STAS op Sophos Firewall instellen

STAS staat voor Sophos Transparent Authentication Suite. De functie meldt Windows-aanmeldingen uit Active Directory samen met het bijbehorende client-IP aan Sophos Firewall. Daardoor kunnen gebruikers en AD-groepen in firewallregels worden gebruikt zonder extra aanmelding in de browser of het portaal.

Een uitsluitend lokale Windows-aanmelding zonder domeinaanmelding levert niet de AD-authenticatie op die STAS nodig heeft. Zonder een andere geconfigureerde toewijzing behandelt de firewall deze gebruiker als niet-geauthenticeerd en past de bedoelde fallback- of authenticatieregel toe. Aanmelden bij het captive portal is alleen de volgende stap als de configuratie dat voorschrijft.

Voor afzonderlijke endpoints buiten het domein waarop gebruikers bewust aanmelden, gebruikt men in plaats daarvan de werkwijze met de Client Authentication Agent. STAS blijft het clientloze pad voor Windows-domeinen.

Kort stappenplan

1. AD-audit-events, het serviceaccount en de benodigde verbindingen voorbereiden.
2. Active Directory op de firewall instellen als primaire authenticatiemethode.
3. STA Agent en STA Collector installeren en configureren.
4. STAS op de firewall activeren, de Collector toevoegen en Client Authentication voor de clientzones toestaan.
5. Een gebruiker opnieuw aanmelden op een domeinclient en de toewijzing controleren onder Advanced > Show live users en Current activities > Live users.
6. Een gebruikersgebaseerde firewallregel met logging testen.

De volgende Sophos Techvids tonen de architectuur en configuratie met SFOS 21. Het basisprincipe blijft geldig; sommige schermen zien er in SFOS 22 iets anders uit.

Planning en vereisten

STAS is geschikt voor Windows-clients in een AD-domein wanneer één client-IP normaal gesproken precies bij één gebruiker hoort. De firewall moet hetzelfde client-IP zien dat STAS meldt. NAT, proxysystemen of andere gateways tussen client en firewall kunnen deze toewijzing onbruikbaar maken.

eDirectory is geen basis voor een nieuw STAS-ontwerp: STAS ondersteunt bij eDirectory geen LDAP-verbindingen via SSL/TLS. Bovendien verwijdert SFOS 23 het native eDirectory-servertype en eDirectory SSO. Bestaande installaties horen daarom thuis in het gecontroleerde eDirectory-migratieproces, niet in een nieuw STAS-ontwerp.

Voor beheerde Windows 10-werkstations met Sophos Endpoint kan Synchronized User ID Authentication de domeinidentiteit in plaats daarvan via Security Heartbeat versturen. Dit pad vervangt STAS niet voor Server Protection, andere Windows-versies of omgevingen zonder passende heartbeat.

Als de gebruiker-IP-koppeling tijdens een 802.1X-aanmelding op een wificontroller of network access server ontstaat, kan RADIUS SSO met accounting beter passen. Dit pad vereist een accounting start met gebruikersnaam en Framed-IP-Address, niet de Windows-aanmeldgebeurtenissen van STAS.

Controleer vóór de configuratie het volgende:

• Active Directory is vanaf de firewall bereikbaar en DNS, tijd en routering zijn correct.
• Domeincontrollers registreren geslaagde aanmeldingsgebeurtenissen.
• Windows-clients zijn lid van het domein.
• Firewall, Agents en Collectors bereiken elkaar via stabiele, correct geconfigureerde IP-adressen.
• Onder Administration > Device access > Local service ACL zijn de betrokken zones geselecteerd in de rij Clients van de sectie Authentication services. Meer informatie staat in Device Access op Sophos Firewall.
• Het serviceaccount, wachtwoordwijzigingen en technische accounts voor de Exclusion List zijn gedocumenteerd.

STAS 2.5 en hoger ondersteunt Windows Server 2008 R2, 2012 R2, 2016, 2019, 2022 en 2025, en installatie op een domeincontroller of in een gedocumenteerd member-serverontwerp. Voor nieuwe installaties moeten oude serverversies desondanks niet meer worden gepland.

