Sophos Mobile EAS-proxy: installatie pas plannen na compatibiliteitscontrole

Voorcontrole op basis van documentatie, geen toestemming voor installatie. De afzonderlijk geïnstalleerde Sophos Mobile EAS-proxy kan in de proxymodus op de EAS-mailroute staan of in de PowerShell-modus de toegang via Exchange beheren terwijl apparaten rechtstreeks met Exchange communiceren. De modi, hun serverdoelen en hun aanmeldroutes zijn niet onderling uitwisselbaar. Vóór installatie of wijziging van mailtoegang in productie moeten de concrete Sophos-versie, het doel, de gebruikte mailclient en de werkwijze met Sophos en het Exchange-team worden afgestemd. De beslisgids voor EAS-toegang behandelt mailroute en quarantaine; Exchange-migratie en EAS-probleemoplossing zijn afzonderlijke taken.

Voorcontrole zonder ingreep

• Doel en modus vastleggen: De Sophos-architectuur en de PowerShell-beschrijving onderscheiden de proxymodus uitsluitend voor Exchange Server van de PowerShell-modus voor Exchange Server of Exchange Online: in het tweede geval communiceren apparaten rechtstreeks met Exchange; de dienst stuurt de toegang via de beheerverbinding. De algemene lijst met mailservers in de releaseopmerkingen is geen goedkeuring voor Exchange Online in de proxymodus. IBM Traveler staat als mailserver vermeld; bij niet-iOS-clients voor Traveler kan Sophos wegens een ontbrekende apparaat-ID niet bij elk verzoek het toegangsrecht controleren. Leg tenant/cloud, betrokken EAS-apparaten en mailapps vast. Volgens Sophos kan mailverkeer van Macs wegens het ontbreken van ActiveSync noch via de EAS-proxy worden gefilterd, noch in de PowerShell-modus worden gecontroleerd. Een werkende beheerverbinding bewijst op zichzelf noch de mailroute, noch een afgedwongen apparaatblokkade.
• Host en mailserver laten controleren: De releaseopmerkingen van Sophos Mobile, onderdeel Requirements > Sophos Mobile EAS proxy noemen als installatiehosts Windows 10 of nieuwer en Windows Server 2016 of nieuwer; de algemene lijst met mailservers noemt Exchange Server 2016 en 2019, Microsoft 365 (Exchange Online) en IBM Traveler 9.0. Die productlijst bewijst noch de actuele goedkeuring volgens de levenscyclus van Microsoft voor de genoemde Windows- en Exchange-versies, noch de compatibiliteit van een concrete installer-build met de tenant; controleer beide afzonderlijk. Volgens de installatiehulp van Sophos zijn beheerdersrechten op de installatiecomputer, de URL van de Sophos Mobile-server en bereikbare benodigde mailservers vereist. Mailservers die niet bereikbaar zijn, worden door de installer niet als verbinding geconfigureerd. De getoonde URL staat volgens de Sophos-handleiding voor het bepalen van de server-URL in de Sophos Mobile-interface onder Setup > Sophos setup > EAS proxy > External; dit is geen tenant-URL die u kunt raden. Vraag vóór elke wijziging het beheerteam om goedkeuring voor de host, de netwerkpaden en het maildoel.
• Downloadvermelding niet verwarren met goedkeuring: De downloadhulp van Sophos verwijst naar de installer-link onder External. De officiële downloadlocaties en-us en zonder taalcode zijn dynamische lijsten, geen verificatie van een gedownload uitvoerbaar bestand. Bij het raadplegen op 29 september 2026 toonde en-us een vermelding Standalone EAS Proxy Installer 9.8.2; de URL zonder taalcode leidde door naar en-gb met een vermelding van 9.8.1. Bij een eerdere raadpleging leidde dezelfde URL door naar de-de met 9.8.2; tussentijdse time-outs bewijzen niet dat de site blijvend onbereikbaar is. De lijst bevat ook oudere downloads voor installaties op eigen locatie; de beëindigde producttak daarvan zegt niets over de status van het door Central beheerde Sophos Mobile. De doorverwijzing en getoonde versie verschillen per locatie; hieruit volgt noch wat wereldwijd de nieuwste versie is, noch of een build de concrete host of Exchange Online ondersteunt. Het gedownloade bestand, de handtekening/herkomst, versie, ondersteunde hostomgeving en goedkeuring door Sophos zijn hier niet gecontroleerd. Start geen installer op basis van deze pagina.
