Sophos AP6-firmware veilig uitrollen in Central

Voor een centraal beheerde Sophos AP6 is de kortste route My Products > Wireless > Access Points > Firmware upgrade. Selecteer de apparaten en kies Now voor een onmiddellijke upgrade, Custom voor één datum en tijd of Recurring om nieuwe firmware dagelijks, wekelijks of maandelijks automatisch toe te passen. Dit artikel gaat uitsluitend over AP6.

⚠️ Plan een onderbreking: tijdens de firmware-upgrade kan de AP6 wifi-clients niet continu bedienen. Schakel het access point tijdens de bewerking niet uit en koppel het niet los, omdat dit het apparaat kan beschadigen. Stabiliseer voeding, PoE en uplink vóór de start en onderbreek de bewerking niet met een reboot of reset.

Beheerlaag en datapad

Sophos Fusion (voorheen Sophos Central) vormt hier de beheerlaag: Central plant of start de taak en de AP6 downloadt en installeert de firmware. Clientverkeer blijft via AP6, switch/VLAN en gateway lopen; het gaat niet door Central. Een bereikbaar Central-portaal houdt het wifi-datapad dus niet beschikbaar terwijl de AP herstart.

De AP6 moet geregistreerd, online en via zijn beheerpad bereikbaar zijn. Voor de nieuwste firmware vereist Sophos ook een geldig supportabonnement. Zie de Central Wireless-vereisten en AP6 lokaal of met Central beheren.

Voor de uitrol

1. De Avanet Release Owner exporteert uit My Products > Wireless > Access Points model, huidige Firmware, site, configuratiefuncties, onlinestatus en Last activity naar het wijzigingsrecord.
2. Bij aanvang van elke wijziging opent de owner de live AP6-releaseopmerkingen en registreert Latest version, datum, betrokken modellen, fixes, functies en bekende problemen. Deze live controle is verplicht; een vaste versie in dit artikel mag nooit de doelrelease worden.
3. Het Avanet-releaseledger bevat controledatum, kandidaatversie, geïnstalleerde versies en modellen, supportstatus, relevante functies en links naar wijziging en releaseopmerkingen. De owner beoordeelt bekende problemen, opgeloste kwetsbaarheden en security advisories, afhankelijkheden van switch, VLAN, RADIUS, captive portal en mesh, en vereiste configuratiewijzigingen. Uitkomst is goedkeuren, uitstellen of afwijzen, met reden en fiattering door de Service Owner.
4. Na goedkeuring bepaalt de owner onderhoudsvenster, pilot-AP, kleine site-/modelringen, brede ring, observatieduur, succescriteria en stop/go per ring. Begin een kritieke zone nooit met de enige AP; niet-goedgekeurde hardware-/functiecombinaties blijven buiten de golf.
5. Voor elke ring controleert de engineer supportabonnement, PoE, switchpoort, DHCP, DNS, uitgaande Central-verbinding en configuratieback-up of -export. Start niet bij instabiele voeding, een reeds offline AP of onvervulde criteria.
6. De wijziging legt identieke voor- en natests vast: SSID, authenticatie, IP-adres, gateway, DNS, toegestane doelen en zo nodig VLAN, RADIUS, captive portal of mesh. Direct voor uitvoering bevestigen owner en engineer doelversie, apparaten, venster, communicatie en rollbackgrens.

MR10 1.10.3192: gerichte validatie van functies en fixes

Gedateerde referentie: AP6 MR10 heeft firmwareversie 1.10.3192. De releaseopmerkingen noemen 24 augustus 2026 als publicatiedatum; de MR10-aankondiging van 8 september 2026 beschrijft de gefaseerde regionale uitrol en bijbehorende beheerfuncties. Deze informatie vervangt niet de actuele releasecontrole of de goedkeuring voor je eigen tenant.

Voor EU-Central spreken de datums in de aankondiging elkaar tegen: de kop van fase 3 vermeldt «New Date Coming September 14, 2026», terwijl de tekst eronder nog 7 september 2026 noemt. Hieruit valt niet af te leiden dat de regionale beschikbaarheid daadwerkelijk is gerealiseerd. Controleer vóór een wijziging in de betrokken tenant de aangeboden firmware, de upgradepijl of modelspecifieke download en de benodigde Wireless-functies. Ontbreekt iets, stel de ring dan uit en bespreek de beschikbaarheid met Sophos Support. Een historische datum of beschikbaar firmwarebestand bewijst niet dat ook elke cloudfunctie al in de tenant beschikbaar is.