Agent, Collector en redundantie

De STA Agent leest AD-aanmeldingsgebeurtenissen. De STA Collector verwerkt de gebruiker-IP-toewijzingen en stuurt ze naar de firewall. In het klassieke ontwerp draait een Agent op elke relevante domeincontroller; vanaf STAS 2.5 kan een ondersteunde member server naar de domeincontroller verwijzen. Eén Agent kan meerdere Collectors bedienen en één Collector meerdere firewalls.

In kleine omgevingen kan SSO Suite Agent en Collector op hetzelfde systeem installeren. In productie- of grotere omgevingen is een afzonderlijke Collector vaak eenvoudiger te bewaken en veroorzaakt die minder extra verkeer op de domeincontroller.

Een Collectorgroep bevat maximaal vijf Collectors. De eerste is primair en de overige dienen als back-up. Collectors voor hetzelfde domein horen in dezelfde groep; gebruik aparte groepen voor subdomeinen of gescheiden domeinen.

RDS, Citrix en SATC

Klassieke STAS kan meerdere gebruikers achter hetzelfde RDS-, terminalserver- of Citrix-IP niet onderscheiden. SATC via Sophos Server Protection koppelt alle ondersteunde verbindingen uit de afzonderlijke gebruikerssessies. Als alleen HTTP en HTTPS via een expliciete proxy hoeven te worden onderscheiden, kan Per-Connection AD SSO voor multi-userhosts zonder SATC-agent volstaan. De voormalige zelfstandige legacy SATC-client wordt niet meer ondersteund. Wanneer STAS en SATC parallel werken, moeten de betrokken server-IP’s aan de STAS-aanmeldings- en afmeldingsuitsluitingen worden toegevoegd.

Poorten en bereikbaarheid

De drie kernverbindingen zijn overzichtelijk:

Aanvullende verbindingen zijn afhankelijk van de gebruikte functies:

Voor WMI of Registry Read Access moeten de bijbehorende RPC-, RPC Locator-, DCOM-, WMI- of Registry-services op de clients bereikbaar zijn. Beperk Windows Firewall-regels tot de IP-adressen van de Collectors.

Test vanaf de Collector de twee TCP-poorten van een testclient als volgt:

Test-NetConnection -ComputerName 10.10.20.25 -Port 135
Test-NetConnection -ComputerName 10.10.20.25 -Port 445

TcpTestSucceeded : True bevestigt alleen het TCP-pad. Het account en DCOM-, WMI- of Registry-toegang moeten daarna met WMI Verification of Registry Read Verification in STAS worden getest.

Active Directory voorbereiden

Aanmeldingsgebeurtenissen activeren

Open op elke domeincontroller met een STA Agent secpol.msc en ga naar:

Security Settings > Local Policies > Audit Policy

Open Audit account logon events.

Activeer Success en Failure en sla de instelling op.

Op Windows Server 2008 en hoger is Security Event ID 4768 een snelle aanwijzing voor een geslaagde domeinauthenticatie die STA Agent kan registreren.

STAS-serviceaccount configureren

Gebruik een gedocumenteerd account voor de STAS-service. Het hoeft geen Domain Admin te zijn, maar vereist afhankelijk van het ontwerp:

• Domain Users en Event Log Readers op de domeincontroller
• lees- en schrijfrechten op C:\Program Files (x86)\Sophos\Sophos Transparent Authentication Suite\
• Remote Desktop Users, Distributed COM Users en WMI-rechten op Root\CIMV2 met Execute Methods en Remote Enable op de endpoints
• het gebruikersrecht Log on as a service

Endpointrechten kunnen via groepsbeleid worden verdeeld. Wanneer Workstation Polling niet wordt gebruikt, moeten geen onnodig ruime rechten worden verleend.

