Sophos Portale: SophosID, Central, Support und Firewall-Zugänge
Bei Sophos gibt es mehrere Portale, die im Alltag leicht verwechselt werden: SophosID, Sophos Central, Support Portal, lokale Firewall WebAdmin, User Portal, VPN Portal, Captive Portal und Dokumentation. Für Admins ist wichtig, welches Portal für welchen Zweck gedacht ist, welches Login verwendet wird und welche Zugänge sicherheitskritisch sind.
Diese Übersicht ordnet die wichtigsten Sophos Portale ein. Der Artikel richtet sich vor allem an Admins, die Sophos Firewall, Sophos Central oder Remote Access betreiben und im Supportfall schnell wissen müssen, wo welche Aufgabe erledigt wird.
Kurzübersicht
Die wichtigsten Portale:
- SophosID: persönliches Sophos Konto für Anmeldung bei Sophos-Diensten sowie Zugriff auf Support- und Lizenzfunktionen.
- Sophos Central: Cloud-Management für Produkte, Benutzer, Geräte, Lizenzen, Firewall-Management und Reports.
- Sophos Support Portal: Supportfälle, RMAs, Sophos KB und Supportkommunikation.
- Sophos Firewall WebAdmin: lokale Firewall-Verwaltung für Regeln, VPN, NAT, Zertifikate, Logs, Firmware und Device Access.
- User Portal: Benutzerfunktionen wie OTP, Quarantäne, Downloads oder ältere Remote-Access-Funktionen.
- VPN Portal: Remote Access mit Sophos Connect Download, VPN-Konfigurationen und Benutzerzugriff.
- Captive Portal: Benutzeranmeldung für Netzwerkzugriff, Gäste oder interne Benutzer per Browser-Login.
- Sophos Docs und Release Notes: aktuelle Handbücher, Release Notes und bekannte Einschränkungen.
Nicht jedes Portal ist in jeder Umgebung relevant. Eine reine Sophos-Firewall-Installation ohne Central Endpoint braucht andere Zugänge als ein Unternehmen mit Sophos Central, MDR, ZTNA und mehreren Firewalls.
Sophos Konto- und Cloud-Portale
Diese Portale liegen ausserhalb der lokalen Firewall und betreffen Konto, Lizenzierung, Cloud-Management oder Support. Besonders wichtig werden sie, wenn mehrere Admins, Sophos Central oder ein Supportfall im Spiel sind.
SophosID
Die SophosID ist das persönliche Sophos Konto. SophosID wird für mehrere Sophos-Dienste verwendet, zum Beispiel für Support, Konto- und Lizenzfunktionen oder den Zugriff auf bestimmte Sophos-Portale.
SophosID öffnen:
Wichtig für den Betrieb:
- SophosID-Konten sollten personenbezogen sein, nicht als geteiltes Team-Login.
- MFA sollte aktiviert werden, wenn Sophos sie für den jeweiligen Zugriff anbietet.
- Bei Austritten müssen persönliche Zugänge aus Sophos Central, Support- und Lizenzkontexten entfernt werden.
- Für Dienstleister oder mehrere Admins sollten Rollen und Verantwortlichkeiten dokumentiert sein.
Wenn eine Sophos Firewall in ein anderes Konto übertragen werden muss, hilft Sophos Firewall in anderes Sophos Central Konto übertragen.
Sophos Central
Sophos Central ist die Cloud-Management-Plattform für viele aktuelle Sophos-Produkte. Dort werden je nach Lizenz Endpoint, Server, Email, Wireless, ZTNA, Firewall Management, Reporting, MDR/XDR und weitere Funktionen verwaltet.
Sophos Central öffnen:
Weitere Einstiege:
Für Sophos Firewall ist Sophos Central besonders relevant, wenn Firewalls registriert, zentral verwaltet, inventarisiert oder in Central Firewall Reporting aufgenommen werden sollen. Der Verbindungsprozess ist in Sophos Firewall mit Sophos Central verbinden beschrieben. Für Reporting passt Central Firewall Reporting aktivieren.
Wichtige Admin-Punkte:
- Central-Admins sollten eigene Konten und passende Rollen haben.
