Firewalls verstehen – Sophos XGS im Praxisüberblick description: Grundlagen moderner Firewalls und Sophos Firewall auf XGS-Hardware – Xstream-Architektur, Modelle, Funktionen, SFOS v22, Lizenzen, Ersteinrichtung, Regelwerk und Härtung. tags: [firewall, sophos, xgs, sfos, netzwerk, sicherheit, vpn, ngfw]

Firewalls verstehen

Eine Firewall ist die Stelle im Netzwerk, an der entschieden wird, wer mit wem worüber sprechen darf. Dieser Beitrag erklärt zuerst die Grundlagen, die für jede Firewall gelten, und stellt dann die Sophos Firewall auf XGS-Hardware ausführlich vor – eine Next-Generation-Firewall mit Hardware-Beschleunigung, Endpoint-Integration und Cloud-Management, die in vielen Unternehmen im Einsatz ist.

Was eine Firewall eigentlich tut

Im Kern vergleicht eine Firewall jedes Paket oder jede Verbindung mit einem Regelwerk und entscheidet: durchlassen, verwerfen oder ablehnen. Moderne Geräte können deutlich mehr, aber dieses Prinzip bleibt die Basis.

Firewall-Typen im Überblick

Wichtige Begriffe

• Zone / Interface – ein Netzbereich mit gleichem Vertrauensniveau, z. B. LAN, WAN, DMZ, Gäste.
• Regel – Quelle, Ziel, Dienst/Port, Aktion. Viele Firewalls werten Regeln von oben nach unten aus; die erste passende Regel gewinnt.
• Default Deny – alles, was nicht ausdrücklich erlaubt ist, wird blockiert. Das ist die wichtigste Grundregel überhaupt.
• NAT – Adressumsetzung. Outbound NAT (Masquerading) bringt private Netze ins Internet, Port Forwarding (Destination NAT) macht interne Dienste von außen erreichbar.
• VPN – verschlüsselter Tunnel, z. B. IPsec, OpenVPN, WireGuard oder SSL-VPN.
• IDS/IPS – erkennt (IDS) oder blockiert (IPS) Angriffsmuster im Datenverkehr anhand von Signaturen.
• DPI / TLS-Inspektion – Blick in den Inhalt von Verbindungen; bei HTTPS nur möglich, wenn die Firewall den Verkehr aufbricht und neu verschlüsselt.

Grundregeln für ein gutes Regelwerk

Unabhängig vom Produkt haben sich diese Prinzipien bewährt:

• Default Deny auf allen Zonen – nur gezielt freigeben
• Netze segmentieren (VLANs): Server, Clients, IoT, Gäste, Management getrennt
• Aliase/Objekte statt einzelner IP-Adressen verwenden – Regeln bleiben lesbar
• Jede Regel beschriften: Zweck, Ansprechpartner, Datum
• Management (Weboberfläche, SSH) nur aus einem eigenen Admin-Netz erreichbar
• Logging für Block-Regeln und kritische Freigaben aktivieren
• Regelwerk regelmäßig aufräumen – ungenutzte Regeln sind Angriffsfläche
• Backups der Konfiguration automatisieren und Wiederherstellung testen
• Firmware aktuell halten – Firewalls sind selbst ein beliebtes Angriffsziel

Beispiel: Zonenmodell für Homelab und kleine Firma

                 Internet
                     │
              ┌──────┴──────┐
              │  Firewall   │
              └─┬──┬──┬──┬──┘
     ┌──────────┘  │  │  └──────────┐
 VLAN 10       VLAN 20  VLAN 30     VLAN 99
 Clients       Server   IoT/Gäste   Management
 10.10.10.0/24 10.10.20.0/24  10.10.30.0/24  10.10.99.0/24

Sophos Firewall auf XGS-Hardware

Was ist Sophos XGS?

XGS ist die aktuelle Hardware-Serie von Sophos. Auf ihr läuft das Betriebssystem Sophos Firewall OS (SFOS) – eine vollwertige Next-Generation Firewall. Dieselbe Software gibt es auch als virtuelle Appliance, in der Cloud und als kostenlose Home Edition.

