Kurz gesagt: Wenn das SSL-VPN einer Securepoint UTM nicht funktioniert, trennst du zuerst zwei Fälle: Kommt der Tunnel gar nicht zustande, oder steht er, aber kein Server im Firmennetz antwortet? Im ersten Fall helfen das Log des VPN-Clients und das Livelog der UTM, im zweiten Fall zeigt das Livelog, ob der Fehler beim Client, auf der Firewall oder beim Zielrechner liegt. Als erste Maßnahme nennt Securepoint, die Portfilter-Regeln zu aktualisieren.
Stand: 04.11.2026
Was solltest du zuerst prüfen?
Die Fehlersuche beim SSL-VPN beschreibt Securepoint im Wiki als Leitfaden, den du Schritt für Schritt abarbeitest. Wichtig ist ein systematisches Vorgehen. Die Wiki-Seite ist laut eigener Angabe zuletzt zur Version 12.6.0 (01.2024) angepasst und im Juni 2026 aktualisiert worden. Bei anderen Firmware-Ständen können Menüs abweichen.
Die erste Maßnahme betrifft das Regelwerk. Geänderte Portfilter-Regeln greifen erst, wenn du sie übernommen hast:
- Melde dich am Admin-Interface der UTM an.
- Öffne das Menü Firewall > Paketfilter.
- Blinkt die Schaltfläche Regeln aktualisieren, sind die vorhandenen Regeln noch nicht übernommen. Klicke darauf.
- Teste die VPN-Verbindung erneut.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Woran erkennst du, wo der Fehler liegt?
Securepoint unterscheidet zwei Ebenen. Wird gar keine Verbindung aufgebaut, erkennst du das am roten Schloss-Symbol in der Infoleiste. Dann kann sich der Fehler laut Wiki nur auf der physikalischen Ebene befinden, also beim Aufbau der Verbindung selbst.
Zeigt der Client dagegen eine bestehende Verbindung an, liegt der Fehler nicht mehr im Verbindungsaufbau. Kommt trotzdem keine Verbindung durch den Tunnel zustande, zum Beispiel ein Ping auf einen Rechner im Netzwerk hinter der Firewall, ist die Ursache auf der virtuellen Ebene zu suchen. Für beide Fälle brauchst du Logs: das Log des Clients und das Livelog der UTM.
Wie liest du das Log des SSL-VPN-Clients?
- Doppelklicke auf das Symbol des SSL-VPN-Clients in der Taskleiste.
- Klicke mit der rechten Maustaste auf den Verbindungseintrag.
- Wähle Log. Mit Strg und dem Mausrad nach oben vergrößerst du die Schrift.
Kopiere die Meldungen rund um den Abbruch, bevor du etwas an der Konfiguration änderst. So kannst du später vergleichen, ob eine Änderung etwas bewirkt hat.
Wie prüfst du den Verkehr auf der UTM?
Auf der Firewall ist das Livelog dein wichtigstes Werkzeug. Es zeigt standardmäßig Meldungen des Paketfilters, allerdings nur dann, wenn die Default Policy Pakete verwirft, für die es keine passende Firewall-Regel gibt. Für selbst angelegte Regeln lässt sich das Logging einschalten, damit auch ein Eintrag erscheint, wenn eine Regel greift. Wer den Netzwerkverkehr mit tcpdump direkt auf der UTM mitschneiden will, braucht dafür einen root-Benutzer.
Damit du SSL-VPN-Verkehr über eine eigene Regel im Livelog siehst, beschreibt das Wiki diese Schritte:
- Die zugehörige implizite Regel deaktivieren: Firewall > Implizite Regeln, Bereich VPN, dort SSL VPN UDP (gegebenenfalls TCP) auf Aus stellen.
- Ein Netzwerkobjekt für die Roadwarrior bereitstellen: Authentifizierung > Benutzer, Bereich Gruppen, die Gruppe ssl-vpn-user (oder deine eigene VPN-Gruppe) öffnen und im Bereich SSL-VPN die Option Im Portfilter verfügbar auf Ja setzen.
