Hoppa till innehållet
Avanet

Sophos Firewall troubleshooting: tjänster och loggar

I Sophos Firewall finns två viktiga nivåer för troubleshooting: event logs i Log viewer och service- eller loggfiler på brandväggen. Log Viewer passar bra för snabba frågor som om en anslutning tilläts eller blockerades. Filerna under /log blir viktigare när en service inte startar, en VPN-tunnel är instabil, webbfiltrering beter sig oväntat eller supporten behöver detaljerade data.

Den här artikeln kopplar de viktigaste services och loggfilerna till typiska adminproblem. Den hjälper också när ett tekniskt servicenamn visas i dashboard, Advanced Shell eller ett supportärende och det inte direkt är tydligt vilken firewall-funktion som ligger bakom. Namn som zebra, warren, awed, garner eller strongswan är inte självförklarande i vardagen.

Log Viewer eller loggfil?

Log viewer öppnas uppe till höger i WebAdmin-konsolen. Den uppdateras automatiskt, kan filtreras efter modul, tid, fältvärden och fritext och kan exportera loggar som CSV.

Troubleshooting-loggar ligger på brandväggen i katalogen /log. Åtkomst sker via WebAdmin-konsolen eller via SSH. För korta kontroller fungerar Device Management > Advanced Shell i webbläsaren. I praktiken är SSH oftast bekvämare, stabilare och bättre för längre tail, grep eller less-sessioner. Säker SSH-förberedelse beskrivs i Anslut till Sophos Firewall via SSH.

  1. Anslut via SSH eller öppna Device Management > Advanced Shell i WebAdmin.
  2. Växla till loggkatalogen.
cd /log

Användbara kommandon:

tail -f firewall_rule.log
tail -f nat_rule.log
grep -i error ips.log
less strongswan.log
service -S | grep ips

De viktigaste kommandona i Advanced Shell:

KommandoExempelSyfte
tail -f /log/<logfilename>.logtail -f /log/ips.logvisar nya loggrader live
less /log/<logfilename>.logless /log/ips.logöppnar en statisk loggfil för läsning
grep <keyword> /log/<logfilename>.loggrep error /log/ips.logsöker efter ett begrepp i en loggfil
service <service>:<start/restart/stop/debug> -ds nosyncservice ips:debug -ds nosyncstartar, stoppar, startar om eller aktiverar debug för en service

Om loggar ska sparas för support eller extern analys hjälper artikeln Spara Sophos Firewall-loggar för extern analys.

Advanced Shell eller Device Console?

Sophos Firewall har två olika konsolområden som ofta blandas ihop:

OmrådeAnvändning
Device ConsoleSophos CLI för firewall-specifika kommandon, till exempel routing-prioritet, IPsec-rutter eller systemalternativ
Advanced ShellLinux-liknande shell för filsystem, loggfiler, tail, grep, less, service -S, omstart av services och debug-kommandon

Inte alla kommandon fungerar i båda områdena. Om en artikel uttryckligen nämner Device Console ska kommandot köras där. Om det handlar om /log, tail -f, grep, service -S eller debug logging avses normalt Advanced Shell.

Den här skillnaden är viktig eftersom många fel uppstår bara för att ett korrekt kommando skrivs in på fel plats.

Logging måste vara aktiverat

Inte all förväntad information visas automatiskt.

  • I firewall rules måste Log firewall traffic vara aktiverat.
  • I SSL/TLS inspection rules måste logging vara aktiverat.
  • Under System services > Log settings definieras vilka loggtyper som sparas lokalt, skickas till Sophos Central eller skickas till syslog.

För långsiktig lagring är en syslog-server eller Sophos Central Firewall Reporting användbart. Sophos Firewall kan konfigurera upp till fem externa syslog-servrar. Central Firewall Reporting räknas också in i den gränsen.

Mer information: Aktivera Central Firewall Reporting.

Aktivera debug endast vid behov

Debug logging är mycket användbart, men skapar stora mängder data och kan förbruka diskutrymme. Debug bör bara aktiveras för relevant service. Därefter reproduceras problemet och debug stängs av igen.

