Realizar atualização de firmware do Sophos Firewall

Este artigo mostra como realizar uma atualização de firmware do Sophos Firewall: obter a imagem, instalá-la no WebAdmin, agendar uma atualização através do Sophos Fusion (anteriormente Sophos Central) e, se necessário, regressar ao firmware anterior.

O caminho de upgrade, o backup, o estado de HA, o plano de testes e os critérios de rollback já devem estar definidos. Para isso, consultar Atualização de firmware do Sophos Firewall: preparação e boas práticas. Antes de passar para o SFOS 22 ou posterior, deve também ser efetuada a verificação prévia do SFOS 22.

⚠️ Verificar a plataforma: O SFOS 21.0 GA e as versões posteriores deixaram de suportar appliances de hardware XG e SG. Para estes dispositivos, é necessário determinar antes da atualização se é necessária uma migração para XGS Appliance.

Atualização de firmware em sete passos

1. Verificar a versão ativa, a versão de destino e o caminho de upgrade suportado.
2. Criar um backup recente e ter disponível a Secure Storage Master Key.
3. Em Backup and firmware > Firmware, verificar os slots de firmware ativo e inativo.
4. Descarregar diretamente a versão de destino ou carregar uma imagem adequada.
5. Iniciar a mudança de versão com Install ou Upload and boot.
6. Após o reinício, verificar a versão ativa e, em HA, ambas as appliances.
7. Validar WAN, VPN, DNS, NAT, serviços publicados e logging com testes reais.

Durante a mudança de versão, a firewall termina as sessões existentes e reinicia. Também em HA é necessária uma janela de manutenção, pois algumas sessões, túneis VPN ou respostas ping podem ser brevemente interrompidos durante o failover.

Verificar antes de iniciar

Antes do carregamento, devem ser verificados pelo menos estes pontos:

• A versão atual, a versão de destino e o caminho de upgrade suportado estão documentados.
• Estão disponíveis um backup da firewall recente, a palavra-passe do backup e a Secure Storage Master Key.
• O estado e a sincronização de HA estão corretos, caso seja utilizado um cluster.
• Existe um acesso alternativo para localizações remotas, por exemplo um contacto local, acesso out-of-band ou uma VPN de gestão.
• As release notes e Known Issues da versão de destino foram verificados quanto a indicações relevantes sobre plataforma, VPN, interfaces e migração.

Para efetuar mudanças ilimitadas do SFOS 19.0 MR1 ou posterior para outro firmware, é necessário Enhanced Support ou Enhanced Plus Support. Sem esta subscrição, são permitidas três atualizações de firmware gratuitas para versões GA, MR ou EAP. Depois disso, o firmware continua a poder ser descarregado, mas não instalado; Install fica desativado. A própria mudança para 19.0 MR1, Pattern Updates, hotfixes, reimage e Mandatory ou Assistant Firmware Upgrades estão isentos.

O Sophos Firewall mostra no máximo duas versões de firmware: uma ativa e outra inativa. A versão inativa é a versão anterior ou uma imagem compatível carregada manualmente. Cada partição tem a sua própria configuração. Por isso, um rollback posterior também ativa a configuração da partição anterior. Após iniciar sessão na CLI da firewall, abrir 5. Device Management no menu principal e selecionar a ação Show Firmware(s). Esta ação de consulta, apenas de leitura, lista o firmware atualmente instalado e a versão anterior ainda disponível; não instala nada nem reinicia a firewall. O firmware anterior conservado permite um rollback sem reimage. Comparar as versões ativa e inativa com Backup and firmware > Firmware e documentar ambos os builds. Se o slot inativo tiver entretanto sido substituído por uma imagem disponibilizada manualmente, não deve ser considerado a versão anterior para efeitos de planeamento. A mudança efetiva e as suas consequências para a configuração estão descritas em Regressar ao firmware anterior; se não for claro que versão ocupa cada slot, parar antes da atualização.

Não confundir o idioma da configuração com o idioma do WebAdmin

Na mesma página, o SFOS 22 permite escolher o idioma da configuração em Factory reset with default configuration language. Esta definição determina o idioma dos objetos predefinidos na base de dados de configuração, não o idioma de apresentação da interface WebAdmin.

