Installera om Sophos Firewall OS via USB

En reimage installerar om Sophos Firewall OS helt. Processen är avsedd för återställningssituationer, labbsystem, modelländringar eller en ren ominstallation. För normala versionsändringar är en firmwareuppdatering via webbadmingränssnittet vanligtvis det bättre valet.

⚠️ Viktigt: En reimage skriver över brandväggen helt. Konfiguration, lokala loggar, certifikat, rapporter och sparade kontodata försvinner från enheten. Spara först en backup externt tillsammans med dess Encryption password och den Secure Storage Master Key (SSMK) som hör till backupen. En backup som skapats efter att SSMK ställts in eller ändrats kan bara återställas med just den nyckeln; behåll därför även äldre nycklar.

Reimage, firmwareuppdatering eller fabriksåterställning?

En rollback återställer även den tidigare konfigurationen: Sophos Firewall lagrar aktiv och föregående firmware med tillhörande konfigurationer i oberoende partitioner. Inställningarna delas inte mellan partitionerna. En återgång till föregående firmware återställer därför också dess äldre konfiguration, inte den aktuella konfigurationen. Ta hänsyn till detta när återställningsvägen väljs; detta garanterar inte en testad rollback i den egna miljön.

För en normal uppdatering bör artikeln Sophos Firewall: utför SFOS firmware update först kontrolleras. En fabriksåterställning är inte heller samma sak som en reimage: den återställer konfigurationen, men tar inte bort alla lokala data som en fullständig ominstallation. Den offentliga SFOS 22-hjälpen motsäger sig själv om SSMK: den särskilda resetsidan säger att nyckeln behålls, medan den allmänna firmwaresidan anger att den tas bort. Spara därför nyckeln externt före varje reset och kontrollera dess status efteråt. Om brandväggen verkligen ska tillbaka till ett rent standardläge inklusive loggar, rapporter och lokala driftdata är reimage den mer passande vägen. För XGS Appliances med skadad firmware hänvisar Sophos till reimage-proceduren eftersom recovery-proceduren med SFLoader inte är tillgänglig på XGS Appliance.

Återställ Sophos Firewall till fabriksinställningarna beskriver den säkra processen i WebAdmin och de olika maskinvarusekvenserna för XGS Appliance-modeller.

När du inte bör göra en reimage

En reimage är den hårda återställningsvarianten. Om normal administrationstillgång fortfarande är möjlig bör man först kontrollera om ett mindre invasivt sätt är tillräckligt.

Reimage är användbart om operativsystemet är skadat, en ren ombyggnad önskas eller Sophos Support eller återställningsplanen anger denna väg. Det är vanligtvis för tidigt för normalt underhåll, individuella GUI-problem eller oförklarliga prestandaproblem.

Om brandväggen startar i Failsafe-läge ska den identifierade orsaken sparas före en Reboot, Factory Reset eller reimage. Kontrollera Sophos Firewall i Failsafe-läge visar kommandot show failure-reason och de säkra efterföljande besluten.

Ta backup före reimage

Inför en produktiv reimage bör följande punkter förberedas:

• Ladda ner den aktuella konfigurationsbackupen och lagra den säkert.
• Dokument Secure Storage Master Key om säkerhetskopian innehåller krypterad kontodata.
• Kontrollera licensstatus, serienummer och tilldelning i Sophos Fusion (tidigare Sophos Central).
• Dokumentera modell, revision, aktuell SFOS-version, build, målversion och backupversion.
• Notera separat WAN-data, VLAN, statiska rutter, VPN-parametrar och speciell HA-information.
• Schemalägg underhållsfönster eftersom brandväggen inte kommer att skydda och bearbeta trafik under reimage.
• Säkerställ lokal åtkomst till apparat, strömförsörjning, USB-port och hanteringsport.
• Kontrollera återställningsprocessen i förväg, särskilt för HA-kluster och kritiska VPN-platser.
• Säkerhetskopiera loggar eller supportarkiv om orsaken behöver analyseras senare.

