Sophos Firewall: VPN- und Remote-Access-Probleme im Überblick
SSL VPN, Sophos Connect und IPsec-Tunnel sind zentrale Bausteine für Remote Access mit Sophos Firewalls. In der Praxis treten jedoch immer wieder ähnliche Fehlerbilder auf: Verbindungen kommen nicht zustande, VPN-Clients melden „authentication failed“, Tunnel gehen sporadisch auf „down“ oder Benutzer verlieren in kurzen Abständen die Verbindung.
Häufige Ursachen reichen von fehlerhaften Benutzer- und Gruppen-Zuordnungen über nicht passende VPN-Profile und IPsec-Parameter bis hin zu MTU- und Performance-Themen auf der Leitung. Dieser Leitfaden bündelt typische Szenarien und liefert strukturierte Prüfpunkte, um Probleme systematisch einzugrenzen und zu beheben.
SSL VPN und Sophos Connect verbinden nicht
Bei Remote-Access über SSL VPN und Sophos Connect treten gelegentltich Probleme beim Verbindungsaufbau auf. Typische Meldungen reichen von „Authentication failed“ über „No route to host“ bis hin zu Verbindungsversuchen, die ohne sichtbare Fehlermeldung nach kurzer Zeit abbrechen. In vielen Fällen liegen die Ursachen in Benutzer- und Gruppen-Zuordnungen, fehlenden Rechten für SSL VPN oder in Zertifikats- und Profilkonflikten.
Typische Symptome
- Sophos-Connect-Client meldet „Authentication failed“ oder „Connection could not be established“
- Benutzer sieht in Sophos Connect kein oder nur ein veraltetes VPN-Profil
- Verbindung bleibt im Status „Connecting“ und fällt anschließend ohne Fehlermeldung zurück
- SSL-VPN-Log der Sophos Firewall zeigt keine oder nur sehr kurze Sessions für den betroffenen Benutzer
- Gleichzeitige Verbindungen anderer Benutzer funktionieren, nur einzelne Accounts sind betroffen
Analyse und Eingrenzung
- Prüfung, ob der Benutzer in Sophos Firewall bzw. über Directory-Service (AD/LDAP) korrekt angelegt ist und sich interaktiv anmelden kann
- Kontrolle der Gruppen-Zugehörigkeit: Zuordnung zur SSL-VPN-berechtigten Gruppe (z. B. SSL VPN Remote Access) und zur richtigen Authentifizierungsregel
- Überprüfung der SSL-VPN-Policy in Sophos Firewall: Zuweisung von Benutzer(n)/Gruppen, Allowed Networks, Tunnel-Adressen und DNS-Einstellungen
- Abgleich, ob das im Sophos-Connect-Client verwendete Profil (OVPN/Pro-Datei) zur aktuellen Konfiguration der Firewall passt (Hostname, Port, Zertifikat, Verschlüsselungsparameter)
- Auswertung der SSL-VPN-Logs und Authentifizierungs-Logs (Authentication) auf der Firewall, um zwischen reinen Login-Problemen und Transportfehlern zu unterscheiden
- Prüfung, ob ein lokaler Service, eine Endpoint-Firewall oder ein zweiter VPN-Client auf dem Endgerät den SSL-VPN-Port blockiert
Konkrete Maßnahmen in Sophos Firewall und Sophos Connect
- In Sophos Firewall unter Authentication den betroffenen Benutzer öffnen und Gruppen-Zuordnungen prüfen. Sicherstellen, dass eine Gruppe mit SSL-VPN-Berechtigung zugewiesen ist und die benutzte Authentifizierungsmethode (z. B. AD, RADIUS) aktiv ist.
- Unter Remote Access oder VPN die SSL-VPN-Policy kontrollieren: Benutzer/Gruppen, Zielnetze, Tunnel-IP-Bereich sowie DNS-Server und -Suffix korrekt festlegen.
- SSL-VPN- oder Sophos-Connect-Profil aus der Admin-Oberfläche neu generieren und dem Benutzer erneut bereitstellen, um Abweichungen bei Hostname, Port oder Zertifikatszuordnung auszuschließen.
- In den SSL-VPN-Logs Login-Versuche nachvollziehen. Bei „authentication failed“ Authentifizierungsquelle, Passwort und eventuelle Richtlinien (z. B. Passwortablauf, Konto gesperrt) prüfen.
- Bei fehlendem Logeintrag trotz Verbindungsversuch Netzwerkpfad und lokale Firewall auf dem Client untersuchen: Test mit Telnet oder OpenSSL auf den SSL-VPN-Port der Sophos Firewall, Abschalten konkurrierender VPN-Software während des Tests.
