Peplink Firmware 8.6.0: Upgrade-Guide & Checkliste

TL;DR

Peplink Firmware 8.6.0 bringt wichtige Sicherheits- und Funktionsverbesserungen, erfordert aber Vorbereitung. Die wichtigsten Punkte vor dem Upgrade:

Gestaffeltes Upgrade für bestimmte Modelle: Zuerst auf 8.5.4, dann auf 8.6.0.
FIPS-Modus: IPsec Preshared Keys müssen mindestens 14 Zeichen lang sein.
Zertifikats-Modernisierung: DSA, kurze RSA-Schlüssel und legacy PKCS#12 werden nicht akzeptiert.
FusionSIM/RemoteSIM: SIM Injector auf 1.2.6 aktualisieren.
PrimeCare: InControl muss aktiviert sein.
Retired Models: Zahlreiche ältere Hardware-Revisionen werden nicht mehr unterstützt.

Einleitung

Peplink Firmware 8.6.0 steht bereit – und mit ihr Änderungen, die IT-Administratoren kennen müssen. Dieser Peplink Firmware Upgrade Guide führt Sie durch den gesamten Prozess: gestaffelte Upgrade-Anforderungen, FIPS- und Zertifikatsänderungen sowie die Post-Upgrade-Verifizierung.

Als Peplink Gold Partner unterstützt Ascend Sie mit zertifiziertem Fachwissen.

Ascend ist Peplink Gold Partner. Beratung, Support und Geräte finden Sie unter ascend.de/loesungen/marken/peplink und im shop.ascend.de.

1. Vor dem Upgrade – gestaffelte Upgrade-Anforderungen

Nicht alle Geräte können direkt auf 8.6.0 aktualisiert werden. Für eine bestimmte Gruppe ist ein gestaffeltes Upgrade erforderlich: Zuerst auf 8.5.4, dann auf 8.6.0.

Betroffene Modelle für das gestaffelte Upgrade

Folgende Geräte müssen den Pfad → 8.5.4 → 8.6.0 durchlaufen:

Produktfamilie: MAX (BR-Serie) · Betroffene Modelle: BR1 Pro (CAT-20), BR1 Pro 5G, BR2 Pro
Produktfamilie: Dome · Betroffene Modelle: Alle Dome-Modelle
Produktfamilie: Transit · Betroffene Modelle: Alle Transit-Modellreihen
Produktfamilie: B One · Betroffene Modelle: Alle B One-Modelle

Warum das gestaffelte Upgrade?

Peplink verlangt den Zwischenschritt für diese Modellgruppen ausdrücklich; die Release Notes nennen keine detaillierte technische Begründung. Konkret heißt das für die Praxis: Diese Geräte lassen sich nicht direkt auf 8.6.0 aktualisieren — das Upgrade läuft über 8.5.4.

Praxistipp

Praktisch bewährt hat sich, nach dem Upgrade auf 8.5.4 zu warten, bis alle Geräte den Neustart abgeschlossen und sich bei InControl gemeldet haben — erst dann das Upgrade auf 8.6.0 starten. (Eigene Arbeitsempfehlung, keine offizielle Peplink-Vorgabe.)

2. FIPS und IPsec Preshared Key Anforderungen

Firmware 8.6.0 verschärft die Anforderungen an IPsec Preshared Keys (PSK), wenn der FIPS-Modus aktiviert ist. Diese Änderung entspricht aktuellen Best Practices für kryptografische Operationen.

Die Regel

Wenn FIPS aktiviert ist, müssen alle IPsec Preshared Keys mindestens 14 Zeichen lang sein.

Was Sie vor dem Upgrade prüfen müssen

FIPS-Status prüfen: in den FIPS-Einstellungen des Web-Admins.
IPsec-Tunnels inventarisieren: in den IPsec-Einstellungen.
PSK-Länge prüfen: Jeder Preshared Key mindestens 14 Zeichen.
Vor dem Upgrade aktualisieren: Zu kurze PSKs vor dem Upgrade ändern.

Was passiert bei Nicht-Compliance?