De relevanta grunderna finns i Sophos Firewall: Skapa och återställa en säkerhetskopia, Sophos Firewall: SFOS 22 uppgraderingskontroll och Sophos Firewall HA-kluster: Active-Passive, Active-Active och Auxiliary Appliance.

Om reimage är del av ett RMA- eller HA-scenario blir denna dokumentation ännu viktigare. Då räknas inte bara huvudversionen, utan även build. En ersättningsenhet bör passa den friska brandväggen eller medvetet föras till målversionen innan backup, licenstransfer och HA-omkonfiguration startar.

Förtydliga återställningskompatibiliteten i förväg

Den viktigaste delen av en reimage är inte att skriva till USB-minnet, utan den lyckade återställningen efteråt. En säkerhetskopia ska inte bara utvärderas första gången efter ominstallationen.

Förtydliga i förväg:

Vid hårdvarubyte, migrering från XG till XGS Appliance eller restore till en annan modell bör man även kontrollera om backup-återställningsassistenten är tillgänglig och om porttilldelningen är korrekt innan den slutliga återställningen. Processen beskrivs i Skapa eller återställ en Sophos Firewall-säkerhetskopia.

För HA och RMA gäller som tumregel: firmwareversion och build för de berörda enheterna kontrolleras före restore. Om den gamla firmwareversion som behövs inte längre kan laddas ned normalt bör man inte improvisera, utan involvera Sophos Support eller den befintliga supportprocessen.

Krav

• Sophos Hardware Appliance. USB- och LED-proceduren nedan gäller detta fall.
• USB-minne med minst 4 GB lagringsutrymme.
• Windows-, macOS- eller Linux-dator för att skapa det startbara USB-minnet.
• Verktyg för att skriva ISO-bilden, till exempel balenaEtcher.
• Lokal tillgång till apparaten.
• Valfritt: USB till Micro USB-kabel eller RJ45 COM-adapter för statusrapportering och felsökning via seriekonsolen.

Det krävs ingen supportprenumeration för att installera om samma firmwareversion. Om reimage innebär byte till en annan version gäller licens- och supportvillkoren för firmwareuppgraderingar.

Hantera Software och Virtual Appliances separat

Sophos tillåter reimage även av Software och Virtual Appliances, men image och installationsmetod skiljer sig. En Software Appliance på egen x86-64-hårdvara använder SW-ISO. Installationen formaterar och partitionerar om disken och tar även bort det befintliga operativsystemet. Minimikraven för SFOS 22 är Legacy BIOS, 4 GB RAM, 32 GB HDD eller SSD samt två nätverkskort; Sophos rekommenderar 64 GB diskutrymme.

En Virtual Appliance använder i stället paketet för sin hypervisor, till exempel VI-22.0.2_MR-2.VMW-546.zip för VMware. Distribuera den enligt plattformens instruktioner och använd endast den inbyggda SFOS-funktionen för backup och restore; enligt Sophos är hypervisor-snapshots och tredjepartsbackuper inte ett alternativ som stöds. Följande steg för ett fysiskt USB-minne och XGS Appliance-lampor gäller därför inte oförändrat för virtuella system.

Före uppgradering till SFOS 22.0 eller senare: Software och Virtual Appliances samt Azure- och AWS-BYOL-brandväggar som ännu inte har tagits i anspråk måste först tas i anspråk i Sophos-kontot (Sophos Fusion eller Sophos Central). Detta är ett förkrav för uppgraderingen som måste vara uppfyllt före versionsbytet; senare registrering under setup ersätter det inte. Det innebär inte ett generellt krav på att göra anspråk på enheten vid varje hårdvaruominstallation av samma firmwareversion.

