Sophos Firewall OS opnieuw installeren via USB

Met een reimage wordt Sophos Firewall OS volledig opnieuw geïnstalleerd. Het proces is bedoeld voor herstelsituaties, laboratoriumsystemen, modelwijzigingen of een schone herinstallatie. Voor normale versiewijzigingen is een firmware-update via de webbeheerdersinterface meestal de betere keuze.

⚠️ Belangrijk: Een reimage overschrijft de firewall volledig. Configuratie, lokale logs, certificaten, rapporten en opgeslagen accountgegevens verdwijnen van het apparaat. Bewaar vooraf extern een backup, het bijbehorende Encryption password en de Secure Storage Master Key (SSMK) waarmee de backup is gemaakt. Een backup die na het instellen of wijzigen van de SSMK is gemaakt, kan alleen met precies die sleutel worden hersteld; bewaar daarom ook oudere sleutels.

Reimage, firmware-update of fabrieksreset?

Voor een normale update moet eerst het artikel Sophos Firewall: SFOS Firmware Update uitvoeren worden geraadpleegd. Een Factory Reset is ook niet hetzelfde als een reimage: deze reset de configuratie, maar verwijdert niet alle lokale data zoals een volledige herinstallatie. De openbare SFOS 22-help spreekt zichzelf tegen over de SSMK: de specifieke resetpagina zegt dat de sleutel behouden blijft, terwijl de algemene firmwarepagina vermeldt dat deze wordt verwijderd. Bewaar de sleutel daarom vóór elke reset extern en controleer de status erna. Als de firewall echt naar een schone defaultstaat inclusief logs, rapporten en lokale operationele data moet, is reimage de passendere weg. Voor XGS Appliances met beschadigde firmware verwijst Sophos naar de reimage-procedure omdat de SFLoader-herstelprocedure niet beschikbaar is op XGS Appliance.

Sophos Firewall terugzetten naar fabrieksinstellingen beschrijft het veilige WebAdmin-proces en de verschillende hardwarevolgorden voor XGS Appliance-modellen.

Wanneer geen reimage uitvoeren

Een reimage is de harde herstelvariant. Als normale administratieve toegang nog steeds mogelijk is, moet u eerst controleren of een minder invasieve manier voldoende is.

Reimage is handig als het besturingssysteem beschadigd is, een schone herbouw gewenst is, of als Sophos Support of het herstelplan dit pad specificeert. Voor normaal onderhoud, individuele GUI-problemen of onverklaarde prestatieproblemen is het meestal te vroeg.

Als de firewall in de Failsafe-modus start, wordt vóór een Reboot, Factory Reset of reimage eerst de vastgestelde oorzaak bewaard. Sophos Firewall in de Failsafe-modus controleren toont de opdracht show failure-reason en de veilige vervolgbeslissingen.

Backup maken vóór de reimage

Voordat u aan een productieve reimage begint, moet u de volgende punten voorbereiden:

• Download de huidige configuratieback-up en bewaar deze veilig.
• Document Secure Storage Master Key als de back-up gecodeerde accountgegevens bevat.
• Controleer licentiestatus, serienummer en de koppeling met Sophos Fusion (voorheen Sophos Central).
• Model, revisie, huidige SFOS-versie, build, doelversie en back-upversie documenteren.
• Noteer afzonderlijk WAN-gegevens, VLAN’s, statische routes, VPN-parameters en speciale HA-informatie.
• Plan onderhoudsvensters omdat de firewall het verkeer niet beschermt en verwerkt tijdens de reimage.
• Zorg voor lokale toegang tot het apparaat, de voeding, de USB-poort en de beheerpoort.
• Controleer vooraf het herstelproces, vooral voor HA-clusters en kritische VPN-locaties.
• Maak een back-up van logbestanden of ondersteun archieven als de oorzaak later moet worden geanalyseerd.

De relevante basisprincipes zijn te vinden in Sophos Firewall: Een back-up maken en herstellen, Sophos Firewall: SFOS 22 upgrade check en Sophos Firewall HA-cluster: Active-Passive, Active-Active en Auxiliary Appliance.

