Sophos Firewall v22 MR3: IPsec-compatibiliteit en 16 fixes

Sophos heeft op 16 oktober 2026 Sophos Firewall OS 22.0 MR3 Build 576 uitgebracht. Na de functie-uitbreidingen in v22 MR2 ligt de nadruk op een kleinere onderhoudsupdate: de officiële release notes vermelden 16 verholpen problemen. Daarnaast is er een nieuwe instelling voor Site-to-Site-IPsec met andere leveranciers.

Bij het plannen van de update is vooral van belang welke diensten op de betreffende firewall worden gebruikt. Een vestiging met meerdere VPN-peers vraagt om andere acceptatietests dan een firewall met Mail Protection of een HA-cluster. Beoordeel MR3 daarom op basis van de eigen configuratie en installeer de update tijdens een gepland onderhoudsvenster.

IPsec met andere leveranciers: tunnel actief, maar geen verkeer

MR3 voegt een opdracht toe waarmee strikte policycontroles voor Site-to-Site-IPsec kunnen worden uitgeschakeld. Dit is bedoeld voor peers die dezelfde Security Association (SA) voor meerdere subnetparen gebruiken. Daardoor kon inkomend verkeer worden verworpen als het niet bij de verwachte SA paste.

Een SA beschrijft, eenvoudig gezegd, de beveiligingsparameters van een IPsec-verbinding. Een actieve tunnel bewijst dus nog niet dat alle beoogde netwerken met elkaar kunnen communiceren. Vooral bij meerdere lokale en externe netwerken moet de acceptatietest elke benodigde combinatie omvatten.

De nieuwe optie is geen reden om de controle uit voorzorg overal uit te schakelen. Onderzoek eerst met IPsec-troubleshooting of het probleembeeld daadwerkelijk past bij de SA-toewijzing. Routing, firewallregels en NAT blijven mogelijke oorzaken van een tunnel zonder dataverkeer. De syntaxis, het toepassingsbereik en het gecontroleerde gebruik van ipsec-strict-policy-check worden beschreven in ons KB-artikel Algemene VPN-instellingen, in het gedeelte over strikte IPsec-policycontrole.

Voor een betrouwbare test moeten verbindingen vanuit beide richtingen worden opgezet. Pakketregistraties en de tellers van de betrokken tunnels helpen om onderscheid te maken tussen ontbrekend inkomend verkeer, verworpen pakketten en een ontbrekende retourroute.

Welke foutcorrecties in de praktijk vooral van belang zijn

De volgende punten zijn een selectie uit de officiële release notes:

• NC-186809, HA: Certificaatsynchronisatie kon WebAdmin en VPN Portal onbereikbaar maken.
• NC-186075, netwerk: RJ45-poorten verloren bij bepaalde switches tijdelijk hun link.
• NC-182635, Application Control: Herhaalde updates van toepassingspaden veroorzaakten een hoge CPU-belasting.
• NC-181808, RED: Verouderde RED_DEVICE_DROP-vermeldingen blokkeerden verkeer na hernieuwde uitrol.
• NC-183979, e-mail: Een grote mailspool verlengde de herstart tijdens de MR2-upgrade.
• NC-180464, DNAT: SMTP-verkeer werd na een upgrade ten onrechte verworpen.
• NC-184117, STAS: Gebruikers die al waren geauthenticeerd, kregen opnieuw de aanmeldpagina van het captive portal te zien.
• NC-182222, SSL VPN: Numerieke gebruikersnamen verhinderden verbindingen na de MR1-upgrade.

De overige vermeldingen betreffen gebruikersfilters, Syslog-fouten, het aanmaken van AP-VXLAN, het uitschakelen van HA, IPsec, handtekeningdatabases en PDF-rapporten.

Vertaal deze lijst in de praktijk naar een korte acceptatietest voor de betreffende vestiging. Bij HA horen daar de bereikbaarheid van de beheerinterface en VPN Portal en de synchronisatiestatus bij. Test op RED-locaties een echte toepassing via de verbinding. Bij een mailgateway zeggen inkomende en uitgaande bezorging en de wachtrij meer dan een geslaagde ping.

Ook bij CPU-problemen is een vergelijking vóór en na de update onder vergelijkbare belasting zinvol. Een passende fix in de release notes is een aanwijzing, maar bewijst nog niet dat de oorzaak van een concrete storing is gevonden.

Config Studio 2.7 maakt gerichte wijzigingen eenvoudiger

Naast de firmware introduceert Sophos Config Studio 2.7. Deze afzonderlijke browsertool kan wijzigingen gericht weergeven en als XML of TAR exporteren. Ook API-aanvragen kunnen worden beperkt tot toegevoegde, gewijzigde en verwijderde objecten. Daarnaast zijn er correcties voor de configuratievergelijking, de Web-Exception-helper en de berekening van SD-WAN-tunnels.

De meerwaarde zit vooral in de controle: een kleine verzameling wijzigingen is eenvoudiger te beoordelen dan een volledige configuratie-export. Controleer vóór een import wel welke afhankelijke objecten al op het doelsysteem aanwezig moeten zijn. Een beperkte export vervangt geen back-up en ook geen functietest achteraf. Ons artikel over Config Studio 2.6 geeft een overzicht van de eerdere functionaliteit.

Ons KB-artikel Een firmware-upgrade plannen beschrijft de voorbereiding, inclusief upgradepad, back-up en onderhoudsvenster. De afzonderlijke stappen in WebAdmin en via Sophos Fusion, evenals de nacontrole en rollback, vindt u onder Een Sophos Firewall-firmware-update uitvoeren.