Verificar a saúde do SSD da Sophos Firewall através de SMART

Um valor SMART pode ser útil no diagnóstico de hardware. Em XGS Appliances físicas cujo SSD interno esteja montado como /dev/sda, uma consulta de leitura com smartctl devolve a entrada de endurance. No entanto, para o SFOS 22.0, a Sophos não documenta um comando geral para administradores, um caminho de disco fixo nem um limite de desgaste aplicável a todos os modelos. Por isso, confirme primeiro a appliance, o nó e o caminho do dispositivo e trate o valor como um indício de diagnóstico, não como o único critério para decidir uma substituição.

O procedimento seguro começa no WebAdmin: verificar a utilização e o comportamento do sistema, gerar um Consolidated troubleshooting report (CTR) e envolver o Sophos Support se houver suspeita de falha de hardware. A consulta abaixo lê os dados SMART existentes e não inicia qualquer self-test. Outros caminhos de dispositivo, testes SMART ou comandos de reparação só devem ser usados no âmbito de um caso de suporte concreto.

⚠️ Importante: A Advanced Shell dá acesso direto ao sistema. Não experimente caminhos de disco, não inicie SMART self-tests, não altere partições, não elimine ficheiros manualmente nem substitua SSDs por iniciativa própria. Até system fsck-on-nextboot, na Device Console, só pode ser utilizado por recomendação do Sophos Support: o comando ajuda a resolver erros de montagem em /sig, /conf ou /var, força a verificação do sistema de ficheiros de todas as partições no reinício seguinte e pode danificar o sistema de ficheiros se o hardware ou o SSD não estiverem em boas condições. on, off e show ativam, desativam ou mostram o estado; a predefinição é off. No Failsafe mode, o SFOS pode ativar automaticamente a verificação, por exemplo, se a base de dados de configuração, de relatórios ou de assinaturas não arrancar, se não for possível aplicar uma migração ou se faltar o deployment mode. Consulte o procedimento seguro em Diagnosticar o Failsafe Mode da Sophos Firewall.

Procedimento seguro de diagnóstico

1. No WebAdmin, aceda a Diagnostics > System graphs, escolha Disk usage como gráfico e selecione um período que inclua o início do problema.
2. Verifique se, em simultâneo, existem anomalias nos relatórios, logs, quarentena, WebAdmin ou serviços. A indicação de Disk usage mostra o espaço ocupado, não o desgaste do SSD nem a saúde SMART.
3. Antes de uma atualização de firmware, verifique também os avisos e as notificações da firewall. O SFOS 22.0 pode indicar que determinados modelos XGS Appliance necessitam de uma atualização de firmware do SSD; em HA, os requisitos da atualização são verificados separadamente em cada nó.
4. Em Diagnostics > Tools, na secção Consolidated troubleshooting report, selecione System snapshot e All log files, indique o motivo do diagnóstico, escolha Generate e, em seguida, Download. O System snapshot não requer debug mode.
5. Perante erros de I/O, do sistema de ficheiros, de arranque ou recorrentes da base de dados, abra um caso no Sophos Support e forneça o CTR, o momento da ocorrência, os sintomas e os dados do dispositivo. O suporte decide se são necessários outros diagnósticos de shell/SMART e uma eventual RMA.

Se o problema for apenas falta de espaço, consulte Verificar o espaço de armazenamento da Sophos Firewall e gerir relatórios. O Central Firewall Reporting pode reduzir a dependência dos dados de relatórios locais. Já um Sophos Firewall Health Check avalia riscos de configuração e não substitui um diagnóstico de hardware.

O que significam os sinais visíveis

Disk usage mede capacidade, não desgaste

Em Diagnostics > System graphs > Disk usage, o eixo X mostra minutos, horas, dias ou meses, consoante o período selecionado, e o eixo Y mostra a percentagem de ocupação. A legenda distingue assinaturas (laranja), ficheiros de configuração (violeta), relatórios (verde) e armazenamento temporário (azul). Um valor elevado pode afetar relatórios e serviços, mas não prova uma avaria do SSD. Da mesma forma, ter espaço livre nada diz sobre falhas de hardware ou sobre a vida útil de escrita restante. O gráfico não contém atributos SMART nem limites de desgaste.

