Sophos Firewall Packet Capture im WebAdmin verwenden

Unter Diagnostics > Packet capture lässt sich ein einzelner Netzwerkfluss direkt im WebAdmin verfolgen. Man setzt einen engen BPF-Filter, startet die Aufzeichnung, reproduziert das Problem einmal und prüft danach Interfaces, Rule ID, NAT ID, Status und Reason.

Packet Capture zeigt den tatsächlichen Paketfluss. Welche Policy entschieden hat, kontrolliert man zusätzlich im Log Viewer. Für längere Aufzeichnungen oder eine .pcap-Datei braucht man dagegen tcpdump über SSH, da der WebAdmin-Capture nicht als PCAP heruntergeladen werden kann.

Packet Capture in sechs Schritten

1. Source IP, Ziel, Protokoll, Port und Testzeit notieren. Beispiel: Client 172.16.10.25 zu 93.184.216.34 über TCP 443.
2. Diagnostics > Packet capture öffnen und Configure anklicken.
3. Einen BPF-String setzen, zum Beispiel host 172.16.10.25 and port 443, und speichern.
4. Packet Capture auf Trace On stellen. In aktuellen SFOS-Versionen erscheinen die Paketdetails in einem neuen Browserfenster.
5. Genau einen Test reproduzieren und die Aufzeichnung danach mit Trace Off stoppen.
6. Den Ablauf von unten nach oben lesen und auf In/Out interface, Rule ID, NAT ID, Status, Reason sowie Antwortpakete achten.

Wird der BPF-String während einer laufenden Aufzeichnung geändert, Packet Capture zuerst auf Trace Off und danach wieder auf Trace On stellen, damit der neue Filter angewendet wird.

⚠️ Ein breiter Dauermitschnitt macht die Auswertung unübersichtlich und erfasst unnötig viele Betriebsdaten. Filter eng setzen, Test kurz halten und Packet Capture danach ausschalten.

Capture Filter gezielt setzen

Der Capture Filter bestimmt vor der Aufzeichnung, welche Pakete in den 2048-KB-Buffer gelangen. Der Display Filter schränkt nur die bereits erfasste Anzeige ein. Ein Interface wählt man deshalb nicht im Capture Filter, sondern später im Display Filter aus.

Für einen HTTPS-Test sollten mindestens Source, Ziel und Port bekannt sein. Wenn das Ziel wegen DNS, CDN oder NAT noch unklar ist, beginnt man besser nur mit der Source IP und grenzt den sichtbaren Flow danach weiter ein.

Vor dem Start sollten diese Punkte feststehen:

• Source IP und aktuelle Destination IP
• Protokoll sowie Source- und Destination-Port, soweit relevant
• erwartetes Eingangs- und Ausgangsinterface beziehungsweise die Zonen
• erwartete Firewall Rule und NAT Rule
• erwartetes Ergebnis, etwa erlaubt, blockiert, DNAT, SNAT oder VPN
• genaue Testzeit und eine einzelne reproduzierbare Aktion

BPF-Beispiele

• Host: host 10.10.10.1
• Source IP: src host 10.10.10.1
• Destination IP: dst host 10.10.10.1
• Netz: net 10.10.10.0/24
• Port: port 443
• Zielport: dst port 443
• Protokoll: proto TCP, proto UDP oder proto ICMP

Ein enger Webtest kann so aussehen:

host 172.16.10.25 and host 93.184.216.34 and port 443

Für einen Ping-Test reicht meistens:

host 172.16.10.25 and proto ICMP

Sophos dokumentiert diese BPF-Grundformen. Nicht jede beliebige tcpdump-Expression ist damit automatisch für den WebAdmin garantiert.

Bei NAT ist die Blickrichtung wichtig: Ein Filter auf die interne Client-IP kann den WAN-seitigen Eintrag nach MASQ ausblenden. Fehlen Pakete, zuerst nur auf Source, Destination oder Port filtern und prüfen, ob Hin- und Rückrichtung sichtbar bleiben.

