FAQ zu Sophos Firewall OS v21.0 MR2 (Build 349)

von: Daniel Benmoussa - Mahi | 17. September 2025
Historischer Versionshinweis: SFOS 21.0 MR2 Build 349 wurde am 13. August 2025 veröffentlicht. Die Version 21.0 ist inzwischen End of Life. Dieses FAQ dokumentiert weiterhin die Besonderheiten von MR2, berücksichtigt bei Upgrade-Fragen aber den aktuellen Versionsstand.

Dieses FAQ ergänzt unseren ausführlichen Artikel Sophos Firewall OS v21.0 MR2 – Ihr Fahrplan fürs sichere Update .

Hier finden Sie kompakte Antworten zu Funktionen, Hardware, Upgradepfaden, Wartung, Troubleshooting und den wichtigsten Bugfixes.

Fragen direkt aufrufen

Frage 1: Was brachte Sophos Firewall OS v21.0 MR2?

Kurzantwort: MR2 war ein Maintenance Release mit Funktionsverbesserungen sowie zahlreichen Stabilitäts- und Fehlerkorrekturen.

Zu den wichtigen Änderungen gehörten unter anderem:

  • OAuth 2.0 für E-Mail-Benachrichtigungen mit Microsoft 365 und Gmail.
  • Active-Directory-SSO für Windows Server 2025 mit NTLM und Kerberos.
  • Verbesserungen bei High Availability und Logging.
  • Verbesserte Darstellung von Live-Benutzerstatistiken.
  • Verbesserungen im Bereich SNMP und Monitoring.
  • Korrekturen in Bereichen wie Authentication, VPN, WAF, HA, Logging, IPS, RED und Central Management.
Besonders wichtig bei E-Mail-Alerts:
Ab SFOS 21.0 MR2 unterstützt die Firewall OAuth 2.0 für externe Mailserver wie Microsoft 365 und Gmail. Für diese Anbieter sollte heute OAuth 2.0 anstelle klassischer Basic Authentication verwendet werden.

Frage 2: Welcher Upgradepfad gilt heute für SFOS 21.0 MR2?

Die ursprüngliche Version dieses FAQ enthielt den damaligen Hinweis:

21.0 MR2 → 21.5 MR1

Dieser Hinweis war für den damaligen Veröffentlichungszeitpunkt relevant, ist heute jedoch überholt.

Aktueller Stand: SFOS 21.0 ist inzwischen End of Life. Wer noch eine Firewall mit 21.0 MR2 betreibt, sollte deshalb nicht bei dieser Version verbleiben, sondern einen Wechsel auf eine aktuell unterstützte SFOS-Version planen.

Sophos unterstützt mit aktuellen v22-Releases Upgradepfade von älteren v21-Versionen. Der konkrete Pfad hängt jedoch immer von der aktuell installierten Version und der gewünschten Zielversion ab.

Deshalb gilt vor jedem Upgrade: die Upgrade-Matrix der gewünschten Zielversion prüfen.

Informationen zu den nachfolgenden Versionen finden Sie hier:

Frage 3: Welche Hardware unterstützt SFOS 21.0 und neuere Versionen?

SFOS 21.0 und neuere Versionen unterstützen keine XG- und SG-Series-Hardware mehr.

Unterstützte Plattformen für SFOS 21.x sind insbesondere:

  • Sophos XGS Series,
  • virtuelle Sophos-Firewall-Appliances,
  • Software-Appliances,
  • unterstützte Cloud-Plattformen.

Wer noch eine ältere XG- oder SG-Appliance betreibt, muss für aktuelle SFOS-Versionen eine Hardwaremigration einplanen.

Aktuelle Modelle finden Sie unter Sophos XGS Firewalls im UTMshop .

Frage 4: Was sollte vor einem Firmware-Upgrade geprüft werden?

Unabhängig von der Zielversion sollten Administratoren ein Firmware-Upgrade nicht ohne Vorbereitung durchführen.

