Sophos Firewall Logs für Support und Analyse sichern

Bei Störungen, VPN-Problemen oder unklaren Firewall-Ereignissen reichen einzelne Screenshots aus der Weboberfläche oft nicht aus. Für eine fundierte Analyse braucht ein Supportfall nachvollziehbare Zeitangaben, passende Logdateien und manchmal zusätzlich einen Paketmitschnitt.

Diese Anleitung beschreibt den offiziellen Weg über Diagnostics > Tools und den ergänzenden Rohlog-Weg über die Advanced Shell. Für Sophos Support ist der Consolidated Troubleshooting Report oft der sauberste Einstieg, weil er Logdateien und einen System-Snapshot in einem verschlüsselten Archiv sammelt. Ein manuell erzeugtes /log-Archiv bleibt nützlich, wenn vollständige Rohlogs, IPsec-Zusatzdaten oder eine eigene Analyse benötigt werden.

Der Ablauf ersetzt nicht die erste Eingrenzung im Log Viewer. Wenn noch unklar ist, welches Modul betroffen ist, hilft zuerst die Übersicht Sophos Firewall Troubleshooting: Services und Logs.

Supportfall zuerst eingrenzen

Ein grosses Archiv ist nicht automatisch ein gutes Supportpaket. Zuerst muss klar sein, welcher Test fehlgeschlagen ist, wann er ausgeführt wurde und welche Komponente wahrscheinlich beteiligt ist.

Erst analysieren oder bereits Daten sichern?

Je nach Fehlerbild ist ein anderer Einstieg schneller:

Konkreten Verbindungsversuch prüfen: Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture, wenn Regel, NAT-Regel oder Route unklar sind.
Lokale Logdateien zuordnen: Sophos Firewall Troubleshooting: Services und Logs, wenn zuerst geklärt werden muss, welches Log zu VPN, Web, IPS, GUI oder Systemdiensten gehört.
Fehler ist bekannt und die Daten sollen weitergegeben werden: Dann passt der Ablauf in diesem Artikel mit CTR, gezielten Logs oder einem Rohlog-Archiv.

Für historische Reports oder wiederkehrende Ereignisse eignet sich Central Firewall Reporting. Für die langfristige Aufbewahrung und Korrelation braucht es Syslog oder SIEM. Ein akutes Supportarchiv ersetzt beides nicht.

Datenpaket nach Fehlerbild wählen

Nicht jedes Problem braucht sofort ein vollständiges Logarchiv. Je klarer der Fehler eingegrenzt ist, desto kleiner und nützlicher werden die Daten.

Firewall-Regel oder NAT-Regel greift unerwartet: Uhrzeit, Source IP, Destination IP, Rule ID, NAT ID, Log-Viewer-Export und bei Bedarf Packet Capture.
Dienst startet nicht oder WebAdmin zeigt Fehler: Consolidated Troubleshooting Report, betroffener Dienst, Uhrzeit und letzter Konfigurationsschritt.
IPsec-Tunnel baut nicht auf oder fällt aus: normales Logarchiv, IPsec-Diagnosedaten, Peer-IP, lokale und entfernte Netze, Zeitpunkt des Verbindungsversuchs.
Traffic kommt nicht am Ziel an: Log Viewer, Packet Capture oder bei längeren Analysen tcpdump-PCAP.
Problem nach Konfigurationsänderung: Audit Trail, ungefährer Änderungszeitpunkt, beteiligter Admin, betroffene Objekte und bei Bedarf CTR.

Für viele Tickets ist die Kombination aus Problemzeitpunkt, kurzer Fehlerbeschreibung, Logarchiv und einem gezielten Zusatznachweis besser als ein sehr breites Datenpaket ohne Kontext. Wenn ein offizielles Sophos-Ticket erstellt wird, passt zusätzlich Sophos Supportticket eröffnen: Vorbereitung und Portal.

