Implementar firmware Sophos AP6 com segurança no Central

Para um Sophos AP6 gerido centralmente, o caminho mais direto é My Products > Wireless > Access Points > Firmware upgrade. Selecione os dispositivos e use Now para atualizar imediatamente, Custom para uma data e hora únicas ou Recurring para aplicar automaticamente firmware novo diariamente, semanalmente ou mensalmente. Este artigo abrange apenas AP6.

⚠️ Planeie uma interrupção: durante a atualização, o AP6 não consegue servir clientes Wi-Fi continuamente. Não desligue nem desconecte o access point durante a operação, pois isso pode danificar o equipamento. Estabilize alimentação, PoE e uplink antes de começar; não interrompa a operação com reinício ou reset.

Plano de gestão e caminho de dados

O Sophos Fusion (anteriormente Sophos Central) é o plano de gestão: o Central agenda ou inicia a tarefa, e o AP6 descarrega e instala o firmware. O tráfego dos clientes continua pelo AP6, switch/VLAN e gateway; não atravessa o Central. Um portal Central acessível não mantém, portanto, o caminho Wi-Fi durante o reinício do AP.

O AP6 deve estar registado, online e acessível pela rede de gestão. Para o firmware mais recente também é necessária uma subscrição de suporte válida. Consulte os requisitos do Central Wireless e a gestão local ou pelo Central.

Antes da implementação

O Release Owner da Avanet exporta de My Products > Wireless > Access Points modelo, Firmware atual, site, funções configuradas, estado online e Last activity para o registo da alteração. Na coluna Firmware, uma marca verde indica que o firmware está atualizado, uma seta azul indica um upgrade disponível e um relógio indica uma atualização agendada.
No início de cada alteração abre as notas de versão AP6 atualizadas em tempo real e regista Latest version, data, modelos, correções, funções e problemas conhecidos. Esta consulta é obrigatória; uma versão fixa neste artigo nunca deve tornar-se o alvo.
O ledger de versões da Avanet regista data da revisão, versão candidata, versões e modelos instalados, estado do suporte, funções relevantes e links para alteração e notas. O Owner avalia problemas conhecidos, vulnerabilidades corrigidas e avisos de segurança, dependências de switch, VLAN, RADIUS, captive portal e mesh e alterações de configuração necessárias. O resultado é aprovar, adiar ou rejeitar, com motivo e aprovação do Service Owner.
Após aprovação, o Owner define janela, AP piloto, pequenos anéis por site/modelo, anel amplo, observação, critérios de sucesso e stop/go por anel. Nunca começa uma zona crítica pelo seu único AP; combinações não aprovadas ficam fora da vaga.
Antes de cada anel, o engenheiro verifica subscrição de suporte, PoE, porta, DHCP, DNS, saída para o Central e backup ou exportação da configuração. Não inicia com alimentação instável, AP já offline ou critérios por cumprir.
A alteração define testes idênticos antes e depois: SSID, autenticação, IP, gateway, DNS, destinos permitidos e, se usados, VLAN, RADIUS, captive portal ou mesh. Imediatamente antes da execução, Owner e engenheiro confirmam alvo, dispositivos, janela, comunicação e limite de rollback.

MR10 1.10.3192: validar funções e correções específicas

Referência datada: o AP6 MR10 tem a versão de firmware 1.10.3192. As notas de versão indicam 24 de agosto de 2026 como data de publicação; o anúncio MR10 de 8 de setembro de 2026 descreve a implementação regional faseada e as funções de gestão associadas. Estes dados não substituem a consulta das versões atuais nem a aprovação para o próprio tenant.

Para EU-Central, as datas do anúncio são contraditórias: o título da fase 3 indica «New Date Coming September 14, 2026», mas o texto abaixo continua a referir 7 de setembro de 2026. Não é possível concluir que a disponibilidade regional tenha sido efetivamente assegurada. Antes de uma alteração no tenant afetado, verifique o firmware oferecido, a seta de upgrade ou o download específico do modelo e as funções Wireless necessárias. Se faltar algo, adie o anel e esclareça a disponibilidade com Sophos Support. Uma data histórica ou um ficheiro de firmware disponível não prova que todas as funções cloud já estejam disponíveis no tenant.

