Sophos Firewall-servicelogs correct toewijzen

Bij Sophos Firewall zijn er drie belangrijke niveaus voor troubleshooting: gebeurtenislogs in de Log Viewer, diagnosehulpmiddelen in WebAdmin en dienst- of logbestanden op de firewall. De Log Viewer is ideaal voor snelle vragen zoals “werd de verbinding toegestaan of geblokkeerd?”. De bestanden onder /log zijn belangrijker wanneer een dienst niet start, een VPN-tunnel instabiel is, webfilters onverwacht ingrijpen of wanneer support gedetailleerde gegevens nodig heeft.

Dit artikel ordent de belangrijkste diensten en logbestanden naar typische beheerproblemen. Het helpt ook wanneer in het dashboard, in de Advanced Shell of in een supportcase een technische dienstnaam opduikt en het niet meteen duidelijk is welke firewallfunctie daarachter zit. Namen zoals zebra, warren, awed, garner of strongswan zijn in het dagelijks gebruik niet vanzelfsprekend.

Hulpmiddelkeuze en vereisten

Voordat men in logbestanden zoekt, moet duidelijk zijn welk hulpmiddel het snelst antwoord geeft. Veel gevallen kunnen al met Log Viewer of Packet Capture worden afgebakend. De shell wordt pas echt nuttig wanneer een dienst zelf moet worden gecontroleerd of support gedetailleerde loggegevens nodig heeft.

Welk probleemoplossingshulpmiddel past?

Niet elk firewallprobleem begint met een shell. Vaak is een ander hulpmiddel sneller:

• Verbinding toegestaan of geblokkeerd? Firewallregel testen met Log Viewer, Policy Test en Packet Capture.
• Toont de volledige Log Viewer geen nieuwe events? Filters, logging en de buildgebonden Garner-workaround controleren.
• Startte de volledige firewall onverwacht opnieuw? De herstart eerst als Appliance-Reboot, HA-Failover of service-uitval indelen en daarna sysinit.log, syslog.log en CTR veiligstellen.
• Komen pakketten aan, maar is onduidelijk hoe ze verdergaan? Sophos Firewall Packet Capture in WebAdmin gebruiken.
• Moet een pakketopname langer duren, als PCAP worden opgeslagen of in Wireshark worden geanalyseerd? Sophos Firewall tcpdump: pakketten per CLI opnemen.
• Wordt een configuratiewijziging als oorzaak vermoed? Sophos Firewall Audit Trail Logs controleren.
• Hangt een wijziging uit Sophos Fusion (voorheen Sophos Central)? Sophos Fusion Firewall Task Queue controleren.
• Zijn rapporten of geschiedenis in Sophos Fusion nodig? Sophos Firewall Central Reporting activeren en beheren.
• Moeten logs langdurig in een SIEM, SOC of logserver worden opgeslagen? Sophos Firewall Syslog naar SIEM verzenden.
• Gaat het om verkeersstromen, bandbreedtepieken of communicatiepatronen? sFlow Monitoring op Sophos Firewall configureren.
• Werkt een dienst niet of heeft support logs nodig? Dit artikel.
• Lokale logs voor Sophos Support of Avanet veiligstellen? Sophos Firewall Logs voor ondersteuning en analyse veiligstellen.
• Een supportcase voorbereiden? Sophos Supportticket openen: voorbereiding en portal.

De volgorde is belangrijk. De Log Viewer toont vaak sneller welke regel of welke module heeft beslist. Packet Capture bewijst de pakketstroom in WebAdmin. tcpdump is nuttig wanneer een langere opname, een PCAP-bestand of een zeer nauwkeurige CLI-filter nodig is. Servicelogs en Debug helpen wanneer een specifieke dienst zelf het probleem is of wanneer gegevens voor Sophos Support moeten worden verzameld.

Bij vragen die uitsluitend over bereikbaarheid gaan, vullen Diagnostics > Tools met Ping, Traceroute en DNS- en route-lookups het zoeken in logs aan. Ping controleert de bereikbaarheid, Traceroute het pad en een lookup de naamomzetting of de route. De basisdiagnosecommando’s helpen bij de hulpmiddelkeuze; een geslaagde test vanaf de firewall vervangt geen test vanaf de getroffen client.

Snelle start per symptoom

Als niet duidelijk is welk log relevant is, helpt een start op basis van symptoom in plaats van dienstnaam.

• Afzonderlijke verbinding werkt niet: eerst Log Viewer met Source, Destination, Service en tijd controleren. Daarna Packet Capture, firewall_rule.log en nat_rule.log gebruiken.
• VPN-tunnel is niet actief of instabiel: VPN-status, peer-IP, tijd en Log Viewer controleren. Daarna strongswan.log, charon.log, sslvpn.log en IPsec-diagnosegegevens bekijken.
• WebAdmin, User Portal of SSH is niet bereikbaar: Device Access, Local Service ACL en getroffen zone controleren. Daarna apache.log, tomcat.log, sshd.log en Packet Capture op de doelpoort gebruiken.
• Webfilter, TLS Inspection of IPS blokkeert onverwacht: Log-Viewer-module en Policy ID controleren. Daarna ips.log, awarrenhttp.log en Packet Capture vergelijken.
• Sophos Fusion taak blijft hangen: Central Task Queue en lokale status vergelijken. Daarna centralmanagement.log, sophos-central.log en fwcm-api-executor.log controleren.
• HA gedraagt zich per knooppunt verschillend: actief knooppunt, Auxiliary-knooppunt en getroffen verkeerspad bepalen. Daarna direct op het getroffen knooppunt aanmelden en de HA-logs controleren.
• Lokale rapporten ontbreken of opslag loopt vol: rapportinstellingen, opslagruimte en Central Reporting controleren. Daarna reportdb.log, garner.log en opslaganalyse gebruiken.

Dit overzicht voorkomt een typische valkuil: men zoekt in een servicelogbestand, terwijl eerst regeltoewijzing, Device Access, NAT of routering moet worden aangetoond.

Log Viewer of Logbestand?

De Log viewer opent men in de WebAdmin-console rechtsboven. Hij wordt automatisch bijgewerkt, kan worden gefilterd op module, tijd, veldwaarden en vrije tekst en kan logs als CSV exporteren.

Om gebruikersnamen en IP-, MAC- en e-mailadressen in de dagelijkse logweergave te beschermen, kan Data Anonymization voor lokale logs en rapporten worden gebruikt. De werking in Log viewer bewijst niet automatisch dat bestanden onder /log, CTR, Remote Syslog of Central dezelfde identiteiten anonimiseren; elk uitvoerpad wordt afzonderlijk gecontroleerd.

Probleemoplossingslogs staan in de map /log. De officieel gedocumenteerde route loopt via de CLI: aanmelden, 5 Device Management kiezen en daarna 3 Advanced Shell. Voor langere sessies met tail, grep of less is SSH meestal prettiger. De veilige voorbereiding staat in Sophos Firewall per SSH verbinden.

