Sophos Firewall Logs richtig lesen: Admin-Guide für schnelle Fehleranalyse
Das Wichtigste in 30 Sekunden
IP-Adresse, Port, Benutzer, Regel und Zeitpunkt eingrenzen, bevor Einstellungen geändert werden.
Web Proxy, Web Filter oder SSL/TLS Inspection können eine Verbindung trotz „Allowed“ im Firewall-Log blockieren.
Bei NAT und MASQ liefert die Detailansicht zusätzliche Felder wie src_trans_ip.
Unter /log können einzelne Modul-Logs mit tail, grep und less untersucht werden.
VPN, NAT, Web, IPS, Authentication und DNS besitzen unterschiedliche relevante Logdateien.
Bei reproduzierbaren Problemen Live-Logs öffnen und den Vorgang anhand des Zeitstempels verfolgen.
Sophos Firewall Logs richtig lesen: Fehler schneller finden
Wenn Webseiten nicht laden, VPN-Verbindungen fehlschlagen oder eine Portweiterleitung nicht wie erwartet funktioniert, beginnt die Fehlersuche auf einer Sophos Firewall häufig bei den Logs.
Genau hier entstehen jedoch viele Missverständnisse: Ein einzelner Logeintrag zeigt nicht immer die vollständige Ursache.
Sophos Firewall stellt Event Logs für Traffic, Systemfunktionen und Network Protection bereit. Die Logs können lokal im Log Viewer angezeigt oder an Sophos Central beziehungsweise externe Syslog-Server übertragen werden.
Damit die gewünschten Ereignisse sichtbar werden, müssen die entsprechenden Logtypen unter System services → Log settings aktiviert sein.
Für Firewall-Regeln muss zusätzlich Log firewall traffic aktiviert sein. Für SSL/TLS Inspection Rules nennt Sophos die Option Log connections.
Direkt zu den wichtigsten Themen
Log Viewer: Der schnelle Einstieg
Der Log Viewer ist normalerweise der sinnvollste Ausgangspunkt für die erste Analyse.
Er wird in der Web Admin Console oben rechts über Log viewer geöffnet und erscheint in einer eigenen Ansicht.
Administratoren können dort unter anderem:
- Logmodule auswählen,
- zwischen Standard- und Detailansicht wechseln,
- Spalten ein- oder ausblenden,
- die automatische Aktualisierung pausieren,
- Logs manuell aktualisieren,
- Einträge als CSV exportieren,
- nach Zeit, Modul und Feld/Wert filtern,
- nach IP-Adresse, Port, Benutzer oder Regel suchen.
Warum die Detailansicht wichtig ist
Gerade bei NAT- und MASQ-Problemen reicht die Standardansicht nicht immer aus.
Sophos weist darauf hin, dass bei übersetzten Quelladressen in der Standardansicht die MASQ-Adresse als ausgehende Adresse erscheinen kann.
Die tatsächlich übersetzte Quelladresse lässt sich in der Detailansicht beispielsweise über das Feld src_trans_ip nachvollziehen.
Eine Portweiterleitung funktioniert nicht wie erwartet. Prüfen Sie nicht nur, ob die Firewall-Regel greift, sondern zusätzlich NAT-Regel, übersetzte Adressen und die Detailfelder des Logeintrags.
Wann Sessions geloggt werden
Nicht jede Verbindung erscheint automatisch so im Log, wie man es zunächst erwartet.
Sophos beschreibt, dass Firewall-Regeln Sessions unter anderem dann protokollieren, wenn die Firewall ein Connection-Destroy-Ereignis erhält und die Verbindung beendet wird.
Wird eine Verbindung beendet, ohne dass die Firewall ein entsprechendes Ereignis erhält – beispielsweise durch den Verlust einer Internetverbindung – kann ein erwarteter abschließender Session-Eintrag fehlen.
SSL/TLS-Verbindungen werden nach abgeschlossenem Handshake und beim Schließen der Verbindung protokolliert.
