Sophos AP6: WLAN-Anmeldung mit Microsoft Entra ID

Viele Unternehmen verwalten ihre Benutzer bereits in Microsoft Entra ID. Für das Firmen-WLAN läuft trotzdem noch ein eigener Authentifizierungsserver, manchmal zusammen mit einem lokalen Active Directory, das sonst kaum noch gebraucht wird. Genau hier setzt die neue WLAN-Anmeldung mit Microsoft Entra ID für Sophos AP6 an: Vorhandene Cloud-Identitäten können auch für den Zugang zum drahtlosen Netzwerk verwendet werden.

Sophos hat die Funktion mit AP6 MR10, Version 1.10.3192, eingeführt. Sie wird in Sophos Fusion Wireless konfiguriert, also in der Verwaltungsplattform, die zuvor Sophos Central hiess. Die Einordnung von Sophos Fusion erklärt den Namenswechsel und das Verhältnis zu den bestehenden Produkten.

Die Neuerung kann lokale Infrastruktur einsparen. Ob sie eine bestehende WLAN-Authentifizierung ersetzen kann, hängt aber von den verwendeten Geräten, den Identitätsrichtlinien und den benötigten Netzwerkfunktionen ab. Gerade bei zertifikatsbasierter Geräteanmeldung oder dynamischen VLANs lohnt sich ein genauer Blick vor der Umstellung.

Was sich beim WLAN-Zugang ändert

Ein gemeinsames WLAN-Kennwort lässt sich schnell verteilen, ist im Alltag aber schwer zu verwalten. Verlässt eine Person das Unternehmen, bleibt das Kennwort auf ihren Geräten bekannt. Ein Wechsel betrifft wiederum alle anderen Geräte. Ein Enterprise-WLAN ermöglicht dagegen einen Zugang anhand einzelner Identitäten.

Bei der neuen AP6-Integration wird Microsoft Entra ID als Identitätsanbieter, kurz IdP, eingebunden. Ein eigener lokaler RADIUS- oder NPS-Server ist für diesen Ablauf nicht erforderlich. RADIUS ist der Dienst, den klassische Enterprise-WLANs häufig für die Prüfung von Zugangsdaten und die Zuweisung von Zugangsregeln verwenden.

Die MR10-Ankündigung von Sophos beschreibt die Integration ausdrücklich als Möglichkeit, lokale Authentifizierungsinfrastruktur zu vermeiden. Für ein Unternehmen mit Cloud-Identitäten und überschaubaren WLAN-Anforderungen ist das interessant. Ein Entra-Konto allein garantiert allerdings noch keine erfolgreiche Anmeldung auf jedem Gerät.

Voraussetzungen für Sophos AP6 und Microsoft Entra ID

Verwaltung, Firmware und Lizenz

Benötigt werden AP6 Access Points, die in Sophos Fusion verwaltet werden, sowie eine Firmware mit Unterstützung für die Entra-Integration. MR10 ist die Version, mit der Sophos die Funktion eingeführt hat. Für eine neue Installation sollte der aktuell freigegebene Firmwarestand geprüft werden, statt allein wegen dieser Funktion eine ältere Version auszuwählen. Die Anleitung für AP6-Firmwareupdates beschreibt Vorbereitung und Prüfung eines gestaffelten Rollouts.

Für jeden zentral verwalteten AP6 ist eine gültige AP6 Support and Services Subscription erforderlich. Sie umfasst unter anderem die Verwaltung über Sophos Fusion und Firmwareupdates. Die lokale Weboberfläche eines AP6 ersetzt diese Cloud-Integration nicht. Die AP6-Verwaltungs- und Lizenzübersicht erklärt die Unterschiede.

Die zentral angelegten Identitätsanbieter dieses Ablaufs sind für AP6-SSIDs vorgesehen. Aus der AP6-Unterstützung lässt sich keine entsprechende Zusage für APX oder ein von Sophos Firewall verwaltetes WLAN ableiten. Sophos dokumentiert diesen Geltungsbereich auf der RADIUS-Seite.

Entra-Tenant und App-Registrierung

Die vorgesehenen Benutzer müssen in Entra ID vorhanden sein. Zusätzlich braucht es eine App-Registrierung für den eigenen Tenant, eine verifizierte benutzerdefinierte Domain und die Berechtigung, den erforderlichen Admin Consent zu erteilen.

Für die Verbindung werden Client ID, Tenant ID, Domainname und Client Secret benötigt. Sophos nennt dafür die Microsoft-Graph-Berechtigungen Domain.Read.All vom Typ Application und User.Read vom Typ Delegated. Eine zusätzliche Entra-ID-P1- oder P2-Pflicht nennt der betrachtete Einrichtungsleitfaden nicht; Lizenzanforderungen der eigenen Identitätsrichtlinien müssen davon getrennt geprüft werden.