- Falls Zertifikatswarnungen oder TLS-Fehler auftreten, Zuordnung des Zertifikats in der SSL-VPN-Konfiguration der Firewall prüfen und gegebenenfalls auf ein gültiges, vom Client vertrauenswürdiges Zertifikat umstellen.
- Nach Anpassungen erneuten Verbindungsaufbau mit Sophos Connect durchführen und das Ergebnis parallel im SSL-VPN- und Authentication-Log der Firewall überwachen.
VPN-Verbindung bricht ab: häufige Disconnects
Ein weiteres häufiges Fehlerbild bei Sophos Firewall sind instabile VPN-Verbindungen. SSL VPN, Sophos Connect oder IPsec-Remote-Access-Verbindungen bauen sich zunächst auf, werden dann jedoch in kurzen Abständen getrennt. Im Client erscheint oft nur „Connection terminated“, „Verbindung getrennt“ oder die Sitzung wird nach einem Timeout ohne erkennbaren Grund beendet.
Typische Symptome
- SSL-VPN- oder Sophos-Connect-Verbindungen werden nach einigen Minuten Inaktivität getrennt
- Benutzer melden, dass die Remote-Access-Verbindung mehrfach pro Stunde neu aufgebaut werden muss
- IPsec-Remote-Access- oder Site-to-Site-Tunnel wechseln zwischen „up“ und „down“, obwohl die Gegenstelle erreichbar ist
- Einträge im SSL-VPN- oder IPsec-Log mit Hinweisen auf Timeouts, DPD-Fehler oder Reauthentifizierung
- Abbrüche treten verstärkt bei bestimmten Netzen, WLANs oder Mobilzugängen auf
Analyse und Eingrenzung
- Prüfung der Idle-Timeout- und Reauthentifizierungs-Einstellungen in den SSL-VPN- und IPsec-Profilen der Sophos Firewall
- Auswertung der SSL-VPN-, IPsec- und System-Logs auf der Firewall auf Hinweise zu Timeouts, Paketverlust, DPD-Fehlern oder Interface-Events
- Analyse der Uplink-Qualität (WAN-Link-Monitoring, Paketverlust, Latenzspitzen), insbesondere bei Verbindungen über Mobilfunk oder instabile Leitungen
- Prüfung auf doppeltes NAT oder wechselnde öffentliche IP-Adressen bei Mobil- und Carrier-NAT-Anschlüssen
- Log- und Eventanalyse auf dem Client: Energiesparfunktionen, Standby, WLAN-Roaming oder aggressive Sleep-Settings von Netzwerkkarten
- Abgleich, ob ausschließlich Remote-Access-User betroffen sind oder auch Site-to-Site-VPNs Auffälligkeiten zeigen
Konkrete Maßnahmen in Sophos Firewall und Umgebung
- In den SSL-VPN- und Sophos-Connect-Settings die Idle-Timeout- und Reauthentifizierungs-Werte prüfen und bei Bedarf erhöhen, um unnötig kurze Sitzungen zu vermeiden.
- Für IPsec-Verbindungen DPD- und Keepalive-Einstellungen kontrollieren. Bei instabilen Leitungen gegebenenfalls DPD-Intervalle anpassen oder die Überwachung auf ein geeignetes Ziel konfigurieren.
- WAN-Link-Monitoring aktivieren und die Qualität der Internetanbindung beobachten. Bei erkennbaren Paketverlusten oder Flaps Provider- oder Leitungsprobleme priorisieren.
- NAT- und Routing-Konfiguration prüfen: bei Carrier-NAT oder wechselnden Quelladressen gegebenenfalls aggressiven Modus oder angepasste Lebensdauern (SA-Lifetimes) einsetzen, um Tunnel stabil zu halten.
- Auf Client-Seite Energiesparoptionen für Netzwerkadapter und WLAN deaktivieren, automatisches Abschalten von Netzwerkschnittstellen im Batteriebetrieb verhindern und parallele VPN-Software während der Nutzung von Sophos Connect beenden.
- Bei wiederkehrenden Abbrüchen einzelner Benutzer zusätzliche Logging-Optionen aktivieren, Testverbindungen unter definierten Bedingungen durchführen und anhand der Zeitstempel Korrelation zwischen Client-Events, Leitungsereignissen und VPN-Logs herstellen.
IPsec Remote Access und Site-to-Site-Tunnel down
IPsec wird in vielen Umgebungen sowohl für Remote Access als auch für Site-to-Site-Verbindungen eingesetzt. Typische Probleme zeigen sich in Form von Tunneln, die nicht aufgebaut werden, direkt nach dem Verbindungsversuch wieder auf „down“ gehen oder nur in eine Richtung funktionieren. Ursache sind häufig nicht zueinander passende Phase1/Phase2-Parameter, Schlüsselprobleme oder Routing- und NAT-Konflikte.
