Microsoft Entra ID SSO instellen voor Sophos Connect en VPN Portal

Met Microsoft Entra ID SSO kan de Sophos Firewall gebruikers voor het VPN Portal en voor Remote Access via Sophos Connect authenticeren tegen Microsoft Entra ID. Voor veel Microsoft 365-omgevingen is dit zinvoller dan aparte lokale firewall-wachtwoorden, omdat identiteit, Conditional Access en MFA centraal worden beheerd in de Identity Provider.

Het voordeel is echter alleen reëel als de hele keten goed is gepland: Entra-app, Redirect URI’s, VPN Portal, Sophos Connect, authenticatiemethoden, groepen, Device Access en clientprofielen moeten op elkaar aansluiten. Dit artikel beschrijft de praktische procedure voor VPN Portal, SSL VPN en IPsec Remote Access met Sophos Connect.

Voor de algemene Sophos-Connect-configuratie past eerst Sophos Connect op Sophos Firewall configureren. Dit artikel vult de identity- en SSO-specifieke stappen aan.

Versiekeuze: De bestaande klikpaden, veldnamen en dienstspecifieke logbestanden in dit artikel hebben betrekking op SFOS 22. Voor SFOS 23.0 gebruikt u de hieronder beschreven OpenID-Connect-procedure en de daar genoemde logs. App-machtigingen, VPN-policies, provisioning, MFA, pilot- en rollbacktests blijven onderdeel van dezelfde procedure; alleen het aanpassen van het serverconfiguratiescherm geeft nog geen VPN-toegang. Uit de beschikbaarheid van de SFOS-23-help wordt geen GA-datum afgeleid.

Wat Entra ID SSO op de firewall doet

Sophos Firewall integreert Microsoft Entra ID SSO via OAuth 2.0 en OpenID Connect. De firewall gebruikt Entra ID als authenticatieserver en kan gebruikers voor meerdere diensten aanmelden.

Voor Remote Access zijn vooral deze diensten relevant:

• VPN Portal
• SSL VPN via Sophos Connect
• IPsec Remote Access via Sophos Connect

Voor Captive Portal geldt een andere procedure: daar meldt een gebruiker zich al aan in het lokale netwerk via een browser, zodat gebruikersgebaseerde regels van toepassing zijn. Dit geval wordt apart beschreven in Microsoft Entra ID SSO voor Sophos Firewall Captive Portal instellen.

Directe Microsoft Entra ID SSO dekt niet elke klassieke firewallaanmelding. Voor User Portal en Client Authentication Agent verwijst Sophos naar Microsoft Entra ID Domain Services. Dit is een afzonderlijke AD- of LDAP-compatibele directoryarchitectuur en geen extra schakelaar op het OAuth/OIDC-serverobject. Wie User Portal of CAA nodig heeft, mag er daarom niet van uitgaan dat de hier geconfigureerde SSO-applicatie deze diensten automatisch authenticeert.

Belangrijk is de afbakening: de firewall blijft verantwoordelijk voor VPN, policies, gebruikersgroepsmatching en toegang via firewallregels. Entra ID neemt de identiteitsverificatie, SSO en Entra-gebaseerde MFA over.

Eén Entra ID-server, meerdere diensten

De Microsoft Entra ID-server wordt één keer op Sophos Firewall aangemaakt onder Authentication > Servers. Daarna kan hetzelfde serverobject onder Authentication > Services voor verschillende diensten worden geselecteerd, bijvoorbeeld VPN Portal, SSL VPN, IPsec Remote Access, Captive Portal of administrator-login.

Dat betekent niet dat elke dienst automatisch op dezelfde manier werkt. Elke dienst heeft de passende Redirect URI, de juiste authenticatiemethode en een eigen testpad nodig. Voor VPN Portal, SSL VPN en IPsec Remote Access is vooral VPN portal and remote access URL relevant. Als Captive Portal of WebAdmin ook Entra ID SSO gebruiken, moeten hun service-URL’s eveneens in de Entra-app worden toegevoegd en apart worden getest.

Voor de beheerdienst horen daar bovendien Entra-rollen of -groepen, lokale rechtenprofielen en een geteste noodtoegang bij. De afzonderlijke procedure staat in Microsoft Entra ID SSO voor Sophos Firewall WebAdmin configureren.

Per authenticatiemethode kan slechts één Microsoft Entra ID-server worden gebruikt. Bij Sophos Connect Provisioning moeten VPN Portal, SSL VPN en IPsec daarom bewust dezelfde Entra ID-server gebruiken, zodat gatewaywaarde, Redirect URI en clientprofiel bij elkaar passen.

Wanneer Entra ID SSO zinvol is

Entra ID SSO is geschikt wanneer gebruikers toch al met Microsoft 365 werken en de organisatie Conditional Access of Entra-MFA als centrale beveiligingscontrole gebruikt.

