Sophos Firewall-firmware-update: voorbereiding en best practices

Een Sophos Firewall-firmware-update mag pas worden goedgekeurd wanneer upgradepad, back-up, toegang, systeemstatus, HA en herstelpad duidelijk zijn. Een Sophos Firewall-firmware-update uitvoeren beschrijft de installatie in WebAdmin of via Sophos Fusion (voorheen Sophos Central).

⚠️ Voor elke update: Een actuele back-up, de bijbehorende Secure Storage Master Key en een concreet rollbackplan moeten beschikbaar zijn. Voer voor SFOS 22 of hoger ook de SFOS 22-upgradecheck uit.

Goedkeuring in tien punten

Een firmwarechange is gereed wanneer alle tien punten met ja kunnen worden beantwoord:

1. De huidige versie, doelversie en het ondersteunde upgradepad zijn gedocumenteerd.
2. De release notes en known issues zijn gecontroleerd voor het gebruikte platform en de configuratie.
3. De licentie en het supportrecht staan de installatie toe.
4. Een recente back-up, het back-upwachtwoord en de bijbehorende Secure Storage Master Key zijn beschikbaar.
5. Vrije opslag, systeemstatus en, bij de betreffende XGS Appliance-modellen, de SSD-firmware voldoen aan de vereisten.
6. HA-status, rollen en synchronisatie zijn in orde; beide nodes voldoen aan de vereisten.
7. Onderhoudsvenster, verantwoordelijken, uiterste afbreektijd en rollbackcriteria zijn vastgelegd.
8. Lokale of alternatieve beheerstoegang is voorbereid.
9. Tests voor WAN, VPN, DNS, NAT, WAF, authenticatie en centrale applicaties zijn gedefinieerd.
10. Monitoring, communicatie en changedocumentatie zijn voorbereid.

Ontbreekt een van deze punten, start de update dan niet onder tijdsdruk. Een onderhoudsvenster uitstellen is goedkoper dan een ongeplande reimage of interventie op locatie.

Versie, platform en rechten controleren

Een vast beheerproces controleert minstens eenmaal per maand in Sophos Fusion of onder Backup & Firmware > Firmware of er een update beschikbaar is. Nieuwe release notes en aangekondigde maintenance releases worden daarnaast actief gevolgd. Elke MR hoort in de updateplanning, omdat ook een zuivere maintenance release belangrijke beveiligingscorrecties kan bevatten. Installatie, tests en rollback blijven gecontroleerd binnen een onderhoudsvenster plaatsvinden.

Release notes en upgradepad

Vergelijk vóór de change de huidige SFOS-versie, de doelversie en het ondersteunde pad in de release notes. Controleer ook de bekende problemen voor platform, HA, VPN, routing, authenticatie en de functies die daadwerkelijk worden gebruikt.

Sophos Firewall kan een waarschuwing tonen voor een niet-ondersteund migratiepad. Als de wissel toch wordt bevestigd, kan de firewall met Factory Configuration starten en de bestaande configuratie verliezen. Automatische rollback beschermt niet bij een niet-ondersteund upgradepad. Gebruik alleen een goedgekeurd pad; voor een incompatibele versiewissel is een reimage met aansluitend herstel de juiste methode.

⚠️ Platformgrens: SFOS 21.0 GA en latere versies ondersteunen geen XG- en SG-hardware-appliances. Voor deze apparaten moet vóór de upgrade een migratie naar XGS Appliance worden gepland.

De SFOS 22-upgradecheck documenteert de bronversies voor een directe upgrade en de interpretatie van blockers voor SFOS 22.0 MR2 Build 546. Deze matrix is specifiek voor die build en geen universeel SFOS 22-upgradepad; controleer voor elke andere doelbuild vlak voor de change de ondersteunde bronversies en toepasselijke blockers in de actuele release notes.

Sluit twee harde SFOS 22-blockers expliciet uit:

• SFOS 22.0 MR1 en hoger: Achtergebleven legacy-configuratie voor Remote Access IPsec blokkeert de upgrade. Los deze op volgens de actuele migratie-instructies van Sophos; alleen uitschakelen is niet voldoende.
• SFOS 22.0 MR2 en hoger: Legacy VLAN-tagging die via de CLI op bridge-interfaces is geconfigureerd, blokkeert de upgrade. Identificeer de betrokken bridges en los deze configuratie eerst op volgens de release notes.

