Gastgebruikers op Sophos Firewall veilig aanmaken en beheren

Met Guest users maakt Sophos Firewall tijdelijke accounts aan voor personen zonder regulier gebruikersaccount. Dit past bijvoorbeeld bij bezoekers, externe technici of deelnemers aan een training die zich via het Captive Portal aanmelden en alleen duidelijk begrensde internettoegang mogen krijgen.

De veilige korte werkwijze is:

1. Een beperkte gastgroep met de benodigde policies voorbereiden.
2. Onder Authentication > Guest user settings prefix, groep, wachtwoord en opschoning instellen.
3. Beslissen of een beheerder één of meerdere accounts aanmaakt, of dat zelfregistratie met sms echt nodig is.
4. De geldigheid instellen op Immediately of After first login en de inloggegevens beschermd overhandigen.
5. Captive Portal, gebruikersregel, netwerkscheiding en zowel een toegestane als een geblokkeerde bestemming testen.
6. Het account na afloop uitschakelen of opschonen en bestaande sessies en logs afzonderlijk controleren.

⚠️ Een gastaccount is alleen een identiteit. Het segmenteert geen netwerk en opent geen datapad. Gasten horen in een aparte zone of een apart VLAN en krijgen een beperkte firewallregel met logging. Inloggegevens, afdrukken en sms-berichten moeten als wachtwoorden worden behandeld.

Gastgebruikers, vouchers en normale gebruikers onderscheiden

Een gastgebruiker is een tijdelijk lokaal gebruikersrecord. De firewall genereert Username en wachtwoord op basis van de globale instellingen voor gastgebruikers. Na de aanmelding kan de firewall verkeer aan deze identiteit koppelen en de policies van de gekozen groep toepassen.

Andere toegangsmodellen lossen andere taken op:

• Normale lokale of externe gebruiker: geschikt voor terugkerende personen met een permanent account, centrale gebruikersbron of MFA. Normale lokale gebruikers maken en beheren beschrijft het model dat rechtstreeks op de firewall wordt onderhouden.
• Guest user: geschikt voor een tijdelijke persoon met een eigen account, individuele geldigheid en optionele gebruikscontrole.
• Hotspot Voucher: een code voor een Wireless Hotspot. Geldigheid van de voucher, onlinetijd, datavolume en aantal apparaten worden in het Hotspot-model beheerd. De configuratie staat in Sophos Firewall Hotspot met voucher of dagwachtwoord configureren.
• Clientless User: koppelt een vast IP-adres aan een apparaat zonder dat een persoon zich aanmeldt. Deze procedure staat in Clientless Users op Sophos Firewall configureren.

Gastgebruikers zijn niet bedoeld voor Remote Access SSL VPN of IPsec Remote Access. De huidige SSL VPN-policy staat Guest users en Guest groups niet toe als Policy members. Voor Remote Access wordt een normale gebruiker uit een geschikte lokale of externe gebruikersbron gebruikt. De volledige VPN-configuratie wordt uitgelegd in SSL VPN Remote Access configureren.

De huidige SFOS 23-helppagina Edit guest user vermeldt nog steeds velden voor SSL VPN en IPsec Remote Access. De SFOS 23-helppagina’s voor SSL VPN-policies en IPsec-instellingen sluiten Guest users en Guest groups echter uitdrukkelijk uit voor deze twee vormen van externe toegang. Dit is een onopgeloste documentatietegenstrijdigheid binnen dezelfde versie, geen aangetoonde versiewijziging. De velden bewijzen geen ondersteunde VPN-toegang voor gasten; voor SSL VPN en IPsec blijft een gewone gebruiker de aanbeveling. Deze uitsluitingen zeggen niets over de geschiktheid van gasten voor Clientless SSL VPN, L2TP of PPTP; die onderdelen van de Edit-pagina blijven onduidelijk.

Voorbeeldconfiguratie en vereisten

Het volgende voorbeeld gebruikt een apart gastnetwerk en een account voor een bezoek van één dag:

• Zone: Guest
• Netwerk: 10.30.40.0/24
• Portaalnaam: login.example.com
• Gastgroep: Guest_Internet
• Username prefix: guest-
• Password length: 16
• Simultaneous sign-ins: 1
• Validity period: 1 day
• Validity start: After first login

10.30.40.0/24 is een privénetwerk voor documentatiedoeleinden en wordt vervangen door het echte gastnetwerk. login.example.com is een documentatienaam. Die wordt vervangen door een FQDN dat vanuit het gastnetwerk naar het bereikbare firewalladres verwijst en door het portaalcertificaat wordt gedekt. De groep krijgt alleen de policies die werkelijk voor deze gasttoegang zijn bedoeld.