Das Client Secret braucht einen Verantwortlichen und einen geplanten Erneuerungstermin. Eine funktionierende Einrichtung am ersten Tag genügt nicht, wenn später niemand das Ablaufdatum überwacht. Die vollständige Einrichtung ist in der KB-Anleitung zur AP6-Authentifizierung mit Entra ID beschrieben.

Passende WLAN-Profile auf den Endgeräten

Für diese Integration unterstützt Sophos ausschliesslich EAP-TTLS mit PAP als innerer Authentifizierung. Für Windows und Android verlangt der Hersteller den SSID-Modus WPA2/WPA3 Enterprise, da die dokumentierte TTLS/PAP-Kombination dort mit reinem WPA3 Enterprise nicht unterstützt wird. Apple-Geräte benötigen ein installiertes WLAN-Profil mit TTLS und PAP; Sophos verweist dafür auf Apple Configurator.

Diese Vorgaben stammen aus dem Sophos-Einrichtungsleitfaden für Entra ID. In einer gemischten Geräteflotte sollte daher vorab eine kleine Kompatibilitätsmatrix entstehen: Gerät, Betriebssystemversion, WLAN-Profil und Ergebnis der Testanmeldung. Ein erfolgreicher Windows-Test sagt noch nichts über ein Android-Telefon oder einen Mac aus.

EAP-TTLS/PAP: Warum das Zertifikatsvertrauen wichtig ist

EAP-TTLS baut einen TLS-Tunnel auf. Innerhalb dieses geschützten Tunnels erfolgt die Kennwortprüfung mit PAP. Die Sicherheit hängt deshalb wesentlich davon ab, dass der Client die Identität des Authentifizierungsservers zuverlässig prüft.

Wird die Zertifikatsprüfung abgeschaltet oder ein unbekanntes Zertifikat ungeprüft bestätigt, könnte das Gerät Zugangsdaten an einen falschen Server übermitteln. Microsoft erläutert dieses Risiko in der Dokumentation zu EAP und Serverzertifikatsprüfung.

Für einen betreuten Betrieb sollten WLAN-Profile die freigegebene Vertrauenskette und die erwartete Serveridentität vorgeben. Die Werte müssen zur tatsächlichen Umgebung passen und vor dem Rollout geklärt sein. Wiederkehrende Zertifikatsdialoge sind kein normaler Einrichtungsabschluss, sondern ein Grund, das Profil zu überprüfen.

Auch die automatische Übernahme der Windows-Anmeldedaten sollte nicht vorausgesetzt werden. Microsoft dokumentiert die entsprechende EAP-TTLS-Option für MS-CHAP v2, aber nicht für PAP. Ein Entra-joined Windows-Gerät erhält durch diese Integration daher nicht automatisch eine bestätigte SSO-Zusage für das WLAN.

Die Einschränkungen, die vor einer Migration zählen

Benutzerkennwort statt zertifikatsbasierter Geräteanmeldung

Der dokumentierte TTLS/PAP-Ablauf verwendet ein Kennwort. Er ersetzt keine vorhandene EAP-TLS-Anmeldung mit Gerätezertifikaten. Wer heute Geräte unabhängig von einer Benutzeranmeldung authentifiziert, sollte diesen Unterschied als Architekturentscheidung behandeln.

Beispielsweise kann ein verwaltetes Notebook schon vor der Benutzeranmeldung Netzwerkzugang benötigen. Auch Drucker oder andere Geräte ohne passende Benutzeridentität passen nicht automatisch in denselben Ablauf. Für solche Anforderungen bleibt eine geeignete RADIUS- beziehungsweise NAC-Lösung eine mögliche Alternative. Die AP6-Anleitung für externen RADIUS und Enterprise-WLAN beschreibt den separaten Konfigurationsweg.

MFA und Conditional Access sind keine automatische WLAN-Funktion

Ein Entra-Konto, das bei Microsoft 365 eine MFA-Abfrage auslöst, belegt keine solche Unterstützung für TTLS/PAP. Der WLAN-Ablauf bietet keinen interaktiven Microsoft-Browserdialog. Eine erfolgreiche Kennwortprüfung ist deshalb nicht mit einer bestätigten MFA-Anmeldung gleichzusetzen.

