STAS auf Sophos Firewall einrichten

STAS steht für Sophos Transparent Authentication Suite. Die Funktion meldet Windows-Anmeldungen aus Active Directory mit der zugehörigen Client-IP an die Sophos Firewall. Dadurch lassen sich Benutzer und AD-Gruppen in Firewallregeln verwenden, ohne eine zusätzliche Anmeldung im Browser oder Portal.

Für einzelne, nicht domänengebundene Endgeräte mit bewusster Benutzeranmeldung ist stattdessen der Client Authentication Agent der passende Ablauf. STAS bleibt der clientlose Weg für Windows-Domänen.

Kurzablauf

1. AD-Audit-Events, Servicekonto und benötigte Verbindungen vorbereiten.
2. Active Directory auf der Firewall als primäre Authentifizierungsmethode einrichten.
3. STA Agent und STA Collector installieren und konfigurieren.
4. STAS auf der Firewall aktivieren, Collector hinzufügen und Client Authentication für die Clientzonen erlauben.
5. Einen Benutzer neu an einem Domain-Client anmelden und die Zuordnung unter Advanced > Show live users sowie Current activities > Live users prüfen.
6. Eine benutzerbasierte Firewallregel mit Logging testen.

Die folgenden Sophos-Techvids zeigen Architektur und Einrichtung mit SFOS 21. Das Grundprinzip gilt weiterhin; einzelne Masken sehen unter SFOS 22 etwas anders aus.

Planung und Voraussetzungen

STAS passt zu Windows-Clients in einer AD-Domäne, wenn eine Client-IP normalerweise genau einem Benutzer gehört. Die Firewall muss dabei dieselbe Client-IP sehen, die STAS meldet. NAT, Proxy-Systeme oder andere Gateways zwischen Client und Firewall können diese Zuordnung unbrauchbar machen.

Für verwaltete Windows-10-Einzelplatzrechner mit Sophos Endpoint kann Synchronized User ID Authentication die Domänenidentität stattdessen über Security Heartbeat übertragen. Dieser Weg ersetzt STAS nicht bei Server Protection, anderen Windows-Versionen oder Umgebungen ohne passenden Heartbeat.

Entsteht die Benutzer-IP-Zuordnung dagegen bereits bei einer 802.1X-Anmeldung an einem WLAN-Controller oder Network Access Server, kann RADIUS SSO mit Accounting besser passen. Dieser Pfad benötigt ein Accounting-Start mit Benutzername und Framed-IP-Address, nicht die Windows-Logon-Events von STAS.

Vor der Einrichtung prüfen:

• Active Directory ist auf der Firewall erreichbar und DNS, Zeit sowie Routing stimmen.
• Domain Controller schreiben erfolgreiche Anmeldeereignisse.
• Windows-Clients sind Mitglied der Domäne.
• Firewall, Agents und Collectors erreichen sich über stabile, passend konfigurierte IP-Adressen.
• Client Authentication ist unter Administration > Device access > Authentication services > Clients für die betroffenen Zonen erlaubt. Mehr dazu steht in Device Access auf Sophos Firewall.
• Servicekonto, Passwortwechsel und technische Konten für die Exclusion List sind dokumentiert.

STAS 2.5 und neuer unterstützt Windows Server 2008 R2, 2012 R2, 2016, 2019, 2022 und 2025 sowie die Installation auf einem Domain Controller oder in einem dokumentierten Member-Server-Design. Alte Serverversionen sollte man für neue Installationen trotzdem nicht mehr einplanen.

Agent, Collector und Redundanz

Der STA Agent liest AD-Anmeldeereignisse. Der STA Collector verarbeitet die Benutzer-IP-Zuordnungen und sendet sie an die Firewall. Im klassischen Design läuft auf jedem relevanten Domain Controller ein Agent; ab STAS 2.5 kann ein unterstützter Member Server auf den Domain Controller verweisen. Ein Agent kann mehrere Collectors bedienen, ein Collector mehrere Firewalls.