Vóór het aanmaken moeten deze voorwaarden zijn vervuld:

1. Gastnetwerk, DHCP, DNS, routing en NAT zijn getest met een strikt beperkte tijdelijke testregel. Deze regel wordt vóór de authenticatietest verwijderd; een afzonderlijke DNS-regel mag alleen het vereiste resolververkeer toestaan.
2. Interne netwerken en beheerdiensten zijn vanuit de gastzone geblokkeerd.
3. Het Captive Portal is alleen vanuit de bedoelde zone bereikbaar.
4. Een eigen groep bundelt Access Time, quota, Traffic Shaping en Sign-in Restriction.
5. Een beheerdersaccount en een onafhankelijk beheerpad blijven tijdens de test beschikbaar.
6. Uitgifte, vervaldatum, intrekking en bewaring van gastinloggegevens zijn organisatorisch geregeld.

Globale instellingen voor gastgebruikers vastleggen

Vóór het eerste account opent men:

Authentication > Guest user settings

Deze waarden dienen als sjabloon voor nieuw aangemaakte gastaccounts. Een wijziging aan het sjabloon wordt daarom eerst met een testaccount gecontroleerd.

Veilige General settings kiezen

Onder Guest user general settings worden de volgende velden ingesteld:

1. Username prefix: in het voorbeeld guest-. Een neutrale prefix is beter dan een bedrijfs-, locatie- of klantnaam die onnodige informatie prijsgeeft.
2. Group: Guest_Internet selecteren. Gastgebruikers erven de policies van deze groep.
3. Password length: in het voorbeeld 16. Sophos staat in het Captive Portal voor zowel de gebruikersnaam als het wachtwoord maximaal 50 tekens toe. Kies een lengte die sterk genoeg is en via het geplande uitgiftekanaal betrouwbaar kan worden gebruikt.
4. Password complexity: de sterkste optie kiezen die compatibel is met het uitgifte- en aanmeldproces.
5. Disclaimer: deze tekst wordt onder de gegenereerde inloggegevens afgedrukt. Vermeld korte gebruiksvoorwaarden, verantwoordelijkheid en een contactpersoon. Echte inloggegevens of interne technische details horen er niet in. Login-disclaimer en berichten op Sophos Firewall configureren legt het globale beheer van beheerders-, authenticatie-, SMTP- en sms-teksten uit.
6. Auto purge on expiry: alleen activeren als verlopen gebruikersrecords automatisch moeten worden verwijderd en de vereiste operationele verantwoording elders is geregeld.
7. Opslaan met Apply.

Auto purge on expiry verwijdert na afloop de gegevens van de gastgebruiker, niet de bijbehorende logs. Dat is belangrijk voor privacy en probleemoplossing: accountopschoning en logbewaring zijn twee afzonderlijke processen.

Gebruikersgroepen op Sophos Firewall veilig beheren legt uit hoe group policies, Main Group en gebruikersoverrides samenwerken. Voor gasten mag de standaardgroep niet zomaar worden gebruikt. Een aparte beperkte groep maakt de werking en het terugdraaien van wijzigingen inzichtelijk.

Zelfregistratie alleen bij een echte behoefte activeren

Onder Guest user registration settings kan zelfregistratie worden ingeschakeld. Dit is complexer dan gecontroleerde uitgifte door een beheerder of receptie en vereist een betrouwbaar sms-proces:

• Enable guest users registration: alleen activeren als gasten zichzelf moeten registreren.
• SMS gateway: de vooraf geteste provider selecteren.
• Guest username: het mobiele nummer gebruiken of de naam uit de Username prefix laten genereren.
• User validity: de maximale geldigheid voor zelfgeregistreerde accounts in dagen instellen.
• Default country code: passend bij de daadwerkelijke doelgroep kiezen. Deze standaardwaarde wordt bij het veld voor het mobiele nummer op de gastregistratiepagina weergegeven.
• CAPTCHA verification: ingeschakeld laten om geautomatiseerde registraties te bemoeilijken.
• Opslaan met Apply.

De firewall ondersteunt sms-gateways op basis van HTTP en HTTPS. HTTPS verdient de voorkeur, zodat inloggegevens en providerparameters niet onversleuteld worden verzonden. URL, HTTP-methode, formaat van het mobiele nummer, requestparameters en responseformaat moeten exact overeenkomen met de documentatie van de eigen sms-provider. Voorbeeld-URL’s uit een handleiding worden niet in productie overgenomen.

