Sophos Firewall v22.0 GA: Technische Änderungen, bekannte Einschränkungen und Workarounds
Das Wichtigste in 30 Sekunden
Nach dem Upgrade kann die ausgehende Schnittstelle beim NAT-Matching entscheidend sein.
VLAN-Filter auf Bridge-Interfaces können Traffic und Management-Zugriff beeinträchtigen.
Bei policy-basiertem IPsec kann eine Standard-SNAT-Regel unerwartet in den Datenfluss eingreifen.
Gruppen mit mehr als 256 Hosts können zu unerwartetem Matching-Verhalten führen.
Bestimmte PPPoE-Konfigurationen benötigen besondere Aufmerksamkeit bei Performance und IPv6.
NAT, Bridge, VPN und Hostgruppen sollten vor einem produktiven Upgrade gezielt geprüft werden.
Sophos Firewall v22.0 GA: Was ist beim Upgrade wichtig?
Seit Dezember 2025 ist Sophos Firewall OS v22.0 (SFOS v22) allgemein verfügbar.
In der Praxis sind dabei insbesondere Änderungen und bekannte Einschränkungen rund um NAT-Matching, Bridge-Konfigurationen, VPN, Hostgruppen und PPPoE relevant.
Abhängig von der vorhandenen Konfiguration können diese Punkte spürbare Auswirkungen auf produktive Umgebungen haben.
Wer vor dem Upgrade die relevanten Bereiche gezielt kontrolliert, kann Probleme bei Analyse, Rollback und Wiederherstellung deutlich reduzieren.
Direkt zu den wichtigsten Themen
NAT & DNAT in Sophos Firewall v22.0
Kernänderung: NAT-Matching nutzt die ausgehende Schnittstelle
Mit SFOS v22.0 wird die Funktionsweise des Schnittstellenabgleichs in NAT-Regeln besonders relevant.
Die ausgehende Schnittstelle wird als Matching-Kriterium einer NAT-Regel berücksichtigt.
Gleichzeitig wurde beschrieben, dass bestimmte Kriterien in früheren Versionen nicht immer korrekt wirkten. Dadurch konnten NAT-Regeln teilweise auch dann funktionieren, wenn sie anhand ihrer eigentlichen Konfiguration nicht hätten greifen sollen.
Eine DNAT-Regel funktioniert nach dem Upgrade plötzlich nicht mehr wie erwartet. In diesem Fall sollte unter anderem geprüft werden, welche ausgehende Schnittstelle in der NAT-Regel konfiguriert ist.
Empfohlene Maßnahme bei DNAT-Problemen
Bei betroffenen DNAT-Regeln kann die ausgehende Schnittstelle auf „Beliebig (Any)“ gesetzt werden, um das erwartete Matching wiederherzustellen.
Bridge & VLAN-Filter
Bridge-VLAN-Filter kann Traffic und Management beeinträchtigen
Bekannte Ticket-ID: NC-171003
Wenn VLAN-Filterung auf einer Bridge-Schnittstelle aktiviert ist, kann dies den Datenverkehr über diese Schnittstelle beeinträchtigen.
Gleichzeitig kann der Zugriff auf die Sophos Firewall über diese Schnittstelle betroffen sein.
Laut den zugrunde liegenden Hinweisen gibt es dafür keine alternative Lösung, die per Hotfix bereitgestellt werden kann. Eine Korrektur wurde für ein folgendes SFOS-Update vorgesehen.
Workaround
Als Workaround kann die VLAN-Filterkonfiguration auf der Bridge entfernt werden.
IPsec, SNAT & Blackhole-NAT
Policy-based IPsec und Standard-SNAT
Bei policy-basierten IPsec-Konfigurationen wurde beobachtet, dass Traffic einem ausgehenden WAN-Interface zugeordnet werden kann.
Dadurch kann eine vorhandene Standard-SNAT-Regel greifen und den eigentlich für den VPN-Tunnel bestimmten Datenverkehr verändern.
Vor der Standard-SNAT-Regel eine spezifische NAT-Regel anlegen, damit der betreffende VPN-Traffic nicht zuvor maskiert wird.
