Sophos Firewall Internet-Speedtest per SSH durchführen

Ein Download direkt aus der Advanced Shell beantwortet eine klar begrenzte Frage: Welche Downloadrate erreicht die Sophos Firewall selbst über ihren aktuellen WAN-Pfad? Damit lässt sich eine langsame Internetleitung von Problemen im Clientnetz, WLAN, VPN oder in einer Security-Policy abgrenzen.

Der Test ist kein vollständiger End-to-End-Test. Firewall-eigener Traffic durchläuft nicht denselben Weg wie ein Client hinter der Firewall. Für eine kontrollierte Messung zwischen zwei Endpunkten ist iPerf hinter Sophos Firewall besser geeignet; Datenblattwerte und den Einfluss aktivierter Security-Funktionen erklärt der Artikel zu den Sophos-Firewall-Leistungsdaten.

Vor dem Speedtest

Der Test benötigt SSH-Zugriff, funktionierendes DNS, genügend freien Speicher und einen unkritischen Zeitpunkt. Für einen kurzen Check steht eine 100-MB-Datei bereit; auf schnellen Leitungen liefert die 1-GB-Datei meist den stabileren Durchschnittswert. Beide Downloads können die Leitung kurzfristig vollständig auslasten und sollten deshalb nicht während Backups, VoIP-Spitzen, Failover-Tests oder anderer Wartungsarbeiten gestartet werden.

SSH wird unter Administration > Device access über die Local service ACL oder gezielter über eine Local service ACL exception rule freigegeben. Der Zugriff sollte nur aus einem vertrauenswürdigen Adminnetz erlaubt sein und nach der Arbeit wieder auf das notwendige Minimum begrenzt werden. Die Anmeldung ist unter Sophos Firewall per SSH verbinden beschrieben. Inaktive SSH-Sitzungen beendet Sophos Firewall nach 15 Minuten.

⚠️ Nicht starten, wenn freier Speicher, aktiver WAN-Pfad oder betriebliche Auswirkungen unklar sind. Bei unerwartet hoher CPU-Last, Störungen oder falschem Gateway den Download mit Ctrl+C abbrechen und die unvollständige Datei anschliessend löschen.

WAN-Pfad bei mehreren Anschlüssen prüfen

Der Download ist systemgenerierter Traffic. Eine SD-WAN-Route für Clients bestimmt daher nicht automatisch seinen Weg. In 4 Device Console zeigt dieser lesende Befehl, ob passende SD-WAN-Routen auch für systemgenerierten Traffic greifen können:

show routing sd-wan-policy-route system-generate-traffic

Ist die Option aktiviert, kann eine passende SD-WAN-Route den Downloadpfad beeinflussen. Ist sie deaktiviert, verwendet die Firewall ihre normalen Routing- und WAN-Entscheidungen. Der Befehl beweist noch nicht, welches Gateway der einzelne Download tatsächlich nimmt. Zusätzlich sollte man unter Network > WAN link manager die aktiven Gateways und unter Routing > SD-WAN routes den Status und passende Routen prüfen.

Auch ein ping mit interface oder sourceip ist nur ein Hinweis für diesen ICMP-Test; der spätere HTTPS-Download kann trotzdem anders geroutet werden. Die Zusammenhänge erklärt SD-WAN Routing, Reply Packet und System Traffic. Für den Speedtest sollte keine Routing-Option eigens umgestellt werden.

Internet-Speedtest per SSH durchführen

1. DNS, Erreichbarkeit und Speicher prüfen

Nach der SSH-Anmeldung als admin im CLI-Hauptmenü 5 Device Management > 3 Advanced Shell öffnen:

nslookup www.avanet.io
ping -c 4 www.avanet.io
traceroute www.avanet.io
df -kh /tmp

nslookup muss mindestens eine Adresse für www.avanet.io ausgeben. ping und traceroute liefern Hinweise auf Erreichbarkeit und Pfad, sind aber kein Beweis dafür, dass der HTTPS-Download funktioniert oder dass er denselben WAN-Link verwendet. Schlägt bereits DNS fehl, zuerst DNS, Default Route, WAN-Gateway und Providerverfügbarkeit prüfen.

Für 100MB.bin werden 104857600 Bytes benötigt, für 1GB.bin 1048576000 Bytes. Zusätzlich muss genügend Reserve für den normalen Firewallbetrieb verbleiben. Ist die Anzeige unklar oder die Partition bereits stark gefüllt, wird der dateibasierte Test nicht gestartet.

2. Testdatei herunterladen

Die Advanced Shell ist eine Linux-Shell mit tiefem Systemzugriff. Für diesen Ablauf werden nur das temporäre Verzeichnis, curl, die Dateikontrolle und das anschliessende Cleanup benötigt.