Buffer und Aufzeichnungsoptionen

• Number of bytes to capture (per packet) legt fest, wie viele Bytes pro Paket gespeichert werden. Für einen ersten Test reichen oft Headerdaten.
• Ohne Wrap capture buffer once full stoppt die Aufzeichnung bei 2048 KB automatisch. Mit Wrap werden die ältesten Daten überschrieben.
• Clear leert den Buffer vor einem neuen Test.
• Die Aufzeichnung läuft weiter, wenn man im WebAdmin auf eine andere Seite wechselt. Deshalb nach dem Test bewusst auf Trace Off stellen.

Ergebnisse richtig lesen

Ein Paketfluss erscheint mehrfach, weil die Firewall Ingress und Egress an den Interfaces erfasst. Ein Ping-Roundtrip besteht typischerweise aus vier Zeilen: Request kommt am LAN an, verlässt das WAN, Reply kommt am WAN an und verlässt das LAN. Die neuesten Einträge stehen oben; für den zeitlichen Ablauf liest man die Liste von unten nach oben.

Die wichtigsten Felder

• In interface / Out interface: Wo das Paket ankommt und über welches Interface es weitergeht.
• Source IP / Destination IP / Ports: Welcher Flow gerade betrachtet wird.
• Rule ID: Welche Firewall-Regel den Traffic verarbeitet.
• NAT ID: Welche NAT-Regel beteiligt ist.
• Status: Was die Firewall mit diesem Paketschritt macht.
• Reason: Warum ein Paket verworfen wird.

Die Paketliste enthält bei Bedarf weitere Felder wie Connection ID, Gateway ID, Username sowie Web-, Application- oder IPS-Policy-IDs. Für das ausgewählte Paket zeigt die Detailansicht zusätzlich Header sowie Hex- und ASCII-Daten.

Status richtig einordnen

• Incoming: Das Paket wurde auf einem Interface empfangen; eine spätere Entscheidung ist damit noch nicht bewiesen.
• Forwarded: Die Firewall hat das Paket über ein Ausgangsinterface weitergeleitet.
• Consumed: Das Paket ist für die Firewall selbst bestimmt, etwa für WebAdmin, VPN Portal, SSH, DNS oder einen VPN-Dienst.
• Generated: Die Firewall hat das Paket selbst erzeugt, beispielsweise als Antwort oder durch einen Systemdienst.
• Violation: Die Firewall hat das Paket wegen einer Policy-Verletzung verworfen.

Bei Consumed sind häufig Administration > Device access, eine Local Service ACL oder der betroffene Firewall-Dienst entscheidend. Die passende Konfiguration erklärt Sophos Firewall Device Access absichern.

Rule ID, NAT ID und Reason zusammen prüfen

Eine unerwartete Rule ID ist kein Beweis für eine defekte Regel. Zuerst Regelreihenfolge, Zonen und Matching im Log Viewer kontrollieren. Der vollständige Ablauf steht in Sophos Firewall-Regel sauber testen.

Bei NAT kann derselbe Flow vor und nach der Übersetzung mit anderen Adressen erscheinen. Entscheidend sind erwartete NAT ID, In/Out interface und Antwortpakete. Die Übersetzungslogik erklärt NAT auf Sophos Firewall verstehen.

Zeigt Reason beispielsweise LOCAL_ACL, IPS, APPLICATION_FILTER, USER_IDENTITY oder IP_SPOOF, sollte das genannte Modul im Log Viewer geprüft werden. Eine ausführliche Einordnung steht in Sophos Firewall verworfene Pakete analysieren.

Für den Abgleich mit dem Log Viewer:

1. Log Viewer und Packet Capture parallel öffnen.
2. Capture Filter setzen und genau einen Test reproduzieren.
3. Im Packet Capture Interfaces, Antwortpakete, Rule ID und NAT ID prüfen.
4. Im passenden Log-Viewer-Modul kontrollieren, welche Regel oder Security Policy entschieden hat.
5. Erst danach gezielt Regel, NAT, Routing oder das betroffene Security-Modul untersuchen.

Display Filter verwenden

Der Display Filter hilft bei einer bereits gefüllten Paketliste. Er kann unter anderem nach Interface, IPv4/IPv6/ARP, Packet type, Source/Destination IP und Port, Reason, Status, Rule ID, User oder Connection ID filtern. Allowed steht dort zusätzlich als Filterwert für erlaubte Pakete zur Auswahl; die Paketzeilen selbst zeigen die Verarbeitungsschritte wie Incoming oder Forwarded.

