Sophos Firewall Clientless SSL VPN voor RDP en SSH configureren

Met Clientless SSL VPN biedt Sophos Firewall afzonderlijke interne RDP-, SSH-, VNC- of bestandsserververbindingen rechtstreeks in de browser aan. De gebruiker installeert geen VPN-client en krijgt geen algemene toegang tot een intern netwerk. In plaats daarvan meldt de gebruiker zich aan bij het VPN Portal en ziet alleen de bookmarks die door de eigen Clientless-policy worden gepubliceerd.

De vergelijkbare naam leidt gemakkelijk tot de verkeerde configuratie: Clientless Users koppelt intern een vast IP-adres aan een identiteit. Het publiceert geen bookmarks en hoort niet bij deze Remote Access-procedure.

Aanmelding bij het VPN Portal en aanmelding bij het doelsysteem zijn twee afzonderlijke stappen. Clientless SSL VPN ondersteunt geen Credential Passthrough: het wachtwoord voor het VPN Portal wordt niet automatisch doorgegeven als Windows- of SSH-aanmelding. Twee aanmeldingen zijn daarom normaal zolang er geen doeltoegangsgegevens in de bookmark worden opgeslagen.

Het kernproces is kort:

Vast doelsysteem, poort en bevoegde gebruikersgroep bepalen.
Onder Remote access VPN > Clientless SSL VPN policy > Bookmarks een RDP- of SSH-bookmark maken.
Onder Policies de gebruikersgroep aan de bookmark koppelen.
VPN Portal, certificaat, authenticatie, MFA en Device Access beveiligen.
De toegang van buitenaf onder VPN > Clientless access connections testen met een bevoegde en een onbevoegde gebruiker.

Wanneer Clientless SSL VPN geschikt is en wanneer niet

Clientless Access is vooral geschikt voor enkele vaste doelen, incidentele toegang of externe technici wanneer op het gebruikte apparaat geen VPN-client moet worden geïnstalleerd. RDP en SSH hoeven daardoor niet rechtstreeks via DNAT op internet te worden gepubliceerd. In plaats daarvan is het beveiligde VPN Portal publiek bereikbaar.

Het is echter geen beperkte vervanging voor elk Remote Access VPN:

Clientless SSL VPN past bij afzonderlijke statische RDP-, SSH-, VNC- of bestandsserverdoelen die in de browser kunnen worden bediend.
Sophos Connect met IPsec of SSL VPN past beter wanneer een beheerd apparaat meerdere netwerken, native applicaties, DNS of verschillende protocollen nodig heeft. De keuzehulp voor Remote Access plaatst de varianten in de juiste context.
ZTNA is bedoeld voor permanente applicatiegerichte toegang met identiteit, apparaatstatus en centraal beleid. De basis wordt uitgelegd in Wat is Zero Trust Network Access?.
RD Gateway, Jump Host of PAM moet worden overwogen wanneer bevoorrecht beheer, persoonlijke doelaccounts, sessieopname of goedkeuringsworkflows doorslaggevend zijn.

Bij RDP is bovendien belangrijk dat het klembord sinds SFOS 19 niet wordt ondersteund in Clientless-sessies. Als kopiëren en plakken of andere native RDP-functies essentieel zijn voor de workflow, is een clientgebaseerde of gespecialiseerde toegangsmethode een betere keuze.

Clientless SSL VPN ondersteunt geen dynamische doel-IP-adressen. Een hostnaam is toegestaan als doel, maar moet door Sophos Firewall stabiel naar het bedoelde systeem worden omgezet. Een vaak wisselend doel mag niet worden gepland als een Dynamic DNS-scenario dat betrouwbaar wordt bijgewerkt.

De browser is alleen de gebruikersinterface: hij maakt de HTTPS-verbinding met VPN Portal, terwijl Sophos Firewall de tweede verbinding met het doel opzet. De pop-upblokkering moet het nieuwe venster voor de portal-FQDN toestaan. SFOS 22 kan willekeurige interne HTTP- of HTTPS-applicaties niet als Clientless-bookmark publiceren; gebruik daarvoor WAF of ZTNA, afhankelijk van de eisen.

Vereisten en voorbeeldwaarden

Vóór de configuratie moeten doel, identiteit en portaltoegang duidelijk zijn:

Het doelsysteem is vanaf Sophos Firewall bereikbaar via routing en DNS en de benodigde service is actief.
Een gebruiker of een zo beperkt mogelijke groep bestaat op Sophos Firewall of de gekoppelde authenticatieserver.
Het VPN Portal beschikt over een openbaar of intern bereikbaar FQDN en een passend, vertrouwd certificaat.
Onder Authentication > Services is bij VPN portal authentication methods een geschikte methode geselecteerd.
MFA en een onafhankelijke hersteltoegang zijn voorbereid.
Er is bepaald of doeltoegangsgegevens in de bookmark mogen worden opgeslagen.

