MFA voor Sophos Firewall WebAdmin, VPN Portal en externe toegang activeren

Voor de lokale OTP-functie opent men Authentication > Multi-factor authentication, selecteert men eerst Specific users and groups, activeert men de benodigde services en test men alles met een pilotgroep. All users mag pas na succesvolle tests worden gebruikt.

MFA beschermt WebAdmin, VPN Portal en Remote Access tegen het gebruik van alleen gestolen wachtwoorden. MFA vervangt echter geen strikte toegangsregels of een geteste noodtoegang. Daarom behandelt dit artikel het volledige traject van veilige activering tot appkeuze, herstel en probleemoplossing.

Sophos OTP veilig activeren

Voor de activering

Voor de eerste wijziging moeten de volgende punten zijn opgehelderd:

• De firewall gebruikt onder Administration > Time de juiste tijd, bij voorkeur via NTP.
• Gebruikers en groepen zijn lokaal of via AD, LDAP of een andere authenticatieserver beschikbaar.
• Er bestaan een pilotgroep en een tweede geteste beheerder.
• De console en herstelprocedure voor de standaard admin zijn bekend.
• Er zijn een actuele back-up en een gedocumenteerde procedure voor het resetten van tokens.

Voor klassieke Active Directory legt Active Directory aan Sophos Firewall toevoegen uit hoe men de gebruikersbron configureert.

Onder Administration > Device access bepaalt men vanuit welke zones WebAdmin, User Portal, VPN Portal en andere lokale services bereikbaar zijn. Local service ACL exception rules beperken de toegang verder tot beheernetwerken, VPN-netwerken of bekende bronadressen. Toegang tot Sophos Firewall beveiligen: Device Access correct configureren legt deze hardening in detail uit.

SSH behoort niet tot de services die door Sophos OTP worden beveiligd. Beperk SSH via Device Access en gebruik waar mogelijk een public key; de procedure staat in Via SSH verbinding maken met Sophos Firewall.

⚠️ MFA vermindert het risico van gecompromitteerde wachtwoorden, maar verkleint niet het aanvalsoppervlak van een openbaar bereikbare service. WebAdmin, SSH en portalen mogen nooit breder worden opengesteld dan nodig.

Controleer vóór negatieve tests ook Administration > Admin and user settings > Login security > Block login. Meerdere opzettelijk mislukte pogingen kunnen het bron-IP voor WebAdmin, CLI, VPN Portal en User Portal blokkeren. Daardoor kan ook een fallbackbeheerder op hetzelfde netwerk worden buitengesloten. Er moet daarom een tweede bron of consoletoegang beschikbaar zijn.

MFA voor een pilotgroep configureren

1. Aanmelden bij WebAdmin en Authentication > Multi-factor authentication openen.
2. Onder One-time password (OTP) eerst Specific users and groups selecteren.
3. Add users and groups openen, de pilotgroep selecteren en de selectie toepassen.
4. Generate OTP token with next sign-in activeren wanneer een authenticatie-app wordt gebruikt.
5. Onder Require MFA for alleen de werkelijk benodigde aanmeldinterfaces selecteren.
6. Onder OTP hash algorithm een algoritme kiezen dat door de beoogde app wordt ondersteund.
7. De optionele OTP timestep settings alleen wijzigen als de app dezelfde tijdstap ondersteunt; de standaard is 30 seconden.
8. Opslaan met Apply.

De gebruikersopties betekenen:

• No OTP: MFA is uitgeschakeld.
• All users: MFA geldt voor alle gebruikers; pas na de pilot gebruiken.
• Specific users and groups: MFA geldt alleen voor de geselecteerde accounts of groepen.

Als Generate OTP token with next sign-in is geactiveerd, registreren gebruikers bij de volgende aanmelding een software-app. User Portal wordt daarbij automatisch als MFA-service geselecteerd. Als de optie is uitgeschakeld, worden hardwaretokens of handmatig beheerde tokens onder Issued tokens toegewezen.

Services bewust selecteren

In SFOS 22 zijn onder Require MFA for de volgende services beschikbaar:

• User portal
• Web admin console
• VPN portal
• SSL VPN remote access
• IPsec remote access
• Web application firewall

MFA voor User Portal geldt ook voor Captive Portal en Client Authentication Agents. Gebruikers van externe toegang moeten hun token eerst via VPN Portal of User Portal registreren.

Voor WAF is alleen de selectie van de service niet voldoende. Vanaf SFOS 22 zijn Webserver Protection, een formuliergebaseerde Authentication Policy en de toewijzing daarvan aan de WAF-regel vereist. De volledige procedure staat in Sophos Firewall WAF met MFA beveiligen.

