Przywracanie ustawień fabrycznych Sophos Firewall

Factory Reset przywraca ustawienia fabryczne konfiguracji aktualnie uruchomionego firmware SFOS. Jest odpowiedni, gdy sam SFOS działa, ale konfiguracja ma zostać celowo odrzucona albo urządzenie ma być przygotowane do kontrolowanej odbudowy.

⚠️ Nie mylić z reimage: Każdy Factory Reset usuwa własną konfigurację i przerywa cały ruch. Standardowy reset zachowuje sygnatury Pattern, raporty i logi; dodatkowe poziomy usuwania oferuje tylko szeregowe menu RESET. Pomoc SFOS 22 zawiera sprzeczne informacje o SSMK. Dlatego backup, hasło oraz bieżący i wcześniejsze SSMK trzeba zapisać poza firewallem. Pełna ponowna instalacja wymaga ponownej instalacji Sophos Firewall OS przez USB.

Zakres weryfikacji: Procedury porównano z dokumentacją SFOS 22/23, ale nie testowano ich na urządzeniu. Jeśli odzyskiwanie zależy od zachowania SSMK, przed resetem należy wyjaśnić z Sophos Support zachowanie dokładnej metody i buildu firmware; sprzeczne informacje nie dają gwarancji.

Factory Reset w sześciu krokach

1. Potwierdzić, że potrzebny jest Factory Reset, a nie rollback, restore lub reimage.
2. Zapisać poza urządzeniem aktualny backup, hasło backupu, bieżący i wcześniejsze SSMK, numer seryjny, build firmware i dane zarządzania.
3. Przygotować lokalny dostęp do Port 1, dostęp konsolowy i osobę na miejscu.
4. Wybrać właściwą drogę: WebAdmin, Device Console, szeregowe menu RESET albo sekwencję przycisku dokładnie odpowiadającą modelowi urządzenia XGS Appliance.
5. Poczekać na restart i setup assistant bez przedwczesnego wyłączania urządzenia.
6. Odbudować firewall albo przywrócić przewidziany backup i przetestować wszystkie funkcje.

Resetu nie wykonuje się bez świeżo utworzonego i pobranego poza urządzenie backupu, wymaganych kluczy oraz osiągalnej lokalnej drogi odzyskiwania. Wcześniej trzeba potwierdzić zgodność platformy i wersji docelowej. Jeśli analiza nadal trwa, najpierw zabezpiecza się logi, oś czasu i dane dla wsparcia; reset usuwa właśnie konfigurację, która mogłaby wyjaśnić problem.

Różnice między Factory Reset, rollback i reimage

Te trzy drogi mają różne cele. Factory Reset zachowuje zainstalowany firmware, ale przywraca jego bieżącą konfigurację. Rollback uruchamia poprzednią partycję firmware wraz z jej ówczesną konfiguracją. Reimage ponownie instaluje SFOS i usuwa również lokalne dane operacyjne, które Factory Reset celowo zachowuje.

Wolny WebAdmin, pojedyncza wadliwa usługa lub pełny system plików raportów nie są jeszcze powodem do Factory Reset. Najpierw sprawdza się konkretną usługę, stan pamięci i logi. Jeśli utracono tylko hasło wbudowanego konta admin, odzyskiwanie hasła przez konsolę szeregową przywraca to hasło bez usuwania całej konfiguracji.

Co usuwa każda droga resetu

Każde przywrócenie ustawień fabrycznych w SFOS 22, również za pośrednictwem Device Management, usuwa konfiguracje niestandardowe, w tym ustawienia sieciowe, hasła, użytkowników, grupy, zasady, konfiguracje VPN i samodzielnie utworzone sygnatury, na przykład własne sygnatury IPS. Usuwane są również reguły firewalla; potem pozostaje tylko automatycznie utworzona reguła Auto added firewall policy for MTA.

