STAS op Sophos Firewall instellen

STAS staat voor Sophos Transparent Authentication Suite. De functie meldt Windows-aanmeldingen uit Active Directory samen met het bijbehorende client-IP aan Sophos Firewall. Daardoor kunnen gebruikers en AD-groepen in firewallregels worden gebruikt zonder extra aanmelding in de browser of het portaal.

Kort stappenplan

1. AD-audit-events, het serviceaccount en de benodigde verbindingen voorbereiden.
2. Active Directory op de firewall instellen als primaire authenticatiemethode.
3. STA Agent en STA Collector installeren en configureren.
4. STAS op de firewall activeren, de Collector toevoegen en Client Authentication voor de clientzones toestaan.
5. Een gebruiker opnieuw aanmelden op een domeinclient en de toewijzing controleren onder Advanced > Show live users en Current activities > Live users.
6. Een gebruikersgebaseerde firewallregel met logging testen.

De volgende Sophos Techvids tonen de architectuur en configuratie met SFOS 21. Het basisprincipe blijft geldig; sommige schermen zien er in SFOS 22 iets anders uit.

Planning en vereisten

STAS is geschikt voor Windows-clients in een AD-domein wanneer één client-IP normaal gesproken precies bij één gebruiker hoort. De firewall moet hetzelfde client-IP zien dat STAS meldt. NAT, proxysystemen of andere gateways tussen client en firewall kunnen deze toewijzing onbruikbaar maken.

Controleer vóór de configuratie het volgende:

• Active Directory is vanaf de firewall bereikbaar en DNS, tijd en routering zijn correct.
• Domeincontrollers registreren geslaagde aanmeldingsgebeurtenissen.
• Windows-clients zijn lid van het domein.
• Firewall, Agents en Collectors bereiken elkaar via stabiele, correct geconfigureerde IP-adressen.
• Client Authentication is voor de betrokken zones toegestaan onder Administration > Device access > Authentication services > Clients. Meer informatie staat in Device Access op Sophos Firewall.
• Het serviceaccount, wachtwoordwijzigingen en technische accounts voor de Exclusion List zijn gedocumenteerd.

STAS 2.5 en hoger ondersteunt Windows Server 2008 R2, 2012 R2, 2016, 2019, 2022 en 2025, en installatie op een domeincontroller of in een gedocumenteerd member-serverontwerp. Voor nieuwe installaties moeten oude serverversies desondanks niet meer worden gepland.

Agent, Collector en redundantie

De STA Agent leest AD-aanmeldingsgebeurtenissen. De STA Collector verwerkt de gebruiker-IP-toewijzingen en stuurt ze naar de firewall. In het klassieke ontwerp draait een Agent op elke relevante domeincontroller; vanaf STAS 2.5 kan een ondersteunde member server naar de domeincontroller verwijzen. Eén Agent kan meerdere Collectors bedienen en één Collector meerdere firewalls.

In kleine omgevingen kan SSO Suite Agent en Collector op hetzelfde systeem installeren. In productie- of grotere omgevingen is een afzonderlijke Collector vaak eenvoudiger te bewaken en veroorzaakt die minder extra verkeer op de domeincontroller.

Een Collectorgroep bevat maximaal vijf Collectors. De eerste is primair en de overige dienen als back-up. Collectors voor hetzelfde domein horen in dezelfde groep; gebruik aparte groepen voor subdomeinen of gescheiden domeinen.

RDS, Citrix en SATC

Klassieke STAS kan meerdere gebruikers achter hetzelfde RDS-, terminalserver- of Citrix-IP niet onderscheiden. Gebruik hiervoor SATC via Sophos Server Protection; de voormalige zelfstandige legacy SATC-client wordt niet meer ondersteund. Wanneer STAS en SATC parallel werken, moeten de betrokken server-IP’s aan de STAS-aanmeldings- en afmeldingsuitsluitingen worden toegevoegd.

Poorten en bereikbaarheid

De drie kernverbindingen zijn overzichtelijk:

Aanvullende verbindingen zijn afhankelijk van de gebruikte functies:

Voor WMI of Registry Read Access moeten de bijbehorende RPC-, RPC Locator-, DCOM-, WMI- of Registry-services op de clients bereikbaar zijn. Beperk Windows Firewall-regels tot de IP-adressen van de Collectors.