Exempel:

service ips:debug -ds nosync
service ips:debug -ds nosync off

Den exakta syntaxen beror på aktuell service. Om det är oklart vilken service som påverkas bör först den vanliga loggfilen kontrolleras.

Debug logging och grundläggande CLI-kommandon beskrivs mer utförligt i Sophos Firewall troubleshooting - CLI tips och tricks. För omstart av enskilda services hjälper även Starta om Sophos Firewall services.

Firewall, NAT och Packet Capture

FunktionService / kontextFörsta loggfilKontrollera även
Firewall rule matchingFirewall Rule Enginefirewall_rule.logLog Viewer-modul Firewall
Allmän firewall-bearbetningFirewall log / kernel pathfwlog.logPacket Capture
NAT rulesNAT Rule Enginenat_rule.logNAT Rule ID i Log Viewer
Packet Capture i WebAdminpktcapdpktcapd.logDiagnostics > Packet capture
Bandwidth Management / QoSbwmbwm.logTraffic Shaping Policy
Virtual Host / äldre serverpubliceringvhostvhost.logNAT och WAF

Vid DNAT-problem ska firewall rule och NAT rule alltid kontrolleras tillsammans. NAT översätter bara, men tillåter ingen trafik. Mer information: Förstå NAT på Sophos Firewall: SNAT, DNAT, MASQ, PAT.

Sophos Firewall använder bland annat IP tables, ARP table, IPset och conntrack för firewall-anslutningar. För QoS respektive Bandwidth Management används IMQ. Det är användbart när loggmeddelanden eller supportutdata innehåller tekniska termer från Linux-nätverkssökvägen.

IPS, Application Control och TLS Inspection

FunktionService / kontextLoggfil
Intrusion Preventionipsips.log
Application Controlips / Application Filterips.log
DPI och TLS InspectionDPI Engineips.log
Antivirus i nätverkssökvägenavdavd.log
SignaturuppdateringarSignature Updatersig_upgrade.log, sig_update.log
SignaturmigreringSignature Migrationsigmigration.log

Många moderna skyddsfunktioner ser först tillräckligt med detaljer när HTTPS dekrypteras. Om TLS Inspection inte träffar blir Web Filter, Application Control, IPS och Malware Scan mindre informativa beroende på trafiken.

Mer information: Rulla ut TLS Inspection på Sophos Firewall stegvis.

Web, proxy, WAF och web filter

FunktionService / kontextLoggfil
HTTPS Proxyawarrenhttpawarrenhttp.log
HTTPS Proxy Accessawarrenhttp access logawarrenhttp_access.log
Web ProxyWeb Proxywebproxy.log
Web Categorization / ReputationnSXLdnSXLd.log
Legacy HTTP/FTP Proxyskeinskein.log
FTP Proxyftpproxyftpproxy.log
Web Application FirewallReverse Proxyreverseproxy.log

Om webbtrafik visas som blockerad i Log Viewer kan orsaken finnas i flera moduler: Web Policy, SSL/TLS inspection, Application Control, IPS eller WAF. Därför bör rätt modul alltid väljas i Log Viewer och den passande loggfilen kontrolleras.

Sophos blockerar alltid webbsidor i kategorin highly objectionable criminal activity och döljer domännamnet i loggar och rapporter. Om en post inom detta område verkar avsiktligt anonymiserad kan det alltså vara förväntat beteende.

VPN

FunktionService / kontextLoggfil
IPsec från SFOS v17+strongswan, charonstrongswan.log, charon.log
IPsec äldre versionerIPsec serviceipsec.log
IPsec Test ConnectionIPsec testipsec_Test_Connect.log
IPsec MonitoringIPsec Monitoripsec_monitor.log
XFRM / route-based VPNxfrmixfrmi.log
SSL VPNSSL VPN / OpenVPNsslvpn.log
SSL VPN statusOpenVPN statusopenvpn-status*.log
L2TPl2tpdl2tpd.log
PPTPPPTP VPNpptpvpn.log
VPN-certifikatVPN Certificate Servicesvpncertificate.log, wc_remote.log
Clientless SSL VPNClientless Accessclientless_access.log

Sophos Firewall använder strongSwan för IPsec VPN och OpenVPN för SSL VPN. Vid IPsec-problem är tid, peer-IP, proposal, local/remote subnets, NAT-T, routing och firewall rules avgörande.

