Sophos Portale: SophosID, Central, Support und Firewall-Zugänge
Bei Sophos gibt es mehrere Portale, die im Alltag leicht verwechselt werden: SophosID, Sophos Central, Support Portal, lokale Firewall WebAdmin, User Portal, VPN Portal, Captive Portal und Dokumentation. Für Admins ist wichtig, welches Portal für welchen Zweck gedacht ist, welches Login verwendet wird und welche Zugänge sicherheitskritisch sind.
Diese Übersicht ordnet die wichtigsten Sophos Portale ein. Der Artikel richtet sich vor allem an Admins, die Sophos Firewall, Sophos Central oder Remote Access betreiben und im Supportfall schnell wissen müssen, wo welche Aufgabe erledigt wird.
Kurzübersicht
Die wichtigsten Portale:
- SophosID: persönliches Sophos Konto für Anmeldung bei Sophos-Diensten sowie Zugriff auf Support- und Lizenzfunktionen.
- Sophos Central: Cloud-Management für Produkte, Benutzer, Geräte, Lizenzen, Firewall-Management und Reports.
- Sophos Support Portal: Supportfälle, RMAs, Sophos KB und Supportkommunikation.
- Sophos Firewall WebAdmin: lokale Firewall-Verwaltung für Regeln, VPN, NAT, Zertifikate, Logs, Firmware und Device Access.
- User Portal: Benutzerfunktionen wie OTP, Quarantäne, Downloads oder ältere Remote-Access-Funktionen.
- VPN Portal: Remote Access mit Sophos Connect Download, VPN-Konfigurationen und Benutzerzugriff.
- Captive Portal: Benutzeranmeldung für Netzwerkzugriff, Gäste oder interne Benutzer per Browser-Login.
- Sophos Docs und Release Notes: aktuelle Handbücher, Release Notes und bekannte Einschränkungen.
Nicht jedes Portal ist in jeder Umgebung relevant. Eine reine Sophos-Firewall-Installation ohne Central Endpoint braucht andere Zugänge als ein Unternehmen mit Sophos Central, MDR, ZTNA und mehreren Firewalls.
Sophos Konto- und Cloud-Portale
Diese Portale liegen ausserhalb der lokalen Firewall und betreffen Konto, Lizenzierung, Cloud-Management oder Support. Besonders wichtig werden sie, wenn mehrere Admins, Sophos Central oder ein Supportfall im Spiel sind.
SophosID
Die SophosID ist das persönliche Sophos Konto. SophosID wird für mehrere Sophos-Dienste verwendet, zum Beispiel für Support, Konto- und Lizenzfunktionen oder den Zugriff auf bestimmte Sophos-Portale.
SophosID öffnen:
Wichtig für den Betrieb:
- SophosID-Konten sollten personenbezogen sein, nicht als geteiltes Team-Login.
- MFA sollte aktiviert werden, wenn Sophos sie für den jeweiligen Zugriff anbietet.
- Bei Austritten müssen persönliche Zugänge aus Sophos Central, Support- und Lizenzkontexten entfernt werden.
- Für Dienstleister oder mehrere Admins sollten Rollen und Verantwortlichkeiten dokumentiert sein.
Wenn eine Sophos Firewall in ein anderes Konto übertragen werden muss, hilft Sophos Firewall in anderes Sophos Central Konto übertragen.
Sophos Central
Sophos Central ist die Cloud-Management-Plattform für viele aktuelle Sophos-Produkte. Dort werden je nach Lizenz Endpoint, Server, Email, Wireless, ZTNA, Firewall Management, Reporting, MDR/XDR und weitere Funktionen verwaltet.
Sophos Central öffnen:
Weitere Einstiege:
Für Sophos Firewall ist Sophos Central besonders relevant, wenn Firewalls registriert, zentral verwaltet, inventarisiert oder in Central Firewall Reporting aufgenommen werden sollen. Der Verbindungsprozess ist in Sophos Firewall mit Sophos Central verbinden beschrieben. Für Reporting passt Central Firewall Reporting aktivieren.
Wichtige Admin-Punkte:
- Central-Admins sollten eigene Konten und passende Rollen haben.
- MFA und Admin-Rollen sollten regelmässig geprüft werden.
