RADIUS SSO met accounting configureren op Sophos Firewall

RADIUS SSO meldt een gebruiker zonder extra captive portal aan op Sophos Firewall. De gebruiker heeft zich al geverifieerd op een draadloos netwerk, een network access server of een ander RADIUS-systeem. Daarna ontvangt de firewall een RADIUS-accountingpakket met gebruikersnaam en client-IP en kan deze koppeling voor gebruikersgebaseerde regels gebruiken.

Het doorslaggevende punt is niet alleen een geslaagde 802.1X-aanmelding. De firewall moet een bruikbare Accounting-Start ontvangen van exact de geconfigureerde afzender. Voor Wi-Fi SSO gebruikt Sophos de Framed-IP-Address uit dit startpakket. Ontbreekt de client-IP, dan kent de firewall mogelijk de gebruikersnaam, maar kan deze niet aan verkeer koppelen.

⚠️ RADIUS SSO is niet hetzelfde als Enable accounting bij het RADIUS-serverobject. Onder Authentication > Servers betekent Enable accounting dat de firewall accounting naar een RADIUS-server stuurt. Onder Authentication > Services > SSO using RADIUS accounting request ontvangt de firewall juist accounting van een RADIUS-client en maakt daaruit een gebruiker-IP-koppeling.

Korte procedure

1. Controleren of het access point, de controller of de RADIUS-proxy een accounting start met gebruikersnaam en Framed-IP-Address kan genereren.
2. De werkelijke afzender, het bestemmingsadres van de firewall, UDP-poort 1813 en een sterk shared secret vastleggen.
3. Onder Authentication > Services > SSO using RADIUS accounting request het afzender-IP en shared secret invoeren.
4. Onder Administration > Device access de service RADIUS SSO alleen voor deze afzender en het juiste firewalladres toestaan.
5. Een nauw begrensde gebruikersregel met Match known users en logging voorbereiden.
6. Een echte client verbinden en het accountingpakket op de firewall controleren.
7. Onder Current activities > Live users het clienttype RADIUS SSO, de gebruiker en het juiste client-IP controleren.
8. Pas daarna toegestaan en bewust niet toegestaan verkeer met de verwachte Firewall Rule ID testen.

Wanneer RADIUS SSO geschikt is

RADIUS SSO is vooral geschikt voor 802.1X-wifinetwerken of netwerktoegangssystemen waarbij de verificatie al buiten de firewall plaatsvindt. De firewall kan de gebruiker dan zonder tweede browseraanmelding herkennen.

De procedure vereist een eenduidige relatie tussen gebruiker en IPv4-adres. Typische voorwaarden zijn:

• De client krijgt een IPv4-adres dat Sophos Firewall ook als verkeersbron ziet.
• De accountingafzender kent de gebruikersnaam en dit client-IP.
• De accounting start bereikt rechtstreeks een firewalladres en zonder onverwachte source-NAT-wijziging.
• De RADIUS-afzender kan Framed-IP-Address in het startpakket leveren.
• Gebruikers- of groepsobjecten en de bijbehorende firewallregel zijn al gepland.

RADIUS SSO vervangt STAS op Sophos Firewall niet wanneer Windows-aanmeldgebeurtenissen uit Active Directory de identiteitsbron zijn. Ook kunnen meerdere gebruikers achter hetzelfde RDS- of Citrix-IP niet met RADIUS SSO afzonderlijk worden behandeld. Afhankelijk van het verkeer passen SATC voor Remote Desktop Services of per-connection AD SSO via de direct web proxy beter.

Wanneer de procedure moet stoppen

Niet in productie activeren zolang een van deze punten openstaat:

• Het accountingpakket bevat geen gebruikersnaam of Framed-IP-Address.
• Het adres in het pakket verschilt van het bron-IP dat de firewall later in het gebruikersverkeer ziet.
• Meerdere gebruikers delen hetzelfde client-IP.
• De werkelijke afzender of het firewallbestemmingsadres is door NAT, HA of routing niet eenduidig.
• De RADIUS-client kan alleen een volledig niet-vertrouwd netwerk gebruiken in plaats van een vast bronadres.
• De bestaande regelstrategie voor onbekende of niet meer aangemelde gebruikers is niet duidelijk.

Het accountingpad begrijpen

Bij klassieke RADIUS-verificatie stuurt de firewall een Access-Request naar de RADIUS-server. Bij RADIUS SSO is de richting omgekeerd:

1. Een client verifieert zich bij het access point, de wificontroller of de network access server.
2. Na de adrestoewijzing genereert deze infrastructuur een accounting start of stuurt deze via een RADIUS-proxy door.
3. Sophos Firewall ontvangt het pakket op zijn RADIUS SSO-service.
4. Als het afzender-IP overeenkomt met RADIUS client IPv4 en het shared secret klopt, verwerkt de firewall het bericht.
5. Gebruikersnaam en Framed-IP-Address verschijnen als koppeling onder Live users.
6. Pas het daaropvolgende gebruikersverkeer kan een regel met Match known users raken.