Stel de genoemde rechten voor het gedocumenteerde STAS-account op deze plaatsen in:

1. Open op de domeincontroller dsa.msc. Kies bij de STAS-gebruiker Properties > Member of > Add, voeg Domain Users en Event Log Readers toe en bevestig met OK.
2. Open in Verkenner onder C:\Program Files (x86)\Sophos\ bij de map Sophos Transparent Authentication Suite Properties > Security. Geef het STAS-account Read en Write en sla op met OK.
3. Open op de betrokken endpoints lusrmgr.msc. Kies onder Groups bij zowel Remote Desktop Users als Distributed COM Users Properties > Add, voeg het STAS-account toe en bevestig met OK.
4. Open voor WMI-polling op de endpoints wmimgmt.msc. Kies WMI Control (Local) > Properties > Security, vouw Root > CIMV2 uit en open Security. Sta voor het STAS-account Execute Methods en Remote Enable toe en bevestig met OK.

Voor het verspreiden van WMI Control-wijzigingen via een GPO is een PowerShell- of aanmeldscript als onderdeel van die GPO nodig; alleen groepslidmaatschap stelt deze WMI-rechten niet in. Controleer de implementatie eerst op een pilotclient met WMI Verification, in plaats van zonder controle extra rechten te verlenen.

Het gebruikersrecht staat onder:

Security Settings > Local Policies > User Rights Assignment

Voeg daarna het STAS-account toe.

STAS installeren en configureren

Active Directory op de firewall controleren

Onder het volgende pad moet een werkende Active Directory-server zijn geconfigureerd:

Authentication > Servers

Stel onder Authentication > Services de AD-server voor het betrokken gebied in als primaire methode. Active Directory met Sophos Firewall verbinden legt het NetBIOS-domein, de zoekbasis, groepen en de verbindingstest uit.

Download en installatie

Download het installatieprogramma hier:

Authentication > Client downloads

Klik onder Single Sign-on op Sophos Transparent Authentication Suite (STAS).

Start STAS.exe als administrator en installeer Agent, Collector of SSO Suite volgens het ontwerp.

Bij meerdere domeincontrollers heeft elke relevante domeincontroller normaal gesproken een Agent nodig. De momenteel geleverde installatieversie is niet openbaar gedocumenteerd en moet daarom rechtstreeks in het gedownloade bestand worden gecontroleerd.

General

Voer op het tabblad General de NetBIOS-naam, FQDN en het serviceaccount in. De NetBIOS-naam moet in hoofdletters staan.

Behoud bij de eerste configuratie de standaardwaarden voor instellingen die niet in de procedure worden genoemd. De hieronder expliciet beschreven versiegebonden uitzonderingen gaan voor; dit is geen opdracht om bestaande productie-instellingen te resetten.

STA Agent

Op het tabblad STA Agent:

• gebruik EVENTLOG als STA Agent Mode voor lokale eventlogdetectie
• voer onder Specify the networks to be monitored alleen echte clientnetwerken in CIDR-notatie in
• stel Domain Controller IP alleen in bij een member-serverontwerp; laat het veld leeg als SSO Suite rechtstreeks op de domeincontroller draait
• voeg alle geplande Collectors toe aan de Collector List

STA Collector

Op het tabblad STA Collector:

• voer de bereikbare firewall-IP-adressen in onder Sophos appliances
• stel Workstation Polling Method bewust in op WMI of Registry Read Access
• activeer Enable Logoff Detection alleen wanneer ping en polling bij het clientnetwerk passen
• stel bij STAS 2.5.1.0 Dead entry timeout vanwege Known Issue NCL-1309 verplicht in op 0; Sophos adviseert voor deze versie WMI voor Logoff Detection

Bij HA moet de Collector het geconfigureerde firewall-IP via UDP 6060 bereiken; de firewall heeft het retourpad naar de Collector via UDP 6677 nodig. Test de gebruikerstoewijzing afzonderlijk na een failover.

WMI is de gedocumenteerde standaard voor Workstation Polling Method. Sla na het configureren van General, STA Agent en STA Collector op met Apply en start bij de eerste inrichting de STAS-service met Start. Controleer of de service draait en controleer na de firewallintegratie een nieuwe domeinaanmelding in beide Live Users-weergaven. Dit vervangt geen geplande herstartprocedure voor een bestaande productie-installatie.