- Lizenzstatus und Laufzeiten gehören in den Betriebsprozess.
- Änderungen über Sophos Central können in aktuellen SFOS-Versionen in Audit-Logs nachvollziehbarer werden.
- Bei mehreren Central-Konten sollte klar sein, welcher Tenant welche Firewalls und Lizenzen enthält.
Für Lizenzprüfungen passt Sophos Central Lizenzen prüfen. Für Berechtigungen in Central ist Sophos Central administrative Rollen relevant. Für grössere Strukturen ist Was ist Sophos Central Enterprise? der bessere Einstieg.
Sophos Support Portal
Im Sophos Support Portal werden Supportfälle und RMAs eröffnet und verwaltet. Es ist auch der Einstiegspunkt für viele öffentliche Sophos KB-Artikel.
Support Portal öffnen:
➜ Sophos Support Portal aufrufen
Für Supportfälle sollte man vorab klären:
- Gibt es eine gültige Supportberechtigung oder passende Lizenz?
- Welche Seriennummer oder Central-Tenant-ID ist betroffen?
- Welche Firmwareversion, Appliance, Logs und Fehlermeldungen sind relevant?
- Gibt es Screenshots, Zeitfenster und reproduzierbare Schritte?
- Wer ist intern für Rückfragen erreichbar?
Der praktische Ablauf steht in Wie man ein Supportticket bei Sophos eröffnet. Wenn Sophos Zugriff auf eine Firewall benötigt, sollte dieser kontrolliert eingerichtet und danach wieder entfernt werden. Dafür passt Avanet Support-Zugang auf Sophos Firewall einrichten.
Lokale Sophos Firewall Portale
Die folgenden Portale laufen auf oder im direkten Umfeld der Sophos Firewall. Weil sie näher am produktiven Netzwerk liegen, sollten sie besonders bewusst aktiviert, benannt und abgesichert werden.
Lokale Sophos Firewall WebAdmin
Die WebAdmin Console ist die lokale Verwaltungsoberfläche der Sophos Firewall. Der Zugriff erfolgt typischerweise über die Firewall-IP und den konfigurierten HTTPS-Port.
Die Standardadresse lautet:
https://<Firewall-IP-oder-FQDN>:4444
Standardmässig ist der Zugriff aus der LAN-Zone erlaubt. Weitere Zonen werden unter Administration > Device access freigegeben. WebAdmin sollte nicht aus der WAN-Zone erreichbar sein; für externe Administration sind VPN oder ZTNA, ein separates Managementnetz und eng begrenzte Local Service ACL Exception Rules die saubereren Wege.
Typische Aufgaben:
- Firewall-Regeln, NAT und Routing konfigurieren
- VPN, Zertifikate und Authentifizierung verwalten
- Logs, Packet Capture und Diagnosen prüfen
- Firmware-Updates und Backups durchführen
- Device Access, MFA und Adminzugriffe absichern
Die WebAdmin Console ist kein normales Webportal, sondern direkter Managementzugriff auf die Firewall. Dieser Zugriff sollte nur aus vertrauenswürdigen Netzen erreichbar sein. Der wichtigste Anschlussartikel ist Sophos Firewall Zugriff absichern: Device Access richtig konfigurieren.
Für den Einstieg in eine neue Firewall passt Sophos Firewall Getting Started. Für Admin-MFA ist MFA für Sophos Firewall WebAdmin, VPN Portal und Remote Access aktivieren relevant. Wenn Entra ID die WebAdmin-Anmeldung übernehmen soll, erklärt Entra ID SSO für Sophos Firewall WebAdmin zusätzlich das Rollenmapping, den Rechte-Test und den lokalen Notfallzugang.
Wer WebAdmin und Portale über FQDN statt IP-Adresse öffnet, sollte auch die gemeinsame Zertifikatsauswahl verstehen. Zertifikate auf Sophos Firewall importieren und zuweisen erklärt SANs, CA-Kette, Private Key und den sicheren Wechsel.
User Portal, VPN Portal und Captive Portal
User Portal und VPN Portal werden oft verwechselt. Beide sind lokale Dienste der Sophos Firewall, aber sie erfüllen unterschiedliche Aufgaben und sollten nur aktiviert sein, wenn sie wirklich benötigt werden.