Test connection stuurt een testbericht naar een mobiel nummer. Volgens Sophos kan deze test bij een private sms-gateway met een intern IP-adres mislukken terwijl de echte procedure wel werkt. Dan wordt succes niet zomaar aangenomen, maar wordt de volledige registratie getest met een mobiel apparaat, het providerlog en een daadwerkelijk ontvangen sms.

Parameters van de sms-gateway correct koppelen

Voer onder Authentication > Guest user settings > SMS gateway > Add Name, URL, HTTP method met Get of Post, Cell number format en, indien van toepassing, Use country code with mobile phone number en Number prefix in. Number prefix staat alfanumerieke tekens en speciale ASCII-tekens toe.

Elke requestparameter krijgt een Name en Value; SFOS vervangt {mobileno} en {msg} door het mobiele nummer en het bericht. Koppel voor de response Parameter index en Name aan het Response format. Parameternamen worden niet door SFOS bepaald en moeten exact bij de provider passen. Dit schema gebruikt uitsluitend gereserveerde voorbeeldwaarden:

URL: https://sms.example.net/send
HTTP method: Post
mobile = {mobileno}
message = {msg}
Response format: status={0}&message={1}
0 = status; 1 = message

Vervang sms.example.net, mobile, message en status door de waarden van de echte sms-provider. Speciale tekens in door de provider vereiste URL-waarden moeten procentgecodeerd zijn, bijvoorbeeld @ als %40. Inloggegevens in de URL of request zijn geheimen en horen niet thuis in screenshots, tickets of logs. Als de provider ze vereist, wordt uitsluitend HTTPS gebruikt en wordt de vervaldatum vastgelegd. Klik onder Administration > Messages > SMS customization op Edit, voer een bericht in dat overeenkomt met het door de provider geaccepteerde template en sla het op met Apply. Voor de berichttekst zijn daar {username}, {password} en {expirydate} beschikbaar. Dit slaat het bericht afzonderlijk op. Sla de gateway vervolgens op met Save.

De providertest is slechts een deelcontrole: Tijdens de pilot opent een gast Register for internet access, slaat het formulier op met Save, voltooit de CAPTCHA en ontvangt daadwerkelijk een sms. Daarna moeten het record onder Authentication > Guest users en de aanmelding onder Current activities > Live users zichtbaar zijn. Het verkeer moet met de verwachte gebruiker en Firewall Rule ID worden gelogd. De gebruikersregel gebruikt Match known users en Use web authentication for unknown users. De oudere sms-helppagina noemt de tweede optie nog Show captive portal to unknown users; voor SFOS 22 geldt de huidige benaming. Een brede Any-regel vervangt dit bewijs niet.

Als er geen sms-gateway, verantwoordelijke afdeling of goede bescherming van de registratiepagina beschikbaar is, blijft zelfregistratie uitgeschakeld. Een bevoegde persoon maakt de accounts dan gecontroleerd aan.

Eén of meerdere gastaccounts aanmaken

Een enkel account met naam en e-mailadres aanmaken

Voor een specifieke bezoeker opent men Authentication > Guest users > Add single:

1. Bij Name bijvoorbeeld Visitor Zurich 2026-08-11 invoeren. Dit veld is de naam van het record, niet de latere Username.
2. Het e-mailadres van de verantwoordelijke invoeren. Dit veld verstuurt de inloggegevens niet; daarvoor documenteert Sophos Add and print of sms.
3. Validity period instellen op de benodigde periode, in het voorbeeld 1 day.
4. Validity start bewust kiezen.
5. Opslaan met Add, of opslaan en de inloggegevens afdrukken met Add and print.

Immediately laat de geldigheid beginnen bij het aanmaken. Dit past als de inloggegevens direct worden uitgereikt en gebruikt. After first login laat de periode beginnen bij de eerste geslaagde aanmelding. Deze variant is meestal beter voor vooraf voorbereide bezoekersaccounts, omdat de geldigheid niet al vóór aankomst verstrijkt.

Na het aanmaken toont de lijst de gegenereerde Username. De recordnaam en Username mogen bij de uitgifte niet worden verwisseld.

Meerdere accounts voor een evenement genereren

Onder Authentication > Guest users > Add multiple worden Number of users, Validity period en Validity start ingesteld. Add maakt de accounts aan zonder afdrukken. Add and print genereert de accounts en de bijbehorende afdrukken.

Meerdere accounts mogen alleen voor een concrete gelegenheid worden gegenereerd. Afdrukken worden geteld, beschermd bewaard en aan een verantwoordelijke overgedragen. Niet uitgegeven of verlopen accounts worden uitgeschakeld of opgeruimd. Een grote voorraad niet-toegewezen inloggegevens verzwakt de technische begrenzing.