Wenn ein zu kurzer PSK vorliegt und FIPS aktiviert ist, kann der betreffende IPsec-Tunnel nach dem Upgrade unter Umständen nicht mehr aufgebaut werden. Das Upgrade selbst wird durchgeführt, aber die VPN-Konnektivität ist dann unterbrochen, bis der PSK korrigiert ist.

Empfehlung

Nutzen Sie das Upgrade als Anlass, um Ihre PSKs auf 20–32 Zeichen zu erhöhen. Generieren Sie neue Keys mit einem Passwort-Manager oder kryptografisch sicherem Zufallsgenerator.

3. Zertifikats-Modernisierung – was prüfen

Firmware 8.6.0 modernisiert die Zertifikatsverwaltung. Alte und unsichere Formate werden nicht mehr akzeptiert – insbesondere bei Geräten, die seit Jahren im Einsatz sind und deren Zertifikate nie aktualisiert wurden.

Was nicht mehr akzeptiert wird

Zertifikatstyp: DSA (Digital Signature Algorithm) · Status in 8.6.0:** Nicht mehr akzeptiert
Zertifikatstyp: Kurze RSA-Schlüssel · Status in 8.6.0: Nicht mehr akzeptiert
Zertifikatstyp: Legacy PKCS#12 (ältere Formate) · Status in 8.6.0:** Nicht mehr akzeptiert

Auto-Fallback auf sicheres Default-Zertifikat

Wenn ein Gerät nach dem Upgrade erkennt, dass das konfigurierte Zertifikat nicht den Anforderungen entspricht, greift ein Auto-Fallback: Das Gerät wechselt automatisch auf ein sicheres Default-Zertifikat. Das bedeutet:

Die Funktion bleibt erhalten – Web-Admin und VPN bleiben erreichbar.
Browser-Warnungen – Je nach Zertifikatstyp des Ersatzzertifikats können Browser eine Warnung zeigen.
VPN-Partner müssen ggf. das neue Zertifikat akzeptieren, falls Zertifikats-Pinning eingesetzt wird.

Prüfliste vor dem Upgrade

Alle importierten Zertifikate inventarisieren (Certificate Manager).
RSA-Schlüssellänge prüfen – eigene Arbeitsempfehlung: mindestens 2048 Bit, idealerweise 4096 Bit.
DSA-basierte Zertifikate durch RSA- oder ECDSA-Zertifikate ersetzen.
PKCS#12-Dateien neu exportieren (moderne OpenSSL-Version).
Für extern vertrauenswürdige Zertifikate: Let's Encrypt oder kommerzielle CA verwenden.
SpeedFusion-Tunnel mit Zertifikats-Authentifizierung testen.

FusionSIM und RemoteSIM

Wenn Sie FusionSIM oder RemoteSIM einsetzen, muss der SIM Injector auf Firmware 1.2.6 aktualisiert werden. Andernfalls kann die Kommunikation zwischen Peplink-Gerät und SIM Injector gestört sein.

PrimeCare

Für PrimeCare-Kunden gilt: InControl muss aktiviert sein. Stellen Sie sicher, dass das Gerät in InControl registriert ist und aktiv kommuniziert, bevor Sie das Upgrade starten.

4. Retired Models – wird Ihr Gerät noch unterstützt

Mit Firmware 8.6.0 werden zahlreiche ältere Hardware-Revisionen eingestellt (Retired). Diese Geräte erhalten kein Update auf 8.6.0; Peplink versorgt sie höchstens noch mit Wartungs-Updates der 8.5.x-Linie. Sie funktionieren weiterhin, erhalten aber weder die 8.6.0-Funktionen noch deren Sicherheitsverbesserungen.