Um aviso de firmware do SSD não é um resultado SMART

Antes de uma atualização para o SFOS 22.0 ou posterior, alguns modelos XGS Appliance podem exigir uma atualização de firmware do SSD para melhorar a fiabilidade. Quando é necessária uma intervenção, surge uma notificação. Trata-se de um requisito de atualização específico do modelo, não de um valor de endurance medido nem, por si só, de uma avaria.

Antes da atualização, verifique, por isso, se dispõe de um backup atual, espaço livre suficiente, um caminho de atualização suportado, as Release Notes e uma janela de manutenção. Em HA, ambos os nós devem estar acessíveis, saudáveis, sincronizados e cumprir individualmente os requisitos da atualização; se um deles não cumprir os requisitos, a atualização pode ser bloqueada. Inicie a atualização apenas a partir do Primary Device.

As saídas SMART são dados de diagnóstico específicos do modelo

Os atributos SMART, os nomes dos dispositivos e o respetivo significado podem variar consoante o SSD, o controlador, a appliance e o firmware.

Consultar a endurance numa XGS Appliance com /dev/sda

Inicie sessão na firewall através de SSH, abra a Advanced Shell e confirme que está a trabalhar na appliance ou no nó HA correto. A Avanet executou a consulta numa XGS 3100 com SFOS 21.5.1 MR-1 Build 261. Se o SSD interno estiver montado como /dev/sda nesse equipamento, este comando lê todos os dados SMART e mostra apenas as linhas que contêm Endurance:

smartctl -x /dev/sda | grep Endurance

No exemplo da Avanet, o SSD apresenta o valor bruto 1 para Percentage Used Endurance Indicator. Nesta unidade, um valor baixo corresponde a uma pequena parte da vida útil de escrita já consumida. Contudo, não aplique esta escala a outros SSDs sem confirmação: o nome do atributo, a normalização e o valor bruto podem ter significados diferentes consoante o fabricante e o modelo. Por isso, um valor de 80 não é um limite universal da Sophos para RMA. Registe a evolução e considere também os sintomas, os erros de I/O e a avaliação específica do modelo.

O comando e a sua interpretação dependente do modelo já foram discutidos publicamente na prática, pois não estão documentados na ajuda da Sophos Firewall: Verificar a vida útil do SSD da Sophos XGS no Administrator.de. O artigo recomenda uma substituição rápida quando o valor é superior a 80; a Avanet opta conscientemente por não adotar este valor da comunidade como limite universal da Sophos para RMA. A captura de ecrã apresentada acima provém de uma appliance da Avanet, e não desse artigo.

Um SSD pode falhar sem qualquer aviso prévio do SFOS. O HA protege o tráfego, mas não necessariamente todos os dados armazenados localmente: os logs, a Mail Queue e a quarentena podem ser afetados no nó avariado; a Mail Queue e a quarentena não são sincronizadas entre nós HA. Relatórios centralizados, backups atuais e um procedimento de recuperação documentado reduzem o risco, mas não substituem a monitorização do SSD.

Se não surgir qualquer linha, poderá não existir um atributo Endurance adequado, o caminho de dispositivo confirmado poderá não ser o correto para essa appliance ou o smartctl poderá não conseguir ler o SSD dessa forma através do controlador existente. Uma saída vazia não prova que o disco está saudável nem que está avariado. Não experimente outros nomes de dispositivos nem execute um SMART self-test.

Para interpretar os resultados, tenha em conta o seguinte:

• Utilize /dev/sda apenas se este caminho estiver confirmado para a appliance em causa; não tente adivinhar caminhos NVMe ou RAID.
• Não deduza um limite geral a partir de nomes de atributos como Endurance, Percentage Used ou Wear.
• Não utilize um único valor ou a diferença entre dois nós HA como critério para decidir uma substituição.
• Não interprete a ausência de saída SMART como sinal de que o disco está saudável ou avariado.

Em HA, o comando confirmado é executado separadamente em ambos os nós, pois cada nó possui o seu próprio SSD. Guarde em conjunto a saída, a data, o fuso horário, a versão do SFOS e a função do nó. Se existirem sintomas, valores elevados ou em rápido crescimento, ou atributos pouco claros, acrescente também o número do caso e a avaliação do Sophos Support.

