RADIUS SSO met accounting configureren op Sophos Firewall

RADIUS SSO meldt een gebruiker zonder extra captive portal aan op Sophos Firewall. De gebruiker heeft zich al geverifieerd op een draadloos netwerk, een network access server of een ander RADIUS-systeem. Daarna ontvangt de firewall een RADIUS-accountingpakket met gebruikersnaam en client-IP en kan deze koppeling voor gebruikersgebaseerde regels gebruiken.

Het doorslaggevende punt is niet alleen een geslaagde 802.1X-aanmelding. De firewall moet een bruikbare Accounting-Start ontvangen van exact de geconfigureerde afzender. Voor Wi-Fi SSO gebruikt Sophos de Framed-IP-Address uit dit startpakket. Ontbreekt de client-IP, dan kent de firewall mogelijk de gebruikersnaam, maar kan deze niet aan verkeer koppelen.

⚠️ RADIUS SSO is niet hetzelfde als Enable accounting bij het RADIUS-serverobject. Onder Authentication > Servers betekent Enable accounting dat de firewall accounting naar een RADIUS-server stuurt. Onder Authentication > Services > SSO using RADIUS accounting request ontvangt de firewall juist accounting van een RADIUS-client en maakt daaruit een gebruiker-IP-koppeling.

De huidige Sophos-procedure bevestigt deze werkwijze voor door SFOS beheerde APX-access points. Ze geeft geen algemene goedkeuring voor AP6 of willekeurige controllers van derden. Bevestig voor een ander platform vóór productiegebruik bij de fabrikant en zo nodig bij Sophos Support dat hetzelfde proxy- en attribuutpad wordt ondersteund. Een technisch passend testpakket verruimt op zichzelf de gedocumenteerde supportomvang niet.

Korte procedure

1. Voor de officieel beschreven werkwijze APX met 802.1X gebruiken en de RADIUS-accountingserver als proxy naar de firewall configureren.
2. De werkelijke afzender, het bestemmingsadres van de firewall, UDP-poort 1813 en een sterk shared secret vastleggen.
3. Onder Authentication > Services > SSO using RADIUS accounting request het afzender-IP en shared secret invoeren.
4. Onder Administration > Device access de service RADIUS SSO alleen voor deze afzender en het juiste firewalladres toestaan.
5. Een nauw begrensde gebruikersregel met Match known users en logging voorbereiden.
6. Een echte client verbinden en het accountingpakket op de firewall controleren.
7. Onder Current activities > Live users het clienttype RADIUS SSO, de gebruiker en het juiste client-IP controleren.
8. Pas daarna toegestaan en bewust niet toegestaan verkeer met de verwachte Firewall Rule ID testen.

Wanneer RADIUS SSO geschikt is

RADIUS SSO is vooral geschikt voor 802.1X-wifinetwerken of netwerktoegangssystemen waarbij de verificatie al buiten de firewall plaatsvindt. De firewall kan de gebruiker dan zonder tweede browseraanmelding herkennen.

De procedure vereist een eenduidige relatie tussen gebruiker en IPv4-adres. Typische voorwaarden zijn:

• De client krijgt een IPv4-adres dat Sophos Firewall ook als verkeersbron ziet.
• De accountingafzender kent de gebruikersnaam en dit client-IP.
• De accounting start bereikt rechtstreeks een firewalladres en zonder onverwachte source-NAT-wijziging.
• De RADIUS-afzender kan Framed-IP-Address in het startpakket leveren.
• Gebruikers- of groepsobjecten en de bijbehorende firewallregel zijn al gepland.

RADIUS SSO vervangt STAS op Sophos Firewall niet wanneer Windows-aanmeldgebeurtenissen uit Active Directory de identiteitsbron zijn. Ook kunnen meerdere gebruikers achter hetzelfde RDS- of Citrix-IP niet met RADIUS SSO afzonderlijk worden behandeld. Afhankelijk van het verkeer passen SATC voor Remote Desktop Services of per-connection AD SSO via de direct web proxy beter.

