Sophos Firewall Quarantäne-Digest einrichten und testen
Der Quarantäne-Digest informiert Benutzer per E-Mail über Spam-Nachrichten, die Sophos Firewall zurückgehalten hat. Der Digest ist aber nicht einfach nur eine weitere Systembenachrichtigung: Versandweg, Benutzerzuweisung, Release-Link und User Portal müssen gemeinsam funktionieren.
Der wichtigste Punkt für die Abnahme ist deshalb der vollständige Benutzerweg. Eine erfolgreiche Testmail bestätigt noch nicht, dass ein echter Benutzer seinen Digest erhält, sich am richtigen Portal anmelden und eine zulässige Nachricht freigeben kann.
⚠️ Der Release-Link gibt eine Nachricht nicht direkt frei. Er führt zum User Portal, wo sich der Benutzer anmelden und die Nachricht selbst auswählen muss. Die Portaladresse darf deshalb weder auf einen nur intern erreichbaren Namen noch unkontrolliert auf eine breit geöffnete Managementoberfläche zeigen.
Quarantäne-Digest in sieben Schritten
- Unter Administration > Notification settings den Mailversand einrichten und mit einer Testmail prüfen.
- Portal-FQDN, DNS, Zertifikat und erlaubte Quellnetze für den vorgesehenen Benutzerkreis festlegen.
- Unter Email > Quarantine settings den Digest aktivieren und Versandzeit, Absender sowie Anzeigenamen setzen.
- Unter Release link settings die richtige User-Portal-Adresse auswählen.
- Quarantänebereich und bewusst auszuschliessende Adressmuster festlegen.
- Den Digest unter Authentication > Groups oder Authentication > Users den vorgesehenen Konten zuweisen.
- Mit einer echten quarantänisierten Spam-Testmail den Digest, die Portal-Anmeldung und die Freigabe end-to-end prüfen.
Was der Digest kann und was nicht
Der Digest enthält eine Liste quarantänisierter Spam-Nachrichten mit Empfangszeit, Absender, Empfänger und Betreff. Er ist damit eine komfortable Benutzersicht, ersetzt aber weder die administrative Quarantäne unter Email > SMTP quarantine noch die technische Analyse von Policy, Mail logs und MTA-Logs.
Nur Benutzer, die mindestens einmal an der Firewall authentifiziert wurden, erhalten einen Quarantäne-Digest. Das wird häufig übersehen, wenn Konten zwar aus Active Directory importiert sind, sich aber noch nie an User Portal, Captive Portal oder einem anderen passenden Dienst angemeldet haben.
Auf XGS 87 und XGS 87w ist der Quarantäne-Digest laut aktueller SFOS-22-Hilfe nicht verfügbar. Diese Modellgrenze betrifft den Digest und darf nicht mit der separaten MTA-Mode-Grenze verwechselt werden. Den Mailflow, die SMTP-Policy und die administrative Quarantäne erklärt Mail Protection im MTA Mode einrichten.
Mailversand und Portaladresse vorbereiten
Der Versand verwendet die Einstellungen unter Administration > Notification settings. Mailserver, Absender, Empfänger, DNS, Route, Authentifizierung und TLS müssen dort zuerst funktionieren. Der vollständige Transporttest steht unter Sophos Firewall E-Mail-Benachrichtigungen einrichten.
Für den Release-Link gibt es zwei Wege:
- Reference user portal IP: SFOS verwendet die Adresse des ausgewählten Interfaces zusammen mit dem User-Portal-Port.
- IP address or hostname: SFOS verwendet die unter Administration > Admin and user settings > Admin console and end-user interaction konfigurierte Adresse.
Ein FQDN ist meist verständlicher und lässt sich mit einem passenden Zertifikat sauber absichern. Er muss aber aus den Netzen der Empfänger auf die richtige Firewall-Adresse auflösbar und erreichbar sein. Eine private Interface-IP im Digest ist für externe oder mobile Benutzer normalerweise unbrauchbar. Umgekehrt ist eine öffentliche Adresse kein Grund, das User Portal pauschal für jedes WAN-Netz freizugeben. Portalzweck und Device Access werden unter Sophos Firewall Portale im Überblick getrennt erklärt.