Als de reimage deel uitmaakt van een RMA- of HA-scenario, wordt deze documentatie nog belangrijker. Dan telt niet alleen de hoofdversie, maar ook de build. Een vervangend apparaat moet bij de gezonde firewall passen of bewust naar de doelversie worden gebracht voordat backup, licentietransfer en HA-herconfiguratie beginnen.

Verduidelijk vooraf de herstelcompatibiliteit

Het belangrijkste onderdeel van een reimage is niet het schrijven naar de USB-stick, maar het succesvolle herstel daarna. Een back-up moet niet alleen voor de eerste keer na de herinstallatie worden geëvalueerd.

Maak vooraf duidelijk:

Bij het vervangen van hardware, het migreren van XG naar XGS Appliance of het herstellen naar een ander model, moet u vóór het definitieve herstel ook controleren of de backup-herstelassistent beschikbaar is en of de poorttoewijzing correct is. Het proces wordt beschreven in Een Sophos Firewall-back-up maken of herstellen.

Voor HA en RMA geldt als vuistregel: firmwareversie en build van de betrokken apparaten worden vóór de restore gecontroleerd. Als de benodigde oude firmwareversie niet meer normaal kan worden gedownload, moet men niet improviseren, maar Sophos Support of het bestaande supportproces inschakelen.

Vereisten

• Sophos hardware-appliance. De onderstaande USB- en ledprocedure is voor dit geval bedoeld.
• USB-stick met minimaal 4 GB opslagruimte.
• Windows-, macOS- of Linux-computer om de opstartbare USB-stick te maken.
• Hulpmiddel voor het schrijven van de ISO-image, bijvoorbeeld balenaEtcher.
• Lokale toegang tot het apparaat.
• Optioneel: USB naar Micro USB-kabel of RJ45 COM-adapter voor statusrapportage en probleemoplossing via de seriële console.

Voor het opnieuw installeren van dezelfde firmwareversie is geen supportabonnement nodig. Als de reimage naar een andere firmwareversie gaat, gelden de licentie- en supportvoorwaarden voor firmware-upgrades.

Software en Virtual Appliances afzonderlijk behandelen

Sophos staat reimage ook toe voor Software en Virtual Appliances, maar image en installatiemethode verschillen. Een Software Appliance op eigen x86-64-hardware gebruikt de SW-ISO. De installatie formatteert en partitioneert de schijf opnieuw en verwijdert daarbij ook het bestaande besturingssysteem. De minimumeisen voor SFOS 22 zijn Legacy BIOS, 4 GB RAM, een HDD of SSD van 32 GB en twee netwerkkaarten; Sophos adviseert 64 GB schijfruimte.

Een Virtual Appliance gebruikt het pakket voor de betreffende hypervisor, bijvoorbeeld VI-22.0.2_MR-2.VMW-546.zip voor VMware. Implementeer deze volgens de platformhandleiding en gebruik uitsluitend de ingebouwde SFOS-functie voor backup en restore; volgens Sophos zijn hypervisor-snapshots en backups van derden geen ondersteund alternatief. De volgende stappen voor een fysieke USB-stick en XGS Appliance-leds gelden daarom niet ongewijzigd voor virtuele systemen.

1. Download de juiste SFOS-installatiekopie

De installatiekopie wordt verkregen van de officiële Sophos-downloadpagina:

1. Download de actuele Sophos Firewall Installer.
2. Voor Sophos-hardwareapparaten selecteert u de gewenste SFOS-versie onder Hardware Installers.
3. Accepteer de licentievoorwaarden en download de ISO-image.

Voor hardware-appliances wordt doorgaans een image met het voorvoegsel HW gebruikt. Software- en virtual appliances gebruiken andere imagetypes. Beslissend is dat platform, doelversie en restore-plan bij elkaar passen. Een verkeerd image is geen kleine schoonheidsfout, maar kan de recovery stoppen.