- MFA und Admin-Rollen sollten regelmässig geprüft werden.
- Lizenzstatus und Laufzeiten gehören in den Betriebsprozess.
- Änderungen über Sophos Central können in aktuellen SFOS-Versionen in Audit-Logs nachvollziehbarer werden.
- Bei mehreren Central-Konten sollte klar sein, welcher Tenant welche Firewalls und Lizenzen enthält.
Für Lizenzprüfungen passt Sophos Central Lizenzen prüfen. Für Berechtigungen in Central ist Sophos Central administrative Rollen relevant. Für grössere Strukturen ist Was ist Sophos Central Enterprise? der bessere Einstieg.
Sophos Support Portal
Im Sophos Support Portal werden Supportfälle und RMAs eröffnet und verwaltet. Es ist auch der Einstiegspunkt für viele öffentliche Sophos KB-Artikel.
Support Portal öffnen:
➜ Sophos Support Portal aufrufen
Für Supportfälle sollte man vorab klären:
- Gibt es eine gültige Supportberechtigung oder passende Lizenz?
- Welche Seriennummer oder Central-Tenant-ID ist betroffen?
- Welche Firmwareversion, Appliance, Logs und Fehlermeldungen sind relevant?
- Gibt es Screenshots, Zeitfenster und reproduzierbare Schritte?
- Wer ist intern für Rückfragen erreichbar?
Der praktische Ablauf steht in Wie man ein Supportticket bei Sophos eröffnet. Wenn Sophos Zugriff auf eine Firewall benötigt, sollte dieser kontrolliert eingerichtet und danach wieder entfernt werden. Dafür passt Avanet Support-Zugang auf Sophos Firewall einrichten.
Lokale Sophos Firewall Portale
Die folgenden Portale laufen auf oder im direkten Umfeld der Sophos Firewall. Weil sie näher am produktiven Netzwerk liegen, sollten sie besonders bewusst aktiviert, benannt und abgesichert werden.
Lokale Sophos Firewall WebAdmin
Die WebAdmin Console ist die lokale Verwaltungsoberfläche der Sophos Firewall. Der Zugriff erfolgt typischerweise über die Firewall-IP und den konfigurierten HTTPS-Port.
Typische Aufgaben:
- Firewall-Regeln, NAT und Routing konfigurieren
- VPN, Zertifikate und Authentifizierung verwalten
- Logs, Packet Capture und Diagnosen prüfen
- Firmware-Updates und Backups durchführen
- Device Access, MFA und Adminzugriffe absichern
Die WebAdmin Console ist kein normales Webportal, sondern direkter Managementzugriff auf die Firewall. Dieser Zugriff sollte nur aus vertrauenswürdigen Netzen erreichbar sein. Der wichtigste Anschlussartikel ist Sophos Firewall Zugriff absichern: Device Access richtig konfigurieren.
Für den Einstieg in eine neue Firewall passt Sophos Firewall Getting Started. Für Admin-MFA ist MFA für Sophos Firewall WebAdmin, VPN Portal und Remote Access aktivieren relevant.
User Portal, VPN Portal und Captive Portal
User Portal und VPN Portal werden oft verwechselt. Beide sind lokale Dienste der Sophos Firewall, aber sie erfüllen unterschiedliche Aufgaben und sollten nur aktiviert sein, wenn sie wirklich benötigt werden.
Das User Portal wird je nach Umgebung für Benutzerfunktionen verwendet, etwa OTP, persönliche Downloads oder ältere VPN-Funktionen. Das VPN Portal ist in aktuellen Remote-Access-Szenarien besonders für Sophos Connect und VPN-Konfigurationsdownloads relevant.
Eine sinnvolle Faustregel:
- User Portal: Für interne oder bekannte Benutzer, etwa OTP, persönliche Optionen oder ältere Benutzerfunktionen. Typischer Fehler: Das Portal bleibt öffentlich erreichbar, obwohl es nicht mehr gebraucht wird.