Wanneer de procedure moet stoppen

Niet in productie activeren zolang een van deze punten openstaat:

• Het accountingpakket bevat geen gebruikersnaam of Framed-IP-Address.
• Het adres in het pakket verschilt van het bron-IP dat de firewall later in het gebruikersverkeer ziet.
• Meerdere gebruikers delen hetzelfde client-IP.
• De werkelijke afzender of het firewallbestemmingsadres is door NAT, HA of routing niet eenduidig.
• De RADIUS-client kan alleen een volledig niet-vertrouwd netwerk gebruiken in plaats van een vast bronadres.
• De bestaande regelstrategie voor onbekende of niet meer aangemelde gebruikers is niet duidelijk.

Het accountingpad begrijpen

Bij klassieke RADIUS-verificatie stuurt de firewall een Access-Request naar de RADIUS-server. Bij RADIUS SSO is de richting omgekeerd:

1. Een client verifieert zich op het door SFOS beheerde APX via de RADIUS-server die onder Wireless > Wireless settings is geselecteerd.
2. Het APX stuurt accounting via de firewall naar die server. De server is tevens als accountingproxy ingesteld en stuurt het bericht terug naar de firewall.
3. Sophos Firewall ontvangt het doorgestuurde pakket op zijn RADIUS SSO-service.
4. Als het afzender-IP overeenkomt met RADIUS client IPv4 en het shared secret klopt, verwerkt de firewall het bericht.
5. Gebruikersnaam en Framed-IP-Address verschijnen als koppeling onder Live users.
6. Pas het daaropvolgende gebruikersverkeer kan een regel met Match known users raken.

In de officiële APX-werkwijze is de RADIUS-server zowel het verificatie- en accountingdoel als de proxy die APX-accountingpakketten naar de firewall doorstuurt. NPS heeft daarvoor een passende RADIUS-proxyconfiguratie nodig. Voor RADIUS client IPv4 telt het bron-IP van dit doorgestuurde pakket. Een algemene claim als ‘RADIUS Accounting ondersteund’ bewijst noch support voor dit ontwerp, noch de aanwezigheid van gebruikersnaam en client-IP in de accounting start.

Compleet voorbeeld

Deze handleiding gebruikt de volgende voorbeeldwaarden:

• RADIUS- of accountingafzender: 10.10.20.15
• Firewalladres voor RADIUS SSO: 10.10.20.1
• Wificlient: 10.30.40.50
• Accountingbestemmingspoort: UDP 1813
• Gebruiker: EXAMPLE\alex.muster
• Gebruikersregel: RADIUS-SSO-WiFi-Out

De adressen komen uit private voorbeeldnetwerken en worden vervangen door de echte management-, server- en clientnetwerken. Als RADIUS client IPv4 wordt niet automatisch het IP van de verificatieserver ingevoerd, maar het bron-IP dat werkelijk in de packet capture op de firewall zichtbaar is.

De tegenpartij voorbereiden

Controleer in het officieel beschreven APX-ontwerp afzonderlijk de verificatie, accounting naar de RADIUS-server en de proxyretourroute naar de firewall. Een geslaagde 802.1X-aanmelding bewijst niet dat de RADIUS-server accounting naar Sophos Firewall doorstuurt.

Bereid de tegenpartij minimaal als volgt voor:

1. Het APX en 802.1X-wifinetwerk onder Wireless configureren en de RADIUS-server onder Wireless > Wireless settings selecteren.
2. Accounting op de RADIUS-server activeren en deze als accountingproxy naar firewalladres 10.10.20.1 configureren.
3. UDP 1813 gebruiken voor doorsturen naar de firewall.
4. Voor dit pad een eigen sterk shared secret configureren.
5. Accounting start pas versturen wanneer de client-IP bekend is.
6. Zorgen dat gebruikersnaam en Framed-IP-Address zijn opgenomen.
7. Bron-IP, routing en eventuele NAT-vertaling naar de firewallinterface documenteren.

Een accounting stop of update kan bij bepaalde producten het sessiebeheer verbeteren. De openbare Sophos-help noemt voor Wi-Fi SSO echter uitdrukkelijk het IP uit de accounting start als aanmeldingsbasis. Een latere update mag daarom een onvolledig startpakket niet als succescriterium vervangen.

