Bezpieczne wdrażanie firmware Sophos AP6 w Central

Dla centralnie zarządzanego Sophos AP6 najkrótsza ścieżka to My Products > Wireless > Access Points > Firmware upgrade. Wybierz urządzenia, a następnie Now, aby rozpocząć od razu, Custom, aby wskazać jednorazową datę i godzinę, albo Recurring, aby automatycznie stosować nowe firmware codziennie, co tydzień lub co miesiąc. Artykuł dotyczy wyłącznie AP6.

⚠️ Zaplanuj przerwę: podczas aktualizacji AP6 nie obsługuje klientów Wi-Fi bez przerwy. Podczas operacji nie wyłączaj ani nie odłączaj punktu dostępowego, ponieważ grozi to uszkodzeniem urządzenia. Przed startem ustabilizuj zasilanie, PoE i uplink; nie przerywaj operacji restartem lub resetem.

Warstwa zarządzania i ścieżka danych

Sophos Fusion (dawniej Sophos Central) jest tu warstwą zarządzania: planuje lub uruchamia zadanie, a AP6 pobiera i instaluje firmware. Ruch klientów nadal biegnie przez AP6, switch/VLAN i bramę; nie przechodzi przez Central. Dostępny portal Central nie utrzyma więc ścieżki Wi-Fi podczas restartu AP.

AP6 musi być zarejestrowany, online i osiągalny przez sieć zarządzającą. Dla najnowszego firmware Sophos wymaga też ważnej subskrypcji wsparcia. Zobacz wymagania Central Wireless oraz zarządzanie AP6 lokalnie lub przez Central.

Przed wdrożeniem

1. Avanet Release Owner eksportuje z My Products > Wireless > Access Points model, bieżące Firmware, lokalizację, funkcje konfiguracji, stan online i Last activity do rekordu zmiany. Zielony znacznik w kolumnie firmware oznacza aktualną wersję, niebieska strzałka — dostępne uaktualnienie, a zegar — zaplanowany termin.
2. Na początku każdej zmiany otwiera aktualizowane na żywo informacje o wydaniach AP6 i zapisuje Latest version, datę, modele, poprawki, funkcje i znane problemy. Ta kontrola jest obowiązkowa; wersja wpisana na stałe w artykule nie może być celem.
3. Rejestr wydań Avanet zawiera datę przeglądu, wersję kandydującą, zainstalowane wersje i modele, stan wsparcia, istotne funkcje oraz linki do zmiany i informacji o wydaniu. Owner ocenia znane problemy, naprawione podatności i komunikaty bezpieczeństwa, zależności switch, VLAN, RADIUS, captive portal i mesh oraz wymagane zmiany konfiguracji. Wynik to zatwierdzenie, odroczenie albo odrzucenie, z uzasadnieniem i akceptacją Service Ownera.
4. Po zatwierdzeniu Owner określa okno, AP pilotażowy, małe pierścienie według lokalizacji/modelu, szeroki pierścień, obserwację, kryteria sukcesu i stop/go dla każdego pierścienia. Nie zaczyna krytycznej strefy od jej jedynego AP; niezatwierdzone kombinacje pozostają poza falą.
5. Przed każdym pierścieniem inżynier sprawdza subskrypcję wsparcia, PoE, port, DHCP, DNS, wyjście do Central oraz kopię lub eksport konfiguracji. Nie zaczyna przy niestabilnym zasilaniu, AP już offline lub niespełnionych kryteriach.
6. Zmiana określa identyczne testy przed i po: SSID, uwierzytelnienie, IP, brama, DNS, dozwolone cele oraz VLAN, RADIUS, captive portal lub mesh. Tuż przed wykonaniem Owner i inżynier potwierdzają cel, urządzenia, okno, komunikację i granicę rollbacku.

MR10 1.10.3192: weryfikacja wybranych funkcji i poprawek

Stan na określoną datę: AP6 MR10 ma wersję firmware 1.10.3192. Informacje o wydaniu podają 24 sierpnia 2026 jako datę publikacji; ogłoszenie MR10 z 8 września 2026 opisuje etapowe wdrożenie regionalne i powiązane funkcje zarządzania. Dane te nie zastępują sprawdzenia aktualnych wydań ani zatwierdzenia dla własnej dzierżawy.

Dla EU-Central daty w ogłoszeniu są sprzeczne: nagłówek fazy 3 podaje «New Date Coming September 14, 2026», a tekst poniżej nadal 7 września 2026. Nie można z tego wywnioskować, że dostępność w regionie została faktycznie zapewniona. Przed zmianą w danej dzierżawie sprawdź oferowane firmware, strzałkę aktualizacji lub plik do pobrania dla konkretnego modelu oraz potrzebne funkcje Wireless. Jeśli czegoś brakuje, odrocz pierścień i wyjaśnij dostępność z Sophos Support. Historyczna data lub dostępny plik firmware nie dowodzi, że wszystkie funkcje chmurowe są już dostępne w dzierżawie.