Für kleine Umgebungen kann die SSO Suite Agent und Collector auf demselben System installieren. In produktiven oder grösseren Umgebungen ist ein separater Collector oft einfacher zu überwachen und erzeugt weniger Zusatztraffic auf dem Domain Controller.

Eine Collector-Gruppe enthält maximal fünf Collectors. Der erste ist primär, die weiteren dienen als Backup. Collectors derselben Domäne gehören in dieselbe Gruppe; für Subdomänen oder getrennte Domänen verwendet man eigene Gruppen.

RDS, Citrix und SATC

Klassisches STAS kann mehrere Benutzer hinter derselben RDS-, Terminalserver- oder Citrix-IP nicht unterscheiden. SATC über Sophos Server Protection ordnet alle unterstützten Verbindungen aus den einzelnen Sitzungen zu. Wenn nur HTTP und HTTPS über einen expliziten Proxy benutzerbezogen ausgewertet werden sollen, ist Per-Connection AD SSO für Multi-User-Hosts die schlankere Alternative. Der frühere eigenständige Legacy SATC Client wird nicht mehr unterstützt. Bei parallelem STAS- und SATC-Betrieb gehören die betroffenen Server-IPs in die STAS-Login- und Logoff-Exclusions.

Ports und Erreichbarkeit

Die drei Kernverbindungen sind kurz und eindeutig:

Zusätzliche Verbindungen hängen von den verwendeten Funktionen ab:

Für WMI oder Registry Read Access müssen auf den Clients die passenden RPC-, RPC-Locator-, DCOM-, WMI- beziehungsweise Registry-Dienste erreichbar sein. Windows-Firewallregeln sollten auf die Collector-IP-Adressen beschränkt werden.

Vom Collector prüft man die beiden TCP-Ports eines Testclients zum Beispiel so:

Test-NetConnection -ComputerName 10.10.20.25 -Port 135
Test-NetConnection -ComputerName 10.10.20.25 -Port 445

TcpTestSucceeded : True bestätigt nur den TCP-Pfad. Konto, DCOM, WMI oder Registry-Zugriff müssen danach mit WMI Verification beziehungsweise Registry Read Verification in STAS getestet werden.

Active Directory vorbereiten

Anmeldeereignisse aktivieren

Auf jedem Domain Controller mit STA Agent secpol.msc öffnen und diesen Pfad aufrufen:

Security Settings > Local Policies > Audit Policy

Audit account logon events öffnen.

Success und Failure aktivieren und speichern.

Auf Windows Server 2008 und neuer ist Security Event ID 4768 ein schneller Anhaltspunkt für eine erfolgreiche Domain-Authentifizierung, die der STA Agent erfassen kann.

STAS-Servicekonto einrichten

Für den STAS-Dienst ein dokumentiertes Konto verwenden. Es muss nicht Domain Admin sein, benötigt aber je nach Design:

• Domain Users und Event Log Readers auf dem Domain Controller
• Lese- und Schreibrechte auf C:\Program Files (x86)\Sophos\Sophos Transparent Authentication Suite\
• auf den Endpoints Remote Desktop Users, Distributed COM Users sowie WMI-Rechte auf Root\CIMV2 mit Execute Methods und Remote Enable
• das Benutzerrecht Log on as a service

Die Endpoint-Rechte lassen sich über Gruppenrichtlinien verteilen. Wenn Workstation Polling nicht verwendet wird, sollte man keine unnötig breiten Rechte vergeben.

Das Benutzerrecht liegt unter:

Security Settings > Local Policies > User Rights Assignment

Anschliessend das STAS-Konto hinzufügen.