Voor langere shell-sessies moet duidelijk zijn vanuit welk admin-netwerk men verbinding maakt, of de SSH-fingerprint is gecontroleerd en of de Advanced Shell echt nodig is. Voor veel eerste controles volstaat de Log Viewer of Packet Capture in WebAdmin.

Als vuistregel helpt deze volgorde:

1. Een afzonderlijke verkeersstroom is getroffen: Log Viewer filteren op Source, Destination, Service en tijd.
2. Log Viewer toont geen beslissing: Packet Capture met een nauw filter starten.
3. Packet Capture toont Incoming, maar geen duidelijke beslissing: Rule ID, NAT ID, Firewall ID 0, retourpad en passend logbestand controleren.
4. Een specifieke dienst lijkt instabiel: het passende bestand onder /log met tail -f volgen.
5. Een fout is sporadisch of vereist support: tijdvenster, filter, logarchief en eventueel tcpdump voorbereiden.
6. Normale logs volstaan niet: Debug alleen voor de getroffen dienst en slechts kort activeren.

Hiermee blijft de analyse klein genoeg. Men verzamelt eerst de zichtbare bevinding, schakelt dan over naar de pakketstroom en pas daarna naar dienstlogs of Debug. Dit vermindert het risico om te vroeg brede Debug-logs te activeren of een verkeerd logbestand te evalueren.

Logbestanden in de Advanced Shell lezen

Voordat men in /log zoekt, moet de testcase zo nauwkeurig mogelijk worden gedocumenteerd: lokale tijd, getroffen bron-IP, bestemming-IP, poort, gebruiker, module en verwacht gedrag. Deze gegevens maken het verschil tussen een bruikbare loganalyse en een lange zoektocht door oude vermeldingen.

1. Aanmelden bij de CLI, 5 Device Management kiezen en daarna 3 Advanced Shell.
2. Naar de logmap gaan.

cd /log

Nuttige commando’s:

tail -f firewall_rule.log
tail -f nat_rule.log
grep -i error ips.log
less strongswan.log
service -S | grep ips

De belangrijkste commando’s uit de Advanced Shell:

• Live volgen: tail -f /log/<logfilename>.log, bijvoorbeeld tail -f /log/ips.log.
• Statisch logbestand lezen: less /log/<logfilename>.log, bijvoorbeeld less /log/ips.log.
• Naar een term zoeken: grep <keyword> /log/<logfilename>.log, bijvoorbeeld grep error /log/ips.log.
• Dienststatus lezen: service -S gebruiken of op een naam beperken, bijvoorbeeld service -S | grep ips. Deze controle wijzigt de dienst niet.

Voor een gericht livefilter kan men een datum of clientadres toevoegen:

tail -f /log/ips.log | grep 2026-10-10
tail -f /log/ips.log | grep 192.0.2.10
less /log/ips.log | grep error

De datum en 192.0.2.10 zijn voorbeeldwaarden: vervang ze door de datum die in het log zichtbaar is of het IP-adres van de getroffen client. tail -f toont alleen de laatste bestaande regels en nieuw toegevoegde vermeldingen, niet automatisch de volledige geschiedenis van die dag. Voor reeds opgeslagen vermeldingen gebruikt men bijvoorbeeld grep 2026-10-10 /log/ips.log. Als het filter geen resultaten oplevert, controleer dan eerst het tijdformaat, de tijdzone, het IP-adres en het logbestand voordat men vermoedt dat logging ontbreekt. In less /log/ips.log springt Shift+G naar het einde van het bestand, gaat Enter één regel verder en sluit q de weergave; Ctrl+C beëindigt een actieve tail -f-registratie. De pipeline met less levert gefilterde tekstuitvoer en geen interactieve less-weergave. Deze commando’s lezen logs, maar wijzigen geen regels of de Debug-status.

Voor ondersteuning of een latere analyse moet men niet alleen afzonderlijke logregels kopiëren. Beter zijn een duidelijk tijdsbereik, de gereproduceerde test, relevante screenshots uit Log Viewer of Packet Capture en indien nodig een volledig logarchief. Lokale logs roteren; daarom moeten belangrijke gegevens worden beveiligd zolang de gebeurtenis nog in de getroffen periode aanwezig is. De procedure staat in Sophos Firewall Logs voor externe analyse beveiligen.

Troubleshooting-logs in WebAdmin downloaden

Niet elke logverzameling hoeft handmatig in Advanced Shell te worden samengesteld. WebAdmin verzamelt de bestanden onder Diagnostics > Tools.

In de praktijk zijn er twee routes:

• Afzonderlijke logbestanden: Diagnostics > Tools > Troubleshooting logs openen, betrokken logbestanden selecteren en als gecomprimeerd bestand downloaden.
• Consolidated Troubleshooting Report (CTR): Diagnostics > Tools > Consolidated troubleshooting report gebruiken wanneer support alle logs plus systeemstatus, processen en resourcegegevens in één pakket nodig heeft.

Dat is praktisch wanneer een duidelijk afgebakend logpakket volstaat. De CTR past beter wanneer Sophos Support een brede systeemsnapshot nodig heeft. Geef een heldere reden op, zoals ticketnummer, tijdvenster of symptoom. Het rapport wordt versleuteld gedownload; de bestandsnaam bevat ook het serienummer van de firewall en hoort daarom niet in openbare bijlagen.

Een CTR bevat standaard 10.000 regels per service subsystem log. In Device Console kan de waarde alleen tussen 250 en 10.000 worden ingesteld en dus alleen ten opzichte van de standaard worden verlaagd. Default subsystem logs bevatten alle regels. Deze limiet geldt uitsluitend voor de CTR; volledige afzonderlijke bestanden blijven beschikbaar via Troubleshooting logs of Advanced Shell.

Belangrijk: een gedownload logpakket vervangt de contextgegevens niet. Support heeft nog steeds tijd met tijdzone, getroffen IP’s, gebruiker, tunnelnaam, Rule ID, NAT ID en een korte beschrijving nodig van wat precies is gereproduceerd.

Bij HA-clusters moet men bovendien rekening houden met het volgende: logs en rapporten worden niet simpelweg tussen Primary en Auxiliary gesynchroniseerd. Elk knooppunt bevat de logs voor het verkeer en de diensten die het zelf heeft verwerkt. Bij knooppuntspecifieke fouten moet daarom het betrokken knooppunt worden gecontroleerd.

Logrotatie en vluchtige gegevens begrijpen

Troubleshooting Logs worden eerst in het werkgeheugen gemaakt en daarna door de firewall naar het bestandssysteem gekopieerd. Als de firewall niet meer reageert, kunnen vermeldingen verloren gaan die nog niet zijn gekopieerd. Een onverwachte herstart of vastloper is daarom geen reden om de bewijsvastlegging uit te stellen; sla eerst de beschikbare CTR-, log- en tijdgegevens op.

Elk subsysteem heeft afhankelijk van kritikaliteit en appliancemodel eigen limieten voor bestandsgrootte en opslag. Wanneer het actieve bestand de limiet bereikt, comprimeert SFOS het als .gz en schrijft verder onder de oorspronkelijke bestandsnaam. Als ook de rotaties de subsysteemlimiet bereiken, wordt het oudste gecomprimeerde bestand eerst verwijderd. Het aantal rotaties en de beschikbare historie zijn daarom niet voor alle diensten gelijk.

