Actualización a Peplink Firmware 8.6.0: guía completa

Peplink Firmware 8.6.0 ya está disponible, y con ella cambios que los administradores TI deben conocer. Esta guía de actualización de firmware Peplink le conduce por todo el proceso: requisitos de actualización escalonada, cambios de FIPS y certificados, así como la verificación posterior a la actualización.

Como Peplink Gold Partner, Ascend le apoya con conocimientos certificados.

Ascend es Peplink Gold Partner. Asesoramiento, soporte y equipos los encuentra en ascend.de/es/loesungen/marken/peplink y en shop.ascend.de.

No todos los dispositivos pueden actualizarse directamente a la 8.6.0. Para un grupo determinado es necesaria una actualización escalonada: primero a la 8.5.4, y después a la 8.6.0.

Modelos afectados por la actualización escalonada

Los siguientes dispositivos deben recorrer la ruta → 8.5.4 → 8.6.0:

• Familia de producto: MAX (serie BR) · Modelos afectados: BR1 Pro (CAT-20), BR1 Pro 5G, BR2 Pro
• Familia de producto: Dome · Modelos afectados: todos los modelos Dome
• Familia de producto: Transit · Modelos afectados: todas las gamas Transit
• Familia de producto: B One · Modelos afectados: todos los modelos B One

¿Por qué la actualización escalonada?

Peplink exige expresamente el paso intermedio para estos grupos de modelos; las release notes no dan una justificación técnica detallada. En concreto, para la práctica significa: estos equipos no pueden actualizarse directamente a la 8.6.0; la actualización pasa por la 8.5.4.

Consejo práctico

En la práctica ha demostrado su valor esperar tras la actualización a la 8.5.4 hasta que todos los dispositivos hayan completado el reinicio y se hayan registrado en InControl, y solo entonces iniciar la actualización a la 8.6.0. (Recomendación propia de trabajo, no una directiva oficial de Peplink.)

La Firmware 8.6.0 endurece los requisitos para las Preshared Keys IPsec (PSK) cuando el modo FIPS está activado. Este cambio corresponde a las mejores prácticas actuales para operaciones criptográficas.

La regla

Con FIPS activado, todas las Preshared Keys IPsec deben tener al menos 14 caracteres.

Lo que debe comprobar antes de la actualización

1. Comprobar el estado FIPS: en los ajustes FIPS del Web Admin.
2. Inventariar los túneles IPsec: en los ajustes IPsec.
3. Comprobar la longitud de las PSK: cada Preshared Key con al menos 14 caracteres.
4. Actualizar antes de la actualización: cambiar las PSK demasiado cortas antes de actualizar.

¿Qué ocurre si no se cumple?

Si hay una PSK demasiado corta y FIPS está activado, el túnel IPsec afectado podría no poder establecerse tras la actualización. La actualización en sí se realiza, pero la conectividad VPN queda interrumpida hasta corregir la PSK.

Recomendación

Aproveche la actualización como ocasión para elevar sus PSK a 20-32 caracteres. Genere nuevas claves con un gestor de contraseñas o un generador de aleatoriedad criptográficamente seguro.

La Firmware 8.6.0 moderniza la gestión de certificados. Los formatos antiguos e inseguros dejan de aceptarse, especialmente en equipos que llevan años en servicio y cuyos certificados nunca se han actualizado.

Lo que deja de aceptarse

• Tipo de certificado: DSA (Digital Signature Algorithm) · Estado en 8.6.0:** ya no aceptado
• Tipo de certificado: claves RSA cortas · Estado en 8.6.0: ya no aceptado
• Tipo de certificado: PKCS#12 heredado (formatos antiguos) · Estado en 8.6.0:** ya no aceptado

Auto-fallback al certificado predeterminado seguro

Si un dispositivo detecta tras la actualización que el certificado configurado no cumple los requisitos, actúa un auto-fallback: el equipo cambia automáticamente a un certificado predeterminado seguro. Eso significa:

• La función se conserva: Web Admin y VPN siguen accesibles.
• Avisos del navegador: según el tipo de certificado del certificado de reemplazo, los navegadores pueden mostrar un aviso.
• Los socios VPN deben en su caso aceptar el nuevo certificado si se emplea certificate pinning.

Checklist antes de la actualización

• Inventariar todos los certificados importados (Certificate Manager).
• Comprobar la longitud de las claves RSA: recomendación propia de trabajo: al menos 2048 bits, idealmente 4096 bits.
• Sustituir los certificados basados en DSA por certificados RSA o ECDSA.
• Reexportar los archivos PKCS#12 (con una versión moderna de OpenSSL).
• Para certificados de confianza externa: usar Let's Encrypt o una CA comercial.
• Probar los túneles SpeedFusion con autenticación por certificados.

FusionSIM y RemoteSIM

Si utiliza FusionSIM o RemoteSIM, el SIM Injector debe actualizarse a la Firmware 1.2.6. De lo contrario, la comunicación entre el dispositivo Peplink y el SIM Injector podría verse perturbada.

PrimeCare

Para los clientes PrimeCare rige: InControl debe estar activado. Asegúrese de que el dispositivo esté registrado en InControl y comunique activamente antes de iniciar la actualización.

Con la Firmware 8.6.0 se retiran numerosas revisiones de hardware antiguas (retired). Estos dispositivos no reciben la actualización a la 8.6.0; Peplink como mucho les seguirá proporcionando actualizaciones de mantenimiento de la línea 8.5.x. Siguen funcionando, pero no reciben ni las funcionalidades de la 8.6.0 ni sus mejoras de seguridad.

