Sophos Firewall v22 MR2: Pembaruan atau Risiko Baru?

Sophos Firewall v22 MR2 telah tersedia. Build 546 dirilis pada 14 Juli 2026 dan membawa kombinasi yang tidak terlalu besar, tetapi cukup masuk akal, antara fungsi keamanan, perubahan autentikasi, penyesuaian sertifikat, dan lebih dari 50 perbaikan bug.

Di atas kertas, ini adalah maintenance release klasik. Namun dalam praktiknya, isinya justru merupakan kombinasi yang kini selalu saya periksa dua kali pada Sophos: logika deteksi IPS baru, perubahan perilaku pemetaan pengguna, rantai sertifikat baru, sekaligus daftar panjang kernel crash, masalah HA, kondisi failsafe, kesalahan VPN, dan gangguan reporting.

Hal itu tidak sepenuhnya positif. Lebih dari 50 perbaikan menunjukkan bahwa Sophos sedang membereskan masalah, tetapi juga menunjukkan berapa banyak masalah serius yang masih ada di GA dan MR1. Kualitas firmware seperti ini sudah saya kritik dalam Sophos Firewall: Tidak Ada CVE, tetapi Banyak Bug (v21.5 hingga v22).

Saya akan segera memasang MR2 pada salah satu Sophos Firewall milik saya. Bukan karena saya memercayai rilis hari pertama secara membabi buta, tetapi karena saya ingin melihat apakah Build 546 akhirnya menenangkan lini v22 atau kembali menimbulkan lebih banyak bug baru daripada yang diperbaiki. Saya terutama akan mengamati HA, logging, IPsec, respons WebAdmin, STAS, dan stabilitas setelah pembaruan pattern.

Pada saat yang sama, Sophos menciptakan kontras yang aneh. Config Studio 2.6 kini mendapat porsi besar dalam pembaruan firewall resmi. Alat browser eksternal itu memperoleh penggabungan template, pencarian yang lebih baik, multi-file diff, analisis migrasi, dan data kompatibilitas hardware. Sebaliknya, hampir tidak ada perubahan yang terlihat dalam penggunaan harian antarmuka firewall itu sendiri.

Karena itu, MR2 penting secara teknis tetapi mengecewakan secara strategis. Security engine mendapat fungsi baru, sementara alur kerja admin modern kembali dipindahkan ke Config Studio.

Ringkasan yang Paling Penting

SFOS 22.0 MR2 memakai nomor Build 546 dan menggantikan MR1 Build 490. Sophos menyoroti tujuh area utama:

• deteksi dan kontrol kriptografi pascakuantum
• kategorisasi aplikasi AI generatif yang lebih baik
• ekstensi Chromebook User ID baru berbasis Manifest V3
• perubahan perilaku default STAS
• pengumuman dini akhir dukungan Novell eDirectory pada SFOS 23.0
• rantai kepercayaan Let’s Encrypt baru dan notifikasi email yang lebih baik
• Config Studio 2.6 dengan fungsi analisis, migrasi, dan perbandingan baru

Selain itu, lebih dari 50 masalah diperbaiki. Dari sudut pandang operasional, beberapa perbaikan ini lebih penting daripada fitur baru karena mencakup kernel crash, masalah HA, kondisi failsafe, kesalahan VPN, dan masalah performa reporting.

Penilaian singkat saya:

• Pengguna v22 GA atau MR1 yang terdampak salah satu bug dalam daftar memiliki alasan konkret untuk memasang MR2.
• Instalasi 21.5 yang stabil tidak perlu terburu-buru hanya karena PQC atau Config Studio.
• Signature PQC harus lebih dahulu dijalankan dalam mode observasi, bukan langsung Drop.
• Lingkungan STAS harus memeriksa perlakuan terhadap traffic tanpa autentikasi selama Identity Probe setelah upgrade.
• Instalasi HA, IPsec, WAF, mail, dan reporting memerlukan uji fungsi nyata, bukan sekadar melihat status hijau.
• Config Studio 2.6 berguna secara teknis, tetapi bukan bukti bahwa antarmuka WebAdmin SFOS menjadi modern. Justru sebaliknya.

Batas hardware tetap penting: SFOS 22.0 tidak lagi mendukung appliance hardware XG dan SG. Rilis ini ditujukan untuk XGS, instalasi virtual, software, dan cloud yang didukung. Pengguna hardware XG tidak dapat merencanakan MR2 sebagai langkah firmware normal berikutnya.

Mendeteksi dan Mengontrol Kriptografi Pascakuantum

Fitur baru yang paling menarik secara teknis adalah kontrol kriptografi pascakuantum atau PQC. Ini bukan berarti Sophos Firewall tiba-tiba menangkis komputer kuantum. Fungsi tersebut menyangkut metode pertukaran kunci kriptografis modern yang dirancang lebih tahan terhadap serangan komputer kuantum yang kuat di masa depan.

MR2 berfokus pada ML-KEM. Metode ini distandardisasi sebagai FIPS 203 pada 2024 dan didasarkan pada asumsi kesulitan masalah Module Learning with Errors. NIST mendefinisikan tiga tingkat parameter:

• ML-KEM-512, dengan ukuran kunci dan data paling kecil,
• ML-KEM-768, varian menengah yang kini banyak digunakan,
• ML-KEM-1024, dengan tingkat keamanan lebih tinggi sekaligus beban komputasi dan transmisi lebih besar.

Dokumen MR2 Sophos hanya menyebut algoritma pertukaran kunci murni dan hibrida berbasis ML-KEM secara umum. Tidak dijelaskan tingkat parameter, grup TLS, atau ID signature mana yang dicakup. Karena itu, jangan berasumsi bahwa setiap varian ML-KEM pasti terdeteksi.

Apa yang Sebenarnya Dilakukan KEM

ML-KEM tidak langsung mengenkripsi seluruh aliran data. Secara sederhana, Key Encapsulation Mechanism terdiri dari tiga operasi:

1. KeyGen membuat Encapsulation Key dan Decapsulation Key pasangannya.
2. Encaps menggunakan Encapsulation Key publik untuk membuat objek ciphertext dan shared secret.
3. Decaps menggunakan Decapsulation Key privat di sisi lain untuk memperoleh shared secret yang sama.

