Sophos Firewall keine Verbindung: Port 4444, WAN oder VPN?

Baut die Sophos Firewall keine Verbindung mehr auf, entscheidet das Symptom über den Lösungsweg: Kommst du nicht auf die Web-Oberfläche, prüfst du Zone und Port 4444. Fehlt im LAN das Internet, gehst du WAN-Status, DNS, Firewallregel und NAT in dieser Reihenfolge durch. Verbindet nur der VPN-Client nicht, ist fast immer die Konfigurationsdatei veraltet.

Zuerst eingrenzen: welches der drei Fehlerbilder hast du?

„Keine Verbindung“ bedeutet bei einer Sophos-Firewall drei Dinge, die technisch nichts miteinander zu tun haben. Wer hier falsch abbiegt, schraubt eine Stunde an Firewallregeln, obwohl das Problem am Client liegt:

• Verwaltung nicht erreichbar: Die Anmeldeseite unter https://<Firewall-IP>:4444 läuft in einen Timeout, das Internet im Netz funktioniert aber weiter.
• Kein Internet hinter der Firewall: Clients im LAN laden keine Webseiten mehr, die Admin-Oberfläche ist aber erreichbar.
• VPN baut nicht auf: Der Sophos-Connect-Client meldet einen Fehler, alles andere läuft normal.

Der Vortest dauert zehn Sekunden: Antwortet die Firewall auf einen ping ihrer LAN-IP, sind Kabel, Switch und Adressierung in Ordnung – dann liegt die Ursache in der Konfiguration. Antwortet sie nicht, prüfst du erst Link-LED, VLAN und die IP-Konfiguration deines Rechners. Beachte dabei: Ping auf die Appliance selbst muss in der Gerätezugriffs-Matrix erlaubt sein, ein ausbleibendes Echo ist also kein Beweis für einen Defekt.

Die Standard-Ports, die du dabei brauchst

Dienst	Standard-Port	Protokoll
Web-Oberfläche (WebAdmin)	4444	TCP
Benutzerportal	4443	TCP
VPN-Portal	443	TCP
SSL-VPN	8443	TCP oder UDP

Genau hier liegt eine Falle, die viele ältere Anleitungen im Netz noch falsch beschreiben: Bis SFOS 19.5 lag das Benutzerportal auf Port 443. Seit SFOS 20.0 belegt das neue VPN-Portal die 443, und das Benutzerportal rückt beim Upgrade automatisch auf 4443 – ist der Port belegt, vergibt die Firewall 65040. Wer nach einem Versionssprung „443“ ansurft, landet also auf einem anderen Dienst als früher. Die aktuelle Zuordnung steht in der Sophos-Dokumentation zur Portvergabe.

Kein Zugriff auf die Weboberfläche (Port 4444)

Die Verwaltungsoberfläche läuft ab Werk über HTTPS auf Port 4444 und ist nur aus der LAN-Zone freigegeben. Arbeite die Punkte der Reihe nach ab:

1. Prüfe, ob du im richtigen Netz sitzt. Aus dem WAN ist die Verwaltung standardmäßig nicht erreichbar – von außen brauchst du zuerst einen VPN-Tunnel ins interne Netz.
2. Tippe die Adresse vollständig ein, mit Protokoll und Port: https://192.168.x.1:4444. Ohne https:// oder ohne :4444 antwortet der Dienst nicht, weil dort schlicht kein Webserver auf Standard-Ports lauscht.
3. Akzeptiere die Zertifikatswarnung. Die Appliance liefert ein selbstsigniertes Zertifikat aus; der Browser warnt, der Zugriff ist trotzdem korrekt.
4. Teste einen zweiten Rechner im selben LAN. Klappt es dort, liegt es an deinem Client – Proxy-Einstellung, lokale Sicherheitssoftware oder falsches Subnetz.

Bleibt es dabei und du hast noch Konsolen- oder SSH-Zugang, führt der Weg über Administration > Gerätezugriff. Dort steuert eine Matrix (die lokale Dienst-ACL), welche Zone – LAN, WAN, VPN – auf welchen Verwaltungsdienst zugreifen darf. Wichtig zu verstehen: Diesen Verkehr kannst du laut Sophos-Doku nicht über normale Firewallregeln beeinflussen, sondern ausschließlich über den Gerätezugriff. Wer stundenlang Regeln durchsucht, sucht an der falschen Stelle.

