Upgrade von v17.5 nach v18.5, was gilt es zu beachten ?

Question

Hallo zusammen, zuerst einmal ein Kompliment f&uuml;r das dt. Forum und die neues Videos dazu, es geht voran 
 Wir wollen unsere beiden XG230-v2 von v17.5 nach v18.5 heben, was gibt es vorher bzw. nach dem Upgrade zu beachten ? Im speziellen mit DPI / NAT, in wie weit ist die Firewall Regel Konvertierung erfolgreich, bzw. wo sollte man nach der Migration etwas genauer hin schauen. Beide FW's (Standorte) sind per IPSec verbunden. Die User nutzen SSL VPN und Sophos Connect um sich mit beiden Standorten verbinden zu k&ouml;nnen. Aktuell nutzen wir alle Firewall Module aus unserer FullGuard+ Subskription z.B. WAF, IPS etc., ev. auch hier irgendwelche Fallstricke bei der Migration ? 
 Dank schon mal vorab f&uuml;r die Hilfe und Tipps. 
 StefanS

LuCar Toni · Answer

Hallo, 
 
 Grunds&auml;tzlich migriert die Appliances alles zu 100% und aktiviert keine neuen Features "von alleine". 
 Wichtig zu wissen ist: Das HA wird gleichzeitig neu starten, da V18.0 einen neuen Kommunikationskanal zwischen den Appliances implementiert, der verschl&uuml;sselt ist. Das erfordert einen Neustart von beiden Appliances zur gleichen Zeit. Somit eine geplante Downtime. 
 Dann wird der virtual FastPath aktiviert. Diese Technologie erh&ouml;ht die Performance der Appliance durch eine neue Architektur, kann jedoch auch zu "Problemen f&uuml;hren". Das ist die einzige Technik, die aktiviert wird nach dem Update auf V18. Daher sollte man, hat man danach Probleme, diese Technik mal ausschalten und schauen. (console> system firewall-acceleration disable). 
 Der Rest wird dann migriert und umgebaut. Pers&ouml;nlich w&uuml;rde ich die Zeit nutzen und die NAT Regeln (Linked NAT) alle l&ouml;schen und mit Default NATs arbeiten. Jede Firewall Regel, die ein MASQ in V17.5 hatte, wird eine eigene Linked NAT Rule erhalten. Dieses MASQ wird von einer Default SNAT Rule &uuml;bernommen. Daher kann man die Linked NAT Rules in der Regel l&ouml;schen. 
 SD-WAN PBR sind die neuen "Welches Gateway soll ich verwenden". Die Firewall wird dabei alle Regeln 1:1 migrieren. Jedoch gilt hierbei zu beachten: Die Firewall kann drei verschiedene Routing Entscheidungen haben: https://docs.sophos.com/nsg/sophos-firewall/18.0/Help/en-us/webhelp/onlinehelp/nsg/sfos/tasks/RoutingSDWANPolicyRoutesMigrated.html Daher ist es zu empfehlen, diese Einstellung auf der Console auf static - VPN - SD-wan zu &auml;ndern.

Upgrade von v17.5 nach v18.5, was gilt es zu beachten ?

Top Replies