Voraussetzungen

Für diese Anleitung benötigt man:

Administrativen Zugriff auf die Sophos Firewall
Zugriff auf Diagnostics > Tools im WebAdmin
Für Rohlog-Archive zusätzlich Zugriff auf die Advanced Shell
Einen Zielserver, ein Supportportal oder eine andere sichere Möglichkeit, um Archive zu übertragen
Genügend freien Speicherplatz auf der Firewall für temporäre Archive

Die CLI-Befehle werden direkt auf der Firewall ausgeführt. Man sollte daher sorgfältig arbeiten und keine Dateien löschen, wenn nicht klar ist, wofür sie verwendet werden.

Falls der Zugriff auf die Shell noch nicht eingerichtet ist, erklärt die Anleitung Sophos Firewall per SSH verbinden, wie man eine SSH-Verbindung zur Firewall herstellt.

⚠️ Logarchive und PCAP-Dateien können sensible Informationen enthalten. Solche Dateien sollten nur kurz auf der Firewall liegen, sicher übertragen und nach erfolgreicher Übergabe wieder entfernt werden.

Logs sammeln

Je nach Supportfall reicht ein gezielter WebAdmin-Download, ein CTR oder ein Rohlog-Archiv aus der Advanced Shell. Der Ablauf sollte mit dem kleinsten Datensatz beginnen, der den Fehler noch sauber erklärt.

Standardweg: CTR im WebAdmin erzeugen

Für viele Supportfälle sollte man zuerst den Consolidated Troubleshooting Report erzeugen. Der CTR enthält einen System-Snapshot und Logdateien in einem verschlüsselten Archiv. Sophos Support kann dieses Archiv direkt im Supportfall auswerten.

So erstellt man den CTR:

Fehler möglichst reproduzieren und die genaue Uhrzeit notieren.
Im WebAdmin Diagnostics > Tools öffnen.
Unter Consolidated troubleshooting report die benötigten Optionen auswählen.
Für einen breiten Supportfall System snapshot und All log files aktivieren.
Einen kurzen Grund eintragen, zum Beispiel Ticketnummer, Fehlerbild und Zeitfenster.
Generate auswählen.
Nach der Erstellung Download auswählen.
Die Datei über das Supportportal, den vereinbarten sicheren Upload oder den internen Analyseweg bereitstellen.

Der Dateiname beginnt typischerweise mit CTR_ und enthält Seriennummer beziehungsweise Gerätekennung sowie Erstellungsdatum und Uhrzeit. Das ist praktisch, wenn mehrere Firewalls oder mehrere Versuche in einem Ticket landen.

⚠️ Der CTR ist nicht dasselbe wie ein vollständiger Rohdaten-Dump. Service-Subsystem-Logs enthalten standardmässig höchstens 10’000 Zeilen; diese Grenze gilt nur für den CTR. Wenn ältere oder vollständige Rohlogs benötigt werden, sollte man die betroffenen Troubleshooting Logs einzeln herunterladen oder die Dateien über die Advanced Shell sichern.

Einzelne Troubleshooting Logs herunterladen

Wenn das Modul bereits bekannt ist, ist ein gezielter Logexport oft besser als ein sehr breiter Datensatz.

Diagnostics > Tools öffnen.
Unter Troubleshooting logs die relevanten Logdateien auswählen.
Download auswählen.
Die erzeugte komprimierte Datei zusammen mit Fehlerzeitpunkt, Testfall und betroffener Firewall weitergeben.

Dieser Weg passt, wenn zum Beispiel nur strongswan.log, charon.log, sslvpn.log, reverseproxy.log, applog.log oder ein anderer klar betroffener Dienst benötigt wird. Anders als beim CTR gilt die Zeilenbegrenzung für diese Einzeldownloads nicht. Welche Datei zu welchem Modul gehört, steht in Sophos Firewall Troubleshooting: Services und Logs.

Advanced Shell öffnen

Auf der Sophos Firewall anmelden und die Advanced Shell öffnen:

Im CLI-Hauptmenü 5. Device Management auswählen.
Danach 3. Advanced Shell öffnen.
Den Zugriff bestätigen, falls die Firewall eine zusätzliche Abfrage anzeigt.