Protokol kemudian menurunkan kunci sesi simetris dari rahasia tersebut. Payload tetap dilindungi dengan metode simetris cepat seperti AES atau ChaCha20. Jadi, ML-KEM menggantikan bagian asimetris yang rentan dalam negosiasi kunci, bukan seluruh enkripsi data TLS.

Latar belakang praktisnya adalah Harvest now, decrypt later: penyerang dapat merekam traffic terenkripsi hari ini dan berharap mendekripsinya beberapa tahun lagi dengan komputer kuantum yang relevan secara kriptografis. Untuk data berumur pendek, risikonya lebih kecil. Namun masa kerahasiaan data kesehatan, komunikasi pemerintah, kekayaan intelektual, atau data perusahaan jangka panjang dapat melampaui waktu menuju kelas serangan baru tersebut.

Murni dan Hibrida Bukan Hal yang Sama

Dalam pertukaran kunci PQC murni, keamanan negosiasi hanya bergantung pada metode pascakuantum baru. Pertukaran hibrida menggabungkan mekanisme klasik dengan ML-KEM. Contoh yang digunakan dalam implementasi nyata adalah X25519MLKEM768: komponen X25519 klasik dan ML-KEM-768 bersama-sama membentuk rahasia akhir.

Pendekatan hibrida masuk akal saat ini. Jika kelak ditemukan bug implementasi atau kelemahan matematis ML-KEM, komponen klasik tetap ada. Jika komputer kuantum yang cukup kuat dapat memecahkan kurva eliptik klasik, komponen ML-KEM tetap melindungi. Hibrida adalah jembatan migrasi, bukan enkripsi ganda yang sia-sia.

Namun perlu ditegaskan: X25519MLKEM768 hanyalah contoh teknis nyata dari implementasi TLS saat ini. Dokumen MR2 tidak menyatakan bahwa itulah satu-satunya atau grup utama yang dideteksi Sophos.

Apa yang Dilakukan IPS

Intrusion Prevention System memperoleh signature baru untuk mendeteksi pertukaran kunci ML-KEM murni dan hibrida. Admin dapat membuat aturan IPS tersendiri dengan aksi seperti Allow, Drop, atau Reset.

Secara teknis, firewall dapat mengenali pertukaran kunci yang ditawarkan dan dipilih dalam TLS handshake. Client menawarkan grup dan Key Shares yang didukung melalui ClientHello, lalu server mengonfirmasi pilihan melalui ServerHello. Fase ini berlangsung sebelum aliran aplikasi terenkripsi dimulai, sehingga deteksi secara prinsip dapat dilakukan tanpa membaca isi HTTPS berikutnya.

Sophos tidak mendokumentasikan titik evaluasi atribut tersebut dalam Snort atau pipeline IPS SFOS, versi TLS yang dicakup, maupun perbedaan deteksi antara proxy, DPI, dan traffic FastPath tanpa dekripsi. Release notes mengonfirmasi kemampuan, bukan implementasi internal data path. Karena itu, policy produksi memerlukan pengujian sendiri dengan log firewall dan IPS.

Setiap aksi memiliki dampak berbeda:

• Allow meneruskan koneksi dan, bersama logging, cocok untuk inventarisasi.
• Drop membuang paket yang cocok secara diam-diam; client biasanya mengalami timeout atau handshake yang terputus.
• Reset secara aktif mengakhiri koneksi TCP; error muncul lebih cepat, tetapi dapat terlihat berbeda bagi pengguna dan log aplikasi.

Signature baru dinonaktifkan secara default, dan itu keputusan yang tepat. PQC bukan lagi sekadar teknologi laboratorium. Browser besar, layanan cloud, dan platform web sudah menguji atau memakai metode hibrida. Pemblokiran menyeluruh dapat merusak situs dan aplikasi yang sah.

Penerapan yang masuk akal:

1. Aktifkan signature terlebih dahulu, izinkan traffic, dan catat log.
2. Evaluasi selama beberapa hari atau minggu aplikasi dan tujuan yang memakai ML-KEM.
3. Periksa apakah kebijakan kriptografi internal melarang atau mewajibkan metode tertentu.
4. Baru setelah itu terapkan Drop atau Reset secara terarah.

Dalam diskusi komunitas pertama, seorang admin belum menemukan signature IPS terkait dengan pencarian PQC, KEM, atau quantum setelah upgrade. Penyebabnya bisa berupa pembaruan pattern yang belum tiba atau penamaan signature. Beberapa jam setelah rilis belum cukup untuk menyimpulkan bug produk, tetapi ini menunjukkan masalah dokumentasi: fungsi hanya dapat dikelola jika nama signature, SID, kategori, dan ciri log dapat ditemukan.

Sebelum mengubah policy, saya akan memeriksa:

• Apakah IPS aktif dan subscription Network Protection valid?
• Versi pattern IPS apa yang terpasang?
• Dengan nama dan SID apa signature baru muncul?
• Apakah hit muncul di log IPS dan reporting pusat?
• Apakah deteksi tetap sama pada pengecualian DPI, TLS Inspection, dan FastPath?
• Browser, sistem operasi, layanan cloud, serta aplikasi internal mana yang menghasilkan hit?

Apa yang Dilakukan Web Protection

Menurut Sophos, Web Protection juga mencegah sesi web menegosiasikan algoritma PQC yang tidak didukung. Ini berbeda dari signature IPS. IPS mengenali pola dan bereaksi, sedangkan Web Protection masuk ke alur TLS dan web yang dikontrol agar koneksi tidak memakai metode yang tidak dapat diproses firewall atau tidak diizinkan policy.

Hal ini terutama relevan pada TLS Inspection. Dalam koneksi yang didekripsi, firewall mengakhiri sesi TLS client dan membuat sesi TLS kedua ke server tujuan. Ada dua handshake dan dua set kunci sesi terpisah. Browser dan web server mungkin mendukung PQC, sementara komponen inspeksi di antaranya tidak dapat memproses grup yang ditawarkan dengan benar.

Tanpa perilaku terkontrol, error sulit dipahami dapat muncul: client menawarkan grup baru, firewall tidak dapat memediasi handshake, server memilih varian tidak terduga, atau fallback berjalan berbeda dari rencana. MR2 dimaksudkan untuk mencegah negosiasi algoritma PQC yang tidak didukung.