- VPN Portal: Für Remote-Access-Benutzer, Sophos Connect, SSL-VPN-Profile und Remote-Access-Konfigurationen. Typischer Fehler: Benutzer sehen keine Downloads, weil Policy, Gruppe oder Authentifizierung nicht passt.
- Captive Portal: Für Benutzer im Netzwerk, Browser-Login, benutzerbasierte Regeln oder Gästezugriff. Typischer Fehler: Es wird mit dem VPN Portal verwechselt oder ohne klares Logout-/Session-Konzept eingesetzt.
Wichtige Punkte:
- Alle drei Portale sind Loginflächen und damit sicherheitskritisch.
- Erreichbarkeit wird über Administration > Device access gesteuert.
- Öffentliche Erreichbarkeit sollte nur bewusst und mit MFA, Logging und enger Zugriffskontrolle erfolgen.
- Alte Portale bleiben oft offen, obwohl Benutzer sie nach dem Rollout nicht mehr brauchen.
- Nach Änderungen an VPN-Portal, Zertifikat, DNS oder Benutzergruppen müssen Profile eventuell neu importiert werden.
Für die Remote-Access-Entscheidung passt Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?. Für Clientupdates und Profilpflege hilft Sophos Connect Client Version prüfen und sicher aktualisieren.
Wenn ein Benutzer im VPN Portal angemeldet ist, aber Konfigurationsdownloads wie .ovpn unerwartet fehlschlagen, sollte neben Berechtigungen und MFA auch das Sophos Firewall User-ID-Limit geprüft werden.
Für neue SSL-VPN-Umgebungen sollte man zuerst die firewallseitige Konfiguration und Portalabhängigkeiten prüfen. Der Ablauf steht in Sophos Firewall SSL VPN Remote Access einrichten.
Zertifikate, FQDNs und Portalnamen planen
Portalprobleme wirken für Benutzer oft wie ein Login- oder VPN-Fehler, beginnen aber schon bei DNS und Zertifikaten. Wenn WebAdmin, VPN Portal, User Portal, Captive Portal und WAF auf ähnlichen Hostnamen oder derselben WAN-Adresse laufen, sollte man die Namen bewusst trennen und dokumentieren.
Typische Planung:
- WebAdmin: Beispiel
admin.example.com. Nur aus Management-Netzen erreichbar machen, passendes Zertifikat verwenden und MFA aktivieren. - VPN Portal: Beispiel
vpn.example.com. Zertifikat muss zum Downloadprofil passen, Device Access sollte bewusst gesetzt sein. - User Portal: Beispiel
portal.example.com. Nur aktiv lassen, wenn Benutzerfunktionen wirklich benötigt werden. - Captive Portal: Beispiel
login.example.com. Zertifikat, Zone, Session-Timeout und Logout-Verhalten testen. - WAF-Anwendung: Beispiel
app.example.com. WAF-Regel, SNI, Domains und Backend-Host gemeinsam prüfen.
Wenn die Firewall selbst öffentliche Zertifikate beziehen soll, passt Sophos Firewall Let’s Encrypt Zertifikate einrichten. Für gemeinsame Wildcard-Zertifikate über mehrere Systeme ist Let’s Encrypt Wildcard Zertifikat erstellen der bessere Einstieg.
Wichtig ist die Betriebsfolge: Zuerst FQDN, DNS und Zertifikat planen, dann Portalzugriff über Administration > Device access und Local Service ACL begrenzen, danach Remote-Access-Profile oder WAF-Regeln verteilen. Wenn ein Zertifikat oder Portal-FQDN nachträglich geändert wird, müssen Sophos-Connect-Profile, .ovpn-Dateien, Lesezeichen und Monitoring meist ebenfalls geprüft werden.
Captive Portal richtig einordnen
Das Captive Portal ist kein Remote-Access-Portal. Es wird verwendet, wenn Benutzer im Netzwerk zuerst eine Browser-Anmeldung durchführen sollen, bevor die Firewall den Traffic mit einer Benutzeridentität verknüpfen kann. Das kann bei Gästen, BYOD-Geräten oder Umgebungen ohne transparente Benutzererkennung sinnvoll sein.
Typische Einsatzfälle:
- Gäste oder BYOD-Geräte müssen sich anmelden, bevor Internetzugriff erlaubt wird.
