Configurare Synchronized User ID Authentication su Sophos Firewall

Synchronized User ID Authentication collega l’accesso Windows di un endpoint gestito a Sophos Firewall. Sophos Endpoint trasmette l’utente di dominio tramite Security Heartbeat, il firewall lo convalida in Active Directory e quindi lo mostra in Current activities > Live users.

Questo approccio è adatto alle postazioni gestite su cui Sophos Endpoint e Security Heartbeat sono già operativi. Non richiede un agente di autenticazione aggiuntivo sul client o sul server. Sophos Endpoint rimane tuttavia un requisito.

⚠️ La documentazione Sophos attuale conferma questo processo per Windows 10. Non descrive Server Protection, gli utenti Windows locali, altri servizi di directory o altre versioni di Windows come ugualmente supportati. Non migrare tali sistemi a questo processo senza un’approvazione o un test specifico.

Synchronized User ID in otto passaggi

1. Scegliere come pilota un client di dominio Windows 10 con Sophos Endpoint.
2. Verificare Sophos Central, Security Heartbeat e la licenza del firewall.
3. Collegare Active Directory come server di autenticazione del firewall.
4. Confrontare il dominio UPN, sAMAccountName, l’indirizzo e-mail e il profilo utente tra AD, Sophos Central e firewall.
5. Preparare una regola utente con ambito ristretto e logging per un gruppo pilota.
6. Eseguire un nuovo accesso a Windows sul pilota e confermare un heartbeat verde.
7. Verificare utente, indirizzo IP e Client Type in Current activities > Live users, oltre al traffico reale in Log Viewer.
8. Testare la perdita dell’heartbeat, il comportamento HA e un percorso di ripristino controllato prima di aggiungere altri endpoint.

Quando è adatto Synchronized User ID

Synchronized User ID non sostituisce in generale tutti i metodi di autenticazione Sophos. È adatto quando un endpoint Windows 10 gestito appartiene normalmente a un solo utente AD e Sophos Endpoint invia già un Security Heartbeat al firewall.

Altri modelli operativi richiedono altri metodi:

• STAS su Sophos Firewall associa a un IP client gli accessi Windows provenienti da domain controller, STA Agent e Collector.
• SATC per Remote Desktop Services distingue più sessioni dietro lo stesso IP RDS o Citrix.
• Per-Connection AD SSO distingue le connessioni HTTP e HTTPS di più utenti tramite Direct Web Proxy.
• Captive Portal o Client Authentication Agent sono adatti quando è necessario un accesso interattivo.

Non forzare uno scenario server o terminal server con Synchronized User ID. Sophos indica esplicitamente Server Protection come non supportato. Se più utenti condividono lo stesso IP o le connessioni non web devono essere associate per sessione, SATC è più appropriato.

Se Synchronized User ID e STAS sono configurati contemporaneamente, Sophos indica che il server di autenticazione usa il meccanismo la cui richiesta di accesso arriva per prima. Non trattare questa coesistenza come una priorità fissa. Delimitare chiaramente il pilota e controllare Client Type a ogni convalida.

Come funziona l’associazione

Il processo è composto da quattro livelli separati:

1. L’utente accede al client di dominio Windows.
2. Sophos Endpoint trasmette l’utente di dominio al firewall tramite Security Heartbeat.
3. Il firewall ricava il dominio dall’UPN e il nome utente da sAMAccountName.
4. Il firewall convalida l’utente tramite il server Active Directory corrispondente e lo attiva per le regole basate sugli utenti.

La funzione non autentica gli utenti Windows locali e non sostituisce una connessione AD. Se il dominio UPN, il server di directory o il profilo utente non corrispondono, un endpoint verde può comunque rimanere senza un’identità utente utilizzabile.

Sophos Firewall non condivide né utilizza informazioni sulle password in questo processo. L’heartbeat trasporta i dati di dominio e utente necessari per l’associazione, mentre la convalida avviene sul server AD configurato.

Esempio e valori sostituibili

Il processo utilizza questi valori di documentazione:

• Firewall: fw01.example.com
• Dominio AD e suffisso UPN: example.com
• Client Windows: WS-101
• IP client: 10.20.30.101
• Nome utente: anna.muster
• UPN: anna.muster@example.com
• sAMAccountName: anna.muster
• Gruppo AD: SFOS-Internet-Users
• Regola pilota: LAN_User_Internet

example.com, WS-101, 10.20.30.101, l’utente e il gruppo sono esempi e devono essere sostituiti con i valori reali. Il nome dell’oggetto non è l’elemento decisivo. Sophos Central, Windows, Active Directory e il firewall devono associare senza ambiguità lo stesso utente.

Preparare i prerequisiti

Verificare Sophos Central e Security Heartbeat

Il firewall deve essere collegato a Sophos Central e disporre di una sottoscrizione Network Protection valida. Il pilota richiede Sophos Central Endpoint Protection con licenza di prova o completa. La registrazione e la baseline dell’heartbeat sono descritte in Collegare Sophos Firewall a Sophos Central.

