Sophos Firewall Hotspot mit Voucher oder Tagespasswort einrichten

Ein Sophos Firewall Hotspot schaltet Gäste erst nach der Anmeldung für den Internetzugang frei. Für individuell begrenzte Zugänge verwendet man Voucher. Ein Tagespasswort ist einfacher, wird aber von allen Gästen gemeinsam genutzt.

Voraussetzung ist ein getrenntes Gast-WLAN mit Client traffic: Separate zone. Der Hotspot ersetzt weder die Netztrennung noch sauber begrenzte Firewall-Regeln.

⚠️ Wichtig: Dieser Ablauf gilt nur für WLAN-Hardware, die direkt von SFOS verwaltet wird. AP6 Access Points werden nicht über Sophos Firewall verwaltet. Praktisch relevant ist der Hotspot deshalb vor allem für bestehende APX-Installationen, integriertes LocalWiFi der Desktop-W-Modelle und unterstützte Wi-Fi-Module in Sophos Firewall oder SD-RED. Die Hardwareabgrenzung und das Gastnetz erklärt WLAN direkt auf Sophos Firewall einrichten.

Der vollständige Ablauf ist:

Getrenntes Gast-WLAN und WLAN-Interface prüfen.
Voucher-Definition oder Tagespasswort wählen.
Hotspot dem Gast-Interface zuweisen.
Automatisch erzeugte Firewall-Regel kontrollieren.
Voucher erstellen und den Zugang mit einem neuen Client testen.

Voucher, Tagespasswort oder nur Nutzungsbedingungen?

Die drei Hotspot-Typen lösen unterschiedliche Aufgaben:

Voucher: Jeder Gast erhält einen eigenen Code. Gültigkeit, Onlinezeit, Datenvolumen und die erlaubte Gerätezahl lassen sich begrenzen. Das passt für Besucher, externe Techniker, Hotels oder Veranstaltungen.
Password of the day: Alle Gäste verwenden dasselbe Passwort. Das ist an kleinen Standorten einfach zu verteilen, ermöglicht aber keine individuelle Zuordnung.
Terms of use acceptance: Gäste müssen nur die Nutzungsbedingungen akzeptieren. Dieser Typ hat die geringste Zugangshürde, kontrolliert aber nicht, wer den Zugang verwendet.

Für das folgende Beispiel ist Voucher die sinnvollste Wahl. Es verbindet eine einfache Ausgabe an der Rezeption mit klaren technischen Grenzen.

Ein Gastbenutzer auf Sophos Firewall ist dagegen ein zeitlich begrenztes lokales Benutzerkonto mit Username, Passwort, Gruppe und Captive-Portal-Anmeldung. Dieses Modell passt, wenn pro Person eine Identität mit Access Time oder Quoten benötigt wird; es ist kein weiterer Hotspot-Typ.

Beim Tagespasswort gibt es eine wichtige Nebenwirkung: Sobald ein neues Passwort erzeugt wird, beendet SFOS bestehende Hotspot-Sessions. Die Gäste müssen sich erneut anmelden. Die Option Override wireless networks’ passphrase ändert zusätzlich den WLAN-PSK und konfiguriert beziehungsweise startet die zugehörigen Access Points neu. Diese Option sollte deshalb nur bewusst und mit eingeplantem Unterbruch verwendet werden.

Voraussetzungen prüfen

Der Artikel beginnt bei einem bereits ausgestrahlten Gast-WLAN. Vor dem Hotspot müssen diese Punkte funktionieren:

Das Wireless Network verwendet Separate zone und besitzt ein eigenes Interface.
Ein Testclient erhält per DHCP eine Adresse, Gateway und DNS.
Systemzeit, Zeitzone und NTP der Firewall stimmen. Sie beeinflussen unter anderem Voucher-Gültigkeit und Tagespasswortwechsel.
Das Gastnetz überschneidet sich nicht mit LAN, VPN, RED oder anderen VLANs.
Interne Netze und die Firewall-Verwaltung sind für Gäste gesperrt.
Für den Hotspot stehen passende Web-, Application-, IPS- und Traffic-Shaping-Policies fest.
Ein Benutzer oder eine Gruppe ist für die Voucher-Ausgabe vorgesehen.
Für Redirect to HTTPS existieren ein passender Portalname, DNS und ein vertrauenswürdiges Zertifikat.

