Sophos Firewall Services veilig opnieuw starten

Een afzonderlijke Sophos Firewall Service start men het veiligst opnieuw onder System services > Services. Staat de service daar niet, dan is dat geen reden om zomaar een shellcommando uit te voeren: gebruik Advanced Shell alleen met actuele, servicespecifieke Sophos-instructies of binnen een supportcase. Bepaal eerst om welke service het gaat en welke verbindingen door de herstart kunnen worden onderbroken.

⚠️ Belangrijk: Een service-herstart wijzigt de systeemstatus en kan VPN, routing, DNS, DHCP, webtoegang of beheerderstoegang onderbreken. Sla vooraf de status en logs op en zorg bij externe locaties voor een alternatieve toegangsmethode.

Service opnieuw starten via WebAdmin

Noteer vóór de klik de huidige status, het exacte tijdstip van de fout en de functietest die mislukt. Relevante bestanden kunnen afzonderlijk worden gedownload onder Diagnostics > Tools > Troubleshooting logs. Voor een supportcase bevat een Consolidated troubleshooting report (CTR) ook de systeemstatus, processen en het resourcegebruik. Bij een externe locatie horen ook een onderhoudsvenster en alternatieve toegang bij de pre-check.

1. Open System services > Services.
2. Controleer de betrokken service en de huidige status. Start geen bewust gestopte of niet-geconfigureerde service.
3. Klik onder Manage op Restart.
4. Wacht tot de service terugkeert naar de eerdere status Running en test daarna de betrokken functie.

WebAdmin toont onder meer Anti-spam, Antivirus, Authentication, DNS server, IPS, Web proxy, WAF, DHCP server, DHCPv6 server, Router advertisement service, Hotspot en Packet capture and Live connections. Is een service niet geconfigureerd, dan blijft de knop uitgeschakeld. Anti-spam vereist een inkomende of uitgaande spam policy. Als Packet capture and Live connections wordt gestopt, eindigen actieve captures en is de weergave Live Connections niet meer beschikbaar. Start Packet Capture ondanks een ingeschakelde schuifknop niet, dan noemt Sophos specifiek deze WebAdmin-herstart als herstelstap.

Een serviceherstart heeft geen rollback die actieve sessies herstelt. De te behouden toestand is daarom de vooraf vastgelegde servicestatus. Keert een eerder actieve service niet terug naar Running, klik dan niet herhaaldelijk op Restart. Noteer een nieuw tijdstip, download het logbestand of de CTR en onderzoek de fout of schakel Sophos Support in.

Onder Control Center > System laat de servicestatus zien of een service is gestopt of niet kon starten. Dit is een goed beginpunt, maar vervangt geen functietest. Reageert alleen de WebAdmin-interface niet meer, gebruik dan De Sophos Firewall WebAdmin GUI opnieuw starten.

Antivirusservice gestopt na mislukte patternupdates

Als de Antivirusservice gestopt blijft nadat de SAVI- en AVIRA-patternupdates zijn mislukt, moet niet herhaaldelijk op Restart worden geklikt. Sla eerst de firmwareversie en build, het tijdstip van de fout en de bijbehorende bestanden avd.log en up2date_av.log op. Noteer onder Backup & firmware > Pattern updates ook de laatste geslaagde update en de huidige status: Ready to install, Downloading, Success of Failed. De algemene procedure om deze statussen te controleren staat onder Sophos Firewall-patroonupdates configureren en controleren.

Sophos registreert dit probleem als NC-180066; het is opgelost in SFOS 22.0 MR2 Build 546. Als de symptomen overeenkomen op een oudere SFOS 22-build, controleer dan het ondersteunde pad met de voorbereiding voor de firmware-update en werk eerst bij naar MR2 Build 546 of een latere goedgekeurde versie. Een eenmalige herstart onder System services > Services is in het algemeen mogelijk, maar Sophos documenteert die niet als workaround of oplossing voor NC-180066 en ze vervangt de firmware-update niet.

Klik pas na de firmware-update onder Backup & firmware > Pattern updates op Update pattern now. De update van het betrokken Antivirus-pattern moet de status Success bereiken en de Antivirusservice moet actief blijven. Alleen de weergegeven servicestatus is niet voldoende: ook de patternupdate moet met succes worden voltooid. Als het probleem opnieuw optreedt op MR2 Build 546 of hoger, moeten de opgeslagen logs en tijdstippen aan Sophos Support worden verstrekt in plaats van te blijven aannemen dat het om NC-180066 gaat.

IPsec opnieuw starten via VPN Management

Het hoofdmenu van de CLI biedt onder 6. VPN Management > Restart VPN Service een ondersteunde herstart van de daemon van de VPN-service. Sophos waarschuwt dat hierdoor alle VPN-tunnels worden verbroken. Als slechts één VPN-verbinding opnieuw moet worden opgebouwd, gebruik dan de bijbehorende actie in WebAdmin. Leg vóór de daemonherstart tunnelstatus, exact tijdstip en strongswan.log vast en controleer daarna opnieuw Child SAs, peers en werkelijk applicatieverkeer. Een proposal-, routing- of NAT-fout wordt niet door de herstart opgelost.