Balance: modelos retirados

• Modelo: Balance 30 LTE · Revisiones HW: HW1
• Modelo: Balance 30 Pro · Revisiones HW: HW1
• Modelo: Balance 210 · Revisiones HW: HW4, HW5
• Modelo: Balance 310 · Revisiones HW: HW4
• Modelo: Balance One · Revisiones HW: HW1, HW2, HW3
• Modelo: Balance One Core · Revisiones HW: HW1

MAX: modelos retirados

• Modelo: MAX 700 · Revisiones HW: HW3, HW4
• Modelo: MAX BR1 ENT · Revisiones HW: HW1, HW2
• Modelo: MAX HD1 Dome · Revisiones HW: HW1
• Modelo: MAX HD2 · Revisiones HW: HW5, HW6
• Modelo: MAX HD2 Dome · Revisiones HW: HW1
• Modelo: MAX HD2 IP67 · Revisiones HW: HW2, HW3, HW4, HW5
• Modelo: MAX HD2 Mini · Revisiones HW: HW1, HW2, HW3, HW4
• Modelo: MAX HD2 con MediaFast · Revisiones HW: HW1, HW2, HW3, HW4
• Modelo: MAX HD4 · Revisiones HW: HW1, HW2, HW3, HW4, HW5
• Modelo: MAX HD4 IP67 · Revisiones HW: HW1
• Modelo: MAX HD4 con MediaFast · Revisiones HW: HW1, HW2, HW3, HW4
• Modelo: MAX Transit · Revisiones HW: HW1, HW2, HW3
• Modelo: MAX Transit 5G · Revisiones HW: HW2, HW3
• Modelo: MAX Transit Core · Revisiones HW: HW1
• Modelo: MAX Transit Duo · Revisiones HW: HW1, HW2, HW3
• Modelo: MAX Transit Duo Pro E · Revisiones HW: HW1
• Modelo: MAX Transit Pro E · Revisiones HW: HW1

MediaFast y SpeedFusion Engine: modelos retirados

• Modelo: MediaFast 200 · Revisiones HW: HW1, HW3
• Modelo: SpeedFusion Engine (SFE) CAM · Revisiones HW: HW1

¿Qué significa «retirado» en la práctica?

Un modelo retirado no recibe más actualizaciones de firmware:

• Sin parches de seguridad para vulnerabilidades recién descubiertas.
• Sin funciones nuevas de futuras versiones de firmware.
• Soporte limitado: el soporte de Peplink solo puede ayudar de forma restringida.

Recomendación de actuación

Planifique a medio plazo una sustitución de hardware. Modelos actuales como BR1 Pro 5G, Transit Duo o la serie B One ofrecen mejoras considerables.

Tras la actualización correcta a la 8.6.0 se necesita una verificación sistemática para asegurarse de que todos los servicios y conexiones funcionan.

Verificación del sistema

• Web Admin accesible: inicio de sesión correcto, todos los menús cargan correctamente.
• Confirmar la versión de firmware: la 8.6.0 aparece en la pantalla de estado.
• Reinicio del equipo: el equipo se ha reiniciado limpiamente al menos una vez.
• Conexión a InControl: el equipo se registra en InControl y muestra el estado «Online».

Verificación de la red

• Conexiones WAN: todos los enlaces WAN configurados están activos y entregan rendimiento.
• Conexiones LAN: las redes internas son alcanzables, DHCP asigna direcciones.
• Túneles SpeedFusion: todos los túneles establecidos, latencia y ancho de banda en rango normal.
• Túneles IPsec: todos los túneles establecidos; especialmente importante con FIPS activado.
• Resolución DNS: la resolución DNS interna y externa funciona.

Verificación de seguridad

• Revisar certificados: en el Certificate Manager, sin avisos de DSA o claves RSA cortas.
• Estado FIPS: con FIPS activado, estado en verde, sin mensajes de error.
• Longitud de PSK VPN: todas las Preshared Keys IPsec ≥ 14 caracteres (con FIPS activado).
• Reglas de firewall: todas las reglas cargadas, sin entradas ausentes.

Verificar componentes adicionales

• SIM Injector: Firmware 1.2.6 confirmada (con uso de FusionSIM/RemoteSIM).
• PrimeCare: InControl activo y comunicando.
• Gestión Pepwave/AP: si está presente, todos los puntos de acceso alcanzables y operativos.

Tras 24-48 horas

• Revisar logs: repasar el registro del sistema en busca de mensajes de error nuevos.
• Monitoreo de rendimiento: uso de CPU y memoria en rango normal.
• Failover WAN: prueba de una caída WAN: el failover funciona como está configurado.
• Monitoreo de ancho de banda: sin cambios inesperados en el tráfico de datos.

La actualización a Peplink Firmware 8.6.0 aporta mejoras de seguridad y estándares criptográficos modernos. El éxito se juega en la preparación. Quien respete las rutas de actualización escalonada, compruebe los requisitos de FIPS y PSK, renueve los certificados desactualizados y conozca el estado del hardware respecto a los modelos retirados puede realizar la actualización sin interrupciones.

La verificación posterior a la actualización es igual de importante: solo la checklist sistemática da la certeza de que todas las conexiones funcionan.

Actúe ahora

Como Peplink Gold Partner, Ascend le apoya en cada paso:

• Asesoramiento: ¿qué modelos están afectados? → ascend.de/es/loesungen/marken/peplink
• Hardware: equipos Peplink actuales → shop.ascend.de
• Soporte: acompañamiento técnico de la actualización del firmware.

Contacte con nuestro equipo de Peplink.

Este artículo ha sido investigado y redactado con apoyo de inteligencia artificial y revisado antes de su publicación por los ingenieros de Ascend certificados en Peplink.