Configurar o Microsoft Entra ID SSO para o Sophos Firewall Captive Portal

Com o SSO Microsoft Entra ID para Captive Portal, o Sophos Firewall pode autenticar utilizadores no Microsoft Entra ID através do browser antes que as regras de firewall baseadas no utilizador entrem em vigor. Isto é particularmente interessante para redes BYOD, zonas de convidados ou parceiros, dispositivos sem deteção transparente de AD ou ambientes onde o STAS não se adapta a todos os clientes.

É importante diferenciar: Captive Portal não é VPN Portal nem Remote Access. O utilizador já está na rede local ou Wi-Fi e autentica-se no navegador para que a firewall possa associar o tráfego seguinte a uma identidade de utilizador. Para acesso remoto com Sophos Connect, o artigo separado Configurar Microsoft Entra ID SSO para Sophos Connect e Portal VPN é o adequado.

Se o Microsoft Entra ID SSO já estiver configurado para VPN Portal ou Sophos Connect, não é automaticamente necessário criar um desenho Entra completamente novo. Em muitos casos, pode reutilizar-se o mesmo objeto de servidor Microsoft Entra ID na firewall. O Captive Portal continua a precisar da Captive portal URL correta como Redirect URI, da atribuição em Authentication > Services e de um teste separado da regra de utilizador posterior.

Quando o Portal Cativo com Entra ID SSO faz sentido

O portal cativo com SSO do Entra ID faz sentido se os utilizadores fizerem login no Microsoft 365 de qualquer maneira e o firewall precisar de uma identidade de utilizador para determinadas redes.

Aplicações típicas:

• Redes BYOD ou WiFi sem adesão ao domínio.
• Convidados ou utilizadores externos com acesso controlado a alguns destinos.
• Regras de Internet baseadas no utilizador sem STAS ou SATC.
• Redes onde a autenticação transparente não é fiável.
• Cenários de transição onde a autenticação local do AD deve ser reduzida.

Para clientes Windows totalmente geridos num domínio clássico, o Captive Portal não é automaticamente a melhor solução. Nesse caso, STAS, AD SSO ou outros procedimentos transparentes podem ser mais ergonómicos, porque os utilizadores não precisam de iniciar ativamente um login no browser. O Captive Portal é sobretudo uma solução alternativa ou específica para dispositivos não geridos.

Portal cativo separado, portal VPN e portal do utilizador

Com o Entra ID SSO, os termos do portal são rapidamente confundidos. A separação é crucial para a configuração.

• Captive Portal: Os utilizadores da rede local iniciam sessão no browser para que sejam aplicadas as regras baseadas na identidade. O Entra ID SSO é utilizado para o login no browser e a associação do utilizador.
• Portal VPN: Os utilizadores de acesso remoto descarregam o Sophos Connect ou configurações VPN. O Entra ID SSO é utilizado aqui para o acesso remoto e o login no portal.
• Portal do utilizador: Este portal contém funções para o utilizador, como OTP ou opções pessoais mais antigas. Consoante o ambiente, pode continuar a ser relevante para tokens ou opções do utilizador.

Uma visão geral do portal está disponível em Portais Sophos: SophosID, Central, Suporte e acesso ao firewall. Para o portal cativo deve verificar, acima de tudo, de qual zona o serviço de firewall local pode ser alcançado e qual regra de firewall processa o tráfego real do utilizador.

Requisitos

Antes da configuração, estes pontos devem ser esclarecidos:

• Sophos Firewall com uma versão SFOS compatível com Microsoft Entra ID SSO.
• Inquilino do Microsoft Entra com permissão para registo de aplicações, URIs de redirecionamento, permissões de API, consentimento de administrador e segredo do cliente.
• FQDN e certificado para o portal cativo para que os utilizadores não vejam avisos desnecessários do navegador.
• Acessibilidade dos pontos de extremidade de login da Microsoft na rede do cliente afetado.
• O portal cativo é permitido em Administração > Acesso ao dispositivo para a zona correta.
• Os utilizadores ou grupos são mantidos de forma limpa no Microsoft Entra ID.
• As regras de firewall usam os utilizadores ou grupos esperados.
• Um utilizador de teste e acesso alternativo estão disponíveis.
• O horário e o NTP no firewall e nos clientes estão corretos porque o OAuth/OIDC depende do tempo.
• Se Atribuição necessária estiver ativa no Microsoft Entra ID, os utilizadores ou grupos necessários serão atribuídos à Aplicação Empresarial.