Yang tidak dijelaskan Sophos juga penting: tidak ada matriks policy PQC khusus Web Protection, daftar grup yang didukung, atau keterangan apakah penawaran yang tidak didukung dihapus, ditolak, atau diganti fallback klasik. Hal ini tidak boleh disamakan dengan aksi IPS yang bebas dikonfigurasi.

Fungsi tersebut berguna, tetapi tidak menggantikan strategi kriptografi. Perusahaan tetap harus mengetahui koneksi TLS mana yang didekripsi, di mana pengecualian berlaku, dan apakah PQC hanya diamati atau benar-benar ditegakkan.

Aplikasi AI Generatif Menjadi Lebih Terlihat

Fungsi keamanan kedua berkaitan dengan aplikasi AI generatif. Sophos meningkatkan kategorisasinya melalui Synchronized Application Control.

Prinsipnya bukan hal baru: Sophos Endpoint melihat proses lokal yang membuka koneksi dan membagikan konteks aplikasi ke firewall melalui Security Heartbeat. Firewall dapat menghubungkan sesi ke program meskipun port, IP tujuan, dan traffic terenkripsi tidak cukup untuk identifikasi yang jelas.

Data path sederhananya:

1. Aplikasi pada endpoint terlindungi membuka koneksi jaringan.
2. Sophos Endpoint mengetahui nama proses, path, dan konteks aplikasi lokal.
3. Security Heartbeat menghubungkan pandangan endpoint dan firewall.
4. SFOS memetakan sesi yang tidak dikenal atau hanya dikenali secara umum ke aplikasi.
5. Aplikasi muncul di Synchronized Application Control dan dapat dikategorikan.
6. Application Filter Policy mengizinkan, memblokir, atau membentuk traffic terkait.

Di Connection List, SFOS dapat meminta informasi endpoint untuk koneksi tidak dikenal melalui Resolve application info. Daftar aplikasi dapat dicari berdasarkan nama, path, kategori, atau endpoint. Sophos menyebut batas 15.000 aplikasi yang dikelola melalui Synchronized Application Control. Untuk menghemat memori, firewall hanya menyimpan lima kejadian terbaru per aplikasi dan endpoint.

MR2 secara khusus meningkatkan pemetaan aplikasi AI generatif. Sophos Endpoint seharusnya mengenalinya lebih tepat dan mengirimkan informasi ke firewall. Kategori Generative AI tersedia dalam daftar aplikasi SFOS dan dapat dipakai dalam Application Filters dan Reports.

Tiga manfaat bagi admin:

• Visibilitas: reporting lebih jelas menunjukkan aplikasi AI generatif yang digunakan.
• Aturan: aplikasi dapat diizinkan, dibatasi, atau diblokir secara lebih terarah.
• Inventaris: tim keamanan dan privasi memiliki dasar lebih baik untuk membedakan layanan AI yang disetujui dan tidak.

Ini berguna, tetapi istilah “mendeteksi AI generatif” tidak boleh dibesar-besarkan. Synchronized Application Control terutama menjawab: Aplikasi mana yang membuat koneksi? Ia tidak otomatis menjawab:

• prompt apa yang dimasukkan pengguna,
• file apa yang diunggah,
• apakah data pribadi atau rahasia terkandung,
• apakah sesi browser merupakan penggunaan AI pribadi atau bisnis,
• apakah fungsi AI tertanam digunakan di dalam layanan browser yang diizinkan.

Desktop client dengan path proses yang jelas lebih mudah dipetakan daripada sepuluh layanan AI web dalam proses browser yang sama. URL categorization, TLS Inspection, dan cloud app detection dapat menambah informasi, tetapi merupakan lapisan deteksi teknis yang berbeda.

Nilai tambah juga bergantung pada Sophos Endpoint, Security Heartbeat aktif, dan Synchronized Application Control yang diaktifkan pertama kali melalui Sophos Central. Pengguna SFOS tanpa Sophos Endpoint atau endpoint di luar jalur Heartbeat tidak otomatis memperoleh kedalaman deteksi yang sama.

Ekspektasi yang tepat: MR2 memperbaiki pemetaan aplikasi dan dasar policy. Ia tidak sendirian menyelesaikan pertanyaan organisasi mengenai layanan AI yang diizinkan dan data yang boleh diproses di sana.

Saya tidak akan langsung memblokir seluruh kategori Generative AI setelah upgrade. Pertama, reporting harus menunjukkan apakah hit berasal dari konteks endpoint, signature firewall, atau web categorization. Jika tidak, fungsi produktif Microsoft 365, alat pengembangan, browser, atau platform support dapat terblokir tanpa memahami penggunaan sebenarnya.

Perubahan Autentikasi dan Pemetaan Pengguna

MR2 membawa tiga topik autentikasi terpisah. Dua memerlukan persiapan konkret, sedangkan yang ketiga merupakan peringatan migrasi dini.

Chromebook User ID dengan Manifest V3

Sophos Chromebook User ID Extension telah beralih ke Manifest V3, platform ekstensi Chrome saat ini yang menggantikan basis teknis lama.

Poin pentingnya: Sophos mewajibkan ekstensi lama dihapus dan versi baru dipasang. Silent update pada ekstensi lama tidak cukup. Sekolah dan perusahaan dengan Chromebook terkelola harus menyiapkan perubahan melalui kebijakan Google Admin, mengujinya pada kelompok uji, lalu melakukan rollout luas.

Ekstensi hanya salah satu bagian jalur SSO. Chromebook SSO memerlukan antara lain:

• server AD, LDAP, atau Google Secure LDAP pada firewall,
• Chromebook dalam jaringan yang dilindungi SFOS,
• alamat pengguna dari domain Google Workspace terdaftar,
• sertifikat untuk komunikasi terenkripsi dan CN yang sesuai,
• port komunikasi Sophos 65123 secara default,
• konfigurasi JSON yang diekspor dari SFOS dan dimasukkan ke Google Workspace,
• akses ke accounts.google.com, host Google API, dan Chrome Web Store.

