De SSD-gezondheid van Sophos Firewall met SMART controleren

Een SMART-waarde kan nuttig zijn bij hardwarediagnostiek. Op fysieke XGS Appliances waarvan de interne SSD als /dev/sda is gekoppeld, geeft een uitlezende smartctl-opdracht het endurance-item weer. Voor SFOS 22.0 documenteert Sophos echter geen algemene beheerdersopdracht, geen vast schijfpad en geen slijtagegrens die voor alle modellen geldt. Controleer daarom eerst de appliance, node en het apparaatpad en beschouw de waarde als diagnostische aanwijzing, niet als enige basis voor een vervangingsbesluit.

De veilige aanpak begint in WebAdmin: controleer het gebruik en het systeemgedrag, genereer een Consolidated troubleshooting report (CTR) en betrek Sophos Support bij een vermoeden van een hardwareprobleem. De hieronder beschreven opdracht leest bestaande SMART-data uit en start geen self-test. Andere apparaatpaden, SMART-tests of reparatieopdrachten horen alleen thuis in een concrete supportcase.

⚠️ Belangrijk: De Advanced Shell biedt directe systeemtoegang. Probeer geen apparaatpaden uit, start geen SMART-self-tests, wijzig geen partities, verwijder geen bestanden handmatig en vervang SSD’s niet zelf. Zelfs system fsck-on-nextboot in de Device Console mag alleen op advies van Sophos Support worden gebruikt: de opdracht helpt bij mountfouten van /sig, /conf of /var, dwingt bij de volgende herstart een bestandssysteemcontrole van alle partities af en kan bij ongezonde hardware of een ongezonde SSD het bestandssysteem beschadigen. on, off en show activeren, deactiveren of tonen de status; de standaardwaarde is off. In de failsafe-modus kan SFOS de controle automatisch inschakelen, bijvoorbeeld wanneer de configuratie-, rapportage- of handtekeningendatabase niet start, een migratie niet kan worden toegepast of de deploymentmodus ontbreekt. De veilige procedure staat in Sophos Firewall Failsafe Mode diagnosticeren.

Veilige diagnoseprocedure

1. Ga in WebAdmin naar Diagnostics > System graphs, kies Disk usage als grafiek en selecteer een periode die het begin van de storing omvat.
2. Controleer of tegelijkertijd rapporten, logs, quarantaine, WebAdmin of services afwijkingen vertonen. De weergave van Disk usage toont gebruikte opslagruimte, niet SSD-slijtage of SMART-gezondheid.
3. Controleer vóór een firmware-upgrade bovendien de aanwijzingen en meldingen van de firewall. SFOS 22.0 kan voor bepaalde XGS Appliance-modellen een vereiste SSD-firmware-update melden; in HA wordt elke node afzonderlijk op de upgradevereisten gecontroleerd.
4. Kies onder Diagnostics > Tools bij Consolidated troubleshooting report de opties System snapshot en All log files, voer de reden voor de diagnose in en selecteer Generate en vervolgens Download. Voor de System snapshot is de debugmodus niet nodig.
5. Open bij I/O-, bestandssysteem-, opstart- of terugkerende databasefouten een Sophos Support-case en lever de CTR, het tijdstip, de symptomen en de apparaatgegevens aan. Support beslist over aanvullende shell-/SMART-diagnostiek en een mogelijke RMA.

Bij een zuiver opslagcapaciteitsprobleem helpt Sophos Firewall-opslag controleren en rapporten beheren. Central Firewall Reporting kan de afhankelijkheid van lokale rapportgegevens verminderen. Een Sophos Firewall Health Check beoordeelt daarentegen configuratierisico’s en vervangt geen hardwarediagnose.

Wat de zichtbare signalen betekenen

Disk usage is capaciteit, geen slijtage

Onder Diagnostics > System graphs > Disk usage toont de X-as afhankelijk van de periode minuten, uren, dagen of maanden en de Y-as het bezettingspercentage. De legenda maakt onderscheid tussen handtekeningen (oranje), configuratiebestanden (paars), rapporten (groen) en tijdelijke opslag (blauw). Een hoge waarde kan rapporten en services beïnvloeden, maar bewijst geen SSD-defect. Omgekeerd zegt vrije capaciteit niets over hardwarefouten of de resterende schrijflevensduur. De grafiek bevat geen SMART-attributen of slijtagegrenzen.