Dla resetu przez WebAdmin, Device Management lub przycisk urządzenia XGS Appliance:

• Sygnatury zaktualizowane przez Pattern updates pozostają.
• Raporty i logi pozostają.
• Sophos podaje sprzeczne informacje o Secure Storage Master Key (SSMK): dedykowana strona resetu, Device Management i opis akcji WebAdmin mówią, że nie jest usuwany, a ogólna sekcja firmware wskazuje jego usunięcie. Przed resetem należy zapisać klucz poza firewallem, a po operacji sprawdzić jego stan.
• Przywracana jest konfiguracja aktualnie uruchomionej partycji firmware. Druga partycja zachowuje własną konfigurację; późniejszy rollback może ją ponownie aktywować.

Bieżący i poprzedni firmware mają odrębne konfiguracje, ale korzystają ze wspólnego zbioru sygnatur aktualizowanych przez Pattern updates, raportów i logów. Rollback do poprzedniego firmware wraz z jego konfiguracją nie cofa więc ani resetu sygnatur, ani usunięcia raportów i logów. Druga partycja nie jest niezależną kopią zapasową tych wspólnych danych operacyjnych.

Menu szeregowe RESET ma trzy poziomy: opcja 1 usuwa konfiguracje niestandardowe; opcja 2 dodatkowo przywraca sygnatury Pattern do stanu firmware; opcja 3 również przywraca te sygnatury oraz usuwa raporty, logi i wszystkie dane umożliwiające identyfikację osób. Według tej samej strony SSMK pozostaje. Przy wycofaniu lub oczyszczaniu nie należy zakładać bezpiecznego wymazania: Sophos tylko reimage opisuje jako usunięcie wszystkich danych, obok procedur RMA lub utylizacji.

Opisany tutaj Factory Reset przez konsolę szeregową nie wpływa na rejestrację firewalla. Nie oznacza to jednak, że skonfigurowane połączenia zarządzania, dane dostępowe lub dostępność przez Central zostaną zachowane. Opisane poniżej skutki późniejszego restore dla rejestracji, szczególnie w przypadku HA, należy rozpatrywać oddzielnie.

Bezpieczne przygotowanie resetu

Przed oknem serwisowym tworzy się i pobiera aktualny backup Sophos Firewall. Bieżące backupy ręczne i zaplanowane wymagają skonfigurowanego SSMK. Restore wymaga Encryption password i SSMK aktywnego podczas tworzenia, czasem wcześniejszego. Zgodność sprawdza się wcześniej: dla backupów od 19.5 MR4 backup-restore assistant mapuje interfejsy na urządzenia XGS Appliance, urządzenia wirtualne i cloud od 20.0 MR2, ale nadal obowiązują ograniczenia platformy i wersji.

W przypadku urządzenia zdalnego zwykły dostęp WebAdmin nie jest drogą odzyskiwania. Po resecie obowiązują ustawienia fabryczne, a istniejące połączenia WAN, VPN lub Central mogą zniknąć. Przed rozpoczęciem musi więc być rzeczywiście dostępna osoba na miejscu, bezpośredni dostęp do Port 1 albo konsola szeregowa.

Nie resetuje się członka HA bez planu. Dokumentuje się role, Initial Primary, wersję i build, łącze HA, Central oraz kolejność odbudowy. Backup HA przywraca się na current primary, nigdy Auxiliary; Primary restartuje bez failover, powoduje downtime, synchronizuje Auxiliary i wyrejestrowuje oba firewalle z Central. Bez konfiguracji HA tekst mówi, że Auxiliary zachowuje poprzednią konfigurację, ale podsumowanie opisuje ustawienia fabryczne z zachowaniem portu administracyjnego peer i dedykowanego łącza HA. Nie wolno polegać na żadnej interpretacji. Procedura HA reimage dotyczy tylko Active-Passive, nie Active-Active. Patrz Warianty i konserwacja HA w Sophos Firewall.

Uruchamianie Factory Reset

W WebAdmin

Akcja Boot with factory default configuration jest dostępna w Backup & Firmware > Firmware. Zamyka bieżące sesje i uruchamia firewall ponownie z ustawieniami fabrycznymi. Okno serwisowe i lokalna droga odzyskiwania muszą już być aktywne przed potwierdzeniem.

Podobnie nazwana opcja Factory reset with default configuration language także resetuje firewall. Zmienia język domyślnych obiektów w bazie konfiguracji, a nie tylko język wyświetlania WebAdmin. Restore przywraca również język konfiguracji zapisany w backupie; ta opcja jest więc przeznaczona do pierwszego wdrożenia, a nie do okazjonalnej zmiany języka.