De aparte upgradecheck behandelt de overige SFOS 22-onderwerpen, waaronder opslag, interfacenamen, STAS, SSD-firmware en platformondersteuning. Voor andere doelversies zijn de actuele release notes bepalend.

⚠️ Vóór de eerste upgrade naar SFOS 21 of nieuwer: Zoek onder Certificates > Certificate authorities naar de gereserveerde Let’s Encrypt-CA-namen. Een bestaande vermelding met exact dezelfde naam kan de migratie door NC-146082 afbreken. Verwijder de CA niet zonder controle; stel eerst de back-up, privésleutel, afhankelijke certificaten en diensten veilig en controleer ze.

Licentie en support

Vanaf SFOS 19.0 MR1 zijn zonder Enhanced Support of Enhanced Plus Support drie gratis wissels naar GA-, MR- of EAP-versies toegestaan. Daarna kan de firmware nog wel worden gedownload, maar niet worden geïnstalleerd; Install is uitgeschakeld.

Pattern Updates, hotfixes, reimages, Mandatory Firmware Upgrades en Assistant Firmware Upgrades vallen niet onder deze supportregel. Controleer vóór het onderhoudsvenster toch dat:

• Administration > Licensing de verwachte licentie en het supportrecht toont.
• Sophos Fusion de juiste firewall en het juiste serienummer toont.
• De doelversie en download beschikbaar zijn.
• Supporttoegang, contactpersonen en escalatiepad bekend zijn.

Als externe toegang nodig is voor de change, test deze dan vooraf. Voor Avanet, zie Supporttoegang tot Sophos Firewall instellen.

Automatische hotfixes afzonderlijk controleren

Hotfixes zijn geen firmwareslot en geen Pattern Update. SFOS 22 controleert elke 30 minuten op beschikbare hotfixes en installeert ze standaard automatisch. Sophos raadt aan deze instelling niet te wijzigen. Lees de status in Device Console voor en na een firmwarewijziging:

system hotfix show

Voor SFOS 22 beschrijft Sophos dat reeds geïnstalleerde hotfixes ook na een firmware-upgrade behouden blijven. De versiegebonden lijst in SFOS 23 wordt daarentegen na elke versiewissel opnieuw beoordeeld, zoals in de volgende sectie wordt uitgelegd. Als de controle laat zien dat automatische installatie is uitgeschakeld, bepaal dan eerst wie dit heeft gedaan en waarom. Schakel de functie zonder gedocumenteerde uitzondering weer in:

system hotfix enable

system hotfix disable schakelt alleen de automatische installatie uit en is geen algemene troubleshootingstap. Een ingeschakelde status bewijst evenmin dat een specifieke hotfix al is toegepast of dat het downloadpad werkt. Controleer bij een concrete fout ook de build, tijd, internettoegang, logs en de foutreferentie van Sophos.

SFOS 23: toegepaste beveiligingsupdates aantonen

In SFOS 23 toont Backup & firmware > Hotfix: Security updates welke hotfix-beveiligingsupdates sinds de overstap naar de momenteel actieve SFOS-versie zijn toegepast. Hotfixes corrigeren het actieve systeem zonder firmware-upgrade en mogen niet worden verward met de lijst met beschikbare firmware-images. Automatische hotfix-installatie moet ingeschakeld zijn; dit is standaard het geval. system hotfix show controleert deze instelling, maar toont niet aan dat een specifieke beveiligingscorrectie is toegepast.

Voor de changedocumentatie vóór en na de firmwarewissel:

1. Documenteer de actieve SFOS-versie inclusief build en het controletijdstip en open de pagina Hotfix: Security updates.
2. Sorteer de vermeldingen op toepassingsdatum en leg de updates vast die bij het onderzochte probleem horen. De kolom Advisory verwijst bij openbaar beschreven kwetsbaarheden naar het bijbehorende beveiligingsadvies. Interne correcties kunnen zonder CVE-ID en zonder Advisory-link worden weergegeven.
3. Neem bij HA beide apparaten mee in de nacontrole: de huidige Primary ontvangt de hotfix, synchroniseert met de Auxiliary en daar wordt de hotfix eveneens toegepast. Een geslaagde controle op één apparaat vervangt niet het bewijs voor het cluster.

Een kwetsbaarheid kan meerdere keren worden weergegeven, omdat meerdere hotfixes nodig kunnen zijn om deze volledig te verhelpen. Eén overeenkomende vermelding is daarom geen algemeen bewijs van volledige bescherming. Voor een specifieke beveiligingscorrectie moeten de vereisten van het bijbehorende beveiligingsadvies worden vergeleken met de actieve build en de daadwerkelijk toegepaste updates.