Het volgende RDP-voorbeeld gebruikt:

VPN Portal: https://vpn.example.com
doelserver: rdp-app01.intern.example
doel-IP: 10.20.30.25
RDP-poort: 3389
bookmark: RDP-Fibu-Test
groep: Clientless-RDP-Fibu
policy: Clientless-RDP-Fibu
RDP-beveiliging voor de eerste test: TLS
Automatic login: uitgeschakeld
Share session: uitgeschakeld

example.com is een gereserveerd voorbeelddomein en 10.20.30.25 is een privévoorbeeldadres. FQDN, IP, groep en namen moeten worden vervangen door waarden uit de eigen omgeving. Poort 3389 is alleen correct wanneer de Windows-server daadwerkelijk de standaard RDP-poort gebruikt.

RDP-bookmark configureren

Bookmark met TLS en persoonlijke doelaanmelding

Onder Remote access VPN > Clientless SSL VPN policy > Bookmarks wordt met Add een nieuwe bookmark gemaakt:

Onder Name RDP-Fibu-Test invoeren.
Als Type RDP selecteren.
Onder URL rdp-app01.intern.example of het vaste IP-adres 10.20.30.25 invoeren.
Servicepoort 3389 gebruiken. Alleen een afwijkende poort invoeren wanneer deze bewust anders op het doelsysteem is geconfigureerd.
Automatic login voor de eerste test uitgeschakeld laten.
Indien nodig het Windows-netwerkdomein invoeren, bijvoorbeeld CORP of corp.example.com.
Onder Protocol security TLS selecteren. De derde optie, RDP, gebruikt de eigen RDP-protocolbeveiliging; Sophos adviseert in plaats daarvan TLS of NLA.
Share session uitgeschakeld laten.
Opslaan met Save.

Zonder Automatic login voert de gebruiker de eigen aanmeldgegevens in het geopende RDP-venster in. Daardoor is aanmelding met een persoonlijk Windows-account mogelijk, mits het beveiligingsmodel van de doelserver deze TLS-modus toestaat.

Het certificaat van het VPN Portal en Protocol security: TLS hebben verschillende taken. Het portalcertificaat beschermt het traject van de browser naar Sophos Firewall. De RDP-instelling beschermt de daaropvolgende verbinding van Sophos Firewall naar het Windows-systeem. Een geldig portalcertificaat vervangt daarom geen geschikte RDP-beveiliging.

Wanneer de Windows-server NLA vereist

Veel Windows-systemen vereisen Network Level Authentication (NLA). In dat geval wordt in de bookmark NLA geselecteerd. SFOS schakelt daardoor Automatic login in en de gebruikersnaam en het wachtwoord van het doelsysteem moeten in de bookmark worden opgeslagen.

Dit is niet alleen een gemaksoptie. Alle bevoegde gebruikers van deze bookmark werken op het doelsysteem met dezelfde opgeslagen Windows-identiteit. Hiervoor mag alleen een speciaal, minimaal bevoegd en roteerbaar account worden gebruikt. Domain Admin-accounts, persoonlijke beheeraccounts en serviceaccounts met brede rechten horen niet thuis in een Clientless-bookmark.

NLA mag niet alleen op de Windows-server worden uitgeschakeld om het TLS-voorbeeldpad te laten werken. Wanneer opgeslagen aanmeldgegevens of een gedeelde doelidentiteit niet aanvaardbaar zijn, past Clientless RDP niet bij deze server. Een regulier VPN, RD Gateway, PAM of een gecontroleerde Jump Host behoudt de persoonlijke traceerbaarheid beter.

Ook Share session blijft uitgeschakeld. De optie is bedoeld voor een bewust geplande samenwerkingssituatie. In een gedeelde sessie beëindigt Stop session de verbinding voor alle deelnemers, terwijl Suspend session alleen de huidige gebruiker pauzeert. Een sessie voor bevoorrecht beheer mag niet worden gedeeld.

VNC-bookmark voor Linux- en UNIX-systemen

Een VNC-bookmark volgt hetzelfde basisprincipe, maar gebruikt Type: VNC. Onder URL wordt het vaste IP-adres van het doelsysteem of een stabiel oplosbare hostnaam ingevoerd. Een andere VNC-poort wordt alleen opgegeven als de service daadwerkelijk op een niet-standaardpoort luistert.

Met Automatic login slaat SFOS het doelwachtwoord op in de VNC-bookmark. Als de optie uit blijft, voert de gebruiker het wachtwoord in bij het openen van de verbinding. In een VNC-bookmark wordt geen gebruikersnaam geconfigureerd. Share session blijft uitgeschakeld voor normale individuele toegang en wordt alleen gebruikt wanneer een gedeelde sessie uitdrukkelijk nodig is.