Een SSD-firmwaremelding is geen SMART-bevinding

Voor een deel van de XGS Appliance-modellen kan voorafgaand aan een upgrade naar SFOS 22.0 of nieuwer een SSD-firmware-update verplicht zijn om de betrouwbaarheid te verbeteren. Als actie nodig is, verschijnt er een melding. Dit is een modelgebonden upgradevereiste en geen gemeten endurancewaarde of automatisch bewijs van een defect.

Controleer daarom vóór een upgrade een actuele back-up, beschikbare opslagruimte, het ondersteunde upgradepad, de release notes en een onderhoudsvenster. Bij HA moeten beide nodes bereikbaar, gezond, gesynchroniseerd en afzonderlijk geschikt zijn voor de upgradevereisten; voldoet één node niet aan de voorwaarden, dan kan dit de upgrade blokkeren. Start de upgrade uitsluitend vanaf het Primary Device.

SMART-uitvoer is modelafhankelijke diagnostische data

SMART-attributen, apparaatnamen en hun betekenis kunnen per SSD, controller, appliance en firmware verschillen.

Endurance uitlezen op een XGS Appliance met /dev/sda

Meld je via SSH bij de firewall aan, open de Advanced Shell en bevestig dat je op de juiste appliance of de juiste HA-node werkt. Avanet heeft de opdracht uitgevoerd op een XGS 3100 met SFOS 21.5.1 MR-1 Build 261. Als de interne SSD daar als /dev/sda is gekoppeld, leest deze opdracht de volledige SMART-data uit en toont alleen regels met Endurance:

smartctl -x /dev/sda | grep Endurance

In het Avanet-voorbeeld meldt de SSD de ruwe waarde 1 voor Percentage Used Endurance Indicator. Op deze schijf staat een lage waarde voor weinig verbruikte schrijflevensduur. Pas deze schaal echter niet zonder controle toe op andere SSD’s: de attribuutnaam, normalisatie en ruwe waarde kunnen per fabrikant en model anders zijn ingevuld. Een waarde van 80 is daarom geen universele Sophos-RMA-grens. Documenteer het verloop en neem symptomen, I/O-fouten en de modelspecifieke beoordeling mee.

De opdracht en de modelafhankelijke interpretatie ervan zijn al publiekelijk in de praktijk besproken, omdat ze niet in de Sophos Firewall Help zijn gedocumenteerd: De levensduur van de Sophos XGS-SSD controleren op Administrator.de. Het artikel adviseert bij een waarde boven 80 een snelle vervanging; Avanet neemt deze communitywaarde bewust niet over als universele Sophos-RMA-grens. De bovenstaande schermafbeelding is afkomstig van een Avanet-appliance en niet uit dit artikel.

Een SSD kan uitvallen zonder voorafgaande SFOS-waarschuwing. HA beschermt het dataverkeer, maar niet automatisch alle lokaal opgeslagen gegevens: logs, Mail Queue en quarantaine kunnen op de uitgevallen node worden getroffen; Mail Queue en quarantaine worden niet tussen HA-nodes gesynchroniseerd. Centrale rapporten, actuele back-ups en een gedocumenteerde herstelprocedure verminderen het risico, maar vervangen SSD-monitoring niet.

Als er geen regel verschijnt, ontbreekt er een geschikt Endurance-attribuut, klopt het bevestigde apparaatpad niet voor deze appliance of kan smartctl de SSD via de aanwezige controller niet op deze manier uitlezen. Lege uitvoer bewijst noch een goede gezondheid, noch een defect. Probeer niet zelf andere apparaatnamen of een SMART-self-test uit.

Voor de verdere beoordeling geldt:

• Gebruik /dev/sda alleen als dit pad voor de concrete appliance is bevestigd; raad geen NVMe- of RAID-paden.
• Leid uit attribuutnamen zoals Endurance, Percentage Used of Wear geen algemene grenswaarde af.
• Beschouw één waarde of het verschil tussen twee HA-nodes niet als vervangingsbesluit.
• Beoordeel ontbrekende SMART-uitvoer niet als gezond of defect.

Bij HA wordt de bevestigde opdracht afzonderlijk op beide nodes uitgevoerd, omdat elke node een eigen SSD heeft. Bewaar uitvoer, datum, tijdzone, SFOS-versie en noderol samen. Zodra symptomen, hoge of snel stijgende waarden of onduidelijke attributen optreden, voeg je ook het casenummer en de beoordeling door Sophos Support toe.

