Logs sind bei der Fehlersuche auf der Sophos Firewall die wichtigste Informationsquelle, doch sie liegen an zwei sehr unterschiedlichen Orten. Der Log Viewer in der WebAdmin-Oberfläche zeigt Ereignisse zu Regeln, NAT, Web und VPN, während die Dateien unter /log auf Dienst- und Modulebene ins Detail gehen. Wer beide Ebenen kennt und die Einträge richtig deutet, grenzt Probleme deutlich schneller ein. Die einzelnen Logdateien beschreibt die Sophos-Dokumentation zu den Logdateien. In dieser Anleitung zeigen wir, wie Sie den Log Viewer filtern, welche Logdatei zu welchem Modul gehört, wie Sie kryptische Dienstnamen zuordnen und wie Sie Logs sinnvoll aufbewahren und weiterleiten.
Key Takeaways: Sophos Firewall Logs lesen
- Die Sophos Firewall protokolliert auf zwei Ebenen, im Log Viewer und in den Dateien unter /log.
- Der Log Viewer beantwortet schnelle Fragen zu Regel, NAT, Web und VPN, die /log-Dateien liefern die Dienst-Details.
- Vieles wird nur protokolliert, wenn das Logging in der Regel und in den TLS-Regeln aktiv ist.
- Der Status allowed auf Regelebene bedeutet nicht, dass ein nachgelagerter Filter den Zugriff erlaubt.
- Verwerfen (Drop) und Zurückweisen (Reject) erzeugen unterschiedliches Verhalten am Client.
- Kryptische Dienstnamen wie strongswan, zebra oder garner lassen sich klar einer Funktion zuordnen.
- conntrack zeigt den Verbindungspfad mit Regel-, NAT-, IPS- und VPN-IDs in einer Zeile.
- Für die Aufbewahrung eignen sich Syslog und Sophos Central, lokal ist der Speicher begrenzt.
Zwei Log-Ebenen: Log Viewer und die Dateien unter /log
Die Sophos Firewall kennt zwei Protokollebenen, die sich sinnvoll ergänzen. Der Log Viewer zeigt aufbereitete Ereignisse und beantwortet schnelle Fragen, etwa ob eine Verbindung erlaubt oder blockiert wurde. Die Dateien unter /log gehen tiefer und werden wichtig, wenn ein Dienst nicht startet, ein VPN-Tunnel instabil ist, der Webfilter unerwartet reagiert oder Sophos Support Detaildaten benötigt.
Für die reine Fehlersuche nach Regeln und Paketfluss ist unsere Anleitung zu Log Viewer, Policy Test und Packet Capture der passende Begleiter, für die breite Störungssuche unser Sophos Firewall Troubleshooting. Dieser Artikel konzentriert sich auf das Lesen und Deuten der Logs selbst.
Den Log Viewer richtig nutzen
Der Log Viewer öffnet sich oben rechts in der WebAdmin-Konsole und aktualisiert sich automatisch. Er lässt sich nach Modul, Zeit, Feldwerten und Freitext filtern und als CSV exportieren. Für eine gezielte Analyse empfiehlt sich ein festes Vorgehen.
- Das passende Modul wählen, etwa Firewall, IPS, Web, ATP oder VPN.
- Nach Source-IP, Destination-IP, Port und Zeitfenster filtern.
- Die tatsächliche Firewall Rule ID und die NAT Rule ID aus dem Eintrag ablesen.
- Bei Bedarf den relevanten Zeitraum als CSV exportieren.
Für viele Fragen zu Regeln, NAT, Web und VPN reicht der Log Viewer bereits aus. Sobald ein Dienst hängt oder ein technischer Detailfehler auftritt, führt der Weg zu den Dateien unter /log.
Was überhaupt protokolliert wird
Nicht jede erwartete Information erscheint automatisch. Der wichtigste Grund für fehlende Einträge ist deaktiviertes Logging. In jeder Firewall-Regel muss die Option zum Protokollieren des Traffics aktiv sein, ebenso das Logging in den SSL- und TLS-Inspection-Regeln. Unter System-Services und Log-Einstellungen wird zusätzlich festgelegt, welche Logtypen lokal gespeichert, an Sophos Central gesendet oder an einen Syslog-Server weitergeleitet werden.