⚠️ Atenção: Clicar em Apply em Factory reset with default configuration language repõe a firewall com as definições de fábrica e elimina a configuração personalizada. A secção geral da Sophos sobre firmware também refere a remoção da Secure Storage Master Key durante a reposição das definições de fábrica; em contrapartida, as descrições específicas das ações de reposição indicam que a chave é conservada. Isto não garante nem a eliminação nem a conservação da chave nesta ação específica de reposição do idioma. Conforme descrito em Repor as definições de fábrica do Sophos Firewall, guardar previamente, fora da firewall, o backup, a palavra-passe do backup e as SSMK atual e anteriores. Se a recuperação depender de uma chave permanecer na firewall, esclarecer com o Sophos Support o comportamento deste método exato e deste build de firmware antes de clicar em Apply e verificar depois o estado das chaves. É necessário um backup prévio como caminho de recuperação, mas não é possível usá-lo para combinar a configuração existente com o novo idioma: o restauro também repõe o idioma da configuração guardado no backup. Esta escolha pertence, por isso, à implementação inicial, não a uma janela normal de manutenção do firmware.

Obter o firmware SFOS

Para firewalls registadas, o Sophos Fusion é o ponto de partida mais seguro: abrir Licensing > Firewall licenses no menu de perfil, expandir a firewall e selecionar em Downloads o firmware atribuído. Para obter pacotes de outros tipos de plataforma, abrir Other downloads. Na página Installers apresentada, deslocar-se até Firewall Protection, escolher o tipo de plataforma adequado na lista pendente e clicar no respetivo link de download em Downloads. Ao descarregar por este caminho do portal/da página de instaladores, aceitar os End User Terms of Use e descarregar o firmware. Esta seleção não substitui a verificação do caminho de upgrade, mas reduz o risco de escolher um pacote para a classe de appliance errada.

Páginas oficiais de download:

• Appliances de hardware: Firmware SFOS para appliances de hardware. No nome do ficheiro, SF300 identifica a série XG e SF310 a série XGS Appliance. Um pacote SF300 só é adequado para uma versão de firmware que ainda suporte XG; não torna o SFOS 21 ou posterior compatível com XG.
• Appliances de software: Firmware SFOS para appliances de software. Estes pacotes começam por SW- e contêm o identificador de plataforma SFW. Destinam-se a uma instalação com licença de software appliance, não a uma appliance virtual ou cloud.
• Appliances virtuais e cloud: Firmware SFOS para appliances virtuais e cloud. Estes pacotes começam por VI-; o identificador antes do número de build tem de corresponder ao ambiente: AMI para AWS, AZU para Azure, HYV para Hyper-V, KVM para KVM, VMW para VMware e XEN para Xen.

Antes do download, deve registar-se a versão ativa e verificá-la separadamente em relação ao caminho de upgrade suportado. Depois, devem verificar-se três valores no nome do ficheiro: release de destino, número de build exato e identificador de plataforma. Por exemplo, HW-22.0.2_MR-2.SF310-546.sig é um pacote de XGS Appliance para o SFOS 22.0 MR2 Build 546. Se a mesma release tiver vários builds, deve usar-se o build aprovado para o caminho de upgrade planeado, não a data de modificação nem simplesmente o número mais alto. Os diretórios públicos não validam o modelo, a licença ou o direito de upgrade; estes dados têm de corresponder a Licensing > Firewall licenses, ao sistema em execução e às release notes.

Após o download, comparar caráter a caráter a soma SHA-256 calculada localmente com a coluna Checksum no mesmo diretório. Se os valores forem diferentes, eliminar o ficheiro e descarregá-lo novamente. A soma deteta erros de transferência, mas não autentica por si só a origem.