Atualize primeiro apenas o firmware do AP piloto e repita os testes de clientes existentes. Valide depois, separadamente, a nova autenticação, Traffic Shaping ou os valores do perfil; caso contrário, não será possível atribuir uma falha com segurança ao firmware ou à alteração de configuração. Registe para cada função o valor anterior, a alteração prevista, o cliente usado e o resultado no registo da alteração.

Entra ID e RADIUS por SSID

O MR10 acrescenta Microsoft Entra ID como fornecedor de identidade cloud para SSID AP6 com Enterprise Authentication. Siga o runbook Entra ID para AP6 existente. Mantêm-se obrigatórios EAP-TTLS/PAP, a verificação do certificado e da identidade do servidor e os limites de clientes e tenant descritos nesse runbook. Um Test connection bem-sucedido é apenas a primeira etapa: teste depois uma autenticação real com identidade piloto e perfil de cliente aprovados, além de DHCP, DNS e destinos permitidos. O anúncio Entra não elimina as restrições de RADIUS VLAN assignment, Accounting ou Captive Portal.

O anúncio MR10 refere a gestão RADIUS por SSID; as notas de versão documentam expressamente a atribuição de servidores RADIUS por SSID na interface local AP6. Isto não garante que qualquer combinação de servidores ou IdP diferentes funcione sem conflitos em bandas de frequência sobrepostas. Registe primeiro as atribuições de servidores/IdP e as bandas de todos os SSID Enterprise no AP piloto. Após a alteração, autentique-se novamente em cada SSID afetado e confirme nos logs RADIUS qual o servidor que processa o pedido. Se uma atribuição existente mudar inesperadamente, pare e restaure a configuração documentada; não omita a verificação de conflitos de bandas do runbook Entra.

Com RADIUS clássico, verifique também a atribuição VLAN esperada e NAS Identifier. O anúncio MR10 refere WIFIX-10111/10166 para atribuições VLAN incorretas com WPA2/WPA3 Enterprise e WIFIX-7922 para o número de série do AP como NAS Identifier. A validação exige concordância entre a resposta RADIUS, a VLAN real do cliente e a associação NAS usada no servidor. Esta verificação RADIUS não é um teste de VLAN dinâmicas com o IdP Entra.

Traffic Shaping e WMM

Traffic Shaping para SSID AP6 configura-se no Sophos Fusion em Advanced settings > Quality of service. Escolha um SSID piloto, guarde a política existente e verifique o limite efetivamente configurado com uma transferência controlada. Teste em paralelo um SSID existente sem alterações. WIFIX-9535 diz respeito a políticas que deixavam de funcionar após alguns dias: repita a medição após dois a três dias de funcionamento antes de considerar este caso validado. Um teste breve de débito logo após a atualização não basta.

WMM dá prioridade ao tráfego rádio e é distinto de um limite de débito por SSID. A gestão de perfis distribui os valores WMM por um ou mais AP6. As notas de versão atribuem a configuração WMM-EDCA no separador Advanced Wireless já à versão de gestão Central 2026.29 de 20 de julho de 2026; não deve, portanto, ser tratada como uma nova função do firmware MR10. Mantenha os valores WMM predefinidos enquanto valores diferentes não forem validados no próprio ambiente rádio. Se uma alteração for necessária, use primeiro um perfil atribuído apenas ao AP piloto e compare voz ou vídeo sob carga de dados simultânea com o estado anterior. Se houver degradação, restaure os valores guardados do perfil e repita o mesmo teste.

