Sophos Central: Agent-Offline-, Health- und Heartbeat-Probleme im Überblick
In Sophos Central markierte Geräte gelten als „offline“, „nicht verwaltet“ oder zeigen einen kritischen Health-Status, wenn der lokale Agent keine Statusdaten mehr übermittelt. Typische Meldungen sind „Gerät grau/offline“, fehlende Heartbeat-Informationen oder Endpoints, die in Sophos Central sichtbar sind, aber seit längerer Zeit keinen Kontakt mehr hatten.
Häufige Ursachen sind Netzwerk- und Proxy-Probleme, blockierte Cloud-Kommunikation durch Firewalls, veraltete oder beschädigte Agent-Installationen sowie Systeme, die ihre Registrierung oder Identität in Sophos Central „verloren“ haben. Typische Situationen reichen von in Central als nicht verwaltet gekennzeichneten Sophos Endpoints über ausgefallene oder als „down“ gemeldete Heartbeat-Verbindungen bis hin zu Clients, die zwar laufen, ihren Status aber nicht mehr an Sophos Central melden. Diese Anleitung bietet strukturierte Prüfpunkte, um solche Health- und Heartbeat-Probleme Schritt für Schritt einzugrenzen.
„Gerät offline“ oder „nicht verwaltet“ in Sophos Central
Wenn Endpoints in Sophos Central als „offline“, „nicht verwaltet“ oder grau markiert werden, besteht seit einiger Zeit keine erfolgreiche Kommunikation mehr zwischen Agent und Cloud. Wichtig ist zunächst zu klären, ob das Gerät tatsächlich ausgeschaltet oder außer Betrieb ist oder ob ein technisches Problem vorliegt.
Typische Symptome
- Geräte erscheinen in der Übersicht dauerhaft grau oder mit Status „offline/nicht verwaltet“
- Letzter Kontakt in Sophos Central liegt Tage oder Wochen zurück
- Auf dem Endpoint wirkt der lokale Agent aktiv, Sophos Central zeigt jedoch keinen aktuellen Health-Status
- Einzelne Standorte oder Netzsegmente sind stärker betroffen als andere
Analyse und Eingrenzung
- Prüfung, ob das Gerät tatsächlich läuft, eine funktionierende Internetverbindung besitzt und sich im produktiven Netzwerksegment befindet
- Kontrolle des lokalen Sophos-Status (Tray-Icon, Dienste, Log-Dateien), um eine gestörte Agent-Installation auszuschließen
- Vergleich von Geräten im gleichen Netz: sind alle offline oder nur einzelne Systeme betroffen
- Abgleich, ob kürzlich Änderungen an Proxy-, Firewall- oder DNS-Konfigurationen vorgenommen wurden
Konkrete Maßnahmen bei „Gerät offline“
- Auf dem Endpoint prüfen, ob alle relevanten Sophos-Dienste laufen und Fehlermeldungen in den lokalen Logs sichtbar sind.
- Netzwerkverbindung und Namensauflösung testen (z. B. Ping und DNS-Resolution für Sophos-Cloud-Adressen, Browser-Test zu Central-URLs).
- Falls nur einzelne Geräte betroffen sind, lokal eine Reparatur oder Neuinstallation des Sophos-Agents durchführen.
- Wenn ein ganzes Netzsegment betroffen ist, Firewall- und Proxy-Regeln auf blockierte Sophos-Cloud-Kommunikation prüfen.
- Nach Korrekturen Endpoints kurz neu starten oder Dienste neu starten und in Sophos Central die Aktualisierung des Status beobachten.
Sophos Heartbeat „down“ oder nicht verfügbar
Der Sophos Heartbeat zeigt den Sicherheitsstatus zwischen Endpoint und Firewall an und wird in zentralen Richtlinien genutzt. Fällt die Heartbeat-Verbindung aus, können Richtlinien greifen, die Traffic einschränken oder Verbindungen blockieren.
