Een generieke LDAP-server met Sophos Firewall verbinden

Sophos Firewall kan gebruikers via het servertype LDAP server authenticeren op basis van directoryattributen en groepslidmaatschappen. In de praktijk zijn vier stappen nodig: een lokale groep voorbereiden, de LDAP-server aansluiten, deze onder Authentication > Services voor de gewenste dienst selecteren en de aanmelding en autorisatie met echte testaccounts controleren.

OpenLDAP, 389 Directory Server of FreeIPA zijn typische kandidaten voor een generieke LDAP-verbinding, maar zijn geen uitwisselbare producten. Attributen, geretourneerde groepswaarden en het verlopen van accounts verschillen afhankelijk van het schema. Deze handleiding biedt daarom een overdraagbaar voorbeeld; de waarden moeten worden gecontroleerd op het echte gebruikersobject. Google Secure LDAP wordt hieronder beschreven als een afzonderlijke variant, gedocumenteerd door Sophos.

Voor Windows Active Directory met LDAPS, groepsimport of AD SSO is Active Directory met Sophos Firewall verbinden beter geschikt. RADIUS via Microsoft NPS of een MFA-gateway wordt behandeld in Een RADIUS-server op Sophos Firewall instellen. Als u het systeemeigen eDirectory-servertype vóór SFOS 23 moet vervangen, kunt u het volledige migratieproces vinden op eDirectory migreren vóór SFOS 23.

Waarden en terugvalprocedure voorbereiden

Vereist:

WebAdmin-toegang tot Sophos Firewall;
bereikbaarheid van de LDAP-server vanaf de firewall via de poort die op de server is geconfigureerd;
een bindaccount met leesrechten voor het vereiste directorygebied;
Bind DN en Base DN, bijvoorbeeld cn=svc-sophos,ou=service,dc=example,dc=net en ou=people,dc=example,dc=net;
de attributen voor aanmelding, weergavenaam, e-mailadres, groep en, indien van toepassing, accountverval;
bij certificaatcontrole een servernaam die via DNS kan worden omgezet en de juiste CA-vertrouwensketen.

De gebruikelijke startwaarden zijn poort 389 voor STARTTLS en 636 voor SSL/TLS. Dit is geen vaste SFOS-standaard: een directory kan een andere poort gebruiken, die moet overeenkomen met Connection security en de serverconfiguratie.

⚠️ Voor het bindaccount zijn geen administratieve schrijfrechten vereist. Beperk zijn leesrechten tot de subboom en de attributen die de firewall nodig heeft voor gebruikersverzoeken.

Documenteer vóór het omschakelen onder Authentication > Services voor elke betrokken methode de geselecteerde servers, hun volgorde en de overnameopties. Noteer onder Firewall authentication methods ook de huidige Default group. Hierdoor kunt u de wijziging ongedaan maken zonder overhaast nieuwe objecten te verwijderen. Houd tijdens de wijzigingen een vooraf getest lokaal beheerdersaccount beschikbaar voor herstel.

Bind DN, Base DN en attributen onderscheiden

Een DN loopt van het specifieke object naar de directoryroot. cn=svc-sophos,ou=service,dc=example,dc=net verwijst in het voorbeeld naar het bindaccount. De Base DN specificeert daarentegen het startpunt van de gebruikerszoekopdracht, zoals ou=people,dc=example,dc=net.

Een te beperkte Base DN vindt niet alle benodigde gebruikers. Een onnodig brede zoekbasis kan zoekopdrachten vertragen en ongewenste objecten omvatten. Append base DN voegt tijdens het binden de Base DN toe aan een onvolledige Bind DN; als de DN al compleet is, blijft deze optie meestal uitgeschakeld. Het gedrag van de gebruikte LDAP-server is bepalend.

De attributen zijn ook afkomstig uit het directoryschema. uid, cn, mail en memberOf zijn voorbeelden, geen universele specificaties. Sophos beveelt memberOf aan als Group name attribute, maar gebruikt GID in zijn eigen algemene configuratievoorbeeld. Daarom moeten de retourwaarde, lokale groepstoewijzing en meervoudige groepslidmaatschappen worden gecontroleerd met echte testgebruikers.

