Reinstalar Sophos Firewall OS: reimage com pen USB

Um reimage instala o Sophos Firewall OS totalmente de novo. O processo destina-se a situações de recovery, sistemas de laboratório, mudanças de modelo ou uma reinstalação limpa. Para mudanças de versão normais, uma atualização de firmware através da interface Webadmin costuma ser a melhor escolha.

⚠️ Importante: Um reimage substitui completamente a firewall. Configuração, logs locais, certificados, relatórios e dados de conta desaparecem do equipamento. Antes de começar, guarde externamente um backup, a respetiva Encryption password e a Secure Storage Master Key (SSMK) associada. Um backup criado depois de definir ou alterar a SSMK só pode ser restaurado com essa chave exata; conserve também as chaves anteriores.

Reimage, atualização de firmware ou factory reset?

O rollback também repõe a configuração anterior: A Sophos Firewall guarda o firmware ativo e o anterior, com as respetivas configurações, em partições independentes. As definições não são partilhadas entre as partições. Voltar ao firmware anterior repõe, por isso, também a configuração antiga desse firmware, não a configuração atual. É necessário ter isto em conta ao escolher o caminho de recovery; isto não garante um rollback testado no seu ambiente.

Para uma atualização normal, deve-se verificar primeiro o artigo Sophos Firewall: executar atualização de firmware SFOS. Um Factory Reset também não é o mesmo que um reimage: repõe a configuração, mas não remove todos os dados locais como uma reinstalação completa. A ajuda pública do SFOS 22 contradiz-se quanto ao SSMK: a página específica do reset indica que a chave é conservada, enquanto a página geral de firmware afirma que é removida. Por isso, a chave deve ser guardada externamente antes de cada reset e o seu estado verificado depois. Se a firewall tiver mesmo de voltar a um estado predefinido limpo, incluindo logs, relatórios e dados operacionais locais, o reimage é o caminho mais adequado. Para XGS Appliances com firmware danificado, a Sophos remete para o procedimento de reimage, porque o procedimento de recovery com SFLoader não está disponível em XGS Appliance.

Repor o Sophos Firewall com as definições de fábrica explica o processo seguro no WebAdmin e as diferentes sequências de hardware para os modelos XGS Appliance.

Quando não se deve iniciar um reimage

Um reimage é a variante pesada de recovery. Se ainda for possível obter acesso administrativo normal, deve-se verificar primeiro se basta uma abordagem menos invasiva.

O reimage faz sentido quando o sistema operativo está danificado, quando se pretende uma reconstrução limpa ou quando o Sophos Support ou o plano de recovery indicam este caminho. Para manutenção normal, problemas isolados da GUI ou problemas de desempenho por esclarecer, costuma ser cedo demais.

Se a firewall iniciar em modo Failsafe, antes de um Reboot, Factory Reset ou reimage deve guardar-se primeiro a causa detetada. Verificar uma Sophos Firewall em modo Failsafe mostra o comando show failure-reason e as decisões seguintes seguras.

Guardar tudo antes do reimage

Antes de um reimage produtivo, deve-se preparar estes pontos:

• Descarregar o backup de configuração atual e guardá-lo em segurança.
• Documentar a Secure Storage Master Key se o backup contiver dados de conta encriptados.
• Verificar estado da licença, número de série e associação ao Sophos Fusion (anteriormente Sophos Central).
• Documentar modelo, revisão, versão SFOS atual, build, versão de destino e versão do backup.
• Anotar separadamente dados WAN, VLANs, rotas estáticas, parâmetros VPN e informações HA especiais.
• Planear uma janela de manutenção, porque durante o reimage a firewall não protege nem processa tráfego.
• Garantir acesso local à appliance, alimentação elétrica, porta USB e porta de gestão.
• Verificar previamente o processo de restore, especialmente em clusters HA e locais VPN críticos.
• Guardar logs ou arquivos de suporte, se a causa ainda tiver de ser analisada mais tarde.