Najpierw zaktualizuj tylko firmware AP pilotażowego i powtórz dotychczasowe testy klientów. Następnie osobno zweryfikuj nowe uwierzytelnianie, Traffic Shaping lub wartości profilu; inaczej nie da się wiarygodnie przypisać błędu do firmware albo zmiany konfiguracji. Dla każdej funkcji zapisz w rekordzie zmiany poprzednią wartość, planowaną zmianę, użytego klienta i wynik.

Entra ID i RADIUS dla poszczególnych SSID

MR10 dodaje Microsoft Entra ID jako chmurowego dostawcę tożsamości dla SSID AP6 z Enterprise Authentication. Postępuj zgodnie z istniejącym runbookiem Entra ID dla AP6. Nadal obowiązują EAP-TTLS/PAP, weryfikacja certyfikatu i tożsamości serwera oraz opisane tam ograniczenia klientów i dzierżawy. Udany Test connection to tylko pierwszy etap: następnie sprawdź rzeczywiste logowanie z zatwierdzoną tożsamością pilotażową i profilem klienta, a także DHCP, DNS i dozwolone cele. Ogłoszenie Entra nie znosi ograniczeń dotyczących RADIUS VLAN assignment, Accounting ani Captive Portal.

Ogłoszenie MR10 wymienia zarządzanie RADIUS dla poszczególnych SSID; informacje o wydaniu wyraźnie potwierdzają przypisywanie serwerów RADIUS do poszczególnych SSID w lokalnym interfejsie AP6. Nie jest to ogólna gwarancja, że każda kombinacja różnych serwerów lub IdP działa bez konfliktów w nakładających się pasmach częstotliwości. Najpierw zapisz przypisania serwerów/IdP i pasma wszystkich SSID Enterprise na AP pilotażowym. Po zmianie ponownie zaloguj się do każdego objętego nią SSID i sprawdź w logu RADIUS, który serwer przetwarza żądanie. Jeśli istniejące przypisanie zmieni się nieoczekiwanie, zatrzymaj działania i przywróć udokumentowaną konfigurację; nie pomijaj kontroli konfliktów pasm z runbooka Entra.

Przy klasycznym RADIUS sprawdź też oczekiwane przypisanie VLAN i NAS Identifier. Ogłoszenie MR10 wymienia WIFIX-10111/10166 dla błędnych przypisań VLAN z WPA2/WPA3 Enterprise oraz WIFIX-7922 dla numeru seryjnego AP jako NAS Identifier. Warunkiem odbioru jest zgodność odpowiedzi RADIUS, rzeczywistego VLAN klienta i przypisania NAS używanego na serwerze. Ta kontrola RADIUS nie jest testem dynamicznych VLAN z IdP Entra.

Traffic Shaping i WMM

Traffic Shaping dla SSID AP6 można skonfigurować w Sophos Fusion w Advanced settings > Quality of service. Wybierz SSID pilotażowy, zachowaj dotychczasową politykę i sprawdź skonfigurowany limit przy użyciu kontrolowanego transferu. Równolegle przetestuj niezmieniony, istniejący SSID. WIFIX-9535 dotyczy polityk, które przestawały działać po kilku dniach: powtórz pomiar po dwóch do trzech dniach pracy przed uznaniem tego przypadku za zweryfikowany. Krótki test przepustowości bezpośrednio po aktualizacji nie wystarczy.

WMM nadaje priorytety ruchowi radiowemu i nie jest tym samym co limit przepustowości SSID. Zarządzanie profilami rozsyła wartości WMM do jednego lub wielu AP6. Informacje o wydaniu przypisują konfigurację WMM-EDCA na karcie Advanced Wireless już do wydania zarządzania Central 2026.29 z 20 lipca 2026; nie należy więc traktować jej jako nowej funkcji firmware MR10. Zachowaj domyślne wartości WMM, dopóki inne wartości nie zostaną zweryfikowane we własnym środowisku radiowym. Jeśli zmiana jest potrzebna, najpierw użyj profilu przypisanego tylko do AP pilotażowego i porównaj głos lub wideo przy równoczesnym obciążeniu ruchem danych z poprzednim stanem. Przy pogorszeniu przywróć zapisane wartości profilu i powtórz ten sam test.

