Sophos Firewall: AD SSO werkt niet na SFOS 22-upgrade

Na een upgrade van SFOS 21.5 of ouder naar SFOS 22.0 GA kan Active Directory Single Sign-On met Kerberos en NTLM onmiddellijk uitvallen. De firewall stuurt ander verkeer nog steeds door, maar herkent de betrokken domeingebruikers niet meer. Daardoor worden gebruikersgebaseerde firewallregels niet toegepast zoals bedoeld.

⚠️ De cleanup mag alleen in de Advanced Shell en alleen bij een passend upgradepad en foutbeeld worden gebruikt. Als de firewall al MR1 Build 490 of nieuwer gebruikt, de fout al vóór de upgrade bestond of een HA-cluster betrokken is, mag de opdracht niet zonder meer worden uitgevoerd.

Als de firewall nog SFOS 22.0 GA gebruikt en nasm.log een fout met unknown option op het relevante tijdstip bevat, kan NASM gericht opnieuw worden opgebouwd. De volgende controles voorkomen dat de cleanup wordt gebruikt voor een gewoon DNS-, SPN- of domeinjoinprobleem.

Voor deze fout zijn twee verschillende issue-ID’s gedocumenteerd: NC-176853 en NC-176039. KBA-000048429 zelf noemt geen NC-ID. Dit artikel legt de concrete versiestatus zelf vast: beide registers wijzen SFOS 22.0 MR1 Build 490 aan als gecorrigeerde versie; de KBA noemt deze SFOS v22.0.1 MR-1. Geen van beide ID’s wordt daarom als de enige canonieke ID behandeld. Controleer vóór een wijziging dynamische gegevens over goedgekeurde builds, de actuele maintenance release en het upgradepad met de SFOS 22-upgradecontrole. De cleanup is een gerichte reparatie voor het beschreven GA-upgradegeval en geen algemene oplossing voor elk AD SSO-probleem.

Wanneer deze procedure geschikt is

De procedure is bedoeld voor het volgende geval:

• Upgrade van SFOS 21.5 of ouder naar SFOS 22.0 GA
• AD SSO met Kerberos en NTLM werkte vóór de upgrade
• Domeingebruikers kunnen zich daarna niet meer via AD SSO authenticeren
• identiteitsgebaseerde regels herkennen gebruikers niet meer
• andere firewallfuncties en aanmeldingen die niet op AD zijn gebaseerd, blijven werken

Een geslaagde Test connection onder Authentication > Servers sluit deze fout niet uit. De test bevestigt de verbinding met de Domain Controller en de aanmeldgegevens, maar niet de volledige AD SSO-procedure.

Als Test connection al mislukt, ligt de oorzaak waarschijnlijk bij bereikbaarheid, DNS, poort, certificaat of serviceaccount. Deze basisprincipes staan in Active Directory met Sophos Firewall verbinden.

Fout in nasm.log controleren

Meld via SSH aan bij de firewall en open 5. Device Management > 3. Advanced Shell. De SSH-toegang tot Sophos Firewall wordt afzonderlijk uitgelegd.

Zoek daarna naar het bevestigingssignaal dat specifiek bij dit probleem hoort:

grep "unknown option" /log/nasm.log

Deze treffer bevestigt de beschreven upgradefout alleen als het tijdstip overeenkomt met de upgrade en de uitval; een oude vermelding bewijst geen actuele fout.

Als de opdracht geen uitvoer geeft, ontbreekt het vereiste bevestigingssignaal. Voer de cleanup dan niet op basis van een vermoeden uit. Controleer eerst DNS, SPN, Domain Join, Redirection Location, browservertrouwen en de normale Kerberos/NTLM-configuratie; schakel Sophos Support in als het upgradepad en de symptomen nog steeds overeenkomen.

NASM gericht opschonen

Tijdens een firmwarewissel maakt SFOS de NASM-mappen opnieuw aan voor de gebruikte Samba-versie. Bij de betrokken upgrade kan deze stap onvolledig blijven. De nieuwe NASM laadt dan oudere, niet-compatibele Samba-componenten, waardoor AD SSO uitvalt.

Documenteer vóór de wijziging de huidige firmwareversie, het tijdstip van de uitval en de uitvoer uit nasm.log. Zorg ook voor lokale of alternatieve beheerderstoegang voor het geval authenticatie tijdens de werkzaamheden niet beschikbaar is.

Sophos noemt de cleanup de voorkeursoplossing voor een firewall die momenteel SFOS 22.0 GA gebruikt. Voer in de Advanced Shell uit:

opcode -ds nosync nasm_cleanup

De opdracht forceert cleanup en regeneratie van de NASM-omgeving in overeenstemming met Samba 4.22.1; daarna is normaal gesproken geen herstart nodig. Sophos specificeert geen bepaalde succesmelding of opdracht voor ongedaan maken. Controleer het resultaat daarom niet aan de hand van één shell-uitvoer, maar met een nieuwe AD SSO-aanmelding. Herhaal de opdracht niet als het resultaat onverwacht is, maar geef Sophos Support de vooraf vastgelegde gegevens onder vermelding van KBA-000048429.