Bestandsnaam van de installatiekopie

Voorbeeld dat op 5 september 2026 beschikbaar was: HW-22.0.2_MR-2-546.iso

De belangrijkste onderdelen van de bestandsnaam:

• Platform- of apparaattype

  • HW: ISO-image voor Sophos-hardware-appliances. Deze variant is meestal nodig voor de reimage van een XGS Appliance.
  • SW: ISO-image voor Sophos Firewall als software-appliance.
  • VI: imagepakket voor Sophos Firewall als Virtual Appliance.
  • AMI: image voor Amazon AWS.
  • AZU: image voor Microsoft Azure.

• Virtualisatieplatform voor VI-bestanden

  • HYV: Microsoft Hyper-V.
  • KVM: KVM.
  • VMW: VMware Hypervisor.
  • XEN: Xen.

• Releasetype

  • GA: General Availability. Dit is een algemeen beschikbare hoofd- of tussenversie, vaak met nieuwe functies.
  • MR: Maintenance Release. Een MR bevat vooral fixes, stabiliteitsverbeteringen en beveiligingsaanpassingen binnen een bestaande versie.

• Bestandsextensie

  • .iso: ISO-image die naar een USB-stick kan worden geschreven of voor software-appliances kan worden gebruikt.
  • .zip: archief met imagebestanden voor Virtual Appliances.
  • .sig: ondertekend image voor bepaalde appliance-modellen of updatescenario’s.

Kies voor productiesystemen de doelversie op basis van supportstatus, compatibiliteit van de backup en het herstelplan, niet alleen op basis van de hoogste beschikbare bestandsnaam. Gebruik bij een supportcase de versie die met Sophos is afgesproken.

Voor een XGS Appliance-reimage is bijvoorbeeld een bestand van het type HW-22.0.2_MR-2-546.iso relevant. SW, VI, AMI of AZU zijn bedoeld voor andere platforms en mogen niet worden gebruikt voor een hardwareapparaat.

Authenticiteit en integriteit van de download controleren

Alleen het voorvoegsel HW bevestigt niet dat een image het specifieke apparaat ondersteunt. De index Hardware Installers vermeldt images en builds per hardwareserie of platform; gebruik deze om de geplande serie of het platform en de doelbuild te selecteren, niet om aan te nemen dat een exact appliance-model wordt vermeld. Als de toepasbaarheid op het exacte model of de exacte build onzeker is, stop dan en laat dit vóór downloaden of installeren uitklaren via Sophos Support of de bestaande Avanet-lifecyclecontext.

Een gecontroleerde download omvat vier controles:

1. Download het image uitsluitend via de hierboven gelinkte HTTPS-download op download.sophos.com, niet via een mirror, forum of oud lokaal archief.
2. Vergelijk voorvoegsel, versie, releasetype en build in de bestandsnaam met het reimage- en restore-plan.
3. Noteer bestandsnaam, bestandsgrootte en een lokaal berekende SHA-256-waarde in het change- of recoveryverslag.
4. Als het portal of support een checksum voor precies dit bestand verstrekt, vergelijk deze dan teken voor teken. Verwijder en download het bestand opnieuw bij een afwijking.

Bereken SHA-256 in Windows met certutil -hashfile HW-22.0.2_MR-2-546.iso SHA256, in macOS met shasum -a 256 HW-22.0.2_MR-2-546.iso of in Linux met sha256sum HW-22.0.2_MR-2-546.iso. Een uitsluitend lokaal berekende hash detecteert latere wijzigingen tussen download, opslag en gebruik, maar bewijst zonder betrouwbare referentiewaarde niet de herkomst. Voor authenticiteit blijven daarom de officiële HTTPS-download en, indien beschikbaar, de afzonderlijk verstrekte checksum van de fabrikant bepalend.

2. Maak een opstartbare USB-stick

De USB-stick wordt geformatteerd wanneer de ISO-image wordt geschreven. Alle bestaande gegevens op de USB-stick gaan verloren.

