Sophos AP6: wifi-aanmelding met Microsoft Entra ID

Veel bedrijven beheren hun gebruikers al in Microsoft Entra ID. Voor het bedrijfsnetwerk met wifi draait er toch nog een eigen authenticatieserver, soms samen met een lokaal Active Directory dat verder nauwelijks meer nodig is. Precies daar speelt de nieuwe wifi-aanmelding met Microsoft Entra ID voor Sophos AP6 op in: bestaande cloudidentiteiten kunnen ook worden gebruikt voor toegang tot het draadloze netwerk.

Sophos heeft deze functie geïntroduceerd met AP6 MR10, versie 1.10.3192. De configuratie gebeurt in Sophos Fusion Wireless, het beheerplatform dat voorheen Sophos Central heette. De uitleg over Sophos Fusion beschrijft de naamswijziging en de verhouding tot de bestaande producten.

Deze vernieuwing kan lokale infrastructuur overbodig maken. Of de functie een bestaande wifi-authenticatie kan vervangen, hangt echter af van de gebruikte apparaten, het identiteitsbeleid en de benodigde netwerkfuncties. Vooral bij apparaataanmelding met certificaten of dynamische VLAN’s is een grondige beoordeling vóór de overstap zinvol.

Wat er verandert bij wifi-toegang

Een gedeeld wifi-wachtwoord is snel te verspreiden, maar in de praktijk lastig te beheren. Als iemand het bedrijf verlaat, blijft het wachtwoord op diens apparaten bekend. Een wijziging heeft vervolgens gevolgen voor alle andere apparaten. Een Enterprise-wifi biedt daarentegen toegang op basis van individuele identiteiten.

Bij de nieuwe AP6-integratie wordt Microsoft Entra ID gekoppeld als identiteitsprovider, kortweg IdP. Voor dit proces is geen eigen lokale RADIUS- of NPS-server nodig. RADIUS is de dienst die klassieke Enterprise-wifinetwerken vaak gebruiken om aanmeldgegevens te controleren en toegangsregels toe te wijzen.

De MR10-aankondiging van Sophos beschrijft de integratie uitdrukkelijk als een manier om lokale authenticatie-infrastructuur te vermijden. Dat is interessant voor een bedrijf met cloudidentiteiten en overzichtelijke wifi-eisen. Een Entra-account alleen garandeert echter nog geen succesvolle aanmelding op elk apparaat.

Vereisten voor Sophos AP6 en Microsoft Entra ID

Beheer, firmware en licentie

Er zijn AP6 Access Points nodig die in Sophos Fusion worden beheerd, met firmware die de Entra-integratie ondersteunt. MR10 is de versie waarmee Sophos de functie heeft geïntroduceerd. Bij een nieuwe installatie moet de momenteel vrijgegeven firmwareversie worden gecontroleerd, in plaats van alleen vanwege deze functie een oudere versie te kiezen. De handleiding voor AP6-firmwareupdates beschrijft de voorbereiding en controle van een gefaseerde uitrol.

Voor elke centraal beheerde AP6 is een geldige AP6 Support and Services Subscription vereist. Deze omvat onder meer beheer via Sophos Fusion en firmwareupdates. De lokale webinterface van een AP6 vervangt deze cloudintegratie niet. Het overzicht van AP6-beheer en licenties legt de verschillen uit.

De centraal aangemaakte identiteitsproviders voor dit proces zijn bedoeld voor AP6-SSID’s. Ondersteuning voor AP6 betekent niet dat dezelfde ondersteuning is toegezegd voor APX of een wifi-netwerk dat door Sophos Firewall wordt beheerd. Sophos documenteert dit toepassingsgebied op de RADIUS-pagina.

Entra-tenant en app-registratie

De beoogde gebruikers moeten in Entra ID aanwezig zijn. Daarnaast zijn een app-registratie voor de eigen tenant, een geverifieerd aangepast domein en de bevoegdheid om de vereiste Admin Consent te verlenen nodig.

Voor de verbinding zijn Client ID, Tenant ID, domeinnaam en Client Secret vereist. Sophos noemt hiervoor de Microsoft Graph-machtigingen Domain.Read.All van het type Application en User.Read van het type Delegated. De geraadpleegde installatiehandleiding noemt geen aanvullende verplichting voor Entra ID P1 of P2; licentievereisten van het eigen identiteitsbeleid moeten afzonderlijk worden gecontroleerd.