Ekstensi baru didistribusikan melalui Devices > Chrome > Apps and extensions > Users and browsers. Force install cocok untuk produksi agar pengguna tidak dapat menghapus ekstensi identitas. Sophos User ID App juga harus dipercaya di API Controls; jika tidak, OAuth dapat gagal.

Setelah perubahan, periksa seluruh rantai, bukan sekadar instalasi ekstensi:

1. Pengguna login ke Chromebook.
2. Ekstensi mencapai firewall melalui jaringan dan sertifikat yang ditentukan.
3. Pengguna muncul di Live users.
4. Aturan berbasis pengguna benar-benar cocok dengan pengguna atau grup.
5. Pemetaan hilang dengan benar setelah logout atau perpindahan perangkat.

Tanpa ekstensi baru, pembaruan mendatang dapat berhenti. Tergantung desain autentikasi, hal ini dapat mengganggu pemetaan pengguna serta aturan firewall atau web berbasis pengguna. Di sekolah, filter dapat gagal meskipun firewall, Internet, dan Chromebook tampak “online”.

STAS Tidak Lagi Memblokir Traffic secara Default selama Pemeriksaan Identitas

Dalam Sophos Transparent Authentication Suite, MR2 mengubah nilai default Restrict client traffic during identity probe menjadi No.

STAS memetakan alamat IP ke pengguna yang terdeteksi di Windows Domain Controller:

1. Pengguna login ke domain Windows.
2. Domain Controller menulis security audit event, biasanya Event ID 4768 pada Windows baru.
3. STAS Agent membaca nama pengguna dan alamat IP dari event.
4. Agent mengirim informasi ke Collector melalui TCP 5566 secara default.
5. Collector mengirim pemetaan berhasil ke firewall melalui UDP 6060.
6. Saat melihat traffic dari IP tidak dikenal, SFOS dapat menanyakan Collector melalui port 6677.
7. Firewall melengkapi keanggotaan grup melalui server AD dan menerapkan aturan pengguna.

IP yang belum dipetakan masuk Learning Mode. Sebelumnya, traffic selama probe ditahan atau dibuang secara default selama periode terdokumentasi 120 detik. Jika Collector tidak merespons, IP dapat dianggap tidak terautentikasi selama satu jam dan aturan untuk traffic tanpa autentikasi berlaku.

Di sinilah MR1 memiliki masalah nyata. NC-181885 menyebut bahwa Restrict client traffic during identity probe = Yes dapat menimbulkan gangguan intermiten akibat Identity Probe berulang atau memblokir upgrade MR1. MR2 tercantum sebagai versi perbaikan sekaligus mengubah default ke No.

Dengan No, traffic client berjalan selama pemeriksaan. Gangguan berkurang, tetapi trade-off berubah:

• Pengguna mengalami lebih sedikit interupsi.
• Firewall mungkin belum memiliki identitas terkonfirmasi selama probe.
• Aturan berbasis pengguna dan logging pada fase transisi harus diuji cermat.

Ini adalah kompromi antara ketersediaan dan penegakan identitas ketat. Dengan Yes, gangguan komunikasi Collector dapat memblokir client. Dengan No, traffic dapat berjalan sebelum identitas dipastikan. Apakah traffic cocok dengan aturan jaringan umum, aturan unauthenticated, atau kemudian aturan pengguna harus diuji pada ruleset sendiri.

Release notes menyatakan nilai default berubah menjadi No, tetapi tidak menegaskan bahwa setiap konfigurasi lama yang sengaja disetel akan ditimpa. Periksa nilai aktual setelah upgrade.

Periksa pula:

• Apakah UDP 6060 dan 6677 terbuka antara firewall dan Collector?
• Apakah STAS Service berjalan dan terikat pada NIC yang tepat?
• Apakah beberapa Collector dikelompokkan untuk Fault Tolerance?
• Apakah objek Clientless User mencakup printer, IoT, dan perangkat non-domain?
• Apakah pengguna muncul dengan benar setelah sleep, roaming, perubahan DHCP, dan logout?
• Apakah aturan selama Learning Mode dan status unauthenticated sesuai desain keamanan?

Hal ini sangat penting bila identitas pengguna bukan hanya untuk reporting, tetapi menjadi syarat akses nyata.

Novell eDirectory Berakhir pada SFOS 23.0

MR2 memberi peringatan dini bahwa dukungan server autentikasi Novell eDirectory akan berakhir pada SFOS 23.0.

eDirectory tetap bekerja di MR2; ini bukan penghentian fungsi langsung. Namun pengguna produksi harus bermigrasi ke tipe autentikasi yang didukung sebelum memasang SFOS 23.0.

Migrasi bukan sekadar mengganti entri server. Grup, aturan firewall, web policy, akses VPN, portal pengguna, dan reporting dapat bergantung pada sumber identitas lama. Distinguished Names, nesting grup, search path, dan format nama pengguna yang berbeda berarti tes LDAP yang berhasil belum membuktikan migrasi policy berfungsi.

STAS juga sudah lama tidak mendukung LDAP over SSL/TLS untuk eDirectory. Penghapusan pada SFOS 23.0 tidak sepenuhnya mengejutkan, tetapi arsitektur pengganti harus disiapkan sebagai proyek tersendiri dengan akun uji, grup paralel, referensi aturan terdokumentasi, dan rollback plan.

Let’s Encrypt: Rantai Baru dan Pemetaan yang Lebih Baik

Let’s Encrypt secara bertahap beralih ke root dan intermediate certificate baru. MR2 menambahkan dukungan YE Root, YE1, YE2, YR Root, YR1, dan YR2.

Generation Y hierarchy ini terdiri dari dua Root CA dengan tipe kunci berbeda:

• ISRG Root YE menggunakan ECDSA P-384 sebagai jalur penerus hierarki ECDSA.
• ISRG Root YR menggunakan RSA 4096 sebagai jalur root RSA baru.
• YE1 dan YE2 adalah intermediate ECDSA P-384.
• YR1 dan YR2 adalah intermediate RSA 2048.

Root baru di-cross-sign oleh root ISRG lama. Rantai baru dapat kembali ke Trust Anchor lama yang sudah tersebar sambil menunggu browser dan OS memasukkan root baru. YE1, YE2, YR1, dan YR2 menjadi relevan untuk penerbitan aktif pada 2026.