⚠️ O Captive Portal é uma área de login na firewall. Só deverá estar acessível nas zonas onde for realmente necessário. O acesso ao dispositivo e a ACL de serviço local são controlos de segurança, não apenas configurações de ligação.

Proteger o acesso à Sophos Firewall: configurar corretamente o acesso ao dispositivo é adequado para reforçar os serviços locais da firewall. Neste design, o MFA é implementado no Microsoft Entra ID, por exemplo, através do Acesso Condicional. O MFA local da Sophos Firewall não substitui o fator de login da Microsoft com Entra ID SSO. Geralmente, isto é melhor do ponto de vista do utilizador, porque é utilizado o mesmo MFA do Microsoft 365, mas deve ser cuidadosamente planeado e testado no inquilino.

Planear a arquitetura antes da configuração

Antes da configuração técnica, deve decidir qual tarefa o portal cativo deve resolver especificamente. Caso contrário, rapidamente terá um login que funciona, mas não aciona uma regra de firewall adequada.

Questões importantes de design:

• Qual zona usa o Portal Cativo?: O acesso ao dispositivo e a origem da regra dependem da zona.
• Qual grupo de utilizadores tem permissão para fazer login?: O grupo Entra deve corresponder à regra de firewall posterior.
• Quais objetivos podem ser alcançados após o login?: O portal cativo não substitui a segmentação limpa.
• Por quanto tempo as sessões devem ser válidas?: Sessões muito longas diluem a alocação de utilizadores e sessões muito curtas interrompem as operações.
• O que acontece em caso de interrupção da Entra ou da Internet?: É necessário que haja uma alternativa clara para trabalhos críticos.
• Como o login é acionado?: Os utilizadores precisam de um URL de portal cativo acessível ou de um redirecionamento limpo.

O Captive Portal não deve ser usado como substituto de VLANs, zonas ou regras mínimas de firewall. O firewall conhece melhor o utilizador após o login, mas a arquitetura da rede ainda deve permanecer limpa. Configurar zonas e interfaces do Sophos Firewall é adequado para a lógica básica de zonas.

Criar servidor Microsoft Entra ID

A configuração consiste em duas partes: Primeiro, é preparado um registo da aplicação no Microsoft Entra ID. Esta aplicação é então registada como um servidor de autenticação no firewall Sophos.

Preparar o registo da aplicação no Microsoft Entra ID

Um registo de aplicação separado para o firewall deve ser criado no Microsoft Entra ID. Isso significa que URIs de redirecionamento, permissões e segredos do cliente permanecem claramente separados de outras aplicações.

Processo típico:

1. Abra o centro de administração do Microsoft Entra.
2. Abra Registos de aplicações > Novo registo.
3. Dar um nome descritivo, por exemplo Sophos-Firewall-SSO.
4. Como regra, selecione o próprio inquilino como tipo de conta compatível.
5. Use a plataforma Web.
6. Anote ID da aplicação (cliente) e ID do diretório (inquilino).
7. Crie um segredo do cliente em Certificados e segredos e guarde imediatamente o respetivo valor em segurança.
8. Em Permissões de API adicione as permissões necessárias do Microsoft Graph, normalmente User.Read.All e Group.Read.All.
9. Conceda consentimento do administrador para as permissões.
10. Se Atribuição necessária for usada, atribua os utilizadores ou grupos permitidos à Aplicação Empresarial.

Sem as permissões apropriadas da API e o consentimento do administrador, o login pode passar para o login da Microsoft, mas o firewall não pode avaliar corretamente os dados do utilizador ou grupo. Na prática, isso geralmente parece um problema de portal cativo, mesmo que a causa esteja no Microsoft Entra ID.