Groep, policies en aanmeldbeperkingen controleren

Een nieuw gastaccount erft eerst de groep die onder Guest user settings is geselecteerd. Onder Authentication > Guest users > Edit kunnen naam, wachtwoord, mobiel nummer, e-mail, groep en afzonderlijke policies worden gecontroleerd en met Save worden opgeslagen.

Gebruikersspecifieke policies hebben voorrang op group policies. Een override is daarom alleen zinvol voor een gedocumenteerde uitzondering. Voor een uniform gastmodel blijven Access Time, Surfing Quota, Network Traffic, Traffic Shaping en Sign-in Restriction normaal gebundeld in Guest_Internet. Traffic shaping koppelt de gebruiker aan een QoS-policy die policykoppeling, prioriteit en afzonderlijke upload- en downloadlimieten kan vastleggen.

Voor het voorbeeld gelden deze beperkingen:

• Sign-in restriction: User group nodes neemt de beperking van de gastgroep over. Beperk voor een individuele uitzondering Selected nodes of Node range tot de werkelijk benodigde bronnen. Any node past alleen wanneer aanmeldingen vanuit alle netwerken bewust zijn toegestaan en afzonderlijk worden beschermd.
• Simultaneous sign-ins: 1, zolang een gastaccount niet uitdrukkelijk voor meerdere apparaten is toegestaan. Dit beperkt gelijktijdige sessies; je kunt de globale waarde overnemen of een individuele waarde instellen.
• MAC binding: voor wisselende gasten normaal uitgeschakeld. De firewall koppelt Remote Access VPN-gebruikers sowieso niet via MAC-adressen. Bij inschakeling zijn aanmeldingen alleen toegestaan vanaf de opgegeven apparaten; voer hun MAC-adressen in bij MAC address list.
• Quarantine digest: alleen activeren als het account werkelijk Mail Protection en een vastgelegd quarantaineproces gebruikt. De digest stuurt de lijst met vastgehouden e-mails naar de inbox van de gebruiker.
• Remote access policies: niet als VPN-toegang voor gastgebruikers plannen.

De geldigheid van het account heeft een ander doel dan tijd- en verbruikspolicies:

• Validity period bepaalt hoelang het gastaccount kan worden gebruikt.
• Access Time staat internettoegang toe of blokkeert die binnen terugkerende tijdvensters.
• Surfing Quota en Network Traffic Quota beperken onlinetijd of datavolume.
• Een firewallregel bepaalt welke zones, bestemmingen en diensten überhaupt bereikbaar zijn.

Deze lagen vervangen elkaar niet. Een geldig account mag geen interne server bereiken als de firewallregel dit niet uitdrukkelijk toestaat.

Captive Portal en datapad verbinden

Gastgebruikers melden zich normaal aan via het Captive Portal. Daarvoor moeten Device Access, DNS, HTTPS, de gebruikersregel en de gekozen authenticatiemethode op elkaar aansluiten. Alleen het portaal geeft nog geen internettoegang.

Voer vanuit het gastnetwerk een volledige positieve en negatieve test uit:

1. De client ontvangt adres, gateway en DNS uit het gastnetwerk.
2. https://login.example.com:8090 is bereikbaar en toont een passend certificaat.
3. Een normaal webverzoek leidt naar het portaal.
4. Een geldig gastaccount kan zich aanmelden.
5. Onder Current activities > Live users verschijnen Username en bron-IP.
6. De toegestane internettest raakt de verwachte gebruikersregel en Firewall Rule ID.
7. Een interne bestemming en een niet-toegestane dienst blijven geblokkeerd.
8. Een verlopen, uitgeschakeld of opzettelijk verkeerd ingevoerd account wordt geweigerd.

Test deze procedure in een dual-stack-gastnetwerk afzonderlijk voor IPv4 en IPv6, omdat SFOS webauthenticatie voor IPv4- en IPv6-doelen afzonderlijk verwerkt. Stel onder Authentication > Web authentication > Sign out user ook in wanneer de sessie eindigt en test dit. Never past niet bij tijdelijke gasttoegang.

De volledige procedure voor regel, Device Access en HTTPS staat in Sophos Firewall Captive Portal configureren en testen. Het portaalhandboek onderscheidt User Portal, VPN Portal en Captive Portal.