Bei einem Wi-Fi-Modul in SD-RED müssen zusätzlich RED-Verbindung, DHCP, DNS, NTP und die benötigten RED-Ports funktionieren. Den vollständigen Datenpfad und die Abgrenzung der Betriebsmodi erklärt Sophos SD-RED einrichten und testen.

Das Beispiel verwendet:

SSID: Company Guest
Gastnetz: 10.30.40.0/24
Gateway: 10.30.40.1
Hotspot: Guest WiFi Reception
Voucher-Definition: Guest-8h-2GB
ein Gerät pro Voucher
acht Stunden Onlinezeit
2 GB Datenvolumen
einen Tag Gültigkeit ab der ersten Anmeldung

Die Werte sind keine allgemeine Empfehlung. Eine Hotellobby, eine Tagesveranstaltung und ein Zugang für externe Techniker brauchen unterschiedliche Grenzen.

Voucher-Hotspot einrichten

1. Voucher-Definition erstellen

Unter Wireless > Hotspot voucher definition > Add werden die Grenzen für einen Voucher festgelegt:

Name: Guest-8h-2GB
Validity period: 1 day
Time quota: 8 hours
Data volume: 2 GB

Die drei Werte wirken nicht gleich:

Validity period beginnt mit der ersten Anmeldung. Im Beispiel ist der Voucher spätestens einen Tag danach ungültig, auch wenn das Zeit- oder Datenkontingent noch nicht aufgebraucht ist.
Time quota zählt die tatsächliche Verbindungszeit ab der Anmeldung und stoppt beim Abmelden. Nach fünf Minuten Inaktivität stoppt die Zählung ebenfalls.
Data volume begrenzt das gesamte über diesen Voucher übertragene Volumen.

Damit kann ein Gast innerhalb eines Kalendertages mehrfach online gehen, aber höchstens acht Stunden und bis maximal 2 GB. Läuft eine der drei Grenzen ab, ist der Voucher nicht weiter nutzbar.

Nach dem Speichern steht die Definition für neue oder bestehende Voucher-Hotspots zur Auswahl.

2. Hotspot anlegen

Unter Wireless > Hotspots > Add wird der eigentliche Zugang erstellt:

Name: Guest WiFi Reception eintragen.
Unter Interfaces das Interface von Company Guest auswählen.
Passende Application filter policy, Web policy, IPS policy und Traffic shaping policy wählen.
Hotspot type: Voucher setzen.
Unter Voucher definitions Guest-8h-2GB auswählen.
Devices per voucher: 1 setzen.
Unter Administrative users die für die Voucher-Ausgabe verantwortlichen Benutzer oder die passende Gruppe eintragen.
Nutzungsbedingungen ergänzen, wenn Gäste diese vor dem Zugang akzeptieren sollen.
Redirect to HTTPS mit vorbereitetem Portalnamen und Zertifikat aktivieren.
Mit Save speichern.

Devices per voucher: 1 bedeutet, dass derselbe Code nicht noch für weitere Geräte genutzt werden kann. Soll ein Besucher beispielsweise Notebook und Smartphone verbinden dürfen, muss die Gerätezahl bewusst erhöht oder ein zweiter Voucher ausgegeben werden.

Die Schutzrichtlinien gelten für den über die automatisch erzeugte Hotspot-Regel erlaubten Traffic. Für Gäste sollte man nicht einfach dieselben Freigaben wie für interne Benutzer übernehmen. Ein enger Webzugang, Application Control, IPS und ein passendes Bandbreitenlimit sind meist die bessere Ausgangslage.

3. HTTPS, Zertifikat und Walled Garden festlegen

Unter Wireless > Hotspot settings liegen drei globale Einstellungen. Sie gelten nicht nur für den gerade erstellten Hotspot und sollten deshalb gegen alle vorhandenen Hotspots geprüft werden:

Login page certificate: Zertifikat für die HTTPS-Anmeldeseite auswählen. Der verwendete Name beziehungsweise die IP-Adresse muss vom Zertifikat abgedeckt sein, vollständig auf die Firewall auflösen und mit einer auf Gastgeräten vertrauenswürdigen Zertifikatskette ausgeliefert werden. Sonst erscheint trotz HTTPS eine Browserwarnung. Die Ausstellung und Erneuerung erklärt Let’s Encrypt auf Sophos Firewall.
Walled garden: Nur Ziele eintragen, die schon vor der Anmeldung erreichbar sein müssen, beispielsweise eine einzelne Seite mit Nutzungsbedingungen. Jedes zusätzliche Netz und jede Domain erweitert den Zugriff ohne Voucher.
Delete expired vouchers: Abgelaufene Voucher automatisch nach einem gewählten Intervall zwischen 1 und 365 Tagen löschen. Das hält die Verwaltung übersichtlich, ersetzt aber keine betriebliche Regel für Ausgabe und Widerruf.