ℹ️ Ook bij VNC wordt de aanmelding bij VPN Portal niet doorgegeven aan het doelsysteem. Een geslaagde portalaanmelding bewijst daarom niet dat het VNC-wachtwoord klopt of dat de firewall de VNC-service kan bereiken.

Clientless-policy en VPN Portal configureren

Gebruikers en bookmark in een policy koppelen

Een bestaande bookmark alleen maakt het doel nog niet zichtbaar voor een gebruiker. Pas de policy koppelt identiteit en resource:

Remote access VPN > Clientless SSL VPN policy openen.
Onder Policies op Add klikken.
Als Name Clientless-RDP-Fibu invoeren.
Onder Policy members alleen de groep Clientless-RDP-Fibu selecteren.
Onder Published bookmarks RDP-Fibu-Test selecteren.
Opslaan met Apply.

Een Bookmark Group is pas nuttig wanneer dezelfde gebruikers meerdere doelen nodig hebben. Voor één RDP-doel voegt deze alleen een extra beheerlaag toe.

VPN Portal beveiligen

De gebruiker opent Clientless-verbindingen via het VPN Portal. De standaardpoort is 443; poort en certificaat staan onder Administration > Admin and user settings > Admin console and end-user interaction. Voor het voorbeeld moet het certificaat vpn.example.com als SAN bevatten en zonder waarschuwing door de browser worden geaccepteerd. De algemene certificaattoewijzing wordt uitgelegd in Certificaten op Sophos Firewall importeren en toewijzen.

Onder Administration > Device access moet VPN portal worden toegestaan voor de toegang die daadwerkelijk nodig is. Als het portal vanuit alle WAN-bronnen bereikbaar moet zijn, wordt WAN in de matrix ingeschakeld. Bij bekende bronnetwerken is de beperktere variant beter: WAN in de matrix uitgeschakeld laten en onder Local service ACL exception rule een regel maken met Source zone: WAN, het concrete Source Network / Host, het benodigde Sophos Firewall-adres als Destination host, Services: VPN portal en Action: Accept. Een extra Accept-uitzondering beperkt een al algemeen geactiveerde WAN-matrixtoegang niet. WebAdmin, User Portal, SSH of SSL VPN worden hierdoor niet automatisch eveneens vrijgegeven. Firewall Rules beheren deze lokale services niet. De veilige planning wordt beschreven in Device Access en Local Service ACL.

⚠️ Een vanuit WAN bereikbaar VPN Portal is een openbaar aanmeldingsoppervlak. Het mag niet worden gebruikt zonder MFA, een vertrouwd certificaat, een strikt beperkt policylidmaatschap en bewaking van aanmeldingen. Als VPN Portal en SSL VPN dezelfde poort gebruiken, werken de Login security settings niet. Gebruiken ze ook hetzelfde protocol, dan maakt het toestaan van SSL VPN vanuit een zone ook VPN Portal bereikbaar, zelfs als dit onder Device access voor die zone is uitgeschakeld. Gebruik voor elke lokale service een unieke combinatie van poort en protocol en controleer de bereikbaarheid opnieuw na elke poortwijziging.

Voor lokale Sophos OTP wordt onder Authentication > Multi-factor authentication eerst Specific users and groups gebruikt. Voor zelfregistratie via een authenticator-app wordt Generate OTP token with next sign-in ingeschakeld, onder Require MFA for wordt VPN portal geselecteerd en met Apply opgeslagen. Deze directe QR-procedure in VPN Portal geldt voor SFOS 22. Kies in SFOS 23, met Generate OTP token with next sign-in ingeschakeld, vóór Apply ook Share QR code: Email verstuurt de QR-code per e-mail bij de volgende aanmelding op VPN of User Portal; Portals toont deze in User Portal en VPN Portal na de volgende aanmelding op VPN Portal, User Portal of WebAdmin. Selecteer voor het scanvoorbeeld in het portal expliciet Portals. SFOS 22 ondersteunt SHA1, SHA256 en SHA512; Sophos adviseert SHA256 of SHA512. De app moet het gekozen algoritme wel ondersteunen: Intercept X for Mobile en Google Authenticator zijn geschikt; Microsoft Authenticator kan een SHA256- of SHA512-code scannen, maar de daaropvolgende aanmelding mislukt. Verwijder bij een algoritmewijziging de bestaande tokens onder Issued tokens en laat gebruikers daarna opnieuw scannen. Controleer vóór verwijdering dat Generate OTP token with next sign-in voor deze procedure is ingeschakeld. De nieuwe QR-code volgt hetzelfde versieonderscheid: SFOS 22 toont de code in het portal; SFOS 23 gebruikt Email of Portals onder Share QR code, waarbij Portals voor dit voorbeeld geselecteerd blijft. De pilot en herstelprocedure worden beschreven in MFA voor Sophos Firewall activeren. Het VPN Portal ondersteunt geen challengegebaseerde RADIUS-MFA; een bestaande RADIUS-methode moet daarom specifiek voor deze portalaanmelding worden getest. Als het portal in plaats daarvan Microsoft Entra ID SSO en Conditional Access moet gebruiken, beschrijft Entra ID SSO voor Sophos Connect en VPN Portal de volledige identiteitsketen.

