Sophos Firewall OS neu installieren: Reimage mit USB-Stick

Ein Reimage installiert Sophos Firewall OS vollständig neu. Der Vorgang ist für Recovery-Situationen, Lab-Systeme, Modellwechsel oder eine saubere Neuinstallation gedacht. Für normale Versionswechsel ist in der Regel ein Firmware-Update über die Webadmin-Oberfläche die bessere Wahl.

⚠️ Wichtig: Ein Reimage überschreibt die Firewall vollständig. Konfiguration, lokale Logs, Zertifikate, Reports und gespeicherte Kontodaten sind danach nicht mehr auf dem Gerät vorhanden. Vor dem Start braucht es ein aktuelles Backup und den passenden Secure Storage Master Key (SSMK), wenn verschlüsselte Konfigurationsdaten später wiederhergestellt werden sollen.

Reimage, Firmware-Update oder Factory Reset?

Für ein normales Update sollte zuerst der Artikel Sophos Firewall: SFOS Firmware Update durchführen geprüft werden. Ein Factory Reset ist ebenfalls nicht dasselbe wie Reimage: Er setzt die Konfiguration zurück, entfernt aber nicht alle lokalen Daten wie ein vollständiges Neuaufsetzen. Auch der Secure Storage Master Key wird bei einem Factory Reset nicht gelöscht. Wenn die Firewall wirklich in einen sauberen Default-Zustand inklusive Logs, Reports und lokaler Betriebsdaten zurück soll, ist Reimage der passendere Weg. Für XGS-Appliances mit beschädigter Firmware verweist Sophos auf das Reimage-Verfahren, da SFLoader für XGS nicht verfügbar ist.

Wann man kein Reimage starten sollte

Ein Reimage ist die harte Recovery-Variante. Wenn noch ein normaler Administrationszugriff möglich ist, sollte zuerst geprüft werden, ob ein weniger invasiver Weg reicht.

Reimage ist sinnvoll, wenn das Betriebssystem beschädigt ist, ein sauberer Neuaufbau gewünscht wird oder Sophos Support beziehungsweise der Recovery-Plan diesen Weg vorgibt. Für normale Wartung, einzelne GUI-Probleme oder ungeklärte Performanceprobleme ist es meistens zu früh.

Startet die Firewall im Failsafe-Modus, wird vor Reboot, Factory Reset oder Reimage zuerst die erkannte Ursache gesichert. Das Runbook Sophos Firewall im Failsafe-Modus prüfen zeigt den Befehl show failure-reason und die sicheren nächsten Entscheidungen.

Vor dem Reimage sichern

Vor einem produktiven Reimage sollte man diese Punkte vorbereiten:

• Aktuelles Konfigurationsbackup herunterladen und sicher ablegen.
• Secure Storage Master Key dokumentieren, wenn das Backup verschlüsselte Kontodaten enthält.
• Lizenzstatus, Seriennummer und Sophos Central-Zuordnung prüfen.
• Modell, Revision, aktuelle SFOS-Version, Build, Zielversion und Backup-Version dokumentieren.
• WAN-Daten, VLANs, statische Routen, VPN-Parameter und besondere HA-Informationen separat notieren.
• Wartungsfenster planen, weil die Firewall während des Reimages nicht schützt und keinen Datenverkehr verarbeitet.
• Lokalen Zugriff auf Appliance, Stromversorgung, USB-Port und Management-Port sicherstellen.
• Restore-Ablauf vorher prüfen, besonders bei HA-Clustern und kritischen VPN-Standorten.
• Logs oder Support-Archive sichern, wenn die Ursache später noch analysiert werden muss.

Die passenden Grundlagen dazu stehen in Sophos Firewall: Backup erstellen und wiederherstellen, Sophos Firewall: SFOS 22 Upgrade-Check und Sophos Firewall HA-Cluster: Active-Passive, Active-Active und Auxiliary Appliance.