Die Xstream-Architektur

Das technische Herzstück ist die Xstream-Architektur (eingeführt mit SFOS v18):

• Eine einzige Streaming-DPI-Engine prüft IPS, Web, Anwendungen und Malware in einem Durchlauf, statt den Verkehr durch mehrere getrennte Module zu schicken.
• Die XGS-Geräte kombinieren eine Multi-Core-x86-CPU für die tiefe Paketprüfung mit einem eigenen Xstream Flow Processor – einer programmierbaren NPU (Network Processing Unit).
• Vertrauenswürdiger, bereits geprüfter Verkehr (z. B. SaaS, VoIP, Video, SD-WAN, IPsec) wird über den FastPath direkt in der NPU beschleunigt. Dadurch bleibt mehr CPU-Leistung für Verkehr, der wirklich geprüft werden muss.
• Die 2. Generation der Desktop-Modelle (XGS 88 bis 128) nutzt eine schlanke Single-CPU-Architektur mit virtuellem FastPath (ab SFOS v21); das XGS 138 behält die Dual-Prozessor-Architektur mit eigenem Flow Processor und zwei 10-GE-SFP±Ports.

Modellübersicht

Beispiel – Herstellerangaben zur XGS 3300:

Funktionsumfang

Schutzfunktionen

• Zonenbasiertes Regelwerk mit Benutzer- und Anwendungsbezug
• IPS (Intrusion Prevention) mit Sophos-X-Ops-Signaturen
• Web Protection: URL-Kategorien, Web-Malware-Scan, Richtlinien je Benutzer/Gruppe
• Application Control und Traffic Shaping (QoS)
• TLS-1.3-Inspektion mit Ausnahmelisten
• Zero-Day Protection (früher Sandstorm): Machine Learning und Cloud-Sandbox analysieren unbekannte Dateien
• DNS Protection (von Sophos gehosteter, gefilterter DNS-Dienst)
• Active Threat Response: automatische Blockierung anhand von Bedrohungsfeeds (X-Ops, MDR/XDR, ab v21 auch Drittanbieter-Feeds)
• NDR Essentials (ab v21.5): KI-gestützte Erkennung verdächtiger Muster, auch in verschlüsseltem Verkehr
• Optional: Email Protection und Web Server Protection (WAF)

Vernetzung und Zugriff

• Xstream SD-WAN: mehrere WAN-Leitungen (Glasfaser, DSL, LTE/5G, MPLS), Auswahl nach Latenz, Jitter und Paketverlust, Umschaltung ohne Verbindungsabbruch
• VPN: IPsec und SSL-VPN (Site-to-Site und Remote Access), Sophos Connect-Client, SD-RED-Geräte für Außenstellen
• ZTNA-Gateway direkt in der Firewall integriert – Zugriff auf einzelne Anwendungen statt aufs ganze Netz
• Routing: statisch, RIP, OSPF, BGP (auch IPv6)
• WLAN-Steuerung für Sophos-Access-Points, Wi‑Fi in den w-Modellen

Synchronized Security

Das Alleinstellungsmerkmal von Sophos: Firewall und Sophos Endpoint (Intercept X) tauschen über den Security Heartbeat laufend Zustandsdaten aus.

• Meldet ein Endpoint eine Infektion (Status Rot), isoliert die Firewall das Gerät automatisch – auch zwischen Geräten im selben Netz.
• Ist das Gerät bereinigt (Status Grün), wird der Zugriff automatisch wieder freigegeben.
• Synchronized Application Control erkennt Anwendungen, die die Firewall allein nicht zuordnen könnte; diese können auch für SD-WAN-Routing genutzt werden.
• Synchronized User ID übernimmt die Benutzeridentität vom Endpoint – ohne separaten AD-Agenten.

Management

• Lokale WebAdmin-Oberfläche (Port 4444)
• Sophos Central – inzwischen unter dem Namen Sophos Fusion weiterentwickelt – für Cloud-Verwaltung, Firmware-Updates, Backups, Gruppenrichtlinien, Zero-Touch-Bereitstellung und SD-WAN-Orchestrierung
• Hochverfügbarkeit (aktiv/passiv, aktiv/aktiv)

Regelwerk in der Praxis

Sophos arbeitet mit Zonen (z. B. LAN, WAN, DMZ, VPN, WiFi und eigene Zonen wie IOT oder GAESTE). Ports und VLANs werden einer Zone zugeordnet, Firewall-Regeln beziehen sich auf Quell- und Zielzone, Netzwerke, Dienste, Benutzer und Zeitpläne. Die Regeln werden von oben nach unten ausgewertet – die erste passende Regel greift. Regeln lassen sich in Regelgruppen ordnen.