Nach dem Login befindet man sich auf der Shell der Firewall. Von dort aus können die Logdateien archiviert werden.

Vor dem Sichern gezielt Logs sammeln

Wenn ein Problem reproduzierbar ist, sollte es nach Möglichkeit direkt vor dem Archivieren der Logs nochmals ausgelöst werden. Dadurch landen die relevanten Einträge möglichst aktuell in den Logdateien.

Bei komplexeren Problemen reichen die normalen Logs manchmal nicht aus. In diesem Fall kann es sinnvoll sein, vor dem Archivieren für den betroffenen Dienst ein Debug-Log zu aktivieren. Debug sollte nur gezielt und kurz laufen und nach dem Sammeln wieder deaktiviert werden, weil Logdateien sonst schnell wachsen können. Wie das funktioniert, ist im Abschnitt Debug-Log gezielt aktivieren beschrieben.

Welche Logdatei zu welchem Firewall-Modul gehört, ist in Sophos Firewall Troubleshooting: Services und Logs zusammengefasst. Diese Übersicht ist hilfreich, wenn man gezielt prüfen möchte, ob für ein Problem eher VPN-, IPS-, Web-, Mail-, GUI- oder System-Logs relevant sind.

Wenn nicht ein Dienstproblem, sondern der Paketfluss selbst unklar ist, ist ein Logarchiv allein oft nicht genug. Für kurze Tests passt Packet Capture im WebAdmin. Für PCAP-Dateien, längere Mitschnitte oder Supportanalysen ist tcpdump auf der Sophos Firewall das passende Werkzeug.

Rohlogs über die Advanced Shell sichern

Wenn der CTR nicht reicht oder vollständige Rohlogs benötigt werden, kann man das Verzeichnis /log manuell archivieren. Vor dem Archivieren sollte geprüft werden, ob unter /var genügend freier Speicherplatz vorhanden ist:

df -h /var

Anschliessend ein komprimiertes Archiv mit den Dateien aus dem Verzeichnis /log erstellen:

tar -cvzf /var/Sophos-Firewall-Logs.tar.gz -C / log

Der Befehl erstellt die Datei:

/var/Sophos-Firewall-Logs.tar.gz

Die wichtigsten Bestandteile des Befehls:

tar erstellt ein Archiv.
-c erstellt ein neues Archiv.
-v zeigt die verarbeiteten Dateien an.
-z komprimiert das Archiv mit gzip.
-f gibt den Dateinamen des Archivs an.
-C / wechselt für den Archivvorgang in das Root-Verzeichnis.
log ist das Verzeichnis mit den Logdateien der Sophos Firewall.

Der Vorteil von -C / ist, dass der Befehl unabhängig vom aktuellen Arbeitsverzeichnis funktioniert. Ein vorheriges cd / ist dadurch nicht nötig. Falls die Datei bereits existiert, wird sie durch den Befehl überschrieben.

Je nach Grösse und Auslastung der Firewall kann der Archivvorgang einige Zeit dauern. Die Ausgabe von tar zeigt währenddessen, welche Dateien in das Archiv geschrieben werden.

Anschliessend kann die Archivgrösse geprüft werden:

ls -lh /var/Sophos-Firewall-Logs.tar.gz

Zusätzlich sollte man kurz prüfen, ob das Archiv lesbar ist und tatsächlich das Logverzeichnis enthält:

tar -tzf /var/Sophos-Firewall-Logs.tar.gz

Die Ausgabe sollte Pfade unter log/ zeigen. Wenn der Befehl einen Fehler meldet oder das Archiv ungewöhnlich klein ist, sollte das Archiv nicht weitergegeben werden. Dann zuerst freien Speicherplatz, Schreibrechte und den vorherigen tar-Lauf prüfen.

Logarchiv auf einen Linux-Server kopieren

Wenn ein Linux-Server per SSH erreichbar ist, kann das Archiv mit scp übertragen werden.