Onder Authentication > Services kunnen per authenticatiemethode maximaal 20 servers worden geselecteerd. De algemene instellingen Maximum session timeout en Simultaneous logins gelden niet alleen voor VPN Portal. SFOS controleert de autorisatie elke drie minuten en de limiet voor gelijktijdige aanmeldingen geldt alleen voor gebruikers die na het instellen van de waarde zijn toegevoegd. Beschouw deze limieten daarom niet als onmiddellijk werkende, portalspecifieke toegangscontroles.

Toegang van buitenaf testen

De test moet vanuit een werkelijk extern netwerk worden uitgevoerd, bijvoorbeeld via een mobiele hotspot. Een test vanuit het LAN bewijst niet dat DNS, certificaat, Device Access en een voorgeschakelde router vanaf internet correct samenwerken.

https://vpn.example.com openen in een privébrowservenster.
Certificaatnaam, certificaatketen en browserstatus controleren.
Aanmelden met een lid van Clientless-RDP-Fibu en MFA voltooien.
Onder VPN > Clientless access connections controleren of RDP-Fibu-Test verschijnt.
Op Connect klikken. De sessie moet in een nieuw browservenster worden geopend.
Bij uitgeschakelde Automatic login de persoonlijke Windows-aanmeldgegevens invoeren en de RDP-aanmelding controleren.
De sessie op het Windows-systeem correct afmelden en daarna het VPN Portal verlaten.
Testen met een gebruiker buiten de groep. De bookmark mag daar niet verschijnen.
De testgebruiker tijdelijk uit de policygroep verwijderen en controleren of de toegang na opnieuw aanmelden verdwijnt.

Succes betekent niet alleen dat er een desktop zichtbaar wordt. De positieve gebruiker ziet precies de bedoelde bookmarks, de negatieve gebruiker geen enkele, MFA wordt toegepast, het certificaat is vertrouwd, de doelaanmelding werkt en de sessie wordt aantoonbaar beëindigd op zowel het portal als het doelsysteem.

Sessie- en toetsenbordopties in de browser gebruiken

Beweeg in RDP-, VNC-, SSH- en Telnet-sessies de aanwijzer naar de bovenkant van het externe scherm om de sessieopties zichtbaar te maken. Onder Connection staan Stop session en Suspend session. Na Suspend session hervat dezelfde gebruiker de sessie bij de volgende klik op Connect in het VPN Portal. Andere deelnemers aan een gedeelde sessie kunnen blijven werken; Stop session beëindigt de sessie daarentegen voor iedereen.

Bij RDP- en VNC-verbindingen kunnen gebruikers onder Keyboard sneltoetsen kiezen en de toetsenbordtaal wijzigen. Voor een vermelde taal anders dan Engels vereist de gedocumenteerde procedure dat de taal van de doelserver op US English is ingesteld. Deze voorwaarde geldt voor de taalkeuze onder Keyboard, niet voor het klembord.

Opties voor SSH, VNC en bestandsservers

SSH-bookmark met gecontroleerde Host Key

Voor SSH wordt onder Bookmarks > Add SSH geselecteerd als Type. Een voorbeeld gebruikt srv-linux01.intern.example, poort 22 en gebruiker clientless-test.

De Public host key moet bij de verwachte server horen. Bij een Linux-doel kan de openbare Host Key rechtstreeks op de vertrouwde serverconsole worden weergegeven en kan de fingerprint worden gedocumenteerd:

sudo cat /etc/ssh/ssh_host_ed25519_key.pub
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

Deze opdrachten worden uitgevoerd op de Linux-doelserver, niet op Sophos Firewall. Als de server een ander type Host Key gebruikt, moet de bestandsnaam dienovereenkomstig worden aangepast. Een sleutel uit een ongecontroleerde browserwaarschuwing of een willekeurige netwerkscan wordt niet blind overgenomen.

