Configurar o Sophos ZTNA: runbook de configuração completo

O Sophos Zero Trust Network Access, ou ZTNA, controla o acesso a aplicações e sites internos através de identidades, grupos e políticas. Uma configuração completa requer um serviço de diretório, um provedor de identidade, um gateway, um conceito de certificados e DNS, políticas e recursos. As aplicações locais exigem um agente ZTNA; as aplicações web podem ser disponibilizadas sem agente.

Este runbook descreve a arquitetura global e a ordem correta. Não substitui o planeamento detalhado do gateway nem runbooks especializados para controladores de domínio, RDP ou SSH. Comece com uma aplicação, um grupo piloto e um caminho de retorno documentado. Só amplie o âmbito depois de os testes positivo e negativo passarem.

Resposta direta: a ordem correta

Configure o Sophos ZTNA nesta ordem:

Verifique a licença, o acesso administrativo, as plataformas e a aplicação de destino.
Defina o tipo de acesso e o modo do gateway.
Sincronize utilizadores e grupos de segurança do Microsoft Entra ID ou Active Directory.
Configure o provedor de identidade e teste a ligação.
Disponibilize o certificado wildcard, o domínio e o gateway.
Configure a resolução DNS pública e privada.
Crie uma política ZTNA limitada.
Implemente o agente apenas onde o tipo de acesso o exigir.
Crie o recurso com exatamente uma política e os grupos previstos.
Teste o acesso autorizado e não autorizado e os logs.
Só depois migre mais utilizadores, aplicações e locais.

O Sophos Fusion é a camada de gestão. Gateway, agente, diretório, provedor de identidade, certificado, DNS, política e recurso continuam a ser dependências separadas. Um login bem-sucedido não prova que a aplicação está acessível ou devidamente limitada.

Pré-requisitos, licença e funções

Licença e avaliação

O Sophos ZTNA faz parte do Sophos Workspace Protection. A licença está disponível de forma autónoma, por MSP Flex ou no pacote Sophos Endpoint Plus Workspace Protection. No Workspace Protection, a quantidade necessária é determinada pelo maior consumo dos produtos incluídos; no ZTNA contam-se utilizadores únicos autenticados em 30 dias. O mesmo tipo de licença cobre acesso com e sem agente e gateways locais e Sophos Cloud Gateway.

A licença autónoma do Workspace Protection não inclui uma licença Sophos Endpoint. O acesso com agente exige também um entitlement Endpoint aplicável e capacidade para instalar o Sophos Endpoint Agent. Isto é independente de a licença ZTNA cobrir ambos os métodos de acesso.

O Sophos Cloud Gateway tem ainda um limite médio de transferência de 15 GB por utilizador e mês. Uma avaliação dura normalmente 30 dias. Um tenant de avaliação permite no máximo 1000 entradas por tipo de objeto, como utilizadores, grupos ou dispositivos. Após expirar, os produtos Workspace Protection ficam indisponíveis no Sophos Fusion; a configuração permanece e reaparece após renovação.

Ative e verifique a licença através do ícone do perfil > Licensing. Para um teste estruturado, use Iniciar e avaliar com segurança uma avaliação do Sophos Fusion.

Responsabilidades

Defina antes das alterações:

Administrador do Sophos Fusion: configura fontes de diretório, provedores de identidade, gateways, políticas e recursos. Uma fonte AD requer administrador da consola Sophos Central.
Administrador de identidades: cria o registo da aplicação, Client Secret, grupos, Redirect URI e eventuais contas guest.
Responsável por DNS e certificados: cria registos públicos e internos, confirma o domínio e renova certificados.
Administrador de rede ou firewall: fornece routing, ligações de saída, NAT e regras de firewall.
Application Owner: conhece FQDN interno ou IP, portas, autenticação, redirects e critério de aceitação.
Responsável por endpoints: distribui o Sophos Endpoint Agent com o componente ZTNA e valida os sistemas suportados.

Não guarde Client Secrets, palavras-passe de bind ou chaves privadas no ticket ou runbook. Documente responsável, local de armazenamento, validade e rotação.