Seit SFOS 20 sind User Portal und VPN Portal klarer getrennt. Das VPN Portal verwendet standardmässig HTTPS-Port 443. Das User Portal verwendet standardmässig 4443. Bei einem Upgrade oder Restore aus einer Version vor SFOS 20 übernimmt das VPN Portal den bisherigen User-Portal-Port; das User Portal wechselt auf 4443 oder, wenn dieser Port belegt ist, automatisch auf 65040.
Das User Portal zeigt persönliche Daten und je nach Konfiguration beispielsweise Internetnutzung, E-Mail-Quarantäne, Ausnahmen, Policy Overrides, OTP-Registrierung und weitere Clientdownloads. Dazu gehört der Client Authentication Agent mit seiner Server-CA. Ein normaler lokaler Benutzer kann dort zusätzlich sein Passwort ändern. Remote-Access-Clients und VPN-Konfigurationen gehören seit SFOS 20 in das VPN Portal.
Eine sinnvolle Faustregel:
- User Portal (
4443): Für interne oder bereits sicher angebundene Benutzer, etwa OTP, persönliche Daten, Quarantäne und Policy Overrides. Sophos warnt davor, das User Portal für die WAN-Zone freizugeben. - VPN Portal (
443): Für Remote-Access-Benutzer, Sophos Connect, SSL-VPN-Profile und Remote-Access-Konfigurationen. Es erscheint einem Benutzer erst, wenn der Benutzer oder seine Gruppe einer Remote-Access-Policy zugewiesen ist. - Captive Portal (
8090): Für Benutzer im Netzwerk, Browser-Login, benutzerbasierte Regeln oder Gästezugriff. Typischer Fehler: Es wird mit dem VPN Portal verwechselt oder ohne klares Logout-/Session-Konzept eingesetzt.
Wichtige Punkte:
- Alle drei Portale sind Loginflächen und damit sicherheitskritisch.
- Erreichbarkeit wird über Administration > Device access gesteuert.
- Das User Portal sollte nicht aus der WAN-Zone erreichbar sein. Das VPN Portal darf für Remote Access aus WAN erreichbar sein, muss dann aber mit MFA, passendem Zertifikat, restriktiven Policies und Login-Monitoring abgesichert werden.
- Alte Portale bleiben oft offen, obwohl Benutzer sie nach dem Rollout nicht mehr brauchen.
- Manuell verteilte
.ovpn-Profile müssen neu heruntergeladen und importiert werden, wenn sich SSL-VPN-Port, Protokoll, Interface oder SSL-Serverzertifikat ändern. Eine reine Sophos-Connect-Aktualisierung macht vorhandene Profile nicht ungültig.
Bei auffällig vielen fehlgeschlagenen Anmeldungen, verteilten Quell-IP-Adressen oder Kontosperren führt VPN-Portal-Brute-Force erkennen und eindämmen durch Logprüfung, ACL-Eingrenzung, Identitätsschutz und Nachkontrolle.
⚠️ Device-Access-Sonderfall: Wenn der Web Proxy der Firewall verwendet wird, behandelt SFOS dessen HTTP- und HTTPS-Anfragen als internen Traffic. Benutzer mit Proxy-Zugriff können deshalb lokale HTTPS-Dienste wie WebAdmin, Captive Portal, VPN Portal oder User Portal erreichen, obwohl der jeweilige Dienst für ihre Zone unter Device access nicht aktiviert ist. Dieser Pfad muss bei der Härtung separat getestet werden.
Für die Remote-Access-Entscheidung passt Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?. Für Clientupdates und Profilpflege hilft Sophos Connect Client Version prüfen und sicher aktualisieren.
Wenn ein Benutzer im VPN Portal angemeldet ist, aber die .ovpn fehlt, 0 Byte hat oder sich nicht erzeugen lässt, führt Sophos Firewall: .ovpn fehlt oder hat 0 Byte durch die Prüfung von Policy, User ID, Zertifikat, Speicher, Firmware und HA.
Für neue SSL-VPN-Umgebungen sollte man zuerst die firewallseitige Konfiguration und Portalabhängigkeiten prüfen. Der Ablauf steht in Sophos Firewall SSL VPN Remote Access einrichten.