Jeśli podczas pierwszego wdrożenia trzeba świadomie zmienić język konfiguracji, wybrać żądany język domyślny w Factory reset with default configuration language i kliknąć Apply. Firewall zostaje zresetowany i rozpoczyna się konfiguracja podstawowa. Po jej zakończeniu firewall restartuje, a konfiguracje domyślne pojawiają się w wybranym języku. Przed Apply obowiązują te same kontrole backupu i dostępu co przed każdym resetem.

Przez Device Console

W CLI wybrać 5. Device Management > Reset to factory defaults i potwierdzić. Według Sophos SSMK, sygnatury Pattern, raporty i logi pozostają.

Przez konsolę szeregową z wybieranym poziomem usuwania

Aby wybrać inny poziom, podłączyć RJ45 COM lub micro-USB, otworzyć terminal szeregowy z prędkością 38400 baud, wpisać RESET wielkimi literami i potwierdzić opcję 1, 2 lub 3 opisaną wyżej.

⚠️ Opcja 3 usuwa również raporty, logi i dane umożliwiające identyfikację osób. Nie jest to ogólny krok diagnostyczny i nie można go cofnąć.

Przyciskiem Reset urządzenia XGS Appliance

Sekwencja sprzętowa zależy od modelu. Przed naciśnięciem przycisku trzeba potwierdzić oznaczenie modelu na urządzeniu.

XGS 116/116w i wyższe modele:

1. Przytrzymać przycisk Reset z tyłu przez ponad 10 sekund.
2. Zwolnić przycisk i poczekać na reset.

XGS 88/88w i XGS 108/108w, tylko przyciskiem Reset:

1. Nacisnąć przycisk Reset na co najmniej trzy sekundy i zwolnić.
2. Naciskać przycisk Reset przez 21 sekund i zwolnić.
3. Ponownie przytrzymać przycisk Reset, aż dioda stanu mignie trzykrotnie na czerwono, po około 21 sekundach.
4. Zwolnić przycisk.

Dla tych modeli alternatywna procedura z konsolą szeregową wygląda następująco:

1. Podłączyć kabel konsolowy i otworzyć konsolę, aby obserwować komunikaty.
2. Nacisnąć i zwolnić przycisk Reset jeden raz, aby zrestartować firewall.
3. Poczekać, aż na konsoli pojawi się strona loadera GRUB.
4. Dopiero wtedy przytrzymać przycisk Reset, aż na konsoli pojawi się Hard reset button is pressed, performing default factory reset.
5. Zwolnić przycisk i poczekać na reset.

XGS 87/87w i XGS 107/107w:

1. Nacisnąć i natychmiast zwolnić przycisk Reset.
2. Poczekać trzy sekundy.
3. Przytrzymać przycisk Reset, aż dioda stanu mignie trzykrotnie na czerwono.
4. Zwolnić przycisk.

W XG Series przycisk z tyłu tylko restartuje urządzenie i nie wykonuje Factory Reset. Nie próbuje się sekwencji przeznaczonej dla innego modelu. Jeśli etykieta, rewizja lub zachowanie diody są niejasne, bezpieczniejsza jest udokumentowana droga przez WebAdmin lub konsolę.

Ponowne uruchomienie produkcyjne firewalla

Podczas pierwszego logowania do WebAdmin po resecie z fabrycznych danych dostępowych konta admin korzysta się wyłącznie przez wcześniej przygotowaną, zaufaną lokalną ścieżkę zarządzania. W wyświetlonym oknie dialogowym należy natychmiast zastąpić fabryczne hasło złożonym hasłem i zatwierdzić je przyciskiem Apply. Nowe hasło należy bezpiecznie zapisać i sprawdzić przez wylogowanie oraz ponowne zalogowanie, zanim firewall zostanie ponownie wdrożony do pracy produkcyjnej. Nie należy w tym celu włączać dostępu administracyjnego przez WAN; po Factory Reset kolejny reset hasła za pomocą opcji 4 nie jest potrzebny.

