Een RADIUS-server instellen en testen op Sophos Firewall

RADIUS verbindt Sophos Firewall met Microsoft NPS, een MFA-gateway of een andere centrale authenticatieservice. Bereid eerst de tegenpartij en het netwerkpad voor. Maak daarna de server aan onder Authentication > Servers en wijs deze onder Authentication > Services alleen toe aan de vereiste aanmeldservices. Rond de configuratie af met een echte aanmelding en controleer daarbij de gebruiker, groep en regels.

Voor traditionele gebruikers- en groepsquery’s vanuit een Windows-domein is een directe Active Directory-koppeling met Sophos Firewall vaak geschikt. Voor moderne scenario’s voor externe toegang kan Microsoft Entra ID SSO voor Sophos Connect en VPN Portal een geschiktere architectuur zijn. Als de firewall reeds geauthenticeerde wifi-gebruikers moet herkennen aan de hand van binnenkomende accountingpakketten, geldt een andere procedure: RADIUS SSO met accounting instellen op Sophos Firewall.

Wanneer RADIUS zinvol is

De firewall stuurt de gebruikersnaam en aanmeldgegevens naar de RADIUS-server. Daar bepalen de gebruikersbron, Network Policy en eventueel MFA of de server Access-Accept of Access-Reject retourneert. Pas daarna bepalen de lokale gebruikersgroep, het VPN-beleid en de firewallregels welke bronnen toegankelijk zijn.

Authenticatie- en autorisatiegegevens worden in het RADIUS-model opgeslagen in gebruikersprofielen. Toegang tot een service wordt alleen verleend als het verzoek overeenkomt met de beoogde attributen, bijvoorbeeld het IP-adres van de RADIUS-client die het verzoek doet. Het Shared Secret beschermt daarbij de gebruikerswachtwoorden; dit betekent niet dat het volledige RADIUS-transport wordt versleuteld.

Typische toepassingen zijn:

• Remote Access VPN met Microsoft NPS of een MFA-service;
• centrale aanmelding bij User Portal, VPN Portal of Captive Portal;
• een overgangssituatie waarin AD of LDAP niet rechtstreeks met de firewall mag worden verbonden;
• meerdere netwerkapparaten die dezelfde RADIUS-service gebruiken.

Een door de firewall beheerd zakelijk wifi-netwerk gebruikt daarnaast de serverselectie onder Wireless > Wireless settings. De volledige 802.1X-procedure staat daarom in Wifi rechtstreeks op Sophos Firewall instellen.

In een door SFOS beheerd zakelijk wifi-netwerk bevatten Accounting Request en Accounting Response sessie- en accountinginformatie. Ze staan los van de Access-verzoeken, -antwoorden en -challenges voor de aanmelding. Voor dit draadloze pad documenteert Sophos accountingondersteuning op alle apparaten met wifi-functionaliteit; het Wireless Network moet 802.1X gebruiken en accounting op de RADIUS-server moet zijn ingeschakeld. De gekoppelde wifi-handleiding verklaart de afzonderlijke poorten en het ontbreken van Interim Accounting Updates. Accountingondersteuning is geen toezegging van ondersteuning voor een secundaire RADIUS-server.

Uitgangssituatie en terugvalprocedure vastleggen

Noteer voordat u een productieservice wijzigt onder Authentication > Services voor elke betrokken sectie:

• de geselecteerde servers en hun volgorde;
• de status van Set authentication methods same as firewall, Same as VPN of Same as firewall;
• de huidige Default group voor firewallauthenticatie;
• een gebruiker van wie aantoonbaar is dat de bestaande methode werkt.

Laat tijdens de wijziging van beheerdersaanmeldingen een bestaande WebAdmin-sessie open. Controleer daarnaast een lokale superbeheerder via een beheerpad dat al is toegestaan. De serverselectie voor beheerders geldt niet voor deze superbeheerder. Wijzig een externe beheerdersaanmelding desondanks nooit zonder eerst een werkende lokale terugvalmogelijkheid te bevestigen.