Wenn der Reimage Teil eines RMA- oder HA-Szenarios ist, wird diese Dokumentation noch wichtiger. Dann zählt nicht nur die Hauptversion, sondern auch der Build. Ein Ersatzgerät sollte zur gesunden Firewall passen oder bewusst auf die Zielversion gebracht werden, bevor Backup, Lizenztransfer und HA-Rekonfiguration starten.

Restore-Kompatibilität vorab klären

Der wichtigste Teil eines Reimage ist nicht das Schreiben des USB-Sticks, sondern der erfolgreiche Restore danach. Ein Backup sollte nicht erst nach der Neuinstallation zum ersten Mal bewertet werden.

Vorher klären:

Bei Hardwaretausch, XG-zu-XGS-Migration oder Restore auf ein anderes Modell sollte man zusätzlich prüfen, ob der Backup-Restore Assistant verfügbar ist und ob die Portzuordnung vor dem finalen Restore stimmt. Der Ablauf ist in Sophos Firewall Backup erstellen oder wiederherstellen beschrieben.

Für HA und RMA gilt als Faustregel: Firmwareversion und Build der beteiligten Geräte werden vor dem Restore geprüft. Wenn die benötigte alte Firmwareversion nicht mehr normal heruntergeladen werden kann, sollte man sie nicht improvisieren, sondern Sophos Support oder den vorhandenen Supportprozess einbeziehen.

Voraussetzungen

• Sophos Firewall Appliance oder passende Software- beziehungsweise Virtual-Appliance.
• USB-Stick mit mindestens 4 GB Speicherplatz.
• Windows-, macOS- oder Linux-Computer zum Erstellen des bootfähigen USB-Sticks.
• Tool zum Schreiben des ISO-Images, zum Beispiel balenaEtcher.
• Lokaler Zugriff auf die Appliance.
• Optional: USB-auf-Micro-USB-Kabel oder RJ45-COM-Adapter für Statusmeldungen und Fehlersuche über die serielle Konsole.

Für das Reimage selbst ist keine Enhanced-Support-Berechtigung nötig. Für reguläre Firmware-Upgrades gelten jedoch die jeweiligen Lizenz- und Supportbedingungen.

1. Passendes SFOS Installer-Image herunterladen

Das Installer-Image wird über die offizielle Sophos Download-Seite bezogen:

1. Die Sophos Firewall Installer öffnen. Alternativ ist der Direktdownload möglich.
2. Für Sophos Hardware-Appliances unter Hardware Installers die gewünschte SFOS-Version auswählen.
3. Lizenzbedingungen akzeptieren und das ISO-Image herunterladen.

Bei Hardware-Appliances wird üblicherweise ein Image mit dem Präfix HW verwendet. Software- und Virtual-Appliances verwenden andere Image-Typen. Entscheidend ist, dass Plattform, Zielversion und Restore-Plan zusammenpassen. Ein falsches Image ist kein kleiner Schönheitsfehler, sondern kann den Recovery-Ablauf stoppen.

Dateiname des Installer-Images

Beispiel: HW-22.0.1_MR-1-490.iso

Die wichtigsten Bestandteile des Dateinamens:

• Plattform oder Appliance-Typ

  • HW: ISO-Image für Sophos Hardware-Appliances. Für das Reimage einer XGS Appliance wird in der Regel diese Variante benötigt.
  • SW: ISO-Image für Sophos Firewall als Software-Appliance.
  • VI: Image-Paket für Sophos Firewall als Virtual Appliance.
  • AMI: Image für Amazon AWS.
  • AZU: Image für Microsoft Azure.

• Virtualisierungsplattform bei VI-Dateien

  • HYV: Microsoft Hyper-V.
  • KVM: KVM.
  • VMW: VMware Hypervisor.
  • XEN: Xen.

• Release-Typ

  • GA: General Availability. Das ist eine allgemein verfügbare Haupt- oder Zwischenversion, oft mit neuen Funktionen.
  • MR: Maintenance Release. Ein MR enthält vor allem Korrekturen, Stabilitätsverbesserungen und Sicherheitsanpassungen innerhalb einer bestehenden Version.

