Speedtest auf Sophos XGS Firewalls – WAN-Leitung per Advanced Shell testen | Anleitung

Ein Speedtest im Browser zeigt nicht immer, was die Internetleitung wirklich leistet. Browser, Client, WLAN, Proxy, IPS, Webfilter, TLS Inspection, VPN, NAT und Firewall-Regeln beeinflussen das Ergebnis. Ein Download direkt auf der Sophos Firewall grenzt die WAN-Anbindung der Appliance sauber von Client- und Regelproblemen ab. Der Zugriff erfolgt per SSH, wie in der Sophos-Dokumentation zur Advanced Shell beschrieben. In dieser Anleitung zeigen wir den kompletten Ablauf, die richtige Deutung des Werts, eine Live-Bandbreitenanzeige pro Interface und passende Testdateien, die wir auf aphos.de bereitstellen.

Was ein Speedtest auf der Firewall beweist

Ein Test direkt auf der Appliance beantwortet eine konkrete Frage. Er zeigt, ob die Firewall über ihren aktuellen Routingpfad eine Datei mit erwartbarer Geschwindigkeit aus dem Internet lädt. Daraus lesen wir ab, ob die WAN-Leitung grundsätzlich schnell genug ist, ob der Provider ungefähr die erwartete Downloadrate liefert und ob ein Problem eher vor oder hinter der Firewall zu suchen ist.

Der Test beweist nicht, dass Clients hinter der Firewall dieselbe Geschwindigkeit erreichen. Clienttraffic läuft durch Firewall-Regeln, NAT, Security-Policies und je nach Konfiguration durch IPS, Web Protection, Application Control oder TLS Inspection. Der lokale Download auf der Firewall umgeht Teile dieser Verarbeitung und eignet sich deshalb als Abgrenzung, nicht als vollständiger End-to-End-Test.

Voraussetzung: SSH-Zugriff aktivieren und absichern

Die Advanced Shell ist nur per SSH erreichbar, und SSH ist im Auslieferungszustand nicht für alle Zonen freigegeben. Die Freigabe erfolgt im WebAdmin unter Administration und Geräte-Zugriff (Device Access) je Zone. Aus Sicht der IT-Sicherheit gelten dabei feste Regeln.

• SSH ausschließlich in der LAN-Zone oder einem dedizierten Management-Netz freigeben.
• SSH niemals dauerhaft in der WAN-Zone offen halten. Ist ein temporärer Fernzugriff nötig, über eine ACL-Ausnahmeregel mit fester Quell-IP absichern.
• Standardport 22 nur aus definierten Admin-Adressen zulassen und den Zugriff nach der Messung wieder auf das notwendige Minimum einschränken.

Wie sich der administrative Zugang grundsätzlich absichern lässt, behandeln wir in unserem Leitfaden zur Firewall-Härtung. Für den Login genügt ein SSH-Client wie PuTTY oder das native Terminal unter Linux und macOS. Ein Download-Test erzeugt echten Traffic und lastet die Leitung kurzfristig aus, deshalb sollte er nicht parallel zu Backup-, VoIP- oder Wartungsfenstern laufen.

Mehrere WAN-Anschlüsse und SD-WAN beachten

Bei Firewalls mit mehreren WAN-Links sollte vor dem Test klar sein, über welchen Pfad die Firewall selbst ins Internet geht. Der Download wird von der Sophos Firewall erzeugt und ist damit systemeigener Traffic. Er folgt nicht zwingend derselben Entscheidung wie ein Clientflow, der durch eine Firewall-Regel, NAT-Regel oder SD-WAN-Route verarbeitet wird. Vier Fehlannahmen treten dabei besonders häufig auf.

• Mehrere WAN-Gateways. Der Firewall-Download kann über ein anderes Gateway laufen als der betroffene Clienttraffic.
• SD-WAN-Routing für Clients. Client-Regeln beweisen nicht automatisch den Pfad für firewall-eigenen Traffic.
• Aktives Failover oder Backup-WAN. Der Test misst dann eventuell gerade den Ausweichpfad.
• Policy-based Routing oder spezielles NAT. Ein Clientpfad wird unter Umständen anders behandelt als der lokale Download.

In solchen Setups gehören Uhrzeit, aktiver WAN-Link und beobachtetes Gateway zwingend in die Dokumentation. Grundlagen dazu liefern unsere Beiträge zu SD-WAN und zu VPN- und Remote-Access-Problemen.

Anleitung: WAN-Speedtest über die Advanced Shell

Der folgende Ablauf funktioniert auf allen aktuellen Sophos XGS Appliances unter SFOS. Wir empfehlen den Speedtest direkt nach der Firewall Einrichtung, um die WAN-Anbindung von Beginn an zu prüfen. Nach dem SSH-Login erscheint zunächst das Konsolenmenü.