De RADIUS-verbinding plannen

Rollen, netwerkpad en protocollen

In een NPS-omgeving is Sophos Firewall de RADIUS-client en NPS de RADIUS-server. NPS toetst het verzoek aan zijn Connection Request Policy en Network Policy en doorgaans ook aan Active Directory. Een daaropvolgend VPN-beleid of een firewallregel blijft bepalend voor de daadwerkelijke toegang.

De algemene SFOS 22-help beschrijft de communicatie tussen de firewall en RADIUS-server met PAP. Onder Authentication > Services vermeldt Sophos voor L2TP- en PPTP-verbindingen echter PAP, CHAP en MSCHAPv2. Deze protocolmatrix toont niet aan dat dezelfde methoden gelden voor IPsec of andere aanmeldpaden. Controleer daarom de service, client en op de RADIUS-server toegestane methode in samenhang.

Traditioneel RADIUS gebruikt UDP. Het gedocumenteerde SFOS-scherm bevat geen velden voor TLS of certificaten. Laat dit verkeer daarom uitsluitend via een gecontroleerd intern of anderszins beveiligd pad lopen. Een sterk Shared Secret is geen vervanging voor segmentatie of een strikt beperkte toegang tussen de firewall en de RADIUS-server.

Oudere tegenpartijen kunnen afwijkende poorten verwachten, zoals 1645/UDP en 1646/UDP. De daadwerkelijk aan beide kanten geconfigureerde poorten zijn bepalend, niet deze historische waarden.

Voorbeeldwaarden bewust kiezen

Deze handleiding gebruikt:

• servernaam NPS-HQ-RADIUS;
• server-IP 10.20.30.15;
• Authentication-poort 1812;
• Accounting-poort 1813;
• Time-out 5 seconden;
• Domain name corp.example.

Vervang 10.20.30.15 en corp.example door het interne adres en de eigen naamgevingsconventie. Vijf seconden is een beginwaarde voor een rechtstreekse wachtwoordcontrole, geen standaardwaarde van Sophos. Bij pushmeldingen, telefonische oproepen of een externe challenge moet de waarde binnen het door SFOS toegestane bereik van 1 tot 60 seconden aansluiten op de provider en de daadwerkelijke client.

Het Shared secret is het gedeelde technische geheim van de RADIUS-client en -server, niet het wachtwoord van een gebruiker. Sophos beperkt dit tot 48 tekens. Wissel de waarde via een afzonderlijk beveiligd kanaal uit, sla deze veilig op en voer deze aan beide kanten exact hetzelfde in. RADIUS verstuurt het geheim zelf niet via het netwerk.

De RADIUS-server aanmaken onder Authentication

Het menupad is Authentication > Servers.

1. Open Add en selecteer bij Server type de optie RADIUS server.
2. Voer bij Server name bijvoorbeeld NPS-HQ-RADIUS in.
3. Voer bij Server IP het interne IP-adres van de RADIUS-server in, in dit voorbeeld 10.20.30.15.
4. Stem Authentication port af op de server, doorgaans 1812.
5. Stel Time-out in. Voor de eerste rechtstreekse test gebruikt het voorbeeld 5 seconden.
6. Schakel Enable accounting alleen in als de tegenpartij accountinggegevens moet verwerken. Stem in dat geval ook Accounting port, doorgaans 1813, af.
7. Voer het Shared secret exact in zoals bij de tegenpartij.
8. Stel desgewenst Domain name in. Bij parallel gebruik van AD en RADIUS voorkomt een consistent domein dat dezelfde persoon als verschillende lokale gebruikersobjecten verschijnt. Met Domain name wordt bij de eerste aanmelding automatisch een lokaal gebruikersobject in het formaat user@domainname aangemaakt. Zonder deze waarde ontstaat bij RADIUS een gebruiker zonder domein, terwijl AD een gebruikersobject met domeinkwalificatie aanmaakt; zo kunnen twee lokale gebruikersobjecten voor dezelfde persoon ontstaan.
9. Vul Group name attribute alleen in als aantoonbaar is dat de tegenpartij het verwachte attribuut levert. De Sophos-help omschrijft dit als een alias voor de geconfigureerde groepsnaam, maar documenteert hier geen algemene toewijzing van willekeurige NPS-attributen aan lokale groepen.
10. Open Enable additional settings alleen bij een passend beleid. NAS-identifier identificeert de Network Access Server die het verzoek doet, bijvoorbeeld met een FQDN. NAS-port-type beschrijft het poorttype van de aanmelding.
11. Voer Test connection uit met een eigen testgebruiker en selecteer vervolgens Save.