- Eine Portfilter-Regel anlegen. Im Beispiel des Wikis lautet sie: Quelle ssl-vpn-user, Ziel internal-network, Dienst ssl-vpn, Aktion Accept, aktiv.
- Das Regelwerk mit Regeln aktualisieren übernehmen.
Änderungen an impliziten Regeln wirken sich auf alle VPN-Benutzer aus. Plane sie deshalb so, dass ein Fehler niemanden mitten in der Arbeit trifft, und dokumentiere, was du umgestellt hast.
Tunnel steht, aber kein Server antwortet: was jetzt?
Auch hier rät Securepoint, zuerst das Portfilter-Regelwerk zu aktualisieren und dann ins Livelog zu schauen. Starte zum Beispiel einen Ping vom VPN-Client auf einen Rechner im Firmennetz und beobachte dabei das Livelog. Es gibt drei Möglichkeiten:
| Was das Livelog zeigt | Bedeutung laut Wiki | Wo du weitersuchst |
|---|---|---|
| Das Paket taucht nicht auf | Vermutlich kommt gar kein Paket an der Firewall an. | Auf dem Client |
| Das Paket taucht auf und wird verworfen (DROP) | Die passende Regel fehlt, ist falsch formuliert oder noch nicht wirksam, weil das Regelwerk nicht aktualisiert wurde. | Auf dem Gateway, also der UTM |
| Das Paket taucht auf und wird akzeptiert (ACCEPT) | Die Firewall lässt das Paket durch. | In Richtung Zielrechner |
Für jede dieser drei Stellen hat das Wiki eigene Prüfabschnitte: Prüfung Client, Prüfung Gateway und Prüfung Zielhost. Arbeite sie in dieser Reihenfolge ab, statt an mehreren Stellen gleichzeitig zu ändern.
Was, wenn sich der Client gar nicht herunterladen lässt?
Den SSL-VPN-Client holen sich Benutzer über das Userinterface der UTM. Das Wiki behandelt dafür drei Fälle gesondert: Das Userinterface wird nicht angezeigt, der Benutzer kann sich dort nicht anmelden, oder die Download-Option für den Client fehlt. Die Lösungsschritte stehen im jeweiligen Abschnitt der Wiki-Seite.
So unterstützen wir dich
Wir betreuen Securepoint-Firewalls bei Unternehmen in Osnabrück und Umgebung, weiter entfernte Kunden per Fernwartung. Als Securepoint Partner richten wir SSL-VPN-Zugänge ein, prüfen Regelwerk und Benutzergruppen und dokumentieren die Konfiguration. Mehr dazu findest du auf unserer Seite zur Firewall-Betreuung in Osnabrück.
Häufige Fragen
Was bedeutet das rote Schloss im SSL-VPN-Client?
Es zeigt, dass keine Verbindung aufgebaut wurde. Laut Securepoint liegt der Fehler dann auf der physikalischen Ebene, also noch vor dem Tunnel.
Warum greifen meine geänderten Regeln nicht?
Änderungen am Paketfilter werden erst mit der Schaltfläche „Regeln aktualisieren“ übernommen. Blinkt sie, ist das Regelwerk noch nicht aktiv.
Wo finde ich das Log des VPN-Clients?
Doppelklick auf das Client-Symbol in der Taskleiste, dann Rechtsklick auf den Verbindungseintrag und „Log“ wählen.
Warum sehe ich im Livelog keine erlaubten Pakete?
Standardmäßig zeigt das Livelog nur Pakete, die die Default Policy verwirft. Für eigene Regeln musst du das Logging erst einschalten.
Quellen
- SSL VPN-Troubleshooting (Securepoint Wiki, Stand zur Version 12.6.0, abgerufen am 04.11.2026)