För IPsec-problem är Sophos Firewall IPsec troubleshooting den bättre steg-för-steg-guiden. För route-based VPN och manuella IPsec-rutter hjälper Skapa IPsec route på Sophos Firewall.

Authentication, User Portal och SSO

FunktionService / kontextLoggfil
AnvändarautentiseringAccess Server / AAAaccess_server.log
NTLM / NASMnasmnasm.log
Chromebook SSOChromebook SSO Backendchromebook-sso-backend.log
OAuth SSO Captive PortalOAuth SSO Captive Portaloauth_sso_captive.log
OAuth SSO WebAdminOAuth SSO WebAdminoauth_sso_webadmin.log
OAuth SSO VPNOAuth SSO VPNoauth_sso_vpn.log
STASSTAS / Access Server contextberoende på servicekontext och access_server.log

Vid användarbaserade regler bör man först kontrollera om användaren över huvud taget är känd. Om Match known users är aktiverat och autentiseringen inte fungerar matchar regeln inte.

DNS, DHCP och network

FunktionService / kontextLoggfil
DNS Servicednsddnsd.log
DNS Grabberdnsgrabberdnsgrabber.log
DNS Entity / andra DNS-komponenterentity, eacdentity.log, eacd.log
DHCP IPv4dhcpddhcpd.log
DHCP IPv6DHCPv6dhcp6.log
Network servicenetworkdnetworkd.log
FQDN hostsfqdndfqdnd.log, fqdndebug.log
Dead Gateway Detectiondgddgd.log
Dynamic DNSDynamic DNS Clientddc.log
NTP ClientNTP Clientntpclient.log
IPv6 Router Advertisementradvdradvd.log

DNS- och DHCP-problem ser ofta ut som firewall-problem. Därför bör man först kontrollera IP-adress, gateway, DNS-server och om klienterna ska använda brandväggen som DNS- eller DHCP-server.

Om interna domäner inte löses upp korrekt är Konfigurera DNS request routes på Sophos Firewall oftast relevant. För särskilda DHCP-options finns den egna artikeln Konfigurera Sophos Firewall DHCP Options.

Cellular WAN

FunktionVad ska kontrollerasLoggfil
WWAN / USB-modeminkoppling och borttagning av USB-enhetermdev.log
Modemets nätverkskonfigurationmodemrelaterade interfaces och IP-konfigurationnetworkd.log
USB, modem och PPPsyslog-meddelanden om USB, modem och Point-to-Point Protocolsyslog.log

Vid Cellular-WAN-problem bör man dessutom kontrollera om modemet känns igen, om PIN/SIM/APN är korrekt och om brandväggen skapar en passande gateway.

Routing

FunktionService / kontextLoggfil
Static Routingzebrazebra.log
Application Based Routingappcachedappcached.log
Redis App CacheRedisredis
Multicast RoutingMulticast Routingmrouting.log
BGPbgpdbgpd.log
OSPFospfdospfd.log
RIPripdripd.log
PIM-SMpimdpimd.log

Vid routingproblem bör man också kontrollera Routing > SD-WAN routes, gateways och Packet Capture. Policy tester ersätter inte ett riktigt routingtest.

Mer information: Anpassa routing-prioritet på Sophos Firewall.

GUI, CLI och systemåtkomst

FunktionService / kontextLoggfil
WebAdmin web serverapacheapache.log, apache_access.log
WebAdmin applicationtomcattomcat.log
SSHsshdsshd.log
GUI/CLI-felSystem / GUI Error Logerror_log.log
APIAPI Parser / App Feedbackapiparser.log, app-feedback.log
ValidationConfig Validationvalidation.log, validationError.log

Om WebAdmin eller SSH inte går att nå bör man inte bara kontrollera dessa loggar. Lokal åtkomst styrs via Administration > Device access och Local Service ACL.

Mer information: Anslut till Sophos Firewall via SSH.