De eerste opdracht toont de openbare ED25519-Host Key als identificatievoorbeeld op de vertrouwde console van het doelsysteem. Dit bevestigt niet dat de geïnstalleerde clientless-SSH-build ED25519 of de getoonde OpenSSH-weergave onder Public host key accepteert. Bevestig vóór het invoegen zowel het geaccepteerde algoritme als de geserialiseerde weergave van de openbare sleutel via de officiële clientless-SSH-documentatie voor die build of met Sophos Support. Linux-SSH-ondersteuning, WebAdmin-SSH-instellingen, SFTP en identieke bronteksten bewijzen deze veldcompatibiliteit niet. De tweede opdracht toont alleen de fingerprint voor de gedocumenteerde vergelijking; de fingerprint wordt niet in plaats van de sleutel naar het veld gekopieerd.

Vervolgens wordt de SSH-bookmark volledig gemaakt:

Onder Name bijvoorbeeld SSH-Linux-Test invoeren.
Als Type SSH selecteren.
Onder URL srv-linux01.intern.example en als poort 22 invoeren.
Onder Username clientless-test of de bedoelde doelgebruiker instellen.
Automatic login uitgeschakeld laten als de gebruiker zelf het doelwachtwoord moet invoeren.
De rechtstreeks op het doelsysteem gecontroleerde openbare Host Key pas onder Public host key invoegen nadat algoritme en weergave voor de geïnstalleerde clientless-SSH-build zijn bevestigd.
Share session uitgeschakeld laten en opslaan met Save.
De bookmark in de Clientless-policy onder Published bookmarks toevoegen en opslaan met Apply.
In het VPN Portal onder VPN > Clientless access connections op Connect klikken, het doelwachtwoord invoeren en controleren of de verwachte terminalprompt verschijnt. Daarna de SSH-sessie correct beëindigen.

Zonder Automatic login voert de gebruiker bij het opbouwen van de verbinding het doelwachtwoord in; de gebruikersnaam blijft onderdeel van de bookmark. Voor verschillende persoonlijke SSH-gebruikersnamen zijn daarom afzonderlijke bookmarks of een andere toegangsmethode nodig. Met Automatic login kan SFOS een wachtwoord of Private Key gebruiken. Bevoorrechte of breed gebruikte Private Keys mogen niet in een gezamenlijk gepubliceerde bookmark worden opgeslagen.

Bestandsservers met FTP, FTPS, SFTP of SMB

Bookmarks voor bestandsservers worden eveneens gemaakt onder Remote access VPN > Clientless SSL VPN policy > Bookmarks > Add. Voor Type zijn FTP, FTPS, SFTP en SMB beschikbaar. URL bevat een vast IP-adres of een stabiele hostnaam; Clientless SSL VPN ondersteunt geen dynamische doeladressen. Onder Init remote folder kan optioneel de map worden opgegeven waarin de gebruiker na het verbinden begint.

De methoden verschillen vooral in transport en doelauthenticatie:

FTP, FTPS en SMB kunnen met of zonder Automatic login worden gebruikt. Zonder opgeslagen aanmeldgegevens meldt de gebruiker zich na het openen van de bookmark aan bij het doelsysteem. FTP verstuurt gegevens onversleuteld en mag niet voor nieuwe externe workflows worden gebruikt.
Voor SMB kan ook optioneel het Windows-netwerkdomein worden ingevoerd waartoe het doelaccount en het doelsysteem behoren, bijvoorbeeld CORP, corp.example of corp.example.com. Vervang deze voorbeelden door het werkelijke domein van de eigen omgeving.
FTPS beschermt de FTP-verbinding met TLS. Onder Public host key wordt ook het verwachte servercertificaat in .pem-formaat opgeslagen. Certificaat en naam worden rechtstreeks op het beheerde doelsysteem gecontroleerd en niet uit een niet-geverifieerde verbinding overgenomen.
SFTP gebruikt SSH. De bookmark bevat de doelgebruiker en onder Authentication method Password of Private key met het bijbehorende doelgegeven. Public host key dient om de serveridentiteit te controleren. De private gebruikerssleutel en de openbare server-Host-Key hebben verschillende functies en mogen niet worden verward.

⚠️ Het invoerformaat voor Public host key bij SFTP is nog niet duidelijk: de bestandsserverinstructies voor SFOS 22 en 23 noemen een servercertificaat in .pem-formaat, terwijl de afzonderlijke SSH-instructies een openbare serversleutel vereisen. Dit bevestigt geen X.509-vereiste en ook geen acceptatie van OpenSSH- of ED25519-waarden in het SFTP-veld. De SSH-opdrachten hierboven zijn daarom geen SFTP-formaatinstructie. Stem vóór productiegebruik met Sophos Support af welke SFTP-weergave de geïnstalleerde build accepteert en controleer de serveridentiteit rechtstreeks op het vertrouwde doelsysteem; converteer formaten niet op goed geluk en omzeil de identiteitscontrole niet.