Für MFA, Conditional Access, kennwortlose Konten, Gastkonten und föderierte Identitäten enthält der betrachtete Sophos-Leitfaden keine vollständige Kompatibilitätszusage. Die vorgesehenen Fälle müssen mit den tatsächlich geltenden Tenant-Richtlinien geprüft werden. Scheitert die Anmeldung an einer Sicherheitsanforderung, sollte zunächst der unterstützte Ablauf mit Sophos geklärt werden, statt die Schutzrichtlinie pauschal zu lockern.

Keine dynamischen VLANs, kein Accounting, kein Captive-Portal-Backend

Sophos schliesst für diesen Fusion-RADIUS-/Entra-Ablauf drei Funktionen aus:

• RADIUS-assigned VLAN: Keine dynamische VLAN-Zuweisung über diesen Dienst.
• RADIUS Accounting: Keine Accounting-Funktion über diesen Dienst.
• Captive Portal backend authentication: Keine Nutzung als Authentifizierungsbackend eines Captive Portals.

Wer etwa Mitarbeitende anhand einer RADIUS-Richtlinie unterschiedlichen VLANs zuordnet, kann den bestehenden Dienst nicht einfach durch den Entra-IdP ersetzen. Die Einschränkung betrifft die dynamische Zuweisung, nicht grundsätzlich ein statisch geplantes VLAN für eine SSID. Ein separates SSID- und VLAN-Design bleibt nötig, damit der angemeldete Client nur die vorgesehenen Netze erreicht.

Mehrere Enterprise-SSIDs brauchen eine Prüfung der Frequenzbänder

Die Oberfläche verwaltet RADIUS-Auswahlen pro SSID. Gleichzeitig dokumentiert Sophos für AP6 nur eine RADIUS-Serverkonfiguration pro Frequenzband. Eine weitere Enterprise-SSID mit einem anderen Server kann auf einem überlappenden Band die vorhandene Auswahl überschreiben.

Eine zusätzliche Test-SSID auf einem produktiven AP ist deshalb nicht automatisch isoliert vom Bestand. Vor der Zuweisung sollten alle Enterprise-SSIDs, Frequenzbänder und Authentifizierungsquellen geprüft werden. Für den ersten Versuch ist ein separater Pilot-AP die übersichtlichere Wahl. Dieses Verhalten und die Unterbrechung beim Speichern beschreibt Sophos in den SSID-Einstellungen.

Einrichtung und Abnahme in der Praxis

Die Konfiguration verbindet drei Stellen: die App in Entra ID, das IdP-Objekt in Sophos Fusion und das WLAN-Profil auf dem Client. In Fusion liegt der Einstieg unter My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. Dort werden die vorbereiteten Entra-Werte eingetragen, mit Test connection geprüft und gespeichert. Anschliessend wird der IdP einer AP6-Enterprise-SSID zugeordnet.

Test connection ist eine Vorprüfung, keine vollständige WLAN-Abnahme. Erst eine echte Clientanmeldung prüft das Zusammenspiel von EAP-Profil und Benutzeridentität. Danach müssen noch IP-Adressierung, DHCP, DNS und der erlaubte Netzwerkzugriff funktionieren.

Für einen Pilotversuch empfehlen sich folgende Prüfungen:

1. Einen AP und eine SSID auswählen, deren Änderung keine vorhandene Authentifizierung beeinträchtigt.
2. Mit einem normalen Testkonto und den vorgesehenen Clientprofilen anmelden. Serververtrauen muss ohne ungeprüfte Zertifikatsbestätigung funktionieren.
3. Alle vorgesehenen Gerätetypen und Identitätsrichtlinien testen, einschliesslich eines kontrollierten Negativtests mit einem deaktivierten Testkonto. Eine Kontosperrung beendet nicht zwingend eine bereits bestehende WLAN-Sitzung sofort; Neuanmeldung und laufende Sitzung getrennt bewerten.
4. Adressierung, DNS, erlaubte Ziele und die beabsichtigte Netztrennung prüfen. Bestehende SSIDs nach Änderungen erneut testen.
5. Erst nach dokumentiertem Erfolg weitere APs ergänzen. Secret-Erneuerung, Änderungen an Entra-Richtlinien und das Verhalten bei fehlender Cloud-Erreichbarkeit in den Betriebsplan aufnehmen.

Für Unternehmen, die ihre Benutzer bereits in Entra ID verwalten und keine erweiterten RADIUS-Funktionen benötigen, kann die AP6-Integration die WLAN-Infrastruktur vereinfachen. Der entscheidende Vergleich ist aber das bisherige Zugangskonzept: Welche Identitäten werden geprüft, welche Geräte müssen funktionieren und welche Regeln dürfen bei der Umstellung nicht verloren gehen? Diese Fragen sollten beantwortet sein, bevor ein lokaler Authentifizierungsdienst abgeschaltet wird.

Häufige Fragen