Test vanaf de Collector de twee TCP-poorten van een testclient als volgt:

Test-NetConnection -ComputerName 10.10.20.25 -Port 135
Test-NetConnection -ComputerName 10.10.20.25 -Port 445

TcpTestSucceeded : True bevestigt alleen het TCP-pad. Het account en DCOM-, WMI- of Registry-toegang moeten daarna met WMI Verification of Registry Read Verification in STAS worden getest.

Active Directory voorbereiden

Aanmeldingsgebeurtenissen activeren

Open op elke domeincontroller met een STA Agent secpol.msc en ga naar:

Security Settings > Local Policies > Audit Policy

Open Audit account logon events.

Activeer Success en Failure en sla de instelling op.

Op Windows Server 2008 en hoger is Security Event ID 4768 een snelle aanwijzing voor een geslaagde domeinauthenticatie die STA Agent kan registreren.

STAS-serviceaccount configureren

Gebruik een gedocumenteerd account voor de STAS-service. Het hoeft geen Domain Admin te zijn, maar vereist afhankelijk van het ontwerp:

• Domain Users en Event Log Readers op de domeincontroller
• lees- en schrijfrechten op C:\Program Files (x86)\Sophos\Sophos Transparent Authentication Suite\
• Remote Desktop Users, Distributed COM Users en WMI-rechten op Root\CIMV2 met Execute Methods en Remote Enable op de endpoints
• het gebruikersrecht Log on as a service

Endpointrechten kunnen via groepsbeleid worden verdeeld. Wanneer Workstation Polling niet wordt gebruikt, moeten geen onnodig ruime rechten worden verleend.

Het gebruikersrecht staat onder:

Security Settings > Local Policies > User Rights Assignment

Voeg daarna het STAS-account toe.

STAS installeren en configureren

Active Directory op de firewall controleren

Onder het volgende pad moet een werkende Active Directory-server zijn geconfigureerd:

Authentication > Servers

Stel onder Authentication > Services de AD-server voor het betrokken gebied in als primaire methode. Active Directory met Sophos Firewall verbinden legt het NetBIOS-domein, de zoekbasis, groepen en de verbindingstest uit.

Download en installatie

Download het installatieprogramma hier:

Authentication > Client downloads

Klik onder Single Sign-on op Sophos Transparent Authentication Suite (STAS).

Start STAS.exe als administrator en installeer Agent, Collector of SSO Suite volgens het ontwerp.

Bij meerdere domeincontrollers heeft elke relevante domeincontroller normaal gesproken een Agent nodig. De momenteel geleverde installatieversie is niet openbaar gedocumenteerd en moet daarom rechtstreeks in het gedownloade bestand worden gecontroleerd.

General

Voer op het tabblad General de NetBIOS-naam, FQDN en het serviceaccount in. De NetBIOS-naam moet in hoofdletters staan.

STA Agent

Op het tabblad STA Agent:

• gebruik EVENTLOG als STA Agent Mode voor lokale eventlogdetectie
• voer onder Specify the networks to be monitored alleen echte clientnetwerken in CIDR-notatie in
• stel Domain Controller IP alleen in bij een member-serverontwerp; laat het veld leeg als SSO Suite rechtstreeks op de domeincontroller draait
• voeg alle geplande Collectors toe aan de Collector List

STA Collector

Op het tabblad STA Collector:

• voer de bereikbare firewall-IP-adressen in onder Sophos appliances
• stel Workstation Polling Method bewust in op WMI of Registry Read Access
• activeer Enable Logoff Detection alleen wanneer ping en polling bij het clientnetwerk passen
• stel bij STAS 2.5.1.0 Dead entry timeout vanwege Known Issue NCL-1309 verplicht in op 0; Sophos adviseert voor deze versie WMI voor Logoff Detection

Bij HA moet de Collector het geconfigureerde firewall-IP via UDP 6060 bereiken; de firewall heeft het retourpad naar de Collector via UDP 6677 nodig. Test de gebruikerstoewijzing afzonderlijk na een failover.

Exclusion List

De Exclusion List moet accounts bevatten die normale gebruikerstoewijzingen kunnen overschrijven:

• back-up-, monitoring-, softwaredistributie- en endpointaccounts
• beheer- en installatieaccounts
• accounts die zich op de achtergrond op veel clients aanmelden
• systemen waarop geen normale werkplekgebruikers worden verwacht

Zonder Exclusion List kan een serviceaccount op hetzelfde IP de gebruiker kort na een echte aanmelding uit Live Users verdringen.