Exclusion List

De Exclusion List moet accounts bevatten die normale gebruikerstoewijzingen kunnen overschrijven:

• back-up-, monitoring-, softwaredistributie- en endpointaccounts
• beheer- en installatieaccounts
• accounts die zich op de achtergrond op veel clients aanmelden
• systemen waarop geen normale werkplekgebruikers worden verwacht

De lijsten worden afzonderlijk beheerd: voer onder Login user exclusion list met Add de exacte gebruikersnaam in en bevestig met OK. Gebruik voor Exchange-servers of andere adressen die namens gebruikers authenticeren, afhankelijk van de gebeurtenis Login IP address / network subnet mask exclusion list of Logoff IP address / network subnet mask exclusion list. Kies daar Add, voer het adres of netwerk in CIDR-notatie in en bevestig met OK; een afzonderlijke host wordt bijvoorbeeld als 192.168.100.100/32 ingevoerd. Kies tot slot Apply, OK en Yes. Een nieuwe aanmelding moet aantonen dat de bedoelde werkplekgebruiker niet meer wordt overschreven.

Zonder Exclusion List kan een serviceaccount op hetzelfde IP de gebruiker kort na een echte aanmelding uit Live Users verdringen.

STAS op de firewall activeren

Schakel onder het volgende pad Enable Sophos Transparent Authentication Suite in en selecteer Activate STAS:

Authentication > STAS

Voeg elke Collector toe met Collector IP, Collector port en Collector group. Op het tabblad General van STA Suite moet de firewall onder Sophos appliances verschijnen.

Kies hiervoor onder Authentication > STAS Add new collector, voer het werkelijke Collector-IP en de geconfigureerde Collector-poort in en selecteer onder Collector group een nieuwe of bestaande groep voor het juiste domein. Sla op met Save. Ook hier gelden de limiet van vijf Collectors per groep en de scheiding tussen verschillende domeinen.

Ga daarna naar Administration > Device access > Local service ACL en selecteer elke vereiste zone in de rij Clients van de sectie Authentication services.

De belangrijkste STAS-waarden op de firewall zijn:

STAS quarantine verwijdert inkomend verkeer wanneer de Collector geen passende gebruiker- en doel-IP-toewijzing levert. Enable user inactivity meldt gebruikers af die binnen de ingestelde periode niet genoeg gegevens verzenden. Het beschreven gedrag en de inactiviteitsinstellingen moeten passen bij het gedrag van de regels en clients.

Sophos documenteert deze standaardwaarden, maar de juiste operationele keuze hangt af van de regels. Avanet adviseert No te behouden en met een bewust gekozen regel voor niet-geverifieerd verkeer te controleren wat tijdens de probe gebeurt. Voer een pilot uit met aanmelden, gebruikerswissel, afmelden en Collector-uitval voordat de verkeersafhandeling tijdens de identiteitscontrole via Restrict client traffic during identity probe wordt gewijzigd.

Ga voor de inactiviteitscontrole na de pilot naar Authentication > STAS, schakel Enable user inactivity in, stel Inactivity timer in minuten en Data transfer threshold als minimale overgedragen hoeveelheid gegevens in bytes in en kies Apply. Controleer vervolgens onder Current activities > Live users of een daadwerkelijk inactieve testgebruiker na de ingestelde periode wordt verwijderd. De gedocumenteerde standaardwaarden zijn geen algemene aanbeveling voor elke productieomgeving.

⚠️ SFOS 22 / NC-181885: In SFOS 22.0 MR1 Build 490 kan Restrict client traffic during identity probe = Yes herhaalde probes en verkeersonderbrekingen veroorzaken. Bij een upgrade van GA of ouder naar MR1 kan dezelfde waarde de poging blokkeren of een waarschuwing activeren. No is de gedocumenteerde workaround. Plan de overstap naar de gecorrigeerde SFOS 22.0 MR2 Build 546 met de handleiding voor firewallfirmware-updates; MR2 wijzigt ook de standaard in No. Controleer een bestaande waarde vóór en na de upgrade. Andere blokkades staan in de SFOS 22-upgradecontrole.