Balance – Retired Models

Modell: Balance 30 LTE · HW-Revisionen: HW1
Modell: Balance 30 Pro · HW-Revisionen: HW1
Modell: Balance 210 · HW-Revisionen: HW4, HW5
Modell: Balance 310 · HW-Revisionen: HW4
Modell: Balance One · HW-Revisionen: HW1, HW2, HW3
Modell: Balance One Core · HW-Revisionen: HW1

MAX – Retired Models

Modell: MAX 700 · HW-Revisionen: HW3, HW4
Modell: MAX BR1 ENT · HW-Revisionen: HW1, HW2
Modell: MAX HD1 Dome · HW-Revisionen: HW1
Modell: MAX HD2 · HW-Revisionen: HW5, HW6
Modell: MAX HD2 Dome · HW-Revisionen: HW1
Modell: MAX HD2 IP67 · HW-Revisionen: HW2, HW3, HW4, HW5
Modell: MAX HD2 Mini · HW-Revisionen: HW1, HW2, HW3, HW4
Modell: MAX HD2 with MediaFast · HW-Revisionen: HW1, HW2, HW3, HW4
Modell: MAX HD4 · HW-Revisionen: HW1, HW2, HW3, HW4, HW5
Modell: MAX HD4 IP67 · HW-Revisionen: HW1
Modell: MAX HD4 with MediaFast · HW-Revisionen: HW1, HW2, HW3, HW4
Modell: MAX Transit · HW-Revisionen: HW1, HW2, HW3
Modell: MAX Transit 5G · HW-Revisionen: HW2, HW3
Modell: MAX Transit Core · HW-Revisionen: HW1
Modell: MAX Transit Duo · HW-Revisionen: HW1, HW2, HW3
Modell: MAX Transit Duo Pro E · HW-Revisionen: HW1
Modell: MAX Transit Pro E · HW-Revisionen: HW1

MediaFast und SpeedFusion Engine – Retired Models

Modell: MediaFast 200 · HW-Revisionen: HW1, HW3
Modell: SpeedFusion Engine (SFE) CAM · HW-Revisionen: HW1

Was bedeutet „Retired" in der Praxis?

Ein Retired Model erhält keine Firmware-Updates mehr:

Keine Sicherheits-Patches für neu entdeckte Schwachstellen.
Keine neuen Funktionen aus zukünftigen Firmware-Versionen.
Eingeschränkter Support – Peplink Support kann nur noch begrenzt helfen.

Handlungsempfehlung

Planen Sie mittelfristig einen Hardware-Austausch ein. Aktuelle Modelle wie BR1 Pro 5G, Transit Duo oder die B One-Reihe bieten erhebliche Verbesserungen.

5. Post-Upgrade Verifizierungs-Checkliste

Nach dem erfolgreichen Upgrade auf 8.6.0 ist eine systematische Verifizierung nötig, um sicherzustellen, dass alle Dienste und Verbindungen funktionieren.

System-Verifizierung

Web-Admin erreichbar: Login erfolgreich, alle Menüs laden korrekt.
Firmware-Version bestätigen: 8.6.0 wird in der Statusanzeige angezeigt.
Gerät-Neustart: Gerät wurde mindestens einmal sauber neu gestartet.
InControl-Verbindung: Gerät meldet sich bei InControl und zeigt Status „Online".

Netzwerk-Verifizierung

WAN-Verbindungen: Alle konfigurierten WAN-Links sind aktiv und liefern Durchsatz.
LAN-Verbindungen: Interne Netzwerke erreichbar, DHCP vergibt Adressen.
SpeedFusion-Tunnel: Alle Tunnel stehen, Latenz und Bandbreite im Normalbereich.
IPsec-Tunnel: Alle Tunnel stehen – besonders wichtig bei aktiviertem FIPS.
DNS-Auflösung: Interne und externe DNS-Auflösung funktioniert.

Sicherheits-Verifizierung

Zertifikate prüfen: im Certificate Manager — keine Warnungen zu DSA oder kurzen RSA-Schlüsseln.
FIPS-Status: Wenn FIPS aktiviert, Status grün, keine Fehlermeldungen.
VPN-PSK-Länge: Alle IPsec Preshared Keys ≥ 14 Zeichen (bei aktiviertem FIPS).
Firewall-Regeln: Alle Regeln geladen, keine fehlenden Einträge.

Zusatzkomponenten verifizieren

SIM Injector: Firmware 1.2.6 bestätigt (bei FusionSIM/RemoteSIM-Einsatz).
PrimeCare: InControl aktiv und kommunizierend.
Pepwave/AP-Verwaltung: Falls vorhanden, alle Access Points erreichbar und funktionsfähig.