Verificação técnica prévia

Host do gateway: VMware ESXi 6.5+ ou Hyper-V em Windows Server 2016+; pelo menos 2 núcleos, 4 GB RAM e 80 GB, SSD recomendado. Hora correta e fuso UTC.
Sophos Firewall como gateway: SFOS 19.5 MR3+ gerido pelo Sophos Fusion. São suportados hardware, cloud, virtual e software; funções novas podem exigir SFOS superior.
Certificado: wildcard de Let’s Encrypt ou CA fiável. RSA de 2048 bits ou mais e ECDSA são suportados, não P-384/P-521.
Diretório: Microsoft Entra ID ou AD local com grupos mantidos. Os grupos Entra para ZTNA devem ser security-enabled.
Provedor: Microsoft Entra ID, Okta ou AD local.
Agente: Windows 10 1803+ ou macOS 11 Big Sur+.
Aplicação: portas estáticas conhecidas. Atribuição dinâmica ou intervalos muito grandes, como VoIP antigo, não são suportados.
Rede: alcance interno e DNS privado do gateway à aplicação. Gateways locais também devem alcançar os destinos Sophos de saída; a inspeção SSL/TLS não pode interromper as ligações.

Para arquitetura, dimensionamento e rede, siga Planear e criar um gateway Sophos ZTNA.

Valores de exemplo

Substitua-os pelos seus; não misture teste e produção.

Finalidade	Exemplo
Grupo piloto	`ZTNA-Pilot-Finance`
FQDN do gateway	`ztna.example.net`
FQDN externo do recurso	`wiki.example.net`
Destino interno	`wiki.intern.example.net`
Porta web	`443/TCP`
Política	`ZTNA-Pilot-Healthy`
Recurso	`Wiki-Pilot`
PoP principal	`Europe (Frankfurt) Region`
Utilizador permitido	`ztna-allow@example.net`
Utilizador bloqueado	`ztna-deny@example.net`

1. Escolher o caminho e o modo do gateway

Sem agente ou com agente

Requisito	Sem agente	Com agente
Aplicação ou site web	Sim	Sim
Aplicação local, por exemplo TCP nativa	Não	Sim
Verificar o estado do dispositivo	Não	Sim
Sophos Endpoint Agent necessário	Não	Sim
FQDN externo resolvido publicamente	Sim	Não
Aviso de recurso inacessível	Só neste modo	Não

O acesso sem agente controla apenas aplicações e sites web e não avalia o dispositivo. Uma política com agente verifica o estado de segurança e limita todos os tipos suportados, mas só funciona após instalar o componente ZTNA.

O Protected Browser completo e a extensão não são equivalentes: a extensão noutro browser não avalia a integridade do endpoint. As condições de proteção só se aplicam ao browser completo. Sessões RDP/SSH sem agente são casos separados; crie uma política agentless, um recurso estrito e os objetos Protected Browser. Não copie uma política web sem alterações para alvos administrativos.

Gateway local ou Sophos Cloud Gateway

Local: appliance virtual no seu data center, acessível pela Internet; gere a instância, portas e NAT.
Sophos Cloud Gateway: a Sophos opera o plano de dados cloud e uma instância local liga-o aos recursos; não são necessários exposição direta, portas de entrada nem NAT do caminho.

A migração é possível, mas deve ser uma alteração controlada de DNS, certificado, PoP, nomes e testes.

Escolha o Point of Presence (PoP) perto do data center, não dos utilizadores. Há regiões na Irlanda, Frankfurt, Ohio, Oregon, Mumbai e Sydney. Desde ZTNA 2.1, um PoP secundário vizinho fornece failover automático. Altere em My Products > ZTNA > Gateways: abra, Edit, Points of Presence, guarde.

2. Preparar diretório e grupos

Crie primeiro um pequeno grupo piloto security-enabled apenas com o utilizador permitido. Um segundo utilizador fora do grupo serve para o teste negativo.

Sincronizar Microsoft Entra ID

A referência detalhada é Sincronizar o Microsoft Entra ID com o Sophos Fusion. Para ZTNA:

Registe a aplicação ZTNA.
Para ESXi/Hyper-V adicione https://<gateway-fqdn>/oauth2/callback; para Sophos Firewall, https://<gateway-fqdn>/ztna-oauth2/callback como Redirect URI. São possíveis vários FQDN.
Guarde Client ID, Tenant ID e o valor de Client secret na criação; não volta a ser mostrado.
Conceda apenas permissões Microsoft Graph e admin consent necessários.
Escolha grupos security-enabled; confirme os importados de Microsoft 365 ou AD.
No Sophos Fusion abra Global Settings > Directory service ou Access control > Sign-in & identity e adicione Microsoft Entra ID.
Configure domínio, Client ID, Client secret, validade e Hourly, Daily, Weekly, Monthly ou None.
Limite o âmbito, guarde e confirme em My Environment > Users & groups.