Hernoem of verwijder logbestanden en .gz-rotaties niet handmatig. Volg voor opslaganalyse, export en de gedocumenteerde purge-commando’s de procedure Opslagruimte en rapporten gecontroleerd beheren.

Advanced Shell of Device Console?

Bij Sophos Firewall zijn er twee verschillende consolegebieden die vaak worden verward:

• Device Console: Sophos CLI voor firewall-specifieke commando’s, bijvoorbeeld routeringsprioriteit, IPsec-routes of systeemopties.
• Advanced Shell: Linux-achtige shell voor bestandssysteem, logbestanden en alleen-lezencommando’s zoals tail, grep, less en service -S.

Niet elk commando werkt in beide gebieden. /log, tail -f, grep en service -S horen bij Advanced Shell. De gedocumenteerde system diagnostics ...-commando’s voor CTR-limieten, logverwijdering en subsysteemdebug horen bij Device Console.

Dit onderscheid is belangrijk, omdat veel fouten alleen ontstaan doordat een correct commando op de verkeerde plaats wordt ingevoerd.

Logging moet actief zijn

Niet elke verwachte informatie verschijnt automatisch.

• In Firewallregels moet Log firewall traffic actief zijn.
• In SSL/TLS-inspectieregels moet logging geactiveerd zijn.
• Onder System services > Log settings moet worden gedefinieerd welke logtypen lokaal, naar Sophos Fusion of naar Syslog worden verzonden.

Voor langdurige opslag is een Syslog-server of Sophos Central Firewall Reporting zinvol. Hoe men externe logservers of een SIEM kan aansluiten, staat in Sophos Firewall Syslog naar SIEM verzenden. Voor Sophos Fusion is Central Firewall Reporting activeren de juiste procedure.

Debug alleen gericht activeren

Debug-Logging genereert veel meer gegevens, neemt opslagruimte in en kan vertrouwelijke inhoud vastleggen. Het is daarom geen verstandige eerste stap. Bepaal eerst normaal logbestand, tijdvenster en reproduceerbare test; gebruik Debug alleen voor het getroffen subsysteem en zo kort mogelijk.

Sophos documenteert twee verschillende methoden. De Advanced-Shell-vorm service <service>:debug -ds nosync wisselt de status en kent geen afzonderlijk argument on of off. Gebruik voor een ondersteund servicesubsysteem bij voorkeur de expliciete Device Console-commando’s die Sophos documenteert: system diagnostics subsystems <subsystem> debug on, reproduceer het probleem en verzamel de gegevens, en voer daarna system diagnostics subsystems <subsystem> debug off uit. Voor Packet Capture-debug is de subsysteemnaam bijvoorbeeld Pktcapd. Debug staat standaard uit, maar controleer vóór een wijziging of een andere beheerder of Sophos Support niet al gegevens verzamelt. Leg de wijziging vast en controleer na afloop dat Debug uitstaat.

Behandel CSC-systeemcontrollerdebug als een afzonderlijke schakelaar

SFOS 22 documenteert voor de systeemcontroller (CSC) een afzonderlijk Device Console-commando:

system diagnostics subsystems CSC debug

Anders dan de bovenstaande syntax voor servicesubsystemen heeft dit commando geen argument on of off: elke uitvoering schakelt CSC-debug om. Gebruik het als gecontroleerde wijziging, niet als statusvraag:

1. Voorcontrole: Bevestig met andere beheerders en Sophos Support dat CSC-debug niet al actief is of deel uitmaakt van een lopende gegevensverzameling. Leg firewall of HA-node, tijd, reden en gepland verzamelvenster vast. Bewaar vóór de wijziging een referentiekopie van het relevante CSC-log. Voer de schakelaar niet uit om alleen de status te achterhalen.
2. Activeren en reproduceren: Voer het commando in Device Console exact één keer uit. Reproduceer alleen het afgebakende probleem en noteer de testtijd met tijdzone.
3. Bewijs bewaren: Download vóór de rollback het relevante afzonderlijke troubleshooting-log, of genereer de CTR en download het voltooide CTR-bestand. Beperk toegang tot de versleutelde CTR en elk logarchief omdat deze vertrouwelijke gegevens kunnen bevatten; wis of overschrijf geen bewijs dat voor de case nodig is.
4. Deactiveren / rollback: Ga terug naar Device Console en voer hetzelfde commando exact één keer uit. Deze tweede geplande uitvoering schakelt CSC-debug weer uit.
5. Verifiëren: Voer een korte gecontroleerde test uit en bevestig in de nieuw geschreven CSC-logregels dat uitvoer op debugniveau is gestopt en het log weer normaal groeit. Leg tijd en resultaat van de rollback vast. Als de beginstatus of nacontrole onduidelijk is, voer de schakelaar dan niet herhaaldelijk uit; stop en stem de status af met Sophos Support.

⚠️ WAF-Debug en reverseproxy.log: Sophos heeft met SFOS 22.0 MR2 Build 546 fout NC-177457 opgelost, waarbij bij ingeschakelde WAF-Debug een wachtwoord zichtbaar was in reverseproxy.log. Sophos noemt noch het begin van het getroffen versiebereik, noch het soort wachtwoord. Reeds aangemaakte WAF-Debug-logs, troubleshooting-archieven en CTR-bestanden uit oudere of onbekende builds moeten daarom worden behandeld alsof ze mogelijk inloggegevens bevatten.

Als inloggegevens in platte tekst worden gevonden: toegang beperken, het incident documenteren en de betreffende inloggegevens wijzigen. Logs niet zonder onderscheid verwijderen voordat vereisten voor support, forensisch onderzoek en bewaartermijnen zijn opgehelderd.

Het onderwerp Debug-Logging en basis CLI-commando’s wordt uitgebreider beschreven in het artikel Sophos Firewall CLI Troubleshooting: belangrijke commando’s. Voor het herstarten van afzonderlijke diensten helpt daarnaast Sophos Firewall Services veilig herstarten.

Typische fouten bij het zoeken naar logs

Veel loganalyses duren niet lang vanwege ontbrekende gegevens, maar omdat te vroeg in het verkeerde hulpmiddel wordt gezocht.

• Direct Debug activeren: eerst Log Viewer, passend logbestand en een reproduceerbare test controleren.
• Alleen naar foutmeldingen zoeken: daarnaast Source, Destination, User, Rule ID, NAT Rule ID en tijd beperken.
• Packet Capture negeren: als onduidelijk is of pakketten aankomen of doorgaan, vroeg Packet Capture gebruiken.
• Central Reporting als live-debug beschouwen: Central Reporting voor geschiedenis en rapporten gebruiken, lokale logs voor detailanalyse.
• Support-logs pas dagen later veiligstellen: logs, tijd en reproductiestappen veiligstellen zolang de gebeurtenis nog te traceren is.
• Debug na de test laten draaien: Debug weer deactiveren en opslagruimte controleren.