Encryptie en certificaten kiezen

Plaintext verzendt inloggegevens van gebruikers onversleuteld en is geen goede productieconfiguratie. SSL/TLS versleutelt de verbinding vanaf het begin; STARTTLS upgradet een aanvankelijk niet-versleutelde LDAP-verbinding naar TLS.

Voor Validate server certificate moet onder Server IP/domain de naam staan die in het servercertificaat is vermeld en die de firewall via DNS kan omzetten. Sophos verwijst ernaar als CNAME in de SFOS 22-help, terwijl dezelfde veldbeschrijving elders alleen maar een server-IP vermeldt. De certificaatnaam is daarom de veilige keuze voor een gecontroleerde TLS-uitrol. Als de firewall deze naam niet via DNS kan omzetten, kan er een vermelding worden aangemaakt onder Network > DNS > DNS host entry. In DNS-hostvermeldingen op Sophos Firewall instellen worden TTL, reverse lookup en de resolvertest uitgelegd.

Validate server certificate controleert het certificaat van de externe LDAP-server. Het optionele veld Client certificate specificeert een certificaat dat de firewall gebruikt om een veilige verbinding met de LDAP-dienst tot stand te brengen; Google Secure LDAP vereist expliciet het door Google gegenereerde certificaat. Controleer en corrigeer bij TLS-fouten eerst de naam, DNS, tijd, geldigheid en vertrouwensketen in plaats van de controle van het servercertificaat als eerste stap uit te schakelen.

LDAP-groep en server configureren

Lokale groep voorbereiden

Open Authentication > Groups en selecteer Add.
Voer een unieke Group name in, bijvoorbeeld LDAP-Benutzer.
Selecteer het Group type voor de beoogde aanmeldmethode. Voor Normal is gebruikersaanmelding vereist; Clientless regelt de toegang op basis van een IP-adres.
Stel het vereiste gebruikers-, externe-toegangs- en aanmeldbeleid in en sla op met Save.

Kies bij Surfing quota en Access time bewust de benodigde limieten. Sophos gebruikt in het instructievoorbeeld Unlimited internet access en Allowed all the time; dit zijn voorbeeldbeleidsregels, geen vereiste voor LDAP. Voor beperkte toegang tijdens een proef sluit het beter aan om de daadwerkelijk benodigde gebruiksduur en het toegestane tijdvenster te kiezen. Laat andere velden alleen op de standaardwaarde staan als die bij uw eigen toegangsbeleid past.

De groep wordt later als Default group gebruikt. De groep staat verkeer niet zelfstandig toe en blokkeert het ook niet zelfstandig; het groepsbeleid en de regels van de betreffende dienst bepalen de toegang. Bij gebruikersbeleid en VPN’s voor externe toegang, met uitzondering van SSL VPN, hebben gebruikersspecifieke instellingen voorrang op groepsbeleid. Voor SSL VPN voor externe toegang geldt deze voorrangsregel niet: een gebruiker heeft toegang tot de resources van alle full-tunnel- en split-tunnelbeleidsregels die voor de gebruiker of diens groepen gelden. Een restrictiever gebruikersbeleid maakt ruimere SSL-VPN-groepsrechten daarom niet automatisch ongedaan. Dit betekent niet dat elk LDAP-schema meervoudige groepslidmaatschappen op dezelfde manier weergeeft; de groepstoewijzing en de daadwerkelijk bereikbare resources moeten tijdens de proef worden gecontroleerd. De volledige groepslogica met een proef, gebruikersspecifieke uitzonderingen en de hoofdgroep staat in Sophos Firewall-gebruikersgroepen veilig beheren.

Verbinding en bind configureren

Open Authentication > Servers en selecteer Add.
Selecteer als Server type de optie LDAP server.
Wijs een unieke Server name toe, bijvoorbeeld LDAP-Firma.
Voer het IP-adres of de domeinnaam van de server in onder Server IP/domain. Gebruik voor Validate server certificate de naam uit het servercertificaat die via DNS kan worden omgezet.
Selecteer de Version 2 of 3 die door de server wordt ondersteund. Voor Google Secure LDAP is versie 3 vereist.
Stel Connection security en Port gezamenlijk in. Gebruik voor productief gebruik SSL/TLS of STARTTLS.
Schakel Anonymous login uit en voer Bind DN en Password van het account met leesrechten in.
Schakel Append base DN alleen in als de firewall tijdens het binden de Base DN aan een onvolledige Bind DN moet toevoegen.
Bepaal bij een beveiligde verbinding bewust of u Validate server certificate inschakelt. Voor normale LDAP-servers is certificaatcontrole na een correcte configuratie van naam, DNS en vertrouwen de veilige keuze voor productie. Google Secure LDAP volgt het speciale geval dat hieronder wordt beschreven. Selecteer indien nodig een Client certificate uit de lijst.

