Zastępowanie uszkodzonego firmware Sophos Firewall za pomocą SFLoader

Jeśli aktywne firmware jest uszkodzone i WebAdmin nie uruchamia się, SFLoader może przesłać do firewalla zgodny obraz firmware przez tymczasowy dostęp w przeglądarce. Ta ścieżka nie naprawia zwykłego błędu konfiguracji. Jest to procedura recovery dla urządzeń, na których SFLoader jest rzeczywiście dostępny.

⚠️ Ważne: SFLoader nie jest dostępny na urządzeniach XGS Appliance. XGS Appliance z uszkodzonym firmware odtwarza się przy użyciu procedury reimage przez USB. SFLoader nadpisuje wybraną partycję firmware. Factory uruchamia ponadto nowy obraz z konfiguracją fabryczną. Nie należy zaczynać bez sprawdzonej ścieżki powrotu; backup można odtworzyć tylko z hasłem szyfrowania i, jeśli dany backup go używa, właściwym SSMK.

SFLoader w dwunastu krokach

Pobrać zgodny obraz firmware .gpg zgodnie z procedurą Sophos Download firmware dla aktywnego firewalla.
Potwierdzić dostępność SFLoader na urządzeniu oraz, przy zmianie wersji, ważne uprawnienie wsparcia lub pozostały jeden z trzech bezpłatnych upgrade’ów firmware.
Przygotować ścieżkę powrotu, dane zarządzania i dostęp lokalny. Podłączyć endpoint do portu szeregowego kablem konsolowym i sprawdzić terminal. Jeśli rozważane jest Factory, sprawdzić też backup, hasło i w razie potrzeby SSMK.
Uruchomić firewall ponownie, wybrać SFLoader w menu startowym klawiszami strzałek i nacisnąć Enter.
W SFLoader najpierw uruchomić 4 Upgrade Loader. Aktualizacje firmware nie aktualizują automatycznie loadera, a widoczne opcje menu nie są automatycznie obsługiwane.
Wybrać 1 Load New Firmware.
Skonfigurować dostęp sieciowy w 1 Network Device, wybrać 1 Port1 i ustawić adres przez 1 Enable DHCP lub 2 Manual IP settings.
Wybrać Upload firmware using your desktop browser.
Na podłączonym endpointcie otworzyć http://<SFOS device IP address>, wybrać obraz .gpg za pomocą Choose file, potwierdzić przyciskiem Open i przesłać przez Send.
W szeregowej sesji SFLoader wybrać firmware do nadpisania i potwierdzić Overwrite.
Świadomie wybrać Migrate dla konfiguracji firmware, które nie jest nadpisywane, albo Factory dla konfiguracji fabrycznej i potwierdzić przyciskiem OK.
Zakończyć potwierdzenia klawiszem Enter, poczekać na restart i zalogować się hasłem zmigrowanej konfiguracji albo, po Factory, hasłem admin.

Decydującym momentem nie jest upload, lecz chwila przed Overwrite i wybór w kroku 11. Migrate próbuje zastosować w nowym obrazie konfigurację z drugiej partycji. Factory rezygnuje z tej ścieżki migracji i uruchamia konfigurację domyślną. SFLoader nie pozwala łatwo cofnąć nadpisania. Jeśli nie wiadomo, która partycja zostanie nadpisana, czy druga partycja się uruchomi albo która konfiguracja ma zostać zachowana, należy zatrzymać procedurę przed Overwrite.

Kiedy SFLoader jest właściwy

SFLoader jest właściwy, gdy firmware jest uszkodzone, WebAdmin nie jest już dostępny, a menu startowe urządzenia udostępnia loader. W przypadku zwykłego upgrade, downgrade lub rollback bardziej kontrolowaną ścieżką pozostaje standardowa procedura firmware SFOS.

Ścieżki recovery znacznie się różnią:

WebAdmin dostępny: normalnie przesłać zgodny obraz i uruchomić go w zaplanowany sposób.
Poprzednia partycja firmware działa: rozważyć kontrolowany rollback.
SFLoader dostępny, WebAdmin niedostępny: zastąpić uszkodzone firmware za pomocą SFLoader.
XGS Appliance lub potrzebna pełna reinstalacja: wykonać reimage z pamięci USB.
Tylko reset konfiguracji: sprawdzić osobną procedurę Factory Reset.

