Sophos Firewall Systemzeit und NTP konfigurieren

Unter Administration > Time konfiguriert man die Uhr der Sophos Firewall selbst. Für eine normale internetverbundene Firewall genügt meist: passende Time zone auswählen, Use predefined NTP server aktiv lassen, Sync now anklicken, mit Apply speichern und den WebAdmin neu laden. Erst nach dem Neuladen zeigt Current time den aktualisierten Wert.

Diese Einstellung macht die Firewall nicht automatisch zum NTP-Server für interne Geräte. Wenn Clients die Gateway-IP als Zeitserver verwenden sollen, erklärt Sophos Firewall als NTP-Relay den getrennten NAT-Ablauf.

⚠️ Beim Ändern der konfigurierten NTP-Server verbinden sich alle IPsec-Tunnel neu. Ein Serverwechsel gehört deshalb in ein Wartungsfenster. Für ein reines Sync now mit unveränderter Serverliste dokumentiert Sophos diesen Reconnect nicht.

Warum Systemzeit und Zeitzone getrennt wichtig sind

NTP synchronisiert einen gemeinsamen absoluten Zeitbezug auf Basis von UTC. Die Time zone bestimmt, wie die Firewall diese Zeit lokal darstellt und wann lokale Zeitpläne greifen. Deshalb können zwei unterschiedliche Fehlerbilder entstehen:

• Uhrzeit tatsächlich falsch: Zertifikate können als noch nicht gültig oder abgelaufen erscheinen, Authentifizierung und MFA können fehlschlagen und VPN-Verbindungen lassen sich möglicherweise nicht aufbauen.
• Zeitzone falsch: Die Synchronisierung kann technisch funktionieren, während Logeinträge, Reports, Wartungsfenster oder zeitgesteuerte Regeln um eine oder mehrere Stunden verschoben erscheinen.

Für die Fehleranalyse ist diese Trennung wichtig. Zeigt die Firewall exakt einen konstanten Stundenversatz, wird zuerst die Zeitzone geprüft. Driftet die Anzeige dagegen laufend oder steht sie auf einem offensichtlich falschen Datum, ist wahrscheinlich die Zeitquelle oder Synchronisierung die Ursache.

Korrekte Zeit schafft zudem einen gemeinsamen Bezug zwischen Firewall, Syslog oder SIEM, Endpoints, Servern, Switches und VPN-Gegenstellen. Ohne diesen Bezug lässt sich ein Ereignis später nur schwer über mehrere Systeme hinweg rekonstruieren.

Die passende Zeitquelle auswählen

SFOS 22 bietet unter Administration > Time drei Betriebsarten.

Use predefined NTP server ist die Standardeinstellung. Die Firewall verwendet NTP Version 3 und synchronisiert mit 0.sophos.pool.ntp.org. Das ist für viele internetverbundene Einzelstandorte die einfachste Wahl. Da ein FQDN verwendet wird, müssen DNS-Auflösung, Routing und ausgehendes UDP 123 funktionieren.

Use custom NTP server passt zu Unternehmen mit internen Zeitservern, kontrollierten externen Quellen oder abgeschotteten Netzen. Eingetragen werden können IPv4-Adressen, IPv6-Adressen oder Domainnamen. SFOS erlaubt bis zu zehn Server und prüft sie in der angezeigten Reihenfolge, bis einer antwortet.

Diese Liste ist ein geordnetes Failover, kein Quorum: Die Firewall übernimmt den ersten antwortenden Server und vergleicht nicht mehrere Zeitquellen miteinander. Die Reihenfolge sollte deshalb mit der bevorzugten und zuverlässigsten Quelle beginnen.

Bei eigener Konfiguration empfehlen wir mindestens zwei unabhängig erreichbare Zeitquellen. Zwei Namen für denselben Server schaffen keine Redundanz; sinnvoll sind getrennte interne Zeitserver oder bewusst gewählte Quellen, die nicht am gleichen einzelnen System ausfallen. Ein mögliches Namensbeispiel ist:

ntp01.example.net
ntp02.example.net

example.net ist eine reservierte Beispieldomain. Beide Namen werden durch die tatsächlichen internen oder externen NTP-Server ersetzt. Wer FQDNs verwendet, benötigt funktionierendes DNS. Direkte IP-Adressen vermeiden diese Abhängigkeit, müssen bei einem Serverwechsel aber auf jeder Firewall angepasst werden.