Zoekbasis en attributen instellen

Voer onder Base DN het startpunt van de gebruikerszoekopdracht in. Get base DN kan de zoekbasis ophalen die door de server wordt aangeboden.
Stel het attribuut met de inlognaam in als Authentication attribute, vaak uid of mail.
Voer Display name attribute en Email address attribute in zodat deze overeenkomen met het gebruikersobject, bijvoorbeeld cn en mail.
Voer onder Group name attribute het groepsattribuut in dat voor het gebruikersobject wordt geretourneerd. memberOf is de aanbeveling van Sophos, maar moet overeenkomen met het schema en het retourformaat.
Voer bij Expiry date attribute het attribuut in dat bij het schema past. Als een dergelijk attribuut niet bestaat, controleer dan vóór de uitrol of het formulier een lege waarde accepteert en hoe met accounts zonder vervaldatum wordt omgegaan.
Voer Test connection uit en sla op met Save.

Display name attribute en Email address attribute zijn bij de generieke LDAP-server optionele velden. De weergavenaam maakt het lokale gebruikersobject gemakkelijker herkenbaar; het e-mailattribuut levert het bijbehorende adres. Voor het maken van Google LDAP-groepen is het e-mailattribuut daarentegen vereist. Een Expiry date attribute geeft het accountverval aan, niet de duur van een VPN-sessie. Sophos noemt in het algemene instructievoorbeeld Date en bij Google expiry; de juiste attribuutnaam hangt af van het betreffende schema.

Volgens Sophos controleert Test connection de verbinding en de bind-inloggegevens. De test bewijst niet dat de Base DN alle gebruikers omvat, noch dat een groeps- of dienstautorisatie correct van toepassing is. Hiervoor is een daadwerkelijke aanmelding nodig.

Alleen voor API-automatisering bij de overstap van SFOS 22 naar SFOS 23: In de LDAP-API-referentie veranderen de gedocumenteerde rijen onder Status Message Information: voor Add LDAP server van 200/500/502/503 naar 200/400/401/403/409/500, voor Edit LDAP server van 200/500/503 naar 200/400/401/403/404/500. 409 staat alleen bij Add, 404 alleen bij Edit. Ook de presentatiesymbolen veranderen van Message.LDAP* naar Message.CP*. Deze documentatierijen en symbolen garanderen geen daadwerkelijk verzonden codes of berichten en bewijzen geen vaste mapping van 502/503 naar 409/404. Controleer voor API-automatisering de referentie voor de gebruikte versie en valideer de daadwerkelijke antwoorden van de doelfirewall voordat u een mapping overneemt. Dit is een afzonderlijke API-controle; de GUI-controle met Test connection en een daadwerkelijke aanmelding blijven nodig.

Vóór elke geautomatiseerde toevoeging of bewerking van een LDAP-server: De API-referenties voor SFOS 22 en 23 zijn tegenstrijdig bij IntegrationType: het voorbeeld vermeldt LooseIntegration/TightIntegration en markeert DisplayNameAttribute, EmailAddressAttribute, GroupNameAttribute en ExpiryDateAttribute met de opmerking Only For Tight Integration; de parametertabel beschrijft beide modi, maar staat alleen 1 toe. Leid hieruit noch de ondersteuning van een modus, noch de betekenis van 1, noch het toegestane weglaten van voorwaardelijke attributen af. Het voorbeeld is geen payload die direct kan worden verzonden; ook de tekstwaarden voor aan/uit-instellingen en verbindingsbeveiliging komen niet overeen met de coderingen in de tabellen. Controleer vóór een wijziging het schema of de API-referentie van de doelversie en inspecteer de daadwerkelijke doelconfiguratie en een bijbehorend API-antwoord alleen-lezen. Als de mapping onduidelijk blijft, voer dan geen automatisering uit die daarop is gebaseerd, maar gebruik de gecontroleerde GUI-procedure of stem de API-vereisten af met Sophos Support. De hierboven beschreven GUI-stappen blijven hiervan gescheiden; Test connection en daadwerkelijke tests voor identiteit, groepen, indien van toepassing accountverval en elke gebruikte dienst blijven vereist.