Documentar e validar os resultados

Um histórico curto e consistente é mais útil do que um único valor:

• Data e hora com fuso horário: por exemplo, 2026-09-05 10:30 CEST
• Appliance e localização: por exemplo, XGS 2100 – HQ
• Número de série e, em HA, a função: Primary ou Auxiliary
• Versão e build do SFOS
• Sintoma: aviso de armazenamento, erro de I/O, erro de arranque ou problema de relatórios ou da base de dados
• Período de Disk usage e alteração anómala
• Ficheiro CTR e número do caso de suporte
• Consulta SMART prática: caminho do dispositivo confirmado, comando exato e saída sem alterações

O diagnóstico não fica concluído apenas com um gráfico normal ou um único valor SMART. Para validar, verifique se a utilização do armazenamento e as funções afetadas permanecem estáveis após a medida segura e se os erros voltam a ocorrer durante o período de observação acordado. Nas firewalls virtuais, o estado do disco, o datastore, a latência de I/O e os erros devem ser monitorizados principalmente através do hipervisor e da plataforma de armazenamento.

Se suspeitar de problemas de temperatura ou da ventoinha, consulte Verificar a temperatura e a ventoinha através de SSH; pode complementar o estado e o histórico dos sensores de hardware suportados com Monitorização de hardware por SNMP. Nenhuma destas verificações substitui o diagnóstico do SSD efetuado pela Sophos.

Se a appliance estiver instável ou inacessível

Não execute, sem motivo confirmado, comandos de reinício, do sistema de ficheiros ou de reparação. Registe a última vez em que o sistema funcionou, as alterações anteriores ao problema, o estado dos LEDs e a acessibilidade através de HTTPS, SSH e consola de série. Em caso de falha total de energia, teste primeiro outra tomada e outro cabo de alimentação; nas appliances com duas fontes de alimentação, verifique a segunda entrada e, nos modelos previstos para tal, teste outra fonte hot-swap. Uma fotografia ou um vídeo dos LEDs e do comportamento durante o arranque acelera a avaliação da RMA.

Se a appliance não arrancar, verifique HTTPS e SSH através da LAN e da WAN, bem como a consola de série diretamente por DB-9, através de um conversor Serial-to-USB ou da porta de consola Micro-USB existente nos modelos XGS Appliance mais recentes. No Device Manager do computador do administrador, verifique se existem erros de controlador ou de ligação. Configure 38400 baud, verifique o estado em vários momentos e registe os erros visíveis através de capturas de ecrã. Se a consola permanecer sem resposta, repita a verificação com outro cabo ou computador. Só a Sophos pode decidir, após a sua própria avaliação, se um dispositivo é considerado DOA. Consulte o procedimento interno completo em Preparar RMA e substituição em caso de avaria de hardware Sophos.

Se a appliance ainda estiver acessível, reproduza o erro imediatamente antes da recolha e anote a hora exata com o fuso horário. Em Diagnostics > Tools > Consolidated troubleshooting report, selecione System snapshot e All log files, indique o motivo, escolha Generate e, em seguida, Download. Carregue o relatório encriptado no caso de suporte. Alguns logs do CTR contêm apenas o número de linhas configurado através da CLI; para um incidente mais antigo, guarde também individualmente os Troubleshooting logs relevantes. O debug mode está desativado por predefinição e não é necessário para o System snapshot; os debug logs aumentam o espaço ocupado e devem voltar a ser desativados após uma recolha específica. Em HA, os logs e os relatórios não são sincronizados: devem ser recolhidos por nó e identificados de forma inequívoca. Consulte o procedimento completo em Guardar logs da Sophos Firewall para suporte e análise.

Se a Sophos solicitar acesso remoto para o diagnóstico, pode gerar uma Access ID temporária em Diagnostics > Support access. Para isso, a firewall estabelece uma ligação de controlo segura de saída através de TCP 22 para *.apu.sophos.com; um router a montante tem de permitir esta ligação. Ative Support access, confirme com OK, escolha a duração, selecione Apply, confirme novamente com OK e copie a ID exclusiva apresentada em Access status. Partilhe a Access ID apenas no caso de suporte. A Sophos pode utilizá-la para aceder ao WebAdmin e à shell sem a palavra-passe de administrador; as sessões inativas terminam após 15 minutos. O acesso pode ser desativado a qualquer momento e é desativado após o encerramento do caso. Consulte o procedimento interno detalhado em Autorizar o Support Access da Sophos Firewall para a Avanet.