Não ignorar a verificação da imagem: o SFOS verifica o pacote .sig inalterado antes da instalação, do upgrade e do downgrade, incluindo em ambientes air gap. A assinatura digital com RSA e SHA-512 confirma a origem e a integridade; o SFOS também verifica internamente o pacote com uma soma MD5. MD5 não substitui a verificação de transferência SHA-256 nem a verificação da assinatura. Por isso, uma imagem rejeitada não deve ser renomeada, alterada ou novamente empacotada, mas transferida de novo de uma fonte oficial da Sophos e verificada quanto à plataforma, licença, build e caminho de upgrade.

Antes do carregamento, a plataforma, a série da appliance, a versão ativa e o caminho de destino devem corresponder à imagem. As imagens incompatíveis são rejeitadas. Uma mudança de versão incompatível requer um reimage; o rollback automático não está disponível para um caminho de upgrade não suportado.

O carregamento manual também é adequado para ambientes air gap. A sincronização de licenças e os Pattern Updates continuam a ser processos operacionais separados, descritos em Licenciamento air gap e Pattern Updates do Sophos Firewall.

Uma firewall de software, virtual ou AWS/Azure BYOL ainda não reivindicada deve ser primeiro reivindicada no Sophos Fusion antes de passar para o SFOS 22.0 ou posterior. Em seguida, devem verificar-se o caminho de upgrade suportado e a versão realmente ativa; a reivindicação, por si só, ainda não ativa o Central Management.

Instalar o firmware manualmente

1. Iniciar sessão no WebAdmin do Sophos Firewall.
2. Abrir Backup and firmware > Firmware.
3. Em Firmware, selecionar Upload junto à versão inativa.
4. Na janela pop-up, selecionar a imagem adequada no dispositivo do administrador.
5. Selecionar Upload firmware se a imagem apenas tiver de ficar preparada.
6. Selecionar Upload and boot quando a janela de manutenção estiver ativa e o reinício tiver de começar de imediato.

As três ações são claramente diferentes:

• Upload firmware: Carrega a imagem para o slot inativo, mas não a inicia. Um reinício posterior por outro motivo também não muda automaticamente para esta versão.
• Upload and boot: Carrega a imagem, termina as sessões existentes e inicia imediatamente a firewall com a nova versão.
• Boot firmware image: Inicia uma versão compatível que já se encontra no slot inativo. É iniciada exatamente essa versão, e não automaticamente a mais recente disponível.

Boot with factory default configuration não é uma ação de rollback. Termina todas as sessões e inicia a versão de firmware selecionada com as definições de fábrica; a configuração personalizada perde-se. Para esta ação específica do WebAdmin, a Sophos afirma expressamente que a Secure Storage Master Key não é eliminada. Esta ação deve ser distinguida de Factory reset with default configuration language e da reposição pela CLI Reset to factory defaults; essa afirmação não deve ser generalizada a todos os métodos de reposição. Em contrapartida, a secção geral sobre firmware refere a remoção da chave durante a reposição das definições de fábrica; o guia de reposição das definições de fábrica explica esta contradição na documentação. Também aqui não se deve garantir a conservação: guardar fora da firewall o backup, a palavra-passe do backup e as SSMK atual e anteriores; se a recuperação depender dessa conservação, confirmar o método exato e o build com o Sophos Support e verificar depois o estado das chaves. Esta ação deve ser usada apenas num processo de recuperação planeado, com backup verificado e acesso de gestão local, não numa atualização normal.

Atualização de firmware num cluster HA

Não é necessário desativar HA antes da atualização. Num cluster ligado, o processo é iniciado no Primary: primeiro, a appliance Auxiliary é atualizada e reiniciada; depois ocorre o failover e, em seguida, a atualização do antigo Primary. Se estiver definido um Preferred Primary, pode ocorrer um failback no final.

A appliance Auxiliary não deve ser atualizada separadamente. Um dispositivo HA em modo standalone não pode ser atualizado através do processo normal do cluster. Antes de iniciar, as funções, o link HA e a sincronização devem estar claramente definidos. O guia HA da Sophos descreve a atualização dos patterns no Primary e a posterior sincronização com o Auxiliary. Como a documentação geral do firmware indica, pelo contrário, uma aplicação independente nos dois dispositivos, verificar as versões reais dos patterns em ambas as appliances sem presumir a sincronização. Clusters HA do Sophos Firewall: variantes e manutenção explica outros casos especiais.