Dodatkowe kontrole poprawek po aktualizacji

Poniższe kontrole dotyczą tylko faktycznie używanych funkcji. Wpis o poprawce nie dowodzi, że własna lokalizacja działa już bez błędów:

• WIFIX-12318: Zatwierdzona pilotażowa zmiana konfiguracji musi dotrzeć do AP. Porównaj Task queue, zastosowaną konfigurację i efekt u klientów; sam odblokowany stan kolejki nie wystarczy.
• WIFIX-10877: Poprawka dotyczy awarii demona SD powodującej restart AP. Rejestruj uptime i nieoczekiwane restarty w uzgodnionym okresie obserwacji. Pojedynczy udany restart po aktualizacji nie dowodzi stabilności długoterminowej.
• WIFIX-10717: Jeśli używasz Walled Garden, porównaj dozwolony i blokowany cel testowy; lista blokowania musi faktycznie egzekwować przewidzianą blokadę.
• WIFIX-10142: Poprawka dotyczy okresowo generowanych błędnych ostrzeżeń o mocy. Mimo to nowe ostrzeżenia najpierw porównaj z klasą PoE, budżetem portu i budżetem całkowitym; nie ignoruj ich z powodu wpisu o poprawce.
• WIFIX-9594: MR10 aktualizuje Dnsmasq do 2.91, aby usunąć luki bezpieczeństwa. Potwierdź zatwierdzoną wersję firmware i powtórz własne testy DHCP/DNS. Bez dodatkowych dowodów nie wyciągaj z tego wniosku o pełnym zatwierdzeniu bezpieczeństwa urządzenia.

Fusion Wireless 2026.41: odrębne wydanie zarządzania

Nowsze wydanie zarządzania: Fusion 2026.44, opublikowane 12 października 2026. Poniższe informacje o 2026.41 pozostają punktem odniesienia.

Informacje o wydaniu sprawdzone 11 października 2026 wskazują Fusion 2026.41, opublikowane 22 września 2026, jako aktualne wydanie zarządzania. To późniejsza wersja zarządzania Wireless, a nie wersja firmware AP6 1.10.41. Nowe funkcje wymagają odpowiedniej licencji; ich widoczność we własnej dzierżawie i firmware AP pilotażowego sprawdzaj osobno. Dla tego wydania zarządzania informacje nie wymieniają nowych funkcji lokalnego interfejsu ani rozwiązanych problemów.

W zarządzaniu profilami AP karta Network settings udostępnia ustawienia przewodowych portów Ethernet: Spanning Tree Protocol (STP), Internet Group Management Protocol (IGMP) snooping, Link Layer Discovery Protocol Media Endpoint Discovery (LLDP-MED) oraz, wyłącznie dla AP6 840E, port trunking. Nie włączaj tych opcji automatycznie wraz z MR10. Najpierw zapisz istniejący profil, przypisane AP i odpowiadającą im konfigurację portów switcha. Potrzebną zmianę zastosuj tylko w profilu pilotażowym, a następnie sprawdź dostępność zarządzania, łącze Ethernet i objętą zmianą ścieżkę klienta. Przy nieoczekiwanych skutkach zatrzymaj kolejne przypisania profilu i przywróć udokumentowane wartości profilu oraz switcha. Obecność opcji nie gwarantuje określonej konfiguracji trunkingu ani obsługi innego modelu AP6.

W Diagnostics > System logs można opcjonalnie włączyć advanced diagnostic logging. Służy to do ukierunkowanej diagnostyki, a nie do aktualizacji firmware. Podczas analizy zapisz czas, AP i odtworzony objaw, zachowaj odpowiednie logi, a po zakończeniu wyłącz dodatkowe rejestrowanie zdarzeń lub przywróć udokumentowany poprzedni stan. Przed przekazaniem logów sprawdź, czy nie zawierają danych logowania ani danych osobowych. Nie próbuj wymuszać pojawienia się brakujących opcji dzierżawy przez reset lub domniemany downgrade firmware.

Aktualizacja natychmiastowa, jednorazowa lub cykliczna

1. Otwórz My Products > Wireless > Access Points i kliknij Firmware upgrade.
2. Wybierz tylko AP pilotażowe lub przewidziane do danej fali i kliknij Choose schedule.
3. Wybierz opcję:
   • Now: kliknij Upgrade, aby zacząć natychmiast.
   • Custom: wybierz jednorazową datę i godzinę, po czym Save.
   • Recurring: wybierz harmonogram dzienny, tygodniowy lub miesięczny. Upgrade jest automatycznie stosowany na wybranych AP. Domyślnie widoczny jest wtorek o 03:00 co tydzień; świadomie dopasuj termin do okna serwisowego.
4. Wróć do listy i sprawdź urządzenia oraz ikonę Firmware. Przy zaplanowanym AP musi pojawić się zegar.

Przed startem anuluj termin przez Firmware upgrade, wybór AP6 i Cancel schedule. To bezpieczna granica zatrzymania, a nie downgrade firmware.