STAS installieren und konfigurieren

Active Directory auf der Firewall prüfen

Unter folgendem Pfad muss ein funktionierender Active-Directory-Server hinterlegt sein:

Authentication > Servers

Unter Authentication > Services den AD-Server für den betroffenen Bereich als primäre Methode setzen. NetBIOS-Domäne, Suchbasis, Gruppen und Verbindungstest erklärt Active Directory mit Sophos Firewall verbinden.

Download und Installation

Den Installer hier herunterladen:

Authentication > Client downloads

Unter Single Sign-on auf Sophos Transparent Authentication Suite (STAS) klicken.

Die STAS.exe als Administrator starten und passend zum Design Agent, Collector oder SSO Suite installieren.

Bei mehreren Domain Controllern benötigt normalerweise jeder relevante Domain Controller einen Agent. Die aktuell ausgelieferte Installer-Version ist öffentlich nicht dokumentiert und sollte deshalb direkt in der heruntergeladenen Datei geprüft werden.

General

Im Tab General NetBIOS-Name, FQDN und Servicekonto eintragen. Der NetBIOS-Name muss in Grossbuchstaben stehen.

STA Agent

Im Tab STA Agent:

• als STA Agent Mode für lokale Event-Log-Erkennung EVENTLOG verwenden
• unter Specify the networks to be monitored nur echte Client-Netze in CIDR-Notation eintragen
• Domain Controller IP nur im Member-Server-Design setzen; bei der SSO Suite direkt auf dem Domain Controller bleibt das Feld leer
• alle vorgesehenen Collectors in die Collector List aufnehmen

STA Collector

Im Tab STA Collector:

• unter Sophos appliances die erreichbaren Firewall-IP-Adressen eintragen
• Workstation Polling Method bewusst auf WMI oder Registry Read Access setzen
• Enable Logoff Detection nur aktivieren, wenn Ping und Polling zum Clientnetz passen
• bei STAS 2.5.1.0 Dead entry timeout wegen Known Issue NCL-1309 zwingend auf 0 setzen; Sophos empfiehlt für diese Version WMI zur Logoff Detection

Bei HA muss der Collector die hinterlegte Firewall-IP über UDP 6060 erreichen; die Firewall benötigt den Rückweg zum Collector über UDP 6677. Die Benutzerzuordnung nach einem Failover separat testen.

Exclusion List

In die Exclusion List gehören Konten, die normale Benutzerzuordnungen überschreiben könnten:

• Backup-, Monitoring-, Softwareverteilungs- und Endpoint-Konten
• Administrations- und Installationskonten
• Konten, die sich im Hintergrund auf vielen Clients anmelden
• Systeme, auf denen keine normalen Arbeitsplatzbenutzer erwartet werden

Ohne Exclusion List kann kurz nach einem echten Login ein Dienstkonto auf derselben IP den Benutzer aus den Live Users verdrängen.

STAS auf der Firewall aktivieren

Unter folgendem Pfad Enable Sophos Transparent Authentication Suite einschalten und Activate STAS wählen:

Authentication > STAS

Jeden Collector mit Collector IP, Collector port und Collector group hinzufügen. Im Tab General der STA Suite muss die Firewall unter Sophos appliances erscheinen.

Danach Client Authentication unter Administration > Device access > Authentication services > Clients für jede benötigte Zone erlauben.

Die wichtigsten STAS-Werte auf der Firewall:

STAS quarantine verwirft eingehenden Traffic, wenn der Collector keine passende Benutzer- und Ziel-IP-Zuordnung liefert. Enable user inactivity meldet Benutzer ab, die im definierten Zeitraum nicht genug Daten übertragen. Beide Optionen müssen zum Regel- und Clientverhalten passen.

⚠️ SFOS 22: Bei SFOS 22.0 MR1 Build 490 kann Restrict client traffic during identity probe = Yes wiederholte Probes und Traffic-Unterbrüche verursachen sowie das Upgrade blockieren oder eine Warnung auslösen. No ist der dokumentierte Workaround. Die Known-Issues-Liste führt MR2 Build 546 als Fix-Version; MR2 ändert zudem den Standard auf No. Einen bestehenden Wert vor und nach dem Upgrade kontrollieren. Weitere Blocker stehen im SFOS 22 Upgrade Check.