Typische Symptome
- IPsec-Tunnelstatus auf der Sophos Firewall bleibt dauerhaft „down“ oder wechselt unmittelbar nach „connecting“ wieder auf „down“
- Logeinträge mit „no proposal chosen“, „mismatch“ oder Hinweisen auf fehlerhafte Authentifizierung
- Einseitige Erreichbarkeit: Tunnel gilt als „up“, aber nur eine Richtung lässt sich erreichen
- Einzelne Subnetze innerhalb des VPN sind nicht erreichbar, andere funktionieren wie erwartet
- IPsec-Tunnel bricht nach Ablauf der Lebensdauer (SA-Lifetime) ab und wird nicht automatisch sauber neu aufgebaut
Analyse und Eingrenzung
- Vergleich der Phase1-/Phase2-Parameter (Verschlüsselung, Hash, DH-Gruppe, Lebensdauer) zwischen Sophos Firewall und Gegenstelle
- Prüfung des verwendeten Preshared Keys oder Zertifikats auf beiden Seiten, inklusive Sonderzeichen und Kodierung
- Kontrolle der lokal und remote definierten Netzwerke in der IPsec-Konfiguration, um Überschneidungen und Tippfehler auszuschließen
- Analyse von NAT-Regeln und Routen: Prüfen, ob der Verkehr vor oder nach dem VPN-Tunnel genattet wird und ob die Gegenseite die Absendernetze erwartet
- Auswertung des detaillierten IPsec-Logs (StrongSwan/Charon) auf der Sophos Firewall und ggf. auf der Gegenstelle, um Fehlermeldungen im Handshake zu identifizieren
- Test einer vereinfachten Konfiguration (z. B. ein Subnetz pro Seite, Standard-Policy) zur Eingrenzung komplexer Szenarien
Konkrete Maßnahmen in Sophos Firewall und auf der Gegenseite
- In der IPsec-Konfiguration der Sophos Firewall das verwendete Policy-Objekt prüfen und Phase1-/Phase2-Einstellungen exakt mit der Konfiguration der Gegenseite abgleichen. Bei Abweichungen Konsolidierung auf ein gemeinsames Strong-Encryption-Set vornehmen.
- Preshared Key oder Zertifikate neu setzen, wenn Verdacht auf Tippfehler, falsche Kodierung oder veraltete Schlüssel besteht. Änderungen auf beiden Seiten gleichzeitig umsetzen.
- Lokale und entfernte Netzwerke in den Verbindungsdefinitionen überprüfen. Bei Bedarf testweise nur je ein klares /24-Subnetz konfigurieren, um Adressüberschneidungen auszuschließen.
- NAT-Regeln und Routing vor dem Tunnel prüfen. Sicherstellen, dass die für das VPN vorgesehenen Quell- und Zielnetze nicht zusätzlich genattet werden und dass Rückrouten auf der Gegenseite korrekt eingetragen sind.
- Im IPsec-Log gezielt nach wiederkehrenden Fehlermeldungen suchen und anhand der Fehlertypen (z. B. „no proposal chosen“, „AUTH_FAILED“, „TIMED OUT“) systematisch Verschlüsselung, Authentifizierung oder Erreichbarkeit anpassen.
- Nach Änderungen Tunnel neu starten und mit einfachen Tests (Ping, Traceroute) validieren. Anschließend Applikationszugriffe prüfen und gegebenenfalls weitere Subnetze oder komplexere Szenarien schrittweise ergänzen.
MTU- und Performance-Probleme bei VPN-Verbindungen
VPN-Verbindungen können trotz erfolgreichem Aufbau durch geringe Performance oder sporadische Fehler im Datenverkehr auffallen. Häufig funktionieren einfache Pings, während Webanwendungen, RDP-Sitzungen oder Dateitransfers instabil oder sehr langsam sind. Häufige Ursachen sind MTU- und MSS-Probleme, Fragmentierung entlang des Pfads oder konkurrierende Bandbreiten- und QoS-Regeln.