Meldingen en logs: Schakel onder System services > Notification list in het gedeelte Firmware bij Security updates de optie Email in. Voor deze updates zijn geen SNMP-meldingen beschikbaar. Hotfix-beveiligingsupdates verschijnen ook in Log viewer; de bijbehorende Audit Logs worden gegenereerd en doorgestuurd naar Sophos Fusion voor Central Firewall Reporting. Deze uitspraken over meldingen en logs gelden voor hotfix-beveiligingsupdates, niet zonder meer voor elke hotfix-correctie. Alleen het ontbreken van een e-mail bewijst daarom noch succes noch mislukking.

Na een versiewissel: SFOS installeert eerst de nieuwe firmware en past vervolgens de hotfixes toe die voor deze versie beschikbaar zijn. De vorige hotfix-lijst wordt verwijderd en vervangen door de lijst van de nieuwe versie; het is geen versieoverstijgend archief. Dezelfde correctie kan opnieuw worden weergegeven, omdat deze afzonderlijk op de nieuwe versie is toegepast. Als eerdere correcties al in de nieuwe firmware zijn opgenomen, kunnen ze als afzonderlijke hotfix-vermeldingen ontbreken.

Een lege lijst betekent alleen dat voor de huidige versie nog geen hotfix-beveiligingsupdates zijn toegepast en weergegeven. Ze bewijst niet dat bescherming ontbreekt, dat het systeem volledig beveiligd is of dat automatische installatie werkt. Controleer bij onduidelijkheid de actieve versie en build, de CLI-instelling, het beveiligingsadvies, de release notes en de logs in samenhang; schakel niet uit voorzorg automatische installatie uit en besluit niet tot een rollback op basis van een lege pagina.

Back-up, recovery en documentatie voorbereiden

Back-up, SSMK en firmwareslots

Download vóór de update een recente configuratieback-up en controleer welke Secure Storage Master Key erbij hoort. Leg ook het back-upwachtwoord, de beheerderstoegang, de actieve firmwareversie en de doelversie vast in de change.

Sophos Firewall bewaart maximaal twee firmwareversies: één actieve en één inactieve. Elke partitie heeft een eigen configuratiestatus. Een rollback activeert daarom niet alleen de vorige firmware, maar ook de bijbehorende configuratie. Wijzigingen die na de upgrade zijn uitgevoerd, kunnen bij het teruggaan verloren gaan.

Automatische rollback is vanaf SFOS 20.0 beschikbaar voor bepaalde fouten bij configuratiemigratie. Het is een veiligheidsfunctie, maar vervangt geen back-up of oorzaakanalyse en is niet beschikbaar bij een niet-ondersteund upgradepad.

Het volledige proces staat in Een back-up van Sophos Firewall maken of herstellen. Als een normale versiewissel niet mogelijk is, zie Sophos Firewall OS opnieuw installeren met een USB-stick.

Rollbackcriteria vooraf vastleggen

Bepaal vóór de start hoelang een fout wordt onderzocht en wanneer het herstel begint. Een rollback is zinvol als WAN, HA, centrale VPN’s of productie-kritieke publicaties niet binnen de afgesproken tijd kunnen worden gestabiliseerd. Bij één regel, object of externe dienst is gerichte troubleshooting vaak beter.

Voor een normale Maintenance Release volstaan een back-up, screenshot van de firmwarepagina, onderhoudsvenster en testresultaat als bewijs. Bij grotere changes helpt Sophos Firewall Config Studio configuraties te vergelijken en registreert de Audit Trail wijzigingen tijdens het onderhoudsvenster.

Systeemstatus, opslag en HA controleren

Opslag en SSD

Controleer vóór een grotere upgrade in WebAdmin dat:

• Control center geen onopgeloste kritieke waarschuwingen toont.
• Backup & Firmware > Firmware de verwachte firmwareslots toont.
• Diagnostics > Log viewer geen terugkerende systeem- of migratiefouten bevat.
• Relevante services stabiel draaien.
• Firewall Health Check geen open punten bevat die de change beïnvloeden.

Open na aanmelding via SSH Device Management > Advanced Shell en controleer de vrije opslagruimte:

df -kh

Verwijder bij een bijna volle partitie niet blind bestanden, logs of reports in Advanced Shell. Bepaal eerst de oorzaak en gebruik de gedocumenteerde opschoonmethode. Zie Opslagruimte van Sophos Firewall controleren en reports beheren.