Werk eerst alleen de firmware van de pilot-AP bij en herhaal de bestaande clienttests. Valideer nieuwe authenticatie, Traffic Shaping of profielwaarden daarna afzonderlijk; anders is een fout niet betrouwbaar aan de firmware of de configuratiewijziging toe te schrijven. Leg per functie de vorige waarde, geplande wijziging, gebruikte client en uitkomst vast in het wijzigingsrecord.

Entra ID en RADIUS per SSID

MR10 voegt Microsoft Entra ID toe als cloudidentiteitsprovider voor AP6-SSID’s met Enterprise Authentication. Volg het bestaande Entra ID-runbook voor AP6. EAP-TTLS/PAP, controle van servercertificaat en serveridentiteit en de daar beschreven client- en tenantbeperkingen blijven verplicht. Een geslaagde Test connection is slechts de eerste stap: test daarna een echte aanmelding met een goedgekeurde pilotidentiteit en clientprofiel, plus DHCP, DNS en toegestane doelen. De Entra-aankondiging heft beperkingen voor RADIUS VLAN assignment, Accounting of Captive Portal niet op.

De MR10-aankondiging noemt RADIUS-beheer per SSID; de releaseopmerkingen bevestigen expliciet RADIUS-servertoewijzing per SSID in de lokale AP6-interface. Dit is geen algemene garantie dat elke combinatie van verschillende servers of IdP’s zonder conflicten werkt op overlappende frequentiebanden. Leg eerst de server-/IdP-toewijzing en banden van alle Enterprise-SSID’s op de pilot-AP vast. Meld na de wijziging opnieuw aan op elke betrokken SSID en controleer in het RADIUS-log welke server het verzoek verwerkt. Verandert een bestaande toewijzing onverwacht, stop dan en herstel de gedocumenteerde configuratie; sla de bandconflictcontrole in het Entra-runbook niet over.

Controleer bij klassieke RADIUS ook de verwachte VLAN-toewijzing en NAS Identifier. De MR10-aankondiging noemt WIFIX-10111/10166 voor onjuiste VLAN-toewijzingen met WPA2/WPA3 Enterprise en WIFIX-7922 voor het AP-serienummer als NAS Identifier. Voor acceptatie moeten het RADIUS-antwoord, het werkelijke client-VLAN en de NAS-toewijzing op de server overeenkomen. Deze RADIUS-controle is geen test van dynamische VLAN’s bij de Entra-IdP.

Traffic Shaping en WMM

Traffic Shaping voor AP6-SSID’s configureer je in Sophos Fusion onder Advanced settings > Quality of service. Kies een pilot-SSID, sla de bestaande policy op en controleer met een beheerste overdracht de daadwerkelijk ingestelde beperking. Test daarnaast een ongewijzigde bestaande SSID. WIFIX-9535 betreft policies die na enkele dagen niet meer werkten: herhaal de meting daarom na twee tot drie dagen bedrijf voordat je dit geval als geaccepteerd beschouwt. Een korte doorvoertest direct na de upgrade is niet voldoende.

WMM geeft prioriteit aan radioverkeer en staat los van een doorvoerlimiet voor een SSID. Profielbeheer verspreidt WMM-waarden naar een of meer AP6’s. De releaseopmerkingen plaatsen de WMM-EDCA-configuratie op het tabblad Advanced Wireless al bij beheerrelease Central 2026.29 van 20 juli 2026; behandel dit dus niet als een nieuwe MR10-firmwarefunctie. Behoud de WMM-standaardwaarden zolang afwijkende waarden niet in je eigen radio-omgeving zijn gevalideerd. Is een wijziging nodig, gebruik dan eerst een profiel dat uitsluitend aan de pilot-AP is toegewezen en vergelijk spraak of video bij gelijktijdige databelasting met de eerdere situatie. Herstel bij verslechtering de opgeslagen profielwaarden en herhaal dezelfde test.