Bevinding documenteren en valideren

Een korte, consistente historie helpt meer dan één losse waarde:

• Datum en tijd met tijdzone: bijvoorbeeld 2026-09-05 10:30 CEST
• Appliance en locatie: bijvoorbeeld XGS 2100 – HQ
• Serienummer en bij HA de rol: Primary of Auxiliary
• SFOS-versie en build
• Symptoom: opslagwaarschuwing, I/O-fout, opstartfout, rapportage- of databaseprobleem
• Periode van Disk usage en opvallende verandering
• CTR-bestand en nummer van de supportcase
• SMART-praktijkopdracht: bevestigd apparaatpad, exacte opdracht en ongewijzigde uitvoer

De diagnose is niet afgerond met alleen een normale grafiek of één SMART-waarde. Controleer ter validatie of de opslagbezetting en getroffen functies na de veilige maatregel stabiel blijven en of de fouten tijdens de afgesproken observatieperiode terugkeren. Bij virtuele firewalls horen schijfstatus, datastore, I/O-latency en fouten primair thuis in de monitoring van de hypervisor en het opslagplatform.

Bij een vermoeden van temperatuur- of ventilatorproblemen helpt Temperatuur en ventilator via SSH controleren; de status en het verloop van ondersteunde hardwaresensoren kunnen worden aangevuld met SNMP Hardware Monitoring. Geen van deze controles vervangt de SSD-diagnose door Sophos.

Als de appliance instabiel of onbereikbaar is

Voer niet op goed geluk herstart-, bestandssysteem- of reparatieopdrachten uit. Documenteer het laatste moment waarop alles werkte, wijzigingen vóór de storing, de LED-status en de bereikbaarheid via HTTPS, SSH en de seriële console. Test bij volledige stroomuitval eerst een ander stopcontact en een andere stroomkabel; controleer bij appliances met dubbele PSU de tweede ingang en bij modellen die daarvoor zijn ontworpen een andere hot-swapvoeding. Een foto of video van het LED- en opstartgedrag versnelt de RMA-controle.

Controleer bij een appliance die niet opstart HTTPS en SSH via LAN en WAN, en de seriële console rechtstreeks via DB-9, een Serial-to-USB-converter of de Micro-USB-consolepoort op nieuwere XGS Appliance-modellen. Let in Device Manager op de beheercomputer op driver- of verbindingsfouten. Stel 38400 baud in, controleer de status op meerdere tijdstippen en leg zichtbare fouten vast met een schermafbeelding. Blijft de console stil, voer dan een tegencontrole uit met een tweede kabel of computer. Sophos bepaalt pas na een eigen controle of een apparaat als DOA geldt. De volledige interne procedure staat in Sophos-hardwaredefect: RMA en vervanging voorbereiden.

Als de appliance nog bereikbaar is, reproduceer je de fout onmiddellijk vóór het verzamelen van de gegevens en noteer je het exacte tijdstip met tijdzone. Kies onder Diagnostics > Tools > Consolidated troubleshooting report System snapshot en All log files, voer de reden in en klik op Generate en vervolgens op Download. Upload het versleutelde rapport naar de supportcase. Sommige CTR-logs bevatten slechts het via CLI geconfigureerde aantal regels; stel daarom bij een ouder incident ook de betrokken Troubleshooting logs afzonderlijk veilig. De debugmodus is standaard uitgeschakeld en niet nodig voor de System snapshot; debuglogs vergroten het opslaggebruik en moeten na een gerichte opname weer worden uitgeschakeld. In HA worden logs en rapporten niet gesynchroniseerd; verzamel ze per node en wijs ze eenduidig toe. De volledige procedure staat in Sophos Firewall-logs voor support en analyse veiligstellen.

Als Sophos voor de diagnose externe toegang vraagt, kun je onder Diagnostics > Support access een tijdelijke Access ID genereren. De firewall brengt daarvoor uitgaand via TCP 22 een beveiligde besturingsverbinding met *.apu.sophos.com tot stand; een voorgeschakelde router moet dit toestaan. Schakel Support access in, bevestig met OK, kies de duur, klik op Apply en nogmaals op OK en kopieer de unieke ID onder Access status. Deel de Access ID uitsluitend in de supportcase. Sophos krijgt hiermee zonder beheerderswachtwoord toegang tot WebAdmin en de shell; inactieve sessies worden na 15 minuten beëindigd. De toegang kan op elk moment worden uitgeschakeld en wordt na de case gedeactiveerd. De interne detailprocedure staat in Sophos Firewall Support Access voor Avanet vrijgeven.