SFOS 22 kan extra opslagruimte vereisen. Bij bepaalde XGS Appliance-modellen moet bovendien eerst de SSD-firmware worden bijgewerkt; WebAdmin toont een melding als dit nodig is. In een HA-cluster wordt elke node afzonderlijk beoordeeld. Als één appliance niet aan de vereisten voldoet, kan deze de volledige upgrade blokkeren.

Controleer bij oudere appliances of problemen met I/O, database of reports ook de SSD-status met SMART. Zonder concrete bevinding zijn handmatige wijzigingen aan databases of bestandssystemen geen zinvolle voorbereiding.

Sophos noemt een herstart vóór de upgrade alleen als optionele mogelijkheid om de geheugencache te legen. Het is geen vereiste en veroorzaakt een extra onderbreking. Herstart daarom alleen binnen het onderhoudsvenster, nadat relevante logs zijn opgeslagen en het herstelpad voor beheertoegang is bevestigd. Als de firewall onverklaarde instabiliteit vertoont, moet de upgrade worden gestopt; een herstart mag oorzaakanalyse niet vervangen of het systeem slechts tijdelijk gezond laten lijken.

HA-cluster

HA hoeft voor een normale firmware-update niet te worden uitgeschakeld. Vóór goedkeuring moeten beide appliances echter verbonden en gesynchroniseerd zijn en duidelijk als Primary en Auxiliary herkenbaar zijn. Ook een HA-update vereist een onderhoudsvenster, omdat failover afzonderlijke sessies, VPN-tunnels of pings kort kan onderbreken.

Documenteer vóór de start:

• Rollen, HA-status en synchronisatie.
• Status van de HA-link.
• Firmware-, opslag- en SSD-vereisten van beide nodes.
• Alternatieve beheerstoegang.
• Verwachte failover en mogelijke korte onderbrekingen.

Werk de Auxiliary-appliance niet afzonderlijk bij. Het uitvoeringsartikel beschrijft de exacte volgorde van Auxiliary-update, failover en update van de eerdere Primary. Andere HA-situaties staan in Sophos Firewall HA-cluster: varianten en onderhoud.

Pattern Updates worden op de Primary geïnstalleerd en daarna naar de Auxiliary gesynchroniseerd. Hotfixes en hun status moeten afzonderlijk worden beoordeeld en na het onderhoudsvenster op beide apparaten worden gecontroleerd.

Onderhoudsvenster, Central en tests plannen

Onderhoudsvenster en toegang

Een onderhoudsvenster omvat meer dan alleen het installatietijdstip:

• Starttijd, uiterste afbreektijd en rollbackbesluit.
• Verantwoordelijken voor firewall, netwerk, servers, applicaties en support.
• Lokaal contact, out-of-band-toegang of een tweede beheerpad.
• Communicatiekanaal als WAN of Remote Access uitvalt.
• Onderhoudsmodus voor monitoring en alarmering.
• Testvolgorde voor de belangrijkste bedrijfsprocessen.

Vertrouw bij externe locaties niet uitsluitend op Sophos Fusion of de bestaande VPN-verbinding. Als precies dat pad tijdens de update uitvalt, moet een gedefinieerde toegang of escalatieroute beschikbaar blijven.

Firmware plannen via Sophos Fusion

Door Central beheerde firmware-upgrades worden voorbereid en bewaakt onder My Products > Firewall Management > Firewalls. De Task Queue is bedoeld voor groepsbeleid en MDR/API-configuratietaken en toont geen firmware-upgrades.

Via Central kunnen alleen doelversies worden geïnstalleerd die de fase Available to all van het releaseproces hebben bereikt. Geplande updates starten volgens de tijdzone die op de firewall is ingesteld, niet volgens de browsertijd van de beheerder. Leg voor internationale locaties tijdzone, lokaal onderhoudsvenster en doelversie vast in de change.

Tijdens de upgrade draait een statusicoon naast de firewall; na voltooiing verdwijnt het. Controleer daarna toch lokaal de actieve firmwareversie. Bij een automatische rollback toont Central een bijbehorende melding naast de firmwareversie.