Po restarcie uzyskuje się lokalny dostęp do urządzenia przez przewidziane połączenie początkowe i w kontrolowany sposób kończy setup assistant. Dopiero wtedy podejmuje się decyzję o utworzeniu nowej konfiguracji lub przywróceniu zgodnego backupu.

Restore zastępuje konfigurację, usuwa backup zapisany na firewallu i restartuje urządzenie. Adres zarządzania, interfejsy, Device Access, trasy i usługi pochodzą z backupu; domyślne hasło admin nie. Rejestracja Central pozostaje tylko przy restore na ten sam firewall; inny firewall lub klaster HA trzeba zarejestrować ponownie.

Po użyciu opcji 2 i 3 w menu szeregowym sygnatury Pattern producenta początkowo odpowiadają stanowi domyślnemu firmware i nie muszą być aktualne. Gdy zostaną przywrócone wymagany dostęp do Internetu i odpowiednie warunki aktualizacji, takie jak automatyczne aktualizacje, właściwa licencja i włączony moduł ochrony, sygnatury są aktualizowane w ramach standardowego procesu aktualizacji. Nie przywraca to usuniętych własnych sygnatur IPS. Przed odbiorem należy w Backup & firmware > Pattern updates sprawdzić dla każdego istotnego komponentu ochrony pola Current version, Available version, Last successful update i Update status: wersja i znacznik czasu muszą być aktualne, a ostatnia operacja aktualizacji musi mieć status Success. Dostęp do Internetu ani pojedynczy status Success nie potwierdzają stanu wszystkich komponentów. W przypadku nieaktualnych sygnatur Pattern lub nieudanych aktualizacji należy postępować zgodnie z instrukcją Konfigurowanie aktualizacji Pattern i diagnozowanie błędów, zamiast uznawać przywracanie za zakończone.

Odbiór obejmuje co najmniej aktywną wersję SFOS, interfejsy, WAN, DNS, DHCP, routing, SD-WAN, reguły firewalla, NAT, VPN, RED, HA, uwierzytelnianie, certyfikaty, logging i Sophos Fusion (dawniej Sophos Central). Samo udane logowanie nie dowodzi przywrócenia produkcyjnej ścieżki danych.

Gdy reset przebiega inaczej niż oczekiwano

Przycisk tylko restartuje urządzenie: Najpierw sprawdzić model i sekwencję. W XG Series jest to zamierzone zachowanie. Nie eksperymentować z coraz dłuższym naciskaniem.

Raporty lub logi nadal są obecne: Jest to zgodne z udokumentowanym zachowaniem Factory Reset. Jeśli trzeba też usunąć lokalne dane operacyjne, wykonuje się reimage.

Restore żąda klucza mimo poprawnego hasła: Potrzebny jest również SSMK aktywny podczas tworzenia backupu. Po zmianie klucza należy użyć właściwego wcześniejszego SSMK zamiast uruchamiać kolejne resety.

Po rollbacku wraca stara konfiguracja: Każda partycja firmware ma własną konfigurację. Factory Reset aktywnej partycji nie usuwa automatycznie konfiguracji drugiej partycji.

WebAdmin nie jest już osiągalny pod poprzednim adresem: Po resecie obowiązuje połączenie początkowe. Zamiast uruchamiać kolejne resety, sprawdzić okablowanie, adres IP klienta, Port 1 i lokalną drogę konfiguracji.

Lista kontrolna

• Factory Reset odróżniony od rollback, restore i reimage.
• Plik backupu, Encryption password oraz bieżący i wcześniejsze SSMK zapisane zewnętrznie.
• Sprawdzona zgodność z platformą i wersją docelową.
• Lokalny dostęp do Port 1 lub konsoli przetestowany.
• Potwierdzony dokładny model urządzenia XGS Appliance i odpowiednia sekwencja przycisku.
• Udokumentowane skutki dla HA, downtime, licencji i Central.
• Świadomie wybrany efekt opcji 1, 2 lub 3 szeregowego RESET.
• Przygotowane setup, restore i testy funkcjonalne.
• Nie przyjęto, że raporty, logi i druga partycja firmware zostały usunięte.

FAQ