Log Viewer oder CLI?
| Bereich | Log Viewer | CLI / Advanced Shell |
|---|---|---|
| Zweck | Schnelle Analyse von Event Logs | Detaillierte Analyse einzelner Logdateien |
| Zugriff | Web Admin Console | CLI → Device Management → Advanced Shell |
| Nutzung | Filter nach IP, Port, Benutzer, Regel und Modul | tail, grep, less und Debugging |
| Stärke | Übersicht und schnelle Eingrenzung | Tiefe technische Analyse |
| Ausgabe | Event Logs und CSV | Logdateien unter /log |
Sophos Firewall CLI & Advanced Shell
Wenn der Log Viewer die Ursache nicht ausreichend erklärt, kann die CLI für eine detailliertere Analyse verwendet werden.
Zugriff auf die CLI
Sophos beschreibt den Zugriff lokal über die Konsole oder remote über das Netzwerk.
Für SSH muss unter Administration → Device access → Local service ACL der SSH-Zugriff für die benötigte Zone aktiviert sein.
Für die CLI Console innerhalb der Web Admin Console muss HTTPS für die entsprechende Zone erlaubt sein.
Laut Sophos werden inaktive SSH-Sitzungen nach 15 Minuten geschlossen.
Advanced Shell und Logverzeichnis
Für Troubleshooting-Logs beschreibt Sophos folgenden Weg:
- CLI öffnen
- 5 Device Management auswählen
- 3 Advanced Shell öffnen
- mit cd /log in das Logverzeichnis wechseln
Typische Befehle:
tail -f ips.log
grep error ips.log
less ips.log
tail -f ips.log | grep 10.10.10.10
Mit tail -f können neue Einträge live verfolgt werden. grep hilft beim Filtern nach IP-Adressen, Fehlern oder anderen Zeichenfolgen.
Dienste im Debug-Modus
Für tiefere Analysen stehen außerdem dienstbezogene Diagnosebefehle zur Verfügung.
service -S | grep ips
Typische Log-Meldungen richtig einordnen
„Allowed“ bedeutet nicht immer vollständig erlaubt
Besonders bei Web-Traffic auf Port 80 und 443 kann ein Firewall-Log zunächst irreführend wirken.
Traffic kann von der Firewall-Regel zunächst zugelassen und anschließend an weitere Komponenten übergeben werden.
Dadurch kann im Firewall-Log Allowed stehen, während beispielsweise der Web Filter denselben Zugriff anschließend blockiert.
Firewall-Regel → Web Filter → SSL/TLS Inspection → gegebenenfalls IPS/Application Control.
Dropped und Rejected unterscheiden
Bei Drop wird das betreffende Paket verworfen.
Bei Reject wird die Verbindung beziehungsweise das Paket aktiv zurückgewiesen.
Auch hier muss berücksichtigt werden, welche Sophos-Firewall-Komponente die eigentliche Entscheidung getroffen hat.
Invalid Traffic im Kontext bewerten
Sophos Firewall verwendet Connection Tracking.
Kann ein Paket keiner bestehenden beziehungsweise erwarteten Verbindung zugeordnet werden, kann es als Invalid Traffic Event protokolliert werden.
Sophos weist außerdem darauf hin, dass beispielsweise bestimmte TCP-RST- oder TCP-FIN-Pakete verworfen und als Invalid Traffic protokolliert werden können.
Wichtige Sophos Firewall Logdateien
Sophos stellt eine umfangreiche Übersicht der Troubleshooting-Logdateien bereit. Zusätzlich zu einem spezifischen Modul-Log können allgemeine System- und Konfigurationslogs relevant sein.
| Bereich | Relevante Logdateien |
|---|---|
| Verbindungen | fwlog.log |
| Firewall-Regeln | firewall_rule.log |
| NAT-Regeln | nat_rule.log |
| DNAT / Gateway | dgd.log |
| IPS / Application / ATR | ips.log, appcached.log, sig_upgrade.log |
| Web-Kategorisierung | nSXLd.log, catUpdateLog |
| SSL/TLS Inspection / DPI | ips.log, httplogd.log |
| Web Proxy | awarrenhttp.log, awarrenhttp_access.log |
| IPsec VPN | strongswan.log, ipsec_monitor.log, charon.log, /log/ipsec_conn/ipsec_.log |
| SSL VPN | sslvpn.log, openvpn-status0.log |
| Authentication | access_server.log |
| Netzwerk / Interfaces | networkd.log |
| DHCP / DNS | dhcpd.log, dhcpd6.log, dnsd.log |
| System / Konfiguration | syslog.log, applog.log, csc.log, postgres.log |
VPN-Logs
Für IPsec VPN verwendet Sophos Firewall laut Dokumentation strongSwan.