Bij door SFOS beheerde APX-installaties kan de DHCP-timing een rol spelen. Sophos documenteert radius_accounting_start_delay met een bereik van 0 tot 60 seconden. Het officiële Device Console-voorbeeld stelt 30 seconden in:

system wireless-controller global radius_accounting_start_delay 30

30 is een aanpasbaar voorbeeld en geen universele standaardwaarde. Voer vóór de wijziging system wireless-controller global show uit en leg de huidige waarde vast. Wijzig de parameter alleen wanneer een capture toont dat de accounting start vóór de IP-toewijzing ontstaat. Voer voor de rollback het instelcommando uit met de vastgelegde waarde. Was die waarde 0 (geen vertraging), dan is het exacte rollbackcommando system wireless-controller global radius_accounting_start_delay 0. De officiële bronnen noemen geen universele standaardwaarde; leid er dus geen af als de vorige waarde onbekend is. Sophos noemt voor FreeRADIUS ook use_tunneled_reply; die optie hoort op de FreeRADIUS-server en mag niet zonder bewijs op NPS worden toegepast. De algemene wificonfiguratie staat in Wireless Network op Sophos Firewall configureren.

De AP6-release notes noemen WIFIX-5189, een opgelost probleem met de framed IP in accountingpakketten. De RADIUS SSO-procedure beperkt de beschreven werkwijze echter tot APX. De AP6-fix bewijst daarom niet dat deze configuratie wordt ondersteund.

RADIUS SSO op Sophos Firewall configureren

Afzender en shared secret invoeren

Het menupad is:

Authentication > Services > SSO using RADIUS accounting request

Ga als volgt te werk:

1. Onder RADIUS client IPv4 het in de capture verwachte afzender-IP 10.10.20.15 toevoegen.
2. Het voor dit pad afgesproken Shared secret invoeren.
3. Extra afzenders alleen als afzonderlijke, gedocumenteerde vermeldingen toevoegen.
4. Apply selecteren.

SFOS 22 biedt in dit gedeelte alleen RADIUS client IPv4 en Shared secret; er is geen afzonderlijke poortinstelling. Alleen pakketten van de ingevoerde IPv4-adressen worden voor RADIUS SSO verwerkt. Een volledig netwerk of willekeurig bronadres is geen zinvolle vervanging voor ontbrekende afzenderplanning.

Deze ontvangerconfiguratie maakt op zichzelf geen RADIUS-server onder Authentication > Servers. Voor de officiële APX-werkwijze moet de externe RADIUS-server daar wel worden toegevoegd en onder Wireless > Wireless settings worden geselecteerd; de algemene RADIUS-serverconfiguratie op Sophos Firewall licht dat deel toe. Uitgaande verificatie en accounting en de doorgestuurde RADIUS SSO-berichten blijven gescheiden paden.

Device Access nauw toestaan

RADIUS SSO is een lokale firewallservice. Een normale LAN-to-WAN- of WiFi-to-WAN-regel opent dit ontvangstpad niet.

Onder Administration > Device access zijn er twee goede mogelijkheden:

• Als de afzenderzone klein en volledig vertrouwd is, RADIUS SSO in de zonematrix activeren.
• Als slechts één vaste tegenpartij is gepland, de zonetoegang uitgeschakeld laten en een gerichte Accept Local service ACL exception rule maken voor het afzender-IP, het gebruikte firewalladres en de service RADIUS SSO.

Een extra accept-uitzondering beperkt een al actieve zonetoegang niet. Voor een werkelijk nauwe uitzondering moet RADIUS SSO daarom in de betreffende zone uitgeschakeld blijven. De volledige procedure wordt uitgelegd in Device Access en Local Service ACL.

De gebruikersregel voorbereiden

Voor de eerste test is geen brede productieregel nodig. Een nauwe regel levert duidelijker bewijs:

1. Onder Rules and policies > Firewall rules een regel boven algemenere WiFi- of LAN-regels maken.
2. Source Zone en Source Network tot het echte clientnetwerk beperken.
3. Alleen de pilotgebruiker of een voorbereide pilotgroep selecteren.
4. Match known users activeren.
5. Alleen een ongevaarlijke testservice of duidelijk vastgelegde bestemming toestaan.
6. Log firewall traffic activeren.
7. Een tweede bewust niet toegestane gebruikers- of bestemmingscombinatie voor de negatieve test vastleggen.