Typische redenen:

• Gebruikers hoeven geen aparte firewall-wachtwoorden te beheren.
• MFA moet via Entra ID in plaats van via Sophos OTP verlopen.
• Remote Access moet sterker aan gebruikersstatus, groepen en Conditional Access worden gekoppeld.
• Helpdesk en beveiligingsteam moeten identiteitsprocessen centraal in Entra ID beheren.
• Lokale firewall-gebruikers moeten worden verminderd.

Niet elke omgeving moet onmiddellijk overstappen. Bij kleine installaties zonder goed Entra-groepenmodel kan Sophos-eigen MFA eenvoudiger zijn. Voor de klassieke OTP-variant past MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren.

Vereisten en beperkingen

Voor de installatie moeten deze punten zijn vervuld:

• Sophos Firewall met ondersteunde SFOS-versie.
• Microsoft Entra Tenant met toestemming om een App Registration te maken.
• Openbare FQDN voor het VPN Portal of de Remote-Access-toegang.
• Geldig certificaat voor de openbare naam.
• VPN Portal is bereikbaar via de benodigde zone.
• Sophos Connect 2.4 of nieuwer op Windows, als SSO in de client moet worden gebruikt.
• Gebruikers of groepen zijn correct aanwezig in Entra ID.
• Firewall en Entra ID hebben de juiste tijd.
• Microsoft-login-URL’s zijn bereikbaar vanaf de clients en, afhankelijk van het verkeerspad, vanaf de firewall.

Belangrijke beperkingen:

• Voor Sophos Connect SSO noemt Sophos Windows-eindpunten met Sophos Connect 2.4 of nieuwer.
• Als Microsoft Entra ID SSO wordt gebruikt, wordt MFA in de Identity Provider gebruikt. De Sophos-firewall-eigen MFA kan voor deze authenticatiemethode niet extra worden gebruikt.
• Onder SFOS 22 kan per authenticatiemethode slechts één Microsoft-Entra-ID-server worden geselecteerd. Onder SFOS 23 geldt de limiet voor één OpenID-Connect-IdP-server, niet voor een Entra-server naast een andere OIDC-provider.
• Gebruikers uit hetzelfde domein moeten niet tegelijkertijd via AD en Microsoft Entra ID worden gesynchroniseerd.
• In HA-clusters moet men er momenteel niet van uitgaan dat Microsoft Entra ID SSO voor de WebAdmin van de Auxiliary Firewall werkt.

⚠️ Conditional Access vereist een firmwareversie waarin het probleem is verholpen: Op SFOS 21.5 GA Build 171 kon Sophos Connect een bestaande SSO-sessie hergebruiken zonder MFA en andere Conditional Access-voorwaarden opnieuw te controleren. Het verbreken en opnieuw verbinden van de VPN-tunnel was niet noodzakelijk voldoende. Sophos vermeldt het probleem als NC-167126 en geeft geen officiële workaround. Het is verholpen vanaf SFOS 21.5 MR2 Build 323 respectievelijk SFOS 22.0 MR1 Build 490. Als Conditional Access als beveiligingsgrens wordt gebruikt, moet de firewall eerst ten minste naar een van deze versies worden bijgewerkt. Force SSO re-login beperkt het risico op oudere systemen, maar vervangt de oplossing niet.

⚠️ Een upgrade naar SFOS 22 kan SSO automatisch inschakelen: Als VPN Portal, Remote Access IPsec of SSL VPN vóór de upgrade Same as firewall gebruikte onder Authentication > Services, schakelt SFOS 22.0 of nieuwer Microsoft Entra ID SSO voor deze diensten automatisch in. Leg de effectieve methoden vóór de upgrade vast. Als Entra SSO bedoeld is, moet daarna de exacte VPN portal and remote access URL uit het Entra-serverobject in de Entra-app worden vastgelegd en met een echte aanmelding worden gecontroleerd. Gebruik hiervoor niet de Sophos Fusion (voorheen Sophos Central) reverse SSO-URL. Als SSO niet bedoeld is, wordt de gewenste methode expliciet ingesteld in plaats van de overgenomen toestand ongecontroleerd te accepteren.

Architectuur plannen

Voor de technische installatie moet worden vastgesteld welke diensten SSO gebruiken.

• VPN Portal: Moet de aanmelding bij het portal via Entra ID plaatsvinden?
• SSL VPN: Moet SSL VPN via Sophos Connect met Entra SSO worden gebruikt?
• IPsec Remote Access: Moet IPsec Remote Access via Sophos Connect met Entra SSO worden gebruikt?
• Provisioning-bestand: Wordt een automatisch provisioning-bestand gebruikt?
• Groepen: Welke Entra-groepen mogen VPN gebruiken?
• MFA: Welke Conditional-Access- en MFA-regels gelden voor Remote Access?
• Fallback: Wat gebeurt er als Entra ID of internettoegang tot Microsoft niet beschikbaar is?