Digest konfigurieren
Unter Email > Quarantine settings wird Enable quarantine digest aktiviert. Danach werden die gewünschte Versandfrequenz, der Zeitpunkt und gegebenenfalls der Wochentag festgelegt. Als From email address gehört eine gültige Absenderadresse hinein; Display name sollte den Absender für Benutzer eindeutig als Firewall-Quarantäne kennzeichnen.
Unter Release link settings wird anschliessend die vorbereitete Portaladresse gewählt. Send test email prüft, ob SFOS eine Digest-Mail über den konfigurierten Mailweg versenden kann. Der Test enthält jedoch keine echte quarantänisierte Benutzernachricht und beweist weder die spätere Benutzerzuweisung noch die Portal-Anmeldung oder Freigabe.
Quarantänebereich und automatische Bereinigung
Im MTA Mode wird unter Quarantine area die Grösse des lokalen Quarantänebereichs gewählt. SFOS kontrolliert die Belegung alle fünf Minuten. Erreicht sie mindestens 90 Prozent der gewählten Grösse, werden ältere Nachrichten gelöscht, bis die Belegung auf 60 Prozent sinkt.
Diese automatische Bereinigung ist kein Archiv. Ein zu kleiner Bereich kann die verfügbare Zeit für Prüfung und Freigabe verkürzen; ein grosser Bereich verbraucht lokalen Speicher. Belegung und freier Platz sollten deshalb gemeinsam mit dem übrigen /var-Verbrauch beobachtet werden. Der sichere Diagnoseweg steht unter Speicherplatz und Reports auf Sophos Firewall prüfen.
Skip address patterns richtig einordnen
Adressen unter Skip address patterns werden aus den Quarantäneberichten ausgeschlossen. Das ist beispielsweise für gemeinsam genutzte Aliasse sinnvoll, deren Spam nicht an viele Benutzer verteilt werden soll. Die Einstellung löscht jedoch keine Nachricht und ist keine Ausnahme von Spam-, Malware- oder Data-Protection-Prüfungen.
Benutzern und Gruppen zuweisen
Die globale Digest-Konfiguration allein aktiviert den Versand noch nicht für alle Benutzer. Unter Authentication > Groups oder Authentication > Users wird Quarantine digest für die vorgesehenen Konten auf Enable gesetzt. Alternativ lässt sich die Zuweisung direkt unter Email > Quarantine settings > Change user’s quarantine digest settings vornehmen.
Bei Alias-Adressen sind zwei Grenzen wichtig. Standardmässig wendet SFOS die Digest-Einstellung nicht automatisch auf Aliasse an; sie müssen zusammen mit der primären E-Mail-Adresse am Benutzer hinterlegt oder gezielt zugewiesen werden. Der Digest kann dann Spam für primäre und Alias-Adressen aufführen. Im User Portal werden quarantänisierte Nachrichten an Alias-Adressen laut Sophos trotzdem nicht angezeigt. Für solche Adressen braucht es deshalb einen klaren administrativen Freigabeprozess unter Email > SMTP quarantine.
Benutzer-Ausnahmen für Absender kontrollieren
Im User Portal unter Exception kann ein berechtigter Benutzer einzelne Absenderadressen oder Wildcards wie *@example.com erlauben oder blockieren. Erlaubte Absender werden nicht als Spam markiert oder in die Spam-Quarantäne verschoben, die Antivirus-Prüfung bleibt jedoch aktiv. Steht dieselbe Adresse in beiden Listen, hat die Blockliste Vorrang und die Nachricht wird quarantänisiert. Diese benutzerspezifischen Ausnahmen gehören deshalb in den Pilot- und Supporttest und dürfen nicht mit den globalen Skip address patterns des Digests verwechselt werden.
