Sophos Firewall: AD SSO funktioniert nach SFOS-22-Upgrade nicht

Nach einem Upgrade von SFOS 21.5 oder älter auf SFOS 22.0 GA kann Active Directory Single Sign-On mit Kerberos und NTLM unmittelbar ausfallen. Die Firewall leitet weiterhin Traffic weiter, erkennt die betroffenen Domain-Benutzer aber nicht mehr. Dadurch treffen benutzerbasierte Firewall-Regeln nicht wie vorgesehen.

⚠️ Der Cleanup darf nur in der Advanced Shell und nur bei passendem Upgradepfad und Fehlerbild verwendet werden. Läuft die Firewall bereits auf MR1 Build 490 oder neuer, bestand der Fehler schon vor dem Upgrade oder ist ein HA-Cluster betroffen, wird der Befehl nicht pauschal ausgeführt.

Wenn die Firewall noch auf SFOS 22.0 GA läuft und in nasm.log ein zeitlich passender Fehler mit unknown option erscheint, kann NASM gezielt neu aufgebaut werden. Die folgenden Prüfungen verhindern, dass der Cleanup bei einem gewöhnlichen DNS-, SPN- oder Domain-Join-Problem eingesetzt wird.

Sophos hat den zugrunde liegenden Upgradefehler in SFOS 22.0 MR1 Build 490 behoben. Der Cleanup ist deshalb eine gezielte Reparatur für den beschriebenen GA-Upgradefall und keine allgemeine Lösung für jedes AD-SSO-Problem.

Wann dieser Ablauf passt

Der Ablauf ist für folgenden Fall gedacht:

• Upgrade von SFOS 21.5 oder älter auf SFOS 22.0 GA
• AD SSO mit Kerberos und NTLM funktionierte vor dem Upgrade
• Domain-Benutzer können sich danach nicht mehr per AD SSO authentifizieren
• identitätsbasierte Regeln erkennen Benutzer nicht mehr
• andere Firewall-Funktionen und nicht auf AD basierende Anmeldungen funktionieren weiterhin

Ein erfolgreicher Test connection unter Authentication > Servers schliesst diesen Fehler nicht aus. Der Test bestätigt die Verbindung zum Domain Controller und die Zugangsdaten, aber nicht den vollständigen AD-SSO-Ablauf.

Schlägt bereits Test connection fehl, liegt die Ursache wahrscheinlich bei Erreichbarkeit, DNS, Port, Zertifikat oder Servicekonto. Diese Grundlagen erklärt Active Directory mit Sophos Firewall verbinden.

Fehler in nasm.log prüfen

Per SSH auf der Firewall anmelden und 5. Device Management > 3. Advanced Shell öffnen. Der SSH-Zugang zur Sophos Firewall ist separat erklärt.

Danach nach der von Sophos dokumentierten Meldung suchen:

grep "unknown option" /log/nasm.log

Ein Treffer bestätigt den fehlerhaften Samba-/NASM-Zustand. Entscheidend ist, ob der Zeitstempel zum Upgrade und zum Ausfall passt; ein alter Eintrag beweist keinen aktuellen Fehler.

Bleibt die Ausgabe leer, ist der Fehler damit nicht sicher ausgeschlossen. Ohne passenden Upgradepfad und die oben beschriebenen Symptome sollte der Cleanup aber nicht auf Verdacht ausgeführt werden. Dann sind zunächst DNS, SPN, Domain Join, Redirection Location, Browser-Trust und die normale Kerberos-/NTLM-Konfiguration zu prüfen.

NASM gezielt bereinigen

Beim Firmwarewechsel erstellt SFOS die NASM-Verzeichnisse passend zur verwendeten Samba-Version neu. Beim betroffenen Upgrade kann dieser Schritt unvollständig bleiben. Das neue NASM lädt dann ältere, nicht kompatible Samba-Komponenten und AD SSO fällt aus.

Vor der Änderung werden aktuelle Firmwareversion, Zeitpunkt des Ausfalls und die Ausgabe aus nasm.log dokumentiert. Für den Fall, dass die Authentifizierung während der Arbeit nicht verfügbar ist, sollte ein lokaler oder alternativer Administratorzugang bestehen.

In der Advanced Shell ausführen:

opcode -ds nosync nasm_cleanup

Der Befehl bereinigt die betroffene NASM-Struktur und erzeugt sie passend zu Samba 4.22.1 neu. Laut Sophos ist normalerweise kein Neustart erforderlich. Eine bestimmte Erfolgsmeldung ist nicht dokumentiert; deshalb wird der Erfolg nicht anhand einer einzelnen Shell-Ausgabe, sondern mit einer neuen AD-SSO-Anmeldung geprüft.