Het passende MFA-model kiezen

Lokale Sophos OTP

Sophos OTP beheert tokens rechtstreeks op de firewall en vereist geen aanvullende RADIUS- of Identity Provider-infrastructuur. Het is vooral geschikt voor normale lokale gebruikers, kleine omgevingen en een snelle hardening van WebAdmin of Remote Access.

De keerzijde van de eenvoudige implementatie is een afzonderlijk token buiten bestaande Microsoft 365-processen. Gebruikers en de helpdesk moeten appregistratie, de invoer van wachtwoord plus OTP en apparaatwissels kennen.

RADIUS of Entra ID SSO

Een bestaand MFA-platform kan via RADIUS of SSO beter aansluiten op centraal identiteitsbeheer. Het vereist echter servicespecifieke tests:

• VPN Portal ondersteunt geen RADIUS met challenge-MFA.
• Sophos Connect ondersteunt geen OTP-challenge. De client verzendt wachtwoord en OTP samen in het formaat passwordotp, maar ondersteunt MFA via telefoonoproep en push.
• User Portal en WebAdmin ondersteunen daarnaast challengegebaseerde MFA.
• Bij Entra ID SSO vindt MFA plaats bij de Identity Provider; lokale Sophos OTP-MFA kan niet extra op dezelfde SSO-login worden toegepast.
• Entra SSO met Sophos Connect vereist onder Windows minimaal clientversie 2.4. WebAdmin SSO is niet beschikbaar op het HA Auxiliary-apparaat.

Voor Remote Access is er de afzonderlijke handleiding Microsoft Entra ID SSO voor Sophos Connect en VPN Portal configureren. Als Entra daarentegen de WebAdmin-login en beheerdersrollen moet sturen, behandelt Entra ID SSO voor Sophos Firewall WebAdmin Role mapping, Least Privilege, de pilotlogin en lokale noodtoegang.

Sophos Connect of SSL VPN: welke oplossing past? helpt bij de keuze van het Remote Access-model; vóór de uitrol moet men bovendien de Sophos Connect-clientversie controleren.

Ongeacht het model begint men met een pilotgroep. Pas wanneer WebAdmin, portalen, echte VPN-clients, groepen, time-outs, logging en fallback werken, worden meer gebruikers toegevoegd.

Tokens en de authenticatie-app instellen

Tokens registreren en beheren

Als Generate OTP token with next sign-in is geactiveerd, meldt de gebruiker zich aan bij VPN Portal of User Portal en scant de QR-code. Beheerders kunnen het token ook in WebAdmin registreren wanneer MFA daar wordt afgedwongen. De QR-code verschijnt alleen voor gebruikers en groepen waarvoor MFA is geconfigureerd.

Onder Authentication > Multi-factor authentication > Issued tokens kan men uitgegeven tokens controleren, tijdelijk uitschakelen, verwijderen of handmatig toevoegen. Daar kunnen ook extra eenmalige codes worden gegenereerd en kan de tijdafwijking van een token worden gecontroleerd of gesynchroniseerd.

Bij verlies van een smartphone of een appwissel wordt het oude token verwijderd nadat de identiteit van de gebruiker is gecontroleerd. Vervolgens meldt de gebruiker zich eenmaal alleen met het wachtwoord aan bij het portaal en registreert de nieuw weergegeven QR-code. Een oud token mag niet ongecontroleerd parallel blijven bestaan.

App en hashalgoritme moeten compatibel zijn

SFOS 22 ondersteunt SHA1, SHA256 en SHA512. Sophos adviseert SHA256 of SHA512, maar de app moet het gekozen algoritme ondersteunen:

• Sophos Intercept X for Mobile en Google Authenticator ondersteunen SHA256 en SHA512.
• Microsoft Authenticator ondersteunt deze twee algoritmen niet in deze Sophos-workflow. Het scannen van de QR-code kan toch lukken, maar de daaropvolgende login mislukt.
• Duo Mobile en Okta Verify behoren tot de door Sophos genoemde apps; hun geschiktheid voor QR-code en algoritme moet passen bij het gebruikte besturingssysteem en de configuratie.
• Andere TOTP-apps worden pas na een echte pilottest goedgekeurd.