De firewall ondersteunt in totaal maximaal 20 geconfigureerde authenticatieservers. Ook per authenticatiemethode onder Authentication > Services kunnen maximaal 20 servers worden geselecteerd.

API-grenzen voor SFOS 22 en 23

Lees voor automatisering de API-referenties los van de WebAdmin-procedure. De volgende opmerkingen beschrijven de documentatie, niet hier getest appliancegedrag; ze vormen geen uitvoerbaar Add/Edit-verzoek.

• XML-voorbeeld en parametertabel: Het voorbeeld plaatst RADIUSServer binnen AuthenticationServer. Het gebruikt ServerAddress, Port en DomainName; de tabel gebruikt daarentegen ServerIP, AuthenticationPort en domainName. Beschouw deze schrijfwijzen niet als onderling uitwisselbaar op basis van veronderstelde tagnormalisatie.
• Accounting: De commentaarregel in het voorbeeld zegt dat AccountingPort moet worden opgenomen om accounting in te schakelen; zonder deze parameter is accounting uitgeschakeld. Dit bewijst geen getest gedrag bij het weglaten van een veld tijdens Edit of een gedeeltelijke update. 2222 is alleen de waarde uit het XML-voorbeeld, niet de WebAdmin-standaard 1813; verwijder de beoogde accountingpoort niet stilzwijgend uit gegenereerde XML.
• Onopgehelderde waarden: Voor IntegrationType toont het voorbeeld LooseIntegration/TightIntegration, maar de tabel vermeldt Only '1' are allowed.; voor ServerType staat er Only '4' are allowed.. Leid hieruit geen enumkoppeling of geldige verzoekwaarden af. Voor wijzigingen blijft de WebAdmin-procedure hierboven de veilige route zolang de API-syntaxis voor de gebruikte versie niet is opgehelderd.
• API-invoergrenzen: ServerName is een tekenreeks van maximaal 50 tekens; UTF-8 is toegestaan, komma’s zijn verboden. GroupNameAttribute en domainName zijn tekenreeksen van elk maximaal 50 tekens. AuthenticationPort is een geheel getal van 1 tot 65535, met maximaal 5 cijfers en de gedocumenteerde standaardwaarde 1812. De tabel markeert ServerIP, AuthenticationPort, SharedSecret en GroupNameAttribute met Yes onder Mandatory; het WebAdmin-advies hierboven over Group name attribute maakt het API-veld niet optioneel. Dit zijn grenzen uit de API-referentie, geen nieuw bevestigde GUI-beperkingen.
• Delete en identiteit: Ook Delete documenteert ServerName als serveridentificatie met dezelfde naamgrenzen. Gebruik voor de beoogde verwijdering de exacte bestaande naam, niet een opnieuw genormaliseerde naam. Hoewel Add/Edit en Delete voor ServerName de aanduiding Mandatory: No met een lege Default-cel tonen, bewijst dit noch verwijderen zonder naam, noch verwijderen met wildcards of in bulk. De controles van servicetoewijzingen en de veilige terugvalprocedure hieronder blijven nodig.

API-opmerking voor SFOS 23: De API-referentie voor het toevoegen en bewerken van RADIUS-servers voegt de optionele parameter EmailAddressAttribute (tekenreeks, maximaal 50 tekens) toe en neemt deze op in het XML-voorbeeld voor RADIUSServer. Er wordt geen standaardwaarde vermeld. Deze opmerking betreft de API-documentatie, niet een extra WebAdmin-veld.