Wdrożenie etapowe pod odpowiedzialnością Avanet

Inżynier zapisuje start, koniec, wybrane AP i stan Central każdej fali; Avanet Release Owner zwalnia kolejny pierścień dopiero po udanej walidacji:

1. Pilotaż: zaktualizuj reprezentatywny AP6, który nie jest jedynym urządzeniem krytycznym. Wykonaj pełne testy klientów i obserwuj go przez reprezentatywny okres.
2. Mała grupa: zaktualizuj małą falę tego samego modelu i podobnej konfiguracji, zachowując w każdej lokalizacji wystarczające pokrycie poza równoczesną falą.
3. Szerokie wdrożenie: planuj kolejne grupy dopiero po udokumentowanym sukcesie pilotażu. Nie zakładaj, że mesh, RADIUS lub captive portal zachowują się jak prosty samodzielny AP.
4. Pozostałe urządzenia: wyszukaj w Central niebieską strzałkę, zegar lub inną wersję. Owner uzgadnia wynik z rejestrem i dokumentuje aktualizację albo odroczenie.

Przed falą bezpieczny powrót oznacza anulowanie harmonogramu i pozostawienie niezaktualizowanych AP na dotychczasowej wersji, a nie wymyślony downgrade.

Lokalna aktualizacja AP6

Lokalny interfejs w Advanced > Update firmware oferuje dwa źródła:

• Auto: AP6 automatycznie aktualizuje firmware z Sophos. Strona pokazuje Current Firmware Version, Server Firmware Version i Status.
• a file on your PC: w Central przejdź do My Environment > Installers, a w Wireless kliknij Download firmware for your wireless. Z archiwum wyodrębnij dokładnie plik .tar.gz.sig właściwy dla modelu AP6. Lokalnie otwórz Advanced > Update firmware > a file on your PC > Choose file, wybierz plik, kliknij Open, a następnie Update.

Najnowsze firmware wymaga także rejestracji w Central i ważnej subskrypcji wsparcia. Lokalny upload nie omija tych wymagań. Nie mieszaj pakietów modeli, nie zmieniaj podpisanego pliku i nie odłączaj zasilania ani sieci.

Walidacja powodzenia

Po restarcie zaczekaj, aż AP6 wróci online. W Central porównaj wyświetlane Firmware z zatwierdzonym wydaniem; zielony znacznik oznacza wersję aktualną. Lokalnie sprawdź Current Firmware Version, Server Firmware Version i Status.

Podłącz prawdziwego klienta i powtórz testy. Sam stan zarządzania online nie wystarcza: muszą działać uwierzytelnienie, DHCP, brama, DNS i dozwolone cele. Jeśli występują, przetestuj osobno VLAN, RADIUS, captive portal lub mesh. Inżynier zapisuje wynik, model, wersje, czas i odchylenia; Owner aktualizuje rejestr i zwalnia kolejny pierścień tylko po spełnieniu wszystkich kryteriów.

Bezpieczne rozwiązywanie problemów

Brak oferowanego upgrade’u: sprawdź rejestrację, subskrypcję, stan online i Last activity, następnie niebieską strzałkę oraz informacje o wydaniu. Aktualny AP nie potrzebuje zadania.

Harmonogram nie rusza: potwierdź właściwy AP i zegar w kolumnie firmware. Otwórz ponownie datę, godzinę i cykl. Przed startem anuluj i utwórz jeden czysty termin zamiast równoległych.

Lokalny plik odrzucony: pobierz archiwum ponownie i sprawdź .tar.gz.sig dla dokładnego modelu. Nie zmieniaj nazwy, zawartości ani dalej go nie rozpakowuj. Zapisz model, wersję, nazwę pliku, czas i komunikat.

AP pozostaje offline: nie odłączaj szybko zasilania i nie zaczynaj od Factory default. Sprawdź PoE, port, dzierżawę DHCP i połączenie z Central. Jeśli AP wróci, zweryfikuj firmware i ścieżkę klienta; jeśli nie, Owner zatrzymuje kolejne pierścienie i zapisuje czas, model, numer seryjny, wersje, stan i kontrole, a inżynier otwiera sprawę w Sophos Support. Instrukcja diagnostyki AP6 w stanie offline opisuje sprawdzanie zasilania i łączności zarządzania.

Bezpieczna granica rollbacku

Ten proces AP6 nie ma zatwierdzonego downgrade’u firmware. Nie wgrywaj starszego obrazu na próbę i nie obiecuj cofnięcia. Przed startem inżynier używa Cancel schedule, a Owner blokuje następne fale w zmianie i rejestrze. Gdy upgrade trwa, zachowaj zasilanie i sieć, poczekaj na koniec lub wyraźny błąd i zapisz stan. Owner wybiera przywrócenie warunków zasilania, sieci lub konfiguracji, eskalację do wsparcia albo wymianę urządzenia; rollout rusza dalej dopiero po udokumentowaniu odzyskania i ponownej akceptacji. Reset nie przywraca automatycznie poprzedniego firmware.