1. Plaats een USB-stick met minimaal 4 GB opslagruimte in de computer.
2. Download en start balenaEtcher.
3. Gebruik Flash from file om de gedownloade SFOS ISO-image te selecteren.
4. Selecteer onder Select target de juiste USB-stick.
5. Schrijf de ISO-image naar de USB-stick met Flash! en wacht tot de daaropvolgende validatie zonder fouten is voltooid. Kopieer de ISO niet als een normaal bestand naar de stick.

Na het schrijfproces moet de USB-stick schoon worden uitgeworpen. Als macOS of Windows de stick vervolgens als onleesbaar meldt, is dit niet noodzakelijkerwijs een fout, omdat de afbeelding is geschreven om het apparaat op te starten.

3. Installeer SFOS opnieuw op de firewall

Het reimageproces wordt rechtstreeks op het apparaat uitgevoerd. Gedurende deze tijd mag het apparaat niet uitgeschakeld zijn.

1. Schakel de firewall volledig uit.
2. Bereid optioneel monitor, LCD of seriële console voor als de installatiestatus gevolgd moet worden.
3. Plaats de voorbereide USB-stick in de firewall.
4. Schakel de firewall in.
5. Wacht tot de Sophos Firmware Installer vanaf de USB-stick start.
6. Controleer de installatiestatus afhankelijk van het appliance-model.
7. Verwijder na succesvolle installatie de USB-stick.
8. Als de installer daarna om bevestiging vraagt, herstart met y.

Status op XGS Appliance-desktopapparaten

Volgens Sophos hebben XGS Appliances geen monitoraansluiting. Op Desktop-modellen wordt de reimage-status daarom weergegeven via de status-led aan de voorkant. Gebruik voor meer details de seriële console via de COM-poort.

De reimage is pas voltooid als de led permanent groen brandt. Zolang de led rood knippert, loopt het proces nog.

Status op XGS Appliance Rack-modellen

Rackapparaten geven de status weer via het geïntegreerde display. Typische berichten zijn Installation in progress, Installation successful, Installation failed of Failsafe mode.

Status via seriële console

Er kan een console worden aangesloten voor aanvullende diagnostiek. Bij actuele XGS Appliance Desktop-modellen is dat in de praktijk meestal geen klassieke oude RS-232-aansluiting op de notebook meer, maar een USB-naar-Micro-USB-kabel op de COM Micro USB-poort van de firewall. De appliance stelt daarover toch een seriële console beschikbaar. Op de admin-computer verschijnt die als COM-poort onder Windows of als tty-apparaat onder macOS en Linux.

Dit is vooral handig als er geen schermverbinding is, de LED permanent rood blijft, het opstarten vanaf de USB-stick onduidelijk is of als u installatie- en foutmeldingen direct wilt zien. Veel XGS Appliance-modellen hebben ook een RJ45 COM-poort. Deze RJ45 COM-poort is een consolepoort, geen normale netwerkpoort. Als Micro-USB en RJ45-COM tegelijkertijd zijn aangesloten, heeft Micro-USB voorrang.

Typische gereedschappen:

• Windows: PuTTY of een andere seriële terminalclient.
• macOS: Terminal met screen, bijvoorbeeld screen /dev/tty.usbserial-XXXX 38400.
• Linux: screen, minicom of picocom.

Seriële instellingen:

4. De firewall bereiken na de reimage

Na de reimage start de firewall met de standaardconfiguratie. De eerste toegang vindt doorgaans plaats via Poort 1:

• Beheer-IP: https://172.16.16.16:4444
• Verbinding: sluit de computer rechtstreeks aan op poort 1 van de firewall
• Computer-IP: stel het juiste statische IP-adres in het netwerk 172.16.16.0/24 in als toegang niet mogelijk is

Daarna volgt de basisconfiguratie met registratie of het herstellen van een bestaande backup. De Setup Assistant registreert de firewall en werkt deze na voltooiing bij naar de nieuwste firmware. Als het restore- of HA-plan een exacte versie en build vereist, rond die stap dan niet af zonder rekening te houden met de upgrade. Voor de restore zijn het Encryption password en, als de backup daarmee is beveiligd, de bijbehorende Secure Storage Master Key nodig.