Aanvullende controles van fixes na de upgrade

De volgende controles gelden alleen voor daadwerkelijk gebruikte functies. Een vermelde fix bewijst niet dat je eigen locatie al foutloos werkt:

• WIFIX-12318: Een goedgekeurde pilotconfiguratiewijziging moet de AP bereiken. Vergelijk Task queue, toegepaste configuratie en effect op clients; alleen een gedeblokkeerde wachtrijstatus is onvoldoende.
• WIFIX-10877: De fix betreft een crash van de SD-daemon met een AP-herstart. Registreer uptime en onverwachte herstarts tijdens de afgesproken observatieperiode. Eén geslaagde herstart na de upgrade bewijst geen langdurige stabiliteit.
• WIFIX-10717: Vergelijk bij gebruik van Walled Garden een toegestaan en een geblokkeerd testdoel; de blokkeerlijst moet de bedoelde blokkade daadwerkelijk afdwingen.
• WIFIX-10142: De fix betreft incidentele onterechte vermogenswaarschuwingen. Controleer nieuwe waarschuwingen toch eerst tegen PoE-klasse, poortbudget en totaalbudget; negeer ze niet omdat er een fix vermeld staat.
• WIFIX-9594: MR10 werkt Dnsmasq bij naar 2.91 om kwetsbaarheden te verhelpen. Verifieer de goedgekeurde firmwareversie en herhaal je DHCP-/DNS-tests. Leid hier zonder aanvullend bewijs geen volledige beveiligingsgoedkeuring voor het apparaat uit af.

Fusion Wireless 2026.41: afzonderlijke beheerrelease

Nieuwere beheerrelease: Fusion 2026.44, gepubliceerd op 12 oktober 2026. De volgende details over 2026.41 blijven als referentie behouden.

De op 11 oktober 2026 gecontroleerde releaseopmerkingen noemen Fusion 2026.41, gepubliceerd op 22 september 2026, als actuele beheerrelease. Dit is een latere versie van het Wireless-beheer en geen AP6-firmwareversie 1.10.41. De nieuwe functies vereisen de juiste licentie; controleer hun zichtbaarheid in je eigen tenant en de firmware van de pilot-AP afzonderlijk. Voor deze beheerrelease noemen de releaseopmerkingen geen nieuwe lokale UI-functies of opgeloste problemen.

In AP-profielbeheer biedt het tabblad Network settings instellingen voor de bekabelde Ethernet-poorten: Spanning Tree Protocol (STP), Internet Group Management Protocol (IGMP) snooping, Link Layer Discovery Protocol Media Endpoint Discovery (LLDP-MED) en, uitsluitend voor AP6 840E, port trunking. Activeer deze opties niet automatisch samen met MR10. Leg eerst het bestaande profiel, toegewezen AP’s en bijbehorende switchpoortconfiguratie vast. Pas een benodigde wijziging alleen op het pilotprofiel toe en controleer daarna beheerbereikbaarheid, Ethernet-link en het betrokken clientpad. Stop bij onverwachte effecten verdere profieltoewijzingen en herstel de gedocumenteerde profiel- en switchwaarden. De aanwezigheid van de optie garandeert geen specifieke trunkingconfiguratie of ondersteuning op een ander AP6-model.

Onder Diagnostics > System logs kun je optioneel advanced diagnostic logging inschakelen. Dit dient gerichte probleemdiagnose en is geen firmware-upgrade. Leg voor een onderzoek tijdstip, AP en gereproduceerd symptoom vast, bewaar de relevante logs en schakel de extra logging na het onderzoek weer uit of herstel de gedocumenteerde vorige toestand. Controleer loggegevens vóór het delen op inloggegevens en persoonsgegevens. Probeer ontbrekende tenantopties niet af te dwingen met een reset of een veronderstelde firmware-downgrade.

Nu, eenmalig of periodiek bijwerken in Central

1. Open My Products > Wireless > Access Points en klik op Firmware upgrade.
2. Selecteer alleen de pilot- of uitrol-AP’s en klik op Choose schedule.
3. Kies een optie:
   • Now: klik op Upgrade om de geselecteerde AP’s onmiddellijk bij te werken.
   • Custom: kies eenmalig datum en tijd en klik op Save.
   • Recurring: kies dagelijks, wekelijks of maandelijks. Upgrades worden automatisch op de geselecteerde AP’s toegepast. Het getoonde standaardplan is wekelijks op dinsdag om 03:00; pas het bewust aan het onderhoudsvenster aan.
4. Ga terug naar de lijst en controleer selectie en pictogram bij Firmware. Voor een geplande AP moet een klok verschijnen.

Annuleer vóór de start via Firmware upgrade, selecteer de AP6 en klik op Cancel schedule. Dit is een veilige stopgrens, geen firmware-downgrade.