Criar ou reutilizar o servidor Entra ID na Sophos Firewall

O caminho do menu no Sophos Firewall é:

Authentication > Servers

Processo básico:

1. Abra Adicionar.
2. Selecione a opção Microsoft Entra ID SSO como Tipo de servidor.
3. Atribuir um nome descritivo, por exemplo Entra-SSO-Firewall.
4. Insira o ID da aplicação (cliente) da aplicação Entra.
5. Insira ID do diretório (inquilino).
6. Insira Segredo do cliente.
7. Defina um grupo substituto conscientemente e mantenha-o o mais restritivo possível.
8. Teste a conexão.
9. Guarde.

O grupo de fallback não deve receber acesso amplo à internet ou à rede. Ele é uma rede de segurança, não um atalho para contornar a autorização.

⚠️ Client secrets são dados de acesso produtivos. Data de expiração, rotação e responsabilidade devem ser documentadas. Um secret expirado muitas vezes parece um problema normal de login para o utilizador, mas na verdade é um problema de configuração ou operação.

Insira URIs de redirecionamento corretamente

O URI de redirecionamento que corresponde ao firewall deve ser inserido no Registo da Aplicação no Microsoft Entra ID. É crucial que o FQDN, o certificado, a porta e o caminho correspondam exatamente. Pequenas diferenças no nome do host, porta, protocolo ou barra são suficientes para que o processo OAuth/OIDC falhe.

O Sophos Firewall apresenta os URLs de serviço necessários no servidor Entra ID. O URL do Captive Portal é particularmente relevante para este artigo. Se WebAdmin ou Remote Access com Entra ID SSO também forem utilizados, estes serviços terão URLs próprios:

• URL da consola de administração Web: Entra ID SSO para WebAdmin Console.
• URL do portal cativo: Entra ID SSO para Portal Cativo na rede local.
• Portal VPN e URL de acesso remoto: Entra ID SSO para Portal VPN e Sophos Connect.

Se o mesmo servidor Entra ID já for usado para Remote Access, adicionar a Captive portal URL às Redirect URIs existentes na aplicação Entra. O Captive Portal deve ainda assim ser testado separadamente, porque o caminho de login, Device Access, a correspondência de grupos e a regra firewall posterior têm erros típicos diferentes de Sophos Connect ou VPN Portal.

Definir método de autenticação do portal cativo

Depois de criar o servidor Entra, o método de autenticação do Captive Portal deve apontar para o servidor correto.

A área relevante está em:

Authentication > Services

Para verificar:

1. Abra a área Firewall authentication methods.
2. Adicione ou arraste o servidor Microsoft Entra ID para a posição correta.
3. Mantenha outros servidores de autenticação apenas se eles servirem como alternativa deliberada.
4. Aplique a alteração com Aplicar.
5. Faça um login de teste com um único utilizador.

Se vários métodos de autenticação estiverem ativos em paralelo, deve ficar claro qual servidor é responsável por qual grupo de utilizadores. A operação mista do Entra ID e da autenticação local do AD pode funcionar, mas aumenta significativamente o esforço de solução de problemas. A lista de problemas conhecidos do Sophos documenta casos de SSO do Entra em que sessões mistas do Entra e do AD local podem levar a erros semelhantes ao no permission.

Além disso, deve verificar em Autenticação > Autenticação Web como o portal cativo é aberto no navegador. HTTPS é importante para o SSO do Entra ID. A opção Usar HTTP inseguro em vez de HTTPS não deve ser ativada porque o fluxo Entra-OAuth sobre HTTP não é suportado adequadamente e seria desnecessariamente inseguro.

O seguinte é útil para a operação:

1. Abra o Captive Portal numa nova janela do browser.
2. Mantenha a janela do portal cativo aberta durante a sessão.
3. Faça com que os utilizadores saiam conscientemente através do portal cativo se a associação for encerrada.
4. Após fazer login, verifique em Atividades atuais > Utilizadores ativos se o utilizador está visível.

