Sophos Firewall v22 MR3: IPsec-kompatibilitet och 16 fixar
Sophos släppte Sophos Firewall OS 22.0 MR3 Build 576 den 16 oktober 2026. Efter de utökade funktionerna i v22 MR2 ligger fokus på en mindre underhållsuppdatering: De officiella versionsanteckningarna listar 16 åtgärdade problem. Dessutom tillkommer en ny inställning för Site-to-Site-IPsec med andra tillverkares utrustning.
Vid planeringen av uppdateringen är det framför allt viktigt vilka tjänster som används på den aktuella brandväggen. En anläggning med flera VPN-motparter behöver andra acceptanstester än en brandvägg med Mail Protection eller ett HA-kluster. MR3 bör därför utvärderas utifrån den egna konfigurationen och installeras under ett planerat underhållsfönster.
IPsec med andra tillverkare: tunneln är uppe, men trafiken saknas
MR3 inför ett kommando som gör det möjligt att inaktivera strikta policykontroller för Site-to-Site-IPsec. Bakgrunden är motparter som använder samma Security Association (SA) för flera par av subnät. Det kunde leda till att inkommande trafik kasserades om den inte matchade förväntad SA.
En SA beskriver förenklat säkerhetsparametrarna för en IPsec-anslutning. Att tunneln är upprättad bevisar därför inte i sig att alla avsedda nät kan kommunicera med varandra. Särskilt när flera lokala och fjärranslutna nät används bör acceptanstesterna omfatta varje nödvändig kombination.
Den nya inställningen är inget skäl att inaktivera kontrollen överallt i förebyggande syfte. Börja med IPsec-felsökning för att avgöra om felbilden faktiskt stämmer med ett problem med SA-tilldelningen. Routing, brandväggsregler och NAT är fortfarande möjliga orsaker till en tunnel utan nyttotrafik. Syntax, tillämpningsområde och kontrollerad användning av ipsec-strict-policy-check beskrivs i vår KB-artikel Globala VPN-inställningar, i avsnittet om strikt IPsec-policykontroll.
För ett tillförlitligt test bör anslutningar upprättas i båda riktningarna. Paketinsamlingar och räknarna för de berörda tunnlarna hjälper till att skilja mellan utebliven inkommande trafik, kasserade paket och en saknad returväg.
Vilka felkorrigeringar som är särskilt viktiga i drift
Följande punkter är ett urval ur de officiella versionsanteckningarna:
- NC-186809, HA: Certifikatsynkronisering kunde göra WebAdmin och VPN Portal oåtkomliga.
- NC-186075, nätverk: RJ45-portar tappade tillfälligt länken med vissa switchar.
- NC-182635, Application Control: Upprepade uppdateringar av programsökvägar orsakade hög CPU-belastning.
- NC-181808, RED: Inaktuella
RED_DEVICE_DROP-poster blockerade trafik efter ny driftsättning. - NC-183979, e-post: En stor e-postkö förlängde omstarten vid uppgraderingen till MR2.
- NC-180464, DNAT: SMTP-trafik kasserades felaktigt efter en uppgradering.
- NC-184117, STAS: Redan autentiserade användare fick återigen upp inloggningen till Captive Portal.
- NC-182222, SSL VPN: Numeriska användarnamn förhindrade anslutningar efter uppgraderingen till MR1.
Övriga poster gäller användarfilter, Syslog-fel, skapande av AP-VXLAN, inaktivering av HA, IPsec, signaturdatabaser och PDF-rapporter.
I praktiken bör listan ligga till grund för en kort uppsättning acceptanstester anpassade till den aktuella anläggningen. För HA ingår åtkomst till administrationsgränssnittet och VPN Portal samt synkroniseringsstatus. På anläggningar med RED bör en verklig applikation testas över anslutningen. För en e-postgateway säger inkommande och utgående leverans samt e-postkön mer än ett lyckat pingtest.
Även vid CPU-problem är det värdefullt att jämföra läget före och efter under liknande belastning. En relevant korrigering i versionsanteckningarna är en ledtråd, men bevisar ännu inte att orsaken till en specifik störning har hittats.
Config Studio 2.7 underlättar riktade ändringar
Parallellt med den nya firmwareversionen presenterar Sophos Config Studio 2.7. Det separata webbläsarverktyget kan visa specifika ändringar och exportera dem som XML eller TAR. Även API-anrop kan begränsas till tillagda, ändrade och borttagna objekt. Dessutom tillkommer korrigeringar av konfigurationsjämförelsen, hjälpfunktionen för webbundantag och beräkningen av SD-WAN-tunnlar.
Nyttan märks särskilt vid granskning: En liten uppsättning ändringar är lättare att kontrollera än en fullständig konfigurationsexport. Före en import bör man ändå kontrollera vilka beroende objekt som redan måste finnas på målsystemet. En begränsad export ersätter varken en säkerhetskopia eller den efterföljande funktionskontrollen. Vår artikel om Config Studio 2.6 beskriver de tidigare funktionerna.
Förberedelserna med uppgraderingsväg, säkerhetskopia och underhållsfönster beskrivs i vår KB-artikel Planera en firmwareuppgradering. De enskilda stegen i WebAdmin och via Sophos Fusion samt efterkontroll och återställning finns i Uppdatera firmware på Sophos Firewall.
