Agentloze RDP- en SSH-toegang met Sophos Protected Browser

Met Sophos Protected Browser zijn interne RDP- en SSH-hosts zonder ZTNA-agent op het apparaat van de gebruiker bereikbaar. Sophos vermeldt deze twee gebruiksscenario’s onder Agentless RDP applications en Agentless SSH applications. De toegang blijft beperkt tot Protected Browser: een verbinding die als agentloze RDP- of SSH-bron is aangemaakt, kan niet met een gewone RDP- of SSH-client worden geopend.

De veilige werkwijze is voor beide protocollen hetzelfde: richt eerst de identiteit, gateway en connectiviteit in en maak daarna een agentloos ZTNA-beleid en één resource per host. Voeg deze resource in Protected Browser toe aan een applicatiegroep en sta deze toe via een internetbeleid. Test de configuratie vervolgens met een kleine gebruikersgroep.

Vereisten, licentie en rollen

Vóór de configuratie moet aan de volgende punten worden voldaan:

Protected Browser is geïnstalleerd op een ondersteund Windows- of macOS-apparaat. In het onderstaande voorbeeld wordt een Windows-apparaat met een groene gezondheidsstatus gebruikt.
Gebruikers en groepen zijn gesynchroniseerd, een identiteitsprovider is ingesteld en een ZTNA-gateway is operationeel.
De gateway kan de interne RDP- of SSH-host bereiken. Deze verbinding wordt gecontroleerd voordat de bron wordt gemaakt.
Er bestaat de kleinst mogelijke gebruikersgroep voor de resource. Een gezamenlijk object voor alle medewerkers is niet geschikt voor beheerderstoegang.
Degene die de procedure uitvoert, kan beleid en resources beheren onder My Products > ZTNA, en beleidsobjecten en internetbeleid onder My Products > Protected Browser.

De productinformatie die voor dit proces is vrijgegeven, specificeert geen specifieke rolnaam of een afzonderlijke licentie-SKU. Daarom mag u geen autorisatie ontlenen aan een zichtbaar menu alleen, en ook geen algemene superbeheerdersrechten verlenen. Controleer voordat u de wijziging doorvoert in uw eigen tenant of ZTNA en Protected Browser beschikbaar zijn en of het gebruikte beheerdersaccount de genoemde objecten mag aanmaken. Als een pagina of knop ontbreekt, laat u de verantwoordelijke voor licenties of rollen dit in de tenant controleren voordat u doorgaat.

Lokale gateway en Sophos Cloud Gateway zijn mogelijke ZTNA-implementatiemodi. Hun provisioning, gebruikers- en identiteitssynchronisatie, domeinen, certificaten en DNS maken deel uit van de gemeenschappelijke ZTNA-basis. De juiste volgorde wordt uitgelegd in Sophos ZTNA instellen. In deze handleiding worden deze algemene procedures opzettelijk niet herhaald.

DNS en certificaten vooraf controleren

Het gatewaydomein, het certificaat en de vereiste openbare en interne DNS-omzetting moeten al werken. De ZTNA-eigenaar richt deze gemeenschappelijke basis in volgens de gekoppelde ZTNA-handleiding; deze wordt hier niet herhaald of gewijzigd.

De hier beschreven RDP- en SSH-resources gebruiken een specifiek formulier: voer het adres in bij Internal FQDN/IP address of the resource; External FQDN kan niet worden toegevoegd. Daarom mogen algemene DNS-voorbeelden voor ZTNA-webapplicaties niet naar dit veld worden gekopieerd. Domeinen en certificaten worden voorbereid door de ZTNA-eigenaar voordat de RDP- of SSH-bron wordt gemaakt.

Voorbeeldwaarden voorbereiden

De volgende namen maken gerelateerde objecten herkenbaar. Ze vormen geen productspecificatie en moeten worden aangepast aan uw eigen naamgevingsconventie:

ZTNA-beleid: Agentenloser Zugriff
RDP-bron: Agentenloses RDP
SSH-bron: Agentenloses SSH
Apparaatstatus: Grünes Windows
Applicatiegroep: Agentenlose RDP-Gruppe of Agentenlose SSH-Gruppe
Internetbeleid: Agentenloser RDP-Zugriff von Windows-Systemen mit grüner Integrität of de SSH-variant
Interne host: bijvoorbeeld rdp01.intern.example of ssh01.intern.example

Een FQDN is eenvoudiger te beheren dan een veranderend IP-adres, maar moet vanaf de gateway correct kunnen worden omgezet. Maak voor tests met beide protocollen afzonderlijke resources en applicatiegroepen. Zo blijven toewijzingen, validatie en latere buitengebruikstelling traceerbaar.

