Controleer de gezondheid van de SSD van Sophos Firewall met SMART

De interne SSD van een Sophos Firewall slaat onder andere logs, rapporten, quarantainedata, tijdelijke bestanden en systeemgegevens op. In omgevingen met veel logging, on-box rapportage, mailbescherming of hoge systeembelasting kan het daarom zinvol zijn om de toestand van de SSD af en toe te controleren.

Deze controle vervangt geen officiële hardwaremonitoring en geen ondersteuningsdiagnose. De check helpt echter om een opvallende slijtagewaarde vroegtijdig te herkennen en tijdig een back-up, ondersteuningsgeval of hardwarevervanging voor te bereiden.

⚠️ Belangrijk: De Advanced Shell biedt directe systeemtoegang. De hier getoonde commando’s lezen alleen informatie uit. Er mogen geen bestanden worden verwijderd, partities worden gewijzigd, SMART self-tests worden gestart of schijven worden verwisseld zonder duidelijkheid over de impact op ondersteuning, garantie en werking.

Wanneer de SSD moet worden gecontroleerd

Een SSD-controle is vooral zinvol als een van deze punten van toepassing is:

• De firewall genereert zeer veel lokale logs of rapporten.
• Er waren waarschuwingen over hoog geheugengebruik.
• On-box rapporten, mailwachtrij, quarantaine of lokale logs groeien sterk.
• Het apparaat is al meerdere jaren in gebruik.
• Voor een grotere firmware-upgrade moet de systeemstatus worden gedocumenteerd.
• Een HA-cluster moet hardwarematig beter worden bewaakt.

Voor opslagproblemen is daarnaast Sophos Firewall opslag controleren en rapporten beheren relevant. Voor centrale logopslag is Central Firewall Reporting activeren geschikt, zodat niet elke analyse afhankelijk is van lokale on-box gegevens.

Wat deze check doet

De SMART-check is een technische steekproef direct op de appliance. Hij beantwoordt niet alle hardwarevragen, maar helpt om SSD-slijtage en opvallende schijfwaarden te beoordelen.

• SSD-endurance-waarde is opvallend of stijgt snel: SMART-waarde documenteren en verloop controleren.
• /var is vol of rapporten stoppen: Opslagruimte en rapporten controleren.
• Temperatuur-, ventilator- of voedingsalarmen zijn zichtbaar: SNMP Hardware Monitoring en WebAdmin/monitoring controleren.
• Configuratierisico’s of Health-Check-findings staan open: Sophos Firewall Health Check evalueren.
• Hardwarevervanging of RMA wordt waarschijnlijk: serienummer, supportstatus, back-up en RMA-gegevens voorbereiden.

De Sophos Firewall Health Check beoordeelt configuratierisico’s. Hij vervangt geen schijfcontrole en geen hardwaremonitoring. Omgekeerd bewijst een onopvallende SMART-waarde niet dat reporting, logs, quarantaine of databases correct werken.

Vereisten

Voor de controle heeft men nodig:

• Toegang tot de gebruiker admin.
• SSH-toegang of toegang tot de Advanced Shell.
• Strikt beperkte SSH-toegang vanuit een vertrouwd beheernetwerk.
• Een gepland onderhouds- of diagnosevenster als de firewall zwaar belast is.
• Bij HA: toegang tot beide apparaten.

Hoe de toegang wordt voorbereid, staat in Sophos Firewall verbinden via SSH. Na het inloggen opent men de Advanced Shell via 5 Device Management > 3 Advanced Shell. Na de controle moet de toegang weer tot het noodzakelijke minimum worden beperkt.

SSD-endurance uitlezen

Op veel Sophos Firewall hardware-apparaten is de interne SSD zichtbaar als /dev/sda. Het volgende commando leest de SMART-informatie uit en filtert de uitvoer op de endurance-waarde:

smartctl -x /dev/sda | grep Endurance

Het commando is een alleen-lezende diagnose vanuit de Advanced Shell, geen normale SFOS-statusweergave in WebAdmin. Afhankelijk van appliance, schijf en firmware kan de uitvoer er anders uitzien of kan de verwachte attribuutnaam ontbreken. Dan moet men niet gokken, maar de volledige uitvoer en begeleidende symptomen documenteren.

In de uitvoer is vooral de waarde voor Percentage Used Endurance Indicator interessant. Een lage waarde is in principe goed. In de screenshot is de waarde 1, wat onkritisch is.