Atualizar diretamente no WebAdmin ou através do Sophos Fusion

Atualizar diretamente no WebAdmin

Com uma autorização válida, a firewall pode descarregar diretamente o firmware disponível:

1. Abrir Backup and firmware > Firmware.
2. Em Latest Available Firmware, selecionar Check for new firmware.
3. Selecionar Download para a versão pretendida.
4. Após o download, iniciar Install.
5. Aguardar o reinício e iniciar sessão novamente.
6. Verificar a versão ativa no canto superior esquerdo do Control center e em Backup and firmware > Firmware.

Agendar o firmware através do Sophos Fusion

O Sophos Fusion mostra uma seta azul quando está disponível uma atualização de firmware. Através do Sophos Fusion, só podem ser instaladas versões de destino que tenham atingido a fase Available to all no processo de lançamento.

1. Abrir My Products > Firewall Management > Firewalls.
2. Selecionar a seta azul da firewall e depois Schedule upgrade.
3. Se forem oferecidas várias versões, selecionar a versão de destino.
4. Selecionar Immediately ou At e, para At, definir a data e a hora.
5. Selecionar Schedule upgrade. Se já existir um agendamento recorrente de firmware, deve substituí-lo ou ignorar uma ocorrência para essa firewall.

O Sophos Fusion utiliza o fuso horário configurado na firewall. Cinco ícones junto à versão do firmware mostram o estado:

• Seta azul: atualização disponível.
• Relógio cinzento: atualização agendada.
• Círculo azul em rotação: atualização em curso.
• Visto verde: atualização bem-sucedida.
• Aviso vermelho: atualização falhada.

Ao clicar no ícone são apresentados os detalhes; ao clicar no número da versão abre-se o estado da atualização. As atualizações de firmware não aparecem na Task Queue das políticas de grupo nem na Firewall Task Queue das tarefas MDR e API. Mesmo depois de um visto verde, deve confirmar-se localmente a versão ativa no WebAdmin. Se ocorrer um rollback automático, o Sophos Fusion mostra uma mensagem correspondente junto à versão do firmware.

Ação em falta ou atualização falhada

• Install está desativado: Verificar se as três atualizações de firmware gratuitas foram utilizadas e se Enhanced Support ou Enhanced Plus está ativo.
• O Sophos Fusion não mostra a seta azul: Verificar o estado online e de gestão, a autorização, a plataforma e a versão de destino disponível. Num novo lançamento, a fase Available to all pode ainda não ter sido atingida.
• A atualização do Sophos Fusion não é executada apesar de estar agendada: Abrir o ícone de estado e verificar localmente se a versão anterior permaneceu ativa. Em seguida, excluir o fuso horário, o estado de gestão do Sophos Fusion, Available to all, o caminho de upgrade, avisos locais e um rollback automático. No SFOS 21.5.1 MR1 Build 261, NC-181150 pode impedir temporariamente a firewall de receber os metadados do firmware enquanto os restantes serviços do Sophos Fusion continuam a funcionar. Nesse caso, iniciar novamente a atualização no Sophos Fusion ou no WebAdmin local; poderão ser necessárias várias tentativas. A Sophos não indica uma versão corrigida, apenas melhorias de fiabilidade a partir do SFOS 22.0 MR1. Uma atualização falhada noutra versão não comprova este problema.
• O firmware, os patterns ou os hotfixes deixam inesperadamente de chegar: Primeiro, distinguir um rollout ainda em curso, a falta de autorização e uma operação air gap intencionalmente desligada de um problema de receção. Problemas de conectividade ou serviços de atualização bloqueados ou desligados são causas possíveis; uma ligação funcional ao Sophos Fusion, por si só, não os exclui. Registar o tipo de atualização afetado, a versão SFOS ativa, a última receção bem-sucedida e a hora do erro. Se a causa continuar pouco clara, guardar estas observações para um ticket de suporte da Sophos, em vez de reiniciar serviços ou abrir regras de acesso indiscriminadamente.
• O carregamento é rejeitado: Verificar o tipo de plataforma, a série da appliance, o caminho de upgrade e a integridade do ficheiro. Comparar também a configuração real do hardware com os requisitos do firmware de destino: para appliances de hardware, consultar as release notes; para appliances virtuais e de software, consultar os requisitos de instalação dessas plataformas. Verificar apenas o espaço livre não cobre todos estes requisitos. Uma mudança incompatível requer um reimage em vez de uma nova tentativa de carregamento.
• O SFOS indica demasiados gateways configurados: Uma mudança de firmware é bloqueada quando o número de gateways excede o máximo suportado pela firewall. Antes de eliminar algo, documentar as dependências em rotas SD-WAN, rotas estáticas, VPN e configurações de failover. Remover de forma controlada apenas gateways comprovadamente não utilizados; se não existir um caminho de substituição seguro, interromper a mudança.
• O carregamento ou a instalação falha apesar de uma imagem adequada: Verificar o espaço livre e, em HA, o estado de sincronização de ambas as appliances. Não carregar repetidamente a mesma imagem antes de esclarecer a causa.
• A firewall efetua rollback automaticamente: A partir do SFOS 20.0, isto acontece com determinados erros de migração da configuração. Localmente, aparecem um alerta no Control center e uma entrada de log; numa atualização através do Sophos Fusion, aparece também uma mensagem junto à versão do firmware. O alerta local de rollback só é visível numa migração a partir do SFOS 19.5 MR2 ou posterior; com uma versão de origem anterior, a sua ausência não exclui o rollback. Para identificar a causa, são especialmente relevantes migration.log e migrationhash.log.
• O WebAdmin continua inacessível devido a firmware danificado: Numa appliance com o loader pode ser necessário o procedimento de recovery com SFLoader. O XGS Appliance não suporta SFLoader; nestes dispositivos, o reimage com uma pen USB é o caminho de recuperação previsto.