Zertifikate, FQDNs und Portalnamen planen
Portalprobleme wirken für Benutzer oft wie ein Login- oder VPN-Fehler, beginnen aber schon bei DNS und Zertifikaten. Die vorinstallierten, lokal signierten Zertifikate erzeugen in Browsern normalerweise eine Vertrauenswarnung. Für produktive Portale sollte deshalb ein zum FQDN passendes und von den Clients vertrautes Zertifikat verwendet werden. Wenn WebAdmin, VPN Portal, User Portal, Captive Portal und WAF auf ähnlichen Hostnamen oder derselben WAN-Adresse laufen, sollte man die Namen bewusst trennen und dokumentieren.
Typische Planung:
- WebAdmin: Beispiel
admin.example.com. Nur aus Management-Netzen erreichbar machen, passendes Zertifikat verwenden und MFA aktivieren. - VPN Portal: Beispiel
vpn.example.com. Zertifikat muss zum Downloadprofil passen, Device Access sollte bewusst gesetzt sein. - User Portal: Beispiel
portal.example.com. Nur aktiv lassen, wenn Benutzerfunktionen wirklich benötigt werden. - Captive Portal: Beispiel
login.example.com. Zertifikat, Zone, Session-Timeout und Logout-Verhalten testen. - WAF-Anwendung: Beispiel
app.example.com. WAF-Regel, SNI, Domains und Backend-Host gemeinsam prüfen.
Wenn die Firewall selbst öffentliche Zertifikate beziehen soll, passt Sophos Firewall Let’s Encrypt Zertifikate einrichten. Für gemeinsame Wildcard-Zertifikate über mehrere Systeme ist Let’s Encrypt Wildcard Zertifikat erstellen der bessere Einstieg.
Wichtig ist die Betriebsfolge: Zuerst FQDN, DNS und Zertifikat planen, dann Portalzugriff über Administration > Device access und Local Service ACL begrenzen, danach Remote-Access-Profile oder WAF-Regeln verteilen. Nach einer Änderung an SSL-VPN-Port, Protokoll, Interface oder SSL-Serverzertifikat müssen manuell verteilte .ovpn-Profile neu importiert werden. Bei reinen FQDN- oder DNS-Änderungen ist separat zu prüfen, ob Profile, Lesezeichen und Monitoring den alten Namen enthalten.
Captive Portal richtig einordnen
Das Captive Portal ist kein Remote-Access-Portal. Es wird verwendet, wenn Benutzer im Netzwerk zuerst eine Browser-Anmeldung durchführen sollen, bevor die Firewall den Traffic mit einer Benutzeridentität verknüpfen kann. Das kann bei Gästen, BYOD-Geräten oder Umgebungen ohne transparente Benutzererkennung sinnvoll sein.
Für ein direkt von SFOS verwaltetes Gäste-WLAN mit Voucher oder Tagespasswort ist der Wireless-Hotspot der passendere Ablauf. Die Hotspot-Anleitung erklärt Zugangstyp, Voucher-Grenzen, HTTPS und die automatisch erzeugte Firewall-Regel.
Für die klassische Anmeldung mit lokalen, AD-, LDAP- oder RADIUS-Benutzern führt Sophos Firewall Captive Portal einrichten und testen von Authentifizierungsmethode und DNS-Regel bis zu Benutzerregel, Live users und Log Viewer.
Wenn die Firewall zeitlich begrenzte Konten für Besucher erzeugen soll, erklärt Gastbenutzer auf Sophos Firewall erstellen und sicher betreiben die separate Konto-, Gruppen-, Gültigkeits- und Bereinigungslogik.
Die Standardadresse lautet https://<Firewall-IP>:8090. In Dual-Stack-Netzen müssen sich Benutzer für IPv4- und IPv6-Ziele separat anmelden. Wenn MFA verlangt wird, muss der Benutzer das OTP zuerst im User Portal registrieren und anschliessend Passwort und OTP am Captive Portal verwenden.
Typische Einsatzfälle:
- Gäste oder BYOD-Geräte müssen sich anmelden, bevor Internetzugriff erlaubt wird.
