Sophos Firewall v22 MR3: compatibilidad IPsec y 16 correcciones

Sophos publicó Sophos Firewall OS 22.0 MR3 Build 576 el 16 de octubre de 2026. Tras las nuevas funciones de v22 MR2, esta versión se centra en una actualización de mantenimiento más pequeña: las notas oficiales de la versión enumeran 16 problemas corregidos. También incorpora una nueva opción de configuración para IPsec Site-to-Site con equipos de otros fabricantes.

Al planificar la actualización, lo más importante es tener en cuenta los servicios que utiliza cada firewall. Una sede con varios extremos VPN necesita pruebas de aceptación diferentes a las de un firewall con Mail Protection o un clúster HA. Por ello, conviene evaluar MR3 en función de la configuración propia e instalarla durante una ventana de mantenimiento planificada.

IPsec con otros fabricantes: el túnel está establecido, pero no hay tráfico

MR3 añade un comando que permite desactivar las comprobaciones estrictas de políticas para IPsec Site-to-Site. Está pensado para los extremos que utilizan la misma Security Association (SA) para varios pares de subredes. Esto podía provocar que se descartara el tráfico entrante cuando no coincidía con la SA esperada.

En términos sencillos, una SA describe los parámetros de seguridad de una conexión IPsec. Por tanto, que un túnel esté establecido no demuestra por sí solo que todas las redes previstas puedan comunicarse entre sí. Especialmente cuando hay varias redes locales y remotas, las pruebas de aceptación deben cubrir todas las combinaciones necesarias.

La nueva opción no justifica desactivar la comprobación de forma preventiva en todos los casos. Primero se debe recurrir a la resolución de problemas de IPsec para determinar si los síntomas realmente apuntan a la asignación de las SA. El enrutamiento, las reglas del firewall y NAT siguen siendo posibles causas de un túnel sin tráfico de datos. Nuestro artículo de KB Configuración global de VPN explica la sintaxis, el ámbito de aplicación y el uso controlado de ipsec-strict-policy-check en el apartado sobre la comprobación estricta de políticas IPsec.

Para obtener resultados fiables, se deben iniciar conexiones en ambos sentidos. Las capturas de paquetes y los contadores de los túneles implicados ayudan a distinguir entre tráfico que no llega, paquetes descartados y la ausencia de una ruta de retorno.

Qué correcciones tienen más relevancia en la operación diaria

Los siguientes puntos son una selección de las notas oficiales de la versión:

• NC-186809, HA: La sincronización de certificados podía dejar inaccesibles WebAdmin y VPN Portal.
• NC-186075, red: Los puertos RJ45 perdían temporalmente el enlace con determinados switches.
• NC-182635, Application Control: Las actualizaciones repetidas de las rutas de aplicaciones provocaban una carga elevada de CPU.
• NC-181808, RED: Las entradas obsoletas de RED_DEVICE_DROP bloqueaban el tráfico tras un nuevo aprovisionamiento.
• NC-183979, correo electrónico: Una cola de correo grande prolongaba el reinicio durante la actualización a MR2.
• NC-180464, DNAT: El tráfico SMTP se descartaba incorrectamente después de una actualización.
• NC-184117, STAS: Los usuarios ya autenticados volvían a recibir la solicitud de inicio de sesión del portal cautivo.
• NC-182222, SSL VPN: Los nombres de usuario numéricos impedían las conexiones después de la actualización a MR1.

Las demás entradas afectan a filtros de usuarios, errores de Syslog, creación de AP VXLAN, desactivación de HA, IPsec, bases de datos de firmas e informes PDF.

En la práctica, esta lista debería servir para preparar unas breves pruebas de aceptación específicas para cada sede. En HA, deben incluir la accesibilidad de la interfaz de administración y de VPN Portal, así como el estado de sincronización. En las sedes con RED, conviene probar una aplicación real a través de la conexión. En una pasarela de correo, la entrega entrante y saliente y el estado de la cola aportan más información que un ping correcto.

También en los problemas de CPU resulta útil comparar el comportamiento antes y después con una carga similar. Que las notas de la versión incluyan una corrección relacionada es un indicio, pero no demuestra que se haya identificado la causa de una incidencia concreta.

Config Studio 2.7 facilita los cambios selectivos

Junto con el firmware, Sophos presenta Config Studio 2.7. Esta herramienta independiente basada en el navegador permite visualizar los cambios de forma selectiva y exportarlos como XML o TAR. También permite limitar las solicitudes API a los objetos añadidos, modificados y eliminados. Además, incorpora correcciones en la comparación de configuraciones, el asistente de excepciones web y el cálculo de túneles SD-WAN.

Su utilidad destaca especialmente durante la revisión: un conjunto pequeño de cambios resulta más fácil de comprobar que una exportación completa de la configuración. Aun así, antes de importar se debe comprobar qué objetos dependientes deben existir previamente en el sistema de destino. Una exportación reducida no sustituye ni a una copia de seguridad ni a la posterior comprobación del funcionamiento. Nuestro artículo sobre Config Studio 2.6 ofrece contexto sobre las funciones disponibles hasta ahora.

Nuestro artículo de KB Planificar una actualización del firmware explica la preparación, incluida la ruta de actualización, la copia de seguridad y la ventana de mantenimiento. Los pasos concretos en WebAdmin y a través de Sophos Fusion, así como las comprobaciones posteriores y la reversión, se describen en Cómo actualizar el firmware de Sophos Firewall.