Die Loginseite lässt sich ebenfalls anpassen. Eine einfache Anpassung mit Logo, Titel und kurzem Hinweis ist leichter zu pflegen als ein vollständig eigenes HTML-Template. Reale Voucher-Codes, interne Hostnamen oder Support-Zugangsdaten gehören weder in die Vorlage noch in Screenshots.

4. Automatisch erzeugte Firewall-Regel prüfen

Beim Speichern erstellt SFOS eine zugehörige Firewall-Regel und setzt sie oben in die Regelliste. Das ist bequem, aber sicherheitskritisch: Eine weit oben stehende Regel wird vor darunterliegenden Regeln ausgewertet und kann bei zu breitem Scope unerwartet Traffic übernehmen.

Unter Rules and policies > Firewall rules kontrollieren:

Quell-Interface und Quellzone gehören nur zum Gast-WLAN.
Zielzone und Zielnetze erlauben keinen Zugriff auf LAN, Server-, Management- oder VPN-Netze.
Services sind nicht breiter als nötig.
Web-, Application-, IPS- und Traffic-Shaping-Policies entsprechen dem Gästeprofil.
Log firewall traffic ist für die Abnahme aktiviert.
Die Position kollidiert nicht mit automatisch erzeugten MTA-, IPsec- oder anderen Hotspot-Regeln.
Eine passende MASQ-/SNAT-Regel deckt das Gastnetz ab.

Zugriffe auf die Firewall selbst werden separat unter Administration > Device access gesteuert. Für die WiFi-Zone sollten HTTPS, SSH und andere nicht benötigte lokale Dienste geschlossen sein. DNS bleibt nur offen, wenn die Gäste die Firewall tatsächlich als Resolver verwenden. Die Zusammenhänge erklären Firewall-Regeln richtig planen und Device Access sicher konfigurieren.

Voucher im User Portal erzeugen

Die unter Administrative users zugewiesenen Personen können Voucher im User Portal verwalten, ohne Zugriff auf WebAdmin zu erhalten. Das User Portal läuft standardmässig auf Port 4443 und sollte dafür nicht pauschal aus dem WAN geöffnet werden. Eine gezielte Freigabe aus einem vertrauenswürdigen internen Verwaltungsnetz ist die sicherere Variante. Unter Hotspots werden folgende Werte gewählt:

Hotspot: Guest WiFi Reception
Hotspot Voucher Definition: Guest-8h-2GB
Amount: gewünschte Anzahl, maximal 50 pro Vorgang
Description: beispielsweise Visitors 2026-08-07
Optional Print, Seitengrösse, Voucher pro Seite und Add QR Code wählen.
Create Vouchers anklicken.

Der QR-Code öffnet die Hotspot-Anmeldeseite und füllt die nötigen Angaben vor. Er enthält damit Zugangsdaten und muss genauso geschützt werden wie der ausgeschriebene Voucher-Code.

Für die Ausgabe braucht es einen einfachen Prozess: Wer darf Voucher erzeugen, wie wird ein Code einem Gast zugeordnet und wann wird ein noch gültiger Code gelöscht? Ein grosser Vorrat ausgedruckter Voucher an einer öffentlich zugänglichen Rezeption schwächt die technischen Grenzen.

Gastzugang vollständig testen

Die Abnahme erfolgt mit einem Gerät, das noch keine aktive Hotspot-Session besitzt. Ein privates Browserfenster verhindert zusätzlich, dass alte Cookies das Ergebnis verfälschen.

Mit Company Guest verbinden.
Prüfen, ob der Client eine Adresse aus 10.30.40.0/24, Gateway 10.30.40.1 und die geplanten DNS-Server erhält.
Vor der Anmeldung prüfen, dass ausser den bewusst eingetragenen Walled-Garden-Zielen keine internen oder externen Ziele erreichbar sind.
Eine normale HTTP-Seite öffnen und die Weiterleitung zur Hotspot-Anmeldeseite prüfen.
Zertifikatsname, Zertifikatskette und Browserstatus kontrollieren.
Zuerst einen falschen, danach den korrekten Voucher-Code eingeben.
DNS und eine erlaubte HTTPS-Seite testen.
Bewusst ein internes Ziel und die WebAdmin-Adresse aufrufen; beides muss blockiert bleiben.
Im Log Viewer nach der Client-IP filtern und die erwartete Firewall Rule ID sowie NAT Rule ID kontrollieren.
Bei einem Test-Voucher mindestens eine konfigurierte Grenze gezielt erreichen und prüfen, ob der Zugriff danach endet.