• Dateiendung

  • .iso: ISO-Image, das auf einen USB-Stick geschrieben oder für Software-Appliances verwendet werden kann.
  • .zip: Archiv mit Image-Dateien für Virtual Appliances.
  • .sig: Signiertes Image für bestimmte Appliance-Modelle oder Update-Szenarien.

Für produktive Systeme ist meistens das aktuelle MR einer unterstützten Version die bessere Wahl als eine ganz frisch erschienene GA-Version. Wenn ein Reimage Teil eines Recovery- oder Supportfalls ist, sollte die Zielversion aber immer zum vorhandenen Backup, zum Lizenzstatus und zum geplanten Restore passen.

Für ein XGS-Reimage ist also normalerweise eine Datei wie HW-22.0.1_MR-1-490.iso relevant. SW, VI, AMI oder AZU sind für andere Plattformen gedacht und sollten nicht für eine Hardware-Appliance verwendet werden.

2. Bootfähigen USB-Stick erstellen

Der USB-Stick wird beim Schreiben des ISO-Images formatiert. Alle vorhandenen Daten auf dem USB-Stick gehen verloren.

1. USB-Stick mit mindestens 4 GB Speicherplatz am Computer einstecken.
2. balenaEtcher herunterladen und starten.
3. Mit Flash from file das heruntergeladene SFOS ISO-Image auswählen.
4. Unter Select target den richtigen USB-Stick auswählen.
5. Mit Flash! das ISO-Image auf den USB-Stick schreiben.

Nach dem Schreibvorgang sollte der USB-Stick sauber ausgeworfen werden. Wenn macOS oder Windows den Stick danach als nicht lesbar meldet, ist das nicht zwingend ein Fehler, weil das Image für den Bootvorgang der Appliance geschrieben wurde.

3. SFOS auf der Firewall neu installieren

Der Reimage-Vorgang läuft direkt auf der Appliance. Währenddessen darf das Gerät nicht ausgeschaltet werden.

1. Firewall vollständig ausschalten.
2. Optional Monitor, LCD oder serielle Konsole vorbereiten, falls der Installationsstatus beobachtet werden soll.
3. Vorbereiteten USB-Stick in die Firewall einstecken.
4. Firewall einschalten.
5. Warten, bis der Sophos Firmware Installer vom USB-Stick startet.
6. Installationsstatus je nach Appliance-Modell überwachen.
7. Nach erfolgreicher Installation den USB-Stick entfernen.
8. Wenn der Installer danach eine Bestätigung verlangt, mit y neu starten.

Status bei XGS Desktop-Appliances

Viele XGS Desktop-Modelle haben keinen VGA-, SVGA- oder HDMI-Anschluss für einen Bildschirm. Der Reimage-Status wird deshalb über die Status-LED an der Vorderseite angezeigt. Wenn man mehr Details sehen muss, verwendet man die serielle Konsole über den COM-Anschluss.

Das Reimage ist erst abgeschlossen, wenn die LED dauerhaft grün leuchtet. Während die LED rot blinkt, läuft der Vorgang noch.

Status bei XGS Rack-Appliances

Rack-Appliances zeigen den Status über das integrierte Display an. Typische Meldungen sind Installation in progress, Installation successful, Installation failed oder Failsafe mode.

Status über serielle Konsole

Für zusätzliche Diagnose kann eine Konsole angeschlossen werden. Bei aktuellen XGS Desktop-Appliances ist das im Alltag meistens kein klassischer alter RS-232-Anschluss am Notebook mehr, sondern ein USB-auf-Micro-USB-Kabel am COM Micro USB Port der Firewall. Die Appliance stellt darüber trotzdem eine serielle Konsole bereit. Auf dem Admin-Computer erscheint sie als COM-Port unter Windows oder als tty-Gerät unter macOS und Linux.

Das ist besonders hilfreich, wenn kein Bildschirmanschluss vorhanden ist, die LED dauerhaft rot bleibt, der Boot vom USB-Stick unklar ist oder man Installer- und Fehlermeldungen direkt sehen möchte. Bei vielen XGS-Modellen gibt es zusätzlich einen RJ45-COM-Port. Dieser RJ45-COM-Port ist ein Konsolenanschluss, kein normaler Netzwerkport. Wenn Micro-USB und RJ45-COM gleichzeitig verbunden sind, hat Micro-USB Vorrang.