Bagi SFOS, ini terutama perubahan kompatibilitas. Firewall harus mengenal issuer dan chain baru agar penerbitan otomatis, renewal, penggunaan WAF, dan validasi tetap bekerja. Tanpa trust chain baru, operasi sertifikat dapat gagal meskipun domain, port 80, dan HTTP-01 sudah benar.

Kesalahan ACME mudah salah didiagnosis sebagai masalah DNS, DNAT, port 80, aturan WAF, atau Terms of Service, padahal penyebabnya dapat berupa chain CA baru.

SFOS tetap memakai HTTP-01. FQDN domain harus mengarah ke alamat WAN publik terpilih, port 80 harus mencapai firewall, dan aturan DNAT yang bersaing pada alamat serta port yang sama dapat menghalangi validasi. MR2 tidak mengubah prinsip ini, hanya memperluas hierarki CA yang didukung.

Notifikasi email Let’s Encrypt kini juga memuat hostname dan nomor seri firewall. Ini kecil tetapi sangat membantu MSP dan lingkungan besar dalam memetakan peringatan ke perangkat yang tepat. Setiap pesan sistem firewall seharusnya memuat setidaknya hostname, serial, model, dan firmware. Backup email sudah bergerak ke arah itu; Let’s Encrypt menyusul di MR2.

Config Studio 2.6: Semua Fungsi Baru Dijelaskan

Sophos mencantumkan Config Studio 2.6 sebagai bagian pengumuman MR2, walaupun tetap merupakan alat browser terpisah dan bukan antarmuka baru di SFOS. Alur lengkap ekspor, Entities.xml, perbandingan, dan editor dijelaskan dalam artikel Sophos Firewall Config Studio V2: Lebih dari Sekadar Viewer.

Sophos menyatakan parsing, analisis, dan pembuatan report berlangsung lokal di browser endpoint; konfigurasi tidak dikirim ke Sophos atau server lain. Ini penting karena Entities.xml dapat berisi jaringan internal, objek, ruleset, definisi VPN, referensi sertifikat, dan nama organisasi.

Pemrosesan lokal tidak otomatis bebas risiko. Aplikasi tetap dimuat dari Internet. Lingkungan sensitif harus mempertimbangkan versi kode, browser cache, penggunaan offline, hardening endpoint, dan penyimpanan ekspor. Entities.xml tidak boleh dibiarkan dalam Downloads, tiket, atau sinkronisasi cloud biasa.

Config Studio 2.6 mencakup lima area:

• Configuration Report dengan Policy Test, analisis, dan pencarian global
• perbandingan dua konfigurasi atau lebih
• editor visual dengan Bulk Editing dan output XML, API, atau curl
• migrasi Sophos UTM, SonicWall, FortiGate, dan Palo Alto Networks
• kompatibilitas Backup Restore, Flexi Port, transceiver, dan model

Menggabungkan Template

Merge Templates menggabungkan baseline configuration dengan template khusus industri. MSP dapat memadukan konfigurasi dasar untuk logging, DNS, akses admin, dan objek standar dengan template klinik, sekolah, atau cabang.

Baseline dapat berisi akses admin, NTP, DNS, Syslog, layanan standar, serta konvensi logging; template kedua menambah aturan dan objek industri. Namun konflik tetap harus diperiksa:

• Apa yang terjadi pada nama objek sama dengan nilai berbeda?
• Apakah UUID, referensi, dan urutan aturan diselesaikan konsisten?
• Referensi interface atau zona mana yang tidak cocok dengan model tujuan?
• Apakah merge menimbulkan aturan duplikat atau tumpang tindih?
• Apakah objek restriktif ditimpa nilai template yang lebih luas?

Duplicate Analysis, Shadow Rule Analysis, Usage References, dan Policy Test lengkap wajib dilakukan. Merge yang berhasil secara teknis tidak membuktikan policy aman.

Pencarian Global yang Lebih Baik

Pencarian global menemukan objek konfigurasi dan membuka lokasinya langsung. Dalam ruleset besar, host object dapat direferensikan oleh firewall, NAT, TLS, web, atau VPN. Navigasi langsung menghemat banyak klik.

Selain nama objek, nilai, path, dan elemen referensi dapat relevan menurut tipe data. Ini membantu pada nama generik seperti Server, LAN_Network, atau host group lama.

Search berbeda dari Usage Reference. Search menjawab lokasi objek atau nilai; Usage Reference menunjukkan elemen lain yang bergantung padanya. Perubahan aman memerlukan keduanya. Fungsi ini juga sangat dibutuhkan langsung dalam antarmuka firewall.

Configuration Report yang Lebih Bermakna

Report untuk aturan firewall, NAT, dan TLS kini menampilkan bukan hanya nama referensi, tetapi nilai serta detail objek. Reviewer dapat melihat host atau jaringan di balik Webserver-Gruppe tanpa membuka banyak dialog.

Ini penting untuk audit, handover, dan four-eyes review. Nama objek yang rapi masih bisa berisi Any, jaringan terlalu luas, atau entri usang. Policy Test memeriksa aturan atau route yang cocok dengan sumber dan tujuan tertentu; analisis menemukan shadowing dan duplikat. Karena SFOS mengevaluasi aturan dari atas ke bawah dan berhenti pada hit pertama, urutan merupakan bagian dari logika keamanan.

Config Studio 2.6: Migrasi, Perbandingan, dan Ekspor

Analisis Migrasi dengan Persentase Keberhasilan

Config Studio menampilkan informasi migrasi dan konversi beserta persentase yang berhasil. Persentase adalah indikator cepat, bukan acceptance report.

Status migrasi pihak ketiga meliputi:

• Supported: dimigrasikan otomatis tanpa perubahan isi
• Partial: dimigrasikan dengan bagian yang harus dilengkapi
• Manual: harus dibuat ulang secara manual di Sophos Firewall
• Not supported: tidak dimigrasikan
• Action required: memerlukan keputusan sebelum ekspor

Lima persen yang hilang dari konversi 95 persen dapat justru berisi sertifikat, password, VPN, NAT, atau routing khusus. Nilai sebenarnya ada pada daftar elemen yang tidak, sebagian, atau otomatis dimigrasikan.