Blackhole-NAT: mögliche Seiteneffekte
Eine Blackhole-NAT-Regel kann nach Neustarts oder Konfigurationsänderungen auch unerwartet RED-Verbindungen oder andere Dienste beeinflussen, wenn diese in den entsprechenden Adressbereich matchen.
Als Lösung kann eine zusätzliche oder alternative NAT-Regel eingesetzt werden, die die benötigten Verbindungen gezielt zulässt beziehungsweise das Matching entsprechend bereinigt.
Hostgruppen mit mehr als 256 Einträgen
Bekannte Ticket-ID: NC-171031
Enthält eine Hostgruppe mehr als 256 Hosts, können darüber hinausgehende Einträge nicht korrekt aufgenommen werden.
Auswirkungen sind überall dort möglich, wo die entsprechende Hostgruppe verwendet wird.
| Bereich | Mögliche Auswirkung |
|---|---|
| Firewall-Regeln | Nicht alle erwarteten Hosts werden berücksichtigt |
| NAT-Regeln | Matching kann von der erwarteten Konfiguration abweichen |
| SD-WAN | Gebundene Hostgruppen können unvollständig wirken |
Große Hostgruppen auf mehrere Gruppen mit jeweils weniger als 256 Hosts aufteilen und diese an den benötigten Stellen verwenden.
PPPoE, Performance & IPv6
PPPoE/NAT: Konsolenmeldung „Ungültige Regel-ID“
Bekannte Ticket-ID: NC-170987
Die Meldung kann beim Systemstart auftreten, wenn eine PPPoE-Schnittstelle konfiguriert ist und gleichzeitig als eingehende oder ausgehende Schnittstelle einer NAT-Regel verwendet wird.
Laut den zugrunde liegenden Hinweisen handelt es sich um eine Konsolenmeldung ohne funktionale Auswirkungen.
PPPoE-Durchsatz und txqueuelen
Für PPPoE-WAN-Verbindungen wurde als praktischer Hinweis beschrieben, nach einem Neustart gegebenenfalls folgenden Wert in der erweiterten Shell zu setzen:
Dies wurde im ursprünglichen Kontext als Maßnahme genannt, um bei entsprechenden PPPoE-Konfigurationen korrekte Upload-Geschwindigkeiten zu erreichen.
IPv6 über PPPoE und DHCPv6 Prefix Delegation
In einem separaten v22-Kontext wurde beschrieben, dass natives IPv6 im LAN bei bestimmten PPPoE-Anschlüssen praktisch nicht sauber umsetzbar ist, weil DHCPv6 Prefix Delegation (PD) über PPPoE nicht entsprechend unterstützt wird.
Nach der dem ursprünglichen Artikel zugrunde gelegten Sophos-Aussage wurde dieses Thema als Funktionswunsch für die Zukunft eingeordnet.
Virtuelle Umgebungen und APIC-ID-Mismatch
Bei Installationen auf Hyper-V oder bestimmter Hardware können Boot-Probleme im Zusammenhang mit einem APIC-ID-Mismatch auftreten.
Vor einem Upgrade sollte insbesondere bei virtualisierten Installationen die Kompatibilität der verwendeten Virtualisierungsschicht geprüft werden.
Upgrade auf SFOS v22.0 vorbereiten
Welche Bereiche sollten vorher geprüft werden?
| Bereich | Vor dem Upgrade prüfen |
|---|---|
| DNAT | Matching der ausgehenden Schnittstelle nachvollziehen |
| Bridge | VLAN-Filter auf Bridge-Interfaces identifizieren |
| Hostgruppen | Gruppen mit mehr als 256 Einträgen aufteilen |
| VPN / IPsec | Prüfen, ob Standard-SNAT in relevante VPN-Flows eingreift |
| PPPoE | Performance, Interface-Konfiguration und IPv6-Anforderungen kontrollieren |
| Virtualisierung | Hypervisor- und Hardwarekompatibilität prüfen |
Weitere bekannte Ticket-IDs
| Ticket-ID | Thema |
|---|---|
| NC-171003 | Bridge-VLAN-Filter beeinträchtigt Traffic beziehungsweise Management |
| NC-171031 | Hostgruppen mit mehr als 256 Einträgen |
| NC-170987 | PPPoE-/NAT-bezogene Konsolenmeldung ohne funktionale Auswirkung |
| NC-171600 | Untersuchung zu SSL/TLS-Inspektions-Widget und Firewall-Sitzungsübersicht |
Unsere Empfehlung
Besonders relevant sind NAT- und DNAT-Regeln, Bridge-Konfigurationen mit VLAN-Filter, große Hostgruppen, policy-basierte IPsec-Verbindungen sowie PPPoE- und virtualisierte Installationen.