Fehlt ein erwarteter Eintrag, ist deshalb zuerst zu prüfen, ob die Regel überhaupt loggt und ob der passende Logtyp aktiviert ist. Erst danach lohnt die Suche nach anderen Ursachen wie einem Traffic, der die Firewall gar nicht erreicht. Einen Sonderfall bilden Pakete, die keine explizite Regel treffen und über die Default-Regel verworfen werden. Diese Drops protokolliert die Firewall nicht automatisch, sichtbar werden sie erst mit einer Drop-All-and-Log-Regel am Ende des Regelwerks.
Logeinträge richtig lesen
Ein Logeintrag ist nur so nützlich wie seine Deutung. Drei Punkte führen in der Praxis besonders oft zu Fehlschlüssen.
Allowed bedeutet nicht automatisch erreichbar
Zeigt die Firewall-Regel den Status allowed, kann eine nachgelagerte Web Policy, Application Control oder TLS Inspection den Zugriff trotzdem blockieren. Allowed auf Regelebene beschreibt nur die Firewall-Entscheidung, nicht das Endergebnis für den Benutzer. Bei blockierten Webseiten trotz erlaubter Regel helfen unsere Anleitungen zu Web Filtering und Web Control sowie zu SSL Inspection und Zertifikatsfehlern.
Verwerfen und Zurückweisen unterscheiden
Beim Verwerfen (Drop) verschwindet das Paket ohne Rückmeldung und der Client läuft in einen Timeout. Beim Zurückweisen (Reject) antwortet die Firewall aktiv mit einer Ablehnung und der Verbindungsaufbau scheitert sofort. Ein Timeout deutet damit eher auf einen Drop, ein sofortiger Abbruch eher auf einen Reject oder ein antwortendes Zielsystem.
Invalid Traffic erkennen
Als Invalid Traffic markiert die Firewall Pakete, die zu keiner bekannten oder gültigen Verbindung passen, etwa TCP-Pakete außerhalb eines gültigen Verbindungszustands. Solche Einträge deuten häufig auf asymmetrisches Routing, veraltete Sessions oder einen fehlenden Rückweg hin und nicht auf eine falsche Firewall-Regel.
Logdateien unter /log per Advanced Shell
Die Dateien unter /log erreichen Sie über die Advanced Shell. Nach dem SSH-Login führt der Weg über das Hauptmenü mit dem Punkt 5 für Device Management und anschließend 3 für die Advanced Shell. Danach wird in das Log-Verzeichnis gewechselt.
cd /log
Mit tail lässt sich eine Logdatei live mitlesen, mit grep gezielt filtern und mit less durch statische Dateien blättern.
tail -f /log/firewall_rule.log
tail -f /log/strongswan.log | grep -i error
Der Zugriff über SSH sollte nur aus vertrauenswürdigen Admin-Netzen möglich sein. Wie sich der Zugang absichern lässt, behandelt unser Leitfaden zur Firewall-Härtung. Welche Datei zu welchem Modul gehört, fasst die folgende Referenz zusammen.
Wichtige Logdateien und ihr Inhalt
| Logdatei | Inhalt |
|---|---|
| firewall_rule.log | Treffer und Entscheidungen der Firewall-Regeln |
| nat_rule.log | Quell- und Ziel-NAT-Regeln |
| ips.log | Ereignisse der IPS-Engine |
| strongswan.log | IPsec-VPN, Tunnelaufbau und Phasen |
| access_server.log | Authentifizierung von VPN-Benutzern |
| dnsd.log | DNS-Dienst der Firewall |
| dhcpd.log | DHCP-Leases und Zuweisungen |
| reverseproxy.log | WAF und Reverse Proxy |
| garner.log | Ereignisse an Sophos Central und Reporting |
| syslog.log | Allgemeines System- und Ereignislog |
Für IPS-Themen ist ips.log der richtige Ort, ergänzend zu unserer Anleitung zum Intrusion Prevention System. Bei instabilen Tunneln führt strongswan.log weiter, passend zu unserer Anleitung zu VPN- und Remote-Access-Problemen.