Als een provisioning-bestand wordt gebruikt, moet de daarin ingestelde gateway-waarde overeenkomen met de FQDN of het IP dat in de Microsoft-Entra-ID-configuratie van de firewall als Redirect URI wordt gebruikt. Na wijzigingen aan Entra ID of aan de firewall-configuratie moeten gebruikers de bijgewerkte configuratie opnieuw importeren.

Leg vóór de wijziging Authentication > Services, servervolgorde, VPN-groepen en -policies, Device Access en verspreide profielen vast. Behoud een lokale beheerder die onafhankelijk is van Entra ID als beveiligde, bewaakte en apart geteste break-glass-toegang. De vereiste Entra-licenties voor Conditional Access moeten aanwezig zijn. SFOS 22: Microsoft 365 Government Community Cloud High (GCC High) wordt niet ondersteund voor deze SSO-integratie. De SFOS-23-help vermeldt deze beperking niet meer; daaruit wordt hier geen bevestigde GCC-High-ondersteuning afgeleid. Voor een dergelijke tenant moet de ondersteuning vóór de uitrol afzonderlijk worden vastgesteld.

De Entra-app voor de firewall voorbereiden

Sophos adviseert een aparte app. Maak in App registrations > New registration een app Accounts in this organizational directory only met platform Web en kopieer Application (client) ID en Directory (tenant) ID. Verleen onder API permissions > Microsoft Graph met Admin Consent de delegated permissions User.Read.All en Group.Read.All; voeg Group.Read.All als Application permission alleen toe voor SFOS-groepsimport. Maak een Client secret, bewaar direct de Value en plan verloop en rotatie.

Zet onder Enterprise application > Properties Assignment required? op Yes en wijs alleen de pilot-/VPN-groep en noodzakelijke beheerders toe. Deze toewijzing is de eerste toegangspoort; de SSL/IPsec-policy blijft de tweede. Microsoft beschrijft toewijzing van gebruikers en groepen en de Redirect URI-regels. SFOS leest kenmerken automatisch uit het token; kies een Fallback user group zonder brede VPN-rechten, zodat een ontbrekende geïmporteerde groep geen extra toegang geeft.

Groepsgebaseerde app-toewijzing vereist Microsoft Entra ID P1 of P2 en geldt niet voor gebruikers die alleen via een geneste groep lid zijn. Wijs zonder die licentie of bij geneste groepen de pilotgebruikers rechtstreeks toe; anders weigert Entra de aanmelding terwijl het VPN-groepslidmaatschap correct kan lijken.

Microsoft Entra ID Server op de firewall aanmaken

SFOS 23.0: OpenID Connect met Microsoft Entra ID

Onder SFOS 23 wordt Entra ID als provider in het gedeelde OpenID-Connect-serverobject ingesteld. De bestaande Entra-app blijft nodig; maak niet alleen vanwege het hernoemde configuratiescherm een tweede app aan. Leg vóór een wijziging het bestaande serverobject, de diensttoewijzingen en de Redirect URI’s vast. Een upgrade is pas geaccepteerd na een nieuwe portal- en tunneltest.

1. Open Authentication > Servers > Add en selecteer onder Server type de optie OpenID Connect.
2. Geef een Server name op en selecteer IdP vendor: Microsoft Entra ID.
3. Voer onder Client ID de Application (client) ID van de Entra-app in en onder Client secret de secretwaarde ervan.
4. Voer onder OpenID Connect URLs > Issuer URL de Directory (tenant) ID in. Voor deze provider verwacht het gedocumenteerde SFOS-veld de tenant-ID; vervang deze niet door een zelf samengestelde Issuer-URL. De andere URL-instellingen zijn niet van toepassing op Microsoft Entra ID.
5. Selecteer onder Redirect URIs de optie Use firewall URL of voer met Enter manually de beoogde firewall-FQDN of het IP-adres in. Stel bij beheer van één firewall via Sophos Fusion de hostnaam handmatig in; de reverse SSO-URL is geen appliance-callback.
6. Open Show URLs en leg de exacte VPN portal and remote access URL als Web-Redirect-URI vast in de Entra-app. Bij provisioning moet de gateway-waarde overeenkomen met de hier gebruikte firewall-FQDN of het IP-adres. Na wijzigingen moet de clientconfiguratie opnieuw worden geïmporteerd.
7. Behoud onder User attributes de standaardwaarden Display name: name, Username: upn en Email address: email. Alleen een daadwerkelijk anders opgebouwd en ondersteund token rechtvaardigt afwijkende attributen.
8. Laat IdP authentication for firewall administrators uitgeschakeld voor diensten die alleen voor VPN-gebruikers bedoeld zijn en kies een Fallback group met beperkte rechten. Administratormapping is een afzonderlijke stap in het WebAdmin-artikel.
9. Voer Test connection uit, sla pas op na een succesvolle test en wijs de server onder Authentication > Services toe aan VPN Portal, SSL VPN en indien van toepassing IPsec. Voer Apply per dienst uit. SSL VPN en VPN Portal gebruiken altijd dezelfde server; bij provisioning geldt dit ook voor IPsec.