LDAP voor de vereiste diensten inschakelen

Open Authentication > Services.
Verplaats onder Firewall authentication methods de LDAP-server naar Selected authentication servers. Als hij primair moet antwoorden, zet hem dan op de eerste positie.
Selecteer als Default group de voorbereide groep LDAP-Benutzer en klik op Apply.
Selecteer de server afzonderlijk voor alle daadwerkelijk gebruikte methoden: User portal authentication methods, VPN portal authentication methods, VPN (IPsec/dial-in/L2TP/PPTP) authentication methods, Administrator authentication methods en SSL VPN authentication methods.
Gebruik overnameopties zoals Set authentication methods same as firewall, Same as firewall of Same as VPN alleen als de afgeleide serverlijst de gewenste lijst is.

Per authenticatiemethode kunnen maximaal 20 servers worden geselecteerd. Als er meerdere servers zijn, zal de firewall deze in de weergegeven volgorde raadplegen. De beheerdersmethode is niet van toepassing op de Super Administrator. Voor L2TP en PPTP documenteert Sophos alleen PAP voor LDAP; deze combinatie mag vanwege het protocol en de inmiddels verouderde VPN-methoden niet zonder voorafgaande beoordeling nieuw worden ingevoerd.

Aanvullend voor beheerdersaanmeldingen: Een extern via LDAP geauthenticeerde gebruiker wordt bij de eerste aanmelding aanvankelijk als standaardgebruiker aangemaakt, ook als deze in de directory een beheerdersrol heeft. Meld u eerst met het beoogde account aan bij een toegestane dienst, zoals het gebruikers- of VPN-portaal. Gebruik daarna het bestaande lokale beheerdersaccount om onder Authentication > Users de aangemaakte gebruiker te bewerken, stel User type in op Administrator, selecteer een Profile dat beperkt is tot de benodigde rechten en sla op met Save. Alleen de server selecteren onder Administrator authentication methods is niet voldoende. Controleer vervolgens met dit account de WebAdmin-aanmelding en zowel toegestane als niet-toegestane beheeracties; behoud ook het geteste lokale account voor herstel.

Google Secure LDAP instellen

Vóór de firewallconfiguratie wordt er een LDAP-client gemaakt in de Google-beheerdersconsole onder Apps > LDAP. Daarbij worden de Access permissions beperkt, worden het certificaat en de bijbehorende privésleutel gedownload en worden aparte inloggegevens gegenereerd. Het wachtwoord is niet langer zichtbaar na het sluiten van het dialoogvenster. Als de gebruikersnaam of het wachtwoord onjuist of niet meer beschikbaar is, genereer dan nieuwe inloggegevens in de Google-beheerdersconsole en werk vervolgens Bind DN en Password bij in de LDAP-serverconfiguratie van de firewall.

Google kan de interface en de stappen in de beheerdersconsole wijzigen. Raadpleeg daarom vóór de configuratie de actuele Google-documentatie over het maken van LDAP-clients, het downloaden van het certificaat en het genereren van inloggegevens. Of de dienst beschikbaar is voor uw Google-editie, wordt uitgelegd in Google Secure LDAP; de toegangsrechten moeten aansluiten op het beoogde gebruikers- en groepsgebied.

De door Sophos gedocumenteerde procedure in de Google Admin Console kan als volgt worden doorlopen:

Begin onder Apps > LDAP met ADD CLIENT, voer een LDAP-clientnaam en een Description in en selecteer CONTINUE. Een unieke naam zoals Sophos-Firewall-Pilot maakt de latere identificatie eenvoudiger.
Beperk de Access permissions tot het benodigde gebruikers- en groepsgebied en bevestig met ADD LDAP CLIENT.
Selecteer Download certificate. Het ZIP-bestand bevat het certificaatbestand .cer en de privésleutel .key. Pak beide bestanden uit in een beveiligde werkmap en noteer de opslaglocatie voor de daaropvolgende import. De privésleutel hoort niet thuis in tickets of onbeveiligde gedeelde locaties.
Ga verder met CONTINUE TO CLIENT DETAILS, open de kaart Authentication en selecteer GENERATE NEW CREDENTIALS. Leg Username en Password vóór CLOSE veilig vast; deze waarden worden later gebruikt als Bind DN en Password, niet de inloggegevens van een Google-beheerder.