Grundlegende Checkliste

  • Aktuelles Konfigurationsbackup erstellen.
  • Verfügbaren Speicherplatz prüfen.
  • Unterstützten Upgradepfad kontrollieren.
  • Release Notes der Zielversion lesen.
  • Wartungsfenster planen.
  • Bei HA beide Nodes auf Synchronität und Zustand prüfen.

Besonderheit aus SFOS 21.0

Sophos weist für SFOS 21.0 darauf hin, dass problematische Interface-Namen die Darstellung unter Network → Interfaces beeinflussen können.

Betroffen sind physische oder logische Interfaces, deren Name, Hardware-Name oder Branch-Name mit zehn oder mehr Ziffern endet.

Backup und Restore

Bei Backup-Restores unterscheiden sich ältere Konfigurationen:

  • Bei Backups ab SFOS 19.5 MR4 kann der Backup-Restore-Assistent bei der Schnittstellenzuordnung unterstützen.
  • Bei älteren Backups erfolgt die Zuordnung je nach Ausgangssituation anders beziehungsweise automatisch.
Für SFOS 22 und höher zusätzlich beachten: Neuere Versionen haben zusätzliche Anforderungen an Speicherplatz und bei bestimmten XGS-Modellen an SSD-Firmware und SSD-Gesundheit. Diese Prüfungen sollten vor dem Upgrade durchgeführt werden.

Frage 5: Kann Sophos Sicherheitsupdates ohne Downtime installieren?

Teilweise.

Sophos Firewall besitzt eine Hotfix-Funktion, über die dringende Sicherheitskorrekturen „over the air“ verteilt werden können.

Solche Hotfixes können wichtige Schwachstellen ohne ein vollständiges Firmware-Upgrade und damit ohne den üblichen Firmware-Neustart adressieren.

Ein reguläres Maintenance Release ist jedoch etwas anderes.

Update-Typ Verhalten
Hotfix Für dringende Korrekturen; kann ohne regulären Firmware-Neustart verteilt werden.
Maintenance Release Reguläres Firmware-Upgrade mit Neustart und geplantem Wartungsfenster.

Bei einer Standalone-Firewall ist beim Firmware-Upgrade mit einer Unterbrechung durch den Neustart zu rechnen.

In einer gesunden HA-Umgebung kann die Unterbrechung durch das Failover deutlich reduziert werden, vollständig „downtimefrei“ sollte ein Firmware-Upgrade aber nicht pauschal versprochen werden.

Frage 6: Wie gehe ich bei VPN-, IPS- oder anderen Fehlern vor?

Bei technischen Problemen sollte nicht sofort eine Regel oder Policy geändert werden.

Ein sinnvoller Ablauf ist:

  1. Fehlerbild reproduzieren.
  2. Zeitpunkt, Quell-IP, Ziel-IP und Port dokumentieren.
  3. Log Viewer prüfen.
  4. Betroffenes Modul bestimmen.
  5. Passende Logdatei in der Advanced Shell analysieren.
  6. Erst anschließend die Konfiguration anpassen.

Typische Logdateien

Bereich Beispiel
SSL VPN /log/sslvpn.log
IPsec /log/strongswan.log
IPS /log/ips.log

Eine ausführliche Anleitung dazu finden Sie in unserem Admin-Guide: Sophos Firewall Logs richtig lesen .

Frage 7: Was kostete das Update auf SFOS 21.0 MR2?

Sophos stellte SFOS 21.0 MR2 als reguläres Firmware-Update für entsprechend lizenzierte Sophos-Firewall-Kunden mit Support bereit.

Für das Firmware-Paket selbst fiel damit keine separate MR2-Lizenz an.

Zu unterscheiden:
Die Firmware selbst und eine durch einen Partner durchgeführte Planung, Prüfung oder Installation sind zwei verschiedene Leistungen. Ob Dienstleistungen zusätzlich berechnet werden, hängt vom jeweiligen Support- beziehungsweise Servicevertrag ab.

Bei Fragen zu einem Upgrade können Sie ein Support-Ticket eröffnen oder einen Termin vereinbaren:

Frage 8: Welche Fehler wurden mit SFOS 21.0 MR2 behoben?