Uma atualização revertida automaticamente não deve ser repetida sem analisar a causa. Guardar os logs de migração e envolver a Sophos ou o suporte do parceiro se o resultado não for claro.

Esta proteção não se aplica a todos os caminhos de atualização. Está disponível para firmware carregado manualmente, ao procurar localmente uma nova versão e para atualizações HA. No entanto, não existe rollback automático quando o firmware mais recente é instalado a partir do setup assistant ou quando é executado um Mandatory Firmware Upgrade. O mesmo se aplica a uma versão de origem ou a um caminho de upgrade não suportados. Nestes casos, o backup, o acesso de gestão e o caminho de recuperação devem estar protegidos de forma independente antes do início.

Executar um reinício ou encerramento planeado através da Device Console

Um reinício normal não é uma atualização de firmware e não ativa automaticamente uma imagem que tenha sido apenas carregada. Um encerramento também não é um rollback nem uma reposição das definições de fábrica. Estas ações só devem ser executadas se o plano operacional realmente as exigir.

No menu principal da CLI, 7. Shutdown/Reboot Device é a opção de menu para estas tarefas; os comandos seguintes são, em vez disso, executados em 4. Device Console.

⚠️ Antes da execução: Aprovar a janela de manutenção e a interrupção do tráfego, verificar a identidade da firewall e, em HA, a função, a acessibilidade do peer e a sincronização. Guardar fora da firewall a versão atual, o backup e as chaves necessárias e deixar concluir primeiro quaisquer carregamentos ou instalações em curso. Deve estar disponível um acesso independente, local ou out-of-band; para o encerramento, organizar também o arranque posterior no local ou através da gestão da plataforma. Sem este caminho de regresso, não encerrar a firewall.

Na CLI da firewall, abrir Device Console, não Advanced Shell. Os seguintes comandos estão documentados para SFOS 22/23; executar apenas o que corresponde à ação planeada:

• system restart reinicia a firewall. O tráfego de dados e a ligação de gestão podem ser interrompidos; num cluster HA, a Sophos documenta um failover. A sintaxe também inclui o argumento opcional all; os parênteses retos da documentação não fazem parte do comando. Não se garante aqui o reinício de ambos os dispositivos HA nem uma mudança sem interrupções.
• system shutdown encerra a firewall e não tem outras opções. A ligação é interrompida; em seguida, utilizar o método de arranque previamente organizado, em vez de continuar a trabalhar através da mesma sessão SSH desligada.