Ist der Haken für die LAN-Zone bei „HTTPS“ versehentlich entfernt, sperrst du dich selbst aus – wieder hinein kommst du dann nur über die serielle Konsole beziehungsweise den lokalen CLI-Zugang. Den Verwaltungszugriff für die WAN-Zone aktivierst du dagegen bewusst nicht: eine offene Admin-Oberfläche im Internet ist eines der beliebtesten Angriffsziele überhaupt. Wenn du extern arbeiten musst, ist VPN der richtige Weg, nicht die Freigabe von Port 4444.

Kein Internet hinter der Firewall

Fällt im LAN das Internet aus, arbeitest du vom Client nach außen – Schicht für Schicht statt kreuz und quer:

1. WAN-Status prüfen: Das Dashboard zeigt den Zustand der WAN-Schnittstelle. Steht sie auf „getrennt“, liegt es an Modem, Leitung oder Provider. Firewall und Modem stromlos neu starten, 30 Sekunden warten, erneut prüfen.
2. Zwei Pings absetzen: Unter Diagnose > Tools zuerst eine öffentliche IP wie 8.8.8.8, dann einen Namen wie google.de. Klappt die IP, aber nicht der Name, ist es ein DNS-Problem – die Namensauflösung, die Klarnamen in IP-Adressen übersetzt.
3. Firewallregel kontrollieren: Es braucht eine aktive Regel von der LAN- in die WAN-Zone, die den Verkehr erlaubt. Wurde sie deaktiviert oder steht eine breitere Regel darüber, greift sie nicht mehr – Regeln werden von oben nach unten ausgewertet.
4. NAT prüfen: Ohne passende NAT-Regel, die private LAN-Adressen auf die öffentliche WAN-Adresse übersetzt, verlassen Pakete das Netz nicht. Die Standard-Maskierungsregel muss vorhanden und aktiv sein.

Ein Diagnose-Stolperstein, den die Sophos-Doku ausdrücklich nennt: Ist der Webproxy der Firewall aktiv, gelten dessen HTTP- und HTTPS-Anfragen als intern. Nutzer mit Proxy-Zugriff erreichen dadurch Dienste, die für ihre Zone eigentlich gar nicht freigegeben sind. Ein Testaufruf über den Browser kann dir also „geht doch“ melden, obwohl die Freigabe fehlt – teste Erreichbarkeit deshalb zusätzlich direkt per Ping oder Telnet auf den Port.

Sophos Connect verbindet nicht

Der VPN-Client ist im Homeoffice der häufigste Fall. Diese Fehlerbilder und Lösungen stehen so in der Sophos-Connect-Fehlerbehebung:

• „Connection reset from gateway“: Betrifft ausschließlich SSL-VPN. Auslöser sind geänderte VPN-Einstellungen, ein manuelles Trennen oder ein Neustart der Firewall. Lösung: aktuelle Konfigurationsdatei im Portal herunterladen und im Client neu importieren.
• Tunnel kommt nicht zustande: Tritt auf, wenn der alte SSL-VPN-Client vor Sophos Connect installiert wurde. Beide deinstallieren, dann zuerst den SSL-VPN-Client, danach Sophos Connect installieren.
• Verwaltungsport belegt: Der Client braucht lokal TCP-Port 25340. Belegt eine andere Anwendung ihn, beenden – oder den Rechner neu starten.
• „Service unavailable“ (oft macOS, IPsec): Der Dienst hängt beim Trennen. Unter Windows hilft net stop scvpn und net start scvpn mit Administratorrechten, unter macOS das Neuladen des Dienstes.
• Nach dem Trennen lädt keine Webseite mehr: Die DNS-Server des physischen Adapters wurden nicht zurückgesetzt. Einmal vom lokalen Netz trennen und wieder verbinden.
• Oberfläche startet nicht: Unter Windows den Prozess scgui.exe im Task-Manager beenden und den Client neu starten.

Ein Punkt, der 2026 immer öfter dahintersteckt: Der alte Sophos-SSL-VPN-Client hat sein Support-Ende erreicht und steht im Portal nicht mehr zum Download. Zusätzlich wurde das Legacy-Remote-Access-IPsec zurückgezogen – Firewalls mit dieser Altkonfiguration lassen sich laut Release Notes nicht auf SFOS 22.0 MR1 oder neuer aktualisieren. Wer noch auf einem solchen Stand sitzt, migriert zuerst auf die aktuelle Remote-Access-Konfiguration und aktualisiert danach. Auf macOS deckt Sophos Connect ab Version 2.0 auch SSL-VPN ab.