Do not use NTP server erlaubt das manuelle Setzen von Date und Time. Das eignet sich höchstens als begründeter Übergang, wenn keine Zeitquelle erreichbar ist. Eine manuell gesetzte Uhr driftet und kann Authentifizierung, Zertifikatsimport und VPN beeinträchtigen. Für den Dauerbetrieb ist eine erreichbare NTP-Quelle die robustere Lösung.

Systemzeit unter SFOS 22 konfigurieren

Bei einer bereits produktiven Firewall werden vor einem Serverwechsel Current time, Time zone, die bisherige Betriebsart, die Serverreihenfolge und aktive IPsec-Tunnel dokumentiert. Danach folgt die eigentliche Konfiguration:

1. Administration > Time öffnen.
2. Unter Current time den bestehenden Stand prüfen.
3. Bei Time zone den tatsächlichen Standort der Firewall auswählen, beispielsweise Europe/Zurich.
4. Use predefined NTP server, Use custom NTP server oder nur im begründeten Sonderfall Do not use NTP server auswählen.
5. Bei eigenen Zeitquellen Server einzeln eintragen und mit Add übernehmen. Die gewünschte Prüfreihenfolge kontrollieren.
6. Sync now anklicken, wenn ein NTP-Server konfiguriert ist.
7. Mit Apply speichern.
8. Den WebAdmin neu laden und Current time erneut prüfen.

Die Zeitzone wird nach dem physischen Standort der Firewall gewählt, nicht nach dem Standort des gerade angemeldeten Admins. Das ist besonders bei internationalen Umgebungen wichtig, weil Schedules und geplante Arbeiten sonst zur falschen lokalen Zeit ausgeführt werden können.

Den vollständigen Ablauf vom Zeitobjekt bis zur Regelabnahme erklärt Sophos Firewall Zeitpläne für Regeln und Policies einrichten.

Schlägt die Synchronisierung mit neuen Servern fehl, wird die zuvor dokumentierte Betriebsart beziehungsweise Serverliste wiederhergestellt, bei aktiviertem NTP erneut Sync now ausgeführt und mit Apply gespeichert. Bei Do not use NTP server entfällt Sync now. Auch dieser erneute Serverwechsel kann IPsec-Tunnel neu verbinden; deshalb gehört der Rückweg in dasselbe Wartungsfenster. Danach werden Current time und alle zuvor aktiven Tunnel erneut geprüft.

Synchronisierung sauber kontrollieren

Eine gespeicherte Serverliste beweist noch keine funktionierende Synchronisierung. Für die Abnahme werden mehrere Beobachtungen kombiniert:

1. WebAdmin nach Sync now neu laden und Current time mit einer vertrauenswürdigen, selbst synchronisierten Referenz vergleichen.
2. Einen neuen Logeintrag oder Testevent erzeugen und Zeit sowie Zeitzone im Log Viewer beziehungsweise SIEM vergleichen.
3. Nach einem NTP-Serverwechsel kontrollieren, ob alle zuvor aktiven IPsec-Tunnel wieder aufgebaut wurden.
4. Bei eigenen Servern prüfen, ob mehr als eine Zeitquelle tatsächlich über den vorgesehenen Netzpfad erreichbar ist.
5. Bei zeitgesteuerten Regeln oder Wartungsfenstern den nächsten bekannten Ausführungszeitpunkt kontrollieren, ohne dafür eine produktive Schedule unnötig zu verändern.

Sophos veröffentlicht für SFOS 22 keine allgemeine maximale Zeitabweichung, die in jeder Umgebung als Erfolg gelten würde. Entscheidend ist, dass die Firewall stabil mit der gewählten Quelle synchronisiert, die lokale Zeitzone stimmt und korrelierte Systeme denselben Ereigniszeitpunkt zeigen.