Mit Save wird der Filter angewendet, mit Clear wird er zurückgesetzt. Für VPN-Traffic setzt man den Capture Filter beispielsweise auf Host oder Netz und grenzt die Anzeige danach auf das XFRM- oder Tunnel-Interface ein.

Schnelle Fehleranalyse

Keine Pakete sichtbar: Capture- und Display-Filter prüfen. Bei FQDNs und CDNs die aktuelle Ziel-IP kontrollieren; bei NAT zunächst nur auf die Source IP filtern. Bleibt die Liste leer, Client-Gateway, VLAN, Switch-Port und vorgeschaltete Geräte prüfen.

Client erreicht das Internet nicht: Auf die Client-IP und beispielsweise TCP 443 filtern. Kommt nichts an, liegt die Ursache vor der Firewall. Kommt der Request an, aber nicht weiter, Firewall-Regel, NAT und Routing prüfen.

Nur Incoming sichtbar: Nach Forwarded, Consumed oder Violation suchen und sicherstellen, dass der Filter Folgeschritte nicht ausblendet. Unter SFOS 22.0 MR1 können Default-Drops mit Firewall ID 0 wegen Known Issue NC-178387 ohne Violation Firewall-Zeile erscheinen. Dann mit dem Policy tester gegenprüfen oder für den betroffenen Flow eine explizite protokollierte Drop-Regel am Ende der Firewall-Regelliste verwenden. Source- und Destination-Zonen dabei gezielt setzen; Details stehen in Sophos Firewall verworfene Pakete analysieren.

Forwarded, aber keine Antwort: Rückroute, NAT, Zielsystem, lokale Firewall des Ziels und Gegenstelle prüfen. Forwarded beweist nur, dass die Sophos Firewall das Paket weitergegeben hat.

Unerwartete Rule ID oder NAT ID: IDs mit Log Viewer und Regelposition abgleichen. Nicht mehrere Regeln gleichzeitig ändern; für ein Matching-Problem hilft Sophos Firewall-Regel greift nicht.

DNAT funktioniert nicht: Prüfen, ob der Request am WAN ankommt, mit welcher NAT ID er verarbeitet wird und ob er zum internen Server weitergeht. Wenn am WAN nichts erscheint, liegt die Ursache häufig vor der Firewall. Den vollständigen Aufbau zeigt Server per DNAT veröffentlichen.

VPN-Traffic fehlt: Mit Host, Netz oder Protokoll erfassen und im Display Filter das erwartete Tunnel- oder XFRM-Interface wählen. Für die weitere Analyse passt Sophos Firewall IPsec Troubleshooting.

Webfilter blockiert unerwartet: Packet Capture zeigt den Paketfluss, aber nicht die vollständige Web-, Application-Control- oder SSL/TLS-Entscheidung. Diese im passenden Log-Viewer-Modul gegenprüfen.

Kleine Tests funktionieren, grosse Transfers hängen: Im WebAdmin auf fehlende Antworten und Paketgrössen achten. Retransmits lassen sich belastbar über eine PCAP-Datei in Wireshark untersuchen. Zusätzlich MTU und MSS prüfen.

Packet Capture startet nicht: Zuerst Buffer leeren und das neue Browserfenster prüfen. Bleibt der Fehler bestehen, unter System services > Services den Dienst Packet capture and Live connections neu starten. Der Neustart unterbricht vorübergehend auch die Live-Connections-Anzeige.

Datenschutz und Wechsel zu tcpdump

Capture-Daten können interne IP-Adressen, Hostnamen, Benutzernamen, Kommunikationsbeziehungen und bei unverschlüsselten Protokollen auch Nutzdaten enthalten. Vor der Weitergabe Empfänger, Umfang und Aufbewahrung prüfen; oft reichen wenige relevante Zeilen statt des gesamten Mitschnitts.

Für längere Aufzeichnungen, ein bestimmtes Interface, feste Paketanzahl, Snap Length oder eine .pcap-Datei verwendet man tcpdump auf der Sophos Firewall. Die Datei danach sicher übertragen und von der Firewall entfernen.