Een goed probleemoplossingsgeval heeft daarom altijd drie dingen: een nauwe test, de passende logbron en een gedocumenteerde tijd. Zonder deze basis ziet men wel veel logregels, maar niet noodzakelijk de oorzaak.

Logbestanden per functiegebied

De volgende lijsten zijn bedoeld als naslagwerk. Kies bij voorkeur eerst het getroffen functiegebied en controleer daarna het passende logbestand met een nauw tijdvenster.

De primaire toewijzingen houden rekening met SFOS 22.0 en 23.0; de OAuth-SSO-bestanden verschillen tussen deze versies, zoals hieronder aangegeven. Op oudere installaties of in oude supportarchieven kunnen daarnaast de vroeger gebruikte namen app-feedback.log, sig_update.log, sessiontbl.log, webproxy.log, fqdndebug.log, ipsec_Test_Connect.log, redis, hotspot.log, awarrenmta_debug.log, smbnetfs.log, snireport.log, confdbstatus.log en crreportdb.log voorkomen. Sophos vermeldt deze niet in de hier gebruikte SFOS-22/23-loglijsten; daarom mag men er op een actuele build niet van uitgaan dat ze aanwezig zijn.

De algemene systeem- en configuratielogs worden naast de betreffende module gecontroleerd. Eén bestand kan meerdere functies ondersteunen: doorslaggevend is de betekenis ervan voor het concrete probleem, niet alleen de dienstnaam.

Systeem, beheer en basisdiensten

• Systeemstart: sysinit.log; als eerste controleren bij opstart- en failsafe-problemen.
• Systeemmeldingen op kernelniveau: syslog.log; controleer daarnaast tijd, herstart en interface-events. Vergelijk ook systeemevents en door beheerders geactiveerde events in de Log Viewer.
• Apache-webserver voor WebAdmin en User Portal: apache.log, apache_access.log en error_log.log; controleer daarnaast Device Access en Local Service ACL.
• WebAdmin- en User Portal-applicatie: Jetty-webapplicatieserver, logbestand tomcat.log; controleer daarnaast GUI-fouten, hoge belasting en dienststatus. De bestandsnaam is niet de naam van de huidige webapplicatieserver.
• SSH: sshd.log; controleer daarnaast Device Access, bronnetwerk en inloggen met een publieke sleutel.
• GUI-/CLI-fouten: error_log.log; controleer daarnaast de recente wijziging, browser en beheerdersactie.
• Configuratiewijzigingen: applog.log, csc.log; controleer daarnaast Audit Trail en Config Studio.
• Configuratiedatabase: postgres.log; controleer daarnaast opslagruimte, back-up/herstel en de supportcase.
• Communicatiekanaal tussen bepaalde componenten en hun diensten: garner.log; controleer bij Central Management en Reporting daarnaast de betreffende pluginvermeldingen.
• API: apiparser.log; controleer daarnaast validation.log, API-ACL, token en Central Task Queue.
• Validatie: validation.log, validationError.log; controleer daarnaast foutieve objecten of imports.
• Licentieverlening: licensing.log; controleer daarnaast licentiestatus, Central Sync en het bijzondere Air-Gap-scenario.
• Systeemupdates: u2d.log; controleer daarnaast patroonstatus, DNS/HTTPS en opslagruimte.

Bij managementproblemen moet niet alleen het WebAdmin-logbestand worden gecontroleerd. Zeer vaak bepaalt Device Access, een Local Service ACL Exception Rule of een verkeerd bronnetwerk of WebAdmin, SSH, User Portal, VPN Portal, DNS of SNMP bereikbaar zijn. Voor dit deel is Sophos Firewall-toegang beveiligen: Device Access correct configureren de betere start.

Firewall, NAT en Packet Capture

• Matching van firewallregels: firewall_rule.log; controleer daarnaast de module Firewall in de Log Viewer.
• Verbindingsgerelateerde firewalllogs: fwlog.log; het aanmaken ervan hangt af van de logging van de firewallregel en Log settings. Gebruik daarnaast Packet Capture.
• NAT-regels: nat_rule.log; controleer daarnaast NAT Rule ID in de Log Viewer.
• DNAT met Link Load Balancing: controleer daarnaast dgd.log wanneer gateway- of linkselectie een rol speelt.
• Packet Capture in WebAdmin: pktcapd.log; controleer daarnaast Diagnostics > Packet capture.
• Bandbreedtebeheer / QoS: bwm.log; controleer daarnaast Traffic Shaping Policy.
• Virtual Host / oudere serverpublicatie: vhost.log; controleer daarnaast NAT en WAF.
• Web Server Protection / WAF: reverseproxy.log; enkele WAF-configuratiedetails staan daarnaast in firewall_rule.log. Controleer de WAF-regel, Hosted address en de bereikbaarheid van de backend.

NAT is niet alleen een kwestie van nat_rule.log: de NAT-instelling van een Site-to-Site-IPsec-verbinding wordt gecontroleerd in charon.log, een via de CLI uitgevoerd NAT-commando in applog.log. Zo kan men een tunnelconfiguratie onderscheiden van een normale NAT-regel.

Bij DNAT-problemen altijd Firewallregel en NAT-regel samen controleren. NAT vertaalt alleen, maar staat geen verkeer toe. Meer hierover: NAT op Sophos Firewall begrijpen: SNAT, DNAT, MASQ, PAT.

Sophos Firewall gebruikt voor firewallverbindingen onder andere IP tables, ARP table, IPset en conntrack. Voor QoS of Bandwidth Management wordt IMQ gebruikt. Deze informatie is nuttig wanneer men logmeldingen of ondersteuningsuitvoer met technische termen uit het Linux-netwerkpad ziet.

IPS, Application Control en TLS Inspection

• Intrusion Prevention: service ips, logbestand ips.log.
• Application Control: service ips / Application Filter, logbestand ips.log.
• DPI en TLS Inspection: context DPI Engine, logbestand ips.log.
• Antivirus in het netwerkpad: service avd, logbestand avd.log.
• Zero-Day Protection / Sandbox: context Sandbox Service, logbestand sandboxd.log.
• Active Threat Response / X-Ops Threat Feeds: ATR in het netwerkpad; eerst Log Viewer en afhankelijk van de module ook ips.log controleren.
• MDR Threat Feeds: context ATR / MDR-feedstatus, logbestand atr.log; de beheerhandleiding correleert Audit ID, Task Queue en lokaal verkeersbewijs.
• Signatuur-updates: context Signature Updater, logbestand sig_upgrade.log.
• Signatuurmigratie: context Signature Migration, logbestand sigmigration.log.

appcached.log bevat ook de tijdelijke cache van gecategoriseerde applicaties voordat deze in de database worden opgeslagen; het gebruik ervan voor Application Based Routing staat verderop vermeld. Bij MDR- en threatfeeds van derden toont atr.log de licentie- en configuratiestatus, niet alleen een beslissing over verkeer. Voor IP-adres-IoC’s wordt daarnaast firewall_rule.log gecontroleerd. Bij domein- of URL-IoC’s horen firewall-, DNS-, SSL/TLS-Inspection- en webproxylogs bij elkaar: firewall_rule.log, dnsd.log, ips.log, httplogd.log en, afhankelijk van het verwerkingspad, awarrenhttp.log. De betrokken modules voeren Active Threat Response uit afhankelijk van het IoC-type.