STAS-status en Collectors beheren via de CLI

De normale configuratie blijft zichtbaar in WebAdmin. Voor diagnose, Support-cases of een gecontroleerde recoverystap biedt de Device Console ook globale CTA-opdrachten. Leg vóór een wijziging de status en Collector-lijst vast:

system auth cta show

Voeg een Collector toe of verwijder deze via het IP-adres. Controleer de poort, Collector-groep en overige STAS-configuratie nog steeds in WebAdmin:

system auth cta collector add collector-ip <COLLECTOR-IP>
system auth cta collector delete collector-ip <COLLECTOR-IP>

De globale STAS-functie kan ook worden in- of uitgeschakeld:

system auth cta enable
system auth cta disable

Belangrijk: disable is geen onschuldige geïsoleerde test. De opdracht schakelt STAS globaal uit en kan daardoor gebruikersgebaseerde regels beïnvloeden. Voer wijzigingen alleen uit met een vastgelegde beginstatus en rollbackpad. Controleer daarna system auth cta show, Collector-connectiviteit, een nieuwe domeinaanmelding, Live Users en een gelogde gebruikersregel.

Gebruikersgebaseerde firewallregel

Maak pas een regel met de bedoelde AD-groep en activeer Log firewall traffic wanneer een testgebruiker stabiel in Live Users verschijnt.

Maak de regel onder Rules and policies > Firewall rules: selecteer IPv4 en open Add firewall rule > New firewall rule. Wijs in de gebruikersinstellingen de bedoelde AD-groep toe; logging en de daaropvolgende controle met echt gebruikersverkeer blijven nodig.

In Log Viewer moeten gebruikersnaam, groep, regel-ID en actie overeenkomen met de verwachting. De algemene regelanalyse staat in Een firewallregel testen met Log Viewer, Policy Tester en Packet Capture.

Configuratie controleren en beheren

Test de volledige keten gecontroleerd:

1. Meld een testgebruiker opnieuw aan op een domeinclient.
2. Controleer Security Event 4768 op de domeincontroller.
3. Controleer STA Agent en STA Collector.
4. Open Advanced > Show live users in STAS.
5. Controleer Current activities > Live users op de firewall.
6. Test de gebruikersgebaseerde regel met echt verkeer en logging.
7. Test afmelden, gebruikerswisseling en een technisch account uit de Exclusion List.

De lokale STAS-tools staan onder Advanced > Troubleshooting:

• Test Connectivity > Sophos controleert de firewallverbinding.
• Test Connectivity > STAS Agent controleert Collector naar Agent.
• Test Connectivity > STAS Collector controleert Agent naar Collector.
• STAS Polling Utilities > WMI Verification en Registry Read Verification testen de toegang tot een client-IP.

Voer voor elke verbindingstest het concrete doel-IP in en selecteer Test. Als Test Connectivity > Sophos succes meldt, maar tegelijk aangeeft dat de Collector niet is gedefinieerd of STAS is uitgeschakeld, is alleen het transport bereikbaar. De SSO-keten is pas aangetoond nadat de firewallconfiguratie is gecorrigeerd en een nieuwe vermelding in Live Users verschijnt.

Het logboek is beschikbaar onder Advanced > View Log en op de volgende locatie op het Windows-systeem:

C:\Program Files (x86)\Sophos\Sophos Transparent Authentication Suite\stas.log

Maak vóór grote wijzigingen een back-up onder Advanced > Backup / Restore > Backup Now. Het bestand heet STAS_ConfigBackup_DD_MM_YYYY_THH_MM_SS.bkp en wordt via Upload and Restore hersteld. Een herstelactie vervangt de STAS-configuratie van die installatie; leg daarom ook eerst firewallwaarden, Collectorgroepen en Device Access vast. Herstel bij een rollback de STAS-back-up of draai afzonderlijke wijzigingen terug en herhaal daarna de end-to-end-controle. Schakel Client Authentication of STAS niet globaal uit voordat een geteste fallback-regel de toegang behoudt.

