Sophos Firewall v22 MR3: zgodność IPsec i 16 poprawek

16 października 2026 r. Sophos udostępnił Sophos Firewall OS 22.0 MR3 Build 576. Po rozszerzeniach funkcjonalnych w v22 MR2 tym razem nacisk położono na mniejszą aktualizację konserwacyjną: oficjalne informacje o wydaniu wymieniają 16 rozwiązanych problemów. Dodano również nową opcję konfiguracji połączeń Site-to-Site IPsec z urządzeniami innych producentów.

Przy planowaniu aktualizacji najważniejsze jest to, z jakich usług korzysta dana zapora. Lokalizacja z wieloma zdalnymi punktami VPN wymaga innych testów odbiorczych niż zapora z Mail Protection lub klaster HA. Dlatego MR3 należy ocenić w kontekście własnej konfiguracji i zainstalować w zaplanowanym oknie serwisowym.

IPsec z urządzeniami innych producentów: tunel działa, ruch nie przepływa

MR3 dodaje polecenie umożliwiające wyłączenie ścisłej kontroli polityk dla Site-to-Site IPsec. Dotyczy to urządzeń po drugiej stronie połączenia, które używają tego samego Security Association (SA) dla wielu par podsieci. Mogło to powodować odrzucanie ruchu przychodzącego, jeśli nie odpowiadał on oczekiwanemu SA.

W uproszczeniu SA określa parametry bezpieczeństwa połączenia IPsec. Samo zestawienie tunelu nie dowodzi więc, że wszystkie przewidziane sieci mogą się ze sobą komunikować. Szczególnie w przypadku wielu sieci lokalnych i zdalnych testy odbiorcze powinny obejmować każdą wymaganą kombinację.

Nowa opcja nie jest powodem, aby profilaktycznie wyłączać tę kontrolę wszędzie. Najpierw należy skorzystać z diagnostyki IPsec, aby ustalić, czy objawy rzeczywiście wskazują na problem z przypisaniem SA. Routing, reguły zapory i NAT nadal mogą być przyczyną braku transmisji danych przez zestawiony tunel. Składnię, zakres działania i kontrolowane użycie ipsec-strict-policy-check opisuje nasz artykuł KB Globalne ustawienia VPN w sekcji dotyczącej ścisłej kontroli polityk IPsec.

Aby test był miarodajny, należy inicjować połączenia z obu stron. Przechwytywanie pakietów i liczniki poszczególnych tuneli pomagają odróżnić brak ruchu przychodzącego od odrzucania pakietów lub braku trasy powrotnej.

Które poprawki mają szczególne znaczenie w eksploatacji

Poniższe punkty to wybrane pozycje z oficjalnych informacji o wydaniu:

• NC-186809, HA: Synchronizacja certyfikatów mogła uniemożliwiać dostęp do WebAdmin i VPN Portal.
• NC-186075, sieć: Porty RJ45 podłączone do niektórych przełączników okresowo traciły połączenie.
• NC-182635, Application Control: Powtarzające się aktualizacje ścieżek aplikacji powodowały wysokie obciążenie CPU.
• NC-181808, RED: Nieaktualne wpisy RED_DEVICE_DROP blokowały ruch po ponownym wdrożeniu.
• NC-183979, poczta e-mail: Duża kolejka poczty wydłużała ponowne uruchomienie podczas aktualizacji do MR2.
• NC-180464, DNAT: Ruch SMTP był po aktualizacji błędnie odrzucany.
• NC-184117, STAS: Użytkownikom już uwierzytelnionym ponownie wyświetlano ekran logowania Captive Portal.
• NC-182222, SSL VPN: Numeryczne nazwy użytkowników uniemożliwiały nawiązywanie połączeń po aktualizacji do MR1.

Pozostałe pozycje dotyczą filtrów użytkowników, błędów Syslog, tworzenia AP VXLAN, wyłączania HA, IPsec, baz sygnatur i raportów PDF.

W praktyce lista ta powinna posłużyć do przygotowania krótkiego zestawu testów odbiorczych dostosowanego do danej lokalizacji. W przypadku HA należy sprawdzić dostępność interfejsu zarządzania i VPN Portal oraz stan synchronizacji. W lokalizacjach z RED warto przetestować rzeczywistą aplikację korzystającą z połączenia. W przypadku bramy pocztowej dostarczanie poczty przychodzącej i wychodzącej oraz stan kolejki mówią więcej niż udany ping.

Także przy problemach z CPU warto porównać stan przed aktualizacją i po niej przy podobnym obciążeniu. Odpowiednia poprawka w informacjach o wydaniu stanowi wskazówkę, ale nie dowodzi jeszcze, że znaleziono przyczynę konkretnej awarii.

Config Studio 2.7 ułatwia wprowadzanie wybranych zmian

Równolegle z firmware Sophos przedstawia Config Studio 2.7. To osobne narzędzie przeglądarkowe umożliwia wyświetlanie wybranych zmian i eksportowanie ich jako XML lub TAR. Również żądania API można ograniczyć do dodanych, zmienionych i usuniętych obiektów. Wprowadzono ponadto poprawki porównywania konfiguracji, kreatora wyjątków Web Exception i obliczeń tuneli SD-WAN.

Korzyści widać szczególnie podczas przeglądu zmian: niewielki zestaw zmian łatwiej zweryfikować niż pełny eksport konfiguracji. Przed importem należy jednak sprawdzić, które obiekty zależne muszą już istnieć w systemie docelowym. Ograniczony eksport nie zastępuje kopii zapasowej ani późniejszej weryfikacji działania. Dotychczasowy zakres funkcji opisuje nasz artykuł o Config Studio 2.6.

Przygotowanie obejmujące ścieżkę aktualizacji, kopię zapasową i okno serwisowe opisuje nasz artykuł KB Planowanie aktualizacji firmware. Poszczególne kroki w WebAdmin i za pośrednictwem Sophos Fusion, a także kontrolę po aktualizacji i przywracanie poprzedniej wersji opisano w artykule Aktualizacja firmware Sophos Firewall.