Veel moderne beschermingsfuncties zien pas voldoende details wanneer HTTPS wordt ontsleuteld. Als TLS Inspection niet werkt, zijn webfilters, Application Control, IPS en Malware Scan afhankelijk van het verkeer minder informatief.

Als onduidelijk is of IPS actief is, welk beleid van toepassing is of waarom een signatuur blokkeert, helpt eerst Sophos Firewall IPS instellen en veilig testen. Daarna kan men ips.log, Log Viewer en Packet Capture gerichter samenvoegen.

Als het gaat om applicatieherkenning, Application Filter of onverwachte App-Control-blokkeringen, past eerst Sophos Firewall Application Control instellen en testen.

Voor Zero-Day Protection moet men daarnaast controleren of Web Protection, TLS Inspection, bestandstype, bestandsgrootte, policy en actie samenpassen. Het passende operationele artikel is Sophos Firewall Zero-Day Protection begrijpen en beheren. Voor Threat Feeds past Sophos Firewall Threat Feeds instellen en veilig beheren. Meer over TLS Inspection: TLS Inspection op Sophos Firewall stapsgewijs uitrollen.

Web, Proxy, WAF en Webfilter

• HTTP en HTTPS via de webproxy: dienst awarrenhttp, logbestand awarrenhttp.log.
• HTTPS-proxytoegang: toegangslog van awarrenhttp, logbestand awarrenhttp_access.log. Voor SFOS 22/23 geldt: afzonderlijke webproxyverzoeken verschijnen hier alleen wanneer awarrenhttp met ingeschakelde Debug draait; volg de registratieprocedure hieronder.
• Webcategorisering / reputatie: dienst nSXLd, logbestand nSXLd.log.
• Categorie-updates (SFOS 22/23): logbestand catUpdateLog – let op hoofdletters en kleine letters, zonder de extensie .log.
• FTP via de HTTP-proxy: dienst skein, logbestand skein.log.
• FTP-proxy: dienst ftpproxy, logbestand ftpproxy.log.
• Web Application Firewall: reverse proxy, logbestand reverseproxy.log.

Bepaal voor deze verzameling van toegangslogs eerst de betrokken firewall-/HA-node, het testgeval, de tijd en een kort verzamelvenster, controleer de schijfruimte en bevestig met andere beheerders of support dat debug uitstaat. Gebruik het omschakelcommando niet als statusopvraag. Voer daarna service awarrenhttp:debug -ds nosync precies eenmaal uit in de Advanced Shell, reproduceer het afgebakende probleem en bewaar awarrenhttp_access.log beveiligd. Voer vervolgens hetzelfde commando precies eenmaal uit om debug weer uit te schakelen. Controleer met een korte, gecontroleerde test dat er geen nieuwe debugregels verschijnen en dat het normale log weer met de gebruikelijke snelheid groeit; documenteer de rollback en de schijfruimtecontrole. Als de beginstatus of de nacontrole onduidelijk is, blijf dan niet omschakelen, maar verduidelijk dit met support. Deze methode geldt hier voor awarrenhttp in SFOS 22/23, niet algemeen voor alle diensten of releases.

Bij een vermoedelijke proxylus kan block_proxy_loop samen met kort ingeschakelde awarrenhttp-debug de melding Duplicate Via header values, proxy loop opleveren. HTTP-proxy-instellingen veilig controleren beschrijft voorwaarde, globale werking en veilige rollback. Laat debug alleen voor de reproduceerbare test actief en schakel het daarna uit.

Als webverkeer in de Log Viewer als geblokkeerd verschijnt, kan de oorzaak in meerdere modules liggen: Web Policy, SSL/TLS-inspectie, Application Control, IPS of WAF. Daarom altijd de specifieke module in de Log Viewer selecteren en daarnaast het passende logbestand controleren.

Sophos blokkeert websites in de categorie highly objectionable criminal activity altijd en verbergt de domeinnaam in logs en rapporten. Dit is geen vrij te kiezen standaardactie. Als een vermelding in deze categorie bewust geanonimiseerd lijkt, kan dat dus de bedoeling zijn.

Voor webcategorieën, URL-groepen, Web Policies en Instant Alerts past Sophos Firewall Web-categorieën en Instant Alerts gebruiken.

VPN

• IPsec vanaf SFOS v17+: services strongswan, charon; logbestanden strongswan.log, charon.log.
• IPsec verbindingsspecifiek: afzonderlijke IPsec Connection, logbestand /log/ipsec_conn/ipsec_<connectionname>.log.
• IPsec oudere versies: context IPsec Service, logbestand ipsec.log.
• IPsec Monitoring: context IPsec Monitor, logbestand ipsec_monitor.log.
• XFRM / route-based VPN: service xfrmi, logbestand xfrmi.log.
• SSL VPN: context SSL VPN / OpenVPN, logbestand sslvpn.log.
• SSL VPN Status: context OpenVPN Status, logbestand openvpn-status*.log.
• VPN Portal: context VPN Portal, logbestand vpnportal.log.
• L2TP: service l2tpd, logbestand l2tpd.log. L2TP Remote Access op Sophos Firewall beschrijft configuratie en diagnose.
• PPTP: context PPTP VPN, logbestand pptpvpn.log.
• VPN-certificaten: context VPN Certificate Services, logbestand vpncertificate.log.
• Clientless SSL VPN: context Clientless Access, logbestand clientless_access.log.

Sophos Firewall gebruikt strongSwan voor IPsec VPN en OpenVPN voor SSL VPN. Bij IPsec-problemen zijn tijd, peer-IP, Proposal, lokale en externe subnetten, NAT-T, routering en firewallregels cruciaal.

Deze implementaties gelden zowel voor Site-to-Site als voor Remote Access. /log/ipsec_conn/ipsec_<connectionname>.log bevat met name de verbindingsspecifieke WebAdmin-acties voor het activeren, deactiveren en verbinden van de tunnel; <connectionname> wordt vervangen door de werkelijke verbindingsnaam. Controleer bij VPN-gebruikersauthenticatie daarnaast access_server.log en bij portalproblemen vpnportal.log. Bij problemen met de Sophos Connect-client hoort ook het technische supportrapport van de client bij het verzamelen van bewijsmateriaal: firewalllogs alleen tonen niet de volledige clientstatus. De IPsec-troubleshootingprocedure helpt om de bevindingen van client en firewall samen te brengen.

Voor IPsec-problemen is het artikel Sophos Firewall IPsec Troubleshooting de betere stapsgewijze handleiding. Als het gaat om route-based VPN en handmatige IPsec-routes, helpt IPsec Route op Sophos Firewall maken.