Voor het Client Secret moeten een verantwoordelijke en een geplande vervangingsdatum worden vastgelegd. Een werkende installatie op de eerste dag is niet voldoende als daarna niemand de vervaldatum bewaakt. De volledige configuratie staat beschreven in de KB-handleiding voor AP6-authenticatie met Entra ID.

Geschikte wifi-profielen op de eindapparaten

Voor deze integratie ondersteunt Sophos uitsluitend EAP-TTLS met PAP als interne authenticatie. Voor Windows en Android schrijft de fabrikant de SSID-modus WPA2/WPA3 Enterprise voor, omdat de gedocumenteerde TTLS/PAP-combinatie daar niet wordt ondersteund met uitsluitend WPA3 Enterprise. Apple-apparaten hebben een geïnstalleerd wifi-profiel met TTLS en PAP nodig; Sophos verwijst daarvoor naar Apple Configurator.

Deze vereisten komen uit de Sophos-installatiehandleiding voor Entra ID. Bij een gemengd apparatenbestand is het daarom verstandig vooraf een kleine compatibiliteitsmatrix op te stellen: apparaat, besturingssysteemversie, wifi-profiel en resultaat van de testaanmelding. Een succesvolle Windows-test zegt nog niets over een Android-telefoon of een Mac.

EAP-TTLS/PAP: waarom certificaatvertrouwen belangrijk is

EAP-TTLS zet een TLS-tunnel op. Binnen deze beveiligde tunnel wordt het wachtwoord gecontroleerd met PAP. De veiligheid hangt er daarom sterk van af of de client de identiteit van de authenticatieserver betrouwbaar controleert.

Als certificaatcontrole wordt uitgeschakeld of een onbekend certificaat zonder controle wordt geaccepteerd, kan het apparaat aanmeldgegevens naar een onjuiste server sturen. Microsoft legt dit risico uit in de documentatie over EAP en controle van servercertificaten.

Voor een beheerde omgeving moeten wifi-profielen de goedgekeurde vertrouwensketen en de verwachte serveridentiteit vastleggen. De waarden moeten aansluiten op de werkelijke omgeving en vóór de uitrol duidelijk zijn. Terugkerende certificaatmeldingen betekenen niet dat de configuratie normaal is afgerond, maar zijn aanleiding om het profiel te controleren.

Ook het automatisch overnemen van Windows-aanmeldgegevens mag niet worden verondersteld. Microsoft documenteert de betreffende EAP-TTLS-optie voor MS-CHAP v2, maar niet voor PAP. Deze integratie biedt een Windows-apparaat dat aan Entra is gekoppeld dus niet automatisch een bevestigde SSO-garantie voor wifi.

Beperkingen die vóór een migratie van belang zijn

Gebruikerswachtwoord in plaats van apparaataanmelding met certificaten

Het gedocumenteerde TTLS/PAP-proces gebruikt een wachtwoord. Het vervangt geen bestaande EAP-TLS-aanmelding met apparaatcertificaten. Wie nu apparaten onafhankelijk van een gebruikersaanmelding authenticeert, moet dit verschil als een architectuurkeuze behandelen.

Een beheerde laptop kan bijvoorbeeld al vóór de gebruikersaanmelding netwerktoegang nodig hebben. Ook printers of andere apparaten zonder geschikte gebruikersidentiteit passen niet automatisch in hetzelfde proces. Voor dergelijke eisen blijft een geschikte RADIUS- of NAC-oplossing een mogelijk alternatief. De AP6-handleiding voor externe RADIUS en Enterprise-wifi beschrijft de afzonderlijke configuratiemethode.

MFA en Conditional Access zijn geen automatische wifi-functie

Een Entra-account dat bij Microsoft 365 een MFA-verzoek oproept, bewijst niet dat TTLS/PAP dit ondersteunt. Het wifi-proces biedt geen interactieve Microsoft-browserdialoog. Een succesvolle wachtwoordcontrole is daarom niet hetzelfde als een bevestigde MFA-aanmelding.

