory mit admin anmelden.

Der entscheidende Moment liegt nicht beim Upload, sondern in Schritt 11. Migrate versucht, die Konfiguration der anderen Firmwarepartition für das neue Image zu übernehmen. Factory verwirft diesen Pfad und startet mit Standardkonfiguration. Ist nicht klar, welche Partition überschrieben wird oder welche Konfiguration erhalten bleiben soll, wird der Vorgang vor Overwrite beziehungsweise Factory gestoppt.

Wann SFLoader passt

SFLoader passt, wenn die Firmware beschädigt ist, WebAdmin nicht mehr erreichbar ist und das Bootmenü der Appliance den Loader anbietet. Für ein reguläres Upgrade, Downgrade oder Rollback bleibt der normale SFOS-Firmware-Ablauf der kontrolliertere Weg.

Die Recovery-Wege unterscheiden sich deutlich:

WebAdmin erreichbar: kompatibles Image regulär hochladen und geplant booten.
Vorherige Firmwarepartition funktionsfähig: kontrolliertes Rollback prüfen.
SFLoader vorhanden, WebAdmin ausgefallen: beschädigte Firmware über SFLoader ersetzen.
XGS oder vollständige Neuinstallation nötig: Reimage mit USB-Stick verwenden.
Nur Konfiguration zurücksetzen: den separaten Factory-Reset-Ablauf prüfen.

SFLoader aktualisiert sich nicht automatisch. Ein älterer Loader kann noch Menüpunkte zeigen, die für die eingesetzte Plattform oder Firmware nicht mehr unterstützt sind. Für das aktuelle Image wird deshalb bei Bedarf zuerst 4 Upgrade Loader ausgeführt; ein sichtbarer Menüpunkt allein ist keine Freigabe.

Recovery vorbereiten

Das Firmware-Image muss zur Appliance und zum aktiven Versionspfad passen. Die Datei wird ausschliesslich über den offiziellen Bereich Firewall Installers bezogen. Ein zufällig vorhandenes .gpg-Image aus einem alten Downloadordner ist keine verlässliche Recovery-Datei.

Vor dem Neustart werden soweit noch möglich dokumentiert:

Modell, Seriennummer, aktive und vorherige Firmwareversion
HA-Rolle und Zustand des betroffenen Nodes
Backup-Datei, Verschlüsselungspasswort und passender SSMK
Management-IP, Portbelegung, WAN-Zugang und lokaler Konsolenzugang
gewünschter Entscheid Migrate oder Factory samt Rückweg

Bei einem HA-Cluster ist SFLoader kein normal orchestriertes Cluster-Upgrade. Nur den tatsächlich betroffenen Node bearbeiten, Rollen und Firmwarestände vorher sichern und nicht gleichzeitig beide Geräte in einen Recovery-Vorgang bringen. Nach dem Start müssen Clusterzustand, Rollen und Synchronisierung erneut geprüft werden.

Seriellen und temporären Netzwerkzugang einrichten

SFLoader wird über die serielle Konsole bedient. Nach dem Neustart wird im Bootmenü SFLoader gewählt. Reagiert das Menü nicht, werden Terminalverbindung, Konsolenkabel und verwendeter serieller Port geprüft, statt die Appliance wiederholt hart auszuschalten.

Für den Image-Upload stellt SFLoader über Port1 einen temporären HTTP-Zugang bereit. Unter 1 Network Device > 1 Port1 kann die Adresse über DHCP bezogen oder mit 2 Manual IP settings statisch gesetzt werden. Endpoint und Port1 müssen sich danach direkt oder über ein bewusst vorbereitetes lokales Netz erreichen.

Die Uploadseite wird ausdrücklich über HTTP geöffnet:

http://<SFOS device IP address>

<SFOS device IP address> ist ein Platzhalter und wird durch die im SFLoader angezeigte oder manuell gesetzte Adresse von Port1 ersetzt. Für diesen lokalen Recovery-Pfad werden kein Internetzugang, kein Proxy und keine breite produktive Netzfreigabe benötigt.

Firmware übertragen und Konfiguration wählen

Nach Upload firmware using your desktop browser wird das kompatible .gpg-Image auf der lokalen Uploadseite mit Choose file ausgewählt und mit Send übertragen. Während der Übertragung werden weder Stromversorgung noch serielle Verbindung oder Netzwerklink getrennt.

Nach abgeschlossenem Transfer geht es in der seriellen Sitzung weiter. Dort wird die zu überschreibende Firmware ausgewählt und Overwrite bestätigt. Danach stehen zwei grundverschiedene Wege bereit:

Migrate

Migrate lädt die Konfiguration der Firmwarepartition, die nicht überschrieben wird, und migriert sie in das neue Image. Dieser Weg passt, wenn der dortige Konfigurationsstand bekannt und als Ausgangspunkt vorgesehen ist. Nach dem Neustart wird das Passwort dieser migrierten Konfiguration verwendet.