In System > Sophos Central, la registrazione e Security Heartbeat devono essere attivi. Il pilota deve comparire con uno stato plausibile in Control Center e Sophos Central. Stabilire prima questa baseline, quindi verificare l’associazione dell’identità.

Synchronized User ID è attivo per impostazione predefinita. Non esiste quindi un normale interruttore WebAdmin da attivare prima per il pilota. I comandi shell descritti più avanti servono solo a disattivare o riattivare la funzione in modo controllato.

Confrontare Active Directory e gli attributi utente

In Authentication > Servers deve essere presente e raggiungibile un server Active Directory appropriato. Collegare Active Directory a Sophos Firewall descrive LDAPS, base di ricerca, importazione dei gruppi e ordine dei server.

Per il pilota devono corrispondere almeno questi valori:

• Il dominio nell’UPN corrisponde al dominio del server AD utilizzato dal firewall.
• sAMAccountName è univoco in Active Directory e può essere trovato dal firewall.
• Il profilo utente e l’indirizzo e-mail corrispondono tra AD, Sophos Central e il record utente locale del firewall.
• Il gruppo AD necessario è importato e associato al profilo utente corretto del firewall.

Un suffisso UPN diverso, valori sAMAccountName duplicati in ambiti di ricerca inappropriati o un server AD non corrispondente sono segnali di arresto. Non compensare con una regola utente più ampia.

Preparare la regola pilota

In Rules and policies > Firewall rules, creare una regola con ambito ristretto per il gruppo pilota oppure utilizzare in modo controllato una regola utente esistente:

• Source zones: zona client effettiva
• Source networks and devices: rete pilota o intervallo sorgente più ristretto
• Users or groups: SFOS-Internet-Users
• Destination zones: solo il percorso di destinazione necessario
• Services: solo i servizi necessari per il test
• Log firewall traffic: attivo

L’ordine delle regole, il logging e il test negativo sono più importanti di una regola di autorizzazione ampia. Creare correttamente le regole di Sophos Firewall descrive la configurazione.

Accedere e convalidare il pilota

1. Disconnettere completamente l’utente esistente dal client pilota.
2. Eseguire un nuovo accesso a Windows come anna.muster@example.com.
3. Verificare un heartbeat verde in Sophos Central e sul firewall.
4. Cercare anna.muster e 10.20.30.101 in Current activities > Live users.
5. Confermare che utente, indirizzo IP e Client Type corrispondano al metodo previsto.
6. Generare un test di traffico consentito tramite LAN_User_Internet.
7. Confrontare in Log Viewer nome utente, origine, destinazione, servizio, Firewall Rule ID, azione e ora.
8. Eseguire un test negativo con un utente esterno al gruppo pilota.

Una voce in Live users dimostra solo l’associazione dell’identità. Solo il flusso di test registrato dimostra che viene applicata anche la regola utente corretta. Se il log del traffico mostra solo l’indirizzo IP o il flusso raggiunge un’altra Rule ID, non ampliare la regola. Verificare l’associazione e l’ordine.

Testare deliberatamente la perdita dell’heartbeat

Se Security Heartbeat manca o viene perso durante una sospensione o una riattivazione, il firewall disconnette l’utente rilevato tramite Synchronized User ID. Altri metodi di autenticazione configurati possono continuare ad applicarsi, ma il traffico basato sugli utenti può interrompersi fino all’accesso successivo.

Per un test controllato:

1. Documentare prima l’utente attivo, l’IP, lo stato dell’heartbeat e la regola.
2. Sospendere il pilota e riattivarlo.
3. Verificare nuovamente lo stato dell’heartbeat e Live users.
4. Generare un nuovo test di traffico e confermare l’utente e la Rule ID effettivamente utilizzati.
5. In caso di differenze, verificare endpoint, percorso e log invece di disattivare globalmente Synchronized User ID in via precauzionale.

Un Missing Heartbeat non indica automaticamente malware. Analizzare sistematicamente gli avvisi Missing Heartbeat descrive l’intero percorso diagnostico.

Circoscrivere sistematicamente gli errori

L’endpoint non compare con un heartbeat verde

Verificare prima registrazione Central, licenza endpoint, licenza Network Protection, associazione del firewall, DNS, ora e percorso di rete. Senza un Security Heartbeat funzionante, Synchronized User ID non può trasmettere un’identità.

L’utente non compare in Live users

Verificare insieme accesso Windows, UPN, sAMAccountName, server AD, ambito di ricerca e profilo utente. Un heartbeat verde conferma la connessione dell’endpoint, non una convalida AD riuscita.