As bases adequadas estão em Sophos Firewall: criar e restaurar backup, Sophos Firewall: verificação de upgrade para SFOS 22 e Cluster HA Sophos Firewall: Active-Passive, Active-Active e Auxiliary Appliance.

Se o reimage fizer parte de um cenário RMA ou HA, esta documentação torna-se ainda mais importante. Nesses casos, não conta apenas a versão principal, mas também o build. Um equipamento de substituição deve corresponder à firewall saudável ou ser levado conscientemente para a versão de destino antes de iniciar backup, transferência de licença e reconfiguração HA.

Esclarecer previamente a compatibilidade do restore

A parte mais importante de um reimage não é gravar a pen USB, mas sim conseguir restaurar depois. Um backup não deve ser avaliado pela primeira vez só depois da reinstalação.

Esclarecer previamente:

Em substituição de hardware, migração de XG para XGS Appliance ou restore para outro modelo, deve-se verificar adicionalmente se o Backup-Restore Assistant está disponível e se a atribuição das portas está correta antes do restore final. O processo está descrito em criar ou restaurar backup da Sophos Firewall.

Para HA e RMA, aplica-se como regra prática: versão de firmware e build dos equipamentos envolvidos são verificados antes do restore. Se a versão antiga de firmware necessária já não puder ser descarregada normalmente, não se deve improvisar, mas envolver o Sophos Support ou o processo de suporte existente.

Requisitos

• Appliance de hardware Sophos. O procedimento de USB e LED abaixo destina-se a este caso.
• Pen USB com pelo menos 4 GB de espaço.
• Computador Windows, macOS ou Linux para criar a pen USB arrancável.
• Ferramenta para gravar a imagem ISO, por exemplo balenaEtcher.
• Acesso local à appliance.
• Opcional: cabo USB para Micro-USB ou adaptador RJ45-COM para mensagens de estado e diagnóstico através da consola série.

Não é necessária uma subscrição de suporte para reinstalar a mesma versão de firmware. Se o reimage mudar a firewall para outra versão, aplicam-se as condições de licença e suporte dos upgrades de firmware.

Tratar Software e Virtual Appliances separadamente

A Sophos também permite o reimage de Software e Virtual Appliances, mas a imagem e o método de instalação são diferentes. Uma Software Appliance em hardware x86-64 próprio usa a ISO SW. A instalação formata e volta a particionar o disco, eliminando também o sistema operativo existente. Os requisitos mínimos do SFOS 22 são Legacy BIOS, 4 GB de RAM, HDD ou SSD de 32 GB e duas placas de rede; a Sophos recomenda 64 GB de disco.

Uma Virtual Appliance usa o pacote do respetivo hypervisor, por exemplo VI-22.0.2_MR-2.VMW-546.zip para VMware. Implemente-a de acordo com a documentação da plataforma e use exclusivamente a função integrada do SFOS para backup e restore; segundo a Sophos, snapshots do hypervisor e backups de terceiros não são uma alternativa suportada. Os passos seguintes relativos a uma pen USB física e aos LEDs XGS Appliance não se aplicam, portanto, sem alterações a sistemas virtuais.

Antes de um upgrade para SFOS 22.0 ou posterior: As Software e Virtual Appliances ainda não reivindicadas, bem como as firewalls Azure e AWS BYOL, têm primeiro de ser reivindicadas na conta Sophos (Sophos Fusion ou Sophos Central). Este requisito prévio do upgrade deve ser cumprido antes da mudança de versão; o registo posterior durante o setup não o substitui. Isto não implica uma obrigação geral de reivindicar o equipamento em todas as reinstalações de hardware da mesma versão de firmware.

1. Descarregar a imagem de instalação SFOS adequada

A imagem de instalação é obtida através da página oficial de downloads da Sophos:

1. Transferir o instalador atual do Sophos Firewall.
2. Para appliances de hardware Sophos, escolher a versão SFOS pretendida em Hardware Installers.
3. Aceitar os termos de licença e descarregar a imagem ISO.