In hetzelfde menu kan het RSA-sleutelpaar voor IPsec-authenticatie opnieuw worden gegenereerd. Dit is geen serviceherstart, maar een sleutelwissel. Bij verbindingen met RSA key hebben de peers daarna de nieuwe openbare sleutel nodig; gebruikers van externe toegang moeten hun VPN-configuratie opnieuw downloaden. Sophos documenteert geen terugkeer naar het oude sleutelpaar met één klik. Gebruik deze actie alleen als geplande rotatie met een volledige tunnelinventaris, onderhoudsvenster en alternatieve beheerderstoegang, niet als algemene troubleshootingstap. Problemen met PSK of certificaten worden er evenmin door opgelost.

Service opnieuw starten via Advanced Shell

Gebruik Advanced Shell alleen als actuele Sophos-instructies de exacte service en het commando noemen of Sophos Support deze verstrekt. Volg voor SSH-toegang en controle van de hostsleutel Verbinding maken met Sophos Firewall via SSH. SSH mag alleen vanaf vertrouwde beheernetwerken zijn toegestaan; de juiste instellingen staan in Device Access en Local Service ACL. Inactieve SSH-sessies worden na 15 minuten gesloten.

Open na het aanmelden:

5. Device Management > 3. Advanced Shell

De Device Console onder menuoptie 4 valideert de gedocumenteerde commando’s en is bedoeld voor ondersteunde netwerk- en systeemdiagnose. Advanced Shell onder 5. Device Management > 3. Advanced Shell is daarentegen een Linux-shell met volledige toegang tot databases en systeemservices. Configuratiewijzigingen uit deze shell zijn niet permanent en worden niet in backups opgenomen. Voer eerst alleen-lezencontroles uit en start pas opnieuw nadat servicenaam, impact, onderhoudsvenster en hersteltoegang zijn gecontroleerd.

1. Servicenaam en status controleren

Bekende services en hun huidige status worden getoond met:

service -S

De uitvoer kan op de vermoedelijke service worden gefilterd. Voor IPsec bijvoorbeeld:

service -S | grep -i strongswan

RUNNING betekent dat de service actief is. STOPPED, UNREGISTERED of UNTOUCHED wijst niet automatisch op een storing: afhankelijk van firmware en configuratie kan een service bewust inactief of niet geregistreerd zijn. Controleer eerst of de bijbehorende functie, policy of licentie wordt gebruikt.

Is de technische servicenaam onduidelijk, raadpleeg dan Sophos Firewall troubleshooting: services en logs. Daar worden functiegebieden en logbestanden gekoppeld.

2. Logs controleren vóór de ingreep

Een herstart kan belangrijke aanwijzingen over de oorzaak verbergen. Lees voor IPsec daarom eerst strongswan.log en bewaar relevante meldingen:

less /log/strongswan.log

Sluit less af met q. Voor grotere analyses kunnen de logs vooraf worden geëxporteerd volgens Sophos Firewall-logs bewaren voor support en analyse. In HA-clusters bewaart elk knooppunt alleen logs van het verkeer dat het verwerkt; mogelijk moeten beide knooppunten apart worden gecontroleerd.

3. Service opnieuw starten op een standalone firewall

Het volgende voorbeeld gaat uit van een standalone firewall. Vóór uitvoering moet service -S | grep -i strongswan de service bevestigen. De herstart kan site-to-site- en Remote Access IPsec-verbindingen onderbreken. Controleer vooraf tunnels, peers en het onderhoudsvenster.

Sophos documenteert dit patroon:

service <service>:restart -ds nosync

Een volledig voorbeeld voor de IPsec-service is:

service strongswan:restart -ds nosync

De generieke syntaxis en service -S zijn gedocumenteerd in de actuele SFOS 22-help, waarin strongswan aan de IPsec-service is gekoppeld. Dit voorbeeld is niet op een firewall uitgevoerd en wordt daarom niet als labgetest beschreven. Raad de naam van een andere service nooit aan de hand van een lijst.

Zie voor verdere analyse Sophos Firewall IPsec troubleshooting.

⚠️ HA-cluster: Neem het standalone-commando niet ongecontroleerd over. Afhankelijk van service en situatie gebruiken Sophos-instructies sync of nosync; er is publiek geen afdoende algemene regel gedocumenteerd. Service, knooppunt, SFOS-build en synchronisatiemodus moeten blijken uit actuele servicespecifieke Sophos-instructies of een supportcase.

Afzonderlijke stop- en start-commando’s mogen alleen worden gebruikt als Sophos Support dit voor de specifieke service voorschrijft. Tussen beide commando’s blijft de service volledig gestopt.