Authenticatie, User Portal en SSO

• Gebruikersauthenticatie, autorisatie en accounting: Access Server / AAA, logbestand access_server.log.
• NTLM / NASM: dienst nasm, logbestand nasm.log.
• Chromebook SSO: Chromebook SSO Backend, logbestand chromebook-sso-backend.log.
• Chromebook-SSO-proces: csd.log; onderscheid dit van het backendlog.
• OAuth SSO Captive Portal (SFOS 22): logbestand oauth_sso_captive.log.
• OAuth SSO WebAdmin (SFOS 22): logbestand oauth_sso_webadmin.log.
• OAuth SSO VPN (SFOS 22): logbestand oauth_sso_vpn.log.
• OAuth SSO (SFOS 23): oauth_sso_svc.log voor SSO-aanmeldingen bij WebAdmin, Captive Portal, VPN Portal, IPsec VPN en SSL VPN.
• RADIUS SSO: toewijzing van gebruikers aan IP-adressen via accounting in access_server.log. Configuratie en acceptatiecontrole worden uitgelegd in RADIUS SSO met accounting.
• STAS: STAS-/Access Server-context, afhankelijk van de dienstcontext en access_server.log.

Bij gebruikersregels altijd eerst controleren of de gebruiker bekend is. Als Match known users actief is en de authenticatie niet werkt, matcht de regel niet. Voor klassieke browseraanmeldingen combineert Sophos Firewall Captive Portal instellen en testen Device Access, de gebruikersregel, Live users, Log Viewer en access_server.log tot één volledige controleprocedure.

Als nog onduidelijk is of de serviceselectie, identiteit, hoofdgroep, quota of pas het verdere verkeerstraject mislukt, brengt Authenticatiefouten op Sophos Firewall systematisch oplossen deze lagen samen in één diagnoseprocedure.

Als Captive Portal met Microsoft Entra ID SSO wordt gebruikt, helpt Microsoft Entra ID SSO voor Sophos Firewall Captive Portal instellen bij het afstemmen van oauth_sso_captive.log (SFOS 22; in SFOS 23: oauth_sso_svc.log), Device Access, groepen en de latere regeltoewijzing.

DNS, DHCP en Netwerk

• DNS-dienst: dienst dnsd, logbestand dnsd.log.
• Wildcard-FQDN-dienst / DNS Grabber: dienst dnsgrabber, logbestand dnsgrabber.log.
• DNS Entity / overige DNS-componenten: diensten entity, eacd; logbestanden entity.log, eacd.log.
• DHCP IPv4: dienst dhcpd, logbestand dhcpd.log.
• DHCP IPv6: logbestand dhcpd6.log.
• Fysieke en virtuele interfaces: dienst networkd, logbestand networkd.log.
• FQDN Hosts: dienst fqdnd, logbestand fqdnd.log.
• Dead Gateway Detection en WAN-/gatewaybeheer: dienst dgd, logbestand dgd.log; controleer ook link-failover, VPN-failover en DNAT.
• Dynamic DNS: Dynamic DNS Client, logbestand ddc.log.
• NTP-client: logbestand ntpclient.log.
• IPv6 Router Advertisement: dienst radvd, logbestand radvd.log.

DNS- en DHCP-problemen lijken vaak op firewallproblemen. Daarom moeten eerst IP-adres, gateway, DNS-server en de vraag worden gecontroleerd of clients de firewall als DNS- of DHCP-server moeten gebruiken.

Als interne domeinen niet correct worden opgelost, is meestal DNS request routes op Sophos Firewall configureren relevant. Voor DHCP-speciale opties is er het eigen artikel Sophos Firewall DHCP Options configureren.

Cellular WAN

• WWAN / USB-modem: in- en uitpluggen van USB-apparaten in modemd.log controleren.
• Modem-netwerkconfiguratie: modemgerelateerde interfaces en IP-configuratie in networkd.log controleren.
• USB, modem en PPP: Syslog-meldingen over USB, modem en Point-to-Point Protocol in syslog.log controleren.

Bij problemen met Cellular WAN moet men daarnaast controleren of het modem wordt herkend, of PIN/SIM/APN correct zijn en of de firewall een passende gateway aanmaakt.

Routing

• Statische unicastroutes: logbestand staticd.log. Configuratie en controle worden uitgelegd in Een statische route op Sophos Firewall instellen.
• Installatie van statische IPv4-unicastroutes: dienst zebra, logbestand zebra.log.
• Application Based Routing: dienst appcached, logbestand appcached.log.
• Multicastrouting: logbestand mrouting.log.
• BGP en BGP-IPv6: dienst bgpd, logbestand bgpd.log. Configuratie en acceptatiecontrole worden uitgelegd in BGP op Sophos Firewall configureren; zebra.log helpt daarnaast te controleren of een geleerde dynamische IPv4- of IPv6-route in de kernel is geïnstalleerd.
• OSPFv2 en OSPFv3: diensten ospfd en ospf6d, logbestanden ospfd.log en ospf6d.log. Of de dynamische route in het systeem is opgenomen, toont ook zebra.log. Configuratie en acceptatiecontrole worden uitgelegd in OSPF op Sophos Firewall configureren.
• RIP: dienst ripd, logbestand ripd.log. Configuratie en acceptatiecontrole worden uitgelegd in RIPv2 op Sophos Firewall configureren; zebra.log toont daarnaast of een geleerde route in de routingstack is geïnstalleerd.
• PIM-SM: dienst pimd, logbestand pimd.log. Configuratie en acceptatiecontrole worden uitgelegd in PIM-SM op Sophos Firewall configureren.

Bij routeringsproblemen daarnaast Routing > SD-WAN routes, Gateways en Packet Capture controleren. De Policy tester vervangt geen echte routeringstest.

Bij statische en dynamische routes levert csc.log daarnaast opcode-informatie en aanwijzingen voor herstarts van diensten. In de HA-context worden ha.log, msync.log en applog.log toegevoegd. Bij SD-WAN-routes controleert men naast appcached.log ook applog.log, csc.log en dgd.log; als IPsec betrokken is, worden de IPsec-logs erbij genomen.

Meer hierover: Routing-prioriteit op Sophos Firewall aanpassen.

GUI, CLI en Systeemtoegang

Voor WebAdmin, SSH, API en lokale managementdiensten staat de basislijst verder boven onder Systeem, beheer en basisdiensten. Als WebAdmin of SSH niet bereikbaar is, niet alleen apache.log, tomcat.log of sshd.log controleren. Lokale toegang wordt beheerd via Administration > Device access en Local Service ACL.

Meer hierover: SSH-verbinding met de Sophos Firewall maken.

