Sophos Firewall SFOS 22-upgradecheck: blokkers vinden

Vóór een upgrade naar SFOS 22 moet duidelijk zijn of het platform, het upgradepad en de configuratie de doelrelease ondersteunen. Deze controle houdt rekening met SFOS 22.0 MR2 Build 546 van 14 juli 2026 en vormt een aanvulling op de algemene handleiding voor een Sophos Firewall-firmware-update.

Harde blokkers voor upgrade en herstel

• XG- of SG-hardware: SFOS 22 wordt niet ondersteund. In plaats van een upgrade is migratie naar XGS of naar een virtueel, software- of cloudplatform vereist.
• Legacy Remote Access IPsec: Vanaf SFOS 22.0 MR1 moet de configuratie vóór de upgrade worden gemigreerd of verwijderd.
• Legacy CLI VLAN Tagging op een bridge-interface: Vanaf SFOS 22.0 MR2 moet system vlan-tag worden vervangen door ondersteunde VLAN-interfaces.
• Back-up met Legacy VLAN Tagging: Voor herstel naar SFOS 22.0 GA of nieuwer moet de bronconfiguratie worden opgeschoond en een nieuwe back-up worden gemaakt.
• Opslag of upgradepad: Als de firmwarepagina onvoldoende opslagruimte of een ongeldig upgradepad meldt, moet eerst de oorzaak worden verholpen.

Als een blokker van toepassing is of een punt onduidelijk blijft, mag de upgrade niet worden gestart.

Direct upgradepad naar SFOS 22.0 MR2

Voor de hier behandelde doelversie SFOS 22.0 MR2 Build 546 ondersteunt Sophos een directe upgrade vanuit de volgende versies:

• SFOS 22.0: MR1 Build 490 en GA Build 411 of 365
• SFOS 21.5: MR2 Build 323, MR1 Build 261 of GA Build 171
• SFOS 21.0: MR2 Build 349, MR1 Build 277, 272 of 237 en GA Build 169
• Oudere versies: elke SFOS 20.0-, 19.5- of 19.0-versie

⚠️ Staat de huidige versie niet in deze lijst, dan mag de waarschuwing voor een niet-ondersteunde migratie niet worden bevestigd. De firewall wordt anders opnieuw opgestart met fabrieksinstellingen en de huidige configuratie gaat verloren. Een back-up kan eveneens alleen worden hersteld vanuit een versie waarvan de configuratiemigratie wordt ondersteund.

Voor een oudere of niet-vermelde versie moet eerst een ondersteund tussenpad worden gepland. De versielijst vervangt bovendien geen van de overige controles: platform, opslag, verouderde afhankelijkheden en herstelplan moeten eveneens kloppen.

Controleren vóór het onderhoudsvenster

Platform en verouderde afhankelijkheden

• Het model en de huidige firmware worden gedocumenteerd, zodat het hierboven vermelde upgradepad en een eventueel herstel traceerbaar blijven.
• XG- en SG-hardware worden als een migratie behandeld, niet als een normale upgrade.
• UTM9 SSL VPN-tunnels en RED 15, RED 15w en RED 50 worden vóór de upgrade vervangen.
• Onder Network > Interfaces worden namen gecorrigeerd die eindigen op tien of meer cijfers. Dergelijke namen kunnen interfaces na de upgrade in WebAdmin verbergen.

Opslag, back-up en toegang

De bezetting van partities kan globaal worden gecontroleerd in de Advanced Shell:

df -kh

Waarschuwingen op de firmwarepagina moeten vóór de upgrade worden opgelost. De referentiecode laat zien wat de upgrade blokkeert:

• FWDS501: de Primary Disk of een van de partities is te klein voor SFOS 22. FWDS501: Primary Disk vóór SFOS 22 vergroten legt uit hoe de betrokken partitie wordt vastgesteld en of de bestaande installatie kan worden vergroot of de firewall opnieuw moet worden geïmplementeerd.
• FWDS502: in /var is onvoldoende vrije ruimte. In 4. Device Console toont system firmware check-disk-space de benodigde ruimte en de betrokken datagebieden. Reports of logs mogen pas gecontroleerd worden opgeschoond nadat benodigde gegevens zijn veiliggesteld; de procedure staat in Opslagruimte controleren en reports beheren.
• FWDS503: de /content-partitie is te klein. Sophos vereist een fabrieksreset met uitval en verlies van de huidige configuratie. Eerst worden een recente back-up en de SSMK veiliggesteld. Daarna wordt via de seriële console RESET in hoofdletters ingevoerd en optie 2 gekozen; hiermee worden de eigen configuraties verwijderd en de pattern-signatures teruggezet naar de stand van de actieve firmware. Vervolgens worden de back-up hersteld en de functies gecontroleerd; pas daarna wordt de update uitgevoerd. Lokale reports worden niet hersteld.
• FWDS504: de SSD-firmware is verouderd en moet vóór de SFOS-upgrade worden bijgewerkt.
• FWDS505: Sophos Support moet de SSD-gezondheid controleren. Een lokale SMART-check kan waarden voor Support documenteren, maar heft de blokkering niet op.