Beispiel:

scp /var/Sophos-Firewall-Logs.tar.gz root@192.0.2.10:/root/

Dabei müssen die IP-Adresse, der Benutzer und der Zielpfad an die eigene Umgebung angepasst werden.

Nach der Übertragung liegt das Archiv auf dem Zielserver unter:

/root/Sophos-Firewall-Logs.tar.gz

Von dort kann es intern weitergegeben oder dem Sophos Support beziehungsweise Avanet zur Verfügung gestellt werden.

IPsec Diagnosedaten separat sichern

Bei VPN oder IPsec Problemen können zusätzlich die IPsec Verbindungsdaten aus /tmp/ipsec/connections/ hilfreich sein.

Dafür ein separates Archiv erstellen:

tar -cvzf /var/Sophos-Firewall-IPsec-Connections.tar.gz -C /tmp/ipsec connections

Auch hier kann die erzeugte Datei kurz geprüft werden:

ls -lh /var/Sophos-Firewall-IPsec-Connections.tar.gz

Dieses Archiv kann ebenfalls per scp auf einen Zielserver kopiert werden:

scp /var/Sophos-Firewall-IPsec-Connections.tar.gz root@192.0.2.10:/root/

Gerade bei IPsec Fehlern ist es sinnvoll, dieses Archiv zusammen mit den normalen Firewall Logs bereitzustellen, damit Tunnelstatus, Verbindungsinformationen und Logeinträge gemeinsam ausgewertet werden können.

Was ein Supportarchiv nicht ersetzt

CTR und /log-Archiv sind Momentaufnahmen der lokalen Firewall. Sie helfen bei Dienst- und Systemfehlern, liefern aber weder automatisch eine Langzeithistorie noch den Beweis, dass ein bestimmtes Paket die Firewall passiert hat. Für Verlauf und Suche dienen Central Firewall Reporting oder Syslog und SIEM. Konfigurationsänderungen lassen sich gezielter über die Audit Trail Logs nachvollziehen.

Paketmitschnitte separat behandeln

Logarchive und Paketmitschnitte sind unterschiedliche Beweismittel. Das Logarchiv zeigt Dienstmeldungen, Fehler, VPN-Zustände und Systemereignisse. Ein Packet Capture oder tcpdump zeigt dagegen, ob Pakete wirklich ankommen, weitergeleitet werden oder ob Antworten fehlen.

Für Supportfälle sollte man Paketmitschnitte nicht ungefiltert mitsenden. Besser ist:

Testfall mit Source IP, Destination IP, Port, Protokoll und Uhrzeit notieren.
Erst Log Viewer und WebAdmin Packet Capture prüfen, wenn das ausreicht.
Nur bei Bedarf einen engen tcpdump-Mitschnitt als PCAP erstellen.
PCAP-Datei sicher übertragen.
PCAP-Datei nach erfolgreicher Übertragung von der Firewall entfernen.

Die PCAP-Datei gehört nicht in das /log-Archiv, sondern wird separat erstellt und übertragen. Dadurch bleibt klar, welche Datei Service-Logs enthält und welche Datei Netzwerkpakete enthält.

Sicherheit, Datenschutz und Aufräumen

Logdateien können sensible Informationen enthalten, zum Beispiel:

Öffentliche und interne IP-Adressen
Benutzernamen
Hostnamen
VPN Informationen
Fehlermeldungen mit technischen Details
Hinweise auf interne Netzwerkstrukturen

Logarchive sollten daher nur über sichere Kanäle übertragen und nur Personen oder Organisationen bereitgestellt werden, die an der Analyse beteiligt sind. Wenn Logs an einen externen Partner gesendet werden, sollte vorher intern geklärt sein, ob die Weitergabe gemäss den eigenen Datenschutz- und Sicherheitsrichtlinien erlaubt ist.