Of de wificontroller rechtstreeks naar de firewall stuurt of een RADIUS-server zoals NPS de accounting doorstuurt, hangt van het product af. De Sophos-configuratie bevat hiervoor geen universeel NPS- of controllerrecept. Het pakket dat daadwerkelijk op de firewall aankomt, is bepalend. Een leveranciersmelding als ‘RADIUS Accounting ondersteund’ volstaat niet zolang gebruikersnaam en client-IP niet in de accounting start zijn aangetoond.

Compleet voorbeeld

Deze handleiding gebruikt de volgende voorbeeldwaarden:

• RADIUS- of accountingafzender: 10.10.20.15
• Firewalladres voor RADIUS SSO: 10.10.20.1
• Wificlient: 10.30.40.50
• Accountingbestemmingspoort: UDP 1813
• Gebruiker: EXAMPLE\alex.muster
• Gebruikersregel: RADIUS-SSO-WiFi-Out

De adressen komen uit private voorbeeldnetwerken en worden vervangen door de echte management-, server- en clientnetwerken. Als RADIUS client IPv4 wordt niet automatisch het IP van de verificatieserver ingevoerd, maar het bron-IP dat werkelijk in de packet capture op de firewall zichtbaar is.

De tegenpartij voorbereiden

Op het access point, de controller, network access server of RADIUS-proxy moeten verificatie en accounting afzonderlijk worden gecontroleerd. Een geslaagde aanmelding bewijst nog niet dat accounting wordt gegenereerd of naar Sophos Firewall wordt doorgestuurd.

Bereid de tegenpartij minimaal als volgt voor:

1. Accounting voor de betreffende 802.1X- of netwerktoegang activeren.
2. Het beoogde firewalladres 10.10.20.1 als accountingbestemming instellen.
3. UDP 1813 of de daadwerkelijk overeengekomen accountingpoort gebruiken.
4. Voor dit pad een eigen sterk shared secret configureren.
5. Accounting start pas versturen wanneer de client-IP bekend is.
6. Zorgen dat gebruikersnaam en Framed-IP-Address zijn opgenomen.
7. Bron-IP, routing en eventuele NAT-vertaling naar de firewallinterface documenteren.

Een accounting stop of update kan bij bepaalde producten het sessiebeheer verbeteren. De openbare Sophos-help noemt voor Wi-Fi SSO echter uitdrukkelijk het IP uit de accounting start als aanmeldingsbasis. Een latere update mag daarom een onvolledig startpakket niet als succescriterium vervangen.

Bij door SFOS beheerde APX-installaties kan de DHCP-timing een rol spelen. Sophos documenteert hiervoor de parameter radius_accounting_start_delay met een bereik van 0 tot 60 seconden. Wijzig deze waarde niet op goed geluk: eerst moet een capture aantonen dat de accounting start vóór de IP-toewijzing ontstaat. De algemene wificonfiguratie staat in Wireless Network op Sophos Firewall configureren.

Voor AP6 vermelden de release notes van 1.5.2167 MR5 fix WIFIX-5189 voor een geval waarin de framed IP ontbrak in accounting start en accounting update. Werk een AP6 met oudere of onbekende firmware daarom eerst bij naar actuele ondersteunde firmware en controleer het pakket daarna opnieuw. Deze fix bewijst niet automatisch dat elke combinatie van controller, proxy of NPS de attributen correct doorstuurt.

RADIUS SSO op Sophos Firewall configureren

Afzender en shared secret invoeren

Het menupad is:

Authentication > Services > SSO using RADIUS accounting request

Ga als volgt te werk:

1. Onder RADIUS client IPv4 het in de capture verwachte afzender-IP 10.10.20.15 toevoegen.
2. Het voor dit pad afgesproken Shared secret invoeren.
3. Extra afzenders alleen als afzonderlijke, gedocumenteerde vermeldingen toevoegen.
4. Apply selecteren.

Alleen pakketten van de ingevoerde IPv4-adressen worden voor RADIUS SSO verwerkt. Een volledig netwerk of willekeurig bronadres is geen zinvolle vervanging voor ontbrekende afzenderplanning.

Deze configuratie maakt geen RADIUS-server onder Authentication > Servers en vervangt evenmin de algemene RADIUS-serverconfiguratie op Sophos Firewall. Het serverartikel behandelt verzoeken die de firewall naar NPS, MFA of een andere RADIUS-server stuurt. RADIUS SSO behandelt inkomende accountingberichten.