Typische Symptome
- Endpoints werden in der Sophos-Firewall mit Heartbeat-Status „red“ oder „lost“ angezeigt
- Regeln, die Heartbeat-Informationen nutzen, blockieren plötzlich Verkehr für bestimmte Systeme
- In Sophos Central erscheinen Endpoints zwar, melden aber keinen gültigen Heartbeat zur Firewall
Analyse und Eingrenzung
- Prüfung, ob Endpoint und Sophos Firewall die benötigten Versionen und Lizenzen für Heartbeat unterstützen
- Kontrolle der Netzwerkpfade vom Endpoint zur Firewall (z. B. VLANs, VPN, WAN-Übergänge)
- Überprüfung von TLS-/SSL-Inspection, die Heartbeat-Kommunikation beeinträchtigen könnte
- Abgleich, ob nur einzelne Clients oder bestimmte Subnetze betroffen sind
Konkrete Maßnahmen bei Heartbeat-Problemen
- Versionen und Lizenzen in Sophos Central und auf der Firewall prüfen, um sicherzustellen, dass Heartbeat zwischen beiden Komponenten unterstützt wird.
- Firewall- und Routing-Konfiguration kontrollieren, damit Heartbeat-Verkehr nicht durch zusätzliche NAT- oder VPN-Szenarien unterbrochen wird.
- SSL-/TLS-Inspection-Regeln prüfen und Heartbeat-Kommunikation bei Bedarf von Decryption ausnehmen.
- Auf betroffenen Endpoints Agent-Status und Logs prüfen, ob Heartbeat-spezifische Fehler aufgeführt sind.
- Nach Anpassungen Heartbeat-abhängige Richtlinien zunächst in einem weniger restriktiven Modus betreiben, bis die Stabilität bestätigt ist.
Agent-Kommunikationsprobleme durch Proxy, Firewall und DNS
Kommunikationsprobleme zwischen Endpoint-Agent und Sophos Central gehören zu den häufigsten Ursachen für offline gemeldete Geräte. Proxy-Konfiguration, Firewall-Regeln oder DNS-Probleme verhindern, dass Agents ihre Statusinformationen an die Cloud übermitteln.
Typische Symptome
- Agent ist lokal aktiv, Sophos Central zeigt aber keinen aktuellen Status oder keine neuen Events
- Mehrere Endpoints eines Standorts sind gleichzeitig betroffen, andere Standorte nicht
- Logs enthalten Hinweise auf Verbindungsfehler, Proxy-Authentifizierungsprobleme oder DNS-Fehler
Analyse und Eingrenzung
- Prüfung der Proxy-Einstellungen auf dem Endpoint und in Richtlinien (manuelle Konfiguration, PAC, GPO)
- Test der Verbindung zu Sophos-Cloud-Domains mit Bordmitteln (Browser, PowerShell, Curl)
- Kontrolle der Firewall-Regeln zwischen Endpoints, Proxy und Internet, inklusive SSL-Inspection
- DNS-Auflösung für relevante Sophos-Domains prüfen und mit einem funktionierenden Referenzsystem vergleichen
Konkrete Maßnahmen bei Kommunikationsproblemen
- Benötigte Sophos-Domains und Ports in Firewall- und Proxy-Konfiguration freigeben, inklusive Ausnahmen für SSL-Inspection, falls erforderlich.
- Proxy-Authentifizierungsmechanismen so konfigurieren, dass Systemdienste und Agents stabil arbeiten können.
- DNS-Konfiguration auf Endpoints und im Netzwerk prüfen und inkonsistente Zonen oder Resolver korrigieren.
- Bei komplexen Proxy-Umgebungen testweise einen Endpoint ohne Proxy anbinden, um Umwelteinflüsse abzugrenzen.
- Nach Anpassungen Logs auf neue Verbindungen und erfolgreiche Status-Updates in Sophos Central kontrollieren.
Veraltete oder defekte Endpoint-Agents
Veraltete Agent-Versionen oder beschädigte Installationen können dazu führen, dass ein Endpoint zwar sichtbar ist, aber keine aktuellen Daten liefert oder Health-Informationen nicht mehr zuverlässig überträgt.
Typische Symptome
- Agent-Version auf dem Endpoint entspricht nicht mehr dem in Sophos Central erwarteten Stand
- Agents reagieren nicht auf Richtlinienänderungen oder führen keine geplanten Aufgaben aus
- Lokale Logs weisen auf fehlgeschlagene Updates oder beschädigte Komponenten hin
Analyse und Eingrenzung
- Vergleich der auf dem Endpoint installierten Version mit der in Sophos Central hinterlegten aktuellen Version
- Prüfung der Update-Historie auf Fehlermeldungen oder abgebrochene Aktualisierungen
- Kontrolle der lokalen Dienste und Treiber, ob diese wie erwartet laufen
Konkrete Maßnahmen bei veralteten oder defekten Agents
- Manuelles Triggern eines Updates aus Sophos Central oder lokal auf dem Endpoint anstoßen und den Verlauf prüfen.