Typische Werkzeuge:

• Windows: PuTTY, Windows Terminal oder ein anderer serieller Terminal-Client.
• macOS: Terminal mit screen, zum Beispiel screen /dev/tty.usbserial-XXXX 38400.
• Linux: screen, minicom oder picocom.

Serielle Einstellungen:

4. Firewall nach dem Reimage erreichen

Nach dem Reimage startet die Firewall mit Standardkonfiguration. Der erste Zugriff erfolgt typischerweise über Port 1:

• Management-IP: https://172.16.16.16:4444
• Verbindung: Computer direkt mit Port 1 der Firewall verbinden
• Computer-IP: passende statische IP im Netz 172.16.16.0/24 setzen, falls kein Zugriff möglich ist

Danach folgt die Grundkonfiguration oder der Restore eines vorhandenen Backups. Beim Restore muss der passende Secure Storage Master Key angegeben werden, wenn das Backup geschützte Kontodaten enthält.

Nach dem Restore sollten mindestens diese Punkte geprüft werden:

• Interfaces, Zonen und VLANs.
• Default Gateway, statische Routen und SD-WAN-Routen.
• Firewall-Regeln, NAT-Regeln und Webserver-Schutz.
• VPN-Verbindungen und Zertifikate.
• Lizenzstatus und Synchronisation mit Sophos Central.
• HA-Status, wenn die Firewall Teil eines Clusters ist.
• Logging, Syslog-Ziele und Reporting.

Für Central-verwaltete Firewalls hilft zusätzlich Sophos Firewall mit Sophos Central verbinden. Bei Modellwechseln oder älteren Geräten ist Sophos XG oder XGS Firewall: Die richtige Appliance wählen relevant.

HA und RMA nicht wie Einzelgerät behandeln

Bei einem einzelnen Lab-Gerät ist ein Reimage meist linear: Image schreiben, installieren, Backup wiederherstellen, testen. Bei HA und RMA ist der Ablauf empfindlicher. Man muss vorher wissen, welches Gerät gesund ist, welche Rolle es hat, welche Firmwareversion und welchen Build es ausführt und ob Sophos Central beziehungsweise der Lizenztransfer zuerst bereinigt werden muss.

In Active-Passive-Umgebungen sollte ein Ersatzgerät nicht einfach mit allen Kabeln in den Cluster gesteckt werden. Typischer ist ein kontrollierter Ablauf: Firmwarestand prüfen, Ersatzgerät mit Port 1 lokal erreichen, WAN nur für Registrierung oder Lizenztransfer verbinden, Backup passend wiederherstellen, HA bewusst neu aufbauen und erst danach produktive Kabel umstecken. Die genaue Reihenfolge hängt davon ab, ob der Primary oder der Auxiliary ersetzt wird.

Abnahmetest nach Reimage und Restore

Nach einem erfolgreichen Login reicht ein kurzer Blick ins Dashboard nicht aus. Die Firewall muss die wichtigsten produktiven Pfade wieder korrekt bedienen.

Sinnvolle Reihenfolge:

1. Lizenzstatus, Seriennummer, Modell und Firmwareversion prüfen.
2. Interfaces, Linkstatus, VLANs und Zonen kontrollieren.
3. WAN-Gateway, DNS, NTP und Sophos Central-Verbindung prüfen.
4. Firewall-Regeln, NAT-Regeln und Log Viewer mit einem Testclient validieren.
5. Site-to-Site-VPNs und Remote Access mit echten Testzielen prüfen.
6. HA-Status und Rollen prüfen, wenn ein Cluster beteiligt ist.
7. Syslog, Central Reporting, Backups und geplante Reports kontrollieren.
8. Alte temporäre Zugänge, lokale Admin-Konten oder Recovery-Ausnahmen entfernen.