Dependendo da interface e do certificado, a URL padrão https://<Firewall-IP>:8090 também pode ajudar nos testes. Um FQDN limpo com um certificado adequado é muito mais agradável para uma operação produtiva.

Verifique o acesso ao dispositivo e a acessibilidade do portal

Captive Portal é um serviço local do firewall. Uma regra de firewall normal por si só não permite esse acesso. A acessibilidade é controlada em Administração > Acesso ao dispositivo para a respectiva zona.

Deve verificar:

• O portal cativo só é permitido nas zonas obrigatórias.
• Isso significa que WebAdmin e SSH não são acidentalmente também amplamente acessíveis.
• O certificado e o FQDN correspondem ao URL do utilizador.
• O DNS na rede do cliente resolve o nome do portal corretamente.
• Regras de exceção de ACL de serviço local só são definidas quando são realmente necessárias.

Se o Portal Cativo não estiver acessível a partir de uma rede, não deverá criar primeiro uma regra de Permissão normal. A causa geralmente é acesso ao dispositivo, ACL de serviço local, DNS, certificado ou mapeamento de zona incorreto.

Considerar o login da Microsoft e o filtro Web

O cliente deve aceder às páginas de login da Microsoft e aos recursos relacionados durante o login. Caso contrário, em redes restritivas, o fluxo SSO pode parar num ponto que parece aos utilizadores um erro da firewall ou do browser.

Para verificar:

• A resolução DNS para domínios de login da Microsoft funciona.
• HTTPS para pontos de extremidade de login da Microsoft é permitido.
• Filtro Web, inspeção TLS ou proxy não bloqueiam a página de login.
• O tempo no firewall e no cliente é plausível.
• Os cookies do navegador não são inutilizados por uma política rigorosa.

Em ambientes restritivos, deve verificar explicitamente o login da Microsoft e os pontos de extremidade Entra. Dependendo do inquilino, do navegador e do caminho de login da Microsoft, estes domínios são relevantes, entre outros:

• login.microsoftonline.com
• *.login.microsoftonline.com
• *.microsoftonline.com
• *.msauth.net
• *.msftauth.net
• aadcdn.msauth.net
• aadcdn.msftauth.net
• aadcdn.msftauthimages.net
• graph.microsoft.com

Se o filtro da web, um proxy ou inspeção TLS entrar em vigor antes do login, esses alvos não deverão ser descriptografados ou bloqueados desnecessariamente. A Seção Permitir URL da documentação do Entra ID deve ser verificada para políticas muito restritivas.

Se a Proteção Web ou Inspeção TLS estiver ativa, o login com um utilizador de teste deverá ser observado no visualizador de log. Às vezes, o problema não é o Portal Cativo em si, mas uma política web, uma exceção TLS ou uma rede de cliente que não atinge totalmente os pontos finais da Microsoft.

Teste grupos de utilizadores e regras de firewall

Após um login bem-sucedido no portal cativo, a regra de firewall real deverá ver o utilizador ou grupo no tráfego. Este é o teste prático mais importante.

Processo típico:

1. Verifique os utilizadores no Microsoft Entra ID.
2. Compare UPN, endereço de e-mail e associação ao grupo.
3. Verifique o grupo Entra no Sophos Firewall.
4. Ative Match known users e Use web authentication for unknown users na regra de utilizador.
5. Faça login no portal cativo com utilizador de teste.
6. Em seguida, acione o tráfego real do utilizador, por exemplo, HTTPS para um destino permitido.
7. No Log Viewer, verifique se o utilizador, grupo, zona de origem, rede de origem e ID da regra correspondem à regra esperada.

Um login bem-sucedido no navegador apenas comprova a autenticação. Isso não prova que a regra do utilizador posterior se aplica. Se o contador de regras permanecer em 0 ou nenhum utilizador estiver visível no visualizador de log, deverá usar o fluxo de A regra do Sophos Firewall não funciona: verifique as causas.