Não se sincronizam várias fontes Entra do mesmo domínio. Office 365 GCC High não é suportado. UPN e login divergentes podem criar duplicados. Depois de renomear um grupo atribuído, atribua-o novamente.

Sincronizar Active Directory local

Transfira Active Directory Synchronization Setup em Global Settings > Directory service. Requer .NET Framework 4.6.2, credenciais API com função Service Principal Active Directory Sync, utilizadores/e-mails únicos e regras de firewall ou proxy.

Valide Client ID e Client Secret.
Use conta LDAP com leitura da floresta e privilégios mínimos.
Mantenha Use LDAP over SSL connection: porta 636 para LDAPS, 389 sem segurança.
Selecione utilizadores e grupos em conjunto; o mesmo para dispositivos.
Limite com Base Distinguished Names e filtros, por exemplo OU=Finance,DC=example,DC=net.
Após configurar ou alterar filtros, execute pré-visualização e sincronização manuais; pode demorar 15 minutos.

Não sincronize o mesmo domínio de AD e Entra ao mesmo tempo. Grupos primários AD não são sincronizados; o utilizador deve pertencer a outro grupo. Alterar Base DN ou filtros pode remover objetos do Sophos Fusion. Elimine contas inativas na origem.

Acesso guest

Use Microsoft Entra B2B. Verifique colaboração externa, domínios permitidos e aprovador. Adicione individualmente ou por lote controlado. Crie grupo guest separado, sincronize e atribua apenas recursos necessários. O Application Owner deve conhecer sponsor e data de saída.

Adicionar manualmente um utilizador

Se o utilizador não for sincronizado de um diretório, abra My Environment > Users & groups, escolha Add user e introduza First and last name, Email address e, quando necessário, Role, Manager, Exchange login e Add to groups (optional). Atribua uma função administrativa apenas quando necessária; User dá acesso apenas ao portal self-service. Selecione Email setup link apenas se o utilizador proteger o próprio dispositivo e tiver direitos de administrador local e Internet. Guarde e confirme a lista e o grupo ZTNA previsto. Se não aparecer, verifique o e-mail, o filtro de grupos e se o diretório deve ser a fonte autoritativa.

3. Configurar o provedor de identidade

Abra Sophos Central > My Products > ZTNA > Identity providers > Add identity provider ou My Products > ZTNA > Identity providers. Só é possível uma entrada por provedor. Evite ., @ e # no nome.

Microsoft Entra ID

Microsoft Entra ID (Azure AD).
Nome, descrição, Client ID, Tenant ID, Client secret.
Teste a ligação.
Guarde após sucesso.

Active Directory local

Microsoft AD (on-prem).
Host e porta do servidor principal e opcional secundário do mesmo domínio.
Ative TLS/StartTLS. Com Verify SSL certificate, carregue .pem, .crt ou .cer até 10 KB.
Introduza Bind DN, palavra-passe e Base DN de utilizadores e grupos.
Opcionalmente Captcha e OTP por e-mail com SMTP.
Atribua ao gateway; reabra, selecione-o em Test Connection e opcionalmente um utilizador para ver os grupos.

AD requer ZTNA 2.1+ em ESXi/Hyper-V ou SFOS 19.5 MR3+ no Sophos Firewall. O e-mail do utilizador de teste deve ser válido. Só um domínio é suportado, não vários child domains. Com AD local, o utilizador autentica no primeiro acesso atrás de cada gateway e apenas num dispositivo de cada vez.

Okta

Precisa de grupos sincronizados, servidor OIDC e gateway 1.1+. Crie aplicação web OIDC, ative Client Credentials e Refresh Token, use o callback correto e atribua grupos. Introduza Client ID, Client Secret e Issuer URI no ZTNA. Um servidor personalizado exige API Access Management.