AD SSO mit echtem Benutzertraffic kontrollieren

Nach dem Cleanup reicht ein erneuter Test connection nicht aus. Die Kontrolle erfolgt mit einem Domain-Benutzer und einer tatsächlich benutzerbasierten Regel:

1. Auf einem Domain-Client eine neue Browser-Verbindung öffnen, die AD SSO und eine benutzerbasierte Firewall-Regel verwendet.
2. Unter Current activities > Live users prüfen, ob der Domain-Benutzer wieder erscheint.
3. Unter Log viewer > Authentication kontrollieren, ob Kerberos oder NTLM erfolgreich verwendet wird und keine neuen passenden NASM-Fehler entstehen.
4. Im Firewall-Log prüfen, ob Benutzer, Gruppe und Firewall Rule ID der vorgesehenen Regel entsprechen.
5. Die Anwendung oder das Ziel testen, das vor dem Cleanup nicht erreichbar war.

Erst wenn Benutzeridentität und Regel-Match stimmen, ist der Fehler behoben. Wird nur wieder eine Captive-Portal-Anmeldung angezeigt oder erscheint der Benutzer weiterhin nicht, gehören auch SPN, DNS-Auflösung, Redirection Location und Browser-Trust in die Prüfung. Die Zuordnung weiterer Authentifizierungsdateien steht unter Sophos Firewall Services und Logs.

Dauerhafte Lösung und Alternative ohne Advanced Shell

Auf eine behobene SFOS-Version aktualisieren

Die dauerhafte Lösung ist ein Upgrade auf SFOS 22.0 MR1 Build 490 oder neuer. Vor einem weiteren Firmwarewechsel sollten Upgradepfad, Backup, Speicher, HA und Rückweg mit dem SFOS-22-Upgrade-Check geprüft werden.

Tritt dasselbe Symptom auf MR1 Build 490 oder einer neueren Version neu auf, passt der hier beschriebene GA-Upgradefehler nicht mehr eindeutig. Dann wird nicht wiederholt bereinigt, sondern die normale AD-SSO-Diagnose durchgeführt und bei Bedarf Sophos Support eingeschaltet.

Wenn die Advanced Shell nicht erreichbar ist

Sophos nennt als Alternative einen erneuten Firmwarewechsel:

• Läuft die Firewall bereits wieder unter SFOS 21.5, wird erneut in SFOS 22.0 GA gestartet.
• Läuft die Firewall unter SFOS 22.0 GA, wird zuerst in den vorhandenen SFOS-21.5-Firmware-Slot und danach wieder in SFOS 22.0 GA gestartet.

Dieser Roundtrip stösst die Erstellung der NASM-Verzeichnisse erneut an. Er verursacht Ausfallzeit und ist nicht dasselbe wie ein normaler Neustart. Deshalb gehören ein aktuelles Backup, ein vorhandener und bootfähiger Firmware-Slot, Konsolenzugriff, Wartungsfenster und ein geprüfter Rückweg zwingend dazu. Wenn diese Voraussetzungen fehlen, ist das direkte Upgrade auf eine behobene Version oder ein abgestimmter Ablauf mit Sophos Support sicherer.

Wann der Cleanup nicht die richtige Lösung ist

nasm_cleanup wird nicht als allgemeiner Reparaturbefehl verwendet. Ein anderer Diagnoseweg ist nötig, wenn:

• die Firewall bereits auf SFOS 22.0 MR1 Build 490 oder neuer läuft
• das Problem schon vor dem Upgrade bestand
• Test connection zum AD-Server fehlschlägt
• nur einzelne Benutzer, Gruppen oder Browser betroffen sind
• STAS, Microsoft Entra ID SSO, RADIUS oder eine normale LDAP-Anmeldung betroffen ist
• DNS, SPN, Domain Join, Zertifikate oder Browser-Trust nicht sauber funktionieren
• der Upgradepfad oder der Zeitpunkt des Ausfalls nicht zum beschriebenen Fehler passt
• ein HA-Cluster betroffen ist und kein von Sophos freigegebener Ablauf für beide Nodes vorliegt

In diesen Fällen verhindert ein Cleanup keine Fehlkonfiguration und kann die eigentliche Ursache verdecken. Zuerst wird der betroffene Authentifizierungsweg eingegrenzt; bei unklarem oder abweichendem Verhalten ist Sophos Support der richtige Eskalationspunkt.