Support en RMA voorbereiden

Houd vóór de escalatie het volgende gereed:

• exacte foutbeschrijving, begintijdstip, frequentie en impact;
• model, revisie, serienummer, SFOS-versie en build;
• HA-status en getroffen node;
• verloop van Disk usage, relevante foutmeldingen en CTR;
• actuele gedownloade configuratieback-up;
• bewaar het wachtwoord voor back-upversleuteling en de bijbehorende Secure Storage Master Key veilig en beschikbaar, maar deel ze alleen via de door Sophos aangewezen veilige route;
• licentie- en supportstatus.

Een SMART-waarde leidt niet automatisch tot een RMA. Volgens Sophos omvat het RMA-proces eerst foutidentificatie en apparaatgegevens, gevolgd door een supportcase en validatie; Sophos kan aanvullende diagnostiek verlangen. Model, revisie, firmwareversie, serienummer en HA-lidmaatschap horen in het RMA-formulier.

Bij HA moet bovendien worden vastgesteld welke node wordt vervangen. De hier beschreven heropbouw geldt alleen voor Active-Passive, niet voor Active-Active, en veroorzaakt uitvaltijd. Leg vooraf model, revisie, het oorspronkelijke Primary Device en de firmwareversie en build van beide apparaten vast met system diagnostics show version-info.

• Vervangend apparaat voorbereiden: Vraag de identieke firmwarebuild aan bij Sophos Support als deze niet beschikbaar is. Sluit een DHCP-client aan op poort 1 en open https://172.16.16.16:4444. Configureer poort 2 via de Setup Assistant uitsluitend voor WAN en internettoegang; maak eerst geen andere interfaces aan. Controleer na reimage of update de build opnieuw met system diagnostics show version-info.
• Auxiliary vervangen: Het gezonde Primary Device draait tijdelijk alleen. Breng het vervangende apparaat naar dezelfde firmwareversie en build, claim het in Central en draag de licentie van het defecte Auxiliary Device over. Schakel HA uit op het gezonde Primary Device, bevestig met service -S | grep msync de status UNTOUCHED of STOPPED, sluit de bekabeling opnieuw aan en bouw Active-Passive HA opnieuw op met het gezonde apparaat als Primary Device.
• Primary vervangen: Deregistreer het gezonde Auxiliary Device uit Central en bevestig onder My Products > Firewall Management > Firewalls dat het niet meer wordt vermeld. Stel de actuele back-up veilig. Breng het vervangende apparaat naar dezelfde firmwareversie en build, claim het, draag de licentie over, herstel de back-up en laat het apparaat na het omsteken van de kabels standalone het verkeer overnemen. Zet vervolgens het gezonde voormalige Auxiliary Device terug naar de fabrieksinstellingen, claim het opnieuw en configureer Active-Passive HA opnieuw met het vervangende apparaat als Primary Device.

De vervanging levert werkende hardware op, maar garandeert niet dat de omgeving bedrijfsklaar is. Documenteer vóór het onderhoudsvenster de licentieoverdracht, back-upcompatibiliteit, Central-toewijzing, bekabeling en functionele test. Basisinformatie over de rollen staat in Sophos Firewall HA-cluster: Active-Passive, Active-Active en Auxiliary Appliance.

De basisprincipes van garantie en support staan in Hoelang krijg ik garantie op Sophos-hardware?. Als Sophos een reimage verlangt, volg je de afzonderlijke procedure Sophos Firewall OS opnieuw installeren: reimage met USB-stick.

Eindcontrole

• Disk usage en de periode gecontroleerd zonder capaciteit als SSD-gezondheid te interpreteren.
• Symptomen, tijdsverloop, model, serienummer, SFOS-versie en HA-node gedocumenteerd.
• Actuele back-up buiten de appliance opgeslagen en herstelgeheimen beschikbaar.
• CTR met System snapshot en All log files gegenereerd en veilig opgeslagen.
• Geen geraden apparaatpaden gebruikt en geen SMART-self-tests, fsck-, verwijder- of reparatieopdrachten zonder toestemming uitgevoerd.
• Bij een vermoeden van een hardwareprobleem een supportcase geopend; aanvullende diagnose uitsluitend volgens concrete instructies van Support.
• RMA of hardwarevervanging pas gepland na validatie door Sophos.

FAQ