Sophos Firewall v22 MR3: IPsec-Kompatibilität und 16 Fixes
Sophos hat am 16. Oktober 2026 Sophos Firewall OS 22.0 MR3 Build 576 veröffentlicht. Nach den Funktionserweiterungen in v22 MR2 liegt der Schwerpunkt auf einem kleineren Wartungsupdate: Die offiziellen Release Notes führen 16 behobene Probleme auf. Dazu kommt eine neue Einstellmöglichkeit für Site-to-Site-IPsec mit Fremdherstellern.
Für die Updateplanung zählt vor allem, welche Dienste auf der jeweiligen Firewall genutzt werden. Ein Standort mit mehreren VPN-Gegenstellen braucht andere Abnahmetests als eine Firewall mit Mail Protection oder einem HA-Cluster. MR3 sollte deshalb anhand der eigenen Konfiguration bewertet und in einem geplanten Wartungsfenster eingespielt werden.
IPsec mit Fremdherstellern: Tunnel steht, Traffic fehlt
MR3 ergänzt einen Befehl, mit dem sich strikte Policy-Prüfungen für Site-to-Site-IPsec abschalten lassen. Hintergrund sind Gegenstellen, die dieselbe Security Association (SA) für mehrere Subnetzpaare verwenden. Dadurch konnte eingehender Verkehr verworfen werden, wenn er nicht zur erwarteten SA passte.
Eine SA beschreibt vereinfacht die Sicherheitsparameter einer IPsec-Verbindung. Ein aufgebauter Tunnel allein beweist daher noch nicht, dass alle vorgesehenen Netze miteinander kommunizieren können. Gerade bei mehreren lokalen und entfernten Netzen sollte die Abnahme jede benötigte Kombination erfassen.
Die neue Option ist kein Anlass, die Prüfung vorsorglich überall abzuschalten. Zuerst sollte mit IPsec-Troubleshooting geklärt werden, ob das Fehlerbild tatsächlich zur SA-Zuordnung passt. Routing, Firewall-Regeln und NAT bleiben mögliche Ursachen für einen Tunnel ohne Nutzdaten. Syntax, Geltungsbereich und kontrollierte Anwendung von ipsec-strict-policy-check beschreibt unser KB-Artikel Globale VPN-Einstellungen im Abschnitt zur strikten IPsec-Policy-Prüfung.
Für einen belastbaren Test sollten Verbindungen aus beiden Richtungen aufgebaut werden. Dabei helfen Paketmitschnitte und die Zähler der beteiligten Tunnel, um zwischen ausbleibendem Eingang, verworfenen Paketen und einem fehlenden Rückweg zu unterscheiden.
Welche Fehlerkorrekturen im Betrieb besonders zählen
Die folgenden Punkte sind eine Auswahl aus den offiziellen Release Notes:
- NC-186809, HA: Zertifikatssynchronisation konnte WebAdmin und VPN Portal unerreichbar machen.
- NC-186075, Netzwerk: RJ45-Ports verloren an bestimmten Switches zeitweise den Link.
- NC-182635, Application Control: Wiederholte Anwendungspfad-Updates verursachten hohe CPU-Last.
- NC-181808, RED: Veraltete
RED_DEVICE_DROP-Einträge blockierten Verkehr nach erneuter Bereitstellung. - NC-183979, E-Mail: Ein grosser Mail-Spool verlängerte den Neustart beim MR2-Upgrade.
- NC-180464, DNAT: SMTP-Verkehr wurde nach einem Upgrade fälschlich verworfen.
- NC-184117, STAS: Bereits authentifizierte Benutzer erhielten erneut die Captive-Portal-Anmeldung.
- NC-182222, SSL VPN: Numerische Benutzernamen verhinderten Verbindungen nach dem MR1-Upgrade.
Die übrigen Einträge betreffen Benutzerfilter, Syslog-Fehler, AP-VXLAN-Erstellung, HA-Deaktivierung, IPsec, Signaturdatenbanken und PDF-Berichte.
Für die Praxis sollte aus dieser Liste eine kurze, standortspezifische Abnahme entstehen. Bei HA gehören die Erreichbarkeit der Verwaltungsoberfläche und des VPN Portals sowie der Synchronisationszustand dazu. An RED-Standorten sollte eine echte Anwendung über die Verbindung getestet werden. Bei einem Mail-Gateway sind eingehende und ausgehende Zustellung sowie die Warteschlange aussagekräftiger als ein erfolgreicher Ping.
Auch bei CPU-Problemen lohnt sich ein Vorher-nachher-Vergleich unter ähnlicher Last. Ein passender Fix in den Release Notes ist ein Hinweis, aber noch kein Nachweis, dass die Ursache einer konkreten Störung gefunden wurde.
Config Studio 2.7 erleichtert gezielte Änderungen
Parallel zur Firmware stellt Sophos Config Studio 2.7 vor. Das separate Browser-Werkzeug kann Änderungen gezielt anzeigen und als XML oder TAR exportieren. Auch API-Anfragen lassen sich auf hinzugefügte, geänderte und entfernte Objekte begrenzen. Dazu kommen Korrekturen am Konfigurationsvergleich, am Web-Exception-Helfer und an der SD-WAN-Tunnelberechnung.
Der Nutzen liegt besonders beim Review: Ein kleiner Änderungssatz lässt sich leichter prüfen als ein vollständiger Konfigurationsexport. Trotzdem sollte vor einem Import kontrolliert werden, welche abhängigen Objekte bereits auf dem Zielsystem vorhanden sein müssen. Ein reduzierter Export ersetzt weder ein Backup noch die anschliessende Funktionsprüfung. Den bisherigen Funktionsumfang ordnet unser Beitrag zu Config Studio 2.6 ein.
Die Vorbereitung mit Upgrade-Pfad, Backup und Wartungsfenster beschreibt unser KB-Artikel Firmware-Upgrade planen. Die einzelnen Schritte im WebAdmin und über Sophos Fusion sowie Nachkontrolle und Rollback stehen unter Sophos Firewall Firmware Update durchführen.