Device Access nauw toestaan

RADIUS SSO is een lokale firewallservice. Een normale LAN-to-WAN- of WiFi-to-WAN-regel opent dit ontvangstpad niet.

Onder Administration > Device access zijn er twee goede mogelijkheden:

• Als de afzenderzone klein en volledig vertrouwd is, RADIUS SSO in de zonematrix activeren.
• Als slechts één vaste tegenpartij is gepland, de zonetoegang uitgeschakeld laten en een gerichte Accept Local service ACL exception rule maken voor het afzender-IP, het gebruikte firewalladres en de service RADIUS SSO.

Een extra accept-uitzondering beperkt een al actieve zonetoegang niet. Voor een werkelijk nauwe uitzondering moet RADIUS SSO daarom in de betreffende zone uitgeschakeld blijven. De volledige procedure wordt uitgelegd in Device Access en Local Service ACL.

De gebruikersregel voorbereiden

Voor de eerste test is geen brede productieregel nodig. Een nauwe regel levert duidelijker bewijs:

1. Onder Rules and policies > Firewall rules een regel boven algemenere WiFi- of LAN-regels maken.
2. Source Zone en Source Network tot het echte clientnetwerk beperken.
3. Alleen de pilotgebruiker of een voorbereide pilotgroep selecteren.
4. Match known users activeren.
5. Alleen een ongevaarlijke testservice of duidelijk vastgelegde bestemming toestaan.
6. Log firewall traffic activeren.
7. Een tweede bewust niet toegestane gebruikers- of bestemmingscombinatie voor de negatieve test vastleggen.

RADIUS SSO levert een identiteit, maar geen algemene netwerktoegang. Firewallregels op Sophos Firewall maken legt uit hoe gebruikers, groepen, services en logging samenwerken.

RADIUS SSO gecontroleerd valideren

1. Het accountingpakket op de firewall aantonen

Stel onder Diagnostics > Packet capture een filter in voor afzender-IP 10.10.20.15, firewalladres 10.10.20.1 en UDP 1813. Verbind daarna exact één pilotclient opnieuw.

De capture moet minimaal bevestigen:

• Het bron-IP is de geconfigureerde RADIUS client IPv4.
• De bestemming is het beoogde firewalladres.
• De bestemmingspoort is de geconfigureerde accountingpoort.
• Er verschijnt een accounting start voor de pilotgebruiker.
• Framed-IP-Address komt overeen met de actuele client-IP 10.30.40.50.

RADIUS-accounting bevat identiteits- en sessiegegevens die in het pakket zichtbaar kunnen zijn. Behandel capturebestanden daarom als verificatielogs, bewaar ze slechts kort en deel ze niet onbeveiligd. De algemene bediening staat in Packet Capture op Sophos Firewall.

2. Live User controleren

Onder Current activities > Live users moeten gebruiker, client-IP en clienttype overeenkomen. Voor deze procedure wordt RADIUS SSO als clienttype verwacht.

Een zichtbare gebruiker met het verkeerde IP is geen gedeeltelijk succes. Gebruikersregels matchen later met de werkelijke verkeersbron, niet met de gewenste wifikoppeling.

3. Het verificatielog correleren

Zoek in Log Viewer naar de pilotgebruiker en het tijdstip van het incident. Voor diepere analyse is access_server.log relevant, omdat Sophos daar gebruikersverificatie, autorisatie en accounting verwerkt.

In HA slaat elk node alleen de logs op van verkeer dat het zelf heeft verwerkt. Controleer daarom het node dat de accounting op het testtijdstip ontving. Sophos Firewall-services en -logs via de CLI controleren legt uit hoe access_server.log zonder ongecontroleerde servicerestart kan worden gelezen en opgeslagen.

4. Positieve en negatieve test uitvoeren

Met de pilotclient worden vier zaken afzonderlijk getest:

1. Een toegestane bestemming raakt de verwachte Firewall Rule ID en toont de juiste gebruiker.
2. Een bewust niet toegestane bestemming blijft geblokkeerd.
3. Een niet-toegewezen gebruiker krijgt de pilottoegang niet.
4. Na een nieuwe verbinding of gecontroleerd roamen blijven gebruiker, IP en regelkoppeling correct.

De test moet echt gebruikersverkeer gebruiken. Alleen een Live User-vermelding bewijst geen regelmatching, routing of retourpad. Firewallregels betrouwbaar testen beschrijft de herhaalbare procedure.

Fouten per symptoom afbakenen

Geen accountingpakket bereikt de firewall

Controleer eerst bestemmings-IP, UDP-poort, routing en configuratie van de tegenpartij. Controleer daarna Device Access of de Local Service ACL Exception Rule. Een geslaagde RADIUS-aanmelding op NPS of het wifinetwerk bewijst niet dat het afzonderlijke accountingpad naar de firewall bestaat.