Typische Symptome
- Ping über VPN funktioniert, Webanwendungen oder RDP-Verbindungen brechen jedoch ab oder reagieren verzögert
- Dateitransfers über VPN sind deutlich langsamer als erwartet, insbesondere bei größeren Dateien
- Einige Websites oder Dienste lassen sich über VPN nicht aufrufen, lokal jedoch ohne Probleme
- Verbindungsabbrüche treten vor allem bei hochvolumigen oder latenzempfindlichen Anwendungen auf
- VPN-Verbindung selbst bleibt „up“, während Applikationstimeouts gemeldet werden
Analyse und Eingrenzung
- Vergleich der Performance mit und ohne VPN-Tunnel, um Leitungsprobleme von VPN-spezifischen Effekten zu trennen
- MTU-Tests mit schrittweise angepasster Paketgröße (z. B. ping mit „Do not fragment“), um die maximale Paketgröße ohne Fragmentierung zu ermitteln
- Prüfung der MSS- und MTU-Einstellungen in den VPN- und Interface-Settings der Sophos Firewall
- Analyse von QoS- und Traffic-Shaping-Regeln, die VPN-Verkehr im Vergleich zu anderem Traffic unterschiedlich priorisieren oder begrenzen
- Unterscheidung, ob alle VPN-Benutzer betroffen sind oder nur bestimmte Standorte, Netzsegmente oder Zugangsarten (z. B. LTE)
Konkrete Maßnahmen in Sophos Firewall und Umgebung
- Mit Hilfe von MTU-Tests die maximal mögliche Paketgröße ohne Fragmentierung entlang des Pfades ermitteln und diese in die VPN- bzw. Interface-Konfiguration einfließen lassen.
- MSS-Clamping für VPN-Verbindungen aktivieren oder anpassen, sodass TCP-Verbindungen innerhalb des Tunnels eine passende MSS verwenden und Fragmentierung vermieden wird.
- QoS- und Traffic-Shaping-Regeln prüfen und sicherstellen, dass geschäftskritischer VPN-Verkehr (z. B. RDP, VoIP, Applikationszugriffe) ausreichend priorisiert wird.
- Bei deutlichen Unterschieden zwischen verschiedenen Zugangstypen (DSL, Kabel, LTE) die jeweiligen Uplink-Profile und MTU-Werte der WAN-Schnittstellen kontrollieren und gegebenenfalls anpassen.
- Nach Änderungen wiederholt Performance-Tests durchführen (z. B. RDP, Dateiübertragung, HTTP/HTTPS) und parallel die Log- und Monitoring-Funktionen der Sophos Firewall nutzen, um Paketverluste, Retransmits und Fragmentierung zu beobachten.
Split-Tunnel vs. Full-Tunnel in Sophos VPN
Bei Remote-Access-VPNs mit Sophos Firewall wird häufig zwischen Split-Tunnel- und Full-Tunnel-Konfigurationen unterschieden. Im Split-Tunnel-Modus werden nur bestimmte Netze durch den VPN-Tunnel geleitet, während im Full-Tunnel-Modus der gesamte Verkehr über die Sophos Firewall geführt wird. Falsch konfigurierte Routen, DNS-Settings oder Standard-Gateways führen hier schnell zu Symptomen wie „verbunden, aber keine Verbindung“.
Typische Stolperfallen im Split-Tunnel-Betrieb
- Interne Ressourcen sind erreichbar, das Internet wird weiterhin lokal genutzt – gewollt, aber Sicherheitsrichtlinien widersprechen dem
- Einzelne interne Subnetze sind nicht erreichbar, weil sie nicht im Split-Tunnel-Adressbereich enthalten sind
- DNS-Anfragen laufen weiterhin über lokale Resolver, interne Namen werden daher nicht aufgelöst
- Konflikte mit lokal vorhandenen Netzsegmenten (z. B. identische IP-Bereiche in Heimnetz und Unternehmensnetz)
Typische Stolperfallen im Full-Tunnel-Betrieb
- Nach Aufbau der VPN-Verbindung ist kein Internetzugriff mehr möglich, weil Standardroute oder NAT-Regeln auf der Sophos Firewall fehlen
- Externe Dienste, die Geo- oder IP-basierte Einschränkungen nutzen, reagieren anders als beim direkten lokalen Zugriff
- Lokale Netzwerkgeräte (Drucker, NAS) sind während der VPN-Verbindung nicht mehr erreichbar
Analyse und Eingrenzung
- Prüfung der konfigurierten Remote-Netze in der SSL-VPN-/IPsec-Remote-Access-Definition: Abgleich mit den tatsächlich benötigten internen Netzen
- Kontrolle der DNS-Einstellungen im VPN-Profil: verwendete DNS-Server, DNS-Suffixe und Suchdomänen
- Auswertung der Routing-Tabelle auf dem Client, um zu erkennen, welche Ziele über den Tunnel und welche über das lokale Gateway gehen
- Prüfung auf IP-Adress-Konflikte zwischen lokalen Netzen und per VPN bereitgestellten Subnetzen
Konkrete Maßnahmen in Sophos Firewall und im VPN-Profil
- Split-Tunnel-Netze in der Sophos-Firewall-Konfiguration präzise definieren und nur die tatsächlich benötigten internen Subnetze aufnehmen.