• Certificaten als afzonderlijke vertrouwensrelaties inventariseren: In de proxymodus moeten het HTTPS-certificaat dat de proxy aan clients toont, de TLS-verbinding naar Exchange en het per instantie aangemaakte certificaat voor de verbinding met Sophos Mobile afzonderlijk worden gecontroleerd. Voor het Exchange-doel moet de geconfigureerde ActiveSync-servernaam overeenkomen met de CN of een SAN van het Exchange-certificaat; controleer ook de keten en het vertrouwen. Upload het instantiecertificaat naar Sophos Mobile. De Sophos-hulp voor configuratie waarschuwt: als de dienst vóór de upload wordt gestart, wijst Sophos Mobile de verbinding af en start de dienst niet. De hierboven gelinkte installatiestappen beschrijven desondanks eerst starten, dan uploaden en opnieuw starten; neem die volgorde niet zonder beoordeling over als veilige werkinstructie. Verduidelijk vóór ingebruikname de koppeling van elk certificaat aan een instantie, de back-up van certificaatbestanden en het goedgekeurde startvenster. Afzonderlijke opmerking uit de SSL Certificate Wizard: De Sophos-pagina over de SSL Certificate Wizard waarschuwt dat bij een zelfondertekend certificaat of een certificaat van een eigen CA het zelfondertekende certificaat of het certificaat van de eigen CA handmatig op apparaten moet worden geïnstalleerd vóór inschrijving (anders vertrouwt de Sophos Mobile Control-app de server niet), en dat Android zero-touch en Knox Mobile Enrollment dan niet beschikbaar zijn. De bron wijst de daar beschreven vertrouwensfout bij inschrijving niet aan een specifiek TLS-eindpunt voor mail toe; koppel deze zonder bewijs niet aan het clientgerichte proxycertificaat, het Exchange-backendcertificaat of het instantiecertificaat. Schakel de certificaatcontrole niet uit als probleemoplossing.
• Neveneffecten van installatie per modus beoordelen: Proxymodus: De wizard controleert de poorten van de proxy-instanties en maakt inkomende Windows-firewallregels aan; een filter op toegestane mail-user-agents kan clients uitsluiten. PowerShell-modus: Apparaten communiceren rechtstreeks met Exchange; volgens Sophos heeft de EAS-proxy daarvoor geen inkomende mailpoort nodig. Geef de uitgaande beheerverbinding met Exchange en de rechtstreekse mailroute voor apparaten afzonderlijk vrij en controleer ze apart; stel poorten en user-agentfilters van proxy-instanties niet voor als de mailroute in PowerShell-modus. Volgens Sophos worden logbestanden dagelijks geroteerd, maar niet automatisch verwijderd. Wijzigingen, logbeveiliging en een opslag- en bewaartermijnplan vereisen een afzonderlijk wijzigingsverzoek; beschouw hier geen standaardinstelling als goedgekeurd.
• Outlook-pilot in proxymodus afzonderlijk afbakenen: Sophos documenteert dat Outlook op Android/iOS ten onrechte kan worden geblokkeerd: bij het eerste contact met de proxy of na een herinstallatie kan de koppeling van gebruikersnaam aan ActiveSync-ID mislukken bij meerdere apparaten of een gewijzigde ID. Leg vóór de pilot betrokken gebruikers en apparaten en de bestaande mailfunctie vast; controleer na het eerste contact de koppeling en de mailstroom per testapparaat. Als een apparaat niet eenduidig wordt herkend of mail wordt geblokkeerd, stop dan de pilot en keer terug naar de goedgekeurde eerdere mailroute; sta niet alle apparaten toe en pas geen onbewezen ID-correctie toe.
• Serviceaccount uitsluitend voor de PowerShell-modus beoordelen: De Sophos-hulp voor het serviceaccount beschrijft een afzonderlijk account dat ActiveSync-apparaatinformatie leest, apparaattoegang toestaat of blokkeert en ActiveSync-regels voor apparaattoegang beheert. Voor deze taken noemt Sophos de Exchange-RBAC-rollen Mail Recipients en Organization Client Access; een Microsoft 365-postvak, een Microsoft 365-licentie of een Azure-/Microsoft Entra-rol zijn daarvoor volgens Sophos niet vereist. Dit zijn gedocumenteerde rolnamen, geen voor deze tenant gecontroleerde goedkeuring voor rechten of aanmelding. Bespreek identiteit, roltoewijzing, wachtwoord- en geheimbeheer, MFA, Conditional Access en intrekking van toegang met het Exchange-team; maak geen account of rollen aan op basis van dit artikel. De controle van de aanmeldvereisten van de tenant staat los van de toekenning van rechten en is geen aanleiding om extra directoryrollen toe te wijzen.

