Sophos Firewall Services sicher neu starten

Ein einzelner Sophos Firewall Service lässt sich am einfachsten unter System services > Services neu starten. Fehlt der Dienst dort, kann die Advanced Shell verwendet werden. Zuerst sollte jedoch klar sein, welcher Dienst betroffen ist und welche Verbindungen ein Neustart unterbrechen kann.

⚠️ Wichtig: Ein Service-Neustart verändert den Systemzustand und kann VPN, Routing, DNS, DHCP, Webzugriffe oder den Admin-Zugang unterbrechen. Vorher Status und Logs sichern und bei Remote-Standorten einen alternativen Zugriff bereithalten.

Service über WebAdmin neu starten

1. System services > Services öffnen.
2. Betroffenen Service und aktuellen Status prüfen.
3. Unter Manage auf Restart klicken.
4. Anschliessend den Status und die betroffene Funktion testen.

WebAdmin zeigt unter anderem Anti-spam, Antivirus, Authentication, DNS server, IPS, Web proxy, WAF, DHCP server, Hotspot sowie Packet capture and Live connections. Ist ein Dienst nicht konfiguriert, bleibt die Schaltfläche ausgegraut. Anti-spam benötigt eine eingehende oder ausgehende Spam Policy. Wird Packet capture and Live connections gestoppt, enden laufende Captures und die Live-Connections-Anzeige steht nicht mehr zur Verfügung.

Unter Control Center > System zeigt der Services-Status, ob ein Service gestoppt ist oder nicht starten konnte. Das ist ein guter Einstieg, ersetzt aber keinen Funktionstest. Reagiert nur die WebAdmin-Oberfläche nicht mehr, hilft die gezielte Anleitung Sophos Firewall WebAdmin GUI neu starten.

Antivirus-Dienst nach fehlgeschlagenem Pattern-Update

Bleibt der Antivirus-Dienst nach fehlgeschlagenen SAVI- und AVIRA-Pattern-Updates gestoppt, sollte man nicht mehrmals auf Restart klicken. Zuerst werden Firmwareversion und Build, der Zeitpunkt des Fehlers sowie die zugehörigen Logs avd.log und up2date_av.log gesichert. Unter Backup & firmware > Pattern updates sieht man ausserdem das letzte erfolgreiche Update und den aktuellen Zustand: Ready to install, Downloading, Success oder Failed. Der allgemeine Ablauf zum Prüfen dieser Zustände steht unter Sophos Firewall Pattern-Updates konfigurieren und prüfen.

Sophos führt dieses Fehlerbild als NC-180066; behoben ist es in SFOS 22.0 MR2 Build 546. Passt das Symptom auf einem älteren SFOS-22-Build, sollte man den unterstützten Pfad anhand der Firmware-Update-Vorbereitung prüfen und zuerst auf MR2 Build 546 oder eine neuere freigegebene Version aktualisieren. Ein einzelner Neustart unter System services > Services ist grundsätzlich möglich, aber für NC-180066 weder als Workaround noch als Fix dokumentiert und ersetzt das Firmware-Update nicht.

Erst nach dem Firmware-Update unter Backup & firmware > Pattern updates auf Update pattern now klicken. Beim betroffenen Antivirus-Pattern muss das Update Success erreichen und der Antivirus-Dienst aktiv bleiben. Der angezeigte Service-Status allein reicht nicht: Entscheidend ist, dass auch das Pattern-Update erfolgreich abgeschlossen wird. Tritt das Problem auf MR2 Build 546 oder neuer wieder auf, gehören die gesicherten Logs und Zeitpunkte zu Sophos Support; dann darf man nicht automatisch weiter von NC-180066 ausgehen.