MR2 enthielt zahlreiche Korrekturen in unterschiedlichen Bereichen der Sophos Firewall.

Für die praktische Einordnung sind insbesondere folgende Kategorien interessant:

Bereich Beispiele aus MR2
Authentifizierung Entra-ID-SSO, RADIUS, OTP, Captive Portal und Benutzergruppen.
VPN IPsec-Tunnel nach Neustarts, StrongSwan und SSL-VPN-Konfigurationsdownloads.
High Availability Failover-Probleme, Neustartschleifen und Firmware-Upload auf passive Nodes.
WAF Let’s Encrypt, Cookie Signing, WAF-Regeln und Zertifikatsverarbeitung.
Logging & Reporting Zeitfilter, Systemdiagramme, Syslog und Logging nach Upgrades.
Central Management Reporting, Firewall-Datenübertragung und Central-Registrierung.
IPS & Web IPS-Signaturen, DPI/SSL-Verarbeitung und IPS-Service-Stabilität.
RED & Routing RED-Hostobjekte, SD-WAN und Routing-Verhalten.

Einige konkrete Fix-IDs

  • NC-158887: Korrektur im Zusammenhang mit Entra ID SSO.
  • NC-147593: IPsec-Tunnel startete in bestimmten Situationen nach einem Neustart nicht korrekt.
  • NC-147307: Korrektur eines HA-/Neustartproblems auf XGS 2300.
  • NC-148937: Korrektur bei der Erstellung von Let’s-Encrypt-Zertifikaten.
  • NC-142006: Korrektur beim Reporting-Filter „letzte 10 Minuten“.
  • NC-146826: RED-Systemhost mit korrekter /32-Subnetzmaske.

Die vollständige Liste sollte nicht dauerhaft in diesem FAQ dupliziert werden, da die offiziellen Release Notes hierfür die eindeutigere Referenz darstellen.

Sophos Release Notes – SFOS 21.0 MR2

Was bedeutet das heute für eine Firewall mit SFOS 21.0 MR2?

SFOS 21.0 MR2 sollte heute nicht mehr als Zielversion betrachtet werden.

Die Version ist historisch wichtig, befindet sich inzwischen aber außerhalb ihres aktuellen Lebenszyklus. Administratoren sollten einen Wechsel auf eine unterstützte Firmware planen und dabei Upgradepfad, Hardware, Speicheranforderungen sowie gegebenenfalls SSD-Voraussetzungen prüfen.

Weiterführende UTMshop-Artikel

Passende Sophos-Produkte & Services

Fragen zum Upgrade?

Bei älteren Firewall-Versionen sollte ein Upgrade nicht ausschließlich anhand der Versionsnummer geplant werden.

Hardwaremodell, aktuelle Firmware, HA-Status, Speicherplatz, SSD-Voraussetzungen und vorhandene Legacy-Konfigurationen können den möglichen Upgradepfad beeinflussen.

Kontakt

Autor: Daniel Benmoussa - Mahi

ist seit über acht Jahren als Network Security Engineer bei der ito consult GmbH / UTMshop tätig. Sein Schwerpunkt liegt auf Sophos Central, Endpoint, XDR, MDR und Sophos Firewall. Er ist unter anderem für Sophos Central Endpoint, Sophos XDR und Sophos Firewall zertifiziert.

Zertifizierung:

  • Sophos MDR Sales Consultant
  • Sophos Firewall Sales Consultant
  • Sophos Central Sales Consultant
  • Sophos Central Engineer
  • Sophos Central Technician
  • Sophos Central Architect
  • Sophos Firewall Engineer
  • Sophos Firewall Technician
  • Sophos Firewall Architect

Hilfe benötigt?

Die Anleitung passt nicht zu Ihrer Situation oder funktioniert nicht wie erwartet? Wir stehen Ihnen gern zur Seite, damit Ihre Konfiguration reibungslos funktioniert. Unser zertifiziertes Support-Team hilft Ihnen schnell weiter:

Support-Ticket eröffnen