Ook deze herstart kent geen toestandsbehoudende rollback: verbroken Security Associations en sessies kunnen niet worden hersteld. Het veilige stopcriterium is de vergelijking met de pre-check. Keert strongswan niet terug naar de eerdere toestand of worden de tunnels niet hersteld, voer dan geen tweede herstart uit. Bewaar de logs en CTR en escaleer het probleem.

4. Resultaat valideren

Controleer na de herstart status, log en de echte functie:

service -S | grep -i strongswan
tail -f /log/strongswan.log
grep -i 'error' /log/strongswan.log

tail -f toont nieuwe meldingen doorlopend en wordt gestopt met Ctrl+C. Vergelijk de meldingen met het tijdstip dat vóór de herstart is genoteerd; een ongefilterde grep kan ook oude fouten tonen. Controleer daarna de IPsec-tunnels en test een host aan de overzijde. De status RUNNING bewijst op zichzelf niet dat de verbinding weer werkt.

Controleer ook csc.log als de herstart mislukt. Bij HA-problemen kunnen afhankelijk van het foutbeeld ook ha.log, msync.log en applog.log relevant zijn.

Veelvoorkomende services en passende functietests

Bevestig de exacte servicenaam op de betrokken firewall met service -S. De belangrijkste koppelingen zijn:

• strongswan: Site-to-site- en Remote Access IPsec. Controleer daarna tunnelstatus, strongswan.log en bereikbaarheid van de overzijde.
• dnsd: DNS-service. Test daarna interne en externe naamomzetting, dnsd.log en aanwezige DNS Request Routes.
• dhcpd: DHCP-server. Nieuwe of vernieuwende clients krijgen tijdens een herstart mogelijk geen antwoord. Test daarna lease-uitgifte en dhcpd.log.
• awed: Communicatie tussen firewall en AP/APX. Controleer daarna de verbindingsstatus van access points en awed.log.
• zebra: Installeert dynamische en statische routes in de kernel. Een herstart is daarom ingrijpend en mag alleen met een concrete Sophos-instructie worden uitgevoerd; test daarna routingtabel, gateways en werkelijke paden.
• smtpd: SMTP-proxy in MTA-modus. De transparante legacy-proxy gebruikt een andere service; controleer vóór een ingreep de bedrijfsmodus en smtpd_*-logs. Test daarna gecontroleerd verzenden en ontvangen van e-mail.

Voor WAF, Web proxy, IPS, Authentication en services die in WebAdmin beschikbaar zijn, is herstarten onder System services > Services meestal duidelijker dan een shellcommando.

Wanneer een service-herstart niet geschikt is

Een afzonderlijke herstart past als één specifieke module betrokken is en de rest van de firewall stabiel blijft. Start services niet blind opnieuw als:

• de oorzaak of betrokken service nog onduidelijk is;
• meerdere centrale services tegelijk uitvallen;
• juist deze service de laatste externe toegang levert;
• de fout reproduceerbaar is en logs nog niet zijn opgeslagen;
• dezelfde service al meerdere keren opnieuw is gestart;
• HA-rol, knooppunt of vereiste synchronisatiemodus onduidelijk is.

Controleer bij meerdere betrokken services eerst systeembelasting, opslagruimte, databasestatus, HA en de laatste configuratie- of firmwarewijzigingen. Herhaald opnieuw starten verbergt vaak alleen de oorzaak.

Een volledige reboot is ingrijpender en komt pas in aanmerking als de firewall als geheel instabiel blijft, een firmware- of hotfixproces dit vereist of Sophos Support dit voorschrijft. In de Device Console start system restart de firewall opnieuw op; in een HA-cluster veroorzaakt het commando een failover. system shutdown schakelt de firewall daarentegen alleen uit. Controleer vóór beide acties het doelapparaat en HA-knooppunt, de backup, het onderhoudsvenster en lokale of out-of-band-toegang; bij uitschakelen moet die herstelmethode het apparaat daadwerkelijk weer kunnen inschakelen. Controleer na de herstart de HA-rol en synchronisatie, servicestatus en betrokken datapaden. Onderbroken sessies kunnen niet worden teruggedraaid. Keert het apparaat niet terug, herhaal het commando dan niet: gebruik de voorbereide hersteltoegang en schakel zo nodig Sophos Support in. Zie Sophos Firewall backup en restore correct plannen.

De ingreep kort documenteren

Bij terugkerende problemen of een supportcase volstaat een korte notitie. Die laat later zien of de herstart blijvend hielp of slechts een symptoom verborg:

Date/time and time zone:
Firewall / HA node:
Service and command:
Reason:
Users/sites affected:
Logs checked before restart:
Result after restart:
Next action:

Noteer vóór de ingreep tijdstip, betrokken functie en relevante logmeldingen. Leg daarna servicestatus, functietest en volgende actie vast. Verwijder tijdelijke SSH- of Device Access-regels en schakel debugmodi na de analyse uit.