Controleer na een upgrade ook de bestaande waarschuwing over Same as firewall: de automatische activering voor overgenomen VPN-methoden geldt voor SFOS 22.0 en nieuwer, dus ook bij de betreffende versieovergang naar SFOS 23. Een gedocumenteerde servermigratie vervangt noch de controle van de effectieve methoden, noch een echte aanmelding met controle van redirects, groepen, MFA en de tunnel.

SFOS 22: Microsoft Entra ID SSO

Het volgende serverconfiguratiescherm met Directory (tenant) ID, User attribute mapping en Fallback user group hoort bij SFOS 22. Gebruik voor SFOS 23 de velden uit de voorgaande procedure.

Het menupad is:

Authentication > Servers

Procedure op de firewall:

1. Add openen.
2. Als Server type de optie Microsoft Entra ID SSO selecteren.
3. Een duidelijke servernaam geven.
4. Application (client) ID uit de Entra-app invoeren.
5. Directory (tenant) ID invoeren.
6. Client secret invoeren.
7. Redirect-URI-FQDN controleren of handmatig instellen.
8. Fallback-groep vaststellen.
9. Als WebAdmin-SSO nodig is, rollen- of groepenmapping op administratorprofielen plannen.
10. Test connection uitvoeren.
11. Opslaan.

Voor pure VPN-SSO-scenario’s is geen administrator-rolmapping nodig. Dan moet de server als gebruikersdienst worden gepland, niet als algemene admin-toegang.

⚠️ Client Secrets zijn productieve toegangsgegevens. Vervaldatum, rotatie, verantwoordelijkheid en documentatie moeten voor de uitrol worden vastgesteld.

Authenticatiemethoden instellen

Na het aanmaken van de Microsoft-Entra-ID-server moet deze onder Authentication > Services aan de juiste diensten worden toegewezen.

Voor Remote Access zijn deze gebieden relevant:

• VPN portal authentication methods
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods
• SSL VPN authentication methods

Als een provisioning-bestand wordt gebruikt, moet voor VPN Portal, IPsec en SSL VPN dezelfde Microsoft-Entra-ID-server worden gebruikt. Bij provisioning-bestanden is dezelfde serverselectie voor de authenticatiemethoden belangrijk, zodat clientprofiel, portal en Remote-Access-methode op elkaar aansluiten.

Zonder provisioning-bestand moeten SSL VPN en VPN Portal nog steeds dezelfde Microsoft Entra ID-server gebruiken; Remote Access IPsec mag dan een ander Entra-serverobject gebruiken. Met een provisioning-bestand moeten VPN Portal, SSL VPN en IPsec daarentegen naar hetzelfde object verwijzen. Dit verschil moet bewust worden gedocumenteerd en niet pas uit een tenantfout in het SSO-venster worden afgeleid.

Na elke wijziging:

1. Server in de betreffende methode selecteren.
2. Server naar de juiste positie slepen, als er meerdere servers zijn.
3. Apply per gewijzigde dienst uitvoeren.
4. Testgebruiker gebruiken voordat de wijziging breed wordt uitgerold.

Redirect URI’s in Microsoft Entra ID invoeren

Om SSO te laten werken, moeten de firewall-URL’s in de Entra-app als Redirect URI’s worden opgeslagen.

Procedure:

1. Op de firewall Authentication > Servers openen.
2. De Microsoft-Entra-ID-server openen.
3. De benodigde URL’s kopiëren:
   • Web admin console URL, als WebAdmin-SSO wordt gebruikt
   • Captive portal URL, als Captive Portal wordt gebruikt
   • VPN portal and remote access URL voor VPN Portal, Remote Access IPsec en SSL VPN
4. In het Azure Portal naar Microsoft Entra ID > App registrations gaan.
5. De toepassing voor de Sophos Firewall openen.
6. Onder Manage > Authentication een webplatform toevoegen of het bestaande webplatform bewerken.
7. De gekopieerde Redirect URI’s invoegen.
8. Opslaan.

Een veelgemaakte fout is een andere hostnaam in clientprofiel, Redirect URI, certificaat en openbaar DNS. Deze waarden moeten voor de uitrol bewust worden afgestemd.

Als niet Remote Access, maar Captive Portal wordt beschermd, moet daarnaast de Captive-Portal-specifieke procedure worden gecontroleerd: Device Access voor de clientzone, Captive-Portal-authenticatiemethode, gebruikersgroep en latere firewall-regelmatching.