1. Ladda ner lämplig SFOS-installationsavbildning

Installationsbilden hämtas från Sophos officiella nedladdningssida:

1. Ladda ner det aktuella installationsprogrammet för Sophos Firewall.
2. För Sophos hårdvara, välj önskad SFOS-version under Hardware Installers.
3. Acceptera licensvillkoren och ladda ner ISO-avbildningen.

För hardware appliances används vanligtvis en image med prefixet HW. Software och virtual appliances använder andra imagetyper. Avgörande är att plattform, målversion och restore-plan passar ihop. Fel image är inte ett litet skönhetsfel, utan kan stoppa recovery-processen.

Filnamnet på installationsavbildningen

Exempel som var tillgängligt den 5 september 2026: HW-22.0.2_MR-2-546.iso

De viktigaste delarna av filnamnet:

• Plattform eller apparattyp

  • HW: ISO-image för Sophos Hardware Appliances. Denna variant behövs normalt för reimage av en XGS Appliance.
  • SW: ISO-image för Sophos Firewall som Software Appliance.
  • VI: imagepaket för Sophos Firewall som Virtual Appliance.
  • AMI: image för Amazon AWS.
  • AZU: image för Microsoft Azure.

• Virtualiseringsplattform för VI-filer

  • HYV: Microsoft Hyper-V.
  • KVM: KVM.
  • VMW: VMware Hypervisor.
  • XEN: Xen.

• Släpptyp

  • GA: General Availability. Det är en allmänt tillgänglig huvud- eller mellanversion, ofta med nya funktioner.
  • MR: Maintenance Release. En MR innehåller framför allt korrigeringar, stabilitetsförbättringar och säkerhetsanpassningar inom en befintlig version.

• Filtillägg

  • .iso: ISO-image som kan skrivas till ett USB-minne eller användas för software appliances.
  • .zip: arkiv med imagefiler för Virtual Appliances.
  • .sig: signerad image för vissa appliance-modeller eller uppdateringsscenarier.

I produktionssystem ska målversionen väljas utifrån supportstatus, backupkompatibilitet och recoveryplan, inte bara efter det högsta tillgängliga filnamnet. I ett supportärende ska den version som avtalats med Sophos användas.

För en XGS Appliance-reimage är exempelvis en fil av typen HW-22.0.2_MR-2-546.iso relevant. SW, VI, AMI eller AZU är avsedda för andra plattformar och ska inte användas för en hårdvaruenhet.

Kontrollera nedladdningens autenticitet och integritet

Prefixet HW bekräftar inte i sig att en image stöder den specifika enheten. Indexet Hardware Installers listar images och builds per hårdvaruserie eller plattform; använd det för att välja planerad serie eller plattform och målbuild, inte för att dra slutsatsen att en exakt appliance-modell finns listad. Om tillämpligheten för den exakta modellen eller builden är osäker ska processen stoppas och frågan redas ut via Sophos support eller det befintliga Avanet-livscykelsammanhanget före nedladdning eller installation.

En kontrollerad nedladdning omfattar fyra kontroller:

1. Hämta imagen endast via HTTPS-nedladdningen ovan på download.sophos.com, inte från en mirror, ett forum eller ett gammalt lokalt arkiv.
2. Jämför filnamnets prefix, version, releasetyp och build med planen för reimage och restore.
3. Dokumentera filnamn, filstorlek och ett lokalt beräknat SHA-256-värde i change- eller recoveryprotokollet.
4. Om portalen eller supporten tillhandahåller en checksumma för just den filen ska den jämföras tecken för tecken. Kassera och ladda ned filen på nytt vid avvikelse.

Beräkna SHA-256 i Windows med certutil -hashfile HW-22.0.2_MR-2-546.iso SHA256, i macOS med shasum -a 256 HW-22.0.2_MR-2-546.iso eller i Linux med sha256sum HW-22.0.2_MR-2-546.iso. En hash som bara beräknats lokalt upptäcker senare ändringar mellan nedladdning, lagring och användning, men utan ett betrott referensvärde bevisar den inte ursprunget. Autenticiteten är därför fortfarande beroende av den officiella HTTPS-nedladdningen och, när den finns, tillverkarens separat tillhandahållna checksumma.