RADIUS SSO levert een identiteit, maar geen algemene netwerktoegang. Firewallregels op Sophos Firewall maken legt uit hoe gebruikers, groepen, services en logging samenwerken.

RADIUS SSO gecontroleerd valideren

1. Het accountingpakket op de firewall aantonen

Stel onder Diagnostics > Packet capture een filter in voor afzender-IP 10.10.20.15, firewalladres 10.10.20.1 en UDP 1813. Verbind daarna exact één pilotclient opnieuw.

De capture moet minimaal bevestigen:

• Het bron-IP is de geconfigureerde RADIUS client IPv4.
• De bestemming is het beoogde firewalladres.
• De doelpoort is UDP 1813.
• Er verschijnt een accounting start voor de pilotgebruiker.
• Framed-IP-Address komt overeen met de actuele client-IP 10.30.40.50.

RADIUS-accounting bevat identiteits- en sessiegegevens die in het pakket zichtbaar kunnen zijn. Behandel capturebestanden daarom als verificatielogs, bewaar ze slechts kort en deel ze niet onbeveiligd. De algemene bediening staat in Packet Capture op Sophos Firewall.

2. Live User controleren

Onder Current activities > Live users moeten gebruiker, client-IP en clienttype overeenkomen. Voor deze procedure wordt RADIUS SSO als clienttype verwacht.

Een zichtbare gebruiker met het verkeerde IP is geen gedeeltelijk succes. Gebruikersregels matchen later met de werkelijke verkeersbron, niet met de gewenste wifikoppeling.

3. Het verificatielog correleren

Zoek in Log Viewer naar de pilotgebruiker en het tijdstip van het incident. Voor diepere analyse is access_server.log relevant, omdat Sophos daar gebruikersverificatie, autorisatie en accounting verwerkt.

In HA slaat elk node alleen de logs op van verkeer dat het zelf heeft verwerkt. Controleer daarom het node dat de accounting op het testtijdstip ontving. Sophos Firewall-services en -logs via de CLI controleren legt uit hoe access_server.log zonder ongecontroleerde servicerestart kan worden gelezen en opgeslagen.

4. Positieve en negatieve test uitvoeren

Met de pilotclient worden vier zaken afzonderlijk getest:

1. Een toegestane bestemming raakt de verwachte Firewall Rule ID en toont de juiste gebruiker.
2. Een bewust niet toegestane bestemming blijft geblokkeerd.
3. Een niet-toegewezen gebruiker krijgt de pilottoegang niet.
4. Na een nieuwe verbinding of gecontroleerd roamen blijven gebruiker, IP en regelkoppeling correct.

De test moet echt gebruikersverkeer gebruiken. Alleen een Live User-vermelding bewijst geen regelmatching, routing of retourpad. Firewallregels betrouwbaar testen beschrijft de herhaalbare procedure.

Fouten per symptoom afbakenen

Geen accountingpakket bereikt de firewall

Controleer eerst bestemmings-IP, UDP-poort, routing en configuratie van de tegenpartij. Controleer daarna Device Access of de Local Service ACL Exception Rule. Een geslaagde RADIUS-aanmelding op NPS of het wifinetwerk bewijst niet dat het afzonderlijke accountingpad naar de firewall bestaat.

Als het pakket met een ander bron-IP aankomt, onderzoek dan precies die oorzaak. Sta niet overhaast een volledig netwerk als RADIUS-client toe. Bij NAT of HA moet het werkelijk zichtbare, stabiele afzenderadres worden gedocumenteerd en gericht toegestaan.

Accounting komt aan, maar Live Users blijft leeg

Controleer het shared secret, afzender-IP en de pakketinhoud samen. Vooral accounting start, gebruikersnaam en Framed-IP-Address zijn belangrijk. Als de client-IP ontbreekt, corrigeer dan eerst het access point, de controller of de RADIUS-proxy. Een servicerestart op de firewall maakt geen ontbrekend attribuut aan.

Pas als het pakket volledig is en access_server.log de gebeurtenis toch niet verwerkt, worden tijdstip, capture, CTR en nodelogs voor Sophos Support opgeslagen. Verwijder geen verificatiedatabase en wis Live Users niet op goed geluk.