VPN Portal via Device Access vrijgeven

Microsoft Entra ID SSO voor Remote Access gebruikt de VPN Portal-poort voor communicatie met de firewall. Sta VPN Portal voor toegang vanaf internet daarom toe in de rij WAN onder Administration > Device access. Schakel andere zones alleen in als clients het portal daarvandaan werkelijk moeten bereiken.

Dit betekent niet dat men het VPN Portal wereldwijd ondoordacht moet openen. Remote Access is een openbaar toegankelijke aanvalsvector. Voor productieve omgevingen moet men daarnaast controleren:

• geldig openbaar certificaat
• MFA en Conditional Access in Entra ID
• zo mogelijk beperkte land- of bronbeperking
• logging en beoordeling van inlogpogingen
• duidelijke deactivering van niet meer benodigde gebruikers

De hardening van lokale firewall-diensten is beschreven in Device Access en Local Service ACL op Sophos Firewall.

Als er al veel mislukte aanmeldingen, gedistribueerde bronnen of Entra-accountvergrendelingen optreden, combineert VPN Portal-brute-force herkennen en indammen de firewalllogs met Entra-controle, veilige ACL-beperking en nacontrole.

Microsoft-login-URL’s toestaan

Clients en betrokken firewall-paden moeten Microsoft-Entra-ID-eindpunten kunnen bereiken. Dit omvat meerdere Microsoft-login- en CDN-URL’s, zoals login.microsoftonline.com, login.microsoft.com, *.login.live.com, *.msauth.net en andere Azure-/Microsoft-Online-domeinen.

In restrictieve omgevingen moet men niet pas bij de uitrol ontdekken dat inlogpagina’s, JavaScript of token-eindpunten worden geblokkeerd. Het is zinvol om:

• De volledige allowlist voor Microsoft Entra-aanmeldingen voor FQDN Hosts en proxy-uitzonderingen te gebruiken.
• FQDN Hosts of FQDN Host Groups correct te benoemen.
• Firewallregel voor DNS en HTTPS bewust in te stellen.
• Bij directe Web Proxy daarnaast Web Exceptions te controleren.
• Logging in te schakelen totdat de SSO-aanmelding stabiel werkt.

Bij een Direct Web Proxy is alleen de Allow-regel naar de FQDN Host Group niet voldoende. Het gekoppelde allowlist-artikel bevat de exacte URL-patronen en beschrijft de procedure in Web > Exceptions. Beperk de uitzondering tot de vereiste login- en CDN-patronen.

Groepen en VPN-rechten controleren

SSO alleen geeft nog geen VPN-toegang. De gebruiker moet ook in de juiste Remote-Access-configuratie zijn toegestaan.

Entra-groepen gericht importeren

Voor de groepsimport heeft de firewallapplicatie de Microsoft Graph-machtiging Group.Read.All als Application permission en verleende Admin Consent nodig. Open daarna onder Authentication > Servers bij de Entra-server de Assistant for importing groups. In plaats van alle groepen ongecontroleerd te importeren, kan de assistent bijvoorbeeld filteren op Display name of Description.

Tijdens het importeren kunnen Surfing quota, Access time, Network traffic en Traffic shaping aan alle of afzonderlijke groepen worden toegewezen. Ken deze policies alleen toe wanneer de groep ze werkelijk nodig heeft. De tijd van de firewall en Microsoft Entra ID moet gesynchroniseerd zijn, anders kan de import zelf mislukken.

Als de Entra-groep op de firewall bestaat, wijst SFOS de gebruiker aan die groep toe. Zo niet, dan geldt de op de Entra-server geconfigureerde Fallback user group. Dit blijft ook gelden wanneer de Entra-server onder Firewall authentication methods wordt gebruikt; de Default group daar vervangt de fallbackgroep niet. Na het importeren moet de nieuwe groep bovendien in de betreffende IPsec- of SSL-VPN-policy worden toegestaan.

Te controleren:

• Entra-groep is in de firewall geïmporteerd of wordt correct gemapt.
• Groep is bij Remote Access IPsec onder Allowed users and groups geselecteerd.
• Groep is bij SSL VPN onder Policy members geselecteerd.
• Firewallregels staan verkeer uit de VPN-zone alleen naar de benodigde doelen toe.
• Gebruiker is niet alleen geauthenticeerd, maar krijgt ook de verwachte policy.

Als de tunnel verbonden is, maar er geen verkeer plaatsvindt, is vaak niet SSO de oorzaak, maar regelwerk, routing, DNS of NAT. Voor de analyse past Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

UPN, e-mail en groepenmatching controleren

Bij Microsoft Entra ID SSO moet men gebruikersidentiteit en groepenmatching bijzonder zorgvuldig controleren. Een login kan bij de Identity Provider succesvol zijn en op de firewall toch verkeerd worden toegewezen als UPN, e-mailadres, geïmporteerde groep of lokale gebruikersidentificatie niet overeenkomen.