In een HA-cluster moet elke node afzonderlijk worden gecontroleerd, omdat beide appliances verschillende referentiecodes kunnen tonen.

Vóór de start moeten bovendien de volgende zaken beschikbaar zijn:

• een recente, extern opgeslagen back-up en de bijbehorende Secure Storage Master Key
• lokale beheerderstoegang of alternatieve toegang buiten het normale VPN-pad
• een gedefinieerd terugvalpad met een verantwoordelijke en beslismoment
• bij HA een gezond, synchroon cluster met stabiele HA-links en Monitored Ports

Details over back-up en herstel staan in Een Sophos Firewall-back-up maken of herstellen.

Configuraties met een bijzonder risico

Legacy Remote Access IPsec

Vanaf SFOS 22.0 MR1 blokkeert een bestaande Legacy Remote Access IPsec-configuratie de upgrade. Betrokken gebruikers, pools en profielen moeten eerst worden gemigreerd naar de huidige Remote Access IPsec-configuratie, SSL VPN, ZTNA of een ander passend ontwerp. De procedure staat in Legacy Remote Access IPsec vóór SFOS 22 MR1 migreren.

Policy-based IPsec en NAT

Productieve policy-based Site-to-Site-tunnels moeten vóór en na de upgrade met een concrete testflow worden gecontroleerd. Daaronder vallen Source, Destination, Service, Traffic Selectors, de peer en de verwachte firewall- en NAT-regel. Bij problemen helpen IPsec VPN-troubleshooting en NAT op Sophos Firewall begrijpen.

SMTP via DNAT

Als een interne mailserver via DNAT wordt gepubliceerd, moet het onderhoudsplan meerdere echte inkomende testberichten bevatten en niet alleen een poorttest. Sophos vermeldt onder NC-184583 sporadisch verbroken SMTP-verbindingen na een upgrade naar SFOS 22.x; GA Respin Build 411 wordt expliciet als getroffen versie genoemd en er is geen openbare workaround. De exacte versieafbakening, bewijsverzameling en supportescalatie staan in Server publiceren via DNAT op Sophos Firewall.

Legacy VLAN Tagging op bridges

Legacy CLI VLAN Tagging op bridge-interfaces heeft drie gevolgen:

• Onder GA en MR1 kan verkeer van of naar de firewall uitvallen, terwijl transitverkeer blijft werken.
• Vanaf MR2 wordt de upgrade geblokkeerd.
• Een getroffen back-up kan niet worden hersteld naar SFOS 22.0 GA of nieuwer.

Vóór het opschonen moeten de bridge, VLAN IDs, IP-adressen, zones, switchtrunks en afhankelijke services worden gedocumenteerd. Daarna worden ondersteunde VLAN-interfaces met de bridge als Parent gemaakt en wordt een nieuwe back-up gegenereerd. Dit bijzondere geval wordt beschreven in Sophos Firewall bridge-VLAN’s vóór SFOS 22 controleren.

STAS

Voor een upgrade naar MR1 moet onder Authentication > STAS de optie Restrict client traffic during identity probe op No staan. MR2 verhelpt de MR1-fout en gebruikt voor nieuwe configuraties standaard No; bestaande waarden en gebruikersgebaseerde regels moeten toch worden gecontroleerd. Meer informatie staat in STAS op Sophos Firewall configureren.

Onderhoudsvenster en controle

• Vooraf: Blokkers uitsluiten, back-up en SSMK beschikbaar stellen, de HA-synchronisatie controleren en VPN-, test- en terugvalpaden documenteren.
• Tijdens: Geen parallelle wijzigingen aan routing, VPN of switching uitvoeren; de status en HA-failover controleren.
• Achteraf: Firmware, interfaces, internet, firewallregels, VPN, NAT, HA, STAS, DNS, DHCP, Central en Log Viewer controleren.

Een groene tunnel of een geslaagde Policy Test bewijst nog niet dat productieverkeer werkt. Kritieke verbindingen moeten daarom worden getest met echte pakketten, Log Viewer, Packet Capture en de Firewall en NAT Rule ID. Bij problemen mogen niet meerdere gebieden tegelijk worden gewijzigd.

De upgrade is voltooid wanneer de gedefinieerde tests zijn geslaagd en de doelversie, HA-status, testresultaten en openstaande vervolgwerkzaamheden zijn gedocumenteerd.

FAQ