Procedura dla starszych instalacji, nie potwierdzenie zgodności z aktualnym sprzętem: Instrukcja SFLoader nadal znajduje się w pomocy SFOS 22/23. Nie oznacza to, że sprzęt XG lub SG obsługuje te wersje ani że loader jest dostępny na każdej platformie. Sprzęt XG i SG nie obsługuje SFOS 21.0 GA ani nowszych wersji; przegląd migracji z XG do XGS pomaga zaplanować wymianę. Ten runbook dotyczy wyłącznie starszej instalacji z faktycznie dostępnym SFLoader i wyraźnie odpowiednim obrazem.

SFLoader nie aktualizuje się automatycznie. Starszy loader może nadal pokazywać nieobsługiwane opcje. Przed kontynuowaniem wybrać 4 Upgrade Loader i ręcznie załadować firmware zgodnie z wyświetlanymi komunikatami; samo wybranie opcji nie dowodzi pomyślnej aktualizacji loadera. Starsza instrukcja wymaga pliku .gpg, podczas gdy aktualne pliki firmware są dostępne również jako pakiety .sig. Nie zmieniać po prostu nazwy pakietu .sig na .gpg. Jeśli nie można uzyskać obrazu zatwierdzonego dla modelu, loadera i ścieżki wersji albo komunikaty są inne, zatrzymać procedurę i uzgodnić ścieżkę recovery ze wsparciem.

Przygotowanie recovery

Przed restartem zaplanować okno serwisowe uwzględniające przerwę w ruchu, stabilne zasilanie oraz osobę na miejscu lub niezależny dostęp do konsoli. Dostęp recovery nie może zależeć wyłącznie od tunelu VPN tego firewalla. Jeśli WebAdmin nadal jest dostępny, najpierw zapisać aktualny backup poza urządzeniem; w przeciwnym razie sprawdzić ostatni dostępny backup i zgodność restore. Dla Migrate trzeba znać także hasło logowania do konfiguracji na partycji, która nie zostanie nadpisana. Ani Migrate, ani pozornie sprawna druga partycja nie gwarantują zachowania konfiguracji, logów, certyfikatów, secretów czy SSMK. Jeśli ścieżka powrotu jest niejasna, zatrzymać procedurę przed restartem.

Obraz firmware musi pasować do urządzenia i aktywnej ścieżki wersji. W przypadku aktywnego firewalla Sophos wskazuje Sophos Central > Licensing > Firewall licenses; tam należy wybrać firewall i jeden z dostępnych dla niego plików firmware. Nie należy używać ogólnej strony Firewall Installers: Sophos określa znajdujące się tam pliki jako obrazy do nowych instalacji i ostrzega, że ich instalacja na istniejącym urządzeniu usuwa wszystkie dane i ustawienia. Obraz .gpg przypadkowo znaleziony w starym katalogu pobierania również nie jest wiarygodnym plikiem recovery.

Od SFOS 19.0 MR1 przejście na inną wersję firmware zasadniczo wymaga Enhanced Support lub Enhanced Plus Support. Bez uprawnienia wsparcia dostępne są trzy bezpłatne upgrade’y firmware; po ich wykorzystaniu obraz można nadal pobrać, ale nie zainstalować, również przez SFLoader. Sophos podaje, że ograniczenie dotyczy zmiany wersji. Nie należy mylić jej z pełnym reimage, dla którego Sophos nie wymaga uprawnienia wsparcia.

Przed restartem, o ile jest to jeszcze możliwe, należy udokumentować:

model, numer seryjny, aktywną i poprzednią wersję firmware
zgodność obrazu docelowego i uprawnienie do zmiany wersji
rolę HA i stan dotkniętego problemem node’a
plik backupu, hasło szyfrowania i właściwy SSMK, jeśli backup go używa
adres IP zarządzania, przypisanie portów, dostęp WAN i lokalny dostęp do konsoli
planowany wybór Migrate lub Factory wraz ze ścieżką powrotu

W klastrze HA SFLoader nie jest zwykłym, koordynowanym upgradem. Publiczna instrukcja SFLoader nie definiuje samodzielnej procedury recovery HA. Należy zapisać role, wersje firmware i wyjście konsoli, a przed Overwrite uzgodnić działanie z Sophos lub partnerem wsparcia. Nigdy nie wprowadzać obu node’ów jednocześnie w tryb recovery. Po uruchomieniu ponownie sprawdzić stan, role, wersje i synchronizację klastra.