Service über die Advanced Shell neu starten

Die Advanced Shell ist sinnvoll, wenn der Dienst nicht in WebAdmin angeboten wird oder Sophos Support einen konkreten Befehl vorgibt. Für SSH-Zugang und Host-Key-Prüfung gilt die Anleitung Sophos Firewall per SSH verbinden. SSH sollte nur aus vertrauenswürdigen Admin-Netzen erlaubt sein; passende Regeln stehen unter Device Access und Local Service ACL. Inaktive SSH-Sitzungen werden nach 15 Minuten geschlossen.

Nach dem Login öffnet man:

5. Device Management > 3. Advanced Shell

Die Advanced Shell besitzt weitreichenden Systemzugriff. Deshalb zuerst lesende Prüfungen durchführen und erst danach einen Neustart auslösen.

1. Dienstname und Status prüfen

Bekannte Services und ihren aktuellen Zustand zeigt:

service -S

Die Ausgabe lässt sich nach dem vermuteten Dienst filtern. Für IPsec lautet die Prüfung beispielsweise:

service -S | grep -i strongswan

RUNNING bedeutet, dass der Service läuft. STOPPED, UNREGISTERED oder UNTOUCHED sind nicht automatisch ein Defekt: Je nach Firmware und Konfiguration kann ein Dienst absichtlich nicht aktiv oder nicht registriert sein. Zuerst prüfen, ob die zugehörige Funktion, Policy oder Lizenz überhaupt verwendet wird.

Wenn der technische Dienstname unklar ist, hilft Sophos Firewall Troubleshooting: Services und Logs. Dort sind Funktionsbereiche und Logdateien zugeordnet.

2. Logs vor dem Eingriff prüfen

Ein Neustart kann wichtige Hinweise auf die Ursache verdecken. Bei IPsec sollte man deshalb zuerst strongswan.log lesen und relevante Meldungen sichern:

less /log/strongswan.log

Mit q wird less beendet. Für grössere Analysen können die Logs vorher gemäss Sophos Firewall Logs für Support und Analyse sichern exportiert werden. Bei HA-Clustern speichert jeder Node nur die Logs des Traffics, den er verarbeitet; gegebenenfalls müssen beide Nodes separat geprüft werden.

3. Service auf einer Standalone-Firewall neu starten

Für das folgende Beispiel wird eine Standalone-Firewall vorausgesetzt. Vor dem Ausführen muss service -S | grep -i strongswan den Dienst bestätigen. Der Neustart kann Site-to-Site- und Remote-Access-IPsec-Verbindungen unterbrechen. Deshalb Tunnel, Gegenstellen und Wartungsfenster vorher prüfen.

Sophos dokumentiert dieses Muster:

service <service>:restart -ds nosync

Ein vollständiges Beispiel für den IPsec-Service lautet:

service strongswan:restart -ds nosync

Für die weitere Analyse passt Sophos Firewall IPsec Troubleshooting.

⚠️ HA-Cluster: Den Standalone-Befehl nicht ungeprüft übernehmen. Sophos-Anweisungen verwenden je nach Dienst und Situation sync oder nosync; eine allgemeine Regel ist öffentlich nicht ausreichend dokumentiert. Service, Node, SFOS-Build und Synchronisationsmodus müssen aus einer aktuellen dienstspezifischen Sophos-Anweisung oder einem Supportfall hervorgehen.

Getrennte stop- und start-Befehle sollten nur verwendet werden, wenn Sophos Support dies für den konkreten Dienst verlangt. Dabei bleibt der Service zwischen beiden Befehlen vollständig gestoppt.

4. Ergebnis validieren

Nach dem Neustart werden Status, Log und die echte Funktion geprüft:

service -S | grep -i strongswan
tail -f /log/strongswan.log
grep -i 'error' /log/strongswan.log

tail -f zeigt neue Meldungen fortlaufend und wird mit Ctrl+C beendet. Danach kontrolliert man die IPsec-Tunnel und testet einen Host auf der Gegenseite. Ein Service mit Status RUNNING beweist allein noch nicht, dass die Verbindung wieder funktioniert.