Benutzerbasierte Firewallregel

Erst wenn ein Testbenutzer stabil in den Live Users erscheint, eine Regel mit der vorgesehenen AD-Gruppe erstellen und Log firewall traffic aktivieren.

Im Log Viewer müssen Benutzername, Gruppe, Regel-ID und Aktion zur Erwartung passen. Die allgemeine Regelanalyse steht in Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Einrichtung prüfen und betreiben

Die ganze Kette einmal kontrolliert testen:

1. Testbenutzer neu an einem Domain-Client anmelden.
2. Security Event 4768 auf dem Domain Controller prüfen.
3. STA Agent und STA Collector kontrollieren.
4. In STAS Advanced > Show live users öffnen.
5. Auf der Firewall Current activities > Live users prüfen.
6. Benutzerbasierte Regel mit echtem Traffic und Logging testen.
7. Logoff, Benutzerwechsel und ein technisches Konto aus der Exclusion List testen.

Die lokalen STAS-Werkzeuge liegen unter Advanced > Troubleshooting:

• Test Connectivity > Sophos prüft die Firewall-Verbindung.
• Test Connectivity > STAS Agent prüft Collector zu Agent.
• Test Connectivity > STAS Collector prüft Agent zu Collector.
• STAS Polling Utilities > WMI Verification und Registry Read Verification testen den Zugriff auf eine Client-IP.

Das Log ist unter Advanced > View Log und auf dem Windows-System hier verfügbar:

C:\Program Files (x86)\Sophos\Sophos Transparent Authentication Suite\stas.log

Vor grösseren Änderungen unter Advanced > Backup / Restore > Backup Now sichern. Die Datei heisst STAS_ConfigBackup_DD_MM_YYYY_THH_MM_SS.bkp und wird über Upload and Restore wieder eingespielt.

Im Betrieb Servicekonto, Exclusion List, überwachte Netze und Windows-Firewall-GPOs pflegen. Nach Windows-, Domain-Controller-, STAS- oder Firewall-Updates die End-to-End-Prüfkette wiederholen. Wenn über Jahre sehr viele Benutzerobjekte entstehen oder nur einzelne Portal- beziehungsweise VPN-Benutzer fehlschlagen, zusätzlich das Sophos Firewall User-ID-Limit prüfen.

Troubleshooting

Keine Benutzer in Live Users

In dieser Reihenfolge prüfen:

1. Entsteht auf dem Domain Controller Event ID 4768?
2. Läuft der STA Agent und überwacht er den richtigen Domain Controller sowie das richtige Client-Netz?
3. Erreicht der Agent den Collector über TCP 5566?
4. Funktionieren UDP 6060 und 6677 zwischen Collector und Firewall?
5. Ist Client Authentication für die Clientzone erlaubt?
6. Sieht die Firewall dieselbe Client-IP wie STAS?

Wenn nicht eindeutig ist, ob STAS, die Dienstwahl, der lokale Benutzerdatensatz oder erst die Benutzerregel scheitert, führt Sophos Firewall Authentifizierungsfehler systematisch beheben durch die methodenübergreifende Prüfkette.

Zusätzlich können Endpoint-Security die STAS-Kommunikation blockieren oder mehrere NICs zu einer falschen STAS-Bindung führen. Liegt der Collector hinter einem IPsec-Tunnel, kann für systemgenerierten Firewall-Traffic eine passende SNAT-IP nötig sein.

Benutzer wird falsch zugeordnet

Prüfen, ob ein Backup-, Monitoring-, Installations- oder Administrationskonto denselben Client überschreibt. Das betreffende Konto in die Exclusion List aufnehmen und den Test mit einem frischen Benutzerlogin wiederholen.

