Sophos AP6: Wi-Fi-inloggning med Microsoft Entra ID

Många företag hanterar redan sina användare i Microsoft Entra ID. För företagets Wi-Fi används ändå fortfarande en egen autentiseringsserver, ibland tillsammans med ett lokalt Active Directory som knappt behövs för något annat. Det är precis här den nya Wi-Fi-inloggningen med Microsoft Entra ID för Sophos AP6 kommer in: befintliga molnidentiteter kan också användas för åtkomst till det trådlösa nätverket.

Sophos introducerade funktionen med AP6 MR10, version 1.10.3192. Den konfigureras i Sophos Fusion Wireless, alltså den administrationsplattform som tidigare hette Sophos Central. Genomgången av Sophos Fusion förklarar namnbytet och förhållandet till de befintliga produkterna.

Nyheten kan minska behovet av lokal infrastruktur. Om den kan ersätta en befintlig Wi-Fi-autentisering beror dock på vilka enheter som används, identitetsprinciperna och vilka nätverksfunktioner som behövs. Särskilt vid certifikatbaserad enhetsautentisering eller dynamiska VLAN är det viktigt att granska förutsättningarna före övergången.

Vad som förändras för Wi-Fi-åtkomsten

Ett gemensamt Wi-Fi-lösenord är enkelt att dela ut, men svårt att hantera i den dagliga driften. Om en person lämnar företaget finns lösenordet fortfarande kvar på personens enheter. Ett lösenordsbyte påverkar i sin tur alla andra enheter. Ett Enterprise-Wi-Fi möjliggör däremot åtkomst baserad på individuella identiteter.

Med den nya AP6-integrationen ansluts Microsoft Entra ID som identitetsleverantör, förkortat IdP. En egen lokal RADIUS- eller NPS-server behövs inte för detta flöde. RADIUS är den tjänst som traditionella Enterprise-Wi-Fi-nät ofta använder för att kontrollera inloggningsuppgifter och tilldela åtkomstregler.

Sophos tillkännagivande om MR10 beskriver uttryckligen integrationen som ett sätt att undvika lokal autentiseringsinfrastruktur. Det är intressant för företag med molnidentiteter och relativt enkla Wi-Fi-krav. Ett Entra-konto i sig garanterar dock inte att inloggningen fungerar på varje enhet.

Förutsättningar för Sophos AP6 och Microsoft Entra ID

Administration, firmware och licens

Det krävs AP6-accesspunkter som administreras i Sophos Fusion och firmware med stöd för Entra-integrationen. MR10 är den version där Sophos introducerade funktionen. Vid en ny installation bör den aktuella godkända firmwareversionen kontrolleras, i stället för att välja en äldre version enbart för denna funktion. Guiden till AP6-firmwareuppdateringar beskriver förberedelserna och kontrollerna för en stegvis utrullning.

Varje centralt administrerad AP6 behöver en giltig AP6 Support and Services Subscription. Den omfattar bland annat administration via Sophos Fusion och firmwareuppdateringar. AP6:s lokala webbgränssnitt ersätter inte denna molnintegration. Översikten över AP6-administration och licenser förklarar skillnaderna.

De centralt skapade identitetsleverantörerna i detta flöde är avsedda för AP6-SSID:er. Stödet för AP6 innebär inte att motsvarande stöd kan förutsättas för APX eller ett Wi-Fi-nät som administreras av Sophos Firewall. Sophos dokumenterar omfattningen på RADIUS-sidan.

Entra-tenant och appregistrering

De aktuella användarna måste finnas i Entra ID. Dessutom behövs en appregistrering för den egna tenanten, en verifierad anpassad domän och behörighet att ge det administratörssamtycke, Admin Consent, som krävs.

För anslutningen behövs Client ID, Tenant ID, domännamn och Client Secret. Sophos anger Microsoft Graph-behörigheterna Domain.Read.All av typen Application och User.Read av typen Delegated. Den granskade installationsguiden anger inget ytterligare krav på Entra ID P1 eller P2. Licenskraven för organisationens egna identitetsprinciper måste kontrolleras separat.

Det behövs en ansvarig för Client Secret och ett planerat datum för förnyelse. En fungerande konfiguration den första dagen räcker inte om ingen senare bevakar utgångsdatumet. Den fullständiga konfigurationen beskrivs i KB-guiden till AP6-autentisering med Entra ID.