Dit is vooral relevant in omgevingen waar gebruikers historisch verschillende waarden hebben:

• User Principal Name: max.muster@example.com wordt vaak als eigenlijke loginnaam verwacht.
• E-mailadres: m.muster@example.com kan afwijken en bij toewijzing of portal-login verwarren.
• Weergavenaam: Max Muster is voor mensen leesbaar, maar niet geschikt als technische identificatie.
• Groep: VPN-Users moet op de firewall worden geïmporteerd en in de juiste Remote-Access-configuratie worden gebruikt.

Ook het aanmeldformaat is belangrijk bij een migratie van lokale Active Directory naar Entra ID. AD gebruikt vaak sAMAccountName@domain, terwijl Entra ID UserPrincipalName@domain gebruikt. SFOS behandelt verschillende tekenreeksen als afzonderlijke gebruikersobjecten, ook wanneer ze bij dezelfde persoon horen. Stem het formaat waar mogelijk vóór de migratie op elkaar af. Als bewust verschillende namen worden gebruikt, ontstaan duplicaten; verwijder oude AD-gebruikers pas nadat regels, groepen, rapportage en de nieuwe Entra-aanmelding zijn gecontroleerd.

Het vroegere bekende probleem NC-157635 zorgde ervoor dat aanmeldingen bij het SSL-VPN- of IPsec-portal mislukten wanneer e-mailadres en UPN verschilden. Sophos verhielp dit in SFOS 21.0 MR2 Build 349, 21.5 MR1 Build 261 en 22.0 EAP0 Build 274. Het controleren van gebruikersattributen blijft zinvol bij problemen met afzonderlijke accounts, zodat afwijkende lokale gebruikersobjecten of groepsrechten worden opgemerkt.

Praktische controleprocedure:

1. Testgebruiker in Microsoft Entra ID openen.
2. UPN en e-mailadres vergelijken.
3. Controleren of de gebruiker lid is van de geplande VPN-groep.
4. Op de firewall de geïmporteerde groep openen en controleren of de gebruiker daar zoals verwacht verschijnt.
5. Onder Authentication > Services controleren of de juiste Microsoft-Entra-ID-server voor VPN Portal, SSL VPN en IPsec is geselecteerd.
6. Testlogin uitvoeren en Log Viewer en oauth_sso_vpn.log controleren.

Als alleen individuele gebruikers zijn getroffen, is een attribuut- of groepenprobleem waarschijnlijker dan een algemene Entra-ID-serverfout. Als alle gebruikers zijn getroffen, eerst Tenant ID, Client ID, Client Secret, Redirect URI’s, tijd en Microsoft-eindpunten controleren.

Bij gebruikersregels na succesvolle VPN-login geldt bovendien: de firewallregel moet de gebruiker of de groep in het daadwerkelijke verkeer zien. Als de tunnel staat, maar de geplande gebruikersregel niet matched, past de analyse uit Sophos Firewall Regel grijpt niet: Oorzaken controleren.

MFA en Conditional Access gecontroleerd invoeren

Beperk de policy tot de Enterprise Application van de firewall en begin met pilots of Report-only. Test MFA en elke voorwaarde met een toegestaan en geweigerd geval in de Entra-logs. Microsoft adviseert policies vóór afdwingen te plannen en evalueren.

Behoud minstens twee gescheiden, bewaakte cloud-only Entra-noodaccounts die van Conditional Access zijn uitgesloten. Ze vervangen de lokale beheerder die onafhankelijk is van internet, Entra en de app niet, en worden niet alleen voor een bypass-test aan VPN toegewezen. Zie Manage emergency access accounts.

Sophos Connect en Provisioning testen

Voor Sophos Connect geldt: na de Entra-ID-configuratie of na wijzigingen aan de SSO-configuratie moet de clientconfiguratie opnieuw worden geïmporteerd.

macOS apart testen: Volg voor Microsoft Entra ID SSO met Sophos Connect 2.1 of nieuwer op macOS (niet 2.0) de macOS-browserprocedure. auto begint in de ingebouwde browser en schakelt bij de betreffende Conditional Access-vereisten over naar de systeembrowser; embedded heeft geen automatische terugval. Het kiezen van system via een goedgekeurd .pro-bestand valt onder het provisioning-schema, niet onder handmatige wijzigingen aan .ovpn of .scx. Rond de aanmelding inclusief MFA volledig af in de browser die de client opent, keer terug naar de client en controleer tunnel, DNS en toegang. Van browser wisselen omzeilt geen apparaatcompliance: voldoe aan de vereisten of neem contact op met IT, zonder Conditional Access te verzwakken. De volgende Windows-test blijft betrekking hebben op Sophos Connect 2.4 of nieuwer.