Outras verificações de correções após a atualização

As verificações seguintes aplicam-se apenas a funções efetivamente usadas. Uma correção indicada nas notas não prova que o próprio site já funcione sem falhas:

WIFIX-12318: Uma alteração de configuração piloto aprovada deve chegar ao AP. Compare Task queue, configuração aplicada e efeito nos clientes; um estado de fila desbloqueada não basta.
WIFIX-10877: A correção diz respeito a uma falha do daemon SD com reinício do AP. Registe uptime e reinícios inesperados durante o período de observação acordado. Um único reinício bem-sucedido após a atualização não demonstra estabilidade a longo prazo.
WIFIX-10717: Se usar Walled Garden, compare um destino de teste permitido e outro bloqueado; a lista de bloqueio deve impor efetivamente a restrição prevista.
WIFIX-10142: A correção diz respeito a alertas de potência incorretos e intermitentes. Verifique ainda assim os novos alertas face à classe PoE, ao orçamento da porta e ao orçamento total; não os ignore por existir uma correção.
WIFIX-9594: O MR10 atualiza Dnsmasq para 2.91 para corrigir vulnerabilidades. Confirme a versão de firmware aprovada e repita os testes DHCP/DNS. Sem provas adicionais, não deduza uma aprovação completa da segurança do dispositivo.

Fusion Wireless 2026.41: versão de gestão separada

Versão de gestão posterior: Fusion 2026.44, publicada em 12 de outubro de 2026. Os detalhes de 2026.41 mantêm-se como referência.

As notas de versão verificadas em 11 de outubro de 2026 indicam Fusion 2026.41, publicada em 22 de setembro de 2026, como versão de gestão atual. É uma versão posterior da gestão Wireless e não uma versão de firmware AP6 1.10.41. As novas funções exigem a licença adequada; verifique separadamente a sua visibilidade no próprio tenant e o firmware do AP piloto. Para esta versão de gestão, as notas não indicam novas funções da interface local nem problemas corrigidos.

Na gestão de perfis AP, o separador Network settings oferece definições para as portas Ethernet com fios: Spanning Tree Protocol (STP), Internet Group Management Protocol (IGMP) snooping, Link Layer Discovery Protocol Media Endpoint Discovery (LLDP-MED) e, exclusivamente para AP6 840E, port trunking. Não ative automaticamente estas opções em conjunto com MR10. Registe primeiro o perfil existente, os AP atribuídos e a configuração correspondente das portas do switch. Aplique uma alteração necessária apenas ao perfil piloto e verifique depois acessibilidade de gestão, ligação Ethernet e caminho do cliente afetado. Se houver efeitos inesperados, pare novas atribuições do perfil e restaure os valores documentados do perfil e do switch. A presença da opção não garante uma configuração de trunking específica nem a utilização noutro modelo AP6.

Em Diagnostics > System logs pode ativar opcionalmente advanced diagnostic logging. Destina-se à investigação de problemas específicos e não é uma atualização de firmware. Durante uma investigação, registe hora, AP e sintoma reproduzido, guarde os logs pertinentes e desative depois o logging adicional ou reponha o estado anterior documentado. Antes de partilhar logs, verifique se contêm credenciais ou informações pessoais. Não tente forçar opções ausentes do tenant através de um reset ou de um suposto downgrade de firmware.

Atualizar agora, uma vez ou periodicamente no Central

Abra My Products > Wireless > Access Points e clique em Firmware upgrade.
Selecione apenas os AP do piloto ou da vaga planeada e clique em Choose schedule.
Escolha uma opção:
- Now: clique em Upgrade para iniciar imediatamente.
- Custom: selecione uma data e hora únicas e clique em Save.
- Recurring: selecione periodicidade diária, semanal ou mensal. Os upgrades são aplicados automaticamente aos AP selecionados. O padrão apresentado é terça-feira às 03:00, semanalmente; adapte-o conscientemente à janela de manutenção.
Regresse à lista e verifique seleção e ícone Firmware. Um relógio deve surgir para um AP agendado.

Antes do início, cancele em Firmware upgrade, selecionando o AP6 e clicando em Cancel schedule. Este é um limite seguro de paragem, não um downgrade.