2. Skapa ett startbart USB-minne

USB-minnet formateras när ISO-bilden skrivs. Alla befintliga data på USB-minnet kommer att gå förlorade.

1. Sätt i ett USB-minne med minst 4 GB lagringsutrymme i datorn.
2. Ladda ner och starta balenaEtcher.
3. Använd Flash from file för att välja den nedladdade SFOS ISO-bilden.
4. Välj rätt USB-minne under Select target.
5. Skriv ISO-bilden till USB-minnet med Flash! och vänta tills den efterföljande valideringen är klar utan fel. Kopiera inte ISO-filen till minnet som en vanlig fil.

Efter skrivprocessen ska USB-minnet matas ut rent. Om macOS eller Windows sedan rapporterar stickan som oläsbar, är detta inte nödvändigtvis ett fel eftersom bilden skrevs för att enheten ska starta.

3. Installera om SFOS på brandväggen

Reimage-processen körs direkt på apparaten. Enheten får inte stängas av under denna tid.

1. Stäng av brandväggen helt.
2. Förbered vid behov monitor, LCD eller seriell konsol om installationsstatus ska observeras.
3. Sätt i det förberedda USB-minnet i brandväggen.
4. Slå på brandväggen.
5. Vänta tills Sophos Firmware Installer startar från USB-minnet.
6. Övervaka installationsstatus beroende på appliance-modell.
7. Ta bort USB-minnet efter lyckad installation.
8. Om installeraren sedan ber om bekräftelse, starta om med y.

Status på XGS Appliance Desktop-modeller

Enligt Sophos saknar XGS Appliances bildskärmsanslutning. På Desktop-modeller visas reimage-statusen därför med statuslampan på framsidan. Använd den seriella konsolen via COM-porten om du behöver mer information.

Reimage är klar först när statuslampan lyser permanent grönt. Så länge den blinkar rött pågår processen.

Status på XGS Appliance Rack-modeller

Rackapparater visar status via den integrerade displayen. Typiska meddelanden är Installation in progress, Installation successful, Installation failed eller Failsafe mode.

Status via seriell konsol

En konsol kan anslutas för ytterligare diagnostik. På aktuella XGS Appliance Desktop-modeller är det i vardagen oftast inte längre en klassisk gammal RS-232-anslutning på datorn, utan en USB-till-Micro-USB-kabel till brandväggens COM Micro USB-port. Appliance tillhandahåller ändå en seriell konsol via den. På administratörsdatorn visas den som COM-port i Windows eller som tty-enhet i macOS och Linux.

Detta är särskilt användbart om det inte finns någon skärmanslutning, lysdioden förblir permanent röd, uppstarten från USB-minnet är oklar eller installations- och felmeddelanden behöver ses direkt. Många XGS Appliance-modeller har också en RJ45 COM-port. Denna RJ45 COM-port är en konsolport, inte en normal nätverksport. Om Micro-USB och RJ45-COM är anslutna samtidigt har Micro-USB prioritet.

Typiska verktyg:

• Windows: PuTTY eller annan seriell terminalklient.
• macOS: Terminal med screen, till exempel screen /dev/tty.usbserial-XXXX 38400.
• Linux: screen, minicom eller picocom.

Seriella inställningar:

4. Nå brandväggen efter reimage

Efter ombilden startar brandväggen med standardkonfiguration. Den första åtkomsten är vanligtvis via Port 1:

• Management IP: https://172.16.16.16:4444
• Anslutning: Anslut datorn direkt till port 1 på brandväggen
• Dator-IP: ställ in lämplig statisk IP i nätverket 172.16.16.0/24 om åtkomst inte är möjlig

Därefter görs grundkonfiguration och registrering, eller så återställs en befintlig backup. När Setup Assistant slutförs registreras brandväggen och uppgraderas till den senaste firmwareversionen. Om restore- eller HA-planen kräver en exakt version och build ska steget därför inte slutföras utan att uppgraderingen beaktas. För restore krävs Encryption password och, om backupen skyddades med en sådan, motsvarande Secure Storage Master Key.