Sophos Fusion, Heartbeat en Central Management

• Sophos Central Management: Central Management, logbestanden centralmanagement.log, sophos-central.log.
• CSC en hulpdiensten: diensten csc, cschelper, csd; logbestanden csc.log, cschelper.log, csd.log. cschelper.log betreft door het systeem gegenereerde e-mails en authenticatiehulpmiddelen, csd.log het Chromebook-SSO-proces.
• Security Heartbeat en Synchronized Security: heartbeatd.log bevat de endpointstatus en applicatie-informatie die naar de firewall zijn verzonden; hbtrust.log de communicatie met Central. De diensten heten heartbeatd en hbtrust; controleer daarnaast csc.log en applog.log.
• Synchronized Application Control: controleer de gegevens die naar SophosLabs worden verzonden in sac-feedback.log.
• SAC-databaseoptimalisatie (SFOS 22/23): sac-vacuum.log registreert de wekelijkse optimalisatie van de Synchronized-Application-Control-database; sac-feedback.log blijft het afzonderlijke log voor gegevens die naar SophosLabs worden verzonden.
• Central-events, verbinding en configuratieoverdracht: fwcm-eventd.log toont verzonden zone-/interface-informatie voor dynamische objecten, fwcm-heartbeatd.log de verbinding en fwcm-updaterd.log de overgedragen configuratie. De diensten heten fwcm-eventd, fwcm-heartbeatd en fwcm-updaterd; het zijn niet alle drie Heartbeat-diensten.
• Central API Executor: dienst fwcm-api-executor, logbestand fwcm-api-executor.log.
• Active Threat Response: ATR-context; controleren afhankelijk van versie en module.

Bij problemen met Sophos Fusion eerst controleren of de firewall geregistreerd is, Central Services actief zijn en of DNS/HTTPS uitgaand werkt. Als een wijziging uit Sophos Fusion lokaal niet aankomt, moet men de Sophos Fusion Firewall Task Queue met de lokale logs vergelijken. Alleen een groene Sophos Fusion-status bewijst niet dat een concrete policy lokaal is verwerkt.

Voor registratie en toegangstokens is sophos-central.log relevant, voor ingeschakeld Management en Reporting centralmanagement.log. Registratie en deregistratie worden daarnaast vergeleken met applog.log, firmware-upgrades met csc.log. hbtrust.log toont de communicatie; in garner.log horen SCM-pluginvermeldingen bij Central Management en CR-pluginvermeldingen bij Central Reporting. fwcm-api-executor.log bevat ook MDR-analyses die naar de firewall zijn overgedragen. De gebruikte SFOS-22-documentatie noemt het platform Sophos Fusion (voorheen Sophos Central), de SFOS-23-documentatie Sophos Central; bestaande dienst- en bestandsnamen blijven ongewijzigd.

High Availability

• HA-status en configuratie: HA Application Log, logbestand applog.log.
• HA-peerdetectie in QuickHA: dienst ha_pair, logbestand ha_pair.log.
• SSH-tunnel tussen HA-apparaten via de dedicated link: dienst ha_tunnel, logbestand ha_tunnel.log.
• Conntrack-synchronisatie: dienst ctsyncd, logbestand ctsyncd.log.
• Msync: dienst msync, logbestand msync.log.
• HA-opbouw en statuswisselingen: ha.log.
• Bestandssynchronisatie van geselecteerde diensten naar het Auxiliary-apparaat: filesync.log.

HA-logs en rapporten worden niet tussen de apparaten gesynchroniseerd. Elk knooppunt bewaart alleen gegevens voor verkeer dat het zelf heeft verwerkt. Controleer daarom Log Viewer en Diagnostics > Tools > Troubleshooting logs op elk betrokken apparaat. Voor troubleshooting-logs van het Auxiliary-apparaat meldt men zich rechtstreeks bij de CLI aan via het IP-adres of de FQDN van de beheerinterface. Sophos Central Firewall Reporting kan rapporten van beide apparaten combineren, maar vervangt geen knooppuntlokale troubleshooting-bestanden.

Mail en Anti-Spam

• Antivirus: AV-dienst, logbestand avd.log.
• Antivirusupdates: Up2Date AV, logbestand up2date_av.log.
• Antispam: dienst sasi, logbestand sasi.log.
• Sandbox: dienst sandboxd, logbestand sandboxd.log.
• SMTP MTA: dienst smtpd, logbestand smtpd_main.log.
• SMTP-fouten in MTA-modus: smtpd_error.log voor fouten bij het scannen van e-mail, smtpd_panic.log voor interne fouten en smtpd_reject.log voor geweigerde e-mails; de dienst is smtpd.
• Legacy SMTP/S-proxy: diensten awarrensmtp, awarrenmta; logbestanden awarrensmtp.log, awarrenmta.log. Configuratie en end-to-end-test worden uitgelegd in Mail Protection in Legacy Mode.
• POP/IMAP-proxy: dienst warren, logbestand warren.log. Configuratie en end-to-end-test worden uitgelegd in POP3 en IMAP op Sophos Firewall scannen.

Bij mailproblemen altijd controleren of MTA Mode, Firewallregel, DNS, certificaten en providerbeperkingen overeenkomen. De procedure voor mailflow, spool, quarantaine en relay is beschreven in Sophos Firewall Mail Protection in MTA Mode instellen.

Sophos Firewall gebruikt Avira en Sophos Antivirus. De Anti-Spam-dienst start alleen als er een inkomend of uitgaand spambeleid aanwezig is. Deze afhankelijkheid is belangrijk als sasi.log leeg blijft of de Anti-Spam-service niet draait.

Draadloos, RED, Hotspot en andere diensten

• Wireless Controller en AP-/APX-communicatie met de firewall: dienst awed, logbestand awed.log.
• Draadloze clients: communicatie tussen client en AP/APX in wc_remote.log.
• LocalWifi-SSID: dienst hostapd, logbestand hostapd.log; niet verwarren met hotspot-events.
• Hotspot-events: dienst hotspotd, logbestand hotspotd.log.
• RED: red.log registreert alle geconfigureerde RED-apparaten, inclusief Site-to-Site RED en SD-RED. red-<serial ID of RED>.log hoort bij het betreffende SD-RED-apparaat, red-<RED ID>.log bij de betreffende Site-to-Site-RED-configuratie. De RED ID vindt men onder Network > Interfaces door de betreffende Site-to-Site RED te openen. De placeholders worden vervangen door het werkelijke serienummer of de RED ID ervan.
• SNMP: dienst snmpd, logbestand snmpd.log.
• Syslog-dienst: logbestand syslog.log.
• Licentieverlening: licentiedienst, logbestand licensing.log.
• Systeemupdates: dienst u2d, logbestand u2d.log.
• VMware Tools: dienst vmtool, logbestand vmtool.log.

Bij licentie-, Air-Gap- of patroonproblemen zijn licensing.log en u2d.log de eerste technische aanspreekpunten. Voor de operationele procedure met licentiebestand, 180-dagenvenster en handmatige patroonupdates past Sophos Firewall Air-Gap-licentieverlening en patroonupdates beheren.

Database en Rapportage

• Configuratiedatabase: Config DB, logbestand postgres.log.
• Postgres: dienst postgres, logbestand postgres.log.
• Signaturedatabase: dienst sigdb, logbestand sigdb.log.
• Rapportdatabase: nieuwe rapportdatabase vanaf SFOS 21.0, logbestand reportdb.log.
• Migratiedatabase: Report Migration, logbestand reportmigration.log.
• Configuratiemigratie (SFOS 22/23): logbestand migration.log; niet verwarren met reportmigration.log voor de rapportmigratie.
• Garner: dienst garner, logbestand garner.log.
• Logvisualisatie in WebAdmin: dienst iview, logbestand iview.log.