Serviceaccount: gedocumenteerde varianten en wijzigingsgrenzen

Het onderstaande overzicht geeft de hierboven gelinkte Sophos-hulp voor het serviceaccount weer, geen goedgekeurde inrichting. Het aanmaken van accounts, wijzigingen in wachtwoordvereisten, het intrekken van licenties en wijzigingen in rollen en groepen vereisen elk een afzonderlijke goedkeuring met een gedocumenteerde uitgangssituatie en een afgesproken terugvalprocedure. De opdrachten zijn voorbeelden uit de bron; hier is geen enkele opdracht uitgevoerd.

Account voorbereiden: Exchange Online of Exchange Server

Voor beide varianten beschrijft Sophos een gebruikersnaam die het doel van het account duidelijk maakt, bijvoorbeeld smc_powershell, en een uitgeschakelde instelling voor het verplicht wijzigen van het wachtwoord bij de volgende aanmelding. De voorbeeldnaam is niet verplicht. Voor Exchange Online beschrijft Sophos daarnaast het verwijderen van een automatisch toegewezen Microsoft 365-licentie, omdat dit serviceaccount geen licentie of postvak nodig heeft. Dit is geen oproep om bestaande accounts, wachtwoordvereisten of licenties tijdens de voorafgaande controle te wijzigen.

Rollen toewijzen: twee cloudalternatieven, één lokale groepsvariant

Voor Exchange Online documenteert Sophos twee alternatieve manieren van toewijzen:

• Rolgroep in het Exchange admin center: Onder admin.exchange.microsoft.com leidt het pad Roles > Admin roles naar de rolgroep. De beschreven nieuwe groep krijgt een naam die het doel duidelijk maakt, bijvoorbeeld smc_powershell_role, de rollen Mail Recipients en Organization Client Access en het serviceaccount als lid. Ook deze groepsnaam is slechts een voorbeeld.
• Directe toewijzing met Exchange Online PowerShell: Sophos noemt dit alternatief voor geautomatiseerde of gescripte implementaties of wanneer de voorkeur uitgaat naar de opdrachtregel. Een Exchange Online PowerShell-sessie is een vereiste; voor de roltoewijzing heeft de uitvoerende administratieve identiteit afzonderlijk goedgekeurde toewijzingsrechten nodig. Deze identiteit is niet hetzelfde als het serviceaccount waarvan de toegang later wordt gecontroleerd. Sophos toont hiervoor de volgende sessieopbouw en de twee toestandswijzigende toewijzingsopdrachten, geen goedkeuring voor uitvoering:

Connect-ExchangeOnline
New-ManagementRoleAssignment -Role "Mail Recipients" -User "smc_powershell@<tenant>.onmicrosoft.com"
New-ManagementRoleAssignment -Role "Organization Client Access" -User "smc_powershell@<tenant>.onmicrosoft.com"

smc_powershell@<tenant>.onmicrosoft.com is het ongewijzigde voorbeeldadres uit de bron: de accountnaam en <tenant> moeten in een afzonderlijk goedgekeurde wijziging overeenkomen met de daadwerkelijke identiteit van het serviceaccount. Voer de placeholders niet letterlijk uit. Sophos toont vervolgens deze alleen-lezencontrole van de toewijzingen met de kolommen Role en RoleAssigneeName:

Get-ManagementRoleAssignment -RoleAssignee smc_powershell@<tenant>.onmicrosoft.com | Select-Object Role, RoleAssigneeName

Volgens Sophos zijn directe toewijzingen een geldig Exchange Online-RBAC-mechanisme en gedragen ze zich tijdens runtime hetzelfde als toewijzingen via een rolgroep. Daaruit volgt geen goedkeuring voor de aanmelding of de Sophos-service in de specifieke tenant.

Voor de lokale Exchange Server beschrijft Sophos een nieuwe rolgroep met een naam die het doel duidelijk maakt, met Mail Recipients en Organization Client Access, waarvan het eerder aangemaakte account lid is. Het cloudalternatief met opdrachten maakt geen deel uit van deze lokale variant in de bron.

Exchange Online-accounttoegang afzonderlijk controleren

Voor een afzonderlijk geautoriseerde toegangscontrole van het serviceaccount beschrijft Sophos een Exchange Online PowerShell-sessie met Connect-ExchangeOnline en daarna de volgende alleen-lezen-cmdlets. De sessie moet daarbij de toegang van het te controleren serviceaccount toetsen, niet alleen die van een andere administratieve identiteit:

Get-MobileDevice
Get-ActiveSyncDeviceAccessRule

Als een van de cmdlets mislukt, noemt Sophos als volgende controlestap de toewijzing van beide rollen aan het serviceaccount. De query’s zelf verhelpen geen fout; hier zijn geen testresultaten of verwachte lijsten met apparaten of regels beschikbaar. Geslaagde query’s tonen alleen deze toegang tot Exchange-beheer aan, niet de runtimecompatibiliteit of het authenticatiepad van de Sophos-service en evenmin het verzenden, ontvangen of synchroniseren via een mail-app.

Geen productieoplossing door extra rechten: Sophos waarschuwt dat Exchange Administrator weliswaar werkt, maar aanzienlijk meer rechten verleent dan nodig zijn. De bron beperkt de uitzondering tot tijdelijke probleemoplossing en raadt uitdrukkelijk en met klem af om de rol in de productieomgeving te gebruiken; een permanente toewijzing is daarmee eveneens uitgesloten. Dit is een beschrijving van de leverancier, geen aanbevolen oplossing of toestemming om rechten te verhogen. Ook tijdelijke wijzigingen in privileges vereisen een eigen goedkeuring en een plan voor intrekking. De bron biedt hiervoor geen vaste duur of concrete opdrachten voor intrekking of herstel; hier wordt niet gesteld dat er een geteste terugvalprocedure is.

EAS-PowerShell-authenticatie: poging met moderne authenticatie en grens aan terugval op Basic

De Sophos-pagina over moderne authenticatie geldt uitdrukkelijk alleen voor de PowerShell-modus. Ze beschrijft voor Exchange Online, wanneer de module ExchangeOnlineManagement beschikbaar is, een poging met moderne authenticatie en bij mislukking een terugval op Basic; voor een lokale Exchange Server beschrijft ze Basic voor de beheerverbinding, niet voor iedere clientaanmelding. Microsoft verduidelijkt dat Basic Authentication voor Exchange Online EAS en Remote PowerShell is uitgeschakeld en niet opnieuw kan worden ingeschakeld. De door Sophos beschreven terugval is daarom geen bruikbare uitweg voor Exchange Online. De aanwezigheid van de module bewijst op zichzelf noch het daadwerkelijke transport van de geïnstalleerde Sophos-dienst, noch een ondersteunde aanmelding voor cloud, tenant en serviceaccount. Neem uit deze bronteksten geen PowerShell-opdrachten, inschakeling van Basic, omzeiling van TLS-controles of algemene roltoewijzingen over.

Concreet conflict tussen bronnen: De Sophos-configuratie voor PowerShell noemt voor de wereldwijde cloud outlook.office365.com en vermeldt dat de wizard /powershell-liveid toevoegt; de Microsoft-documentatie voor verbindingen beschrijft deze Remote PowerShell-verbinding slechts als een historische, niet-ondersteunde methode en behandelt actuele REST-gebaseerde moduleverbindingen. Uit de Sophos-vermelding van een poging met moderne authenticatie blijkt niet of de concrete proxy-build de oude route daadwerkelijk nog gebruikt of in plaats daarvan ondersteunde REST-cmdlets inzet. Noch de aanwezigheid van de module, noch een afzonderlijk geslaagde Connect-ExchangeOnline-verbinding bevestigt de authenticatieroute van de Sophos-dienst.

HOLD voor Exchange Online: Vóór een goedgekeurde pilot moeten Sophos en het Exchange-team de concrete proxy-build, de compatibiliteit van host, module en runtime, de cloud en het protocol-eindpunt, het OAuth-/REST-gedrag van de dienst, de rechten van het serviceaccount en de tenanteisen voor MFA en Conditional Access bevestigen. Afzonderlijk daarvan moet de daadwerkelijk gebruikte mailapp zich bij het beoogde postvak kunnen aanmelden en kunnen verzenden, ontvangen en synchroniseren; een geslaagd PowerShell-contact of ‘Last active’ bewijst dat niet. Als een van deze punten openblijft, adviseer dan geen installatie, wijziging van DefaultAccessLevel of quarantaine, of brede omschakeling van clients.