Ook bij bestandsserver-bookmarks wordt alleen een andere servicepoort ingesteld als de bijbehorende service op de doelserver daadwerkelijk een niet-standaardpoort gebruikt.

Met Automatic login worden voor FTP, FTPS en SMB de gebruikersnaam en het wachtwoord van het doelsysteem in de bookmark opgeslagen. Alle bevoegde gebruikers gebruiken dan deze opgeslagen doelidentiteit; daarvoor gelden dezelfde eisen voor minimale rechten en rotatie als in het NLA-voorbeeld. Dit is geen Credential Passthrough vanuit het VPN Portal.

In deze SFTP-procedure authenticeert SFOS automatisch met de doelgegevens die in de bookmark zijn opgeslagen. De gebruiker wordt niet om het doelwachtwoord gevraagd; de optionele interactieve aanmelding van SSH, FTP, FTPS en SMB geldt niet voor SFTP.

In de browser kunnen gebruikers met FTP, FTPS en SFTP bestanden overdragen, mappen aanmaken en door directories navigeren. SFOS start downloads zonder extra bevestiging en slaat ze op in de standaarddownloadmap van het eindapparaat. Daarom moeten rechten, beginmap en een test met niet-gevoelige bestanden vóór productiegebruik worden gecontroleerd. Een bestandsserver-bookmark maakt geen normaal Windows-netwerkstation en vervangt geen persoonlijke rechtencontrole op de doelserver.

De knoppen rechtsboven in FTP-, FTPS- en SFTP-sessies zijn bedoeld om de sessie te stoppen, een bestand te uploaden, een map te maken en naar de bovenliggende map te gaan.

Telnet blijft beschikbaar als terminaltype, maar versleutelt het transport niet. Gebruik het niet voor nieuwe toegang. HTTP- en HTTPS-bookmarks behoren niet tot de momenteel gedocumenteerde Clientless-typen voor SFOS 22. Voor interne webapplicaties zijn, afhankelijk van de beveiligingsbehoefte, Web Application Firewall of ZTNA een geschiktere architectuur.

Als een verouderd apparaat tijdelijk Telnet vereist, selecteer dan Type: Telnet onder Bookmarks > Add, voer de vaste host in onder URL en stel alleen een poort in als die afwijkt van de standaard. Share session is optioneel. Beperk deze onversleutelde toegang tot een kleine groep en een geïsoleerd beheerdoel en vervang Telnet daarna door SSH.

Wanneer dezelfde doelen aan meerdere policies moeten worden toegewezen, wordt onder Bookmark groups > Add een groep gemaakt: voer onder Name een groepsnaam in, selecteer de bestaande bookmarks met Add new item en sla op met Save. De policy publiceert daarna de groep in plaats van elk doel afzonderlijk. Een Bookmark Group verruimt geen rechten op het doelsysteem; hij vereenvoudigt alleen de toewijzing in SFOS.

Bij het aanmaken of wijzigen van een groep via de XML API heet de entiteit SSLBookmarkGroup. De API-documentatie voor SFOS 23.0 staat UTF-8-tekens toe in de bijbehorende Name, verbiedt komma’s en behoudt het maximum van 50 tekens. De documentatie voor SFOS 22.0 noemt dit maximum al, maar niet de twee aanvullende tekenregels; daaruit blijkt niet hoe oudere builds deze afdwingen. Een geschikte voorbeeldnaam is Clientless-München, zoals in <Name>Clientless-München</Name>; pas de naam aan de eigen omgeving aan. Controleer na de API-aanroep de statuscode en melding in het XML-antwoord en lees de opgeslagen groep terug: de naam en opgenomen bookmarks moeten overeenkomen met de bedoelde toewijzing. Deze opmerking betreft de groepsnaam in de API en is geen algemene regel voor afzonderlijke bookmarknamen; volg in de hierboven beschreven interface de veldvereisten van de geïnstalleerde build.

Afzonderlijke bookmarks via de XML API: Het Add/Edit-voorbeeld voor SSLBookmark in SFOS 22.0 en 23.0 is een referentie met typeafhankelijke vertakkingen, geen payload die als geheel voor alle protocollen kan worden uitgevoerd. De daarin opgenomen waarden HTTP en HTTPS bewijzen noch actuele ondersteuning in de UI, noch ondersteuning in de geïnstalleerde build. In het voorbeeld vereist NLA dat AutoLogin is ingeschakeld; voor SSH/SFTP beschrijft het commentaar bij ingeschakelde AutoLogin een wachtwoord of Private Key als alternatieven. Dit heft de hierboven beschreven beperkingen voor SSH-Host Keys en SFTP-formaten niet op en impliceert evenmin een interactieve SFTP-aanmelding.