Als rapporten ontbreken, traag zijn of er opslagproblemen optreden, zijn rapportage- en databaselogs relevant. Daarnaast moet men controleren of rapporten lokaal worden opgeslagen of naar Sophos Fusion worden verzonden.

Overige logbestanden voor SFOS 22/23

De volgende bestanden zijn minder vaak nodig bij dagelijkse troubleshooting van verkeer, maar horen wel bij de SFOS-22/23-toewijzing. Ze zijn gegroepeerd op functie, zodat men niet te snel uit een bestandsnaam een oorzaak afleidt:

• Audit, FIPS en supporttoegang: configuration-audit.log registreert configuratiewijziging, beheerder en tijdstip; fips.log de start in FIPS-modus; uma.log de Support Access.
• Logpipeline en lokaal gegevensonderhoud: syslog-ng.log toont de onderdrukking van opeenvolgende vermeldingen van hetzelfde event; reportdb_v9.log hoort bij de oude rapportdatabase. dbcleanup.log betreft de databaseopschoning bij het herstarten van de firewall, readobject.log het intern lezen van objecten, fstrim.log bestandssysteem-trimming en logrotate.log de rotatie naar .gz-bestanden.
• ATR, NDR Essentials en FastPath: atr-service.log toont de start en het einde van de ATR-dienst. ndr.log omvat NDR-licentie, configuratie en agentstart; ndr_agent.log dienststart en metadataverwerking. vfpdf.log toont metadata die door FastPath naar NDR Essentials worden verzonden, uitsluitend op XGS 88/88w, 108/108w, 118/118w en 128/128w. setup_vf_dpdk.log registreert de FastPath-geheugeninitialisatie en geldt juist niet voor deze vier modelreeksen.
• TLS en SSL VPN: httplogd.log toont niet-ontsleutelde HTTPS-verbindingen in het DPI-pad. peruser_cert_sslvpn.log registreert gebruikersspecifiek gegenereerde SSL-VPN-certificaten; openvpn-status0.log, openvpn-status1.log en andere genummerde bestanden tonen actieve SSL-VPN-verbindingen per proces.
• Netwerk en HA: dhcprelay.log hoort bij DHCP Relay. ha.log toont succes of fouten bij het opbouwen van HA en statuswisselingen; filesync.log de bestandssynchronisatie van geselecteerde diensten naar het Auxiliary-apparaat.
• Central, deployment en ZTNA: fwcm-eventd.log, fwcm-heartbeatd.log en fwcm-updaterd.log omvatten zone-/interface-informatie, verbinding en configuratieoverdracht. fwcm-frpcd.log betreft de Fast Reverse Proxy bij het gelijktijdig openen van meerdere firewalls in Central. ssod.log bevat firmware-upgrade-informatie die naar Central is verzonden en firewallback-ups die daar zijn gemaakt. Voor True/Controlled Zero Touch controleert men zt.log en fwcm-heartbeatd.log; bij Zero Touch via USB zerotouch.log, niet fwcm-heartbeatd.log. ztna-connector.log bevat klantaccount-/connector-ID’s, connectorstatus, ZTNA-tunnels, opgevraagde applicaties en configuratie-updates.
• Back-up, firmware, Air Gap en certificaten: interfacemapping.log registreert de interfacetoewijzing bij herstel, legacyconversion.log back-ups zonder Secure Storage Master Key en fwmgmt.log firmware-installatie en -beheer. u2d_airgap.log geldt voor Air-Gap-updates, cps_messages.log voor hotfixfouten en letsencrypt.log samen met applog.log voor Let’s-Encrypt-certificaten.
• API, herstel en certificaatbeheer: apiparser.log betreft de API-vertaling tussen JSON en XML, validation.log en validationError.log de API-validatie. Controleer voor back-up/herstel daarnaast applog.log en postgres.log. vpncertificate.log omvat niet alleen VPN-certificaten, maar ook CA’s, CSR’s en CRL’s.
• Hardware en systeemstatus: npu-startup.log toont de NPU-start, npu_syslog.log NPU-syslogs en xgs-host.log hostdrivers bij het opstarten. xgs-npu-fw.log betreft NPU-compatibiliteitscontrole, upgrade en herstel, xgs-npu-serial.log de seriële NPU-poort en xgs-pport-wait.log het aanmaken van fysieke interfaces bij het opstarten. xgs-healthmond.log omvat CPU-belasting, temperatuur, ventilatortoerental en NPU-managementpoort. raid.log toont software-RAID en lcd.log het hardwaredisplay. Op hardware-, virtuele, cloud- en softwarefirewalls leggen system-monitor/cpu_trigger.log en system-monitor/memory_trigger.log de systeemstatus vast bij respectievelijk hoge CPU- en geheugenbelasting; beide zijn vermeld voor SFOS 22/23.
• FastPath-syslogs: npu_syslog.log betreft NPU-gebaseerde FastPath en geldt niet voor XGS 88/88w, 108/108w, 118/118w en 128/128w. syslog.log toont hostcommunicatie met NPU-gebaseerde FastPath en Virtual FastPath. Controleer bij VMware naast het VMware-Tools-log vmtool.log ook syslog.log.
• Cloud- en platformdiensten: iaasd.log registreert configuratieprovisioning en licentiecontrole in Azure, waagent.log provisioning op besturingssysteemniveau en gezondheidsbewaking door de Azure-provisioningagent; vmtool.log hoort bij VMware Tools.

De aanwezigheid van een bestand bewijst geen fout in die module. Breng eerst gebeurtenistijd, betrokken node, platform, dienststatus en een reproduceerbaar symptoom samen; zoek pas daarna met een beperkt filter in het juiste bestand.

Analyseverloop

1. Probleem nauwkeurig noteren: tijd met tijdzone, client, doel, poort, gebruiker, actie.
2. Beslissen of het om verkeer, dienststatus, een configuratiewijziging of Central-synchronisatie gaat.
3. In de Log Viewer filteren op Source IP, Destination IP, module en tijd.
4. Zichtbaarheid van Firewall Rule ID, NAT Rule ID, gebruiker, gateway en Policy IDs controleren.
5. Packet Capture gebruiken als pakketstroom, retourweg of NAT-zicht onduidelijk is.
6. Passend logbestand met tail -f, less of grep controleren.
7. Probleem reproduceren en het exacte testtijdstip documenteren.
8. Indien nodig Debug alleen voor de getroffen dienst en slechts kort activeren.
9. Debug weer deactiveren en opslagruimte controleren.
10. Logs veiligstellen zolang de fout vers is gereproduceerd.

Voor supportcases moet men bovendien alle foutmeldingen, reproductiestappen en reeds uitgevoerde probleemoplossingsstappen documenteren. Precies deze informatie versnelt de afhandeling aanzienlijk. De juiste procedure staat in Sophos-supportticket openen: voorbereiding en portal.

FAQ