API-antwoorden bij de migratie van SFOS 22 naar 23: Voor bestaande automatisering veranderen de gedocumenteerde antwoordklassen bij het toevoegen en bewerken van RADIUS-servers. De API-referenties vermelden de volgende waarden in de kolom Status:

Controleer de verwerking van antwoorden daarom afzonderlijk per SFOS-versie en bewerking; logica die uitsluitend op de eerdere foutwaarden is gebaseerd, volstaat niet voor SFOS 23. Deze waarden zijn gedocumenteerde API-statuswaarden, geen bewijs van HTTP-statuscodes. De JavaScript-sleutels in de kolom Message bewijzen geen specifieke antwoordtekst tijdens runtime. De tabellen bieden noch een eenduidige koppeling van elke oude fout aan een nieuwe, noch een regel voor opnieuw proberen.

Accounting correct interpreteren

Met Enable accounting stuurt de firewall voor ondersteunde clienttypen bij het aanmelden een Accounting-Start-bericht en bij een normale afmelding een Accounting-Stop-bericht. Sophos noemt hiervoor Windows client, HTTP client, Linux client, Android, iOS, iOS HTTP client, Android HTTP client en API client. De Start- en Stop-verzoeken bevatten ook het tijdstip van respectievelijk de aanmelding en de afmelding.

Bij het afsluiten of opnieuw opstarten van de firewall wordt geen Accounting-Stop verzonden. Als een sessie op de RADIUS-server open blijft staan, controleer dan het tijdstip van de herstart in combinatie met de RADIUS-logs. Deze uitgaande accountingfunctie is niet hetzelfde als binnenkomende RADIUS SSO Accounting, waarmee de firewall externe sessies leert kennen.

Microsoft NPS als tegenpartij voorbereiden

Op NPS moet Sophos Firewall als RADIUS-client zijn toegevoegd. Voer in de console Network Policy Server minimaal de volgende controles uit:

1. Open RADIUS Clients and Servers > RADIUS Clients.
2. Maak een New RADIUS Client aan met een unieke Friendly name, bijvoorbeeld Sophos-Firewall-HQ.
3. Voer bij Address (IP or DNS) het adres in waarvan NPS het verzoek daadwerkelijk ontvangt.
4. Selecteer bij Vendor doorgaans RADIUS standard.
5. Voer hetzelfde Shared secret in als op de firewall.
6. Controleer in de toepasselijke Connection Request Policy en Network Policy de voorwaarden, toegangsbeslissing en toegestane authenticatiemethode voor de testgebruiker.
7. Zorg dat Event Viewer en de NPS-accountinglogs beschikbaar zijn voor de validatie.

Bij HA-clusters, gerouteerde verbindingen of NAT mag u het NPS-clientadres niet afleiden uit de topologie. Een eerste test toont in NPS welk bron-IP-adres daadwerkelijk binnenkomt. Als het verzoek helemaal ontbreekt of NPS het niet kan valideren, controleert u eerst de routering, UDP-toegang, het RADIUS-clientadres en het Shared Secret. Een normale Access-Reject wijst daarentegen op de gebruiker, het beleid of de authenticatiemethode.

RADIUS aan de juiste services toewijzen

Na het opslaan is het serverobject nog voor geen enkele aanmelding actief. Onder Authentication > Services zijn in SFOS 22 de volgende secties beschikbaar:

• Firewall authentication methods;
• User portal authentication methods;
• VPN portal authentication methods;
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods;
• Administrator authentication methods;
• SSL VPN authentication methods.

Voor User Portal, VPN Portal, VPN en beheerders kan de serverselectie gekoppeld zijn aan de firewallauthenticatie. SSL VPN biedt Same as VPN en Same as firewall. Controleer daarom vóór een wijziging eerst of de betrokken sectie een eigen lijst of een gekoppelde lijst gebruikt.