Terugkerende maintenance-updates instellen

Met Recurring Firmware Upgrade kun je een terugkerend onderhoudsvenster voor het Sophos Fusion-account instellen. Het plan geldt voor alle firewalls in het account; zodra geschikte firmware beschikbaar is, worden apparaten die daarvoor in aanmerking komen volgens dit plan bijgewerkt. De functie moet bewust worden ingeschakeld en garandeert niet dat elke firewall op elk gepland moment een nieuwe versie ontvangt. Een back-up, een ondersteund upgradepad, supportrechten en de overige goedkeuringspunten in dit artikel blijven vereist.

1. Open onder My Products > Firewall Management > Firewalls Recurring Firmware Upgrade en schakel Schedule maintenance updates in.
2. Kies Weekly (Default) voor een wekelijkse planning en stel de weekdag en het tijdstip in. Kies voor Monthly eerst 1st, 2nd, 3rd, 4th of Last als week in de maand en daarna de weekdag en het tijdstip. Dit is geen vrij te kiezen kalenderdatum.
3. Selecteer onder Staging firewalls geschikte pilotfirewalls. Je kunt meerdere apparaten selecteren; de volgende sectie legt de keuze en de beperkingen uit.
4. Schakel Schedule major version updates alleen in na een expliciet besluit om upgrades naar een nieuwe hoofdversie te automatiseren. Zonder deze optie blijft het plan beperkt tot maintenance-updates binnen de huidige hoofdversie. Met deze optie gelden dezelfde planning en hetzelfde stagingproces ook voor hoofdversies die in aanmerking komen. Nieuwe functies en architectuurwijzigingen vereisen nog steeds een afzonderlijke compatibiliteitscontrole.
5. Controleer de instellingen met Review en corrigeer ze indien nodig. Pas Confirm bevestigt het plan.
6. Open daarna het pictogram Scheduled naast elke betrokken firewall en controleer het daadwerkelijk geplande tijdstip. Leg doelversie, locatie, firewalltijdzone en lokaal onderhoudsvenster vast in de change.

Een mogelijk maandelijks venster is Monthly, 2nd, zondag, 02:00. Dit voorbeeld betekent de tweede zondag van de maand om 02:00 in de tijdzone van elke firewall. Het is geen aanbeveling voor alle locaties: het venster moet aansluiten op bedrijfstijden, de back-uprun, bereikbare verantwoordelijken en de tests daarna. Locaties in verschillende tijdzones starten niet tegelijkertijd. Controleer daarom vóór bevestiging de tijdzone van elke firewall en de weergegeven planning.

Voor HA-paren plant Sophos Fusion de upgradetaak op de Primary. De Auxiliary wordt automatisch bijgewerkt via het bestaande HA-upgradeproces en krijgt geen afzonderlijke handmatige taak. De HA-controles en mogelijke onderbrekingen uit de sectie HA-cluster gelden ook bij terugkerende planning. Noch het starttijdstip noch een statuspictogram dat succes aangeeft, garandeert een vaste eindtijd of ononderbroken werking; het onderhoudsvenster moet ook ruimte bieden voor validatie en zo nodig rollback.

Staging is een technische controle, geen applicatieacceptatie

Stagingfirewalls ontvangen de firmware als eerste. Als de dienst de upgrade als geslaagd beoordeelt, worden de overige firewalls volgens de planning bijgewerkt. Bij een mislukte stagingupgrade stopt de uitrol en keren de betrokken firewalls terug naar de vorige firmware. De oorzaak moet zijn verholpen voordat de planning wordt hervat. Het bestaande back-up- en herstelplan blijft nodig: uit dit mechanisme van de dienst mag je geen gegarandeerd herstelpad voor elke denkbare fout afleiden.

Geschikte pilots vertegenwoordigen de gebruikte functies en platforms, en hun uitval moet beheersbaar zijn. Een locatie met alleen internettoegang test bijvoorbeeld niet automatisch de WAF- of VPN-configuratie van andere locaties. Zonder geselecteerde stagingfirewalls worden alle firewalls die in aanmerking komen direct volgens de planning bijgewerkt; er is dan geen voorafgaande pilotfase.

⚠️ Geen handmatige acceptatiestap: Geslaagde staging volgens de dienst bewijst niet dat DNS, VPN, gepubliceerde services of bedrijfsapplicaties werken. De hieronder beschreven functietests blijven vereist. Voor deze procedure is hier geen handmatige goedkeuringsstap tussen geslaagde staging en de overige uitrol onderbouwd. Als eerst functionele pilotacceptatie nodig is, mag je er niet op vertrouwen dat de dienst daarop wacht; schakel automatische planning pas in wanneer de gekozen procedure aan deze eis voldoet.