O login federado da administração do Sophos Fusion é distinto do provedor ZTNA acima. Requer direitos de Super Admin e verificação prévia do domínio em Access control > Sign-in & identity > Sophos sign-in com o TXT record gerado. Depois abra Access control > Sign-in & identity > Federated identity providers e escolha Add identity provider:

Introduza nome e descrição sem ., @ ou #.
Escolha Microsoft Entra ID, OpenID Connect ou Microsoft AD FS. Entra requer Tenant ID; OIDC, Client ID, Issuer, Authorization endpoint e JWKS URL; AD FS, o URL de metadados.
Atribua o domínio verificado. Pode adicionar vários, mas cada utilizador pertence apenas a um.
Escolha conscientemente IdP-enforced MFA ou No IdP-enforced MFA; na segunda opção, o Sophos Fusion impõe MFA após autenticação no IdP.
Guarde e ative. Dados incompletos ou inválidos impedem a ativação.

Ative a federação apenas quando todos os administradores e utilizadores afetados tiverem domínio e provedor. Teste uma conta administrativa limitada numa janela privada, mantendo aberta uma sessão Super Admin funcional como retorno. Se falhar, desative o provedor nessa sessão e verifique domínio, endpoints, confiança do certificado e MFA.

Selecionar um provedor de identidade no Sophos ZTNA

4. Gateway, domínios e certificado

Siga Planear e criar um gateway Sophos ZTNA. Para vários recursos use wildcard; veja Criar um certificado wildcard Let’s Encrypt.

Para o caminho Let’s Encrypt gerido pelo Sophos Fusion, abra My Products > ZTNA > Settings > Domains and certificates e escolha Add domain. O Fusion gera um CNAME para _acme-challenge.<domain>. Publique exatamente o nome e destino no DNS público, mantenha o CNAME para renovações e escolha Verify. O estado deve ficar verified. Copie o destino completo; alguns provedores exigem ponto final. Converta para o CNAME atual um domínio anteriormente validado por TXT. Depois de adicionar um domínio, volte a gerar o único certificado gerido da conta para o incluir.

O desafio DNS manual do Certbot para um wildcard próprio é separado: só nele publica o TXT pedido pelo Certbot. Carregue certificado, cadeia completa e chave privada e verifique domínio e Subject Alternative Names. Só está operacional quando um cliente externo confia em toda a cadeia. A emissão completa permanece no runbook ligado.

5. Configurar DNS

Gateway local

Sem agente, publique:

A do gateway, por exemplo ztna.example.net,
um CNAME por recurso para o gateway, por exemplo wiki.example.net,
gateway e recursos agentless no mesmo domínio.

Com agente basta o A público do gateway; o recurso não usa CNAME público. O gateway resolve internamente o destino ou usa o IP interno.

Sophos Cloud Gateway

Confirme o domínio com o CNAME Sophos, publique o CNAME do alias do gateway e, para cada recurso agentless, um CNAME do alias mostrado. Recursos com agente não precisam de CNAME público.

Teste cada nome externamente, na rede do gateway e no dispositivo piloto. O agente interceta por FQDN, não IP; crie também cada FQDN de redirect como recurso.

6. Criar uma política

Abra Sophos Central > My Products > ZTNA > Policies > Add policy ou My Products > ZTNA > Policies.

Add policy.
Agent ou Agentless.
Nome único, como ZTNA-Pilot-Healthy.
Para Agent, deixe Use access control conditions ativo em Access rules.
Em Allow access, escolha o estado.
Guarde.

Os grupos são atribuídos ao recurso, não à política. Cada recurso tem uma política; a nova substitui a anterior. Agentless não tem regras de estado. Se surgir Request agent, espere a instalação antes dos testes.

7. Agente e casos especiais

Instale o componente pelo Sophos Endpoint Agent apenas no grupo piloto e confirme configuração e política recebida.

Em My Products > ZTNA > Settings, defina inatividade de 5, 15 ou 30 minutos ou 1 hora; predefinição 5. O tráfego novo repõe o túnel. O tempo mínimo evita bloqueios por alterações breves.

No Windows, Do not monitor local traffic evita hairpinning e requer Sophos Core Agent 2025.2.1.709+. Defina o mesmo FQDN/IP no Sophos Fusion e DNS interno. Ative apenas se a LAN puder contornar ZTNA; segundo a documentação ainda não existe no macOS.

Farm RDS: Conclua primeiro a farm e a associação ao domínio segundo a documentação Microsoft atual. Em My Products > ZTNA > Resources & access > Add resource, escolha gateway, Access method: Agent, Resource type: Remote Desktop Protocol (RDP), FQDN externo do RD Gateway, portas necessárias (o exemplo usa 3389, 443, 80), FQDN interno ou IP e grupo piloto. No dispositivo piloto abra https://<rd-gateway-fqdn>/rdweb, transfira o RDP e ligue-se. Deve abrir uma sessão num Session Host. Uma captura deve mostrar tráfego ZTNA em TAP/TUN e nenhum tráfego direto para RD Gateway/Session Host na interface principal. Caso contrário, verifique agente, tipo, portas, DNS e broker/gateway RDS antes de ampliar.
Controlo SaaS: Use apenas se o SaaS suportar listas de IP permitidos. Adicione a aplicação como recurso, atribua só o grupo necessário e deixe Internal FQDN/IP address vazio para usar o FQDN externo. No SaaS permita apenas o IP ou intervalo público da interface NAT antes do gateway. O piloto deve aceder por ZTNA; um utilizador não autorizado ou caminho direto fora do intervalo deve falhar. Caso contrário, compare o NAT de saída real com a lista e verifique grupo, FQDN e caminho.
Windows Hello: Este caminho sem palavra-passe baseado em chaves requer Microsoft Entra ID, licença Azure Premium, Windows 10/11, ZTNA configurado e servidor de aplicação no mesmo domínio do dispositivo. No Azure ative a associação em Devices > Device settings. No Intune ative Hello em Devices > Windows enrollment > Windows Hello for Business para todos ou crie em Devices > Configuration profiles > Create profile um perfil Windows 10 and later > Templates > Identity protection para o grupo piloto. Associe o dispositivo em Settings > Accounts > Access work or school > Connect > Join this device to Azure Active Directory, reinicie, entre com Entra e configure MFA e PIN ou biometria. Instale depois o agente. O acesso direto a uma aplicação com agente, incluindo CIFS/RDP, não deve pedir novamente o IdP; o Sophos Endpoint deve mostrar ZTNA configurado e utilizador autenticado. Caso contrário, verifique associação, perfil, login Hello, domínio comum e agente. Confirme os menus na documentação Microsoft atual.
Escritório: escolha conscientemente ZTNA ou LAN e evite hairpinning.
Controlador de domínio: recurso com agente para Windows. Desde Endpoint 2026.1, prioridade e peso de SRV automáticos permitem vários controladores, failover e carga. Use Configurar vários controladores de domínio com o Sophos ZTNA.

8. Criar recurso e atribuir acesso

Abra Sophos Central > My Products > ZTNA > Resources & access > Add resource ou My Products > ZTNA > Resources & access.

Documente nome e Application Owner, gateway, tipo, FQDN/IP interno, FQDN externo, protocolo/porta, agente, política, grupos, redirects e testes. Web usa FQDN; app local usa IP. Sem agente o FQDN externo deve ser público; com agente não pode ser público.

Add resource.
Escolha gateway e acesso.
Introduza nomes, protocolo e porta.
Escolha a política.
Atribua apenas o grupo piloto.
Guarde e confira o resumo.

Alterações de grupo podem demorar uma hora; aguarde antes de mudar novamente.

Validação e resultado esperado

Configuração

Sem alertas High/Medium inesperados em My Products > ZTNA > Dashboard.
Teste do provedor bem-sucedido e grupo AD esperado.
Domínio e certificado válidos, sem avisos externos.
DNS aponta ao gateway ou alias esperado.
Gateway resolve o destino e alcança a porta.
Política, recurso e estado do agente coerentes.
Recurso com política e grupo previstos.

Acesso

Abra como utilizador autorizado pelo FQDN externo, não IP.
Confirme a autenticação.
Teste login da aplicação, navegação e leitura inofensiva.
Um utilizador fora do grupo deve ser recusado de forma rastreável.
Mude o estado apenas numa janela controlada; a condição deve atuar.
Correlacione logs ZTNA, gateway, provedor, DNS e firewall.
Registe utilizador, dispositivo, FQDN, hora e resultados.