Preparar o suporte e a RMA

Antes de encaminhar o caso, tenha disponível:

• descrição exata do erro, início, frequência e impacto;
• modelo, revisão, número de série, versão e build do SFOS;
• estado do HA e nó afetado;
• histórico de Disk usage, mensagens de erro relevantes e CTR;
• backup atual da configuração, descarregado da appliance;
• palavra-passe de encriptação do backup e respetivo Secure Storage Master Key disponíveis em segurança, mas partilhados apenas através do método seguro definido pela Sophos;
• estado da licença e do suporte.

Um valor SMART não dá origem automaticamente a uma RMA. De acordo com a Sophos, o processo de RMA começa pela identificação do problema e pelos dados do dispositivo, seguindo-se a abertura e validação de um caso de suporte; a Sophos pode solicitar outros diagnósticos. O modelo, a revisão, a versão do firmware, o número de série e a associação a HA fazem parte do formulário de RMA.

Em HA, é também necessário esclarecer qual dos nós será substituído. O procedimento de recuperação descrito aqui aplica-se apenas a Active-Passive, não a Active-Active, e implica indisponibilidade. Antes de começar, registe o modelo, a revisão, o Primary inicial, bem como a versão de firmware e o build de ambos os dispositivos com system diagnostics show version-info.

• Preparar o dispositivo de substituição: Se o mesmo build de firmware não estiver disponível, solicite-o ao Sophos Support. Ligue um cliente DHCP à porta 1 e abra https://172.16.16.16:4444. Configure a porta 2 através do Setup Assistant apenas para WAN e acesso à Internet; não configure ainda outras interfaces. Após o reimage ou a atualização, confirme novamente o build com system diagnostics show version-info.
• Substituir o Auxiliary: O Primary saudável funciona temporariamente sozinho. Instale no dispositivo de substituição a mesma versão e o mesmo build do firmware, faça o claim no Central e transfira a licença do Auxiliary avariado. No Primary saudável, desative o HA, confirme com service -S | grep msync o estado UNTOUCHED ou STOPPED, mude os cabos e volte a configurar o HA Active-Passive com o dispositivo saudável como Primary.
• Substituir o Primary: Remova o registo do Auxiliary saudável no Central e confirme, em My Products > Firewall Management > Firewalls, que deixou de ser apresentado. Guarde um backup atual desse dispositivo. Instale no dispositivo de substituição a mesma versão e o mesmo build do firmware, faça o claim, transfira a licença, restaure o backup e, depois de mudar os cabos, deixe-o assumir o tráfego em modo standalone. Em seguida, reponha as definições de fábrica do antigo Auxiliary saudável, faça novamente o claim e volte a configurar o HA Active-Passive com o dispositivo de substituição como Primary.

A substituição disponibiliza o hardware, mas não garante que o sistema esteja operacional. Antes da janela de manutenção, documente a transferência da licença, a compatibilidade do backup, a associação no Central, a cablagem e o teste funcional. Consulte os conceitos básicos das funções em Cluster HA da Sophos Firewall: Active-Passive, Active-Active e Auxiliary Appliance.

Consulte os fundamentos da garantia e do suporte em Durante quanto tempo tenho garantia para hardware Sophos?. Se a Sophos solicitar um reimage, siga o procedimento separado em Reinstalar o Sophos Firewall OS: reimage com uma pen USB.

Verificação final

• Verificou Disk usage e o período, sem interpretar a capacidade como saúde do SSD.
• Documentou os sintomas, a evolução temporal, o modelo, o número de série, a versão do SFOS e o nó HA.
• Guardou um backup atual fora da appliance e tem disponíveis os segredos necessários para o restauro.
• Gerou e guardou em segurança um CTR com System snapshot e All log files.
• Não utilizou caminhos de dispositivo não confirmados nem executou SMART self-tests ou comandos fsck, de eliminação ou de reparação sem autorização.
• Abriu um caso de suporte se houver suspeita de hardware; qualquer diagnóstico adicional só é executado mediante instruções concretas do suporte.
• Só planeou uma RMA ou substituição de hardware após a validação pela Sophos.

Perguntas frequentes