Correspondência de grupos e limitação anterior de Primary Group

Para regras de utilizador, o grupo Entra pretendido tem de estar presente na firewall. Após o login, verificar em Current activities > Live users e no Log Viewer a que grupo o utilizador foi associado e que Rule ID processa o tráfego.

Na SFOS 20.0 GA Build 222 existia uma limitação conhecida: com NC-167130, o acesso à Internet através de um grupo Entra secundário não funcionava; a regra tinha de conter o Primary Group ou o utilizador individual. A Sophos indica SFOS 21.5 MR2 Build 323 e SFOS 22.0 MR1 Build 490 como versões corrigidas. Nos builds atuais, o Primary Group já não é um requisito geral de design.

Antes de uma implementação, deve registar o seguinte para cada utilizador de teste:

• Grupo Entra: O grupo de destino e a associação do utilizador são conhecidos.
• Grupo no Firewall Sophos: O mesmo grupo é importado ou mapeado corretamente.
• Regra de firewall: O grupo pretendido está incluído na condição de utilizador ou grupo.
• Tráfego de teste após o login: O Log Viewer mostra o utilizador, o grupo, a Rule ID e a ação esperada.
• Build anterior afetado: Utilizar o Primary Group ou uma regra de teste específica para o utilizador e planear a atualização.

Isso não afeta o Sophos Connect VPN com Microsoft Entra ID SSO. Para acesso remoto, o processo separado para Microsoft Entra ID SSO para Sophos Connect e Portal VPN deve, portanto, ser verificado.

Validação após implementação

Para a validação, não basta verificar se aparece a página de login da Microsoft.

• Abrir o URL do Captive Portal a partir da rede do cliente: O browser apresenta o login Entra esperado ou o redirecionamento da Sophos.
• Login com utilizador permitido: Login bem-sucedido, utilizador aparece no firewall.
• Login com utilizador não permitido: O acesso é negado de forma compreensível.
• Teste da regra de grupo: O utilizador de teste corresponde à regra de utilizador esperada.
• Tráfego de utilizadores após login: regra de firewall correta correspondente à referência do utilizador.
• Fluxo da sessão: Após um tempo limite, é necessário fazer login novamente.
• Login da Microsoft bloqueado: O visualizador de logs ou os logs da web mostram um motivo compreensível.
• Cenário alternativo: O administrador sabe como verificar ou alterar temporariamente o acesso em caso de interrupção do Entra.

Especialmente em redes BYOD, deve testar com vários browsers e dispositivos. Modos de navegação privada, cookies de terceiros bloqueados, logins antigos guardados ou várias contas Microsoft no mesmo dispositivo podem produzir resultados diferentes.

Solução de problemas

O portal cativo não está acessível

Primeiro verifique Administração > Acesso ao dispositivo para a zona afetada. Em seguida, verifique DNS, certificado, FQDN do portal, ACL de serviço local e mapeamento de zona. Se o acesso for para o próprio firewall, uma regra de firewall normal não será o primeiro ponto de verificação.

O login da Microsoft começa, mas não volta

Compare URI de redirecionamento, FQDN, certificado e porta. A URL exata que o Sophos Firewall usa para o Captive Portal deve ser armazenada no Microsoft Entra ID. As regras de inspeção por proxy ou TLS também podem interferir na devolução.

Quando a Microsoft mostra o erro AADSTS50011, o URI de redirecionamento no registo da aplicação geralmente não corresponde ao URL que o firewall está usando. Em seguida, o protocolo, FQDN, porta e caminho devem ser comparados com exatidão.

Um erro interno aparece após o login da Microsoft

Um 500 Internal Server Error ou um erro genérico semelhante após um login bem-sucedido da Microsoft geralmente indica falta de permissões do Microsoft Graph, falta de consentimento do administrador ou um problema com o segredo do cliente. Em seguida, deve verificar as permissões da API, o consentimento do administrador, a validade do segredo e a atribuição da aplicação empresarial no Microsoft Entra ID.