Häufige Fragen zu Sophos Firewall v22.0
Kann eine bestehende DNAT-Regel nach dem Upgrade anders reagieren?
Ja. Bei Problemen sollte insbesondere geprüft werden, welche ausgehende Schnittstelle in der betreffenden NAT-Regel konfiguriert ist.
Können VLAN-Filter auf Bridge-Interfaces problematisch sein?
Ja. In den beschriebenen betroffenen Konfigurationen können sowohl Datenverkehr als auch Management-Zugriff über die Bridge beeinträchtigt werden.
Was passiert bei Hostgruppen mit mehr als 256 Einträgen?
Einträge oberhalb der beschriebenen Grenze können nicht korrekt berücksichtigt werden. Als Workaround sollten große Gruppen aufgeteilt werden.
Betrifft NC-170987 die Funktion der Firewall?
Nach den zugrunde liegenden Hinweisen handelt es sich bei der beschriebenen PPPoE-/NAT-Konsolenmeldung um ein Anzeigeproblem ohne funktionale Auswirkungen.
Sollte eine komplexe Firewall vor dem Upgrade geprüft werden?
Ja. Besonders NAT-, VPN-, Bridge-, Hostgruppen- und PPPoE-Konfigurationen sollten vor dem Update kontrolliert werden.
Wie geht es nach SFOS v22 weiter?
Mit Sophos Firewall OS v23 befindet sich inzwischen bereits die nächste große SFOS-Version im Early Access Program.
Zu den derzeit vorgestellten Neuerungen gehören unter anderem eine neue REST API, der AI Firewall Assistant, Änderungen bei High Availability, DNS, Identity und WAF sowie weitere Netzwerkverbesserungen.
Fazit: SFOS v22.0 vor dem Upgrade gezielt prüfen
Sophos Firewall v22.0 bringt nicht nur neue Funktionen, sondern verändert beziehungsweise konkretisiert auch Verhalten, das bei bestehenden Konfigurationen relevant sein kann.
- NAT-Regeln sollten hinsichtlich der ausgehenden Schnittstelle geprüft werden.
- Bridge-VLAN-Filter können Traffic und Management beeinflussen.
- Policy-based IPsec kann mit Standard-SNAT interagieren.
- Hostgruppen mit mehr als 256 Hosts sollten aufgeteilt werden.
- PPPoE- und virtualisierte Umgebungen benötigen besondere Aufmerksamkeit.
Wer die eigene Konfiguration vor dem Upgrade strukturiert prüft, reduziert das Risiko unerwarteter Auswirkungen und vereinfacht die Fehlersuche erheblich.
Links zur weiteren Recherche
Sophos Dokumentation – NAT-Regeln und Matching-Kriterien:
Sophos Dokumentation: NAT-Matching-Kriterien
SUSE Knowledge Base – APIC ID mismatch / CPU-ID / Hypervisor-Kontext:
SUSE Knowledge Base
Unterstützung beim Sophos-Firewall-Upgrade
Benötigen Sie Unterstützung bei der Prüfung Ihrer NAT-, VPN-, Bridge- oder Firewall-Konfiguration vor einem Upgrade?
Unser technisch geschultes Team unterstützt Sie bei einem strukturierten Kompatibilitäts-Check.
Termin für technische Unterstützung buchen
Kontakt
Zertifizierung:
- Sophos MDR Sales Consultant
- Sophos Firewall Sales Consultant
- Sophos Central Sales Consultant
- Sophos Central Engineer
- Sophos Central Technician
- Sophos Central Architect
- Sophos Firewall Engineer
- Sophos Firewall Technician
- Sophos Firewall Architect