Em appliances de hardware, normalmente é usada uma imagem com o prefixo HW. Software Appliances e Virtual Appliances usam outros tipos de imagem. O importante é que plataforma, versão de destino e plano de restore combinem. Uma imagem errada não é um pequeno detalhe estético; pode bloquear o processo de recovery.

Nome do ficheiro da imagem de instalação

Exemplo disponível em 5 de setembro de 2026: HW-22.0.2_MR-2-546.iso

Os componentes mais importantes do nome do ficheiro:

• Plataforma ou tipo de appliance

  • HW: imagem ISO para appliances de hardware Sophos. Para o reimage de uma XGS Appliance, esta é geralmente a variante necessária.
  • SW: imagem ISO para Sophos Firewall como Software Appliance.
  • VI: pacote de imagem para Sophos Firewall como Virtual Appliance.
  • AMI: imagem para Amazon AWS.
  • AZU: imagem para Microsoft Azure.

• Plataforma de virtualização em ficheiros VI

  • HYV: Microsoft Hyper-V.
  • KVM: KVM.
  • VMW: VMware Hypervisor.
  • XEN: Xen.

• Tipo de release

  • GA: General Availability. É uma versão principal ou intermédia disponível em geral, muitas vezes com novas funcionalidades.
  • MR: Maintenance Release. Um MR contém sobretudo correções, melhorias de estabilidade e ajustes de segurança dentro de uma versão existente.

• Extensão do ficheiro

  • .iso: imagem ISO que pode ser gravada numa pen USB ou usada para Software Appliances.
  • .zip: arquivo com ficheiros de imagem para Virtual Appliances.
  • .sig: imagem assinada para determinados modelos de appliance ou cenários de atualização.

Em sistemas produtivos, escolha a versão de destino pelo estado do suporte, pela compatibilidade do backup e pelo plano de recovery, não apenas pelo nome de ficheiro mais alto. Num caso de suporte, use a versão acordada com a Sophos.

Para um reimage XGS Appliance, por exemplo, é adequado um ficheiro do tipo HW-22.0.2_MR-2-546.iso. SW, VI, AMI ou AZU destinam-se a outras plataformas e não devem ser usados numa appliance de hardware.

Verificar a autenticidade e a integridade do download

O prefixo HW, por si só, não confirma que uma imagem suporta o equipamento específico. O índice Hardware Installers apresenta imagens e builds por série de hardware ou plataforma; use-o para selecionar a série ou plataforma planeada e o build de destino, não para concluir que um modelo exato de appliance está listado. Se a aplicabilidade ao modelo ou build exatos for incerta, interrompa o processo e esclareça-a através do suporte Sophos ou do contexto de ciclo de vida Avanet existente antes do download ou da instalação.

Um download controlado inclui quatro verificações:

1. Obtenha a imagem apenas através do download HTTPS indicado acima em download.sophos.com, nunca de um mirror, fórum ou arquivo local antigo.
2. Compare prefixo, versão, tipo de release e build no nome do ficheiro com o plano de reimage e restore.
3. Registe nome, tamanho do ficheiro e um valor SHA-256 calculado localmente no registo de change ou recovery.
4. Se o portal ou o suporte fornecer uma checksum para esse ficheiro exato, compare-a caráter por caráter. Se houver diferença, elimine o ficheiro e descarregue-o novamente.

Calcule SHA-256 no Windows com certutil -hashfile HW-22.0.2_MR-2-546.iso SHA256, no macOS com shasum -a 256 HW-22.0.2_MR-2-546.iso ou no Linux com sha256sum HW-22.0.2_MR-2-546.iso. Um hash calculado apenas localmente deteta alterações posteriores entre download, armazenamento e utilização, mas sem um valor de referência fiável não prova a origem. A autenticidade continua, portanto, a depender do download HTTPS oficial e, quando disponível, da checksum do fabricante fornecida separadamente.