Nome de utilizador e palavra-passe não funcionam diretamente

Entra ID SSO é um navegador e fluxo OAuth/OIDC. Os utilizadores não fazem login diretamente no firewall com credenciais clássicas, mas são redirecionados para a Microsoft. Se um cliente ou fluxo suportar apenas nome de utilizador e palavra-passe sem redirecionamento do navegador, esse método não será adequado.

MFA não aparece ou aparece de forma diferente do esperado

Com o SSO do Entra ID, o MFA é controlado no Microsoft Entra ID. O MFA da firewall local não é o ponto de controlo correto para este fluxo de SSO. Se o MFA for necessário, deverá verificar o Acesso Condicional, os grupos de utilizadores e as exclusões, além de testar utilizadores no Microsoft Entra ID.

O utilizador vê no permission ou é rejeitado após operação prolongada

Limpe os cookies do navegador e verifique se o mesmo utilizador é usado em paralelo via Entra ID SSO e autenticação AD local. Ao combinar Entra e On-Prem AD para o mesmo utilizador, o design de autenticação deve ser simplificado ou pelo menos documentado de forma limpa.

O login funciona, mas a regra do utilizador não corresponde

Então o portal cativo provavelmente não é mais o único problema. Verifique a zona de origem, a rede de origem, o grupo de utilizadores, a posição da regra e o visualizador de log. Muitas vezes, uma regra mais geral está acima da regra do utilizador ou o tráfego vem de uma rede diferente da esperada.

Verificar também se o grupo Entra pretendido está importado e se o utilizador lhe foi associado na firewall. Apenas na SFOS 20.0 GA Build 222, afetada por NC-167130, a regra tem de conter o Primary Group ou o utilizador individual para este erro.

Apenas utilizadores individuais são afetados

Compare UPN, endereço de e-mail, nome de exibição, associação ao grupo e grupo importado. Com o SSO do Entra ID, não deve presumir que o nome visível e o identificador técnico sejam idênticos. Se o endereço de e-mail e o UPN divergirem historicamente, surgirão facilmente erros de mapeamento.

Que registos ajudam?

Para o Captive Portal com Entra ID SSO, o ficheiro oauth_sso_captive.log é particularmente relevante. Também ajudam o Log Viewer com o módulo Authentication, o ficheiro access_server.log e, consoante o problema subsequente, os registos Web, da firewall ou de autenticação. A correspondência dos ficheiros mais importantes encontra-se em Resolução de problemas da Sophos Firewall: serviços e registos.

Lista de verificação

• O caso de uso do portal cativo é claro: BYOD, convidados, dispositivos não geridos ou substitutos.
• O FQDN e o certificado do portal cativo estão limpos.
• A aplicação Microsoft Entra ID com URI de redirecionamento, ID do cliente, ID do inquilino e segredo do cliente está documentada.
• As permissões da API do Microsoft Graph e o consentimento do administrador são definidos.
• As atribuições de aplicações empresariais são verificadas se Atribuição necessária estiver ativa.
• O Segredo do Cliente possui data de validade, proprietário e processo de rotação.
• O URI de redirecionamento do portal cativo foi assumido pelo firewall e inserido exatamente no Entra ID.
• Autenticação > Serviços usa o servidor Entra correto para Portal Cativo.
• Autenticação > Autenticação da Web usa HTTPS e configurações apropriadas da janela do navegador.
• Administração > Acesso ao dispositivo permite apenas portal cativo em zonas obrigatórias.
• Os endpoints de login da Microsoft estão acessíveis a partir da rede do cliente.
• A filtragem da Web e a inspeção TLS não bloqueiam o fluxo de SSO.
• O MFA e o Acesso Condicional são planeados e testados no Microsoft Entra ID.
• A correspondência entre o grupo Entra e o grupo da firewall foi verificada.
• O grupo Entra pretendido está importado e é realmente avaliado para o utilizador de teste.
• O utilizador de teste pode fazer login e atingir a regra de firewall esperada.
• O visualizador de log mostra utilizador, ID de regra e ação.
• oauth_sso_captive.log e access_server.log são conhecidos por casos de suporte.
• O fallback para falha do Entra ou Portal está documentado.

Perguntas frequentes