Schlägt der Neustart fehl, sollte zusätzlich csc.log geprüft werden. Bei HA-Problemen sind je nach Fehlerbild auch ha.log, msync.log und applog.log relevant.

Typische Services und passende Funktionstests

Der genaue Dienstname muss auf der betroffenen Firewall mit service -S bestätigt werden. Die wichtigsten Zuordnungen sind:

• strongswan: Site-to-Site- und Remote-Access-IPsec. Danach Tunnelstatus, strongswan.log und Erreichbarkeit der Gegenseite prüfen.
• dnsd: DNS-Service. Danach interne und externe Namensauflösung, dnsd.log und vorhandene DNS Request Routes prüfen.
• dhcpd: DHCP-Server. Während eines Neustarts erhalten neue oder erneuernde Clients möglicherweise keine Antwort. Danach Lease-Vergabe und dhcpd.log testen.
• awed: Kommunikation zwischen Firewall und AP/APX. Danach Verbindungsstatus der Access Points und awed.log prüfen.
• zebra: Installiert dynamische und statische Routen im Kernel. Ein Neustart ist entsprechend invasiv und sollte nur mit einer konkreten Sophos-Anweisung erfolgen; danach Routingtabelle, Gateways und reale Pfade testen.
• smtpd: SMTP-Proxy im MTA-Modus. Beim transparenten Legacy-Proxy ist ein anderer Dienst beteiligt; vor einem Eingriff zuerst Betriebsmodus und smtpd_*-Logs prüfen. Danach kontrollierten Mailversand und -empfang testen.

Für WAF, Web proxy, IPS, Authentication und die in WebAdmin angebotenen Dienste ist der Neustart über System services > Services meist klarer als ein Shell-Befehl.

Wann kein Service-Neustart sinnvoll ist

Ein einzelner Neustart passt, wenn ein konkretes Modul betroffen ist und die restliche Firewall stabil arbeitet. Nicht blind neu starten sollte man, wenn:

• die Ursache oder der betroffene Dienst noch unklar ist;
• mehrere zentrale Services gleichzeitig ausfallen;
• genau dieser Service den letzten Remote-Zugriff bereitstellt;
• der Fehler reproduzierbar ist und Logs noch nicht gesichert wurden;
• derselbe Service bereits mehrfach neu gestartet wurde;
• HA-Rolle, Node oder erforderlicher Synchronisationsmodus unklar sind.

Bei mehreren betroffenen Diensten zuerst Systemlast, Speicherplatz, Datenbankzustand, HA und die letzten Konfigurations- oder Firmwareänderungen prüfen. Wiederholte Neustarts kaschieren häufig nur die Ursache.

Ein vollständiger Reboot ist invasiver und kommt erst infrage, wenn die Firewall insgesamt instabil bleibt, ein Firmware- oder Hotfix-Prozess ihn verlangt oder Sophos Support ihn vorgibt. Vor einem Remote-Reboot müssen Backup, Wartungsfenster und Rückweg geklärt sein, etwa lokaler Kontakt, Out-of-band-Zugriff oder eine funktionsfähige HA-Gegenstelle. Dazu passt Sophos Firewall Backup und Restore richtig planen.

Eingriff kurz dokumentieren

Bei wiederkehrenden Fehlern oder einem Supportfall genügt eine kurze Notiz. Sie zeigt später, ob der Neustart dauerhaft geholfen oder nur ein Symptom verdeckt hat:

Date/time and time zone:
Firewall / HA node:
Service and command:
Reason:
Users/sites affected:
Logs checked before restart:
Result after restart:
Next action:

Vor dem Eingriff werden Zeitpunkt, betroffene Funktion und relevante Logmeldungen festgehalten. Danach folgen Service-Status, Funktionstest und nächste Massnahme. Temporäre SSH- oder Device-Access-Freigaben sowie Debug-Modi werden anschliessend wieder entfernt.