De Google-inloggegevens vervangen het clientcertificaat niet. Sophos Firewall heeft voor deze variant zowel het certificaat met de privésleutel als de gegenereerde bind-inloggegevens nodig.

Schakel vervolgens de client onder Service status in met ON for everyone en sla op met SAVE. Deze servicestatus activeert de client, maar vervangt niet de eerder ingestelde Access permissions.

Controleer onder Administration > Time of de firewall via NTP de juiste tijd krijgt voordat u het certificaat importeert. Volgens Sophos kan een verkeerd handmatig ingestelde klok ervoor zorgen dat het importeren van certificaten mislukt. Selecteer vervolgens onder Certificates > Certificates > Add het formaat CER (.cer) en importeer zowel Certificate als Private key uit de Google-download. Het certificaat kan als niet-vertrouwd worden weergegeven omdat Google het zelf ondertekent; Sophos bevestigt dat Google LDAP desondanks werkt. Deze melding heeft betrekking op het clientcertificaat en niet op de controle van het LDAP-servercertificaat.

Geef bij het importeren een unieke certificaatnaam op. Selecteer via Choose File het uitgepakte bestand .cer voor Certificate en het bijbehorende bestand .key voor Private key, bevestig beide selecties met Open en selecteer tot slot Save. Pas na het opslaan kan dit certificaat onder Client certificate in de LDAP-server worden geselecteerd.

De volgende waarden zijn van toepassing op de LDAP-server:

Server IP/domain: ldap.google.com
Version: 3
Connection security: SSL/TLS
Port: 636
Anonymous login: uit
Bind DN en Password: de gegenereerde Google LDAP-inloggegevens
Append base DN: uit
Client certificate: het geïmporteerde Google-certificaat
Base DN: invoeren of ophalen met Get base DN
Authentication attribute: UID
Display name attribute: CN
Email address attribute: mail
Group name attribute: memberOf
Expiry date attribute: expiry

mail is vereist voor het maken van Google LDAP-groepen. De Sophos-handleiding voor Google Secure LDAP vermeldt in de waardenlijst geen expliciete instelling voor Validate server certificate. Daaruit kan noch een verplichte ingeschakelde noch een verplichte uitgeschakelde stand worden afgeleid; de optie wordt bepaald volgens de algemene TLS-procedure en uw eigen vertrouwensketen. De weergave van een niet-vertrouwd Google-clientcertificaat is geen reden om de controle van het externe servercertificaat uit te schakelen.

Controleer de Google-verbinding met Test connection en sla de server op met Save. Bereid daarna zoals hierboven beschreven een lokale LDAP-groep voor en selecteer de Google-server onder Authentication > Services voor de benodigde diensten. Ook bij Google maakt alleen het aanmaken van het serverobject nog geen dienst bruikbaar; de proefaanmelding controleert vervolgens identiteit, groep en autorisatie.

Aanmelding en groepstoewijzing controleren

Een acceptatietest omvat verbinding, identiteit en autorisatie:

Test connection moet de verbinding en de bind-inloggegevens bevestigen.
Controleer onder Authentication > Services de serverlijst, volgorde en overname van elke gebruikte methode. De Default group behoort tot Firewall authentication methods.
Log in op de beoogde dienst met een testgebruiker. Bij de eerste aanmelding maakt de firewall de extern geauthenticeerde gebruiker lokaal aan.
Controleer onder Authentication > Users of de gebruiker en groep verschijnen zoals verwacht.
Voer voor elke relevante directorygroep een positieve test uit. Controleer bovendien bij een gebruiker zonder geschikte lokale groepstoewijzing of de verwachte Default group van toepassing is.
Beoordeel niet alleen de aanmelding, maar ook het beoogde beleid of de testregel. Test bij SSL VPN toegestane en geblokkeerde resources met inachtneming van het geldende gebruikers- en groepsbeleid; leid de effectieve rechten niet alleen af uit een restrictief gebruikersbeleid. Gebruik daarna een verkeerd wachtwoord als negatieve test.
Controleer voor gebruikersaanmelding, autorisatie en accounting access_server.log; voor VPN-portaalproblemen bovendien vpnportal.log.
Als er een vervalattribuut wordt gebruikt, neem dan een testaccount met een bekende vervalstatus mee in de test.