Logika vendor berbeda. Aturan FortiGate dapat lebih terikat interface, sedangkan SFOS memakai zona; Palo Alto memiliki model objek, zona, dan policy lain. Config Studio dapat mengonversi sintaks dan struktur, tetapi tidak membuktikan model keamanan tetap identik secara semantik.

Multi-File Configuration Diff

Multi-File Diff membandingkan dua atau lebih konfigurasi lintas waktu. File diurutkan menurut tanggal modifikasi dan perubahan field ditampilkan sebagai ditambah, dihapus, atau diubah.

Tersedia tampilan Side-by-Side, Unified, dan Semantic. Semantic diff mengurangi noise XML akibat urutan, ID, atau format dengan mencoba menampilkan perubahan entity dan field sebenarnya.

Ini membantu rekonstruksi perubahan dan troubleshooting, asalkan snapshot disimpan rutin, timestamp benar, dan ekspor sensitif dikelola aman. Tanggal modifikasi file unduhan tidak selalu sama dengan waktu perubahan firewall. Nama file, waktu ekspor, hostname, serial, firmware, dan change ticket harus didokumentasikan bersama.

Tanpa disiplin versi, Multi-File Diff tidak dapat menciptakan histori. Fungsi ini akan jauh lebih kuat di Central dengan audit history yang immutable daripada melalui upload manual.

Referensi Backup Restore, Flexi Port, dan Kecepatan

Config Studio memeriksa kompatibilitas Backup Restore dan layout port antar-model Sophos Firewall, termasuk modul Flexi Port serta standar dan kecepatan hingga 25, 40, atau 100 Gbit/s.

Sebelum migrasi hardware, admin dapat menilai:

• apakah backup secara prinsip dapat dipulihkan,
• jumlah port fisik yang tersedia,
• kompatibilitas modul Flexi Port,
• standar dan kecepatan interface yang didukung.

Ini tidak menggantikan desain migrasi. LAG, VLAN, bridge, HA, nama port, zona, dan pemetaan interface tetap harus direncanakan dan diuji.

Kompatibilitas Backup Restore lebih luas berlaku untuk target sejak SFOS 20.0 MR2. Backup Restore Assistant dapat memetakan ulang port fisik; VLAN dan alias mengikuti parent interface, sedangkan LAG atau bridge dibangun kembali dari port yang dipetakan.

Pada Flexi Port, kecocokan mekanis saja tidak cukup. Generasi model, form factor, transceiver, standar, kecepatan, breakout, dan versi SFOS harus diperiksa bersama. Config Studio mempercepat referensi, bukan menggantikan uji link dan failover.

Dark Mode

Release notes juga menyebut Dark Mode. Ini perbaikan penggunaan kecil, bukan fungsi firewall. Namun simbolismenya kuat: bahkan dark mode tiba lebih dahulu di Config Studio eksternal, sementara WebAdmin lokal maju sangat lambat secara visual dan ergonomis.

Output Teknis Editor

Editor dapat mengimpor atau membuat konfigurasi, menjalankan Bulk Changes, lalu menampilkan hasil sebagai Import XML, API Request, atau curl. XML atau arsip TAR dapat diunduh dan diimpor melalui Backup & firmware > Import export.

Kemampuan ini meningkatkan tanggung jawab admin. API request yang dibuat tidak otomatis idempotent. Import yang berhasil tidak membuktikan Rule Order, penggunaan objek, NAT, VPN, dan Security Policies sudah benar. Output harus masuk change ticket, diff harus direview, dan firewall hasilnya perlu diuji pada data path nyata.

Lebih dari 50 Perbaikan Adalah Alasan Utama untuk MR2

Sophos menyebut lebih dari 50 perbaikan keandalan, stabilitas, dan keamanan. Tidak semuanya memengaruhi setiap instalasi, tetapi beberapa sangat serius:

HA dan Failsafe Bukan Masalah Pinggiran

• NC-181331: partisi konfigurasi penuh dapat memicu Failsafe Mode.
• NC-180110: Logging Daemon gagal dimulai pada Primary dan perangkat HA masuk failsafe.
• NC-177441: Primary lama dapat masuk failsafe setelah upgrade v22 GA akibat masalah Postgres.
• NC-178906: RED Server Service gagal dimulai dan memicu failsafe.
• NC-177467: Auxiliary tidak mulai dengan benar ketika menerima sangat banyak koneksi SSH unauthenticated bersamaan.

Penyebabnya berbeda, dampaknya sama: firewall kehilangan layanan, masuk mode proteksi, atau partner HA tidak tersedia seperti yang disiratkan status hijau. HA status: Active-Passive tidak cukup; sinkronisasi, status layanan, failover, dan traffic nyata harus diuji.

Perbaikan IPsec Menyentuh Data Path secara Mendalam

• NC-180433: multicast dalam VPN tunnel dapat memicu crash berulang.
• NC-171719: traffic ESP terkena routing salah dalam skenario SD-WAN.
• NC-180520: dengan IPsec Acceleration, gateway XFRM tetap tidak tersedia setelah upgrade jika tunnel terikat alias IP dan ESP masuk melalui WAN lain.
• NC-176855: throughput IPv6 melalui route-based IPsec terganggu.
• NC-178121: drag-and-drop dapat memindahkan koneksi Site-to-Site IPsec ke posisi salah dalam Failover Group.

Status tunnel Active tidak membuktikan data path benar. Uji interface XFRM, Routing Table, keputusan SD-WAN, jalur ESP, MTU, IPv4, dan IPv6 secara terpisah. Periksa pula urutan dan failover sesuai prioritas terdokumentasi.

Logging dan Reporting Dapat Menyebabkan Outage

NC-155252 sangat tidak menyenangkan: disk I/O tinggi pada Reporting menyebabkan lonjakan CPU dan outage Internet intermiten hingga satu menit. Subsistem analisis mengganggu data path produksi.

NC-178745 menjelaskan restart otomatis perangkat HA akibat out-of-memory pada Logging Framework; NC-181520 memperbaiki performa Log Viewer. Storage, database, Garner, Log Viewer, dan Central Reporting lebih erat terkait sistem daripada yang tampak di UI.