Grundvoraussetzung bleibt in allen Fällen: Die öffentliche WAN-Adresse beziehungsweise der DDNS-Name muss von außen erreichbar sein. Hängt die Firewall hinter einem weiteren Router (Doppel-NAT), kommt der Tunnel nicht bis zur Gegenstelle.

Wenn das alles nicht hilft

Zieh zuerst ein Konfigurations-Backup unter Sichern & Wiederherstellen – danach kostet ein Fehlversuch nur eine Minute statt eines Abends. Dann bleiben drei seltenere Ursachen:

• Abgelaufenes Zertifikat: Ein abgelaufenes Appliance- oder VPN-Zertifikat legt Portal und Tunnel gleichzeitig lahm. Unter Zertifikate die Gültigkeit prüfen und bei Bedarf neu ausstellen.
• Veralteter Firmware-Stand: Meldet die Sophos Firewall keine Verbindung erst seit einem bestimmten Tag, lohnt der Blick auf die Version. Aktuell ist SFOS 22.0 MR2 (Build 546) vom 14. Juli 2026. Wichtig vor dem Update: Ab SFOS 22.0 werden die alten XG- und SG-Appliances nicht mehr unterstützt – auf dieser Hardware ist v21.5 Endstation.
• Mitschnitt auf der CLI: tcpdump -nei any port 4444 zeigt, ob Pakete überhaupt ankommen. Kommt ein SYN und geht ein RST zurück, blockt die Firewall; kommt gar nichts an, liegt das Problem im Netz davor.

Warum baut die Sophos Firewall keine Verbindung auf?

Eine Firewall arbeitet nach dem Prinzip „alles verboten, was nicht ausdrücklich erlaubt ist“ (Default Deny). Jede fehlende, deaktivierte oder überdeckte Regel endet deshalb in einem sauberen Blocken – kein Defekt, sondern das gewünschte Verhalten. Dazu kommt das Zonenmodell: LAN, WAN, DMZ und VPN sind getrennte Vertrauensbereiche, und Verkehr zwischen ihnen braucht immer eine ausdrückliche Erlaubnis. Verwaltungsdienste der Appliance selbst laufen sogar an den Regeln vorbei und werden nur über den Gerätezugriff gesteuert.

Wer für die Fachinformatiker-Prüfung lernt, merkt sich am besten die Prüfreihenfolge: Zone → Regel → NAT → DNS. Diese vier Stellen erklären die große Mehrheit aller Verbindungsprobleme, und die Logik gilt für jede zonenbasierte Firewall – von Sophos über pfSense bis Fortinet. Nur die Menübezeichnungen unterscheiden sich.

Häufige Fragen

Über welchen Port erreiche ich die Sophos Firewall?

Die Weboberfläche (WebAdmin) läuft standardmäßig über HTTPS auf Port 4444. Das Benutzerportal nutzt seit SFOS 20.0 den Port 4443, das VPN-Portal die 443. Gib die Adresse vollständig ein, etwa https://192.168.x.1:4444.

Warum komme ich von außen nicht auf die Sophos-Verwaltung?

Der Verwaltungszugriff ist ab Werk nur aus der LAN-Zone erlaubt. Von außen brauchst du erst eine VPN-Verbindung. Den WAN-Zugriff auf die Admin-Oberfläche solltest du bewusst geschlossen lassen.

Hinter der Firewall geht kein Internet – woran liegt das?

Prüfe in dieser Reihenfolge: WAN-Status im Dashboard, Ping auf 8.8.8.8 und zusätzlich auf einen Namen (DNS), dann die LAN-zu-WAN-Regel und die NAT-Regel. Eine dieser vier Stellen ist fast immer die Ursache.

Was bedeutet „Connection reset from gateway“ in Sophos Connect?

Diese Meldung betrifft nur SSL-VPN. Meist wurden die VPN-Einstellungen geändert oder die Firewall neu gestartet. Lade die aktuelle Konfigurationsdatei im Portal neu herunter und importiere sie in den Client.

Welcher Sophos-Firewall-Stand ist aktuell?

Aktuell ist SFOS 22.0 MR2 (Build 546) vom 14. Juli 2026. Ab SFOS 22.0 werden die älteren XG- und SG-Appliances nicht mehr unterstützt – dort bleibt v21.5 der letzte mögliche Stand.