Voor MFA, Conditional Access, wachtwoordloze accounts, gastaccounts en gefedereerde identiteiten geeft de geraadpleegde Sophos-handleiding geen volledige compatibiliteitsgarantie. De beoogde situaties moeten worden getest met het daadwerkelijk geldende tenantbeleid. Als een beveiligingseis de aanmelding verhindert, moet eerst met Sophos worden verduidelijkt welk proces wordt ondersteund, in plaats van het beveiligingsbeleid zonder onderscheid te versoepelen.

Geen dynamische VLAN’s, geen accounting, geen Captive Portal-backend

Sophos sluit voor dit Fusion-RADIUS-/Entra-proces drie functies uit:

• RADIUS-assigned VLAN: Geen dynamische VLAN-toewijzing via deze dienst.
• RADIUS Accounting: Geen accountingfunctie via deze dienst.
• Captive Portal backend authentication: Geen gebruik als authenticatiebackend voor een Captive Portal.

Wie bijvoorbeeld medewerkers op basis van een RADIUS-beleid aan verschillende VLAN’s toewijst, kan de bestaande dienst niet zomaar vervangen door de Entra-IdP. De beperking betreft de dynamische toewijzing, niet in het algemeen een statisch gepland VLAN voor een SSID. Een afzonderlijk SSID- en VLAN-ontwerp blijft nodig, zodat de aangemelde client alleen de bedoelde netwerken kan bereiken.

Meerdere Enterprise-SSID’s vereisen controle van de frequentiebanden

De interface beheert RADIUS-keuzes per SSID. Tegelijkertijd documenteert Sophos voor AP6 slechts één RADIUS-serverconfiguratie per frequentieband. Een extra Enterprise-SSID met een andere server kan de bestaande selectie op een overlappende band overschrijven.

Een extra test-SSID op een AP in productie is daarom niet automatisch geïsoleerd van de bestaande configuratie. Vóór de toewijzing moeten alle Enterprise-SSID’s, frequentiebanden en authenticatiebronnen worden gecontroleerd. Voor de eerste test is een afzonderlijke pilot-AP de overzichtelijkere keuze. Sophos beschrijft dit gedrag en de onderbreking bij het opslaan in de SSID-instellingen.

Configuratie en acceptatie in de praktijk

De configuratie verbindt drie onderdelen: de app in Entra ID, het IdP-object in Sophos Fusion en het wifi-profiel op de client. In Fusion begint de configuratie onder My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. Daar worden de voorbereide Entra-waarden ingevoerd, gecontroleerd met Test connection en opgeslagen. Vervolgens wordt de IdP gekoppeld aan een AP6-Enterprise-SSID.

Test connection is een voorafgaande controle, geen volledige wifi-acceptatietest. Pas een echte clientaanmelding test het samenspel van het EAP-profiel en de gebruikersidentiteit. Daarna moeten ook IP-adressering, DHCP, DNS en de toegestane netwerktoegang werken.

Voor een pilot zijn de volgende controles aan te bevelen:

1. Kies een AP en een SSID waarvan een wijziging geen bestaande authenticatie verstoort.
2. Meld aan met een normaal testaccount en de beoogde clientprofielen. Het vertrouwen in de server moet werken zonder een certificaat ongecontroleerd te accepteren.
3. Test alle beoogde apparaattypen en identiteitsbeleidsregels, inclusief een gecontroleerde negatieve test met een uitgeschakeld testaccount. Het blokkeren van een account beëindigt een bestaande wifi-sessie niet noodzakelijk onmiddellijk; beoordeel een nieuwe aanmelding en een lopende sessie afzonderlijk.
4. Controleer adressering, DNS, toegestane bestemmingen en de beoogde netwerkscheiding. Test bestaande SSID’s opnieuw na wijzigingen.
5. Voeg pas na gedocumenteerd succes meer AP’s toe. Neem de vervanging van het secret, wijzigingen in Entra-beleidsregels en het gedrag bij ontbrekende cloudbereikbaarheid op in het beheerplan.

Voor bedrijven die hun gebruikers al in Entra ID beheren en geen geavanceerde RADIUS-functies nodig hebben, kan de AP6-integratie de wifi-infrastructuur vereenvoudigen. De doorslaggevende vergelijking betreft echter het huidige toegangsconcept: Welke identiteiten worden gecontroleerd, welke apparaten moeten werken en welke regels mogen bij de overstap niet verloren gaan? Deze vragen moeten beantwoord zijn voordat een lokale authenticatiedienst wordt uitgeschakeld.

Veelgestelde vragen