- Benutzerbasierte Firewall-Regeln sollen greifen, obwohl kein STAS, SATC oder anderer transparenter Mechanismus verfügbar ist.
- Einzelne Netze brauchen einfache Benutzerzuordnung ohne vollständige Endpoint-Integration.
Captive Portal sollte nicht als Ersatz für saubere Netzwerksegmentierung verstanden werden. Wenn ein Netz besonders schützenswert ist, bleibt die Trennung über Zonen, VLANs und klare Firewall-Regeln wichtiger. Die Grundlagen dazu stehen in Zonen und Interfaces auf Sophos Firewall planen. Für klassische Benutzeranbindung mit Active Directory passt Active Directory auf Sophos Firewall einbinden.
Wenn Captive Portal mit Microsoft Entra ID SSO betrieben werden soll, ist der Ablauf anders als bei VPN Portal oder Sophos Connect. Dafür passt Microsoft Entra ID SSO für Sophos Firewall Captive Portal einrichten.
Wichtig im Betrieb:
- Captive Portal braucht erreichbare lokale Firewall-Dienste. Device Access und Local Service ACL müssen dazu passen.
- Session-Timeouts sollten zur Umgebung passen. Zu lange Sessions verwässern Benutzerzuordnung, zu kurze Sessions stören Benutzer.
- Logout, Gruppenmapping und Log Viewer sollten mit echten Testbenutzern geprüft werden.
- Die Captive-Portal-Optionen für automatisches Abmelden gelten nicht für Benutzer, die sich mit Microsoft Entra ID SSO anmelden. Dieser Ablauf braucht einen eigenen Session- und Logout-Test.
- In Netzen mit sensiblen Systemen ist Captive Portal meist nicht stark genug als alleinige Kontrolle.
Wenn Captive Portal aus einem Netz nicht erreichbar ist, sollte man nicht zuerst normale Firewall-Regeln ändern. Häufig liegt die Ursache bei Administration > Device access, Local Service ACL Exception Rules, DNS, Zertifikat oder falschem Zone-Mapping. Für die lokale Zugriffskontrolle passt Device Access und Local Service ACL auf Sophos Firewall.
Betrieb, Dokumentation und Sicherheit
Neben dem richtigen Portal ist entscheidend, dass Zugriffe, Dokumentation und Betriebsprozesse regelmässig überprüft werden.
Dokumentation gezielt prüfen
Für aktuelle technische Details sind offizielle Sophos Docs und Release Notes wichtiger als alte Blogposts oder Screenshots. Besonders bei SFOS-Versionen, Sophos Connect, Lizenzänderungen, Plattformunterstützung und bekannten Einschränkungen sollte man versionsabhängige Angaben vor einer produktiven Änderung gegenprüfen. Im Artikel selbst sollten solche Quellen nur dann verlinkt werden, wenn der Admin sie für den konkreten Arbeitsschritt wirklich öffnen muss.
Bei Firmwarethemen sollte nicht nur die Downloadverfügbarkeit zählen. Vor einem Update sind Plattform, Upgradepfad, Backup, HA-Zustand und bekannte Blocker wichtig. Der Ablauf steht in Sophos Firewall vor SFOS 22 Upgrade prüfen und Sophos Firewall Firmware Update - Vorbereitung und Best Practices.
Sicherheitscheck für Portalzugriffe
Portale sind bequem, aber jedes Login ist eine potenzielle Angriffsfläche. Deshalb sollte man regelmässig prüfen:
- Welche SophosID- und Central-Admins existieren noch?
- Ist MFA für SophosID, Sophos Central und Firewall-Admins aktiv?
- Sind WebAdmin, SSH, User Portal, VPN Portal und SSL VPN nur dort erreichbar, wo sie gebraucht werden?
- Gibt es geteilte Admin-Konten, die ersetzt werden sollten?
- Werden fehlgeschlagene Logins regelmässig geprüft?
- Sind alte VPN-Profile, alte Benutzer und ehemalige Dienstleister entfernt?
- Gibt es ein frisches Backup und bekannte Recovery-Zugänge?
Für lokale Firewall-Dienste ist Device Access der zentrale Kontrollpunkt. Für längere Logaufbewahrung oder Security Monitoring ist Sophos Firewall Syslog an SIEM senden sinnvoll.