De parametertabel markeert Private Key, Public Host Key en UserName echter als verplichte velden zonder onderscheid naar type. De tabel beperkt URL tot tekens die bij een hostaanduiding passen, terwijl de tweede rij Domains voor een lijst met doorverwezen domeinen/URL’s vereist dat de waarden beginnen met HTTP:// of HTTPS://. Deze lijst staat in het voorbeeld onder het letterlijke token RefferredDomains; het is niet het Windows-domein Domain voor RDP/SMB, ook al bevat de tabel eveneens een RDP-rij met de naam Domains. Hernoem tokens niet op goed geluk en combineer de tegenstrijdige tabelregels niet tot een universele payload. Bevestig vóór een geautomatiseerde wijziging welke velden, voorwaarden en weergaven voor het type en de geïnstalleerde build worden geaccepteerd, aan de hand van de bijbehorende officiële documentatie of met Sophos Support; voer de onbevestigde wijziging tot die tijd niet uit. Leg vooraf de daadwerkelijke bookmark en de bijbehorende toewijzingen vast als uitgangstoestand, controleer daarna de XML-status en melding en lees de opgeslagen bookmark, het groepslidmaatschap en de publicatie terug. Draai bij afwijkingen alleen de eigen wijziging terug naar deze exacte uitgangstoestand en herhaal de toegangstests; neem wachtwoorden en Private Keys niet op in audituitvoer of onbeveiligde payloadbestanden.

Typische problemen onderzoeken

VPN Portal is niet bereikbaar: Openbaar DNS-record, poort, voorgeschakelde NAT, Administration > Device access en een mogelijk Port Sharing-effect controleren.
Aanmelding bij het portal mislukt: Onder Authentication > Services de VPN Portal-authenticatie, gebruikersstatus, MFA en access_server.log controleren.
Clientless access connections ontbreekt: De gebruiker is niet aan een Clientless-policy toegewezen of de policy publiceert geen bookmark.
Bookmark is zichtbaar voor de verkeerde gebruiker: Policy members, groepslidmaatschappen en Published bookmarks controleren. Bij meerdere overeenkomende groepen kan Clientless SSL VPN de rechten van de bijbehorende policies combineren. Welke bookmarks een echte gebruiker daardoor ziet, hoort bij de positieve en negatieve test.
Bookmark wordt geopend, maar het doel blijft onbereikbaar: DNS-resolutie vanuit Sophos Firewall, statisch doeladres, routing, doelpoort, servicestatus en hostfirewall controleren.
Aanmelding bij het VPN Portal werkt, maar Windows-aanmelding niet: Portal- en doelaanmelding zijn gescheiden. Domein, doelaccount, wachtwoord en TLS of NLA controleren.
NLA activeert Automatic login: Dit is het gedocumenteerde gedrag. NLA niet ongepland uitschakelen, maar het account- en toegangsmodel opnieuw beoordelen.
SSH meldt een andere Host Key: De verbinding stoppen en de wijziging rechtstreeks op het doelsysteem of bij de verantwoordelijke beheerder controleren. Een onverwachte sleutel kan wijzen op een nieuwe installatie, een verkeerd doel of een aanval.

Onder Diagnostics > Tools > Troubleshooting logs helpen verschillende bestanden in verschillende fasen:

vpnportal.log voor het VPN Portal;
access_server.log voor authenticatie en autorisatie;
clientless_access.log voor Clientless-verbindingen en de verbinding met het doel;
oauth_sso_vpn.log in SFOS 22 voor VPN Portal-aanmeldingen met SSO; in SFOS 23, oauth_sso_svc.log voor VPN Portal-OIDC/Entra-SSO. Controleer voor deze VPN Portal-aanmeldingen ook de module Authentication in Log viewer.

Testtijdstip, gebruiker, bookmark en doel moeten samen worden gedocumenteerd. Zo kunnen portal-, identiteits- en doelproblemen in de logs uit elkaar worden gehouden. De algemene logtoewijzing en toegang via Advanced Shell worden beschreven in Sophos Firewall-servicelogs.

Beheer en bekende RDP-beperkingen

Leg vóór een productiewijziging de policytoewijzing, Device Access-matrix, ACL-uitzonderingen, portalpoort en certificaatkeuze vast. Als de positieve test mislukt of de negatieve gebruiker een bookmark ziet, verwijder dan de nieuwe toewijzing of publicatie, herstel deze waarden naar de eerdere toestand, meld opnieuw aan en herhaal de negatieve test. Herstel doelaccounts of Host Keys alleen als ze werkelijk zijn gewijzigd.

Clientless-policies moeten net als andere Remote Access-toegangen regelmatig worden gecontroleerd. Gebruikers, bookmarks en doelaccounts die niet meer nodig zijn, worden verwijderd. Opgeslagen wachtwoorden of Private Keys krijgen een Owner, een vervaldatum en een rotatieproces. Automatic login en Share session horen bij elke rechtencontrole.