Setelah MR2, periksa:

• Apakah event firewall, IPS, WAF, Authentication, dan VPN lengkap?
• Apakah timeline bebas celah?
• Apakah Syslog collector eksternal tetap menerima data?
• Apakah CPU, RAM, dan disk I/O stabil di bawah beban normal?
• Apakah report dibuat tanpa memengaruhi data path?

Perbaikan Central Menunjukkan Batas “Single Pane of Glass”

NC-181175 membuat Group Policy Sophos Central macet di Pending. NC-180513 memengaruhi import dari Central View setelah MR1. NC-181904 mencegah pelepasan email karantina melalui Central.

UI pusat dapat menerima atau menampilkan perintah tanpa perubahan benar-benar diterapkan. Setelah Group Policy Push, periksa objek, aturan, urutan, dan timestamp pada perangkat target. Dialog sukses di Central bukan bukti commit teknis.

Daftar ini menunjukkan bahwa perbaikan outage akibat Logging, Postgres, SD-WAN, atau multicast lebih bernilai daripada tile dashboard baru. Namun banyaknya fix bukan sertifikat kualitas; itu juga menunjukkan banyaknya bug serius dalam build sebelumnya. Lingkungan HA, VPN, atau WAF kritis tidak boleh selamanya bertahan pada build lama, tetapi juga jangan menyebarkan MR2 tanpa pengujian pada hari pertama.

Yang Harus Diperiksa Admin Sebelum Upgrade

Sophos menyarankan pemasangan MR2 segera karena perbaikan keamanan, stabilitas, dan performa. Di produksi, “segera” bukan berarti “buta”.

Legacy VLAN Tagging pada Bridge Memblokir MR2

MR2 memblokir upgrade bila bridge interface masih memakai VLAN tagging berbasis CLI lama system vlan-tag. Konfigurasi harus dibersihkan atau dimigrasikan. Backup dengan legacy configuration ini juga tidak dapat dipulihkan pada SFOS 22.0 GA atau lebih baru, terutama penting bagi instalasi lama yang pernah dimodifikasi melalui CLI.

Hambatan v22 Sebelumnya Tetap Berlaku

• Legacy Remote Access IPsec harus dihapus atau dimigrasikan sebelum MR1/MR2.
• SFOS 22 membutuhkan storage lebih besar; beberapa appliance desktop, virtual, atau software perlu penyesuaian.
• Perilaku policy-based IPsec VPN berubah sejak GA dan harus diuji.
• Hardware XG dan SG tidak didukung SFOS 22.
• RED 15, RED 15w, dan RED 50 lama tidak didukung sejak v21.5.

Prosedur Upgrade Saya

1. Buat backup terbaru dan simpan eksternal.
2. Periksa support, license, dan jalur upgrade yang disetujui.
3. Pastikan tidak ada Legacy Remote Access IPsec atau CLI VLAN tagging pada bridge.
4. Periksa peringatan Disk Space di Control Center.
5. Pada HA, periksa kedua node, sinkronisasi, dan firmware tersedia.
6. Dokumentasikan VPN kritis, publikasi WAF, mail flow, aturan SD-WAN, dan autentikasi.
7. Pasang MR2 lebih dahulu pada appliance uji representatif atau kurang kritis.
8. Uji log, pattern, HA, routing, DNS, VPN, WebAdmin, Reporting, dan Central Policy Push setelah upgrade.

Uji sebelum dan sesudah sangat penting. Jika tidak, kita hanya tahu firmware baru, bukan apakah data path kritis tetap bekerja seperti direncanakan.

Sejak versi 20, SFOS memiliki automatic firmware rollback jika migrasi konfigurasi gagal. Ini mengurangi risiko boot dengan Factory Configuration, tetapi tidak berlaku untuk semua skenario seperti jalur upgrade tidak didukung atau alur Setup Assistant tertentu. Setelah rollback, analisis migration.log dan migrationhash.log.

Rollback bukan pengganti backup eksternal, Secure Storage Master Key, dan akses konsol. Ia terutama melindungi dari kegagalan migrasi, bukan membuktikan WAF, VPN, HA, atau Reporting bekerja setelah upgrade sukses.

Dalam pengujian MR2 langsung, saya akan membandingkan:

• restart dan startup semua layanan
• login WebAdmin dan respons daftar aturan besar
• aliran log lokal dan eksternal
• traffic IPsec, Rekey, dan failover
• Central Policy Push dengan verifikasi pada firewall
• pattern update IPS dan Application Control
• login ulang STAS dan perilaku IP client belum dikenal
• sinkronisasi HA dan perpindahan role terkontrol jika sistem uji adalah cluster

Baru setelah itu saya dapat menilai MR2. Instalasi sukses dan Control Center hijau tidak cukup.

Arti Feedback Awal Komunitas

Thread feedback dibuka pada hari yang sama dan baru berumur beberapa jam. Belum dapat disimpulkan bahwa MR2 stabil maupun bermasalah.

Dua diskusi patut dicatat:

• Operator XGS 5500 Active-Passive HA menanyakan kedalaman pengujian karena NC-177467 mengganggunya berbulan-bulan di MR1. Sophos mencatatnya diperbaiki; bug membuat Auxiliary gagal start saat banyak koneksi SSH unauthenticated datang bersamaan.
• Karyawan Sophos menjelaskan signature PQC sengaja dinonaktifkan. Karena PQC-TLS meningkat di browser dan aplikasi, aktivasi langsung dapat menghasilkan banyak alert. Rekomendasinya adalah Allow dengan logging lebih dahulu, kemudian blocking jika benar-benar perlu.

Ini fase awal yang wajar: pengujian konkret, Case ID, dan feedback jelas alih-alih sekadar “berjalan” atau “rusak”. Saya akan terus memantau HA, IPsec, WAF, STAS, dan Reporting selama beberapa hari dan minggu pertama.

Config Studio Menjadi Gudang Suku Cadang untuk Antarmuka Lama

Sekarang bagian yang tidak menyenangkan.

Config Studio 2.6 adalah alat yang baik. Merge template, pencarian objek, resolusi referensi, perbandingan beberapa konfigurasi, dan persiapan migrasi hardware adalah fungsi admin nyata. Saya tidak mengkritik fungsi itu dibangun, tetapi lokasinya.

Sophos kini menyebut Config Studio langsung dalam release notes firewall dan pengumuman MR2. Alat ini semakin tampak sebagai jawaban strategis atas masalah yang seharusnya diselesaikan di WebAdmin atau Sophos Central.