Waarde correct interpreteren

SMART-waarden zijn diagnosewaarden van het opslagmedium. Dergelijke waarden zijn nuttig, maar niet bij elke SSD en elke fabrikant identiek genormeerd. Daarom moet men de waarde niet geïsoleerd bekijken.

• Zeer lage waarde: normaal gesproken onopvallend.
• Waarde stijgt in de loop van de tijd duidelijk: ontwikkeling observeren en onderhoud plannen.
• Waarde ligt duidelijk hoger dan eerdere metingen: supportcase voorbereiden en vervangbaarheid controleren.
• Extra I/O-fouten of systeemproblemen: niet alleen SSD-endurance controleren, maar ook logs en supportdiagnose meenemen.

Belangrijk is de trend. Een enkele waarde is minder betekenisvol dan een herhaalde controle over meerdere onderhoudsvensters. Als de waarde snel stijgt of tegelijkertijd geheugen-, database- of rapportproblemen optreden, moet een Sophos ondersteuningsgeval worden voorbereid.

Een hoge waarde alleen is nog geen zuivere diagnose. De bevinding wordt sterker wanneer meerdere aanwijzingen samenkomen:

• Endurance-waarde stijgt sneller dan verwacht.
• /var of rapportgegevens gedragen zich opvallend.
• Logs tonen I/O-, database- of bestandssysteemfouten.
• WebAdmin, rapporten of diensten worden instabiel zonder duidelijke configuratiewijziging.
• Een appliance in het HA-cluster toont duidelijk andere waarden dan de partner.

Meetwaarden documenteren

Om een stijgende endurance-waarde later te kunnen volgen, moet men elke controle kort documenteren. Dit is vooral nuttig voor firmware-upgrades, in HA-clusters en bij apparaten die al meerdere jaren in gebruik zijn.

Een eenvoudige documentatie is meestal voldoende:

• Datum en tijd: 2026-06-20 10:30
• Firewall of locatie: XGS 2100 - HQ
• Node: Primary of Auxiliary
• Firmware-versie: SFOS 22.0.1 MR1
• SSD-endurance-waarde: 1
• Begeleidende symptomen: geen, opslagwaarschuwing, I/O-fouten, rapportproblemen
• Volgende maatregel: observeren, supportcase voorbereiden, vervanging plannen

Bij een ondersteuningsgeval helpt deze historie meer dan een enkele screenshot. Men ziet of de waarde langzaam veroudert, plotseling springt of samen met geheugen- en databaseproblemen optreedt.

Daarnaast moet het meetpunt stabiel blijven. Gebruik indien mogelijk altijd hetzelfde commando, hetzelfde apparaatpad en dezelfde node. Bij HA-clusters moet de uitvoer niet alleen als screenshot worden bewaard, maar ook met serienummer of node-rol worden verbonden. Anders is later onduidelijk of de waarden van Primary, Auxiliary of een al vervangen apparaat komen.

Als er geen endurance-uitvoer verschijnt

Als het gefilterde commando geen uitvoer geeft, kan men de SMART-uitvoer eerst zonder filter weergeven:

smartctl -x /dev/sda

Daarna zoeken naar termen zoals Endurance, Percentage Used, Wear of fabrikant-specifieke SMART-attributen. Als de uitvoer niet duidelijk is, moet deze niet worden geraden, maar met Sophos Support of Avanet worden gecontroleerd.

Het apparaatpad kan per platform verschillen. Daarom moet men niet blind andere schijfpaden testen of schrijven. Bij virtuele firewalls is de gezondheid van de schijf bovendien primair een taak van het virtualisatieplatform en het opslagsysteem.

Als smartctl geen bruikbare waarden levert, is dat geen bewijs voor een gezonde of defecte schijf. Documenteer de bevinding dan als “niet eenduidig uitleesbaar” en combineer die met andere aanwijzingen: opslagruimte, systeemlogs, hypervisor-monitoring, SNMP-hardwarewaarden, supportdiagnose en waargenomen symptomen. Schrijftests, SMART self-tests of reparatiepogingen mogen alleen worden uitgevoerd als Sophos Support of een duidelijk onderhoudsplan dit expliciet vereist.