Den vollständigen Freigabeweg testen
Für die Abnahme wird ein Pilotbenutzer verwendet, der sich bereits einmal an der Firewall authentifiziert hat. Eine kontrollierte Nachricht muss durch die erwartete SMTP-Policy als Spam quarantänisiert werden. Danach werden folgende Zustände geprüft:
- Die Nachricht erscheint unter Email > SMTP quarantine mit erwartetem Empfänger, Betreff und Grund.
- Der Pilotbenutzer erhält den Digest zur konfigurierten Zeit.
- Absender, Anzeigename, Betreff und Metadaten entsprechen dem Datenschutz- und Betriebskonzept.
- Der Release-Link öffnet den vorgesehenen User-Portal-FQDN mit gültiger Zertifikatskette.
- Die Anmeldung funktioniert aus einem erlaubten Netz und scheitert aus einem nicht vorgesehenen Netz.
- Die zulässige Testnachricht lässt sich nach der Anmeldung freigeben und wird tatsächlich zugestellt.
- Ein Benutzer ohne Digest-Zuweisung erhält keinen Bericht.
Virusinfizierte Nachrichten und E-Mails, die Zero-Day Protection als bösartig bewertet hat, lassen sich nicht freigeben. Dieser Negativtest verhindert, dass ein erfolgreicher Spam-Release fälschlich als allgemeine Freigabemöglichkeit verstanden wird.
Fehler systematisch eingrenzen
Die Testmail kommt nicht an
Zuerst Administration > Notification settings prüfen. Send test email scheitert vor der eigentlichen Quarantänefunktion, wenn DNS, Route, Mailserver, Authentifizierung, TLS, Absender oder Empfänger nicht stimmen. Es ist nicht sinnvoll, Benutzerzuweisungen oder Quarantänegrösse zu ändern, solange der Mailtransport selbst nicht funktioniert.
Die Testmail kommt an, aber kein Benutzerdigest
Prüfen, ob Enable quarantine digest aktiv ist, Zeitplan und Zeitzone stimmen und das betroffene Konto unter Groups, Users oder Change user’s quarantine digest settings aktiviert wurde. Der Benutzer muss sich mindestens einmal an der Firewall authentifiziert haben. Ausserdem muss im gewählten Zeitraum tatsächlich eine passende Spam-Nachricht für diesen Empfänger in der Quarantäne liegen.
Der Release-Link zeigt auf die falsche Adresse
Release link settings, das ausgewählte Interface, User-Portal-Port sowie Admin console and end-user interaction abgleichen. Danach DNS-Auflösung, Zertifikatsname und Erreichbarkeit aus dem echten Benutzernetz testen. Die Adresse wird nicht durch wiederholtes Senden der Testmail korrigiert; zuerst muss die zugrunde liegende Portalreferenz stimmen.
Alias-Nachrichten fehlen im Portal
Das ist nicht automatisch ein Fehler des Digests. Sophos dokumentiert ausdrücklich, dass quarantänisierte Nachrichten an Alias-Adressen nicht im User Portal erscheinen. Primäradresse, Alias-Zuweisung, Digest-Inhalt und administrative SMTP-Quarantäne werden deshalb getrennt geprüft.
Betrieb und Rollback
Digest-Mails enthalten Kommunikationsmetadaten und können ausserhalb der Firewall in Postfächern, Archiven oder Tickets weiterbestehen. Der Empfängerkreis sollte klein bleiben, die Mailbox-Aufbewahrung zum Schutzbedarf passen und ein gemeinsam genutzter Alias nur bewusst in Berichten erscheinen.
Für einen Rollback wird zuerst Enable quarantine digest deaktiviert oder die Zuweisung bei den Pilotbenutzern zurückgenommen. Danach wird eine neue Quarantäne-Nachricht erzeugt und geprüft, dass kein weiterer Digest versendet wird. Portal- oder Notification-Einstellungen werden nur zurückgebaut, wenn kein anderer Dienst sie verwendet. Die Quarantäne selbst bleibt unabhängig vom Digest bestehen und wird nicht als Teil des Rollbacks gelöscht.