Für einen kurzen Test die 100-MB-Datei herunterladen:

cd /tmp
curl -L -o 100MB.bin https://www.avanet.io/100MB.bin

Auf schnellen Leitungen ist die 1-GB-Datei aussagekräftiger, weil der Download länger läuft:

cd /tmp
curl -L -o 1GB.bin https://www.avanet.io/1GB.bin

-L folgt Weiterleitungen. Mit -o erhält die heruntergeladene Datei den angegebenen Namen. Die Dateigrösse wird nach dem Test kontrolliert, damit eine Fehlerseite oder ein abgebrochener Download nicht als Messung ausgewertet wird.

Die Datei wird über Avanet und Cloudflare ausgeliefert. Testziel, Cachezustand, Peering, Routing, CPU-Last und Schreibgeschwindigkeit der Appliance können das Ergebnis beeinflussen. Der Wert ist deshalb eine praktische Vergleichsmessung und keine garantierte Provider- oder Firewall-Leistung.

3. Dateigrösse kontrollieren und aufräumen

Nach einem vollständig beendeten Download die Grösse prüfen und die Datei sofort entfernen:

ls -lh /tmp/100MB.bin
rm -f /tmp/100MB.bin

Für den 1-GB-Test den passenden Dateinamen verwenden:

ls -lh /tmp/1GB.bin
rm -f /tmp/1GB.bin

Für 100MB.bin muss ls ungefähr 100M anzeigen, für 1GB.bin je nach Darstellung ungefähr 1000M oder 1.0G. Eine deutlich kleinere Datei deutet auf einen abgebrochenen Download oder eine Fehlerantwort hin und darf nicht ausgewertet werden. rm -f entfernt die gewählte Testdatei auch nach einem unvollständigen Download.

Sophos Firewall leert /tmp zwar bei einem Neustart, darauf sollte man sich im Betrieb aber nicht verlassen. Eine grosse Testdatei bleibt bis dahin auf der Appliance und kann gerade bei kleinen oder bereits gefüllten Systemen weitere Probleme verursachen.

Ergebnis richtig auswerten

Während des Downloads zeigt curl in der Spalte Average Speed die durchschnittliche Rate. Im vorhandenen Beispiel steht dort 107M.

Das M in dieser Fortschrittsanzeige ist 1024-basiert und entspricht MiB/s. Internetanschlüsse werden dagegen in dezimalen Mbit/s angegeben. Für das Beispiel gilt:

107 x 1048576 x 8 / 1000000 = 897.6 Mbit/s

107M entsprechen somit ungefähr 898 Mbit/s, nicht 856 Mbit/s. Overhead, TCP-Verhalten, Gegenstelle, Routing und momentane Auslastung verhindern in der Praxis meist eine exakte Übereinstimmung mit dem Tarifwert.

Ein einzelner Lauf ist keine belastbare Diagnose. Mehrere Messungen sollten möglichst mit demselben Ziel, demselben WAN-Pfad und vergleichbaren Rahmenbedingungen erfolgen. Für Support oder interne Dokumentation ist dieser Messdatensatz sinnvoll:

• Zeitpunkt: zum Beispiel 2026-06-21 10:15
• Firewall und Firmware: zum Beispiel XGS 2100, SFOS 22.0 MR1
• Testdatei: 100MB.bin oder 1GB.bin
• Gemessene Rate: zum Beispiel 107M, ungefähr 898 Mbit/s
• Aktiver WAN-Link: zum Beispiel WAN1 Fiber
• Auffälligkeiten: paralleles Backup, Failover, hohe CPU oder aktiver Packet Capture

Was das Ergebnis bedeutet

Der Firewall-Download ist eine Abgrenzung, kein abschliessender Beweis. Die Kombination mit einem Clienttest zeigt, wo man als Nächstes suchen sollte:

• Firewall schnell, Client langsam: Client, WLAN, Switchport, DNS, Firewall-Regel, NAT, IPS, Web Protection, Application Control und TLS Inspection prüfen. Dabei helfen Log Viewer, Policy Test und Packet Capture sowie bei Bedarf ein gezielter Packet Capture.
• Firewall und Client langsam: WAN-Status, Link-Speed, Duplex, Interface-Errors und -Drops, aktives Gateway, Providerstörung, CPU-Last und ein zweites Testziel vergleichen. Auch eine langsame Appliance-Disk kann den dateibasierten Test beeinflussen.
• Nur einzelne Anwendungen langsam: DNS, Web Protection, Application Control, Proxy, TLS Inspection und Gegenstelle vergleichen.
• Nur VPN langsam: VPN-Protokoll, Routing sowie MTU und MSS prüfen.
• Nur Upload langsam: Dieser curl-Ablauf misst ausschliesslich den Download. Für Upload oder beide Richtungen ist ein kontrollierter iPerf-Test geeigneter.
• Werte schwanken über längere Zeit: Vergleichbare Messungen wiederholen und den Interface-Traffic bei Bedarf mit sFlow Monitoring beobachten.

Bleibt die Ursache unklar, werden zuerst der betroffene Clientflow und die tatsächlich getroffene Regel geprüft. Für tiefergehende Analysen zeigt Sophos Firewall Troubleshooting: Services und Logs, welche Logdatei zum jeweiligen Dienst gehört.

FAQ