Agentloos ZTNA-beleid toevoegen

Een bestaand, op de juiste manier afgebakend agentloos beleid kan worden hergebruikt. Een eigen pilotbeleid verkleint echter het risico dat productieresources onbedoeld worden beïnvloed.

Open My Products > ZTNA > Policies.
Klik op Add policy.
Selecteer onder Add policy het type Agentless. Andere ZTNA-weergaven beschrijven dit ook als toegang zonder agent. Een melding die om een agent vraagt, hoort bij het pad met agent; voor dit beleid is geen agent nodig.
Voer bij New policy een naam in, bijvoorbeeld Agentenloser Zugriff.
Open Policy enforced en activeer Policy is enforced.
Klik op Save.

Het ZTNA-beleidstype Agent en de bijbehorende tunnels vallen buiten deze procedure. Ook de algemene Agent tunnel inactivity timeout is van toepassing op de agenttunnel en is geen RDP- of SSH-sessietimer voor de Protected Browser. De eigenaar van de ZTNA moet nog steeds de globale Minimum time before device health triggers a rule kennen als de apparaatintegriteit in de algehele omgeving wordt gebruikt.

RDP- of SSH-resource toevoegen

Open My Products > ZTNA > Resources & Access en klik op Add Resource. Vul het formulier in met de waarden voor het betreffende protocol.

RDP-bron

Voer Agentenloses RDP bijvoorbeeld in als Resource name. Een beschrijving is optioneel.
Kies de gateway die rdp01.intern.example kan bereiken.
Selecteer onder Access method de waarde Agentless.
Kies het beleid Agentenloser Zugriff.
Selecteer bij Resource type de waarde RDP. Poort 3389 en toegangspoorttype TCP worden automatisch ingesteld en kunnen in dit formulier niet worden gewijzigd.
Voer bij Internal FQDN/IP address of the resource de interne host in. Voor dit resourcetype kan geen externe FQDN worden toegevoegd.
Verplaats onder Assign User Groups alleen de benodigde pilotgroep van de beschikbare groepen naar Assigned User Groups.
Klik op Save.

SSH-bron

Gebruik voor SSH dezelfde procedure met de volgende protocolspecifieke waarden:

Resource name: bijvoorbeeld Agentenloses SSH.
Access method: Agentless.
Policy: Agentenloser Zugriff.
Resource type: SSH. Poort 22 en toegangspoorttype TCP worden automatisch ingesteld en kunnen niet worden gewijzigd.
Internal FQDN/IP address of the resource: bijvoorbeeld ssh01.intern.example; een externe FQDN is niet beschikbaar.
Assign User Groups: verplaats alleen de beoogde pilotgroep naar Assigned User Groups en klik vervolgens op Save.

Resources met een agent en webapps bieden andere mogelijkheden. De agent kan bijvoorbeeld de apparaatstatus meenemen in het ZTNA-toegangsbeleid en lokale apps beheren. In deze procedure blijft de resource Agentless. Configureer een eventuele aanvullende apparaatcontrole in het internetbeleid van Protected Browser.

Toegang tot Protected Browser beperken

Een optionele apparaatstatus maken

Het toevoegen van een apparaatstatus is optioneel. Zonder dit object moet de pilotgroep bijzonder beperkt blijven. Voor het gedocumenteerde voorbeeld met beheerde Windows-apparaten:

Open My Products > Protected Browser > Policy objects.
Klik op Add object > Device posture.
Voer Grünes Windows in als de naam.
Selecteer onder OS platform de waarde Windows.
Selecteer onder Endpoint Protection de optie Check if device is protected by Sophos Endpoint en vervolgens de integriteitsstatus Green.
Klik op Save.

Extra controles verhogen de veiligheid, maar kunnen ook meer apparaten uitsluiten. Elke aanvullende voorwaarde wordt daarom eerst met de pilotgroep getest.

Applicatiegroep maken

Blijf in My Products > Protected Browser > Policy objects.
Klik op Add object > Application group.
Voer een unieke naam in, bijvoorbeeld Agentenlose RDP-Gruppe.
Vouw ZTNA resources uit.
Selecteer onder Available de eerder gemaakte resource en verplaats deze naar Assigned.
Klik op Save.