Voeg voor een beperkte testfase NPS-HQ-RADIUS alleen aan de vereiste sectie toe, plaats de server op de geplande positie en selecteer Apply. De firewall bevraagt meerdere servers in de weergegeven volgorde. Als dezelfde gebruiker zich al via een eerdere server met succes kan aanmelden, wordt een verderop geplaatste RADIUS-MFA-policy niet bereikt.

Captive Portal en Default Group

Captive Portal heeft onder Authentication > Services geen eigen sectie. Het gebruikt Firewall authentication methods. Daarnaast moet de beoogde zone onder Administration > Device access zijn toegestaan voor Captive portal en moet een gebruikersgebaseerde firewallregel correct zijn geconfigureerd. Een officiële functietest is aanmelden via https://<firewall-ip>:8090.

De Default group onder Firewall authentication methods is relevant voor de beveiliging. Bij de eerste succesvolle aanmelding voor een firewallservice wordt een externe gebruiker aangemaakt onder Authentication > Users. Als er geen passende lokale groepstoewijzing bestaat, wordt de geconfigureerde Default Group gebruikt. Controleer vóór de testfase het beleid van deze groep en alle regels waarin de groep wordt gebruikt. Een Default Group met te ruime rechten mag niet ongemerkt als terugvaloptie fungeren.

Challenge-MFA per service afbakenen

Volgens de SFOS 22-help ondersteunt VPN Portal geen RADIUS-authenticatie met challengegebaseerde MFA. Een geslaagde Test connection zegt daarom niets over dit portalpad. Push, Call, OTP en Challenge zijn evenmin onderling uitwisselbaar: test elke beoogde client en service afzonderlijk. Voor lokale Sophos Firewall-MFA volgt u de aparte procedure in MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access inschakelen.

De configuratie valideren

1. Verbinding en tegenpartij

Open onder Authentication > Servers de server NPS-HQ-RADIUS en voer Test connection uit met de testgebruiker. Controleer tegelijkertijd in NPS of in de logs van de andere tegenpartij:

• het verzoek is afkomstig van het verwachte firewalladres;
• de juiste policy verwerkt het verzoek;
• het resultaat is Access-Accept;
• de verwachte retourattributen zijn aanwezig.

De test bevestigt de aanmeldgegevens en servercommunicatie. De test bevestigt nog niet de servicevolgorde, VPN-policy, lokale groep of firewallregel.

2. De daadwerkelijke service testen

Meld dezelfde gebruiker daarna aan via precies de beoogde service. Voor Captive Portal, SSL VPN, IPsec, User Portal en WebAdmin gelden verschillende voorwaarden. Voor WebAdmin moet de externe gebruiker bovendien het beoogde beheerdersprofiel krijgen; een geslaagde RADIUS-aanmelding alleen verleent geen beheerdersrechten. Laat niet-benodigde paden ongewijzigd. Sophos Firewall SSL VPN Remote Access instellen behandelt voor SSL VPN het beleid, Device Access en de firewallregel.

Controleer na een geslaagde aanmelding:

1. Onder Authentication > Users de lokale gebruiker, Domain en de daadwerkelijke Main Group.
2. Onder Current activities > Live users de actieve sessie; beëindig deze daar zo nodig met Disconnect.
3. Open in Log viewer rechtsboven in WebAdmin de module Authentication en filter op gebruiker, bron-IP-adres en een kort testtijdsvenster.
4. Controleer in het verkeerslog de daadwerkelijke Firewall Rule ID en uitsluitend de toegestane doelbron.
5. Test het negatieve scenario met een gebruiker die niet onder de toegestane NPS-policy valt.

Als de aanmelding werkt maar de toepassing onbereikbaar blijft, controleert u de zone, VPN-IP-pool, groep, regelpositie, NAT en routering. Sophos Firewall-regel wordt niet toegepast: oorzaken controleren leidt u door dit gegevenspad. Als de identiteit, serviceselectie of Main Group al onduidelijk is, raadpleegt u Authenticatiefouten op Sophos Firewall systematisch oplossen.