Implementação faseada sob responsabilidade da Avanet

O engenheiro regista início, fim, AP selecionados e estado no Central de cada vaga; o Release Owner da Avanet só liberta o anel seguinte após validação:

Piloto: atualize um AP6 representativo que não seja o único equipamento crítico. Execute todos os testes e observe-o durante um período representativo.
Grupo pequeno: atualize uma pequena vaga do mesmo modelo e configuração semelhante, mantendo cobertura suficiente fora da vaga simultânea em cada site.
Implementação ampla: agende outros grupos apenas após documentar o sucesso do piloto. Não pressuponha que mesh, RADIUS ou captive portal se comportam como um AP autónomo simples.
Restantes: procure no Central seta azul, relógio ou versão diferente. O Owner reconcilia o resultado com o ledger e documenta atualização ou adiamento.

Antes de uma vaga, o retorno seguro é cancelar o agendamento e deixar os AP ainda não atualizados na versão existente, não inventar um downgrade.

Atualizar um AP6 localmente

A interface local oferece duas origens em Advanced > Update firmware:

Auto: o AP6 atualiza firmware automaticamente a partir da Sophos. A página mostra Current Firmware Version, Server Firmware Version e Status.
a file on your PC: no Central, abra My Environment > Installers e, em Wireless, clique em Download firmware for your wireless. Extraia do arquivo exatamente o .tar.gz.sig correspondente ao modelo AP6. Localmente, abra Advanced > Update firmware > a file on your PC > Choose file, selecione o ficheiro, clique em Open e depois em Update.

O firmware mais recente também requer registo no Central e subscrição de suporte válida. O upload local não contorna estes requisitos. Não misture pacotes de modelos, não altere o ficheiro assinado e não desligue alimentação nem rede.

Validar o sucesso

Após o reinício, aguarde que o AP6 volte a ficar online. No Central, compare o Firmware mostrado com a versão aprovada; a marca verde indica uma versão atual. Localmente, verifique Current Firmware Version, Server Firmware Version e Status.

Ligue um cliente real e repita os testes. O estado de gestão online não basta: autenticação, DHCP, gateway, DNS e destinos permitidos têm de funcionar. Teste especificamente VLAN, RADIUS, captive portal ou mesh quando aplicável. O engenheiro regista resultado, modelo, versões, hora e desvios; o Owner atualiza o ledger e só liberta o anel seguinte quando todos os critérios forem cumpridos.

Resolver problemas com segurança

Não é oferecido upgrade: verifique registo, subscrição, estado online e Last activity; depois, seta azul e notas de versão. Um AP já atualizado não precisa de tarefa.

O agendamento não começa: confirme o AP correto e o relógio na coluna firmware. Reabra data, hora e recorrência. Antes do início, cancele e crie um agendamento limpo, em vez de compromissos paralelos.

O upload local é rejeitado: descarregue novamente o arquivo e confirme o .tar.gz.sig para o modelo exato. Não o renomeie, edite ou descomprima mais. Registe modelo, versão, nome do ficheiro, hora e mensagem.

O AP permanece offline: não corte rapidamente a alimentação nem use Factory default como primeira medida. Verifique PoE, porta, lease DHCP e ligação ao Central. Se regressar, valide o firmware e o caminho do cliente. Se continuar inacessível ou se o upgrade comunicar um erro, o Owner bloqueia os anéis seguintes e regista hora, modelo, série, versões, estado e verificações, e o engenheiro abre o caso no suporte Sophos. O guia de diagnóstico de AP6 offline descreve as verificações de alimentação e conectividade de gestão.

Limite seguro de rollback

Este processo AP6 não tem downgrade de firmware aprovado. Não carregue uma imagem antiga por tentativa nem prometa downgrade. Antes do início o engenheiro usa Cancel schedule e o Owner bloqueia as vagas seguintes na alteração e no ledger. Se o upgrade já decorre, mantenha alimentação e rede, aguarde a conclusão ou um erro claro e registe o estado. O Owner decide entre restaurar condições de alimentação, rede ou configuração, escalar para suporte ou substituir o dispositivo; a implementação só retoma após recuperação documentada e nova aprovação. Um reset não restaura automaticamente o firmware anterior.