Sophos Central, Heartbeat och Central Management

FunktionService / kontextLoggfil
Sophos Central ManagementCentral Managementcentralmanagement.log, sophos-central.log
CSCcsc, cschelper, csdcsc.log, cschelper.log, csd.log
Security Heartbeatheartbeatd, hbtrustheartbeatd.log, hbtrust.log
Heartbeat till Centralfwcm-eventd, fwcm-heartbeatd, fwcm-updaterdrespektive service-loggar
Central API Executorfwcm-api-executorfwcm-api-executor.log
Active Threat ResponseATR-kontextberoende på version och modul

Vid Central-problem bör man först kontrollera om brandväggen är registrerad, om Central Services är aktiverade och om utgående DNS/HTTPS fungerar.

High Availability

FunktionService / kontextLoggfil
HA status och konfigurationHA Application Logapplog.log
HA Pair Serviceha_pairha_pair.log
HA Tunnelha_tunnelha_tunnel.log
Conntrack Syncctsyncdctsyncd.log
Msyncmsyncmsync.log

HA-loggar ligger på den appliance där de skapades. För råloggar från auxiliary-enheten måste man ansluta direkt till den enheten, till exempel via dess admin-port med SSH. För konsoliderade rapporter är Sophos Central Firewall Reporting mer praktiskt.

Mail och Anti-Spam

FunktionService / kontextLoggfil
AntivirusAV Serviceav.log
Antivirus updatesUp2Date AVup2date_av.log
Anti-Spamsasisasi.log
Sandboxsandboxdsandboxd.log, sessiontbl.log
SMTP MTAsmtpdsmtpd_main.log
SMTP-felsmtpd Error/Panic/Rejectsmtpd_error.log, smtpd_panic.log, smtpd_reject.log
Legacy SMTP/S Proxyawarrensmtp, awarrenmtaawarrensmtp.log, awarrenmta.log, awarrenmta_debug.log
POP/IMAP Proxywarrenwarren.log

Vid mailproblem bör man alltid kontrollera att MTA Mode, firewall rule, DNS, certifikat och provider-begränsningar passar ihop.

Sophos Firewall använder Avira och Sophos Antivirus. Anti-Spam-servicen startar bara om det finns en inkommande eller utgående spam policy. Detta beroende är viktigt om sasi.log förblir tom eller Anti-Spam-servicen inte kör.

Wireless, RED, Hotspot och andra services

FunktionService / kontextLoggfil
Wireless Controllerawedawed.log
Wi-Fi Authenticationwifiauthwifiauth.log
Hotspothostapd, hotspot, hotspotdhostapd.log, hotspot.log, hotspotd.log
REDRED Servicered.log
SNMPsnmpdsnmpd.log
Syslog ServiceSyslogsyslog.log
LicensingLicensing Servicelicensing.log
System Updatesu2du2d.log
VMware Toolsvmtoolvmtool.log
SMB filesystemsmbnetfs, snireportsmbnetfs.log, snireport.log

Databas och reporting

FunktionService / kontextLoggfil
Configuration databaseConfig DBconfdbstatus.log, crreportdb.log
Postgrespostgrespostgres.log
Signature databasesigdbsigdb.log
Report databaseReport DBreportdb.log
Migration databaseReport Migrationsac-feedback.log, reportmigration.log
Garnergarnergarner.log
iViewiviewiview.log

Om rapporter saknas, är långsamma eller om lagringsproblem uppstår är reporting- och databasloggar relevanta. Dessutom bör man kontrollera om rapporter sparas lokalt eller skickas till Sophos Central.

Praktisk analysordning

  1. Notera problemet exakt: tid, klient, mål, port, user, åtgärd.
  2. Filtrera i Log Viewer efter source IP och tid.
  3. Kontrollera om Firewall Rule ID och NAT Rule ID syns.
  4. Följ rätt loggfil med tail -f.
  5. Reproducera problemet.
  6. Aktivera debug kort vid behov.
  7. Använd Packet Capture om paketflödet är oklart.
  8. Spara loggar medan felet nyligen har reproducerats.

För supportärenden bör alla felmeddelanden, reproduktionssteg och redan utförda troubleshooting-steg dokumenteras. Just denna information påskyndar supportärenden tydligt.

Mer information

Tabellerna i den här artikeln bygger på praktisk erfarenhet och Sophos officiella översikt över modulernas loggfiler. De officiella källorna är länkade här: