Sophos Firewall Client Authentication Agent instellen

De Client Authentication Agent, kortweg CAA, past bij afzonderlijke Windows-, macOS- of Linux-endpoints waarop de gebruiker zich bewust bij de firewall aanmeldt. Na een geslaagde login verschijnt de identiteit als Authentication agent onder Current activities > Live users. Gebruikers- of groepsgebaseerde firewall- en webregels kunnen het verkeer daarna aan deze identiteit koppelen.

De agent vervangt niet elke SSO-architectuur. Een terminalserver met meerdere gelijktijdige gebruikers heeft SATC nodig, terwijl STAS in een Windows-domein de aanmelding zonder endpointagent kan overnemen. CAA past vooral bij een beheersbaar aantal afzonderlijke apparaten waarop een handmatige gebruikersaanmelding aanvaardbaar is.

Belangrijk: De agent moet het door Sophos gedocumenteerde authenticatiepad kunnen bereiken. Windows- en macOS-clients communiceren via 1.2.3.4 en TCP 9922; een VPN, andere standaardroute of voorliggende router kan dit pad om de firewall heen leiden. Test vóór een brede uitrol daarom de route, TLS-CA, pilotaanmelding en werkelijke regelmatch op één apparaat.

CAA in tien stappen

1. Controleer of het endpoint werkelijk één actieve gebruiker vertegenwoordigt; gebruik SATC voor RDS, Citrix of andere multi-userhosts.
2. Documenteer authenticatieserver, gebruikersgroep, firewallpolicy en een lokale herstelmethode.
3. Controleer vanaf het pilotapparaat het pad naar 1.2.3.4 via Sophos Firewall en TCP 9922.
4. Download onder Authentication > Client downloads de passende agent en bijbehorende Server CA.
5. Plan voor grootschalige Windows-distributie Download MSI en Download CA for MSI samen; losse installers bevatten agent en CA.
6. Installeer de agent op één pilotapparaat, maar verspreid hem nog niet breed.
7. Controleer onder Authentication > Services > Firewall authentication methods de bedoelde authenticatieserver en de volgorde.
8. Meld een pilotgebruiker aan en bevestig het clienttype Authentication agent onder Current activities > Live users.
9. Voer één toegestane en één geblokkeerde testflow uit en controleer gebruiker, policy en Firewall Rule ID in Log Viewer.
10. Documenteer pas daarna deployment, MFA-gedrag, HA-test, supportproces en rollback.

Wanneer Client Authentication Agent past

CAA stuurt de gebruikersaanmelding vanaf het endpoint naar de firewall. Het is vooral geschikt voor:

• beheerde afzonderlijke endpoints die niet bij een domein horen;
• kleine omgevingen zonder STAS-infrastructuur;
• apparaten waarop een gebruikerswissel bewust een nieuwe agentaanmelding moet veroorzaken;
• policies die een echte gebruikersnaam nodig hebben in plaats van alleen een bron-IP.

De agent is geen algemene oplossing voor meerdere gelijktijdige gebruikers achter hetzelfde host-IP. SATC op Remote Desktop-systemen beschrijft de sessiegebaseerde aanpak voor Citrix, RDS en terminalservers. In een AD-omgeving is STAS op Sophos Firewall het clientloze alternatief.

CAA authenticeert de gebruiker, maar maakt geen netwerktoegang aan. Firewallregels, Web Policies, groepen, quota en Access-Time-Policies blijven afzonderlijke lagen. Een zichtbare Live User bewijst dus nog niet dat het gewenste verkeer de juiste regel treft.

Voorbeeld en vereisten

De pilot gebruikt:

• Firewall-LAN-IP: 10.20.30.1
• Pilotapparaat: 10.20.30.50
• Pilotgebruiker: fw-user-pilot
• Gebruikersgroep: CAA-Pilot
• Agentdoel: 1.2.3.4
• TCP-poort: 9922

10.20.30.1 en 10.20.30.50 zijn private documentatiewaarden en worden vervangen door de echte adressen. 1.2.3.4 en TCP 9922 zijn daarentegen het door Sophos gedocumenteerde agentpad voor Windows en macOS en worden daar niet als normale omgevingswaarden vervangen. Voor Linux gebruikt de actuele User Portal-handleiding een eigen configuratiebestand en vereist deze het werkelijke IP-adres van de firewall.

Vóór de installatie moeten deze punten duidelijk zijn:

• Het pilotapparaat gebruikt Sophos Firewall als gateway of heeft een bewezen pad naar het agentdoel.
• Geen full-tunnel-VPN of vreemde route trekt 1.2.3.4 weg van de bedoelde SFOS-gateway.
• De gebruiker bestaat lokaal of op een server die onder Firewall authentication methods is geselecteerd.
• Groep en policies zijn voorbereid; de pilot krijgt niet uit voorzorg ruimere rechten.
• De Authentication Server CA die bij de installer hoort, komt alleen van de eigen firewall.
• Tijdens de pilot blijft een bestaande alternatieve authenticatieroute beschikbaar.
• Als MFA actief is, is het token geregistreerd en wordt het agentgedrag afzonderlijk getest.

De actuele SFOS 22-help vermeldt Windows 10 en later, Ubuntu 16.4 en later en macOS Catalina 10.15 en later als ondersteunde systemen. Dit is een grens van de actuele productdocumentatie en geen garantie voor elke toekomstige besturingssysteemversie. Test vóór de uitrol de exacte combinatie van SFOS-build, agentpakket en endpointversie met een pilot.

Authenticatie op de firewall voorbereiden

Onder Authentication > Services > Firewall authentication methods wordt minstens één geschikte server of de lokale database geselecteerd. Bij meerdere servers stuurt SFOS de aanvraag in de weergegeven volgorde door. Default Group, geïmporteerde groep en gebruikersstatus moeten daarom vóór de agenttest vaststaan.

Voor lokale pilotaccounts past lokale gebruikers veilig maken en testen. Bij AD, LDAP of RADIUS wordt eerst de betreffende server met de normale servicedialoog getest. Een groene Test connection bewijst echter niet het latere CAA-pad vanaf het endpoint.

Als MFA voor het User portal is ingeschakeld, geldt deze eis volgens Sophos ook voor Client Authentication Agents. Tokenregistratie en invoer worden daarom met dezelfde pilotgebruiker getest. MFA wordt niet pas na de uitrol onverwacht aangezet.

Agent en Server CA downloaden

Beheerders downloaden de pakketten hier:

Authentication > Client downloads

Sophos biedt deze varianten:

• Download MSI: Windows-agent voor geautomatiseerde distributie;
• Download CA for MSI: afzonderlijke Authentication Server CA voor MSI-deployment;
• Download for Windows: losse installer met agent en CA;
• Download for macOS: losse installer met agent en CA;
• Download for Linux 32 of Download for Linux 64: archief met agent, configuratie en CA.

Geautoriseerde gebruikers kunnen de pakketten ook zelf downloaden via Download client > Authentication clients in het User Portal. User Portal-toegang wordt alleen vanuit de bedoelde netwerken toegestaan. Brede WAN-toegang alleen voor de download is niet nodig.

Na een factory reset genereert de firewall de CA opnieuw. Gebruikers moeten de Authentication Server CA dan opnieuw installeren. Een oude agent met oude CA wordt niet gerepareerd door certificaatcontrole uit te schakelen of een vreemde CA toe te voegen; download het actuele pakket opnieuw van de juiste firewall.

Agent op het pilotapparaat installeren

Windows en macOS

Onder Windows wordt client_auth_agent.exe vanuit het User Portal uitgevoerd. Bij beheerd MSI-deployment moeten agent en Download CA for MSI samen worden verspreid. Alleen de agent zonder de bijbehorende CA implementeert het gedocumenteerde TLS-pad niet.

Onder macOS wordt Client+Authentication+Agent.dmg geopend en de agent naar de bedoelde programmamap verplaatst. Ook hier moet de ingebouwde CA afkomstig zijn van de firewall waarop de gebruiker later aanmeldt.

Installeer de pilot eerst interactief. Automatiseer pakketdistributie, autostart en updategedrag pas na een geslaagde end-to-end-test. Gebruik geen oude agent uit de back-up van een andere firewall of appliance opnieuw.

Linux

Voor Linux vermeldt Sophos het volgende extractiepad, waarbij <FILENAME> door het gedownloade archief wordt vervangen:

sudo tar -xzvf <FILENAME> -p -C $HOME
sudo mv ~/bin/caa /usr/local/bin

Controleer daarna de meegeleverde configuratie onder $HOME/.caa/caa.conf. De actuele User Portal-help schrijft voor Linux voor dat de waarde achter Copernicus host door het werkelijke IP-adres van de firewall wordt vervangen en gebruikersnaam en wachtwoord worden ingevuld. Zet een echt wachtwoord nooit in een distributiescript, ticket of openbaar voorbeeld. Sophos vermeldt dat de agent het aanvankelijk als platte tekst opgeslagen wachtwoord bij de eerste start versleutelt.

Controleer vóór de start bestandsrechten, eigenaar en de inhoud van $HOME/.caa/README. Voer daarna caa als pilot uit. Omdat de Linux-instructie een andere doelwaarde gebruikt dan het algemene Windows- en macOS-pad, mogen de platformprocedures niet worden vermengd.

Pilot aanmelden en policies testen

De pilot meldt zich in de agent aan met de bedoelde firewallgebruikersnaam en het wachtwoord. Bij externe authenticatie moet deze exacte schrijfwijze bij de serverconfiguratie passen. Een positieve agentweergave is slechts de eerste test.

Controleer daarna op de firewall:

1. fw-user-pilot verschijnt onder Current activities > Live users.
2. Het clienttype is Authentication agent.
3. Bron-IP en gebruikersgroep komen overeen met het pilotapparaat en de bedoelde mapping.
4. Een toegestane testflow treft de verwachte gebruikers- of groepsgebaseerde regel.
5. Een bewust niet toegestaan doel blijft geblokkeerd.
6. Het firewalllog toont gebruiker, regel, actie en Firewall Rule ID.
7. Na Disconnect onder Live users ontvangt de agent de gedocumenteerde melding en wordt het verkeer opnieuw beoordeeld.

Voor de testregel wordt geen brede Any-policy gemaakt. Bestaande regels worden alleen gecontroleerd met de pilotgebruiker of pilotgroep uitgebreid. De algemene aanpak staat in Sophos Firewall-regels systematisch testen.

Logs en HA controleren

Filter in Log viewer Authentication op gebruiker, bron-IP en testtijd. Het clientveld moet Authentication Agent tonen. Controleer daarnaast het echte firewallverkeer en de bijbehorende Firewall Rule ID.

Voor diepere correlatie zijn access_server.log voor authenticatie en autorisatie en Log Viewer of het ingestelde Syslog-doel relevant. Eén clientstatus zonder bijbehorende firewalllogvermelding is geen volledig succesbewijs.

Neem in HA niet aan dat een bestaande agentaanmelding zonder onderbreking doorgaat. Test na een gecontroleerde failover opnieuw een verse aanmelding, Live User, policy-match en echt verkeer. Logs staan op de node die de gebeurtenis heeft verwerkt; bij een onduidelijk tijdstip worden beide nodes of een geconsolideerde weergave gecontroleerd.

Fouten per symptoom afgrenzen

De agent bereikt de firewall niet

Controleer eerst het routingpad naar het gedocumenteerde agentdoel en TCP 9922. Een gecontroleerde packet capture met host 1.2.3.4 and port 9922 kan tonen of Windows- of macOS-verkeer Sophos Firewall bereikt. Voor Linux wordt in plaats daarvan het in caa.conf ingestelde firewall-IP gecontroleerd.

Als het probleem pas begint nadat een andere VPN-client verbinding maakt, controleer dan of diens full-tunnel-route het agentdoel overneemt. De oplossing is geen blind toegepast host-route-commando: beoordeel split tunnel, routing en beveiligingseffect eerst in het concrete ontwerp. Stop de uitrol als het authenticatiepad onduidelijk blijft.

Er verschijnt een TLS- of CA-fout

Installer en CA moeten van dezelfde actieve firewall komen. Na een factory reset is de oude CA ongeldig en wordt deze vervangen door het actuele pakket. Schakel certificaatcontrole, endpointbeveiliging of TLS niet uit als snelle oplossing.

Het wachtwoord werkt in het portal, maar niet in de agent

Controleer onder Firewall authentication methods servervolgorde, Default Group en gebruikersstatus. Controleer daarna MFA-eis, schrijfwijze van de gebruikersnaam, bron-IP- of MAC-binding en de Authentication-logmelding. Een geslaagde portal-login bewijst niet automatisch dezelfde methode of hetzelfde agentpad.

De gebruiker is live, maar de verkeerde regel geldt

Controleer regelvolgorde, Match known users, geselecteerde gebruiker of groep, service, bestemming en Firewall Rule ID. Bepaal eerst welke regel werkelijk overeenkomt; een brede allow-regel vervangt geen diagnose.

Op een terminalserver verschijnt maar één identiteit

CAA is niet de juiste aanpak voor dit multi-userpad. Meerdere parallelle agentinstanties maken de host niet sessiebewust. Gebruik SATC voor RDS of Citrix en valideer dit afzonderlijk.

Voor diagnose over meerdere methoden heen past Sophos Firewall-authenticatie systematisch controleren.

Rollback en beheer

Bij een mislukte pilot wordt de agent op het pilotapparaat gestopt of verwijderd. Tijdelijke wijzigingen aan gebruiker, groep, portal en regels worden naar de gedocumenteerde vorige toestand teruggezet. Daarna wordt de eerdere authenticatiemethode met een nieuwe aanmelding en echt verkeer opnieuw getest.

Verwijder de Authentication Server CA niet globaal zolang andere CAA-installaties deze gebruiken. Plan vóór factory reset, reimage of vervanging van de appliance dat de nieuw gegenereerde CA op alle betrokken endpoints moet worden bijgewerkt.

Documenteer minstens deze beheergegevens:

• eigenaar van agentpakket en deployment;
• goedgekeurde besturingssysteemversies;
• herkomst en vernieuwing van de Authentication Server CA;
• verwacht pad naar agentdoel en TCP 9922;
• MFA- en wachtwoordproces;
• pilot- en negatieve tests na wijzigingen aan SFOS, endpoint of VPN;
• offboarding en verwijdering van bestaande Live Sessions.

Checklist

• endpoint voor één gebruiker bevestigd in plaats van multi-userhost
• authenticatieserver en volgorde gedocumenteerd
• agentpad via Sophos Firewall bewezen
• agent en Authentication Server CA van dezelfde firewall gedownload
• MSI en afzonderlijke CA samen gepland
• platformgrenzen en Linux-specifiek pad meegenomen
• pilotgebruiker met minimale groep en policy voorbereid
• MFA-gedrag getest
• Live User toont Authentication agent
• toegestaan en geblokkeerd echt verkeer getest
• gebruiker, actie en Firewall Rule ID in het log bevestigd
• VPN- en HA-gedrag met nieuwe aanmelding getest
• gevolg van factory reset voor de CA en rollback gedocumenteerd

Veelgestelde vragen