2. Criar uma pen USB arrancável

A pen USB é formatada ao gravar a imagem ISO. Todos os dados existentes na pen USB serão perdidos.

1. Inserir no computador uma pen USB com pelo menos 4 GB de espaço.
2. Descarregar e iniciar balenaEtcher.
3. Com Flash from file, selecionar a imagem ISO SFOS descarregada.
4. Em Select target, escolher a pen USB correta.
5. Com Flash!, gravar a imagem ISO na pen USB e aguardar que a validação seguinte termine sem erros. Não copiar a ISO para a pen como um ficheiro normal.

Depois da gravação, a pen USB deve ser ejetada corretamente. Se o macOS ou o Windows indicarem depois que a pen não é legível, isso não é necessariamente um erro, porque a imagem foi escrita para o arranque da appliance.

3. Reinstalar SFOS na firewall

O processo de reimage corre diretamente na appliance. Durante esse período, o equipamento não pode ser desligado.

1. Desligar completamente a firewall.
2. Opcionalmente, preparar monitor, LCD ou consola série, caso se queira observar o estado da instalação.
3. Inserir a pen USB preparada na firewall.
4. Ligar a firewall.
5. Aguardar até que o Sophos Firmware Installer arranque a partir da pen USB.
6. Monitorizar o estado da instalação conforme o modelo da appliance.
7. Depois de uma instalação bem-sucedida, remover a pen USB.
8. Se o instalador pedir uma confirmação depois disso, reiniciar com y.

Estado em XGS Appliances Desktop

Segundo a Sophos, as XGS Appliances não têm ligação para monitor. Nos modelos Desktop, o estado do reimage é indicado pelo LED de estado na parte frontal. Para obter mais detalhes, use a consola série através da porta COM.

O reimage só está concluído quando o LED fica permanentemente verde. Enquanto o LED piscar a vermelho, o processo ainda está em curso.

Estado em XGS Appliances Rack

As appliances rack mostram o estado através do visor integrado. Mensagens típicas são Installation in progress, Installation successful, Installation failed ou Failsafe mode.

Estado através da consola série

Para diagnóstico adicional, pode ser ligada uma consola. Em XGS Appliances Desktop atuais, no dia a dia isto já não costuma ser uma antiga ligação RS-232 clássica no portátil, mas sim um cabo USB para Micro-USB na porta COM Micro USB da firewall. Ainda assim, a appliance disponibiliza uma consola série através dessa ligação. No computador de administração, ela aparece como porta COM no Windows ou como dispositivo tty no macOS e Linux.

Isto é especialmente útil quando não existe ligação de ecrã, quando o LED fica permanentemente vermelho, quando o arranque pela pen USB não é claro ou quando é necessário ver diretamente mensagens do instalador e de erro. Muitos modelos XGS Appliance também têm uma porta RJ45-COM. Esta porta RJ45-COM é uma porta de consola, não uma porta de rede normal. Se Micro-USB e RJ45-COM estiverem ligados ao mesmo tempo, Micro-USB tem prioridade.

Ferramentas típicas:

• Windows: PuTTY ou outro cliente de terminal série.
• macOS: Terminal com screen, por exemplo screen /dev/tty.usbserial-XXXX 38400.
• Linux: screen, minicom ou picocom.

Definições série:

4. Aceder à firewall depois do reimage

Depois do reimage, a firewall arranca com a configuração predefinida. O primeiro acesso é normalmente feito através da Porta 1:

• IP de gestão: https://172.16.16.16:4444
• Ligação: ligar o computador diretamente à Porta 1 da firewall
• IP do computador: definir um IP estático adequado na rede 172.16.16.0/24, se não for possível aceder

Depois, conclua a configuração básica e o registo ou restaure um backup existente. Ao terminar, o Setup Assistant regista a firewall e atualiza-a para o firmware mais recente. Se o restore ou o plano HA depender de uma versão e build exatos, não conclua esse passo sem considerar a atualização. O restore requer a Encryption password e, se o backup tiver sido protegido com uma, a Secure Storage Master Key correspondente.