Konfiguracja dostępu szeregowego i tymczasowej sieci

SFLoader obsługuje się przez konsolę szeregową. W zależności od urządzenia należy użyć kabla micro-USB albo kabla konsolowego USB–RJ45 lub RJ45–DB9. W systemie Windows przypisany port sprawdza się w Menedżer urządzeń > Porty (COM i LPT). Emulator terminala konfiguruje się z tym portem COM oraz parametrami: 38400 bodów, 8 bitów danych, 1 bit stopu, bez parzystości i bez kontroli przepływu.

W systemie macOS port wskazuje polecenie ls /dev/tty.*; sesję można uruchomić na przykład poleceniem screen /dev/tty.usbserial-AD0K15UY 38400, zastępując port przykładowy wykrytym portem. Jeśli jednocześnie podłączono kable szeregowe micro-USB i RJ45, priorytet ma micro-USB; aby ścieżka recovery była jednoznaczna, należy podłączyć tylko potrzebny kabel. Po restarcie w menu startowym wybiera się SFLoader. Jeśli menu nie reaguje, sprawdzić sterownik, terminal, kabel i port szeregowy zamiast wielokrotnie gwałtownie wyłączać urządzenie.

Do przesyłania obrazu SFLoader udostępnia tymczasowy dostęp HTTP przez Port1. W 1 Network Device > 1 Port1 adres można pobrać przez DHCP lub ustawić statycznie za pomocą 2 Manual IP settings. Endpoint i Port1 muszą następnie komunikować się bezpośrednio albo przez świadomie przygotowaną sieć lokalną.

Stronę uploadu otwiera się jawnie przez HTTP:

http://<SFOS device IP address>

<SFOS device IP address> jest symbolem zastępczym. Należy go zastąpić adresem Port1 wyświetlanym w SFLoader lub ustawionym ręcznie. Ta lokalna ścieżka recovery nie wymaga dostępu do Internetu, proxy ani szerokiego dostępu do sieci produkcyjnej.

Przesyłanie firmware i wybór konfiguracji

Po wybraniu Upload firmware using your desktop browser należy wskazać zgodny obraz .gpg na lokalnej stronie uploadu za pomocą Choose file, potwierdzić przyciskiem Open i przesłać go przyciskiem Send. Podczas transferu nie należy odłączać zasilania, połączenia szeregowego ani linku sieciowego.

Po zakończeniu transferu należy kontynuować w sesji szeregowej. Wybrać firmware do nadpisania i potwierdzić Overwrite. Następnie dostępne są dwie zasadniczo różne ścieżki:

Migrate

Migrate ładuje konfigurację z partycji firmware, która nie jest nadpisywana, i migruje ją do nowego obrazu. Ta ścieżka pasuje, gdy znajdujący się tam stan konfiguracji jest znany i ma być punktem wyjścia. Po restarcie używa się hasła tej zmigrowanej konfiguracji.

Factory

Factory uruchamia nowy obraz z konfiguracją fabryczną. Ta ścieżka jest bardziej destrukcyjna i nie może służyć jako szybki test. Po uruchomieniu domyślnym hasłem jest admin; następnie wymagane są Basic Setup albo kontrolowany restore. Instrukcja backupu i restore wyjaśnia, kiedy oprócz pliku i hasła potrzebny jest SSMK.

Ścieżka powrotu i ograniczenia

Nie pomijać potwierdzeń bez ich przeczytania: przy Migrate sprawdzić wyświetloną konfigurację źródłową, wybrać OK i nacisnąć Enter. Instrukcja Sophos wymienia następnie dwa kolejne komunikaty wymagające Enter; przeczytać i potwierdzić każdy z nich, a potem poczekać na restart. Następnie wprowadzić hasło zmigrowanej konfiguracji; po Factory użyć admin. Historyczny przykład 17.0.6.181 oznacza konfigurację źródłową, nie zalecaną wersję docelową. Jeśli komunikaty lub partycja źródłowa są inne, nie potwierdzać na chybił trafił; zachować wyjście konsoli dla wsparcia.