Inloggegevens uitgeven en accounts beheren

Onder Authentication > Guest users zijn verschillende beheeracties beschikbaar:

• Print: inloggegevens gecontroleerd uitgeven.
• Resend credentials: inloggegevens opnieuw via de geconfigureerde sms-gateway versturen.
• Change status: het account actief of inactief zetten.
• Change password: bij verlies of een vermoeden van misbruik een nieuw wachtwoord instellen.
• View usage: internetgebruik en quotastatus controleren.
• Reset user accounting: verbruikstellers terugzetten en de Network Traffic Quota opnieuw starten.

Reset user accounting verandert de toestand. Leg vooraf account, huidig verbruik, tijdstip en reden vast. De reset wordt niet als eerste troubleshootingstap gebruikt, omdat deze het bewijsmateriaal wijzigt en de gast opnieuw een quotum kan geven.

Bij offboarding wordt een account eerst uitgeschakeld. Selecteer onder Current activities > Live users de actieve sessie en beëindig die met Disconnect; test daarna een nieuwe aanmelding en het datapad negatief. Controleer vervolgens ongebruikte afdrukken, sms-toegang en eventuele gebruikersspecifieke overrides. Pas wanneer er geen afhankelijkheden meer zijn, wordt het record verwijderd of door Auto purge on expiry opgeruimd.

Documenteer vóór de pilot de globale instellingen, sms-gateway, groep en regel. Zet voor rollback de afzonderlijk gewijzigde waarden terug; als alternatief kunnen zelfregistratie en de pilotregel worden uitgeschakeld. Een volledig herstel van een back-up is geen snelle manier om wijzigingen ongedaan te maken: deze vervangt de actuele configuratie en herstart de firewall; in HA veroorzaakt ook een restore op de Primary een onderbreking. Reserveer dit voor de gedocumenteerde noodprocedure.

Problemen systematisch afbakenen

Recordnaam werkt niet als Username

Bij Add single is Name alleen de naam van het gebruikersrecord. De eigenlijke Username wordt uit de Guest user settings gegenereerd en staat in de lijst of op de afdruk met inloggegevens. Gebruik precies deze waarde samen met het gegenereerde of gewijzigde wachtwoord.

Account is direct of nog niet geldig

Controleer Validity start en Validity period. Bij Immediately loopt de tijd vanaf het aanmaken, bij After first login vanaf de eerste geslaagde aanmelding. Controleer daarnaast tijd en tijdzone van de firewall. Een verlopen account wordt niet hersteld met een bredere firewallregel.

Zelfregistratie verstuurt geen sms

Controleer of Enable guest users registration actief is, de juiste SMS gateway is geselecteerd en mobiel nummer, Country code, URL, HTTP-methode, requestparameters en responseformaat bij de provider passen. Controleer daarna het providerlog en de daadwerkelijke ontvangst van de sms.

Een geslaagde Test connection bewijst nog niet het volledige registratie- en Captive Portal-proces. Omgekeerd is een mislukte test bij een privégateway met een intern IP-adres volgens Sophos niet automatisch bewijs van een defect sms-pad. In beide gevallen wordt met een echt pilotaccount getest.

Aanmelden lukt, maar internettoegang niet

Controleer onder Current activities > Live users of de gast zichtbaar is met het verwachte bron-IP. Controleer daarna groep, gebruikersspecifieke overrides, geldigheid, Access Time en quota. In Log Viewer moet het testverkeer de verwachte gebruikersregel en Firewall Rule ID raken.

Als de gebruiker niet onder Live users verschijnt, controleer dan eerst het aanmeldpad met access_server.log en het vastgelegde testtijdstip. Is de gebruiker zichtbaar, dan ligt de volgende stap bij regel, routing, NAT, DNS of protection policy. Authenticatiefouten systematisch oplossen scheidt deze foutfasen.

Gastaccount kan niet voor SSL VPN worden geselecteerd

Dit is verwacht productgedrag. Guest users en Guest groups zijn geen geldige Policy members voor Remote Access SSL VPN of IPsec Remote Access. Voor een externe technicus met VPN-behoefte wordt een normale gebruiker met beperkte rechten en een passende MFA-configuratie en Remote Access-policy gebruikt.

Eindcontrole

• De gast bereikt alleen de bedoelde bestemmingen; interne netwerken en beheerdiensten blijven geblokkeerd.
• Geldigheid, Access Time, quota en overrides passen bij het uitgifteproces.
• Zelfregistratie blijft uitgeschakeld zolang de sms- en CAPTCHA-pilot niet is geslaagd.
• Live users, regel-ID en positieve en negatieve tests bevestigen de verwachte toewijzing.
• Bij offboarding worden actieve sessies verbroken en overbodige inloggegevens en afdrukken verwijderd.
• Reset user accounting wordt alleen met een gedocumenteerde reden uitgevoerd.

Veelgestelde vragen