Problemen aan de hand van waarnemingen afbakenen

De tegenpartij ontvangt geen verzoek

Controleer eerst de waarden die onder Server IP en Authentication port zijn geconfigureerd. Controleer daarna de routering en de toegang voor UDP 1812 tussen het bronadres dat de firewall gebruikt en 10.20.30.15. Een RADIUS-serverobject maakt niet automatisch een transit-firewallregel aan.

Voor een door SFOS beheerd draadloos netwerk documenteert Sophos een strikt afgebakende uitzonderingssituatie: als de RADIUS-server via een IPsec-tunnel met de firewall is verbonden, is voor de accesspointnetwerken een Source-NAT-toewijzing nodig. Deze vertaalt het bron-IP-adres naar precies het IP-adres van de firewall waarmee deze de RADIUS-server bereikt. De Wireless-help verwijst hiervoor naar een configuratie via de shell met sys-traffic-nat, maar geeft hier geen volledige uitvoerbare opdracht. Vóór een wijziging moeten de accesspointnetwerken, het daadwerkelijk gebruikte bronadres, het firewalladres voor de bronvertaling, de tunnel, het retourpad en de RADIUS-logs aantoonbaar zijn vastgesteld. Zonder bevestigde syntaxis blijft de concrete shellconfiguratie, inclusief controle en terugdraaien, een zaak voor gerichte technische escalatie. Voor andere RADIUS-paden toont deze wifi-handleiding geen algemene NAT-vereiste aan. Een LAN-naar-VPN-regel of een voorbeeld van een Forwarding-IPsec-route vervangt deze procedure voor systeemverkeer niet.

NAT voor systeemverkeer op een bevestigd Wireless-IPsec-pad

De afzonderlijke CLI-help van SFOS 22 en 23 documenteert de onderstaande syntaxis. Dit is een aan de documentatie getoetst voorbeeld, geen hier uitgevoerde appliance-test. Het vult de hierboven beschreven draadloze uitzonderingssituatie aan; het vervangt niet de controle van de AP-netwerken of de planning van de tunnel en het retourpad.

⚠️ Vóór de wijziging: Een NAT-wijziging kan authenticatie en andere systeemservices naar dezelfde bestemming onderbreken. Zorg voor een back-up, onderhoudsvenster en onafhankelijke beheerderstoegang. De RADIUS-bestemming, waargenomen bron-IP, vereiste firewall-IP, IPsec-selectors of route, het retourpad en het NPS-clientadres moeten op elkaar aansluiten. Als dit pad niet is bevestigd, blijft technische escalatie nodig.

Meld u met beheerdersrechten aan bij de Command-line console en selecteer 4 – Device Console, niet de Advanced Shell. Leg eerst de bestaande configuratie vast met deze alleen-lezen opdracht:

show advanced-firewall

Het onderstaande IPv4-voorbeeld geldt alleen als 10.20.30.15 de RADIUS-server is en 10.40.50.1 precies het firewall-IP is dat voor dit pad is bedoeld. Vervang beide adressen. 255.255.255.255 beperkt de bestemming tot één host; een ruimer masker omvat extra bestemmingen. De opdracht heeft geen bronnetwerk- of poortfilter: deze selecteert niet uitsluitend één AP-netwerk of UDP 1812. Zonder interface geldt de toewijzing voor verkeer naar deze bestemming via elke firewallinterface. Een geverifieerde parameter interface <interface> kan het bereik beperken; raad geen interfacenaam. Overschrijf of verwijder bestaande of overlappende toewijzingen niet zonder onderzoek.

Voeg de toewijzing alleen toe als deze neveneffecten uitdrukkelijk zijn goedgekeurd en er nog geen geschikte toewijzing bestaat:

set advanced-firewall sys-traffic-nat add destination 10.20.30.15 netmask 255.255.255.255 snatip 10.40.50.1
show advanced-firewall

Controleer daarna met een echte wifi-testclient 802.1X, Accounting-Start en normaal afmelden met Accounting-Stop. De RADIUS-logs moeten het verwachte firewall-bron-IP, de beslissing Access-Accept en ontvangen accounting tonen; controleer ook de tunnel, het antwoordpad en andere services naar dezelfde bestemming. Een weergegeven NAT-toewijzing bewijst op zichzelf niet dat aanmelden werkt. Verruim bij afwijkingen de toegangsregels niet.