De gebruiker verschijnt met het verkeerde IP

Dit wijst vaak op een te vroeg accountingbericht, een oude DHCP-koppeling, roaming of een afwijkend NAT-pad. Koppel de client los, leg de actuele lease vast en capture één nieuwe verbindingsopbouw. Doorslaggevend is het IP in de nieuwe accounting start.

Bij door SFOS beheerd wireless wordt radius_accounting_start_delay alleen na dit bewijs en met de oude waarde gedocumenteerd gewijzigd. Access points of controllers van derden gebruiken hun eigen accounting- en DHCP-mechanismen; een Sophos-wirelessparameter verandert deze apparaten niet.

Live User klopt, maar de regel matcht niet

Het accountingpad is dan verder dan de policy. Controleer Source Zone, Source Network, gebruiker of groep, Match known users, regelvolgorde, Firewall Rule ID en het werkelijke verkeers-IP. Als regel #0 of een algemene regel matcht, corrigeer dan de policy en niet het shared secret.

De gebruiker blijft na afmelden zichtbaar

Controleer eerst of de tegenpartij een accounting stop verstuurt en of dit pakket dezelfde sessie en gebruikerskoppeling betreft. Correleer daarna Live User, actueel clientverkeer en access_server.log. Handmatig verbreken kan de toestand tijdelijk opruimen, maar bewijst niet dat de automatische procedure correct is.

Na een firewallherstart moeten APX-clients volgens Sophos de verbinding verbreken en opnieuw maken, zodat een nieuwe accounting start de aanmelding herstelt. Als Show captive portal to unknown users in de gebruikersregel actief is, kan het portal eerst verschijnen; in de gedocumenteerde APX-werkwijze volgt na de ingestelde accountingvertraging een transparante aanmelding zonder opnieuw referenties in te voeren.

Beveiliging, HA en beheer

RADIUS-accounting gebruikt UDP en beschermt het transport niet zoals TLS. Het shared secret verifieert het RADIUS-pad, maar versleutelt niet alle identiteits- en sessieattributen. Accounting hoort daarom in een vertrouwd management- of servernetwerk en mag niet onbeveiligd over vreemde netwerken lopen.

In de praktijk gelden deze grenzen:

• Voor elke afzender een eigen sterk shared secret en gedocumenteerde eigenaar gebruiken.
• RADIUS SSO alleen vanuit de benodigde zones en bij voorkeur alleen vanaf vaste hosts toestaan.
• Capturebestanden, RADIUS-logs en access_server.log als persoonsgegevens in bedrijfslogs behandelen.
• Wijzigingen aan DHCP, wificontroller, NPS, RADIUS-proxy of NAT afsluiten met een nieuwe end-to-end-test.
• In HA geen ononderbroken behoud van de gebruikerskoppeling beloven. Na een geplande failover een nieuwe accounting start, Live User en echt verkeer op het verwerkende node controleren.
• Onbekende gebruikers of ontbrekende koppelingen met een veilige standaardregel opvangen, niet met een brede allow-regel.

Rollback

De rollback verloopt in een volgorde die de accountingservice niet open laat en gebruikers niet onbedoeld toegang geeft:

1. De eerdere verificatie- en regelstrategie voor het pilotnetwerk herstellen.
2. De pilotregel uitschakelen en een onbekende gebruiker negatief testen.
3. Verwijder op de RADIUS-server de proxydoorstuurbestemming naar de firewall of herstel de gedocumenteerde vorige proxytoestand. Verwijder de accountingbestemming van de APX niet als de RADIUS-server nog nodig is voor wifi-authenticatie en accounting.
4. De afzender onder SSO using RADIUS accounting request verwijderen.
5. De RADIUS SSO-ACL-uitzondering of tijdelijke zonetoegang intrekken.
6. Live Users, Firewall Rule ID en normaal clientverkeer opnieuw controleren.

Documenteer in de wijziging de oorspronkelijke configuratie, verantwoordelijkheid voor het shared secret en de geteste terugkeer naar de eerdere gebruikersherkenning. Alleen een Live User-vermelding verwijderen is geen volledige rollback.

FAQ