Wenn ein Restore zwar erfolgreich war, aber Traffic nicht fliesst, sollte man nicht sofort erneut reimagen. Dann sind häufig Interface-Mapping, Routing, NAT, Device Access, Lizenzstatus oder der Rückweg der Gegenstelle betroffen. Für die Analyse passen Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture, NAT auf Sophos Firewall verstehen und Sophos Firewall IPsec VPN Troubleshooting.

Häufige Probleme

Firewall bootet nicht vom USB-Stick

Meistens ist der USB-Stick nicht korrekt geschrieben, das falsche Image wurde gewählt oder die Appliance startet nicht vom erwarteten USB-Port. In diesem Fall das ISO erneut mit balenaEtcher schreiben, einen anderen USB-Stick testen und den Start über Monitor, LCD, Status-LED oder serielle Konsole beobachten.

LED bleibt dauerhaft rot

Eine dauerhaft rote Status-LED bedeutet, dass das Reimage fehlgeschlagen ist. Dann nicht einfach blind produktiv weiterarbeiten: USB-Stick, Image-Typ, Zielmodell und Installationsmeldung prüfen. Bei wiederholtem Fehler sind serielle Konsole und Sophos Support sinnvoller als mehrere identische Versuche.

Backup-Restore schlägt fehl

Typische Ursachen sind eine unpassende Zielversion, ein beschädigtes Backup, ein fehlender SSMK oder ein Restore auf ein anderes Modell ohne saubere Portzuordnung. Zuerst Backup-Version, Ziel-SFOS-Version, Build, Plattform und SSMK prüfen. Danach klären, ob ein Restore Assistant, ein Zwischenschritt über eine andere SFOS-Version oder Support nötig ist.

WebAdmin ist nach Reimage nicht erreichbar

Nach dem Reimage gilt wieder die Standardkonfiguration. Man verbindet den Computer direkt mit Port 1, setzt eine passende IP im Netz 172.16.16.0/24 und öffnet https://172.16.16.16:4444. Wenn das nicht funktioniert, zuerst Linkstatus, lokale Client-IP, Browser-Zertifikatswarnung und eventuell den Bootstatus prüfen.

HA startet nach Restore nicht sauber

Bei HA ist oft nicht das Reimage selbst das Problem, sondern Rolle, Firmwarestand, Build, Initial Primary, Central-Zuordnung oder Restore-Reihenfolge. Deshalb HA nicht automatisch wieder aktivieren, sondern zuerst den Zustand beider Geräte dokumentieren und mit dem geplanten HA-Ablauf vergleichen.

Traffic fliesst nach Restore nicht

Wenn die Konfiguration wiederhergestellt wurde, aber Traffic nicht funktioniert, sind häufig Interface-Mapping, Zonen, Routing, NAT, Device Access, Lizenzstatus oder Rückwege beteiligt. Dann helfen Log Viewer, Rule ID, NAT ID, Route Lookup und Packet Capture mehr als ein erneutes Reimage.

Lizenz oder Central-Verbindung fehlt

Nach Reimage, RMA oder Modellwechsel müssen Seriennummer, Account-Zuordnung, Lizenztransfer, DNS, Gateway und Sophos Central-Verbindung wieder passen. Erst wenn die Firewall sauber online ist, sollte man daraus einen produktiven Betriebszustand ableiten.

Checkliste

• Backup heruntergeladen.
• Secure Storage Master Key verfügbar.
• Backup- und Ziel-SFOS-Version dokumentiert.
• Firmware-Build und Modellrevision geprüft, besonders bei HA oder RMA.
• Seriennummer, Lizenzstatus und Central-Zuordnung geprüft.
• Passendes SFOS Installer-Image gewählt.
• USB-Stick erfolgreich geschrieben.
• Wartungsfenster und lokaler Zugriff geklärt.
• Appliance während des Reimages nicht ausgeschaltet.
• Nach dem Neustart WebAdmin über Port 1 erreicht.
• Backup wiederhergestellt und SSMK eingegeben.
• Netzwerk, VPN, Lizenz, Central und HA geprüft.
• Regel-, NAT-, Routing- und VPN-Tests mit echten Clients durchgeführt.
• Temporäre Recovery-Zugänge und Notizen bereinigt.

FAQ