Zu den relevanten Dateien gehören unter anderem strongswan.log, ipsec_monitor.log, charon.log sowie verbindungsspezifische Logs unter /log/ipsec_conn/.
Für SSL VPN nennt Sophos unter anderem sslvpn.log und openvpn-status0.log.
Web- und SSL/TLS-Probleme
Bei Webproblemen sind häufig mehrere Logs gleichzeitig relevant.
Je nach Verarbeitungspfad können unter anderem nSXLd.log, ips.log, httplogd.log, awarrenhttp.log und awarrenhttp_access.log relevant sein.
Configuration Viewer als Ergänzung
Logs beantworten vor allem die Frage: Was ist passiert?
Der Configuration Viewer hilft dagegen, die dahinterliegende Konfiguration zu verstehen.
Er kann unter anderem:
- Regeln, Policies und Einstellungen lesbar darstellen,
- zwei Konfigurationen vergleichen,
- hinzugefügte, entfernte oder geänderte Objekte hervorheben,
- Objektverwendungen anzeigen,
- Reports als HTML exportieren.
Für die Analyse wird die Datei Entities.xml aus der Firewall exportiert.
Weitere Neuerungen bei Analyse und Konfigurationsvergleich behandelt unser Artikel zu Sophos Firewall v22 MR1 .
Troubleshooting-Workflow für Administratoren
1. Problem exakt eingrenzen
Vor der Logsuche sollten mindestens diese Informationen bekannt sein:
- Welche Quell-IP ist betroffen?
- Welche Ziel-IP oder Domain wird angesprochen?
- Welcher Port wird verwendet?
- Welches Protokoll wird genutzt?
- Wann ist der Fehler aufgetreten?
- Welcher Benutzer ist betroffen?
- Betrifft das Problem einen Client, ein Netzwerk oder mehrere Standorte?
2. Log Viewer prüfen
Beginnen Sie mit dem passenden Zeitraum und filtern Sie anschließend nach:
- Modul,
- Quell-IP,
- Ziel-IP,
- Port,
- Benutzer,
- Firewall-Regel.
Ziel ist zunächst nicht, den Fehler sofort zu beheben, sondern die beteiligte Komponente zu identifizieren.
3. Passende Logdatei bestimmen
| Fehlerbild | Zuerst prüfen |
|---|---|
| Webseite blockiert | Web Filter, Firewall, SSL/TLS Inspection |
| HTTPS-Seite lädt nicht | SSL/TLS Inspection, Web Filter, Firewall |
| VPN-Tunnel verbindet nicht | IPsec- beziehungsweise SSL-VPN-Logs |
| Benutzer kann sich nicht anmelden | Authentication, access_server.log |
| Portweiterleitung funktioniert nicht | Firewall, NAT, nat_rule.log, gegebenenfalls dgd.log |
| DNS-Problem | dnsd.log, Firewall Log, gegebenenfalls Web Filter |
| IPS / Application Control blockiert | ips.log, appcached.log |
4. Fehler reproduzieren und Live-Log verwenden
Ist der Fehler reproduzierbar, kann die passende Logdatei live verfolgt werden.
tail -f <logfilename>.log
Anschließend wird der betroffene Vorgang erneut ausgeführt – beispielsweise ein Webseitenaufruf, der Aufbau des VPN-Tunnels oder der Zugriff auf einen veröffentlichten Dienst.
Besonders wichtig ist dabei der exakte Zeitstempel.
5. Konfiguration prüfen
Verweist das Log auf eine bestimmte Regel, Policy, Schnittstelle oder ein Objekt, sollte anschließend die tatsächliche Konfiguration geprüft werden.
Erst an diesem Punkt sollten Änderungen an produktiven Regeln vorgenommen werden.