Testprocedure:

1. Huidige Sophos Connect Client op Windows installeren.
2. Passende provisioning- of VPN-configuratie importeren.
3. Controleren of de SSO-optie in de client zichtbaar en aanklikbaar is.
4. Aanmelden met Entra ID.
5. MFA of Conditional Access zoals gepland activeren en het resultaat in de Entra-aanmeldingslogboeken controleren.
6. Tunnelstatus controleren.
7. VPN-IP, DNS, interne doelen en firewall-regelmatch controleren.
8. Op een gedeeld apparaat een geforceerde SSO-heraanmelding testen.

Voor de laatste test rechtsboven in de Sophos Connect Client het menu openen, Force SSO re-login kiezen en met OK bevestigen. Pas daarna moet de volgende gebruiker zich met de eigen Entra-aanmeldgegevens aanmelden. Alleen de tunnel verbreken is niet hetzelfde. Op gedeelde Windows-apparaten hoort deze stap ook met actuele firmware bij een correcte gebruikerswissel.

Leg per test tijd, gebruiker, VPN-type en verwacht resultaat vast. Applicatie, gebruiker, MFA/Conditional-Access-resultaat en foutcode in Entra moeten overeenkomen met oauth_sso_vpn.log of de Authentication-module van Log Viewer. Test vóór uitrol in de eigen omgeving: toegewezen pilot en niet-toegewezen gebruiker bij het portaal; elk gebruikt SSL/IPsec-profiel met VPN-IP, DNS en alleen toegestane doelen; gebruiker zonder VPN-groep; Force SSO re-login op een gedeeld apparaat; en de lokale break-glass-login via het beperkte beheerpad. Dit zijn uit te voeren tests, geen geclaimde resultaten.

Voor de clientinstallatie op Windows past Sophos Connect Client op Windows installeren. Voor SSL VPN met Sophos Connect past daarnaast Sophos SSL VPN met Sophos Connect op Windows instellen.

Rollback met behoud van toestand

Verwijder de eerdere authenticatie pas nadat pilot en rollback slagen en bewaar oude profielen gecontroleerd. Meld bij problemen aan met de lokale beheerder en herstel onder Authentication > Services exact de vastgelegde servers en volgorde voor VPN Portal, SSL VPN en IPsec; kies Apply per dienst. Importeer op een pilotapparaat het oude profiel en controleer portaal, tunnel, DNS en een toegestaan intern doel.

Verwijder de Entra-app, nieuwe server, geïmporteerde groepen en secret pas nadat toegang en logs het herstel bevestigen. Als Device Access alleen voor SSO werd verruimd, herstel dat pas daarna om het herstelde VPN-pad niet tegelijk te blokkeren.

Bedrijf en beveiliging

Entra ID SSO verplaatst de login-beveiliging sterker naar de Identity Provider. Dit is goed als Entra ID goed wordt beheerd. Het is problematisch als groepen, Conditional Access of App Secrets terloops worden beheerd.

In het bedrijf moeten deze punten regelmatig worden gecontroleerd:

• App Secret verloopt niet onverwacht.
• Entra-groepen bevatten alleen geautoriseerde gebruikers.
• Conditional Access geldt voor Remote Access.
• Break-Glass- en fallback-toegangen zijn gedocumenteerd.
• VPN Portal is alleen zo breed bereikbaar als nodig.
• Sophos Connect-versies zijn actueel.
• Oude clientprofielen worden na wijzigingen uit omloop genomen.
• Logs worden bij inlogproblemen vroeg gecontroleerd.

Voor de clientzijde moet daarnaast een eigen updateproces bestaan. Het artikel Sophos Connect Client Versie controleren en veilig bijwerken vat samen welke Windows-, macOS-, SSO-, OTP- en provisioning-onderwerpen voor een uitrol moeten worden gecontroleerd.

Problemen oplossen

SFOS 23.0: Gebruik voor de OIDC-aanmeldingsflow /log/oauth_sso_svc.log; controleer fouten bij Test connection met x509: certificate signed by unknown authority in /log/sfos-macro-cfg.log. In Log Viewer blijft de module Authentication relevant voor VPN Portal, IPsec en SSL VPN. De onderstaande verwijzingen naar oauth_sso_vpn.log en de dienstspecifieke herstart horen bij SFOS 22.

Voer na het corrigeren van een aantoonbaar onvolledige CA-keten eerst opnieuw Test connection uit. Alleen als daarna nog een herstart nodig is en een onderbreking van de gebruikte OIDC-aanmeldingsdiensten tijdens het onderhoudsvenster aanvaardbaar is, gebruikt u de door Sophos voor SFOS 23 gedocumenteerde Advanced-Shell-opdracht:

service oauth_sso_svc:restart -ds nosync

Controleer daarna opnieuw Test connection, een nieuwe VPN-Portal-aanmelding en de daadwerkelijk gebruikte tunnel. De gedeelde dienst wordt niet uitsluitend voor VPN herstart; ook andere diensten die via dit OIDC-object worden gebruikt, moeten afzonderlijk opnieuw worden getest. Geen enkele herstart vervangt de controle van DNS, tijd, machtigingen of CA’s.