Op iOS werkt het scannen van de Sophos-QR-code niet met Google Authenticator, Duo Mobile en Microsoft Authenticator. Maak het account daar handmatig aan met de weergegeven Base32-sleutel. Voor Okta Verify is handmatige Base32-registratie nodig op zowel iOS als Android. Dit verhelpt echter niet het ontbreken van SHA256/SHA512-ondersteuning in Microsoft Authenticator.

De vroegere Sophos Authenticator-app bereikte op 31 juli 2022 het einde van de levensduur en mag niet meer voor nieuwe uitrollen worden gepland.

Voor een migratie van SHA1 naar een sterker algoritme:

1. De pilotapp met SHA256 of SHA512 testen.
2. Het nieuwe algoritme onder Authentication > Multi-factor authentication selecteren.
3. Oude SHA1-tokens onder Issued tokens verwijderen.
4. Gebruikers alleen met hun wachtwoord laten aanmelden en de QR-code of Base32-sleutel opnieuw laten registreren.
5. Gecontroleerde logintests met een juiste en een onjuiste passcode uitvoeren.

Tokens met verschillende algoritmen kunnen tijdens de migratie naast elkaar bestaan. Tokens die niet worden verwijderd, blijven echter hun oude algoritme gebruiken.

Wachtwoord en OTP correct invoeren

Voor native Sophos OTP-logins is het officiële formaat <password><passcode>, zonder spaties of scheidingstekens.

Voorbeeld:

Wachtwoord: MijnVeiligeWachtwoord
OTP-code:   123456
Invoer:     MijnVeiligeWachtwoord123456

Sophos Connect kan via otp: true een afzonderlijk derde invoerveld tonen. De client voegt de code intern aan het wachtwoord toe. Deze weergave verandert het formaat dat naar de authenticatieserver wordt gestuurd niet.

De standaardbeheerder beveiligen en herstellen

MFA voor de standaard admin activeren

De lokale standaardgebruiker admin wordt niet via de normale gebruikerslijst geactiveerd. Open Administration > Device access, schakel MFA for default admin in en stel daar het hardware- of softwaretoken in.

Vooraf moeten een tweede beheerder, de beheertoegang en de consoletoegang werken. Bewaar extra eenmalige codes veilig, bijvoorbeeld in een wachtwoordmanager. De standaard admin blijft een noodaccount en wordt niet voor dagelijks beheer gebruikt.

Andere beheerders kunnen het token van de standaard admin niet activeren, uitschakelen, bewerken of verwijderen. Het geselecteerde globale OTP hash algorithm geldt ook voor dit token.

Herstel via de Device Console

Als het token slechts tijdelijk niet beschikbaar is, kan men via de Device Console een eenmalige login zonder MFA toestaan:

1. Voer 2 in voor System Configuration.
2. Voer 6 in voor Skip multi-factor authentication for next Admin user login.
3. Meld aan bij WebAdmin en controleer het token.

Bij een verloren apparaat of permanent onbruikbaar token wordt MFA gereset:

1. Voer 2 in voor System Configuration.
2. Voer 7 in voor Reset multi-factor authentication for Admin user.
3. Bevestig met y.
4. Meld eenmaal bij WebAdmin aan met alleen het beheerderswachtwoord.
5. Volg de instructies voor een nieuwe MFA-registratie en test daarna opnieuw een login met MFA.

Deze twee opties wijzigen alleen de MFA-status. Als ook het wachtwoord van de standaardbeheerder onbekend is, beschrijft het afzonderlijke artikel over wachtwoordherstel de gedocumenteerde seriële procedure voor fysieke appliances en de beperkingen bij gecombineerd verlies van wachtwoord en MFA.

Testen, logs controleren en uitrollen

Elke service afzonderlijk testen

Een geslaagde WebAdmin-login bewijst niet dat portalen en VPN-clients op dezelfde manier werken. Vóór een brede uitrol test men:

• WebAdmin: De pilotbeheerder met een juiste en een bewust onjuiste OTP aanmelden.
• Default admin: Het afzonderlijke Device Access-pad en de gedocumenteerde herstelprocedure controleren.
• User Portal en VPN Portal: QR- of Base32-registratie en login met <password><passcode> testen.
• SSL VPN en IPsec Remote Access: Echte clients en exact de in productie gebruikte gebruikersgroep testen.
• Sophos Connect: Indien van toepassing het derde OTP-veld, actuele clientprofielen en het gedrag van telefoonoproep/push testen.
• RADIUS of Entra SSO: Time-outs, IdP-logs en het daadwerkelijk ondersteunde challengegedrag controleren.
• Device Access: Toegang vanuit een toegestaan en een niet-toegestaan bronnetwerk testen.