Após o reinício ou depois de voltar a ligar a firewall, verificar o acesso de gestão, o firmware ativo esperado, WAN, VPN e, em HA, as funções e a sincronização; em seguida, executar os testes funcionais descritos abaixo. A falta de acesso ou uma versão de firmware inesperada não justificam reinícios repetidos: utilizar o acesso à consola preparado, guardar o estado de arranque e os logs e, se a causa não for clara, contactar o suporte.

Verificar após a atualização

Após o reinício, verificar primeiro a versão ativa esperada em Backup and firmware > Firmware. Em seguida, validar com ligações reais:

• Uplinks WAN, Default Gateway, rotas SD-WAN e interfaces principais.
• Estado, funções e sincronização de HA.
• Ligações Site-to-Site VPN, Remote Access VPN e RED.
• DNS, DHCP, NAT, WAF e regras de firewall importantes.
• Acesso web, TLS Inspection, autenticação e aplicações publicadas.
• Estado dos patterns e hotfixes no nível esperado. Para o SFOS 23, comparar a comprovação dos updates de segurança por hotfix específicos da versão antes e depois da mudança; uma lista vazia, por si só, não comprova proteção nem erro.
• Sincronização do Sophos Fusion, monitoring, Syslog e dados SIEM.

Os testes devem registar mais do que «acessível» ou «inacessível». Um exemplo adaptável de teste de saída é um cliente da rede interna de produção resolver um nome DNS conhecido e, em seguida, abrir um site HTTPS autorizado. Esperam-se uma resposta DNS, uma ligação TLS bem-sucedida e entradas correspondentes no Log Viewer. Uma aplicação publicada deve ser testada a partir de uma ligação externa, para não validar por engano apenas um caminho hairpin interno. Adaptar a rede de origem e o destino ao ambiente e registar previamente no plano a hora e o resultado esperado.

Se apenas uma regra, regra NAT ou publicação WAF estiver afetada, utilizar primeiro Log Viewer, Policy Test, Packet Capture e os service logs relevantes. Para isso, consultar Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture e Troubleshooting do Sophos Firewall: serviços e logs.

Regressar ao firmware anterior

Um rollback inicia o firmware compatível anterior no slot inativo e ativa a configuração associada. Abrir Backup and firmware > Firmware e selecionar o ícone de rollback ou Boot firmware image na versão de firmware anterior. As alterações de configuração efetuadas desde a atualização podem perder-se. Até à decisão go/no-go, efetuar apenas alterações indispensáveis e documentá-las separadamente. Por isso, um rollback não substitui um backup nem um restore.

• Rollback: Mudança para o firmware compatível anteriormente instalado e respetiva configuração.
• Downgrade: Mudança para uma versão compatível anterior que não tem de ser a antecessora direta.
• Reimage: Reinstalação do Sophos Firewall OS seguida de restore.

Um rollback é adequado quando WAN, HA, VPNs principais ou publicações críticas não podem ser estabilizadas dentro da janela de análise definida. Para uma única regra ou serviço externo, um troubleshooting direcionado costuma ser melhor. Uma interface que apenas parece lenta não justifica, por si só, um rollback.

Antes de selecionar a ação, documentar as versões de firmware ativa e nova, a hora, o sintoma, os serviços afetados, o estado de HA e os testes já efetuados. Assim, fica claro mais tarde por que motivo se efetuou o rollback e que causa ainda deve ser investigada.

Num cluster HA, o mesmo firmware inativo deve estar presente em ambas as appliances. Em alternativa, desativar HA e efetuar rollback separadamente em cada dispositivo. Se a versão anterior não estava configurada para HA, ambos os dispositivos iniciam em modo standalone após o rollback e HA tem de ser configurado novamente.

Após o rollback, verificar novamente a versão ativa, WAN, VPN, HA, regras, NAT, WAF, DNS, DHCP, sincronização Sophos Fusion e logging. Depois, documentar a causa e a próxima janela de manutenção.