Bei HA-Clustern muss man zusätzlich beachten: Logs und Reports sind nicht automatisch zwischen Primary und Auxiliary synchronisiert. Jede Appliance enthält die Logs für den Traffic und die Dienste, die lokal auf diesem Node verarbeitet wurden. Für HA-Probleme oder Failover-Zeitfenster sollte deshalb klar sein, von welchem Node das Archiv stammt und ob zusätzlich Logs vom zweiten Node benötigt werden.

Temporäre Archive wieder entfernen

Nachdem das Archiv erfolgreich übertragen wurde, sollte es von der Firewall gelöscht werden, damit kein unnötiger Speicherplatz belegt wird:

rm /var/Sophos-Firewall-Logs.tar.gz

Falls auch ein separates IPsec Archiv erstellt wurde, sollte dieses ebenfalls entfernt werden:

rm /var/Sophos-Firewall-IPsec-Connections.tar.gz

Vor dem Löschen sollte geprüft werden, ob die Dateien erfolgreich auf dem Zielsystem angekommen sind.

Checkliste für Supportfälle

Problem kurz beschrieben: Was funktioniert nicht, seit wann, wie oft?
Exakte Uhrzeit mit Zeitzone notiert.
Betroffene Source IP, Destination IP, Benutzer, Dienst oder Tunnelname notiert.
Relevantes Modul im Log Viewer geprüft.
Falls nötig: Debug nur kurz aktiviert und wieder deaktiviert.
CTR unter Diagnostics > Tools erstellt, wenn Sophos Support oder ein System-Snapshot benötigt wird.
Bei Bedarf einzelne Troubleshooting Logs oder vollständiges /log-Archiv erstellt.
Bei IPsec-Problemen zusätzlich IPsec-Diagnosedaten gesichert.
Bei Paketflussproblemen Packet Capture oder tcpdump separat erstellt.
Archiv mit tar -tzf kurz auf Lesbarkeit geprüft.
Bei HA geprüft, von welchem Node die Logs stammen.
Archiv und PCAP nur über sichere Kanäle übertragen.
Temporäre Dateien auf der Firewall nach erfolgreicher Übertragung entfernt.

FAQ

Reicht ein Screenshot aus dem Log Viewer für den Sophos Support?

Für einfache Fälle kann ein Screenshot helfen. Bei komplexen Fehlern sind Logdateien, genaue Zeitangaben und je nach Problem ein Packet Capture oder tcpdump-Mitschnitt deutlich aussagekräftiger.

Soll man immer alle Sophos Firewall Logs sichern?

Nicht immer. Wenn das Problem klar eingegrenzt ist, reichen oft gezielte Logs und der genaue Zeitraum. Für Supportfälle ist ein vollständiges /log-Archiv aber häufig sinnvoll, weil mehrere Dienste zusammenhängen können.

Wann nimmt man den Consolidated Troubleshooting Report?

Der CTR ist sinnvoll, wenn Sophos Support einen System-Snapshot und viele Logdateien zusammen benötigt. Für vollständige Rohlogs, ältere Logzeilen oder eigene Detailanalyse kann zusätzlich ein gezielter Download einzelner Troubleshooting Logs oder ein /log-Archiv nötig sein.

Gehört eine PCAP-Datei in das Logarchiv?

Nein. PCAP-Dateien werden separat mit Packet Capture oder tcpdump erstellt und separat übertragen. Dadurch bleiben Service-Logs und Paketmitschnitte sauber getrennt.

Ersetzt Central Reporting ein lokales Logarchiv?

Nein. Central Reporting ist hilfreich für Verlauf, Suche und Reports in Sophos Central. Für Supportfälle oder Dienstanalyse braucht man häufig trotzdem lokale Logdateien aus /log, weil dort detaillierte Modul- und Service-Informationen liegen.

Wie prüft man, ob das Logarchiv erstellt wurde?

Zuerst prüft man mit ls -lh /var/Sophos-Firewall-Logs.tar.gz, ob die Datei existiert und plausibel gross ist. Danach kann man mit tar -tzf /var/Sophos-Firewall-Logs.tar.gz kontrollieren, ob das Archiv lesbar ist und Dateien unter log/ enthält.