Po Overwrite SFLoader nie oferuje gwarantowanego rollbacku jednym kliknięciem. Nienadpisana partycja może nadal zawierać własne firmware i konfigurację, ale można na niej polegać tylko wtedy, gdy wcześniej sprawdzono jej wersję, możliwość uruchomienia i powiązaną konfigurację. Factory nie jest trybem podglądu. Bez potwierdzonej, uruchamialnej drugiej partycji lub zgodnego, w pełni odszyfrowywalnego backupu po nieudanym starcie pozostają tylko zebrane dane dla Sophos Support albo pełny reimage. Reimage usuwa wszystkie dane z firewalla.

Sprawdzenie wyniku po restarcie

Zakończony upload nie dowodzi jeszcze, że firmware i konfiguracja są użyteczne. Po restarcie najpierw należy potwierdzić aktywną wersję, logowanie i wybraną ścieżkę konfiguracji. Następnie wykonuje się testy operacyjne:

dostęp zarządzania przez przewidziany port i oczekiwany adres IP
interfejsy, strefy, gatewaye, DNS i NTP
ścieżki firewall, NAT, SD-WAN i routing
IPsec, Remote Access, RED i inne połączenia między lokalizacjami
w HA role, stan, wersje firmware i synchronizacja
licencja, patterny, hotfixy, logi i połączenie z Sophos Fusion

W przypadku Migrate należy dodatkowo sprawdzić, czy migracja konfiguracji, certyfikaty, secrety i zależne usługi działają w pełni. Po Factory urządzenie uruchamia się jak nieskonfigurowany firewall; przewody produkcyjne i tunele można włączyć dopiero po sprawdzeniu restore lub Basic Setup.

Bezpieczne zawężanie typowych błędów

Na XGS Appliance jest to oczekiwane zachowanie produktu, a nie ukryty błąd menu. Nie należy eksperymentować ze starymi instrukcjami loadera, lecz użyć ścieżki reimage. Na innym urządzeniu ponownie sprawdzić model i oficjalną procedurę recovery.

Strona uploadu jest niedostępna

Sprawdzić adres i maskę sieciową z SFLoader, link na Port1, adres endpointu i jawne wywołanie http://. Proxy przeglądarki lub VPN endpointu mogą zakłócać dostęp lokalny. Nie należy szeroko podłączać firewalla do sieci produkcyjnej tylko po to, aby udostępnić stronę recovery.

Firmware jest odrzucane

Obraz może być niezgodny lub uszkodzony. Ponownie sprawdzić firewall i dostępne firmware w Sophos Central > Licensing > Firewall licenses, a następnie pobrać świeży plik od Sophos. Nie zmieniać nazwy obrazu i nie wymuszać nieudokumentowanej opcji loadera.

Migracja lub uruchomienie kończy się niepowodzeniem

Nie przełączać się wielokrotnie między Migrate, Factory i różnymi obrazami. Zachować wyjście konsoli, wybraną partycję, nazwę pliku obrazu, model, numer seryjny i czas. Następnie otworzyć zgłoszenie do Sophos Support z udokumentowanym przebiegiem recovery.

Lista kontrolna

SFLoader jest dostępny na dotkniętym urządzeniu; XGS Appliance jest wykluczony.
Zgodny obraz .gpg pobrano zgodnie z procedurą Sophos dla aktywnego firewalla, a nie spośród obrazów do nowych instalacji na stronie Firewall Installers.
Konsola szeregowa i lokalny dostęp do Port1 działają.
Przed uploadem firmware uruchomiono 4 Upgrade Loader.
Udokumentowano firmware do nadpisania oraz wybór Migrate lub Factory.
Jeśli restore może być potrzebny, dostępne są backup, hasło i w odpowiednim przypadku SSMK; dane zarządzania są udokumentowane.
Potwierdzono upload, restart, aktywne firmware i logowanie.
Praktycznie przetestowano sieć, VPN, HA, licencję, patterny i logi.
Przy niejasnym wyniku zatrzymano dalsze próby nadpisania i zabezpieczono dowody.

FAQ

Czy SFLoader może być używany na Sophos Firewall XGS Appliance?

Nie. Sophos nie udostępnia SFLoader na XGS Appliance. W przypadku uszkodzonego firmware XGS Appliance przewidzianą ścieżką recovery jest reimage z użyciem bootowalnej pamięci USB.

Jaka jest różnica między Migrate i Factory?

Migrate stosuje w nowym obrazie konfigurację z partycji firmware, która nie jest nadpisywana. Factory uruchamia konfigurację domyślną i wymaga następnie Basic Setup albo kontrolowanego restore.