- Für Full-Tunnel-Szenarien sicherstellen, dass eine korrekte Standardroute und passende NAT-Regeln für ausgehenden Internetverkehr über die Sophos Firewall vorhanden sind.
- In den VPN-Profilen DNS-Server und Domänen so konfigurieren, dass interne Namen zuverlässig aufgelöst werden und gleichzeitig die gewünschte Trennung zu externen DNS-Diensten gewahrt bleibt.
- IP-Adress-Konflikte zwischen Heimnetzen der Benutzer und Unternehmensnetzen identifizieren und nach Möglichkeit durch Anpassung der internen Adressierung oder alternative Zuweisung vermeiden.
- Benutzer je nach Anwendungsfall klar auf Split-Tunnel- oder Full-Tunnel-Profile zuordnen, um Fehlkonfigurationen und widersprüchliche Anforderungen zu reduzieren.
Client-seitige Stolperfallen bei VPN-Zugriffen
Neben der Konfiguration der Sophos Firewall beeinflussen auch Einstellungen und Software auf den Endgeräten die Stabilität und Funktion von VPN-Verbindungen. Mehrere parallele VPN-Clients, lokale Firewalls, Sicherheitssoftware oder Energiesparfunktionen führen oft zu Symptomen, die zunächst wie ein Firewall- oder Leitungsproblem wirken.
Typische Symptome
- VPN-Verbindung kommt nur auf bestimmten Geräten zustande, andere Systeme im gleichen Netzwerk funktionieren problemlos
- Sophos Connect meldet Verbindungsfehler, während im Firewall-Log kein oder nur ein unvollständiger Verbindungsversuch sichtbar ist
- Verbindungen brechen insbesondere beim Wechsel zwischen WLANs oder beim Aufwachen aus dem Standby ab
- Konflikte mit bereits installierten VPN-Clients anderer Hersteller oder mit Endpoint-Sicherheitssoftware
Analyse und Eingrenzung
- Vergleich des Verhaltens auf verschiedenen Endgeräten und Betriebssystemen, um systematische Client-Probleme zu erkennen
- Prüfung, ob weitere VPN- oder Remote-Access-Lösungen parallel installiert und aktiv sind
- Auswertung lokaler Firewall- und Endpoint-Security-Logs auf dem Client, insbesondere bei blockierten Ports oder Anwendungen
- Kontrolle von Energiesparmodi und Netzwerkkarten-Einstellungen, die Netzwerkverbindungen im Standby oder Batteriebetrieb reduzieren
- Überprüfung, ob eine aktuelle Version des Sophos-Connect-Clients installiert ist und die zum SFOS-Build passende Profilversion verwendet wird
Konkrete Maßnahmen auf dem Client
- Überflüssige oder in Konflikt stehende VPN-Clients entfernen oder deaktivieren und Sophos Connect als primäre VPN-Software verwenden.
- Lokale Firewalls und Endpoint-Sicherheitslösungen so konfigurieren, dass die verwendeten VPN-Ports und die Sophos-Connect-Anwendung zugelassen werden.
- Energiesparoptionen für Netzwerkschnittstellen anpassen: Abschalten des automatischen Deaktivierens von Netzwerkadaptern im Standby oder bei geringem Energieverbrauch.
- Sicherstellen, dass eine aktuelle Version von Sophos Connect installiert ist und im Bedarfsfall auf den von Sophos freigegebenen Stand aktualisieren.
- Bei weiterhin unklaren Problemen Test mit einem Referenzsystem durchführen, um zu entscheiden, ob die Ursache eher clientseitig oder in der Firewall-Konfiguration zu suchen ist.
Lösung nicht gefunden? Wir helfen gerne weiter
Viele VPN- und Remote-Access-Probleme mit Sophos Firewall lassen sich mit strukturierten Prüfschritten eingrenzen und beheben. In komplexen Umgebungen bleiben jedoch manchmal detailreiche Fragen zu SSL VPN, Sophos Connect, IPsec-Parametern oder Routing offen. Der Professional Service von Firewalls24 unterstützt bei Analyse, Optimierung und Fehlersuche in bestehenden VPN-Konfigurationen sowie bei der Planung neuer Remote-Access-Konzepte. Über das Kontaktformular kann unkompliziert Kontakt zu unserem Professional Service aufgenommen werden.