Bevinding naar maatregel vertalen

Na de meting moet je de waarde niet geïsoleerd bespreken, maar vertalen naar een concrete beheerbeslissing.

• Lage waarde, geen symptomen: meting documenteren en bij het volgende onderhoudsvenster opnieuw controleren.
• Waarde stijgt snel of springt opvallend: backup, SSMK, serienummer, firmwareversie en historiek veiligstellen. Daarna supportcase voorbereiden.
• Daarnaast opslagwaarschuwingen of reportproblemen: eerst schijfruimte, reports, logs en quarantaine controleren. Hoog opslagverbruik is niet automatisch een SSD-defect.
• I/O-, database- of bestandssysteemfouten in logs: SMART-output, relevante logs en tijdlijn samen bewaren en niet experimenteren met handmatige verwijderacties.
• HA-nodes verschillen duidelijk: beide serienummers, rollen, firmwarestanden en meetwaarden apart documenteren. Voor RMA of vervanging moet duidelijk zijn welke node getroffen is.
• Virtuele firewall: de bevinding niet als hardware interpreteren. Hypervisor, storage, datastore, I/O-latency en platformmonitoring zijn bepalend.

Deze indeling voorkomt twee typische fouten: één SMART-waarde dramatiseren of echte symptomen afdoen als “alleen een opslagprobleem”. De combinatie van trend, symptomen, logs, platform en supportstatus is doorslaggevend.

HA-cluster afzonderlijk controleren

In een Sophos Firewall HA-cluster heeft elk apparaat zijn eigen SSD. De toestand van de schijven wordt niet door HA gesynchroniseerd.

Daarom moet men controleren:

• Primary Appliance.
• Auxiliary Appliance.
• Serienummer of hostnaam van de betreffende node.
• Datum, firmware-versie en gemeten endurance-waarde.
• Of op een node extra opslag- of I/O-afwijkingen zichtbaar zijn.

Voor HA-bedrijf en rollen past Sophos Firewall HA-cluster: Active-Passive, Active-Active en Auxiliary Appliance.

Bij een mogelijke vervanging is de HA-rol belangrijk. Vóór een RMA moet duidelijk zijn welk apparaat wordt vervangen, welke firmwareversie en build op het gezonde apparaat draaien en of een onderhoudsvenster nodig is. Sophos beschrijft RMA-processen voor HA-scenario’s gescheiden naar rollen; in de praktijk moet daarom niet pas bij ontvangst van het vervangende apparaat worden uitgezocht welke node werkelijk getroffen is.

Niet zonder ondersteuning vervangen

Een SSD moet niet zelfstandig worden vervangen, alleen omdat een SMART-waarde opvallend lijkt. Een hardware-ingreep kan ondersteuning, garantie, RMA-afhandeling en operationele veiligheid beïnvloeden.

Voor een vervanging moeten deze punten worden voorbereid:

• Actuele configuratieback-up.
• Secure Storage Master Key.
• Serienummer en apparaatmodel.
• Firmware-versie en build.
• HA-rol, als een cluster wordt gebruikt.
• Screenshot of tekstuitvoer van de SMART-uitvoer.
• Beschrijving van de symptomen en het tijdsverloop.
• Opslag- en rapportstatus, als die eveneens opvallend zijn.
• Licentie- en ondersteuningsstatus.

De garantie- en ondersteuningsgrondslagen zijn beschreven in het artikel Hoe lang krijg ik garantie op Sophos-hardware?. Als een apparaat opnieuw moet worden geïnstalleerd, is Sophos Firewall OS opnieuw installeren: Reimage met USB-stick het passende herstelartikel.

Checklist

• SSH-toegang alleen toegestaan vanuit vertrouwde beheernetwerken.
• Advanced Shell geopend.
• smartctl -x /dev/sda | grep Endurance uitgevoerd.
• Waarde, datum, firmware-versie en serienummer gedocumenteerd.
• Bij HA beide nodes afzonderlijk gecontroleerd.
• Opslagruimte en lokale rapporten bij afwijkingen extra gecontroleerd.
• SNMP- of monitoringalarmen bij hardwarevermoeden gecontroleerd.
• Firmware-versie, build, model en supportstatus voor een supportcase genoteerd.
• Bij hoge of sterk stijgende waarden ondersteuningsgeval voorbereid.
• Geen hardwarevervanging zonder afstemming van ondersteuning en garantie uitgevoerd.

FAQ