Afzonderlijke momenten wijzigen of overslaan, of staging aanpassen

Zonder terugkerend plan stel je een afzonderlijke update in via het blauwe pijlpictogram naast de firewall en Schedule upgrade: kies de doelversie, selecteer Immediately of At, stel bij At datum en tijd in en bevestig met Schedule upgrade. Zodra er een terugkerend plan bestaat, gebruik je voor afzonderlijke firewalls de volgende acties. Deze wijzigen het terugkerende plan van de andere firewalls niet.

• Override schedule: Open het pictogram Schedule naast de firewall en kies Override schedule. Selecteer in het venster Firmware upgrades de doelversie en Immediately of At. Stel bij At via het kalenderpictogram datum en tijd in; bevestig met Override schedule. Immediately start de taak zonder later gepland tijdstip en hoort daarom alleen binnen een al goedgekeurd onderhoudsvenster. Controleer de gekozen versie via het pictogram Release notes; als je de aanwijzer op het pictogram Clock houdt, worden datum, tijd en lokale firewalltijd van het huidige plan weergegeven. Controleer de weergegeven planning opnieuw na de wijziging.
• Skip occurrence: Open het pictogram Schedule en kies Skip occurrence als alleen de eerstvolgende geplande update voor deze firewall moet worden overgeslagen. De taak schuift door naar de volgende herhaling. Bij een wekelijkse planning op vrijdag betekent dit de volgende vrijdag, niet een permanente uitzondering. Controleer het nieuwe tijdstip en vergelijk het opnieuw met het onderhoudsvenster.
• Remove from upgrade staging: Open via het pictogram Schedule de actie Remove from upgrade staging. Deselecteer in het venster Recurring Firmware Upgrade Schedule de betreffende firewall onder Staging firewalls en voer daarna Review en Confirm uit. Hiermee vervalt de pilotrol, niet de deelname aan de algemene firmwareplanning. Controleer daarna de resterende stagingselectie en de planning van de firewall. Om het apparaat weer pilot te maken, selecteer je het opnieuw in de stagingselectie van het terugkerende plan en bevestig je het plan met Review en Confirm.

Ontbreekt een doelversie, controleer dan eerst de fase Available to all; omzeil dit niet met een ongeplande lokale upload. Als de planning niet overeenkomt met de change, vergelijk dan eerst de firewalltijdzone met de lokale tijd die Clock weergeeft. Controleer na een stagingfout de actieve firmware, rollbackmelding en logs, los de oorzaak op en voer de echte functietests uit voordat verdere updates worden goedgekeurd. Een planningswijziging of verwijdering uit staging maakt een al uitgevoerde firmware-update niet ongedaan; daarvoor gelden de hierboven beschreven rollback- en herstelprocedures.

Echte functietests

Alleen een ping bewijst niet dat de firewall na de update correct werkt. Definieer vooraf concrete tests met bron, bestemming en verwacht resultaat:

• Internettoegang en DNS-resolutie.
• DHCP, VLAN’s, WAN-uplinks en SD-WAN-routes.
• Site-to-Site VPN, Remote Access VPN en RED.
• Firewallregels, NAT en gepubliceerde services.
• WAF, Web Protection en TLS Inspection.
• LDAP, RADIUS, Microsoft Entra ID en andere centrale authenticatie.
• Mailflow en bedrijfskritieke applicaties.
• Syslog, SIEM en monitoring.

Na de update valideren

Controleer na de herstart eerst de actieve versie en het verwachte inactieve slot onder Backup & Firmware > Firmware. Daarna:

• Controleer Control center op nieuwe waarschuwingen of een automatische rollback.
• Verifieer interfaces, WAN, SD-WAN, HA-rollen en synchronisatie.
• Valideer VPN’s, RED, DNS, DHCP, regels, NAT, WAF en authenticatie met de voorbereide tests.
• Controleer de status van patterns en hotfixes.
• Controleer Sophos Fusion-synchronisatie, monitoring, syslog en SIEM.
• Leg resultaat, tijden, afwijkingen en eventuele vervolgacties vast in de change.

Als één functie uitvalt, gebruik dan eerst Log Viewer, Policy Test, Packet Capture en de relevante servicelogs. Zie Een firewallregel testen met Log Viewer, Policy Test en Packet Capture en Sophos Firewall-troubleshooting: services en logs.

FAQ