AD SSO met echt gebruikersverkeer controleren

Na de cleanup is een nieuwe Test connection niet voldoende. Gebruik voor de controle een domeingebruiker en een werkelijk gebruikersgebaseerde regel:

1. Open op een domeinclient een nieuwe browserverbinding die AD SSO en een gebruikersgebaseerde firewallregel gebruikt.
2. Controleer onder Current activities > Live users of de domeingebruiker weer verschijnt.
3. Open rechtsboven Log viewer, kies Authentication in de moduleselector en controleer in Log Comp of Kerberos of NTLM wordt gebruikt. Kerberos authentication initialized successfully en NTLM authentication channel established successfully bevestigen een geslaagde initialisatie.
4. Controleer in het firewalllog of gebruiker, groep en Firewall Rule ID overeenkomen met de bedoelde regel.
5. Test de toepassing of het doel dat vóór de cleanup niet bereikbaar was.

De fout is pas opgelost wanneer gebruikersidentiteit en regelmatch kloppen. Als het Authentication-log daarentegen Cannot initialize Kerberos authentication of Cannot establish NTLM authentication channel toont, werkt het AD-kanaal nog niet. Als alleen opnieuw een Captive Portal-aanmelding wordt weergegeven of de gebruiker nog steeds niet verschijnt, moeten ook SPN, DNS-resolutie, Redirection Location en browservertrouwen worden gecontroleerd. De toewijzing van andere authenticatiebestanden staat in Sophos Firewall Services en Logs.

Permanente oplossing en alternatief zonder Advanced Shell

Upgraden naar een gecorrigeerde SFOS-versie

De KBA noemt SFOS v22.0.1 MR-1 als gecorrigeerde versie; ondanks het verschil tussen de ID’s NC-176853 en NC-176039 wijzen beide actuele registers SFOS 22.0 MR1 Build 490 aan als de versie met de oplossing. Op 4 september 2026 is SFOS 22.0 MR2 Build 546 de actuele 22.0-versie. Controleer deze dynamische status vóór een wijziging opnieuw met de SFOS 22-upgradecontrole. Installeer de nieuwste maintenance release die voor het eigen model en upgradepad is vrijgegeven, in plaats van bewust een inmiddels achterhaalde tussenversie te kiezen. Dezelfde controle omvat ook het upgradepad, de back-up, opslag, HA en terugkeerprocedure vóór de firmwarewissel.

Als hetzelfde symptoom voor het eerst optreedt op MR1 Build 490 of een nieuwere versie, past de hier beschreven GA-upgradefout niet meer eenduidig. Voer de cleanup dan niet opnieuw uit, maar volg de normale AD SSO-diagnose en schakel indien nodig Sophos Support in.

Als de Advanced Shell niet bereikbaar is

Als de Advanced Shell niet bereikbaar is, kan een nieuwe firmwarewissel de NASM-mappen opnieuw aanmaken:

• Als de firewall alweer SFOS 21.5 gebruikt, start deze dan opnieuw in SFOS 22.0 GA.
• Als de firewall SFOS 22.0 GA gebruikt, start deze dan eerst in het aanwezige SFOS 21.5-firmwareslot en daarna opnieuw in SFOS 22.0 GA.

Deze wisselcyclus start het aanmaken van de NASM-mappen opnieuw. Dit veroorzaakt downtime en is niet hetzelfde als een normale herstart. Ga in WebAdmin naar Backup and firmware > Firmware en kies Boot firmware image voor het inactieve slot. De twee firmwarepartities bewaren afzonderlijke configuraties. Tijdens het gebruik van SFOS 21.5 is de eerdere configuratie actief; na terugkeer naar de 22.0-partitie wordt de bijbehorende configuratie weer actief. Wijzig tijdens deze omweg geen productieconfiguratie, want de partities delen deze wijzigingen niet.

Plan vóór de start een onderhoudsvenster, sla een actuele back-up extern op en bevestig dat de inactieve firmware compatibel en beschikbaar is. Consoletoegang is een verstandige voorzorgsmaatregel. Controleer na elke boot in het Control Center welke versie actief is. Voor HA-nodes is geen specifieke volgorde vastgelegd; stem in een HA-cluster beide oplossingen af met Sophos Support. Als deze voorwaarden ontbreken, is een rechtstreekse upgrade naar een gecorrigeerde versie of een met Sophos Support afgestemde procedure veiliger.

Wanneer de cleanup niet de juiste oplossing is

nasm_cleanup wordt niet als algemene reparatieopdracht gebruikt. Een ander diagnosepad is nodig als:

• de firewall al SFOS 22.0 MR1 Build 490 of nieuwer gebruikt
• het probleem al vóór de upgrade bestond
• Test connection met de AD-server mislukt
• slechts enkele gebruikers, groepen of browsers betrokken zijn
• STAS, Microsoft Entra ID SSO, RADIUS of een normale LDAP-aanmelding betrokken is
• DNS, SPN, Domain Join, certificaten of browservertrouwen niet correct functioneren
• het upgradepad of het tijdstip van de uitval niet overeenkomt met de beschreven fout
• een HA-cluster betrokken is; voor HA-nodes is geen specifieke volgorde vastgelegd

In deze gevallen corrigeert een cleanup geen verkeerde configuratie en kan deze de werkelijke oorzaak verhullen. Baken eerst het betrokken authenticatiepad af; bij onduidelijk of afwijkend gedrag is Sophos Support het juiste escalatiepunt.