UI firewall lokal tetap tua dan sering lambat pada konfigurasi besar. Bulk change tidak memadai. Object usage, global search nyata, diff bersih, NAT cloning, konflik aturan, dan change workflow modern tidak tersedia di tempat admin bekerja sehari-hari. Central hanya menutup sebagian celah.

Masalahnya bukan sekadar desain. UI firewall modern memerlukan:

• Candidate Configuration alih-alih perubahan tunggal langsung
• diff sebelum/sesudah lengkap sebelum commit
• pemeriksaan dependensi objek, aturan, NAT, VPN, dan TLS
• atomic commit atau status transaksi jelas
• rollback tervalidasi ke keadaan terakhir
• atribusi pengguna, waktu, dan sumber dalam Audit Trail
• Bulk Operations dengan preview dan pemeriksaan konflik
• output API konsisten untuk perubahan yang dapat direproduksi

Config Studio membangun sebagian di luar sistem. Ia menganalisis ekspor, membuat XML atau API request, dan membantu diff. Namun ada celah antara pandangan offline dan runtime firewall. Session, dynamic routing, HA state, pattern saat ini, status sertifikat, dan konfigurasi aktif tidak sama dengan Entities.xml lokal.

Tidak tepat menyimpulkan dari satu pengumuman bahwa Sophos tidak akan pernah memodernisasi SFOS UI; tidak ada pernyataan resmi. Namun sinyalnya buruk: kemajuan paling terlihat dalam penggunaan, pencarian, perbandingan, dan konfigurasi kembali berada di luar antarmuka management utama.

Workflow tetap terfragmentasi:

1. Ekspor konfigurasi firewall.
2. Ekstrak arsip dan cari Entities.xml.
3. Muat ke alat browser terpisah.
4. Analisis, bandingkan, atau edit.
5. Ekspor kembali melalui XML, API, atau curl.

Untuk audit, ini dapat diterima. Untuk administrasi modern, aman, dan dapat dilacak, ini memutar. Config Studio justru mendapat low-hanging fruits yang telah lama ditunggu admin Sophos.

Jika Config Studio menjadi topik besar dalam release notes firewall normal, alat eksternal itu bukan lagi bantuan kecil. Sophos membuatnya terlihat sebagai bagian strategi admin. Sophos harus menjelaskan fungsi mana yang kelak masuk WebAdmin atau Central dan mana yang tetap di browser tool.

Tanpa roadmap, muncul kesan UI lama, lambat, dan makin tidak ramah pada konfigurasi besar akan tetap ada, sementara admin disuruh memakai Config Studio untuk workflow modern. Itu bukan rencana resmi, tetapi merupakan arah yang kini disampaikan produk.

Mengapa UniFi Mendapat Keuntungan Mudah

UniFi bukan pengganti lengkap setiap Sophos Firewall. Bergantung lisensi dan arsitektur, Sophos menawarkan security lebih dalam, IPS, Web Protection, WAF, integrasi endpoint, MDR/XDR, dan fitur enterprise. Perbandingan adil tidak boleh menghapus perbedaan itu.

Namun dalam persepsi kualitas produk, kemudahan penggunaan menang setiap hari.

Ubiquiti jelas berinvestasi pada desain, mobile app, navigasi konsisten, topologi, onboarding perangkat, dan UI yang dapat dipahami tanpa pengalaman bertahun-tahun. Tidak semua fungsi UniFi lebih dalam secara teknis, tetapi produknya terasa modern dan hal itu memengaruhi keputusan pembelian.

Tim TI kecil juga melihat:

• Seberapa cepat perangkat, aturan, atau client ditemukan?
• Dapatkah lingkungan diperiksa secara berguna dari smartphone?
• Apakah warning dan dependensi dipahami tanpa pengetahuan khusus?
• Berapa klik untuk perubahan sehari-hari?
• Apakah produk terasa sebagai satu platform atau beberapa alat terpisah?

Di sinilah Sophos memberi keuntungan mudah kepada Ubiquiti. Sophos Firewall dapat lebih kuat secara keamanan dan tetap lebih tepat bagi banyak UKM. Namun ketika admin harus membuka Config Studio untuk search, diff, template, dan bulk change sementara UI inti tua dan lamban, Sophos kehilangan kepercayaan pada lapisan paling terlihat.

Keamanan yang baik memerlukan engine kuat sekaligus UI tempat manusia memahami aturan, menemukan kesalahan, dan melakukan perubahan aman. Usability bukan kosmetik, melainkan bagian dari keamanan operasional.

Kesimpulan: Pasang MR2, tetapi Masalah Produk Tetap Ada

SFOS 22.0 MR2 bukan feature release besar, melainkan maintenance release penting dengan tambahan yang masuk akal.

Kontrol PQC datang tepat waktu tetapi harus dimulai dalam mode observasi. Deteksi aplikasi AI generatif membantu visibilitas dan policy, bukan menggantikan DLP atau AI governance. Admin Chromebook harus aktif menyebarkan ekstensi Manifest V3. STAS mengurangi gangguan tetapi memerlukan pemeriksaan aturan identitas. Let’s Encrypt siap untuk rantai baru. Banyak fix menangani masalah yang dapat menimbulkan outage nyata.

Saya akan memasang MR2 langsung setelah backup dan preflight, lalu menguji data path tersebut. Pengguna yang terdampak masalah HA, VPN, Reporting, Central, atau failsafe punya alasan kuat untuk upgrade. Pada hari rilis, belum mungkin menilai secara serius apakah Build 546 lebih tenang atau membawa regresi baru.

Kritik saya tetap jelas: Config Studio 2.6 berguna, tetapi perannya yang menonjol memperkuat kesan bahwa Sophos memindahkan administrasi modern ke alat sampingan. Ini bukan penghentian resmi UI SFOS baru, tetapi sinyal strategis yang mengkhawatirkan.

Sophos memiliki basis firewall kuat. Produsen harus memberi admin pengalaman management yang sepadan. Jika tidak, platform modern akan menang bukan karena security lebih baik, tetapi karena lebih menghargai manusia di depan layar.

Sampai jumpa lagi,
Joe

Pertanyaan Umum