- Benutzerbasierte Firewall-Regeln sollen greifen, obwohl kein STAS, SATC oder anderer transparenter Mechanismus verfügbar ist.
- Einzelne Netze brauchen einfache Benutzerzuordnung ohne vollständige Endpoint-Integration.
Captive Portal sollte nicht als Ersatz für saubere Netzwerksegmentierung verstanden werden. Wenn ein Netz besonders schützenswert ist, bleibt die Trennung über Zonen, VLANs und klare Firewall-Regeln wichtiger. Die Grundlagen dazu stehen in Zonen und Interfaces auf Sophos Firewall planen. Für klassische Benutzeranbindung mit Active Directory passt Active Directory auf Sophos Firewall einbinden.
Wenn Captive Portal mit Microsoft Entra ID SSO betrieben werden soll, ist der Ablauf anders als bei VPN Portal oder Sophos Connect. Dafür passt Microsoft Entra ID SSO für Sophos Firewall Captive Portal einrichten.
Wichtig im Betrieb:
- Captive Portal braucht erreichbare lokale Firewall-Dienste. Device Access und Local Service ACL müssen dazu passen.
- Session-Timeouts sollten zur Umgebung passen. Zu lange Sessions verwässern Benutzerzuordnung, zu kurze Sessions stören Benutzer.
- Logout, Gruppenmapping und Log Viewer sollten mit echten Testbenutzern geprüft werden.
- In Netzen mit sensiblen Systemen ist Captive Portal meist nicht stark genug als alleinige Kontrolle.
Wenn Captive Portal aus einem Netz nicht erreichbar ist, sollte man nicht zuerst normale Firewall-Regeln ändern. Häufig liegt die Ursache bei Administration > Device access, Local Service ACL Exception Rules, DNS, Zertifikat oder falschem Zone-Mapping. Für die lokale Zugriffskontrolle passt Device Access und Local Service ACL auf Sophos Firewall.
Betrieb, Dokumentation und Sicherheit
Neben dem richtigen Portal ist entscheidend, dass Zugriffe, Dokumentation und Betriebsprozesse regelmässig überprüft werden.
Dokumentation gezielt prüfen
Für aktuelle technische Details sind offizielle Sophos Docs und Release Notes wichtiger als alte Blogposts oder Screenshots. Besonders bei SFOS-Versionen, Sophos Connect, Lizenzänderungen, Plattformunterstützung und bekannten Einschränkungen sollte man versionsabhängige Angaben vor einer produktiven Änderung gegenprüfen. Im Artikel selbst sollten solche Quellen nur dann verlinkt werden, wenn der Admin sie für den konkreten Arbeitsschritt wirklich öffnen muss.
Bei Firmwarethemen sollte nicht nur die Downloadverfügbarkeit zählen. Vor einem Update sind Plattform, Upgradepfad, Backup, HA-Zustand und bekannte Blocker wichtig. Der Ablauf steht in Sophos Firewall vor SFOS 22 Upgrade prüfen und Sophos Firewall Firmware Update - Vorbereitung und Best Practices.
Sicherheitscheck für Portalzugriffe
Portale sind bequem, aber jedes Login ist eine potenzielle Angriffsfläche. Deshalb sollte man regelmässig prüfen:
- Welche SophosID- und Central-Admins existieren noch?
- Ist MFA für SophosID, Sophos Central und Firewall-Admins aktiv?
- Sind WebAdmin, SSH, User Portal, VPN Portal und SSL VPN nur dort erreichbar, wo sie gebraucht werden?
- Gibt es geteilte Admin-Konten, die ersetzt werden sollten?
- Werden fehlgeschlagene Logins regelmässig geprüft?
- Sind alte VPN-Profile, alte Benutzer und ehemalige Dienstleister entfernt?
- Gibt es ein frisches Backup und bekannte Recovery-Zugänge?
Für lokale Firewall-Dienste ist Device Access der zentrale Kontrollpunkt. Für längere Logaufbewahrung oder Security Monitoring ist Sophos Firewall Syslog an SIEM senden sinnvoll.