O restore substitui a configuração atual, elimina o backup guardado na firewall e reinicia o equipamento. Por isso, 172.16.16.16 pode deixar de ser válido: na ligação WebAdmin seguinte, use o IP de gestão da configuração restaurada. Além da SSMK, é necessária a Encryption password do backup. Consulte o guia de backup e restore.

Depois do restore, devem ser verificados pelo menos estes pontos:

• Interfaces, zonas e VLANs.
• Default Gateway, rotas estáticas e rotas SD-WAN.
• Regras de firewall, regras NAT e proteção de servidores web.
• Ligações VPN e certificados.
• Estado da licença e sincronização com Sophos Fusion.
• Estado HA, se a firewall fizer parte de um cluster.
• Logging, destinos Syslog e reporting.

Para firewalls geridas pelo Sophos Fusion, também ajuda ligar a Sophos Firewall ao Sophos Fusion. Em mudanças de modelo ou equipamentos mais antigos, Sophos XG ou XGS Appliance: escolher a appliance correta é relevante.

Não tratar HA e RMA como equipamento isolado

Num equipamento de laboratório isolado, um reimage costuma ser linear: gravar imagem, instalar, restaurar backup, testar. Em HA e RMA, o processo é mais sensível. Antes é necessário saber que equipamento está saudável, que função tem, que versão de firmware e build executa e se o Sophos Fusion ou a transferência de licença têm de ser limpos primeiro.

Em ambientes Active-Passive, não ligue simplesmente um equipamento de substituição ao cluster com todos os cabos. A função determina o processo. Ao fazer reimage do Auxiliary, não restaure manualmente o backup nesse equipamento: instale exatamente a mesma versão e o mesmo build, reconfigure HA e deixe-o sincronizar a partir do Primary. O processo oficial para o Primary inclui, pelo contrário, failover, restore no equipamento reinstalado e posterior reconstrução de HA. Identifique o Initial Primary, o Primary atual e o Auxiliary antes de começar.

O procedimento público da Sophos abrange explicitamente apenas Active-Passive, não Active-Active. Exige a mesma versão de firmware e o mesmo build nos dois equipamentos e define passos diferentes consoante a função afetada. Não aplique essa sequência a Active-Active nem a um cenário não documentado; combine o plano com o Sophos Support antes de apagar um equipamento. Restaurar um backup HA no Primary atual causa downtime sem failover e obriga a voltar a registar ambas as firewalls no Sophos Fusion. Se, em vez disso, for restaurado no Primary atual o backup de um equipamento autónomo, o HA é desativado; depois do reinício, verifique o estado de HA e reconstrua deliberadamente o cluster, se necessário.

Teste de aceitação após reimage e restore

Depois de um login bem-sucedido, uma breve vista de olhos ao dashboard não chega. A firewall tem de voltar a servir corretamente os caminhos produtivos mais importantes.

Sequência útil:

1. Verificar estado da licença, número de série, modelo e versão de firmware.
2. Controlar interfaces, estado de link, VLANs e zonas.
3. Verificar WAN Gateway, DNS, NTP e ligação ao Sophos Fusion.
4. Validar regras de firewall, regras NAT e Log Viewer com um cliente de teste.
5. Testar VPNs Site-to-Site e Remote Access com destinos de teste reais.
6. Verificar estado e funções HA, se existir um cluster.
7. Controlar Syslog, Central Reporting, backups e relatórios agendados.
8. Remover acessos temporários antigos, contas de administrador locais ou exceções de recovery.

Se um restore tiver sido bem-sucedido, mas o tráfego não fluir, não se deve fazer imediatamente outro reimage. Nesses casos, são frequentemente afetados o mapeamento de interfaces, routing, NAT, Device Access, estado da licença ou o caminho de retorno da contraparte. Para a análise, são adequados testar regra de firewall com Log Viewer, Policy Test e Packet Capture, compreender NAT na Sophos Firewall e Sophos Firewall IPsec VPN Troubleshooting.