STAS op de firewall activeren

Schakel onder het volgende pad Enable Sophos Transparent Authentication Suite in en selecteer Activate STAS:

Authentication > STAS

Voeg elke Collector toe met Collector IP, Collector port en Collector group. Op het tabblad General van STA Suite moet de firewall onder Sophos appliances verschijnen.

Sta daarna Client Authentication toe voor elke vereiste zone onder Administration > Device access > Authentication services > Clients.

De belangrijkste STAS-waarden op de firewall zijn:

STAS quarantine verwijdert inkomend verkeer wanneer de Collector geen passende gebruiker- en doel-IP-toewijzing levert. Enable user inactivity meldt gebruikers af die binnen de ingestelde periode niet genoeg gegevens verzenden. Beide opties moeten passen bij het gedrag van de regels en clients.

⚠️ SFOS 22: In SFOS 22.0 MR1 Build 490 kan Restrict client traffic during identity probe = Yes herhaalde probes en verkeersonderbrekingen veroorzaken en een upgrade blokkeren of een waarschuwing activeren. No is de gedocumenteerde workaround. De Known Issues-lijst noemt MR2 Build 546 als gecorrigeerde versie; MR2 wijzigt ook de standaard in No. Controleer een bestaande waarde vóór en na de upgrade. Andere blokkades staan in de SFOS 22-upgradecontrole.

Gebruikersgebaseerde firewallregel

Maak pas een regel met de bedoelde AD-groep en activeer Log firewall traffic wanneer een testgebruiker stabiel in Live Users verschijnt.

In Log Viewer moeten gebruikersnaam, groep, regel-ID en actie overeenkomen met de verwachting. De algemene regelanalyse staat in Een firewallregel testen met Log Viewer, Policy Tester en Packet Capture.

Configuratie controleren en beheren

Test de volledige keten gecontroleerd:

1. Meld een testgebruiker opnieuw aan op een domeinclient.
2. Controleer Security Event 4768 op de domeincontroller.
3. Controleer STA Agent en STA Collector.
4. Open Advanced > Show live users in STAS.
5. Controleer Current activities > Live users op de firewall.
6. Test de gebruikersgebaseerde regel met echt verkeer en logging.
7. Test afmelden, gebruikerswisseling en een technisch account uit de Exclusion List.

De lokale STAS-tools staan onder Advanced > Troubleshooting:

• Test Connectivity > Sophos controleert de firewallverbinding.
• Test Connectivity > STAS Agent controleert Collector naar Agent.
• Test Connectivity > STAS Collector controleert Agent naar Collector.
• STAS Polling Utilities > WMI Verification en Registry Read Verification testen de toegang tot een client-IP.

Het logboek is beschikbaar onder Advanced > View Log en op de volgende locatie op het Windows-systeem:

C:\Program Files (x86)\Sophos\Sophos Transparent Authentication Suite\stas.log

Maak vóór grote wijzigingen een back-up onder Advanced > Backup / Restore > Backup Now. Het bestand heet STAS_ConfigBackup_DD_MM_YYYY_THH_MM_SS.bkp en wordt via Upload and Restore hersteld.

Onderhoud tijdens het gebruik het serviceaccount, de Exclusion List, bewaakte netwerken en Windows Firewall-GPO’s. Herhaal de end-to-end-test na updates van Windows, domeincontrollers, STAS of de firewall. Als in de loop der jaren veel gebruikersobjecten ontstaan of alleen afzonderlijke portal- of VPN-gebruikers uitvallen, controleer dan ook de Sophos Firewall User-ID-limiet.

Probleemoplossing

Geen gebruikers in Live Users

Controleer in deze volgorde:

1. Wordt Event ID 4768 op de domeincontroller gegenereerd?
2. Draait STA Agent en bewaakt deze de juiste domeincontroller en het juiste clientnetwerk?
3. Kan Agent Collector via TCP 5566 bereiken?
4. Werken UDP 6060 en 6677 tussen Collector en firewall?
5. Is Client Authentication toegestaan voor de clientzone?
6. Ziet de firewall hetzelfde client-IP als STAS?