Gefaseerde uitrol onder verantwoordelijkheid van Avanet

De engineer registreert begin, einde, geselecteerde AP’s en Central-status per golf; de Avanet Release Owner geeft de volgende ring pas vrij na geslaagde validatie:

1. Pilot: werk één representatieve AP6 bij die niet het enige kritieke apparaat is. Voer alle clienttests uit en observeer gedurende een representatieve periode.
2. Kleine groep: werk een kleine golf van hetzelfde model en een vergelijkbare configuratie bij. Behoud per site voldoende dekking buiten de gelijktijdige golf.
3. Brede uitrol: plan pas meer groepen na een gedocumenteerd pilotsucces. Ga er niet van uit dat mesh, RADIUS of captive portal hetzelfde reageert als een eenvoudige standalone AP.
4. Restgroep: zoek in Central naar blauwe pijl, klok of afwijkende versie. De owner vergelijkt het resultaat met het ledger en documenteert bijwerken of uitstellen.

Vóór een golf is de veilige terugweg: annuleer de planning en laat nog niet bijgewerkte AP’s op hun bestaande versie. Dat is geen verzonnen downgrade.

Een AP6 lokaal bijwerken

De lokale webinterface biedt onder Advanced > Update firmware twee bronnen:

• Auto: de AP6 werkt firmware automatisch bij vanaf Sophos. De pagina toont Current Firmware Version, Server Firmware Version en Status.
• a file on your PC: ga in Central naar My Environment > Installers en klik onder Wireless op Download firmware for your wireless. Pak uit het archief precies het .tar.gz.sig-bestand voor het AP6-model uit. Open lokaal Advanced > Update firmware > a file on your PC > Choose file, selecteer dit bestand, klik op Open en daarna op Update.

De nieuwste firmware vereist ook Central-registratie en een geldig supportabonnement. Lokale upload omzeilt deze vereisten niet. Verwissel modelpakketten niet, wijzig het ondertekende bestand niet en verbreek voeding of netwerk niet.

Succes valideren

Wacht na de herstart tot de AP6 weer online is. Vergelijk in Central de weergegeven Firmware met de goedgekeurde release; een groen vinkje betekent actueel. Controleer lokaal Current Firmware Version, Server Firmware Version en Status.

Verbind een echte testclient en herhaal de tests. Alleen online beheer is onvoldoende: authenticatie, DHCP, gateway, DNS en toegestane doelen moeten werken. Test waar van toepassing specifiek VLAN, RADIUS, captive portal of mesh. De engineer registreert resultaat, model, versies, tijd en afwijkingen; de owner werkt het ledger bij en geeft pas bij alle behaalde criteria de volgende ring vrij.

Veilig problemen oplossen

Geen upgrade aangeboden: controleer registratie, abonnement, onlinestatus en Last activity, daarna blauwe pijl en releaseopmerkingen. Een actuele AP heeft geen taak nodig.

Planning start niet: bevestig de juiste AP en de klok in de firmwarekolom. Open datum, tijd en herhaling opnieuw. Annuleer vóór de start en maak één schone planning in plaats van parallelle afspraken.

Lokale upload geweigerd: download het archief opnieuw en controleer het .tar.gz.sig-bestand voor exact dit model. Hernoem, wijzig of pak het niet verder uit. Noteer model, versie, bestandsnaam, tijd en melding.

AP blijft offline: haal niet snel de stroom eraf en gebruik Factory default niet als eerste stap. Controleer PoE, poort, DHCP-lease en Central-verbinding. Komt de AP terug, valideer firmware en clientpad. Blijft de AP onbereikbaar of meldt de upgrade een fout, dan stopt de owner alle volgende ringen en registreert tijd, model, serienummer, versies, status en controles, waarna de engineer de case bij Sophos Support opent. De handleiding voor AP6-offlinediagnose beschrijft de controles van voeding en beheerverbinding.

Veilige rollbackgrens

Dit AP6-proces heeft geen goedgekeurde firmware-downgrade. Upload niet speculatief een oudere image en beloof geen downgrade. Vóór de start gebruikt de engineer Cancel schedule en blokkeert de owner volgende golven in wijziging en ledger. Loopt de upgrade al, behoud voeding en netwerk, wacht op voltooiing of een duidelijke fout en leg de status vast. De owner kiest daarna tussen herstel van voedings-, netwerk- of configuratievoorwaarden, Support-escalatie en vervanging; de uitrol hervat pas na gedocumenteerd herstel en hernieuwde goedkeuring. Een reset herstelt de vorige firmware niet automatisch.