En restore ersätter den aktuella konfigurationen, raderar backupen som finns på brandväggen och startar om enheten. Därefter gäller inte nödvändigtvis 172.16.16.16: använd hanteringsadressen i den återställda konfigurationen vid nästa WebAdmin-anslutning. Utöver SSMK krävs backupens Encryption password. Se guiden för backup och restore.

Efter återställningen bör åtminstone dessa punkter kontrolleras:

• Gränssnitt, zoner och VLAN.
• Standardgateway, statiska rutter och SD-WAN-rutter.
• Brandväggsregler, NAT-regler och webbserverskydd.
• VPN-anslutningar och certifikat.
• Licensstatus och synkronisering med Sophos Fusion.
• HA-status om brandväggen är en del av ett kluster.
• Loggning, syslog-mål och rapportering.

För brandväggar som hanteras via Sophos Fusion hjälper Anslut Sophos Firewall till Sophos Fusion också. För modelländringar eller äldre enheter är Sophos XG eller XGS Appliance: Att välja rätt apparat relevant.

Behandla inte HA och RMA som en enskild enhet

Med en enskild labbenhet är en reimage oftast linjär: skriva image, installera, återställa backup, testa. Vid HA och RMA är processen känsligare. Man måste i förväg veta vilken enhet som är frisk, vilken roll den har, vilken firmwareversion och build den kör samt om Sophos Fusion eller licenstransfern först måste städas upp.

I en Active-Passive-miljö ska en ersättningsenhet inte anslutas till klustret direkt med alla kablar. Rollen avgör proceduren. Vid reimage av Auxiliary ska backupen inte återställas manuellt på den enheten: installera exakt samma firmwareversion och build, konfigurera HA på nytt och låt konfigurationen synkroniseras från Primary. Den officiella proceduren för Primary omfattar däremot failover, restore på den ominstallerade enheten och därefter återuppbyggnad av HA. Identifiera Initial Primary, aktuell Primary och Auxiliary innan arbetet påbörjas.

Sophos offentliga procedur omfattar uttryckligen bara Active-Passive, inte Active-Active. Den kräver samma firmwareversion och build på båda enheterna och stegen skiljer sig beroende på vilken roll som berörs. Överför därför inte proceduren till Active-Active eller ett odokumenterat scenario; fastställ supportplanen innan någon enhet raderas. Restore av en HA-backup till aktuell Primary orsakar downtime utan failover, och därefter måste båda brandväggarna registreras i Sophos Fusion på nytt. Om en backup från en fristående enhet i stället återställs till aktuell Primary inaktiveras HA; kontrollera HA-status efter omstarten och bygg medvetet upp klustret igen om det behövs.

Acceptanstest efter reimage och återställning

Efter en lyckad inloggning räcker det inte med en snabb titt på instrumentpanelen. Brandväggen måste betjäna de viktigaste produktiva vägarna korrekt igen.

Förnuftig ordning:

1. Kontrollera licensstatus, serienummer, modell och firmwareversion.
2. Kontrollera gränssnitt, länkstatus, VLAN och zoner.
3. Kontrollera WAN-gateway, DNS, NTP och Sophos Fusion-anslutning.
4. Validera brandväggsregler, NAT-regler och loggvisare med en testklient.
5. Testa plats-till-plats VPN och fjärråtkomst med riktiga testmål.
6. Kontrollera HA-status och roller om ett kluster är inblandat.
7. Styr syslog, central rapportering, backuper och schemalagda rapporter.
8. Ta bort gammal tillfällig åtkomst, lokala administratörskonton eller återställningsundantag.