SSO-knop is in de Sophos Connect Client niet bruikbaar

Als de client meldt dat SSO niet is geconfigureerd, eerst de verbinding met de Microsoft-Entra-ID-server op de firewall testen. Daarna onder Authentication > Services controleren of de Entra-ID-server voor SSL VPN of IPsec en VPN Portal correct is ingesteld.

Gebruiker mag zich niet aanmelden bij het VPN Portal

Dan kan SSO in principe werken, maar de VPN-rechten ontbreken. Controleren of de Entra-groep in de Remote-Access-IPsec-configuratie onder Allowed users and groups of bij SSL VPN onder Policy members is opgenomen.

Alleen individuele gebruikers kunnen zich niet aanmelden

Dan eerst UPN, e-mailadres, groepslidmaatschap en geïmporteerde firewall-groep controleren. Vooral bij gebruikers met afwijkend e-mailadres, gewijzigde namen of gemigreerde accounts kan de technische identificatie anders zijn dan verwacht.

Microsoft meldt verkeerde Tenant of verkeerde Application

Dan komen vaak authenticatiemethoden, Entra-app, Tenant ID of de serverselectie op de firewall niet overeen. Vooral bij meerdere Entra-ID-servers moet worden gecontroleerd of VPN Portal, SSL VPN en IPsec dezelfde verwachte server gebruiken.

Redirect of login eindigt op foutpagina

FQDN, certificaat, openbaar DNS, Redirect URI en Gateway-waarde van het provisioning-bestand vergelijken. Zelfs kleine afwijkingen bij hostnaam, poort of pad kunnen de OAuth/OIDC-flow verstoren.

Test connection mislukt met een x509-fout

Als oauth_sso_vpn.log de fout x509: certificate signed by unknown authority toont, kan een root- of intermediate-CA ontbreken in de certificaatketen naar Microsoft Entra ID. Het bekende probleem NC-176806 is verholpen in SFOS 22.0 MR2 Build 546; andere onvolledige certificaatketens of TLS-fouten blijven mogelijk.

In de Advanced Shell kan de door Microsoft geleverde keten worden gecontroleerd:

openssl s_client -connect login.microsoftonline.com:443 -showcerts

1. Controleer de certificaatketen en issuers in de uitvoer.
2. Verkrijg alleen de ontbrekende root- of intermediate-CA uit een betrouwbare bron. Importeer geen servercertificaat als CA.
3. Voeg de CA toe onder Certificates > Certificate Authority en pas deze toe.
4. Open onder Authentication > Servers de Entra-ID-server en voer Test connection opnieuw uit.
5. Start alleen als de test daarna nog steeds mislukt en een korte onderbreking van lopende VPN-SSO-aanmeldingen aanvaardbaar is de VPN-SSO-service opnieuw in de Advanced Shell:

service oauth_sso_vpn:restart -ds nosync

Voer daarna Test connection opnieuw uit. Het herstarten van de service is een optionele laatste stap, niet de eerste maatregel bij een x509-fout.

Groepenimport werkt niet

Tijd van de firewall, tenantgegevens, app-rechten, Client Secret en bereikbaarheid van de Microsoft-eindpunten controleren. Als bestaande lokale groepen niet overeenkomen met Entra-groepen, moet worden besloten of ze worden opgeschoond, gemapt of handmatig beheerd.

Verbinding staat, maar interne systemen zijn niet bereikbaar

Dan is de authenticatie waarschijnlijk niet meer de hoofdfout. VPN-IP, DNS, firewallregels, NAT, routing en doelsysteem controleren. In de Log Viewer moet zichtbaar zijn welke regel verkeer uit de VPN-zone raakt.

Checklist

• Entra-app met Client ID, Tenant ID en Client Secret is gedocumenteerd.
• Redirect URI’s voor VPN Portal en Remote Access zijn in Entra ID ingevoerd.
• Openbare FQDN, certificaat en provisioning-gateway komen overeen.
• VPN Portal is onder Device Access bewust toegestaan.
• Microsoft-login-URL’s zijn bereikbaar.
• Authentication Services gebruiken de juiste Entra-ID-server.
• VPN-groepen zijn geïmporteerd en in SSL/IPsec policies toegestaan.
• UPN, e-mailadres en groepslidmaatschap zijn met een testgebruiker gecontroleerd.
• Sophos Connect 2.4 of nieuwer is op Windows in gebruik.
• Clientprofielen zijn na wijzigingen opnieuw geïmporteerd.
• Entra-MFA en Conditional Access zijn met testgebruiker gecontroleerd.
• oauth_sso_vpn.log, Log Viewer en Access-Server-logs zijn voor probleemoplossing bekend.

Veelgestelde vragen