Internet alleine ist kein ausreichender Erfolg. Der Client muss im richtigen Netz liegen, über die erwartete Regel laufen und von internen Systemen sowie der Firewall-Verwaltung getrennt bleiben.

Tagespasswort als einfachere Alternative

Für ein gemeinsames Tagespasswort wird beim Hotspot Password of the day statt Voucher gewählt. Danach legt man die Erzeugungszeit, Empfängeradressen und die verantwortlichen administrativen Benutzer fest.

Eine interne Mailgruppe ist praktischer als viele einzelne Empfänger. Dafür muss die E-Mail-Benachrichtigung der Sophos Firewall funktionieren. Das Passwort sollte nicht dauerhaft öffentlich aushängen und nach jedem automatischen oder manuellen Wechsel mit einem neuen Client getestet werden.

Override wireless networks’ passphrase ist nur nötig, wenn Hotspot-Passwort und WLAN-PSK identisch sein sollen. Ohne diese Option bleibt der PSK des WLANs unverändert und nur die Anmeldung am Hotspot verwendet das Tagespasswort. Mit der Option werden die zugehörigen Access Points neu konfiguriert und gestartet; verbundene Clients werden unterbrochen.

Typische Fehler eingrenzen

Anmeldeseite erscheint nicht

Zuerst prüfen, ob der Client im richtigen Gastnetz liegt und das Interface dem Hotspot zugewiesen ist. Danach DHCP, Gateway und DNS kontrollieren und bewusst eine normale HTTP-Seite öffnen. Bereits aktive Hotspot-Sessions, verschlüsselte DNS-Verfahren oder ein Browser, der direkt nur HTTPS aufruft, können den erwarteten Redirect verdecken.

Voucher wird abgelehnt

Prüfen, ob der Voucher zum ausgewählten Hotspot gehört und ob Gültigkeit, Time quota, Datenvolumen oder die erlaubte Gerätezahl bereits erreicht sind. Bei einem QR-Code zusätzlich kontrollieren, ob wirklich der aktuelle und vollständig lesbare Code verwendet wird.

Anmeldung klappt, aber das Internet nicht

Jetzt sind Hotspot und Voucher bereits weiter als der Datenpfad. Automatisch erzeugte Firewall-Regel, Regelposition, DNS, Routing, MASQ/SNAT und die gewählten Schutzrichtlinien prüfen. Der Log Viewer zeigt, ob die erwartete Rule ID matched oder eine andere Regel den Traffic übernimmt.

Interne Systeme sind erreichbar

Das ist kein Hotspot-Fehler, sondern eine zu breite Freigabe. Zielzonen und Zielnetze der Hotspot-Regel sowie vorhandene WiFi-to-LAN- oder Any-Regeln einschränken. Danach interne Ziele erneut testen.

Verantwortliche können keine Voucher erstellen

Der Benutzer oder seine passende Gruppe muss unter Administrative users des Hotspots eingetragen sein und sich am User Portal anmelden können. Die benötigte Voucher-Definition muss dem Hotspot ebenfalls zugewiesen sein; sonst erscheint sie dort nicht zur Auswahl.

Fehler bleibt reproduzierbar

Client-IP, Zeitpunkt, SSID, Hotspot-Name und den Status des Vouchers dokumentieren. Danach Log Viewer und bei Bedarf hotspotd.log prüfen. Für den Funkpfad kommen je nach Hardware awed.log, wc_remote.log oder hostapd.log hinzu; dhcpd.log, firewall_rule.log, cschelper.log sowie bei SD-RED red.log und red-<serial>.log grenzen den jeweiligen Teil des Ablaufs weiter ein. Wie diese Dateien ohne unkontrollierte Service-Neustarts gelesen werden, steht unter Sophos Firewall Service-Logs.

Nicht produktiv schalten sollte man den Hotspot, solange Separate zone, DHCP, DNS, Systemzeit, Zertifikat, Walled Garden oder die automatisch erzeugte Regel nicht sauber geprüft sind. Gleiches gilt für ein Tagespasswort mit E-Mail-Versand oder WLAN-PSK-Wechsel, wenn Zustellung und geplanter AP-Neustart noch nicht getestet wurden.