As aplicações web abrem diretamente ou pelo portal ZTNA no FQDN do gateway. Com a plataforma Sophos Firewall, um administrador deve primeiro configurar um recurso para acesso ao portal. O portal mostra aplicações agentless permitidas entre gateways, não aplicações com agente. Após sete dias sem acesso é necessário novo login. Cinco falhas bloqueiam outros recursos durante 60 minutos.

Resolução por sintoma

Teste em My Products > ZTNA > Identity providers; verifique Client ID, Tenant ID, validade do secret, Redirect URI, sincronização e security-enabled. Para AD, verifique Bind DN, Base DN, porta, TLS e e-mail. Após cinco falhas aguarde 60 minutos. Para Verification failed due to invalid Client ID, verifique app ID e login de utilizadores no Entra ID.

Abra o FQDN externo exato; verifique redirects, DNS interno, porta, tipo de recurso/política, agente, FQDN público para agentless e não público para Agent, e se uma política nova substituiu a anterior. Se o acesso direto funcionar mas o portal no Sophos Firewall não, confirme o recurso necessário do portal e o grupo correto.

Utilizador sem acesso

Verifique grupos efetivos, aguarde uma hora, reatribua grupos Entra renomeados, confirme grupo AD adicional e reveja filtros/Base DN.

DNS ou certificado

Compare A e CNAME caráter por caráter. Verifique TXT apenas no Certbot manual ou na verificação de domínio da federação Fusion. No certificado gerido, confirme o CNAME _acme-challenge.<domain>, mantenha-o para renovações e volte a gerar o certificado após alterar domínios. Verifique o domínio acrescentado, cadeia, wildcard, validade e chave; teste público e interno separadamente.

Agente, túnel ou estado

Verifique SO, Endpoint e componente; política e recurso devem ser Agent. Considere o tempo mínimo. Para Do not monitor local traffic, FQDN/IP devem coincidir. A extensão Protected Browser não fornece integridade; use o browser completo ou agente.

Sophos Support

Em Global Settings > Products and Services > ZTNA, defina a expiração e gere um token temporário no gateway. Não partilhe credenciais permanentes; revogue ou deixe expirar.

Retorno seguro e offboarding

Piloto falhado

Pare a expansão.
Remova o grupo ou defina Policy bypassed; os recursos geridos ficam inacessíveis.
Restaure VPN/LAN e mantenha até à aceitação.
Remova o componente apenas dos pilotos se não for necessário.
Retire CNAMEs só após confirmar o retorno; não apague DNS/certificado partilhado.
Faça testes positivo e negativo e confirme que não há exposição pública.

Não desative Use access control conditions como bypass: remove a verificação do estado. Se não recuperar acesso seguro, pare e escale.

Utilizador ou guest

Remova a associação no diretório ou desative a conta, aguarde até uma hora, confirme outros grupos, execute teste negativo e elimine contas, convites e grupos órfãos. O login pode persistir até sete dias de inatividade; só um administrador força logout imediato.

Recurso ou gateway

Inventarie dependências, retire primeiro o acesso, depois o recurso. Remova DNS quando já não for usado e o gateway só após migração e validação. Revogue secrets/certificados e retire regras firewall/NAT antigas.

Operação, revisão e ciclo de vida

Trimestralmente e após alterações, reveja utilizadores/licenças de 30 dias, grupos/guests, atribuição recurso-política e Application Owner, certificados/secrets, versões de gateway/agente/SFOS/hypervisor, PoP/failover, recursos e alertas, exceções/NAT/DNS, testes de aplicações críticas e caminho de emergência.

O dashboard mostra alertas e as cinco aplicações com maior transferência em 24 horas. Use Gateway bandwidth e Resource bandwidth para utilizadores e volume.

A licença ativa inclui feature e maintenance releases, suporte 24x7 e funções Fusion. A Sophos prevê features a cada 6–12 meses e manutenção a cada 1–3 meses. São mantidas a versão funcional atual e outra selecionada; para cada versão funcional mantida, espera-se suporte para as duas últimas maintenance releases. O suporte esperado de uma versão funcional é cerca de 24 meses, normalmente com aviso público de 90 dias.

Use isto para planeamento, não como garantia. Antes de atualizar, verifique release notes, limitações, compatibilidade do agente e estado dos PoP. Afirmações históricas sobre transição, entitlement, migração ou EOL sem anúncio atual não pertencem ao plano.