Sophos Firewall in Failsafe-modus: veilig handelen

Wanneer Sophos Firewall failsafe meldt, moet de situatie als recovery-incident worden behandeld. De openbare SFOS 22-documentatie beschrijft geen algemene diagnoseopdracht die in elke Failsafe-toestand betrouwbaar de oorzaak vaststelt. Dit runbook gebruikt daarom bewust noch show failure-reason, noch een verzonnen vervanging.

Bewaar eerst de weergegeven melding ongewijzigd en beoordeel daarna platform, HA-rol, firmwarebuild en laatste wijziging. Wijzig geen databases, signaturen, regels of systeembestanden handmatig zolang de oorzaak niet is aangetoond.

⚠️ Documenteer vóór een herstart: Een herstart kan de zichtbare fout veranderen. Fotografeer de volledige console inclusief de eerste bootmeldingen en noteer tijdstip, model, serienummer, volledige SFOS-versie met build en bij HA de getroffen Node. Reset to Factory Defaults, Remove Firewall Rules en handmatige database- of bestandssysteemwijzigingen zijn geen veilige eerste diagnose.

De Failsafe-melding veilig vastleggen

1. Gebruik de beschikbare directe console: lokaal of serieel voor hardware, de hypervisorconsole voor een VM. Deze blijft bruikbaar wanneer WebAdmin of het netwerk onbereikbaar is.
2. Fotografeer de melding letterlijk met de direct voorafgaande bootregels. Vervang de echte melding niet door voorbeelduitvoer van internet.
3. Noteer platform en model, serienummer, volledige SFOS-build, tijdstip van uitval en laatst bekende werkende tijd.
4. Leg recente wijzigingen vast, vooral firmware-upgrade, rollback, restore, regels of objecten, VM-resources, virtuele disks, vNICs en opslaggebeurtenissen.
5. Noteer bij HA de getroffen Node, rol, peerstatus en laatste rolwisseling. Start beide Nodes niet tegelijk opnieuw en schakel HA niet op goed geluk uit.

Alleen een onbereikbaar WebAdmin bewijst geen Failsafe-toestand. Als de firewall normaal start en verkeer blijft lopen, maar alleen de interface niet reageert, past eerst de gerichte controle of herstart van de WebAdmin GUI. Een expliciet weergegeven Failsafe-melding wordt wel als start- of recoveryprobleem behandeld.

Gedocumenteerde oorzaken afbakenen

Sophos documenteert meerdere specifieke, maar niet volledige oorzaken voor SFOS 22. De Release Notes van SFOS 22.0 MR2 Build 546 noemen Failsafe door een volle configuratiepartitie (NC-181331), een logging daemon die niet startte op het Primary HA-apparaat (NC-180110), Failsafe op het oorspronkelijke Primary-apparaat na upgrade naar 22.0 GA (NC-177441) en Failed to start Red server service (NC-178906). Deze vermeldingen bewijzen bekende opgeloste defecten, maar vormen geen algemene reparatiematrix.

Komen de waargenomen toestand, het platform of de HA-rol en de versiehistorie precies overeen met een Release Note, vermeld dan Issue ID en geïnstalleerde build in de supportcase. Een gedeeltelijke overeenkomst bewijst niet dezelfde oorzaak en evenmin dat een ongecoördineerde firmwarewijziging de firewall herstelt. Alleen bij NC-178906 citeert Sophos de weergegeven melding letterlijk. Start de firewall normaal en is alleen een RED-tunnel offline, volg dan de RED-probleemoplossing.

Software-appliance

Voor een SFOS 22-software-appliance op eigen hardware geeft Sophos onder meer deze voor het werkende systeem relevante minimumeisen en stelt het uitdrukkelijk dat de firewall naar fail-safe gaat als er niet aan wordt voldaan:

• x86-64-CPU en Legacy BIOS
• minimaal 4 GB RAM
• minimaal 32 GB HDD of SSD; 64 GB wordt aanbevolen
• 2 netwerkkaarten

Documenteer de huidige toestand vóór wijzigingen. Vraag Sophos Support bij een bevestigde afwijking of een ondersteunde resourceaanpassing volstaat of een gecontroleerde reimage nodig is. Improviseer niet met disk- of bootmoduswijzigingen. Platformverschillen en resourcevereisten beschrijft hardware-, virtuele en software-appliances uitgebreider.

Virtuele en hardware-appliance

Leg voor een VM aanwezige en verbonden vNICs, virtuele disks, CPU, RAM, diskcontroller en recente hypervisorwijzigingen vast. Cloud- en hypervisorplatforms hebben eigen ondersteunde eisen; pas de waarden van de software-appliance niet automatisch op elke virtuele deployment toe.