Gedocumenteerde volgorde voor nieuwe en bestaande installaties – geen toestemming voor uitvoering

De hierboven gelinkte Sophos-handleiding voor moderne authenticatie onderscheidt voor Exchange Online in de PowerShell-modus twee situaties. Bij een nieuwe installatie beschrijft ze op de beoogde EAS-host een als administrator geopende Windows PowerShell, de installatie van de module ExchangeOnlineManagement en pas daarna de installatie of PowerShell-configuratie van de EAS-proxy. Bij een reeds geïnstalleerde proxy beschrijft ze op de host van die proxy eveneens een als administrator geopende Windows PowerShell: eerst de vergelijking van de geïnstalleerde proxyversie met het aanbod van de leverancier onder Standalone EAS Proxy Installer, daarna de module-installatie en vervolgens het opnieuw openen van de configuratiewizard. Die versievergelijking bewijst noch wat wereldwijd de nieuwste versie is, noch dat een upgrade is goedgekeurd; ondersteuning van de concrete build en compatibiliteit van host, module en runtime moeten nog afzonderlijk worden bevestigd. Deze volgorde geeft weer wat de bron documenteert, geen hier goedgekeurde installatie of update. De bovenstaande HOLD en een afzonderlijk goedgekeurde wijziging met een gedocumenteerde uitgangssituatie en een afgesproken terugvalprocedure blijven vereist.

Voor een bestaande installatie beschrijft Sophos na de modulevoorbereiding het opnieuw openen van de Windows-app Sophos Mobile EAS Proxy - Configuration Wizard. In de wizard volgt de selectie van een instantie met Instance type PowerShell Exchange/Office 365, daarna Save zonder de waarden te wijzigen. De bron beschrijft het herhalen van de selectie en het ongewijzigd opslaan voor elke overige instantie van dit type en vervolgens het afronden van de resterende wizardstappen. Dit is een afzonderlijke configuratiehandeling, niet Add voor een nieuwe verbinding of Save na een certificaatupload in Sophos Mobile. Ook ongewijzigd opslaan is geen alleen-lezen-diagnose en vereist een afzonderlijk goedgekeurde wijziging. Uit deze reeks volgt noch een bepaald intern bijwerkingsmechanisme, noch een vereiste herstart of nieuwe certificaatupload; ze bewijst geen geslaagde aanmelding met moderne authenticatie en geen geteste probleemoplossing.

Acceptatiecriteria en grenzen aan de terugweg

Documenteer vóór elke later afzonderlijk goedgekeurde pilot de uitgangssituatie per modus: bestaande EAS-eindpunten/DNS en mailprofielen van de betrokken apparaten, bestaande Exchange-toegangsregels inclusief individuele beslissingen, proxy-instantie/poort/firewall/user-agentfilter, certificaattoewijzing, serviceaccount/rollen, beleid voor e-mailaccounts en SSP-taken, en de mailstroom met testpostvakken. Een terugweg moet vooraf met de teams voor Exchange en Mobile voor de concrete mailroute worden goedgekeurd en het herstel van de eerdere clientroute, toegangsbeslissingen en toewijzingen omvatten; na een omschakeling van clients volstaat het niet alleen de proxydienst te stoppen. Leg het wijzigingsvenster en de afbreekcriteria ook voor een mislukte certificaatupload of gedeeltelijke omschakeling vast. Observeer in een geautoriseerde, beperkte pilot de dienstverbinding met Sophos Mobile en, daarvan gescheiden, de Exchange-beheeraanmelding en de mailstroom op apparaten; controleer na afbreken of verzenden, ontvangen en synchroniseren in elke betrokken testapp weer werken. Noch het verschijnen van een instantie in Sophos Mobile, noch een geslaagde dienstaanmelding bewijst clienttoegang. Zonder geverifieerde installer, authenticatieroute, vertrouwensrelaties en een geteste terugweg zijn installatie en omschakeling in productie niet goedgekeurd. Deze voorwaarden betreffen de operationele goedkeuring, niet de publicatie van deze voorcontrole op basis van documentatie.