Meld voor back-up en herstel aan op de betreffende STAS-host met administratorreferenties en open STAS. Selecteer na Backup Now de opslaglocatie van de back-up en kies OK. Voer voor herstel onder Advanced > Backup / Restore het pad van het bedoelde .bkp-bestand in of selecteer het met Browse voordat Upload and Restore wordt gekozen. Deze rollback is hier niet op het product getest; de hierboven beschreven vastlegging van de toestand en end-to-end-controles blijven nodig.

STAS-configuraties synchroniseren

Meerdere STAS-installaties kunnen onder Advanced > Configuration Sync gericht worden gesynchroniseerd. Start de bewerking op het bronsysteem en voer het IP-adres van de doelinstallatie in. Daarmee worden instellingen van STAS-componenten gedupliceerd; de functie vervangt noch de collectorgroep op de firewall, noch de failovertest ervan.

Ondersteunde combinaties zijn SSO Suite naar SSO Suite met agent- en collectorinstellingen, agent naar SSO Suite met alleen agentinstellingen, collector naar SSO Suite met alleen collectorinstellingen, agent naar agent en collector naar collector. Sophos ondersteunt geen andere combinaties. Maak eerst op beide systemen een back-up; controleer daarna de agent- en collectorconfiguratie, de connectiviteitstests en een nieuwe live user.

Onderhoud tijdens het gebruik het serviceaccount, de Exclusion List, bewaakte netwerken en Windows Firewall-GPO’s. Herhaal de end-to-end-test na updates van Windows, domeincontrollers, STAS of de firewall. Als in de loop der jaren veel gebruikersobjecten ontstaan of alleen afzonderlijke portal- of VPN-gebruikers uitvallen, controleer dan ook de Sophos Firewall User-ID-limiet.

Probleemoplossing

Geen gebruikers in Live Users

Controleer in deze volgorde:

1. Wordt Event ID 4768 op de domeincontroller gegenereerd?
2. Draait STA Agent en bewaakt deze de juiste domeincontroller en het juiste clientnetwerk?
3. Kan Agent Collector via TCP 5566 bereiken?
4. Werken UDP 6060 en 6677 tussen Collector en firewall?
5. Is Client Authentication toegestaan voor de clientzone?
6. Ziet de firewall hetzelfde client-IP als STAS?

Als niet duidelijk is of STAS, de serviceselectie, het lokale gebruikersrecord of pas de gebruikersregel mislukt, leidt Authenticatiefouten op Sophos Firewall systematisch oplossen door de methodeoverstijgende controleketen.

Endpointbeveiliging kan STAS-communicatie ook blokkeren en meerdere NIC’s kunnen leiden tot een verkeerde STAS-binding. Als Collector achter een IPsec-tunnel staat, kan door het systeem gegenereerd firewallverkeer een geschikt SNAT-IP nodig hebben.

Gebruiker is verkeerd toegewezen

Controleer of een back-up-, monitoring-, installatie- of beheeraccount dezelfde client overschrijft. Voeg het betreffende account toe aan de Exclusion List en herhaal de test met een nieuwe gebruikersaanmelding. Als het IP-adres inmiddels bij een ander apparaat hoort, vergelijk dan ook de DHCP-lease en het NAT- of proxypad: STAS kan de gebruiker alleen eenduidig koppelen wanneer firewall en Collector hetzelfde actuele client-IP gebruiken. Forceer na de correctie een nieuwe aanmelding in plaats van op een oude Live Users-vermelding te wachten.

Gebruiker verdwijnt te snel

Bij STAS 2.5.1.0 moet Dead entry timeout vanwege NCL-1309 op 0 staan. Controleer daarna Advanced > Show live users, stas.log en de WMI- of Registry-verificatie voor de client.