Als het pakket met een ander bron-IP aankomt, onderzoek dan precies die oorzaak. Sta niet overhaast een volledig netwerk als RADIUS-client toe. Bij NAT of HA moet het werkelijk zichtbare, stabiele afzenderadres worden gedocumenteerd en gericht toegestaan.

Accounting komt aan, maar Live Users blijft leeg

Controleer het shared secret, afzender-IP en de pakketinhoud samen. Vooral accounting start, gebruikersnaam en Framed-IP-Address zijn belangrijk. Als de client-IP ontbreekt, corrigeer dan eerst het access point, de controller of de RADIUS-proxy. Een servicerestart op de firewall maakt geen ontbrekend attribuut aan.

Pas als het pakket volledig is en access_server.log de gebeurtenis toch niet verwerkt, worden tijdstip, capture, CTR en nodelogs voor Sophos Support opgeslagen. Verwijder geen verificatiedatabase en wis Live Users niet op goed geluk.

De gebruiker verschijnt met het verkeerde IP

Dit wijst vaak op een te vroeg accountingbericht, een oude DHCP-koppeling, roaming of een afwijkend NAT-pad. Koppel de client los, leg de actuele lease vast en capture één nieuwe verbindingsopbouw. Doorslaggevend is het IP in de nieuwe accounting start.

Bij door SFOS beheerd wireless wordt radius_accounting_start_delay alleen na dit bewijs en met de oude waarde gedocumenteerd gewijzigd. Access points of controllers van derden gebruiken hun eigen accounting- en DHCP-mechanismen; een Sophos-wirelessparameter verandert deze apparaten niet.

Live User klopt, maar de regel matcht niet

Het accountingpad is dan verder dan de policy. Controleer Source Zone, Source Network, gebruiker of groep, Match known users, regelvolgorde, Firewall Rule ID en het werkelijke verkeers-IP. Als regel #0 of een algemene regel matcht, corrigeer dan de policy en niet het shared secret.

De gebruiker blijft na afmelden zichtbaar

Controleer eerst of de tegenpartij een accounting stop verstuurt en of dit pakket dezelfde sessie en gebruikerskoppeling betreft. Correleer daarna Live User, actueel clientverkeer en access_server.log. Handmatig verbreken kan de toestand tijdelijk opruimen, maar bewijst niet dat de automatische procedure correct is.

Beveiliging, HA en beheer

RADIUS-accounting gebruikt UDP en beschermt het transport niet zoals TLS. Het shared secret verifieert het RADIUS-pad, maar versleutelt niet alle identiteits- en sessieattributen. Accounting hoort daarom in een vertrouwd management- of servernetwerk en mag niet onbeveiligd over vreemde netwerken lopen.

In de praktijk gelden deze grenzen:

• Voor elke afzender een eigen sterk shared secret en gedocumenteerde eigenaar gebruiken.
• RADIUS SSO alleen vanuit de benodigde zones en bij voorkeur alleen vanaf vaste hosts toestaan.
• Capturebestanden, RADIUS-logs en access_server.log als persoonsgegevens in bedrijfslogs behandelen.
• Wijzigingen aan DHCP, wificontroller, NPS, RADIUS-proxy of NAT afsluiten met een nieuwe end-to-end-test.
• In HA geen ononderbroken behoud van de gebruikerskoppeling beloven. Na een geplande failover een nieuwe accounting start, Live User en echt verkeer op het verwerkende node controleren.
• Onbekende gebruikers of ontbrekende koppelingen met een veilige standaardregel opvangen, niet met een brede allow-regel.

Rollback

De rollback verloopt in een volgorde die de accountingservice niet open laat en gebruikers niet onbedoeld toegang geeft:

1. De eerdere verificatie- en regelstrategie voor het pilotnetwerk herstellen.
2. De pilotregel uitschakelen en een onbekende gebruiker negatief testen.
3. De accountingbestemming op access point, controller of RADIUS-proxy verwijderen of de gedocumenteerde vorige toestand herstellen.
4. De afzender onder SSO using RADIUS accounting request verwijderen.
5. De RADIUS SSO-ACL-uitzondering of tijdelijke zonetoegang intrekken.
6. Live Users, Firewall Rule ID en normaal clientverkeer opnieuw controleren.

Documenteer in de wijziging de oorspronkelijke configuratie, verantwoordelijkheid voor het shared secret en de geteste terugkeer naar de eerdere gebruikersherkenning. Alleen een Live User-vermelding verwijderen is geen volledige rollback.

FAQ