Om en återställning lyckades men trafiken inte flödar bör man inte ombilda omedelbart. Gränssnittsmappning, routing, NAT, enhetsåtkomst, licensstatus eller returvägen för fjärrstationen påverkas ofta. Lämpliga för analysen är Brandväggsregeltestning med Log Viewer, Policytest och Packet Capture, Förstå NAT på Sophos Firewall och Sophos Firewall IPsec VPN-felsökning.

Vanliga problem

Brandväggen startar inte från USB-minnet

Oftast har USB-minnet inte skrivits korrekt, fel image har valts eller appliance startar inte från den förväntade USB-porten. Skriv då ISO på nytt med balenaEtcher, testa ett annat USB-minne och observera starten via monitor, LCD, status-LED eller seriell konsol.

Om enheten fortfarande inte identifierar USB-minnet trycker man på Delete under starten för att öppna BIOS. USB Key måste ligga först i startordningen. Markera vid behov posten med piltangenterna och flytta den uppåt med +. Välj sedan Save and exit; brandväggen startar om och bör läsa in Sophos Firmware Installer från USB-minnet.

LED lyser permanent rött

En permanent röd status-LED betyder att reimage misslyckades. Fortsätt då inte blint i produktion: kontrollera USB-minne, imagetyp, målmodell och installationsmeddelande. Vid upprepat fel är seriell konsol och Sophos Support mer meningsfullt än flera identiska försök.

Backup-restore misslyckas

Typiska orsaker är en olämplig målversion, en skadad backup, saknad SSMK eller restore till en annan modell utan ren portmappning. Kontrollera först backupversion, mål-SFOS-version, build, plattform och SSMK. Klargör sedan om Restore Assistant, ett mellansteg via en annan SFOS-version eller support behövs.

WebAdmin går inte att nå efter reimage

Efter reimage gäller standardkonfigurationen igen. Anslut datorn direkt till Port 1, sätt en passande IP i nätet 172.16.16.0/24 och öppna https://172.16.16.16:4444. Om det inte fungerar, kontrollera först länkstatus, lokal klient-IP, webbläsarens certifikatvarning och eventuellt bootstatus.

HA startar inte rent efter restore

Vid HA är det ofta inte själva reimage som är problemet, utan roll, firmwarestatus, build, Initial Primary, Sophos Fusion-tilldelning eller restore-ordning. Aktivera därför inte HA automatiskt igen, utan dokumentera först båda enheternas tillstånd och jämför med den planerade HA-processen.

Trafiken flyter inte efter restore

Om konfigurationen har återställts men trafik inte fungerar är ofta interface mapping, zoner, routing, NAT, Device Access, licensstatus eller returvägar inblandade. Då hjälper Log Viewer, Rule ID, NAT ID, Route Lookup och Packet Capture mer än en ny reimage.

Licens eller Sophos Fusion-anslutning saknas

Efter reimage, RMA eller modellbyte måste serienummer, kontotilldelning, licenstransfer, DNS, gateway och Sophos Fusion-anslutning passa igen. Först när brandväggen är rent online bör man se detta som ett produktivt driftläge.

Checklista

• Backup nedladdad.
• Secure Storage Master Key tillgänglig.
• Backup och mål SFOS version dokumenterad.
• Firmware-build och modellrevision kontrollerade, särskilt vid HA eller RMA.
• Serienummer, licensstatus och Sophos Fusion-tilldelning kontrolleras.
• Lämplig SFOS-installationsbild har valts.
• USB-minne skrevs framgångsrikt.
• Underhållsfönster och lokal åtkomst förtydligas.
• Apparaten är inte avstängd under återbilden.
• Nådde WebAdmin via port 1 efter omstart.
• Backup återställd och SSMK angiven.
• Nätverk, VPN, Licens, Sophos Fusion och HA kontrolleras.
• Genomförde regel-, NAT-, routing- och VPN-tester med riktiga klienter.
• Tillfällig återställningsåtkomst och anteckningar rensade.

Vanliga frågor