DCOM-fouten of onjuiste netwerken

Windows Events 10009 of 10028 ontstaan vaak wanneer Collector onbereikbare systemen opvraagt. In dat geval:

1. Bewerk op het tabblad STA Collector de firewall onder Sophos appliances.
2. Activeer Enable subnet based filter en voer alleen echte clientnetwerken in.
3. Controleer op het tabblad STA Agent dezelfde netwerken onder Specify the networks to be monitored.
4. Pas de wijzigingen toe, start STAS opnieuw en controleer stas.log nogmaals.

Gebruikers met LogonType: 1 uit niet-bewaakte netwerken wijzen op ontbrekende of ongeschikte filtering. Na de correctie bevestigt SSOclient_filter_CR_subnet: Workstation filtered out in stas.log dat STAS een workstation zoals bedoeld heeft uitgesloten.

Gebruikersregel komt niet overeen

Controleer of de gebruiker in Live Users verschijnt, de verwachte AD-groep wordt opgelost en Log Viewer de gebruikersnaam in plaats van alleen het IP toont. Controleer daarna de regelpositie en een eventuele eerdere fallback-regel. Gebruik het gekoppelde artikel over regeltests voor verdere analyse.

Identity Probe en CTA-overgangsperiode

Wanneer de firewall verkeer van een onbekend IP detecteert, start deze een Identity Probe. Met Restrict client traffic during identity probe = Yes wordt het verkeer tijdens de controle geblokkeerd; met No loopt het door. Als Collector niet antwoordt, behandelt de firewall het IP vervolgens één uur als niet-geauthenticeerd en past de relevante regels voor niet-geauthenticeerd verkeer toe.

Na dat uur gaat het IP opnieuw naar de leermodus om de aanmelding of gebruikerstoewijzing opnieuw te proberen. Deze nieuwe Identity Probe is niet hetzelfde als de afzonderlijk configureerbare Drop Period.

De volgende opdracht toont de huidige CTA-instellingen in optie 4 van de Device Console:

system auth cta show

De afzonderlijke Drop Period kan worden ingesteld van 1 tot 120 seconden:

system auth cta unauth-traffic drop-period <1-120>

Voorbeeld voor 40 seconden:

system auth cta unauth-traffic drop-period 40

Waarden onder 20 seconden kunnen het leerproces onderbreken en domeingebruikers naar het Captive Portal doorsturen. Wijzig de waarde alleen met een gedocumenteerde test en controleer daarna opnieuw system auth cta show, Live Users en de betrokken client. Voor apparaten buiten het domein zijn Clientless Users met een vast IP-adres of afzonderlijke regels meestal geschikter.

STAS via VPN

STAS kan gebruikers op een nevenlocatie via een IPsec-VPN detecteren met een domeincontroller op de hoofdlocatie. Routering, bron-IP en bewaakte netwerken moeten overeenkomen. In het Sophos-referentieontwerp zijn beide firewalls in het STAS-ontwerp opgenomen; de domeincontroller kan uitsluitend op de hoofdlocatie staan.

Vereisten:

• De IPsec-verbinding en routering door de tunnel werken.
• Het netwerk van de nevenlocatie is in STA Agent ingevoerd als bewaakt netwerk.
• De firewall van de nevenlocatie is in STA Collector geconfigureerd onder Sophos appliances.
• Client Authentication is toegestaan voor de VPN-zone.

Voeg op de firewall van de hoofdlocatie het externe netwerk toe in de Device Console:

system auth cta vpnzonenetwork add source-network 10.20.50.0 netmask 255.255.255.0

Vervang het voorbeeldnetwerk door het werkelijke netwerk van de nevenlocatie en test daarna een nieuwe domeinaanmelding, Live Users en een gelogde gebruikersregel via de tunnel. Verwijder voor rollback exact hetzelfde netwerk met delete:

system auth cta vpnzonenetwork delete source-network 10.20.50.0 netmask 255.255.255.0

Het verwijderen van de invoer verwijdert alleen de STAS-toewijzing voor dit VPN-netwerk. De tunnel, routering en firewallregels blijven afzonderlijke configuraties en worden apart gecontroleerd.