1. Per SSH auf die Management-IP der Firewall verbinden und mit den Admin-Zugangsdaten anmelden.
2. Im Hauptmenü 5. Device Management wählen, anschließend 3. Advanced Shell.
3. In das temporäre Verzeichnis wechseln, damit die Testdatei bei einem Neustart automatisch entfernt wird und keine Systempartition füllt.

cd /tmp

Danach die Testdatei per curl herunterladen. Die Option -L folgt Weiterleitungen, mit -o wird der Zielname gesetzt. Während des Downloads zeigt curl fortlaufend die aktuelle und am Ende die durchschnittliche Rate an.

curl -L -o 1GB.bin https://aphos.de/1GB.bin

Schlägt curl bereits bei der Namensauflösung fehl, ist nicht die Geschwindigkeit das Problem, sondern DNS, Routing oder die WAN-Verfügbarkeit. Diese Punkte gehören dann zuerst geprüft. Nach Abschluss steht in der Spalte Average Dload der Mittelwert des gesamten Downloads. Für langsamere Anbindungen genügt statt 1GB.bin die Datei 100MB.bin, für sehr schnelle Anschlüsse liefert 10GB.bin einen stabileren Wert.

Zum Abschluss die heruntergeladene Datei wieder löschen.

rm /tmp/1GB.bin

Wurde der Test abgebrochen, prüfen, ob eine teilweise geladene Datei zurückbleibt, und diese entfernen.

ls -lh /tmp/*.bin

Die Advanced Shell ist eine vollwertige Linux-Umgebung mit Zugriff auf Systemkomponenten. Wir empfehlen, dort ausschließlich die genannten Befehle auszuführen und keine Konfigurations- oder Servicebefehle abzusetzen. Der reine Download über curl verändert keine Firewall-Einstellungen.

Testdateien von Aphos für den Download

Damit die Messung nicht von einem beliebigen und eventuell überlasteten Fremdserver abhängt, stellen wir eigene Testdateien bereit. Die Auswahl richtet sich nach der erwarteten Bandbreite.

100 MB Testdatei → 500 MB Testdatei → 1 GB Testdatei → 5 GB Testdatei →

Als Faustregel dient die 100-MB-Datei für Anschlüsse bis rund 100 Mbit/s, die 500-MB- und die 1-GB-Datei für Anbindungen bis in den Gigabit-Bereich und die 5-GB-Datei für symmetrische Hochgeschwindigkeitsleitungen ab mehreren Gigabit. Je länger der Transfer dauert, desto stabiler wird der ausgewiesene Durchschnittswert.

Ergebnis auswerten und MB/s in Mbit/s umrechnen

curl gibt die Rate in Megabyte pro Sekunde aus, Provider bewerben ihre Anschlüsse dagegen in Megabit pro Sekunde. Ein Byte entspricht acht Bit, deshalb wird der Messwert mit acht multipliziert. Die folgende Tabelle zeigt gängige Werte im Überblick.

Ein einzelner TCP-Stream nutzt eine Leitung nie vollständig aus, weil Protokoll-Overhead, Latenz und Fenstermanagement Reserven kosten. Ein Gigabit-Anschluss liefert im Single-Stream-Test realistisch rund 850 bis 945 Mbit/s, nicht exakt 1.000. Für Support und interne Dokumentation reicht die reine Zahl nicht. Wir notieren zusätzlich einen kurzen Messdatensatz, der die spätere Analyse deutlich erleichtert.

• Zeitpunkt der Messung, etwa 2026-06-21 um 10:15 Uhr.
• Firewall und Firmware, etwa XGS 2100 mit SFOS 22.0 MR1.
• Verwendete Testdatei, etwa 1GB.bin.
• Gemessene Rate, etwa 107 MB/s und damit ungefähr 856 Mbit/s.
• Aktiver WAN-Link, etwa WAN1 über Glasfaser.
• Auffälligkeiten, etwa paralleles Backup, Failover, hohe CPU oder aktiver Packet Capture.

Werden mehrere Messungen verglichen, sollten Testdatei, Ziel, Uhrzeit und WAN-Pfad möglichst gleich bleiben. Sonst vergleichen wir Tageszeit, Providerpfad oder Gegenstelle statt der eigentlichen Firewall-Performance.

Live-Bandbreite pro Interface mit bwmon prüfen

Ergänzend zum Download-Test lässt sich die aktuelle Last je Schnittstelle direkt beobachten. In der Advanced Shell zeigt bwmon die Datenrate pro Interface in Echtzeit.

bwmon

Die Anzeige lässt sich über Tastenkürzel steuern. Mit u wechselt die Einheit zwischen Bytes, Bits, Paketen und Fehlern, mit t wechselt die Ansicht zwischen aktueller Rate, Maximum, Summe und dem Durchschnitt der letzten Sekunden. So erkennen wir während eines laufenden Downloads, ob der Durchsatz tatsächlich am erwarteten WAN-Port anliegt und ob dort Fehler auftreten. Beendet wird die Ansicht mit q.