Kryptische Dienstnamen entschlüsseln
Im Dashboard, in der Advanced Shell oder in einem Supportfall tauchen technische Dienstnamen auf, die nicht selbsterklärend sind. Mit service -S lassen sich alle Dienste und ihr Status anzeigen, gefiltert mit grep.
service -S | grep strongswan
Die folgende Zuordnung deckt die Dienste ab, die am häufigsten für Verwirrung sorgen.
Dienstnamen und ihre Funktion
| Dienst | Funktion |
|---|---|
| strongswan | IPsec-VPN für Site-to-Site und Remote Access |
| zebra | Routing und statische Routen, ergänzt durch ospfd, bgpd und ripd |
| dnsd | DNS-Dienst der Firewall |
| dhcpd | DHCP-Dienst für Lease-Zuweisungen |
| awed | Wireless Controller für Access Points |
| garner | Ereignisse an Sophos Central und Central Reporting |
| reverseproxy | WAF und Reverse Proxy |
| csc | Firmware-Upgrade und Service-Verwaltung |
| tomcat | WebAdmin-Oberfläche |
Den Verbindungspfad mit conntrack sehen
Für die Analyse einzelner Verbindungen ist das Connection Tracking besonders wertvoll. conntrack zeigt aktive Verbindungen und wie die Firewall sie verarbeitet, in einer einzigen Zeile.
conntrack -L | grep 192.0.2.10
Die Ausgabe enthält unter anderem Quelle, Ziel, Protokoll, Port, Verbindungsstatus sowie die beteiligten IPS-, VPN-, Firewall- und NAT-IDs. So lässt sich nachvollziehen, welche Regel und welches NAT auf eine Verbindung wirken, ohne mehrere Logdateien parallel zu lesen. Bei hoher Last und Durchsatzfragen ergänzt unsere Anleitung zu Performance und Durchsatz die Analyse.
Fehlerbild und passende Logquelle
Der schnellste Weg zur Ursache führt über die richtige Logquelle. Die folgende Matrix ordnet typische Fehlerbilder einem konkreten Startpunkt zu.
Fehlerbild und passende Logquelle
| Fehlerbild | Logquelle und nächster Schritt |
|---|---|
| Regel blockt unerwartet | Log Viewer nach Source und Ziel filtern, firewall_rule.log prüfen |
| Webseite trotz erlaubter Regel blockiert | Web- und TLS-Modul im Log Viewer prüfen, Status allowed hinterfragen |
| VPN-Tunnel instabil | strongswan.log und Log Viewer im VPN-Modul auswerten |
| Dienst startet nicht | service -S sowie die zugehörige Datei unter /log prüfen |
| Report fehlt oder ist langsam | Reporting- und Datenbankstatus prüfen, Speicherziel kontrollieren |
| Verbindung bricht sporadisch ab | conntrack und Invalid-Traffic-Einträge prüfen, Rückweg kontrollieren |
Aufbewahrung und Weiterleitung von Logs
Lokal ist der Speicherplatz für Logs begrenzt, deshalb überschreiben sich Einträge nach einiger Zeit. Für eine längere Aufbewahrung eignen sich ein Syslog-Server oder Sophos Central. Unter System-Services und Log-Einstellungen lassen sich bis zu fünf externe Ziele definieren, wobei Central Firewall Reporting auf dieses Limit angerechnet wird.
Für mehr Speicher und längere Vorhaltezeiten bieten sich die Produkte Sophos Firewall Reporting und Sophos Central Data Storage an. In regulierten Umgebungen ist die Protokollierung zudem Teil der Nachweispflichten, etwa im Rahmen unserer Hinweise zur NIS-2-Umsetzung. In einem HA-Cluster ist zu beachten, dass Logs nicht zwischen den Geräten synchronisiert werden und jede Appliance nur ihre eigenen Daten speichert. Details dazu behandelt unsere Anleitung zu Firmware- und HA-Problemen.