Benutzer verschwindet zu schnell

Bei STAS 2.5.1.0 muss Dead entry timeout wegen NCL-1309 auf 0 stehen. Danach Advanced > Show live users, stas.log und WMI- beziehungsweise Registry-Verifikation gegen den Client prüfen.

DCOM-Fehler oder falsche Netze

Windows Events 10009 oder 10028 entstehen oft, wenn der Collector nicht erreichbare Systeme abfragt. Dann:

1. Im Tab STA Collector die Firewall unter Sophos appliances bearbeiten.
2. Enable subnet based filter aktivieren und nur echte Client-Netze eintragen.
3. Im Tab STA Agent unter Specify the networks to be monitored dieselben Netze prüfen.
4. Änderungen übernehmen, STAS neu starten und stas.log erneut kontrollieren.

Benutzer mit LogonType: 1 aus nicht überwachten Netzen weisen auf eine fehlende oder unpassende Filterung hin. Nach der Korrektur bestätigt SSOclient_filter_CR_subnet: Workstation filtered out im stas.log, dass STAS eine Workstation wie vorgesehen ausgeschlossen hat.

Benutzerregel greift nicht

Prüfen, ob der Benutzer in Live Users erscheint, die erwartete AD-Gruppe aufgelöst wird und der Log Viewer den Benutzernamen statt nur die IP zeigt. Danach Regelposition und eine frühere Fallback-Regel kontrollieren. Für die weitere Analyse den verlinkten Rule-Testing-Artikel verwenden.

Identity Probe und CTA-Übergangszeit

Erkennt die Firewall Traffic einer unbekannten IP, startet sie einen Identity Probe. Bei Restrict client traffic during identity probe = Yes wird der Traffic während der Prüfung blockiert; bei No läuft er weiter. Antwortet der Collector nicht, behandelt die Firewall die IP anschliessend eine Stunde als unauthentifiziert und wendet passende Regeln für unauthentifizierten Traffic an.

Die aktuellen CTA-Einstellungen zeigt der folgende Befehl in der Device Console unter Option 4:

system auth cta show

Die separate Drop Period lässt sich auf 1 bis 120 Sekunden setzen:

system auth cta unauth-traffic drop-period <1-120>

Beispiel für 40 Sekunden:

system auth cta unauth-traffic drop-period 40

Werte unter 20 Sekunden können den Lernprozess unterbrechen und Domain-Benutzer zum Captive Portal umleiten. Den Wert deshalb nur mit dokumentiertem Testfall ändern und danach erneut system auth cta show, Live Users und den betroffenen Client prüfen. Für Geräte ausserhalb der Domäne sind Clientless Users mit fester IP oder eigene Regeln meist geeigneter.

STAS über VPN

STAS kann Branch-Benutzer über ein IPsec-VPN mit einem Domain Controller am Hauptstandort erkennen. Dafür müssen Routing, Quell-IP und überwachte Netze zusammenpassen. Im Sophos-Referenzdesign sind beide Firewalls in das STAS-Design eingebunden; der Domain Controller kann ausschliesslich am Hauptstandort stehen.

Voraussetzungen:

• IPsec-Verbindung und Routing über den Tunnel funktionieren.
• Das Branch-Netz ist im STA Agent als überwachtes Netzwerk eingetragen.
• Die Branch-Firewall ist im STA Collector unter Sophos appliances hinterlegt.
• Client Authentication ist für die VPN-Zone erlaubt.

Auf der Firewall am Hauptstandort das entfernte Netz in der Device Console ergänzen:

system auth cta vpnzonenetwork add source-network 10.20.50.0 netmask 255.255.255.0

Das Beispielnetz durch das reale Branch-Netz ersetzen und danach einen frischen Domain-Login, Live Users und eine geloggte Benutzerregel über den Tunnel testen.