Factory

Factory startet das neue Image mit Factory-Konfiguration. Dieser Weg ist destruktiver und darf nicht als schneller Test verwendet werden. Nach dem Start gilt das Standardpasswort admin; anschliessend braucht es Basic Setup oder einen kontrollierten Restore. Die Backup- und Restore-Anleitung erklärt, warum Datei, Passwort und SSMK gemeinsam benötigt werden.

Erfolg nach dem Neustart prüfen

Ein abgeschlossener Upload beweist noch nicht, dass Firmware und Konfiguration verwendbar sind. Nach dem Neustart werden zuerst aktive Version, Login und gewählter Konfigurationspfad bestätigt. Danach folgen die betriebsrelevanten Tests:

Managementzugang über den vorgesehenen Port und die erwartete IP-Adresse
Interfaces, Zonen, Gateways, DNS und NTP
Firewall-, NAT-, SD-WAN- und Routingpfade
IPsec, Remote Access, RED und weitere Standortverbindungen
bei HA Rollen, Status, Firmwarestände und Synchronisierung
Lizenz, Pattern, Hotfixes, Logs und Sophos-Central-Verbindung

Bei Migrate wird zusätzlich geprüft, ob Konfigurationsmigration, Zertifikate, Secrets und abhängige Dienste vollständig funktionieren. Bei Factory erfolgt die Inbetriebnahme wie bei einer unkonfigurierten Firewall; produktive Kabel oder Tunnel werden erst nach geprüftem Restore beziehungsweise Basic Setup freigegeben.

Typische Fehler sicher eingrenzen

SFLoader fehlt im Bootmenü

Auf XGS ist das erwartetes Produktverhalten und kein versteckter Menüfehler. Dort wird nicht mit alten Loader-Anleitungen experimentiert, sondern der Reimage-Pfad verwendet. Auf einer anderen Appliance werden Modell und offizieller Recovery-Weg erneut geprüft.

Uploadseite ist nicht erreichbar

Adresse und Netzmaske aus SFLoader, Link an Port1, Endpoint-Adresse und den ausdrücklich verwendeten http://-Aufruf kontrollieren. Browserproxy und VPN des Endpoints können den lokalen Zugriff stören. Die Firewall nicht durch eine breite Freigabe ins Produktionsnetz hängen, nur um die Recovery-Seite erreichbar zu machen.

Firmware wird abgewiesen

Das Image kann inkompatibel oder beschädigt sein. Modell, Seriennummer und Versionspfad unter Firewall Installers erneut prüfen und die Datei frisch von Sophos laden. Kein Image umbenennen und keine nicht dokumentierte Loader-Option erzwingen.

Migration oder Start schlägt fehl

Nicht wiederholt zwischen Migrate, Factory und verschiedenen Images wechseln. Konsolenausgabe, gewählte Partition, Image-Dateiname, Modell, Seriennummer und Zeitpunkt sichern. Danach den Sophos-Supportfall mit dem dokumentierten Recovery-Verlauf eröffnen.

Checkliste

SFLoader ist auf der betroffenen Appliance verfügbar; XGS ist ausgeschlossen.
Kompatibles .gpg-Image stammt aus Firewall Installers.
Serielle Konsole und lokaler Zugang zu Port1 funktionieren.
Falls nötig wurde 4 Upgrade Loader vor dem Firmware-Upload ausgeführt.
Zu überschreibende Firmware und Entscheid Migrate oder Factory sind dokumentiert.
Backup, Passwort, SSMK und Managementdaten sind vorhanden.
Upload, Neustart, aktive Firmware und Login wurden bestätigt.
Netzwerk, VPN, HA, Lizenz, Pattern und Logs wurden praktisch abgenommen.
Bei unklarem Ergebnis wurden weitere Überschreibversuche gestoppt und Beweise gesichert.

FAQ

Kann SFLoader auf einer XGS Firewall verwendet werden?

Nein. Sophos stellt SFLoader auf XGS nicht bereit. Bei beschädigter XGS-Firmware ist Reimage mit einem bootfähigen USB-Stick der vorgesehene Recovery-Weg.

Was ist der Unterschied zwischen Migrate und Factory?

Migrate übernimmt die Konfiguration der nicht überschriebenen Firmwarepartition in das neue Image. Factory startet mit Standardkonfiguration und benötigt danach Basic Setup oder einen kontrollierten Restore.