Debug-Logs und CTR für Supportfälle
Für tiefe Analysen lässt sich für einzelne Dienste ein Debug-Modus aktivieren. Der Debug-Modus ist standardmäßig ausgeschaltet und sollte nach der Reproduktion des Problems wieder deaktiviert werden, da er viel Speicher belegt.
service strongswan:debug -ds nosync
Für einen Supportfall bei Sophos ist der Consolidated Troubleshooting Report der schnellste Weg. Er sammelt die relevanten Logdateien und einen Systemschnappschuss in einem Paket. Ergänzend lassen sich einzelne Logdateien in der WebAdmin-Oberfläche unter den Troubleshooting-Logs herunterladen. Die Logs sollten möglichst direkt nach der Reproduktion des Problems gesichert werden, solange die passenden Einträge noch vorhanden sind.
Fazit: Sophos Firewall Logs sicher lesen und deuten
Wer die beiden Log-Ebenen der Sophos Firewall kennt, findet Ursachen deutlich schneller. Der Log Viewer beantwortet die schnellen Fragen zu Regeln, NAT, Web und VPN, die Dateien unter /log liefern die Details auf Dienstebene. Entscheidend ist die richtige Deutung, denn allowed auf Regelebene ist kein Beweis für Erreichbarkeit, und ein Timeout unterscheidet sich klar von einer aktiven Ablehnung.
Mit der Zuordnung von Logdatei und Dienst, dem Verbindungspfad aus conntrack und einer sauberen Aufbewahrung über Syslog oder Sophos Central wird aus einzelnen Zeilen ein belastbares Bild. Für die weitere Arbeit helfen unsere Anleitungen zum Testen von Regeln, zum Troubleshooting und zur Firewall-Härtung weiter.
info FAQ zum Lesen von Sophos Firewall Logs arrow_drop_down
FAQ: Sophos Firewall Logs lesen
Wo finde ich die Logs auf der Sophos Firewall?
Aufbereitete Ereignisse liefert der Log Viewer oben rechts in der WebAdmin-Oberfläche. Die detaillierten Logdateien liegen unter /log und sind über die Advanced Shell per SSH erreichbar. Der Log Viewer eignet sich für schnelle Fragen, die Dateien für tiefere Analysen auf Dienstebene.
Warum erscheint eine Verbindung nicht im Log?
Häufig ist das Logging in der Firewall-Regel oder in den TLS-Regeln nicht aktiv. Auch die Log-Einstellungen unter System-Services steuern, welche Typen lokal, in Sophos Central oder im Syslog landen. Erst wenn das Logging aktiv ist und die Verbindung die Firewall überhaupt erreicht, erscheint ein Eintrag.
Was bedeutet allowed im Firewall-Log?
Allowed beschreibt nur die Entscheidung auf Regelebene. Eine nachgelagerte Web Policy, Application Control oder TLS Inspection kann den Zugriff trotzdem blockieren. Der Status allowed ist deshalb kein Beweis dafür, dass der Benutzer das Ziel tatsächlich erreicht.
Wie lese ich eine Logdatei live in der Konsole mit?
Nach dem SSH-Login wird über Device Management und Advanced Shell in das Verzeichnis /log gewechselt. Mit tail -f wird eine Datei live mitgelesen, mit grep gezielt gefiltert und mit less durch statische Dateien geblättert. Für die Firewall-Regeln ist das firewall_rule.log, für IPsec das strongswan.log.
Was ist der Unterschied zwischen Drop und Reject im Log?
Beim Verwerfen verschwindet das Paket ohne Rückmeldung und der Client läuft in einen Timeout. Beim Zurückweisen antwortet die Firewall aktiv mit einer Ablehnung und der Verbindungsaufbau scheitert sofort. Aus dem Verhalten am Client lässt sich damit auf die Art des Blocks schließen.
Wie lange werden Logs auf der Sophos Firewall gespeichert?
Lokal ist der Speicher begrenzt, ältere Einträge werden überschrieben. Für eine längere Aufbewahrung eignen sich ein Syslog-Server oder Sophos Central, wobei sich bis zu fünf externe Ziele definieren lassen. Mehr Speicher und längere Vorhaltezeiten bieten Sophos Firewall Reporting und Sophos Central Data Storage.