An jede Erlauben-Regel können Schutzfunktionen gehängt werden: IPS-Richtlinie, Web-Richtlinie, Application Control, Malware-Scan, Zero-Day-Analyse, Traffic Shaping und Synchronized-Security-Heartbeat-Anforderungen.

Beispiel – Regelgruppe „Gäste“ (Zone GAESTE = eigenes VLAN, Reihenfolge von oben nach unten):

Beispiel – Server-Zugriff nur für gesunde Geräte (setzt Sophos Endpoint voraus):

Hochverfügbarkeit

• Zwei baugleiche Geräte mit gleicher Firmware bilden ein HA-Cluster – aktiv/passiv oder aktiv/aktiv.
• Konfiguration und Sitzungen werden über einen dedizierten HA-Link synchronisiert; fällt das Primärgerät aus, übernimmt das zweite.
• Ab v22 korrigiert HA Self-Healing Abweichungen zwischen den Knoten automatisch.
• Firmware-Updates im HA-Cluster laufen nacheinander, sodass der Betrieb weiterläuft.

Neu in SFOS v22

Version 22 (allgemein verfügbar seit Ende 2025, Maintenance Release v22 MR1 im Frühjahr 2026) stellt das Thema Secure by Design in den Mittelpunkt:

Lizenzen

Die Hardware enthält eine dauerhafte Base License (Firewall, VPN, Grundfunktionen). Schutzfunktionen werden als Abo dazugebucht – meist als Paket für 1, 2 oder 3 Jahre:

Ersteinrichtung Schritt für Schritt

1. Anschließen: Einen PC direkt (oder über ein eigenes Setup-Netz) an den LAN-Port anschließen – bei vielen Modellen Port A. WAN-Port mit dem Internet-Router verbinden.
2. WebAdmin öffnen:
   • über den LAN-Port: https://172.16.16.16:4444
   • über einen dedizierten MGMT-Port (größere Modelle): https://10.0.1.1:4444
3. Zertifikatswarnung bestätigen (selbstsigniertes Zertifikat), Lizenzbedingungen annehmen, Setup-Assistent starten.
4. Assistent durchlaufen:
   • Admin-Passwort festlegen
   • Master-Key für den sicheren Speicher festlegen und sicher aufbewahren – wird bei Wiederherstellungen benötigt
   • Internetverbindung (DHCP, statisch, PPPoE)
   • Firmware-Prüfung und ggf. Update
   • Registrierung mit dem Sophos-Konto und Synchronisierung der Lizenzen
   • LAN-Netz, DHCP und Standard-Schutzrichtlinien
5. Nach Abschluss die Oberfläche unter der neu vergebenen LAN-Adresse aufrufen.

Nach dem Assistenten: Härtungs-Checkliste

• Firewall Health Check (ab v22) aufrufen und alle roten Punkte abarbeiten
• Admin-Zugriff (WebAdmin, SSH) nur aus der LAN-/MGMT-Zone – niemals aus der WAN-Zone
• MFA für Administratoren aktivieren
• User-Portal und VPN-Portal nur dort freigeben, wo sie gebraucht werden
• Zonen und VLANs nach Netzplan anlegen, Standardregeln durch eigene ersetzen
• TLS-Inspektion bewusst planen: Zertifikat verteilen, Ausnahmen definieren
• Geplante Backups einrichten (lokal und/oder über Sophos Central)
• Automatische Firmware-Benachrichtigungen aktivieren und Updates zeitnah einspielen
• Logs und Reports prüfen; bei Bedarf an SIEM/Syslog weiterleiten

Sophos Firewall Home Edition

Für Homelab und Lernzwecke gibt es eine kostenlose Home Edition mit dem vollen Funktionsumfang der Software:

Häufige Fehler – und wie man sie vermeidet

Weiterführende Quellen

• Sophos: Firewall v22 ist verfügbar
• Sophos: XGS Desktop-Modelle (2. Generation)
• Sophos: XGS 1U-Modelle
• Sophos: Synchronized Security und Security Heartbeat
• Sophos: Firewall Home Edition
• Avanet: Sophos Firewall – erste Schritte und Einrichtung
• Avanet: Sophos-Firewall-Lizenzpakete im Vergleich