- Bei wiederholtem Fehlschlag eine Reparaturinstallation des Agents durchführen, falls vorgesehen.
- Wenn Reparatur nicht möglich ist, Agent sauber deinstallieren, System neu starten und einen aktuellen Agent von Sophos Central neu installieren.
- Nach Neuinstallation prüfen, ob das Gerät in Sophos Central korrekt erscheint, Richtlinien angewendet werden und Health-Status aktuell ist.
Re-Registration von Endpoints in Sophos Central
In manchen Fällen ist die Registrierung eines Endpoints in Sophos Central inkonsistent, etwa nach Klonvorgängen, Image-Rollouts oder Tenant-Wechseln. Dann ist eine saubere Re-Registration erforderlich.
Typische Symptome
- Mehrere Geräte teilen sich scheinbar dieselbe Identität in Sophos Central
- Ein Endpoint erscheint in einem falschen Tenant oder in einer nicht mehr genutzten Umgebung
- Health-Status und Richtlinien passen nicht zu dem tatsächlich betriebenen System
Analyse und Eingrenzung
- Prüfung, ob das System aus einem geklonten Image stammt, auf dem Agent-Identitäten nicht zurückgesetzt wurden
- Kontrolle, in welchem Tenant und unter welcher Kennung der Endpoint in Sophos Central geführt wird
- Abgleich von Hostname, Seriennummer oder weiteren Identifikationsmerkmalen
Konkrete Maßnahmen zur Re-Registration
- Endpoint-Installation mit den von Sophos empfohlenen Schritten entfernen, inklusive Rücksetzen der Agent-Identität, falls erforderlich.
- System neu starten, um verbliebene Treiber und Dienste sauber zu entladen.
- Neues Installationspaket aus dem korrekten Sophos-Central-Tenant herunterladen und auf dem Endpoint ausführen.
- In Sophos Central prüfen, ob der Endpoint nun als eigener Eintrag mit korrekten Richtlinien und Health-Status erscheint.
- Für Image-basierte Rollouts ein standardisiertes Verfahren zum Vorbereiten der Referenzsysteme etablieren, damit Agent-Identitäten nicht dupliziert werden.
Typische Agent-Health-Muster und Priorisierung
Viele Meldungen zu „Agent offline“, „nicht verwaltet“ oder fehlender Heartbeat-Verbindung lassen sich in wiederkehrende Muster einordnen. Eine klare Priorisierung hilft, die kritischen Fälle zuerst zu bearbeiten und gleichzeitig strukturelle Ursachen im Netzwerk oder in Richtlinien zu erkennen.
Häufige Muster
- Einzelne Geräte mit defektem oder veraltetem Agent im ansonsten stabilen Umfeld
- Standort- oder segmentspezifische Ausfälle durch Proxy-, Firewall- oder DNS-Änderungen
- Heartbeat-Probleme in Kombination mit neuen Richtlinien auf der Firewall
- Geklonte Systeme mit identischen Agent-Identitäten nach Image-Rollouts
Empfohlene Vorgehensweise
- Agent-Health-Meldungen nach Standorten, Netzsegmenten und Gerätetypen clustern, um Muster zu erkennen.
- Zuerst strukturelle Ursachen (Netzwerk, Proxy, Firewall, DNS) adressieren, bevor einzelne Endpoints aufwendig neu installiert werden.
- Für verbleibende Einzelfälle standardisierte Schritte zur Reparatur, Neuinstallation und Re-Registration definieren.
- Ergebnisse und wiederkehrende Ursachen dokumentieren, um zukünftige Rollouts und Änderungen besser abzustimmen.
Lösung nicht gefunden? Wir helfen gerne weiter
Viele Agent-Offline-, Health- und Heartbeat-Probleme lassen sich durch strukturierte Analyse von Netzwerkpfaden, Richtlinien und Agent-Installationen beheben. In Umgebungen mit mehreren Standorten, komplexen Proxy-Strukturen oder gemischten Rollout-Methoden bleiben jedoch oft Detailfragen offen. Der Professional Service von Firewalls24 unterstützt bei der Ursachenanalyse, beim Design stabiler Kommunikationspfade und bei der Planung standardisierter Rollout- und Re-Registration-Prozesse. Über das Kontaktformular kann unkompliziert Kontakt zu unserem Professional Service aufgenommen werden.