Voer slechts een gecontroleerd aantal mislukte pogingen uit nadat Block login is gecontroleerd. Het verwachte resultaat is niet alleen een succesvolle login: een onjuiste code moet worden geweigerd, de poging moet worden gelogd en de service mag alleen vanuit de beoogde netwerken bereikbaar zijn.

Authenticatielogs correct interpreteren

Controleer in Log viewer geslaagde en mislukte aanmeldingen met service, gebruiker, bron, tijd en gedocumenteerde reden. Afhankelijk van de gebeurtenis geeft SFOS mogelijk alleen een algemene melding zoals onjuiste aanmeldgegevens. Zonder aanvullend bewijs mag men daaruit niet afleiden dat alleen het wachtwoord, de OTP of een verlopen code de oorzaak was.

Bij externe MFA horen RADIUS-, NPS- of IdP-logs bij dezelfde controle. Sophos Firewall-probleemoplossing: services en logs helpt bij lokale logbestanden en de servicetoewijzing. Voor langere bewaring en correlatie is Sophos Firewall Syslog naar een SIEM sturen geschikt.

Voor de brede uitrol

• Pilotgroep met alle benodigde services succesvol getest.
• Tweede beheerder, eenmalige codes en Device Console-herstel gedocumenteerd.
• Gebruikers geïnformeerd over appregistratie en wachtwoord plus OTP.
• Tokenreset voor verloren of nieuwe smartphones geregeld.
• Device Access, loginblokkades en centrale logbewaring gecontroleerd.
• Verantwoordelijkheden, time-outs en fallback voor externe MFA vastgelegd.

Probleemoplossing

Token, QR-code en invoer

OTP-code wordt niet geaccepteerd

Vergelijk eerst de tijd op firewall en smartphone, de gebruikte app, het hashalgoritme en de tijdstap. Onder Issued tokens kan men de tijdafwijking controleren en synchroniseren. Na een algoritmemigratie moet het oude token zijn verwijderd en opnieuw geregistreerd.

Plan een wijziging van de NTP-server afzonderlijk, omdat de firewall daarbij bestaande IPsec-tunnels opnieuw verbindt.

QR-code verschijnt niet of kan niet worden gescand

De gebruiker moet tot de geselecteerde MFA-groep behoren en zich bij VPN Portal of User Portal aanmelden. Beheerders kunnen zich ook in WebAdmin registreren wanneer MFA daar actief is. Daarnaast moeten het portaal en de bron onder Administration > Device access zijn toegestaan.

Gebruik op iOS of met Okta Verify de Base32-sleutel in plaats van de QR-code te scannen wanneer de genoemde beperkingen gelden.

Login meldt een onjuist wachtwoord

Bij een native Sophos OTP-login moet de passcode direct achter het wachtwoord worden ingevoerd. Zonder afzonderlijk OTP-veld is alleen het wachtwoord onvolledig.

Toegang, groepen en Remote Access

Portaal is niet bereikbaar

Controleer eerst zone, bron en de benodigde service onder Administration > Device access. Een strikte Local Service ACL Exception Rule is veiliger dan een algemene WAN-toelating.

MFA geldt niet voor Remote Access

De MFA- en Remote Access-configuraties moeten dezelfde daadwerkelijk geïmporteerde gebruikersgroep gebruiken. Importeer of distribueer daarna het clientprofiel opnieuw en test de verbinding met de echte client. Vóór de eerste VPN-verbinding moet het token via VPN Portal of User Portal zijn geregistreerd.

MFA geldt slechts voor een deel van de gebruikers

Vergelijk niet alleen zichtbare groepsnamen, maar controleer de groepen die daadwerkelijk via AD, LDAP, RADIUS of Entra ID worden gematcht. Nadat een AD-gebruiker uit een MFA-groep is verwijderd, kan nog één laatste login met MFA nodig zijn; pas volgende logins vereisen geen OTP meer.

Lockout en externe MFA

Beheerder is buitengesloten

Gebruik voor de standaard admin de hierboven beschreven Device Console-optie 6 of 7. Gebruik voor een andere beheerder de voorbereide tweede beheerder vanuit een toegestane bron en controleer daarna groepen, token en de status van de loginblokkade.

RADIUS- of Entra-MFA werkt niet betrouwbaar

Controleer RADIUS-time-outs, IdP-logs, groepen en het challengegedrag van de specifieke service. Een geslaagde test van de authenticatieserver bewijst nog geen productielogin via VPN Portal, Sophos Connect of WebAdmin. Test elk van deze paden afzonderlijk.