1. Log Viewer: Welche Regel, Policy oder Aktion ist sichtbar?
2. CLI / Modul-Log: Welche Komponente ist technisch beteiligt?
3. Konfiguration: Welche Regel, Policy oder welches Objekt steckt dahinter?
4. Erst danach ändern: Konfiguration gezielt korrigieren und anschließend erneut testen.
Häufige Fragen zu Sophos Firewall Logs
Warum zeigt das Firewall-Log „Allowed“, obwohl die Webseite blockiert wird?
Weil die Firewall-Regel den Traffic zunächst zulassen kann, während eine nachgelagerte Komponente wie Web Filter oder SSL/TLS Inspection den Zugriff anschließend blockiert.
Warum sehe ich eine Verbindung nicht im Log?
Nicht jede Session erzeugt unter allen Umständen den erwarteten abschließenden Logeintrag. Das kann beispielsweise bei Verbindungsabbrüchen eine Rolle spielen.
Wann sollte ich die Advanced Shell verwenden?
Wenn der Log Viewer das Problem bereits auf einen bestimmten Dienst oder ein Modul eingegrenzt hat und eine detailliertere Analyse der Logdateien notwendig ist.
Welches Log brauche ich für IPsec VPN?
Zu den relevanten Dateien gehören unter anderem strongswan.log, ipsec_monitor.log und charon.log.
Welches Log ist bei Authentifizierungsproblemen wichtig?
Für Authentifizierungsprobleme ist unter anderem access_server.log relevant.
Sollte ich bei einem Fehler sofort die Firewall-Regel ändern?
Nein. Sinnvoller ist es, zunächst den Verarbeitungspfad über Logs einzugrenzen und erst danach die betreffende Konfiguration gezielt anzupassen.
Fazit: Erst Logs verstehen, dann konfigurieren
Sophos Firewall Logs sind ein zentrales Werkzeug für Administratoren und Support-Teams.
Entscheidend ist jedoch, einzelne Einträge nicht isoliert zu betrachten.
- Der Log Viewer liefert den schnellen Überblick.
- Die Detailansicht zeigt zusätzliche Felder und NAT-Informationen.
- Die CLI ermöglicht eine tiefe Analyse der Modul-Logs.
- Der Configuration Viewer hilft, Logs mit der tatsächlichen Konfiguration abzugleichen.
- Ein reproduzierbarer Fehler sollte anhand von Zeitstempel, Quelle, Ziel und Port untersucht werden.
Wer Log Viewer, CLI und Konfigurationsanalyse kombiniert, findet Fehler meist schneller und vermeidet Änderungen auf Verdacht.
Weiterführende Sophos-Firewall-Artikel
Technische Änderungen und bekannte Fallstricke. SFOS v22 MR1
NDR, VPN-Fixes, Config Studio und Upgrade-Hinweise. SFOS v23 EAP
REST API, AI Firewall Assistant, HA, DNS, WAF und weitere Neuerungen.
Passende Sophos-Produkte & Services im UTMshop
Aktuelle Sophos-Firewall-Appliances für Unternehmen. Sophos Firewall
Hardware, Lizenzen und Lösungen im Überblick. Sophos XGS Health Check
Strukturierte Prüfung Ihrer Firewall-Konfiguration.
Quellen & weitere Recherche
- Sophos Firewall: Log settings
- Sophos Firewall: Log Viewer
- Sophos Firewall: Log behavior for web traffic
- Sophos Firewall: Invalid traffic events
- Sophos Firewall: Accessing Command Line Console
- Sophos Firewall: Commands for troubleshooting logs
- Sophos Firewall: Log files for troubleshooting
- Sophos Firewall: Configuration Viewer
Unterstützung bei Sophos Firewall Troubleshooting
Benötigen Sie Unterstützung bei der Analyse von Firewall-Logs, VPN-Problemen, Webfilter- oder SSL/TLS-Meldungen, NAT-Regeln oder komplexeren Sophos-Firewall-Konfigurationen?
Unser technisches Team unterstützt Sie bei der strukturierten Eingrenzung und Fehleranalyse.
Kontakt
Zertifizierung:
- Sophos MDR Sales Consultant
- Sophos Firewall Sales Consultant
- Sophos Central Sales Consultant
- Sophos Central Engineer
- Sophos Central Technician
- Sophos Central Architect
- Sophos Firewall Engineer
- Sophos Firewall Technician
- Sophos Firewall Architect