Endpointbeveiliging kan STAS-communicatie ook blokkeren en meerdere NIC’s kunnen leiden tot een verkeerde STAS-binding. Als Collector achter een IPsec-tunnel staat, kan door het systeem gegenereerd firewallverkeer een geschikt SNAT-IP nodig hebben.

Gebruiker is verkeerd toegewezen

Controleer of een back-up-, monitoring-, installatie- of beheeraccount dezelfde client overschrijft. Voeg het betreffende account toe aan de Exclusion List en herhaal de test met een nieuwe gebruikersaanmelding.

Gebruiker verdwijnt te snel

Bij STAS 2.5.1.0 moet Dead entry timeout vanwege NCL-1309 op 0 staan. Controleer daarna Advanced > Show live users, stas.log en de WMI- of Registry-verificatie voor de client.

DCOM-fouten of onjuiste netwerken

Windows Events 10009 of 10028 ontstaan vaak wanneer Collector onbereikbare systemen opvraagt. In dat geval:

1. Bewerk op het tabblad STA Collector de firewall onder Sophos appliances.
2. Activeer Enable subnet based filter en voer alleen echte clientnetwerken in.
3. Controleer op het tabblad STA Agent dezelfde netwerken onder Specify the networks to be monitored.
4. Pas de wijzigingen toe, start STAS opnieuw en controleer stas.log nogmaals.

Gebruikers met LogonType: 1 uit niet-bewaakte netwerken wijzen op ontbrekende of ongeschikte filtering. Na de correctie bevestigt SSOclient_filter_CR_subnet: Workstation filtered out in stas.log dat STAS een workstation zoals bedoeld heeft uitgesloten.

Gebruikersregel komt niet overeen

Controleer of de gebruiker in Live Users verschijnt, de verwachte AD-groep wordt opgelost en Log Viewer de gebruikersnaam in plaats van alleen het IP toont. Controleer daarna de regelpositie en een eventuele eerdere fallback-regel. Gebruik het gekoppelde artikel over regeltests voor verdere analyse.

Identity Probe en CTA-overgangsperiode

Wanneer de firewall verkeer van een onbekend IP detecteert, start deze een Identity Probe. Met Restrict client traffic during identity probe = Yes wordt het verkeer tijdens de controle geblokkeerd; met No loopt het door. Als Collector niet antwoordt, behandelt de firewall het IP vervolgens één uur als niet-geauthenticeerd en past de relevante regels voor niet-geauthenticeerd verkeer toe.

De volgende opdracht toont de huidige CTA-instellingen in optie 4 van de Device Console:

system auth cta show

De afzonderlijke Drop Period kan worden ingesteld van 1 tot 120 seconden:

system auth cta unauth-traffic drop-period <1-120>

Voorbeeld voor 40 seconden:

system auth cta unauth-traffic drop-period 40

Waarden onder 20 seconden kunnen het leerproces onderbreken en domeingebruikers naar het Captive Portal doorsturen. Wijzig de waarde alleen met een gedocumenteerde test en controleer daarna opnieuw system auth cta show, Live Users en de betrokken client. Voor apparaten buiten het domein zijn Clientless Users of afzonderlijke regels meestal geschikter.

STAS via VPN

STAS kan gebruikers op een nevenlocatie via een IPsec-VPN detecteren met een domeincontroller op de hoofdlocatie. Routering, bron-IP en bewaakte netwerken moeten overeenkomen. In het Sophos-referentieontwerp zijn beide firewalls in het STAS-ontwerp opgenomen; de domeincontroller kan uitsluitend op de hoofdlocatie staan.

Vereisten:

• De IPsec-verbinding en routering door de tunnel werken.
• Het netwerk van de nevenlocatie is in STA Agent ingevoerd als bewaakt netwerk.
• De firewall van de nevenlocatie is in STA Collector geconfigureerd onder Sophos appliances.
• Client Authentication is toegestaan voor de VPN-zone.

Voeg op de firewall van de hoofdlocatie het externe netwerk toe in de Device Console:

system auth cta vpnzonenetwork add source-network 10.20.50.0 netmask 255.255.255.0

Vervang het voorbeeldnetwerk door het werkelijke netwerk van de nevenlocatie en test daarna een nieuwe domeinaanmelding, Live Users en een gelogde gebruikersregel via de tunnel.