Maak voor SSH Agentenlose SSH-Gruppe aan en wijs Agentenloses SSH toe. De afzonderlijke groepen voorkomen dat een latere wijziging van de SSH-toegang ongemerkt de RDP-toegang wijzigt.

Internetbeleid toevoegen

Open My Products > Protected Browser > Web policy en selecteer het tabblad Policies.
Klik op Add policy.
Voer een unieke naam in, bijvoorbeeld Agentenloser RDP-Zugriff von Windows-Systemen mit grüner Integrität.
Zorg ervoor dat Allow is geselecteerd.
Selecteer, indien van toepassing, de apparaatstatus Grünes Windows.
Selecteer de applicatiegroep Agentenlose RDP-Gruppe.
Klik op Save.

Maak voor SSH het bijbehorende beleid met de SSH-applicatiegroep. Zo blijft duidelijk welk protocol en welke apparaatvoorwaarde elke toegangstoekenning omvat.

Verbinding en verwacht resultaat controleren

Test eerst met precies één bevoegde gebruiker en een apparaat dat aan de geselecteerde apparaatvoorwaarde voldoet.

Test RDP

Start Sophos Protected Browser en meld u aan.
Klik bovenaan de werkbalk op het pictogram Remote Desktop Connection en klik vervolgens op + New Host.
Geef een weergavenaam op en voer onder Host hetzelfde interne FQDN of IP-adres in als in de ZTNA-resource. Poort 3389 wordt automatisch ingesteld.
Voer de gebruikersnaam en het wachtwoord van het doelsysteem in en klik op Connect.

De test is succesvol als de remote desktop-sessie wordt geopend in de Protected Browser. Een normale RDP-client is geen geldige kruiscontrole, omdat agentloze RDP-bronnen alleen toegankelijk zijn via de Protected Browser.

Test SSH

Start Protected Browser, meld u aan en klik in de werkbalk op het SSH-pictogram.
Selecteer + New Host, geef een weergavenaam op en voer onder Host de waarde van de SSH-resource in. Poort 22 wordt automatisch ingesteld.
Voer de gebruikersnaam en het wachtwoord van het doelsysteem in en klik op Connect.

De test is succesvol als de SSH-sessie in de browser wordt geopend. Voer vervolgens een negatieve toegangstest uit met een gebruiker buiten de toegewezen groep en controleer dat deze geen toegang krijgt.

Bestandsoverdracht controleren

Zodra de verbinding tot stand is gebracht, worden afhankelijk van het protocol verschillende bedieningselementen gebruikt:

RDP: Vouw het hoofdmenu uit en selecteer File Transfer > Upload voor de upload. Om te downloaden gebruikt u het downloadsymbool voor het gewenste item.
SSH: Open de bediening onderaan en selecteer File Transfer > Upload To Folder om een bestand te uploaden. Gebruik het downloadsymbool om te downloaden.

Test tijdens de pilot uitsluitend met een onschadelijk testbestand zonder vertrouwelijke gegevens. Bestanden worden gescand en alleen naar de host geüpload als ze schoon zijn. De upload is geslaagd wanneer File scanned successfully en daarna de uploadbevestiging verschijnt. Controleer de download afzonderlijk: deze is geslaagd wanneer het geselecteerde bestand volledig op het testapparaat aankomt en daar kan worden geopend.

Los het probleem op per symptoom

RDP/SSH-actie ontbreekt of een handmatig gemaakte host maakt geen verbinding

Controleer in deze volgorde:

Is + New Host geselecteerd met behulp van het RDP- of SSH-symbool en de exacte interne FQDN of het IP-adres van de bijbehorende bron ingevoerd onder Host?
Is de testgebruiker lid van de groep die is geselecteerd onder Assign User Groups?
Staat de juiste ZTNA-bron in de applicatiegroep onder Assigned?
Gebruikt het internetbeleid dat toegang verleent precies deze applicatiegroep?
Voldoet het testapparaat aan de optionele apparaatstatus, specifiek Windows, Sophos Endpoint en gezondheidsstatus Green?

Het kan tot een uur duren voordat wijzigingen in een ZTNA-gebruikersgroep zichtbaar zijn op de gateway. Maak daarom niet meteen nieuwe objecten aan zolang de groepswijziging nog wordt verwerkt.