Een restore vervangt de huidige configuratie, verwijdert de backup die op de firewall staat en herstart het apparaat. Daarna geldt 172.16.16.16 niet noodzakelijk meer: gebruik voor de volgende WebAdmin-verbinding het beheeradres uit de herstelde configuratie. Naast de SSMK is ook het Encryption password van de backup nodig. Zie de handleiding voor backup en restore.

Na het herstel moeten in ieder geval deze punten worden gecontroleerd:

• Interfaces, zones en VLAN’s.
• Standaardgateway, statische routes en SD-WAN-routes.
• Firewallregels, NAT-regels en webserverbescherming.
• VPN-verbindingen en certificaten.
• Licentiestatus en synchronisatie met Sophos Fusion.
• HA-status als de firewall deel uitmaakt van een cluster.
• Logging, syslog-doelen en rapportage.

Voor firewalls die via Sophos Fusion worden beheerd, helpt Verbind Sophos Firewall met Sophos Fusion ook. Voor modelwijzigingen of oudere apparaten is Sophos XG of XGS Appliance: het juiste apparaat kiezen relevant.

HA en RMA niet behandelen als een enkel apparaat

Bij één labapparaat is een reimage meestal lineair: image schrijven, installeren, backup herstellen, testen. Bij HA en RMA is de procedure gevoeliger. Vooraf moet duidelijk zijn welk apparaat gezond is, welke rol het heeft, welke firmwareversie en build het draait en of Sophos Fusion of de licentietransfer eerst moet worden opgeschoond.

Sluit in een Active-Passive-omgeving een vervangend apparaat niet zomaar met alle kabels op het cluster aan. De rol bepaalt de procedure. Bij een reimage van de Auxiliary herstelt u de backup niet handmatig op dat apparaat: installeer exact dezelfde firmwareversie en build, configureer HA opnieuw en laat de configuratie vanaf de Primary synchroniseren. De officiële procedure voor de Primary omvat daarentegen failover, restore op het opnieuw geïnstalleerde apparaat en daarna het opnieuw opbouwen van HA. Bepaal vooraf welk apparaat Initial Primary, huidige Primary en Auxiliary is.

De openbare Sophos-procedure geldt uitdrukkelijk alleen voor Active-Passive, niet voor Active-Active. Beide apparaten moeten dezelfde firmwareversie en build hebben; de stappen verschillen per betrokken rol. Pas deze procedure daarom niet toe op Active-Active of een niet-gedocumenteerd scenario, maar spreek vóór het wissen van een apparaat het supportplan af. Een HA-backup herstellen op de huidige Primary veroorzaakt downtime zonder failover; daarna moeten beide firewalls opnieuw bij Sophos Fusion worden geregistreerd. Als daarentegen een backup van een zelfstandig apparaat op de huidige Primary wordt hersteld, wordt HA uitgeschakeld; controleer na de herstart de HA-status en bouw het cluster indien nodig bewust opnieuw op.

Acceptatietest na reimage en herstel

Na een succesvolle login is een snelle blik op het dashboard niet voldoende. De firewall moet de belangrijkste productieve paden weer correct bedienen.

Verstandige volgorde:

1. Controleer de licentiestatus, het serienummer, het model en de firmwareversie.
2. Controleer interfaces, linkstatus, VLAN’s en zones.
3. Controleer WAN-gateway, DNS, NTP en Sophos Fusion-verbinding.
4. Valideer firewallregels, NAT-regels en logviewer met een testclient.
5. Test site-to-site VPN’s en externe toegang met echte testdoelen.
6. Controleer de HA-status en -rollen als er een cluster bij betrokken is.
7. Controleer syslog, Central Reporting, backups en geplande rapporten.
8. Verwijder oude tijdelijke toegang, lokale beheerdersaccounts of hersteluitzonderingen.

Als het herstel succesvol is verlopen, maar het verkeer niet doorstroomt, mag u niet onmiddellijk een nieuwe image maken. Interface mapping, routing, NAT, apparaattoegang, licentiestatus of het retourpad van het externe station worden vaak beïnvloed. Geschikt voor de analyse zijn Firewall-regeltesten met Log Viewer, Policy Test en Packet Capture, NAT begrijpen op Sophos Firewall en Sophos Firewall IPsec VPN-probleemoplossing.