Utente o gruppo errato

Confrontare dominio UPN, ambito di ricerca AD, gruppo importato, Main Group e oggetti utente locali. Non eliminare oggetti utente prima di verificare le dipendenze da VPN, portali, regole, quote e report.

L’utente è visibile, ma la regola non viene applicata

Verificare zona e rete sorgente, utente o gruppo, servizio, destinazione e ordine delle regole. In Log Viewer il flusso reale deve mostrare la Firewall Rule ID prevista. Un’identità visibile da sola non conferma l’autorizzazione.

Server o versione Windows non confermata

Server Protection non è supportato per questo processo. L’Help Sophos attuale cita esplicitamente Windows 10. Non dedurre il supporto in produzione per altre versioni Windows o tipi di endpoint sconosciuti da un singolo pilota riuscito.

Leggere i log rilevanti

Questi controlli in sola lettura sono utili in Advanced Shell:

cd /log
tail -n 200 heartbeatd.log
tail -n 200 access_server.log
tail -n 200 hbtrust.log

heartbeatd.log mostra gli eventi dell’heartbeat, access_server.log aiuta con autenticazione e autorizzazione e hbtrust.log con la relazione di attendibilità con Sophos Central. Un solo log non costituisce una prova completa. Conservare insieme intervallo di tempo, utente, endpoint, IP, Rule ID e nodo HA interessato. File di log e servizi di Sophos Firewall descrive altri percorsi.

Se non è ancora chiaro se l’errore riguarda directory, metodo, record utente locale o regola, Risolvere sistematicamente gli errori di autenticazione fornisce una sequenza diagnostica trasversale ai metodi.

Disattivare la funzione in modo controllato

⚠️ I comandi seguenti modificano lo stato dell’autenticazione e riavviano access_server. Documentare prima utenti attivi, regole interessate, metodo di accesso alternativo e percorso di ripristino. In HA, entrambi i nodi devono essere gestiti deliberatamente.

Sophos utilizza questo file per una disattivazione persistente:

touch /content/no_userid
service access_server:restart -ds nosync

Questa variante disattiva la funzione solo fino al successivo riavvio del firewall:

touch /tmp/no_userid
service access_server:restart -ds nosync

Per riattivare la funzione, rimuovere il file persistente e riavviare il servizio:

rm /content/no_userid
service access_server:restart -ds nosync

Dopo ogni modifica, verificare un nuovo accesso a Windows, Live users, il traffico reale e i log. Lo stato disattivato non viene archiviato nei backup di configurazione. Dopo un ripristino, controllare nuovamente lo stato desiderato e impostarlo su entrambi i nodi HA, se necessario.

HA, backup e gestione

In un cluster HA, Synchronized User ID viene attivato o disattivato su entrambi i dispositivi. Ogni nodo archivia solo i log del traffico e degli eventi che elabora. Per un incidente, verificare quindi il nodo che era attivo o elaborava il traffico in quel momento.

Un test HA controllato richiede un nuovo accesso a Windows e un nuovo flusso di traffico. Non presumere che lo stato utente o le sessioni attive proseguano senza interruzioni. Dopo il failover, convalidare nuovamente almeno heartbeat, Live users, regola utente e log.

Lo stato di /content/no_userid non è incluso in un backup. Questa eccezione deve essere documentata esplicitamente nelle procedure operative, nei test di ripristino e nel processo RMA.

Rollback

1. Documentare lo stato attuale di heartbeat, utente, regola e HA.
2. Disattivare la regola pilota o ripristinare lo stato precedente documentato.
3. Per la variante persistente, rimuovere /content/no_userid in modo controllato e riavviare access_server. Secondo Sophos, la variante temporanea termina solo al successivo riavvio del firewall.
4. Stabilire lo stesso stato previsto su entrambi i nodi HA.
5. Eseguire un nuovo accesso a Windows sul pilota e verificare heartbeat e Live users.
6. Testare nuovamente la regola utente e il percorso di autenticazione alternativo con traffico reale.
7. Solo allora rimuovere gli oggetti di test temporanei o le assegnazioni pilota.

Checklist

• Il pilota è un client di dominio Windows 10 supportato con Sophos Endpoint.
• Firewall, endpoint e Security Heartbeat sono visibili in Sophos Central.
• Le licenze Network Protection ed endpoint sono valide.
• Server AD, dominio UPN, sAMAccountName, indirizzo e-mail e profilo utente corrispondono.
• Il gruppo pilota è importato e la regola utente ha un ambito ristretto e il logging attivo.
• Live users mostra l’utente previsto e l’IP client corretto.
• Il traffico reale raggiunge la Firewall Rule ID prevista.
• La perdita dell’heartbeat e la sospensione o riattivazione sono state testate in modo controllato.
• Nodi HA, log, limite di ripristino e percorso di ritorno sono documentati.
• Synchronized User ID non è stato esteso impropriamente come sostituto di SATC, STAS o altri servizi di directory.

Domande frequenti