Wenn NTP nicht synchronisiert

Die Prüfung beginnt bei der einfachsten Abhängigkeit und folgt dann dem tatsächlichen Paketpfad.

Falsche Anzeige trotz erfolgreichem Sync

Zuerst den WebAdmin neu laden. Current time wird nach Sync now nicht automatisch auf der bereits geöffneten Seite aktualisiert. Bleibt ein konstanter Stundenversatz, Time zone mit dem Firewall-Standort vergleichen.

Servername wird nicht aufgelöst

Der vordefinierte Server und eigene FQDN-Ziele benötigen DNS. Unter Network > DNS lässt sich mit Test name lookup beispielsweise 0.sophos.pool.ntp.org oder der eigene Servername prüfen. Schlägt die Auflösung fehl, werden zuerst DNS-Server, DNS Request Routes und der Netzpfad zum Resolver korrigiert.

Server ist aufgelöst, antwortet aber nicht

Unter Diagnostics > Tools per Route Lookup prüfen, über welches Gateway und welches Interface die Server-IP erreicht wird. Danach Diagnostics > Packet capture > Configure öffnen, bei Enter BPF string einen engen Filter auf Ziel-IP und UDP 123 setzen und mit Save übernehmen. Capture einschalten, Sync now auslösen und den Mitschnitt nach dem Test wieder ausschalten. Für den Beispielserver 192.0.2.20 eignet sich:

host 192.0.2.20 and udp port 123

In einem funktionierenden Ablauf sind eine von der Firewall erzeugte Anfrage und eine passende Antwort sichtbar. Fehlt die Anfrage, werden Route, aktiver WAN-Pfad und mögliche SD-WAN-Steuerung geprüft. Fehlt nur die Antwort, sind NTP-Server, vorgeschaltete ACL, Provider-Pfad oder Rückroute die wahrscheinlichsten Ursachen.

NTP der Firewall ist systemgenerierter Traffic. Eine gewöhnliche LAN-to-WAN-Firewall-Regel ist deshalb kein zuverlässiger Funktionsnachweis. Wenn mehrere Leitungen oder SD-WAN beteiligt sind, erklärt SD-WAN Routing für systemgenerierten Traffic, wie der tatsächliche Ausgangspfad geprüft wird.

NTP-Client-Log prüfen

Das zuständige Log heisst ntpclient.log. Es kann unter Diagnostics > Tools > Troubleshooting logs mit den übrigen Diagnose-Logs heruntergeladen werden. Für eine kurze Live-Prüfung öffnet man nach der SSH-Anmeldung an der Sophos Firewall 5. Device Management > 3. Advanced Shell und führt den lesenden Befehl aus:

tail -f /log/ntpclient.log

Danach Sync now einmal auslösen, die neuen Zeilen sichern und die laufende Anzeige mit Ctrl+C beenden. SFOS 22 garantiert keinen einzelnen Erfolgstext, der für jede Version und Konfiguration gleich aussieht. Deshalb werden Servername, Zeitstempel und Fehlermeldungen im Zusammenhang mit DNS-, Route- und Capture-Ergebnis beurteilt. Die allgemeine Zuordnung weiterer Logdateien steht in Sophos Firewall Services und Logs.

Betrieb, Central und Restore

Sophos Central Firewall Management kann die NTP-Einstellungen nicht auf die Firewall synchronisieren. Die Einstellungen werden direkt auf der jeweiligen Firewall gepflegt. Bei mehreren Firewalls sollte die gewünschte Zeitquellen- und Zeitzonenstrategie deshalb dokumentiert und nach Änderungen stichprobenartig kontrolliert werden.

Ein Backup stellt Zeitzone und NTP-Einstellungen wieder her, nicht jedoch ein manuell gesetztes Datum und eine manuell gesetzte Uhrzeit. Nach einem Restore gehören Current time, Time zone, NTP-Auswahl und ein Test der abhängigen Dienste deshalb zur Abnahme. Der vollständige Ablauf steht in Sophos Firewall Backup erstellen oder wiederherstellen.

FAQ