Om uitsluitend de nieuw toegevoegde voorbeeldtoewijzing terug te draaien, gebruikt u dezelfde aangepaste waarden met delete. Als u interface hebt toegevoegd, gebruikt u bij het verwijderen dezelfde parameter:

set advanced-firewall sys-traffic-nat delete destination 10.20.30.15 netmask 255.255.255.255 snatip 10.40.50.1
show advanced-firewall

Vergelijk met de vastgelegde uitgangssituatie en test de oorspronkelijke authenticatie en betrokken systeemservices opnieuw. Een consolefout of onduidelijke vermelding is een reden om te stoppen, niet om alles te resetten.

NPS antwoordt met Access-Reject

Een Reject toont aan dat het netwerkpad en de poort in principe werken. Controleer nu in NPS de Reason Code, de toepasselijke Network Policy, de gebruikersstatus en de toegestane authenticatiemethode. Een onjuist Shared Secret leidt daarentegen tot ontbrekende, ongeldige of niet-verifieerbare antwoorden.

Test connection werkt, maar de serviceaanmelding niet

Controleer onder Authentication > Services de juiste sectie, koppelingsoptie, servervolgorde en Apply. Controleer voor Captive Portal daarnaast Device access en de gebruikersgebaseerde firewallregel. Voor SSL VPN moeten het Policy Member, de SSL VPN-toegang onder Device Access en de vereiste firewallregel kloppen.

De aanmelding werkt, maar de verkeerde groep wordt toegepast

Bekijk onder Authentication > Users Domain en Main Group. Vergelijk vervolgens Group name attribute, de retourattributen van de tegenpartij en Default group. Een geslaagde authenticatie bewijst niet dat de verwachte autorisatie wordt toegepast. De negatieve testgebruiker moet daarom aantoonbaar worden geweigerd op grond van de groeps- of NPS-voorwaarde.

Push of Challenge eindigt met een time-out

Gebruik de daadwerkelijke client en vergelijk de tijdstippen in de firewall-, NPS- en MFA-providerlogs. Verhoog de SFOS-time-out alleen binnen het bereik van 1 tot 60 seconden en kies de laagste waarde die het normale challengeproces betrouwbaar afhandelt. Challengegebaseerde RADIUS-MFA op VPN Portal kan niet met een langere time-out worden hersteld, omdat Sophos dit pad niet ondersteunt.

Veilig terugdraaien

Als de testfase mislukt, herstelt u in de betrokken sectie onder Authentication > Services de eerder genoteerde serverlijst en volgorde, de koppelingsopties en de Default group. Selecteer vervolgens Apply. Meld daarna de referentiegebruiker aan via de oorspronkelijke methode en controleer de lokale superbeheerder.

Verwijder NPS-HQ-RADIUS pas uit andere servicetoewijzingen wanneer alle betrokken services weer werken. Verwijder het serverobject onder Authentication > Servers alleen als het niet meer zal worden gebruikt. Zet op NPS de client, policy en het Shared Secret terug naar de gedocumenteerde uitgangssituatie. Reeds aangemaakte lokale gebruikersobjecten moeten afzonderlijk worden gecontroleerd. Het verwijderen ervan beëindigt niet automatisch alle bestaande sessies; controleer daarom ook Current activities > Live users.

Beheer

RADIUS is een productie-identiteitsservice. Na wijzigingen aan NPS, de MFA-provider, AD of de servicevolgorde horen een echte positieve en negatieve aanmelding bij de validatie. Documenteer het Shared Secret beveiligd en roteer het volgens planning. Richt monitoring in voor de tegenpartij en leg de bewaartermijn voor de beslissingslogs vast. Zo blijft inzichtelijk of een fout vóór de firewall, tijdens de authenticatie of pas bij de autorisatie is ontstaan.

FAQ