Problemas frequentes

Firewall não arranca pela pen USB

Na maioria dos casos, a pen USB não foi gravada corretamente, foi escolhida a imagem errada ou a appliance não arranca pela porta USB esperada. Nesse caso, gravar novamente a ISO com balenaEtcher, testar outra pen USB e observar o arranque por monitor, LCD, LED de estado ou consola série.

Se a appliance continuar sem detetar a pen, premir Delete durante o arranque para abrir o BIOS. USB Key tem de ficar em primeiro lugar na ordem de arranque. Se necessário, selecionar a entrada com as teclas de seta e movê-la para cima com +. Em seguida, selecionar Save and exit; a firewall reinicia e deverá carregar o Sophos Firmware Installer a partir da pen.

LED fica permanentemente vermelho

Um LED de estado permanentemente vermelho significa que o reimage falhou. Não se deve continuar às cegas em produção: verificar pen USB, tipo de imagem, modelo de destino e mensagem de instalação. Se o erro se repetir, consola série e Sophos Support são mais úteis do que várias tentativas idênticas.

Backup-Restore falha

Causas típicas são uma versão de destino inadequada, um backup danificado, uma SSMK em falta ou um restore para outro modelo sem mapeamento de portas limpo. Verificar primeiro versão do backup, versão SFOS de destino, build, plataforma e SSMK. Depois esclarecer se é necessário um Restore Assistant, um passo intermédio através de outra versão SFOS ou suporte.

WebAdmin não está acessível depois do reimage

Depois do reimage volta a aplicar-se a configuração predefinida. Liga-se o computador diretamente à Porta 1, define-se um IP adequado na rede 172.16.16.0/24 e abre-se https://172.16.16.16:4444. Se isto não funcionar, verificar primeiro estado do link, IP local do cliente, aviso de certificado no browser e, se necessário, o estado de arranque.

HA não arranca corretamente depois do restore

Em HA, muitas vezes o problema não é o reimage em si, mas sim função, versão de firmware, build, Initial Primary, associação ao Sophos Fusion ou ordem de restore. Por isso, não se deve reativar HA automaticamente, mas documentar primeiro o estado de ambos os equipamentos e compará-lo com o processo HA planeado.

O tráfego não flui depois do restore

Quando a configuração foi restaurada, mas o tráfego não funciona, estão frequentemente envolvidos mapeamento de interfaces, zonas, routing, NAT, Device Access, estado da licença ou caminhos de retorno. Nessa situação, Log Viewer, Rule ID, NAT ID, Route Lookup e Packet Capture ajudam mais do que outro reimage.

Falta licença ou ligação ao Sophos Fusion

Depois de reimage, RMA ou mudança de modelo, número de série, associação à conta, transferência de licença, DNS, gateway e ligação ao Sophos Fusion têm de voltar a estar corretos. Só quando a firewall estiver corretamente online se deve deduzir daí um estado operacional produtivo.

Checklist

• Backup descarregado.
• Secure Storage Master Key disponível.
• Versão do backup e versão SFOS de destino documentadas.
• Build de firmware e revisão do modelo verificados, especialmente em HA ou RMA.
• Número de série, estado da licença e associação ao Sophos Fusion verificados.
• Imagem de instalação SFOS adequada escolhida.
• Pen USB gravada com sucesso.
• Janela de manutenção e acesso local esclarecidos.
• Appliance não desligada durante o reimage.
• WebAdmin alcançado pela Porta 1 depois do reinício.
• Backup restaurado e SSMK introduzida.
• Rede, VPN, licença, Sophos Fusion e HA verificados.
• Testes de regras, NAT, routing e VPN realizados com clientes reais.
• Acessos temporários de recovery e notas limpos.

FAQ