Publicatie intrekken is niet hetzelfde als verwijderen: Bepaal vóór het verwijderen of het om een afzonderlijke bookmark of een Bookmark Group gaat en leg de exacte naam, het huidige groepslidmaatschap en de publicatie in alle betrokken policies vast. Trek eerst alleen de niet langer gewenste publicatie of toewijzing in; daarmee wordt het object niet verwijderd. Verwijder het exacte object pas wanneer het daadwerkelijk ongebruikt is en de afhankelijkheden ervan duidelijk zijn. Stop bij bestaande relaties en verwijder geen productiegroepen of -policies via cascadeverwijdering alleen om de verwijdering af te dwingen.

De Delete-referenties voor SFOS 22.0 en 23.0 vereisen elk Name met maximaal 50 tekens en vermelden de XML-statuswaarden 200, 500 en 504. Bij 504 verwijzen ze voor bookmarks naar BookMarkDeleteRelationExists en voor groepen naar BookMarkGroupDeleteRelationExists: dit zijn niet naar meldingstekst omgezette meldingsidentificatoren uit de documentatie, geen bevestigde meldingsteksten tijdens runtime en geen HTTP-status. De referenties bieden noch een Delete-voorbeeldpayload, noch een toezegging over cascadeverwijderingen; leid hieruit geen verwijderingssyntaxis af. Lees na de wijziging de resterende bookmarks, groepen en beoogde publicaties daadwerkelijk terug en herhaal de positieve en negatieve tests. Herstel bij onverwachte toegang de eigen toewijzingswijzigingen naar de vastgelegde uitgangstoestand; vermijd daarom onnodige objectverwijderingen wanneer alleen een publicatie wordt ingetrokken.

Open Current activities > Remote users in de beheerconsole voor een liveoverzicht van aangemelde externe gebruikers. Verbindingen kunnen worden gefilterd op verbindingsdatum, gebruikersnaam, bron-IP-adres en toegewezen IP-adres (leased IP). Met Disconnect kan de beheerder de geselecteerde externe gebruiker loskoppelen. Controleer eerst de gebruiker en verbinding, want deze actie onderbreekt de toegang. Ze vervangt niet het verwijderen van de gebruiker uit de Clientless-policy of het correct afmelden op het doelsysteem en garandeert niet dat alle achterliggende doelsessies zijn beëindigd.

De documentatie van de kolom Mode onderscheidt de volgende gevallen:

SSL VPN (remote access): de gebruiker is verbonden via SSL VPN voor externe toegang.
User portal (clientless access): volgens deze indeling is de gebruiker aangemeld bij het User Portal en lid van een Clientless SSL VPN-policy.
User portal: volgens deze indeling is de gebruiker aangemeld bij het User Portal, maar geen lid van een Clientless SSL VPN-policy.

Deze labels komen uit de Remote users-instructies voor SFOS 22 en 23. De Clientless-instructies noemen daarentegen het VPN portal als toegangsweg. De terminologie is dus niet consistent; de lijst bevestigt noch de actuele Mode-labels van de geïnstalleerde build, noch een wijziging van SFOS 22 naar 23. Voor de configuratie blijft de hierboven beschreven VPN Portal-procedure gelden. Controleer portalaanmelding, policylidmaatschap en werkelijk zichtbare bookmarks afzonderlijk, in plaats van uit alleen een Mode-label een bevoegdheid af te leiden.

Gebruik vóór een firmwarewijziging het Avanet-runbook voor firmwarebeslissingen om wijzigingen voor de geïnstalleerde build en de doelrelease te bepalen. Neem Clientless Access, VPN portal, RDP en de gebruikte authenticatiemethode mee in de controle. Herhaal na de upgrade de volledige positieve en negatieve test.

Bij RDP zijn er twee actuele beperkingen die niet als configuratiefout moeten worden behandeld:

Het klembord wordt sinds SFOS 19 niet ondersteund in Clientless-RDP-bookmarks. Kopiëren en plakken tussen het lokale apparaat en de RDP-sessie is daarom geen betrouwbare werkwijze.
De muisaanwijzer kan in de HTML5-RDP-sessie als kruis of X verschijnen in plaats van als normale pijl. Sophos vermeldt hiervoor momenteel geen workaround.

Als het klembord, native RDP-functies, bredere netwerktoegang of persoonlijke doelaccounts op een server die NLA vereist zonder opgeslagen aanmeldgegevens essentieel zijn, is Clientless SSL VPN niet de juiste verkorte route. De toegang moet dan bewust worden omgezet naar Sophos Connect, RD Gateway, PAM, een Jump Host of ZTNA.