Veelvoorkomende problemen

Firewall start niet op vanaf USB-stick

Meestal is de USB-stick niet correct geschreven, is het verkeerde image gekozen of start de appliance niet vanaf de verwachte USB-poort. Schrijf in dat geval de ISO opnieuw met balenaEtcher, test een andere USB-stick en observeer het opstarten via monitor, LCD, status-LED of seriële console.

Als het apparaat de stick nog steeds niet detecteert, druk dan tijdens het opstarten op Delete om het BIOS te openen. USB Key moet bovenaan de opstartvolgorde staan. Selecteer de vermelding indien nodig met de pijltjestoetsen en verplaats deze met + naar boven. Selecteer daarna Save and exit; de firewall start opnieuw en moet Sophos Firmware Installer vanaf de stick laden.

LED blijft permanent rood

Een permanent rode status-LED betekent dat de reimage is mislukt. Werk dan niet blind productief verder: controleer USB-stick, imagetype, doelmodel en installatiemelding. Bij herhaalde fouten zijn seriële console en Sophos Support zinvoller dan meerdere identieke pogingen.

Backup-restore mislukt

Typische oorzaken zijn een ongeschikte doelversie, een beschadigde backup, een ontbrekende SSMK of een restore naar een ander model zonder schone poorttoewijzing. Controleer eerst backupversie, doel-SFOS-versie, build, platform en SSMK. Daarna verduidelijken of een Restore Assistant, een tussenstap via een andere SFOS-versie of support nodig is.

WebAdmin is na reimage niet bereikbaar

Na de reimage geldt weer de standaardconfiguratie. Verbind de computer direct met Port 1, stel een passende IP in het netwerk 172.16.16.0/24 in en open https://172.16.16.16:4444. Als dat niet werkt, controleer eerst linkstatus, lokale client-IP, browsercertificaatwaarschuwing en eventueel bootstatus.

HA start na restore niet netjes

Bij HA is vaak niet de reimage zelf het probleem, maar rol, firmwarestand, build, Initial Primary, Sophos Fusion-toewijzing of restore-volgorde. Activeer HA daarom niet automatisch opnieuw, maar documenteer eerst de toestand van beide apparaten en vergelijk die met de geplande HA-procedure.

Verkeer loopt niet na restore

Als de configuratie is hersteld maar verkeer niet werkt, zijn vaak interface mapping, zones, routing, NAT, Device Access, licentiestatus of retourpaden betrokken. Log Viewer, Rule ID, NAT ID, Route Lookup en Packet Capture helpen dan meer dan een nieuwe reimage.

Licentie of Sophos Fusion-verbinding ontbreekt

Na reimage, RMA of modelwijziging moeten serienummer, accounttoewijzing, licentietransfer, DNS, gateway en Sophos Fusion-verbinding weer kloppen. Pas wanneer de firewall schoon online is, moet men daaruit een productieve bedrijfsstatus afleiden.

Controlelijst

• Back-up gedownload.
• Secure Storage Master Key beschikbaar.
• Back-up en doel-SFOS-versie gedocumenteerd.
• Firmware-build en modelrevisie gecontroleerd, vooral bij HA of RMA.
• Serienummer, licentiestatus en Sophos Fusion-toewijzing gecontroleerd.
• Geschikte SFOS-installatiekopie geselecteerd.
• USB-stick succesvol geschreven.
• Onderhoudsvensters en lokale toegang verduidelijkt.
• Apparaat is niet uitgeschakeld tijdens reimage.
• WebAdmin bereikt via poort 1 na opnieuw opstarten.
• Back-up hersteld en SSMK ingevoerd.
• Netwerk, VPN, licentie, Sophos Fusion en HA gecontroleerd.
• Uitgevoerde regel-, NAT-, routing- en VPN-tests met echte clients.
• Tijdelijke hersteltoegang en notities opgeschoond.

Veelgestelde vragen