Als de handmatig ingevoerde host correct is, controleer dan of de geselecteerde gateway de doelhost kan bereiken. RDP gebruikt de vaste TCP-poort 3389 en SSH de vaste TCP-poort 22; een service op een andere poort komt niet overeen met deze resourcetypen.

Als de fout blijft bestaan, gaat de diagnose naar de ZTNA-eigenaar. De vervaltijd voor ondersteuningstokens wordt geconfigureerd in de algemene ZTNA-instellingen. Het token Sophos support for gateway instance wordt gemaakt voor het betrokken exemplaar onder Gateway > Gateway settings. Een ondersteuningstoken wordt alleen vrijgegeven voor een specifiek geval en met een bewust korte vervaltijd.

Toegang mislukt alleen als de apparaatstatus is geactiveerd

Verwijder de apparaatvoorwaarde niet zonder controle uit een productiebeleid. Vergelijk eerst het platform, de endpointbeveiliging en de gerapporteerde status van het pilotapparaat met het object Grünes Windows. Gebruik voor een geïsoleerde vergelijking eventueel een afzonderlijk pilotinternetbeleid zonder apparaatstatus; houd de gebruikersgroep strikt beperkt.

Bestand is niet geüpload

Een upload vindt pas plaats na een geslaagde scan. Als het bericht File scanned successfully ontbreekt of het bestand niet als schoon wordt beoordeeld, is de upload niet geslaagd. Omzeil de scan niet, maar gebruik een onschadelijk testbestand en escaleer de mislukte scan met tijdstip, gebruiker, doelhost en bestandsnaam.

Veilig terugdraaien en buitengebruikstelling

De goedgekeurde productinformatie beschrijft geen volledig verwijderingsproces voor alle betrokken Protected Browser-objecten. Verwijder daarom niet de gateway, DNS, certificaten of gedeeld beleid alsof dit een terugdraaiing is.

Open voor een onmiddellijke, omkeerbare toegangsstop een specifiek daarvoor bestemd ZTNA-beleid onder My Products > ZTNA > Policies. Stel het op het tabblad Policy enforced in op Policy bypassed. In deze toestand hebben gebruikers geen toegang tot de resources die door dit beleid worden beheerd.

Controleer voordat u dit doet of alleen de beoogde RDP- of SSH-bronnen daadwerkelijk aan dit beleid zijn toegewezen. Controleer vervolgens met de pilotgebruiker dat de verbinding niet meer tot stand komt. Zet hetzelfde toegewezen beleid weer op Policy is enforced en herhaal de verbindingstest om de toegang te herstellen. Als het beleid door andere bronnen wordt gebruikt, stopt u vóór de wijziging en draagt u het over aan de ZTNA-eigenaar.

Om permanent buiten gebruik te stellen, documenteert u eerst de bron, de gateway, het beleid, de gebruikersgroepen, de toepassingsgroep en het internetbeleid. De betreffende eigenaar verwijdert vervolgens de toewijzingen en objecten in afhankelijkheidsvolgorde. Zonder een goedgekeurde, productspecifieke verwijderingsprocedure wordt de veilige limiet bereikt voordat gedeelde ZTNA-, DNS- of certificaatobjecten worden verwijderd.

Werking en levenscyclus

Elke keer dat er een wijziging plaatsvindt in gebruikersgroepen, gateways, interne hostnamen of apparaatomstandigheden, wordt een positieve en negatieve test herhaald. Bovendien moet de eigenaar regelmatig controleren:

of de RDP- en SSH-hosts bereikbaar zijn vanuit het perspectief van de gateway;
of alleen vereiste groepen zijn toegewezen;
of middelen, applicatiegroepen en internetbeleid nog steeds duidelijk bij elkaar horen;
of domeinen en certificaten geldig zijn en aan de juiste gateway zijn toegewezen;
of de globale minimumtijd voor apparaatgezondheidsregels overeenkomt met het gewenste gedrag;
of een gegenereerd ondersteuningstoken is verlopen of verwijderd zodra het niet meer nodig is.

Agentloze RDP- en SSH-resources blijven een afzonderlijke toegangsroute. Wijzigingen in time-outs van agenttunnels of in een implementatie met agents vervangen daarom geen nieuwe controle in Protected Browser. Deze handleiding bepaalt evenmin data voor overgang, buitengebruikstelling of einde van de levensduur. Na een productwijziging controleert de eigenaar de instellingen die in de tenant zichtbaar zijn en voert deze het pilotproces opnieuw uit.