Neem bij hardware terugkerende bootfouten, stroomgebeurtenissen, I/O- of SSD-meldingen, temperatuur en ventilatoren op in de supportcase. Eén geslaagde herstart sluit een defect niet uit. De controles voor temperatuur en ventilatoren, SSD-status en RMA-voorbereiding helpen de case voorbereiden.

Logs en back-up bewaren

Als Advanced Shell nog bereikbaar is, zijn sysinit.log, syslog.log en bij een databasemelding postgres.log relevante officiële troubleshootinglogs. Voeg voor de gedocumenteerde RED-melding ook red.log toe. Dit runbook geeft bewust geen shellopdrachten voor kopiëren, verwijderen of repareren: toegang en beschikbare hulpmiddelen kunnen in een recoverytoestand verschillen.

Maak zodra WebAdmin weer beschikbaar is een Troubleshooting-archief of CTR. De procedure staat in Sophos Firewall-logs bewaren voor support. Logs en archieven kunnen vertrouwelijke netwerk-, gebruikers- en configuratiegegevens bevatten en worden alleen beveiligd aan bevoegde ontvangers overgedragen.

Vóór restore of reimage moeten een passende back-up, het wachtwoord en de bijbehorende Secure Storage Master Key beschikbaar zijn. Sophos Firewall back-up en restore legt deze afhankelijkheden uit.

fsck-on-nextboot alleen met Sophos Support gebruiken

system fsck-on-nextboot is geen algemene gezondheidscontrole. Sophos waarschuwt dat deze alleen op aanbeveling van Sophos Support mag worden gebruikt. De opdracht is bedoeld voor mountfouten van /sig, /conf of /var; als hardware of SSD niet gezond is, kan de controle het bestandssysteem beschadigen.

De gedocumenteerde Device Console-syntax is:

system fsck-on-nextboot [on | off | show]

on dwingt controle van alle partities af bij de volgende herstart, off annuleert deze vóór die herstart en show toont de huidige configuratie; standaard is off. SFOS kan de controle in Failsafe automatisch plannen wanneer de configuratie-, rapport- of signaturendatabase niet start, een migratie niet kan worden toegepast of deployment mode ontbreekt.

Start niet opnieuw alleen omdat on wordt weergegeven. Neem eerst supportadvies, stabiele consoletoegang, voeding, back-up, mogelijke I/O-fouten en bij HA de peerstatus op in hetzelfde onderhoudsplan. Sophos noemt geen vaste duur en geen succesgarantie.

Een veilig recoverypad kiezen

• Software-eis duidelijk onder minimum: Bewaar de huidige toestand en voer in een onderhoudsvenster de door Sophos Support bevestigde aanpassing of reimage uit. Volg de volgende start via de console.
• Melding past bij bekend Release Note-probleem: Bewaar volledige build en Issue ID. Laat Sophos Support het recovery-, upgrade- of rollbackpad bevestigen.
• HA-incident: Bescherm de nog werkende peer. Geen gelijktijdige herstarts of ongeplande rol- of clusterwijzigingen. Zie High Availability op Sophos Firewall.
• Opslag-, database-, regel-, NPU-, I/O- of onbekende fout: Verwijder geen bestanden of configuratie op vermoeden. Escaleer met console, logs en tijdlijn naar Sophos Support.
• Reimage: Alleen gebruiken als Sophos Support of een gedocumenteerd recoveryplan dit rechtvaardigt en alle restorevoorwaarden aanwezig zijn. Zie Sophos Firewall OS opnieuw installeren.

Controleer na elke maatregel niet alleen WebAdmin en login. Verifieer normale consolestart, HA-status, interfaces, routing en vereiste internet- en VPN-verbindingen. Keert de melding terug, voeg tijdstip en ongewijzigde uitvoer toe in plaats van meer spontane wijzigingen uit te voeren.

Naar Sophos Support escaleren

Escaleer een Failsafe-incident zodra de oorzaak niet kan worden beperkt tot een gedocumenteerde, veilig corrigeerbare resourceafwijking. De Sophos Support Case moet minimaal bevatten:

• foto of kopie van alle Failsafe- en bootmeldingen
• model, serienummer, platform en volledige SFOS-build
• uitvaltijd, laatste werkende tijd en wijzigingstijdlijn
• bij HA: Node, rol, peerstatus en laatste rolwisseling
• relevante logs of CTR en opslag-, I/O-, NPU- of stroommeldingen
• beschikbare back-up en status van wachtwoord en SSMK, zonder geheimen in de tickettekst
• reeds uitgevoerde herstarts of wijzigingen en hun resultaat

Als WebAdmin beschikbaar is en Sophos externe toegang vraagt, kan tijdelijke Support access worden ingeschakeld onder Diagnostics > Support access. Deel de gegenereerde Access ID alleen via het afgesproken supportkanaal; de toegang kan altijd weer worden uitgeschakeld.