Mit Client-Tests vergleichen und Ursache eingrenzen

Der eigentliche Erkenntnisgewinn entsteht im Vergleich mit einem Client hinter der Firewall. Die folgende Matrix ordnet die vier häufigsten Kombinationen einem nächsten Prüfschritt zu.

Besonders TLS Inspection und aggressive Security-Profile behandeln Clienttraffic deutlich anders als einen Download direkt auf der Firewall. Für gezielte Streckentests zwischen zwei definierten Netzen ist iPerf oft aussagekräftiger als ein öffentlicher Download, weil sich Server, Client, Richtung und Protokoll festlegen lassen. Den passenden Aufbau beschreiben wir in unserer Anleitung zu iPerf hinter der Sophos Firewall. Welche Firewall-Regel ein Flow tatsächlich trifft, klärt unsere Anleitung zu Log Viewer, Policy Test und Packet Capture.

Wenn die gemessene Geschwindigkeit zu niedrig ist

Weicht das Ergebnis deutlich vom gebuchten Tarif ab, lohnt eine strukturierte Ursachensuche. In der Praxis sehen wir am häufigsten die folgenden Punkte.

• Fehlerhafte Aushandlung von Geschwindigkeit oder Duplex am WAN-Port. Der ausgehandelte Modus lässt sich in der Advanced Shell mit ethtool je Port kontrollieren.
• Auslastung der Firewall durch Sicherheitsfunktionen. Bei aktiver TLS Inspection und IPS bremst nicht die Leitung, sondern die Verarbeitung. Die Durchsatzwerte je Modell helfen bei der Bewertung der Leistungsgrenze.
• Ein zu kleines Appliance-Modell für die gebuchte Bandbreite und das Feature-Set. Ob die Firewall passend dimensioniert ist, prüft unser Sophos XGS Sizing Tool.
• Physikalische Ursachen wie ein defektes Patchkabel, ein SFP-Modul mit falscher Reichweite oder Fehler auf der Leitung, sichtbar an steigenden Error-Zählern in bwmon.

Für die tiefergehende Analyse von CPU-Last und Durchsatz hilft unsere Anleitung zu Performance und Durchsatz der Sophos Firewall. Systematische Fehlerbilder deckt unser Sophos Firewall Troubleshooting ab. Für eine externe Bewertung von Konfiguration und tatsächlicher Leistung unterstützt Sie unser Team beim Firewall Audit.

Checkliste für den Speedtest

Vor dem Test

• SSH- oder Advanced-Shell-Zugriff bewusst und begrenzt erlaubt.
• Unkritischen Testzeitpunkt gewählt, keine parallelen Wartungsfenster.
• Aktiven WAN-Pfad bei mehreren Anschlüssen bekannt.
• Ausreichend freier Speicherplatz vorhanden.
• Ziel der Messung definiert, also WAN-Test, Clientvergleich oder VPN-Abgrenzung.

Während des Tests

• Testdatei nach /tmp herunterladen.
• Downloadrate und Einheit notieren.
• Fehler bei DNS, Routing oder Erreichbarkeit nicht mit langsamer Geschwindigkeit verwechseln.
• Keine parallelen großen Änderungen an Firewall-Regeln oder SD-WAN vornehmen.

Nach dem Test

• Testdatei löschen und auf Reste prüfen.
• Ergebnis in Mbit/s umrechnen.
• Mit Client- oder iPerf-Test vergleichen.
• Ergebnis mit Uhrzeit, WAN-Link und Testziel dokumentieren.

Fazit: Der Sophos Firewall Speedtest als Abgrenzungswerkzeug

Ein Speedtest über die Advanced Shell zeigt zuverlässig, was die Firewall über ihren aktuellen Pfad aus dem Internet laden kann. Er trennt die WAN-Anbindung der Appliance von Client-, WLAN- und Regelproblemen und ist in wenigen Minuten erledigt, sofern der SSH-Zugang zuvor auf vertrauenswürdige Netze beschränkt wurde. Aus unserer Sicht gehört dieser Test zur Standardausrüstung vor jeder Migration und bei jedem Verdacht auf Durchsatzprobleme. Wichtig ist die richtige Deutung des Ergebnisses. Ein schneller Download auf der Firewall bedeutet nicht automatisch eine schnelle Verbindung für die Clients dahinter, und bei mehreren WAN-Anschlüssen hängt die Aussagekraft davon ab, welchen Pfad wir dokumentiert haben. Bei der Ursachensuche helfen dann unsere Anleitungen zu iPerf, Packet Capture und Performance weiter.