Nach 24–48 Stunden

Logs prüfen: System-Log auf neu aufgetretene Fehlermeldungen durchsehen.
Performance-Monitoring: CPU- und Memory-Auslastung im Normalbereich.
WAN-Failover: Test eines WAN-Ausfalls – Failover funktioniert wie konfiguriert.
Bandbreiten-Monitoring: Keine unerwarteten Veränderungen im Datenverkehr.

Fazit

Das Upgrade auf Peplink Firmware 8.6.0 bringt Sicherheitsverbesserungen und moderne Kryptografie-Standards. Der Erfolg steht und fällt mit der Vorbereitung. Wer gestaffelte Upgrade-Pfade beachtet, FIPS- und PSK-Anforderungen prüft, veraltete Zertifikate erneuert und den Hardware-Status bezüglich Retired Models kennt, kann das Upgrade ohne Unterbrechung durchführen.

Die Post-Upgrade-Verifizierung ist ebenso wichtig – erst die systematische Checkliste gibt Gewissheit, dass alle Verbindungen funktionieren.

Handeln Sie jetzt

Als Peplink Gold Partner unterstützt Ascend Sie bei jedem Schritt:

Beratung: Welche Modelle sind betroffen? → ascend.de/loesungen/marken/peplink
Hardware: Aktuelle Peplink-Geräte → shop.ascend.de
Support: Technische Begleitung des Firmware-Upgrades.

Kontaktieren Sie unser Peplink-Team.

FAQ

1. Kann ich direkt von jeder Firmware-Version auf 8.6.0 upgraden?

Nein. Für bestimmte Modelle (BR1 Pro CAT-20, BR1 Pro 5G, BR2 Pro, alle Dome-/Transit-/B One-Modelle) ist ein gestaffeltes Upgrade erforderlich: Zuerst auf 8.5.4, dann auf 8.6.0. Für diese Modelle ist der Zwischenschritt verpflichtend — ein direkter Sprung wird nicht unterstützt.

2. Was passiert, wenn mein IPsec Preshared Key kürzer als 14 Zeichen ist und FIPS aktiviert ist?

Laut Release-Notes können bestehende IPsec-Profile mit kürzeren Keys die Verbindung dann nicht mehr aufbauen. Aktualisieren Sie die PSKs auf mindestens 14 Zeichen, bevor Sie das Upgrade fahren. Prüfen und korrigieren Sie die Keys daher vor dem Upgrade.

3. Meine Zertifikate nutzen DSA oder kurze RSA-Schlüssel – was passiert nach dem Upgrade?

Firmware 8.6.0 akzeptiert DSA-Zertifikate, kurze RSA-Schlüssel und legacy PKCS#12-Dateien nicht mehr (Peplink nennt in den Release Notes keine konkrete Bit-Grenze). Das Gerät wechselt automatisch auf ein sicheres Default-Zertifikat. Die Funktion bleibt erhalten, aber Browser zeigen eine Warnung. Erneuern Sie Ihre Zertifikate vor dem Upgrade.

4. Mein Gerät ist auf der Retired-Models-Liste – was bedeutet das?

Retired-Modelle erhalten kein Firmware-Update auf 8.6.0 und bleiben auf ihrer aktuellen Version. Sie funktionieren weiterhin, aber Sie erhalten keine neuen Funktionen, Sicherheits-Patches oder vollen Support mehr. Planen Sie mittelfristig einen Hardware-Austausch ein.

5. Muss ich den SIM Injector separat aktualisieren, wenn ich FusionSIM nutze?

Ja. Wenn Sie FusionSIM oder RemoteSIM einsetzen, muss der SIM Injector auf Firmware 1.2.6 aktualisiert werden. Führen Sie dieses Upgrade am besten im gleichen Wartungsfenster durch.

AI-Disclosure

Dieser Artikel wurde mit KI-Unterstützung recherchiert und verfasst und vor der Veröffentlichung von Ascends Peplink-zertifizierten Ingenieuren geprüft.

Upgrade auf Peplink Firmware 8.6.0: Komplette Anleitung