Als de schemawaarden onduidelijk zijn, kan een beheerder het gebruikersobject alleen-lezen opvragen vanaf een Linux-beheersysteem of rechtstreeks vanaf de LDAP-server:

ldapsearch -LLL -x -H ldaps://ldap.example.net:636 \
  -D 'cn=svc-sophos,ou=service,dc=example,dc=net' -W \
  -b 'ou=people,dc=example,dc=net' \
  '(uid=max.muster)' '*' '+'

Deze optionele diagnosemethode is geen SFOS-opdracht en hoort niet thuis in de Advanced Shell. In het voorbeeld wordt uitgegaan van LDAPS en vertrouwen in de server-CA op het uitvoerende systeem; STARTTLS vereist een overeenkomstig aangepaste aanroep. -W vraagt interactief naar het bindwachtwoord. Pas het filter (uid=max.muster) aan het geconfigureerde Authentication attribute aan. '*' en '+' kunnen veel normale en operationele attributen met persoonsgegevens weergeven. Voordat de uitvoer aan een ticket wordt toegevoegd of wordt gedeeld, moet deze worden geanonimiseerd.

Fouten per symptoom afbakenen

Geen verbinding: Controleer routing, DNS, poort en Connection security. Controleer vervolgens Bind DN, wachtwoord en Anonymous login.
TLS- of certificaatfout: Controleer de naam uit het servercertificaat, DNS-resolutie, firewalltijd, geldigheid en CA-keten. Deactiveer de certificaatcontrole niet als eerste stap.
Test connection werkt, maar de gebruiker wordt niet gevonden: Vergelijk Base DN, Authentication attribute en de ingevoerde inlognaam.
Inloggen werkt, maar de groep is onjuist: Controleer Group name attribute en de echte retourwaarde, lokale groepstoewijzing en Default group. memberOf is een aanbeveling, maar geen gegarandeerde toewijzing voor elk schema.
Server is aangemaakt maar wordt niet gebruikt: Controleer selectie, volgorde en overname voor de betreffende dienst onder Authentication > Services.
Google Secure LDAP bindt niet: Controleer afzonderlijk versie 3, poort 636, uitgeschakeld Anonymous login, uitgeschakeld Append base DN, de servicestatus van de client, de inloggegevens en het Google-clientcertificaat.
Zoeken is traag of retourneert ongewenste accounts: Beperk de Base DN tot de vereiste subboom.
Inloggen werkt, het verwachte beleid niet: Controleer gebruikersspecifieke instellingen, groepsbeleid, groepstoewijzing en de relevante firewall- of VPN-regel afzonderlijk. Neem bij SSL VPN al het geldende gebruikers- en groepsbeleid en de daadwerkelijk toegestane resources mee; een restrictief gebruikersbeleid alleen is niet voldoende. Het volledige diagnosemodel staat in Authenticatiefouten systematisch oplossen.
Aanmelden bij het portaal werkt, aanmelden bij WebAdmin niet: Controleer onder Authentication > Users de handmatig toegewezen beheerdersrol en het Profile. Controleer daarna de serverselectie onder Administrator authentication methods en de geldende regels voor toegang tot het apparaat. Behoud het lokale account voor herstel totdat de nieuwe aanmeldmethode is getest.

Veilig terugdraaien

In het geval van een mislukte uitrol herstelt u eerst de eerder gedocumenteerde serverselectie, volgorde en overnameopties voor elke betrokken methode. Onder Firewall authentication methods wordt ook de vorige Default group hersteld. Voer een positieve en een negatieve test uit met de vorige authenticatiemethode en controleer de relevante logs.

Verwijder de nieuwe LDAP-server en -groep alleen als deze niet langer in een dienst of beleid worden gebruikt. Ruim automatisch aangemaakte LDAP-gebruikers niet op met Purge AD users: de SFOS 22-help documenteert deze functie alleen voor Active Directory. Als dergelijke gebruikers moeten worden verwijderd, stem dan vooraf met Sophos Support af welke ondersteunde procedure voor uw configuratie geldt.