Lämpliga Wi-Fi-profiler på klientenheterna

För denna integration stöder Sophos endast EAP-TTLS med PAP som inre autentisering. För Windows och Android kräver tillverkaren SSID-läget WPA2/WPA3 Enterprise, eftersom den dokumenterade TTLS/PAP-kombinationen där inte stöds med enbart WPA3 Enterprise. Apple-enheter behöver en installerad Wi-Fi-profil med TTLS och PAP. Sophos hänvisar till Apple Configurator för detta.

Dessa krav kommer från Sophos installationsguide för Entra ID. För en blandad enhetspark bör därför en liten kompatibilitetsmatris tas fram i förväg: enhet, operativsystemsversion, Wi-Fi-profil och resultat av testinloggningen. Ett lyckat Windows-test säger ännu inget om en Android-telefon eller en Mac.

EAP-TTLS/PAP: varför certifikatförtroendet är viktigt

EAP-TTLS upprättar en TLS-tunnel. Inne i denna skyddade tunnel kontrolleras lösenordet med PAP. Säkerheten beror därför i hög grad på att klienten tillförlitligt verifierar autentiseringsserverns identitet.

Om certifikatkontrollen stängs av eller ett okänt certifikat godkänns utan kontroll kan enheten skicka inloggningsuppgifter till en falsk server. Microsoft förklarar risken i dokumentationen om EAP och kontroll av servercertifikat.

I en administrerad miljö bör Wi-Fi-profiler ange den godkända förtroendekedjan och den förväntade serveridentiteten. Värdena måste stämma med den faktiska miljön och fastställas före utrullningen. Återkommande certifikatdialoger är inte ett normalt tecken på att konfigurationen är färdig, utan en anledning att kontrollera profilen.

Inte heller automatisk användning av Windows-inloggningsuppgifterna bör förutsättas. Microsoft dokumenterar motsvarande EAP-TTLS-alternativ för MS-CHAP v2, men inte för PAP. Integrationen innebär därför inte automatiskt en bekräftad garanti för Wi-Fi-SSO på en Windows-enhet som är ansluten till Entra ID.

Begränsningarna som är viktiga före en migrering

Användarlösenord i stället för certifikatbaserad enhetsautentisering

Det dokumenterade TTLS/PAP-flödet använder ett lösenord. Det ersätter inte en befintlig EAP-TLS-autentisering med enhetscertifikat. Den som i dag autentiserar enheter oberoende av användarinloggningen bör behandla denna skillnad som ett arkitekturval.

En administrerad bärbar dator kan till exempel behöva nätverksåtkomst redan före användarinloggningen. Skrivare och andra enheter utan en lämplig användaridentitet passar inte heller automatiskt in i samma flöde. För sådana krav är en lämplig RADIUS- eller NAC-lösning fortfarande ett möjligt alternativ. AP6-guiden till extern RADIUS och Enterprise-Wi-Fi beskriver det separata konfigurationsförfarandet.

MFA och Conditional Access är inte automatiska Wi-Fi-funktioner

Ett Entra-konto som utlöser en MFA-begäran i Microsoft 365 bevisar inte att samma stöd finns för TTLS/PAP. Wi-Fi-flödet har ingen interaktiv Microsoft-dialog i webbläsaren. En lyckad lösenordskontroll är därför inte likvärdig med en bekräftad MFA-inloggning.

För MFA, Conditional Access, lösenordsfria konton, gästkonton och federerade identiteter innehåller den granskade Sophos-guiden ingen fullständig garanti för kompatibilitet. De avsedda användningsfallen måste testas med de tenantprinciper som faktiskt gäller. Om inloggningen misslyckas på grund av ett säkerhetskrav bör det stödda flödet först klarläggas med Sophos, i stället för att skyddsprincipen generellt lättas upp.

Inga dynamiska VLAN, ingen accounting och inget backend-stöd för captive portal

Sophos utesluter tre funktioner för detta Fusion-RADIUS-/Entra-flöde:

• RADIUS-assigned VLAN: Ingen dynamisk VLAN-tilldelning via denna tjänst.
• RADIUS Accounting: Ingen accounting-funktion via denna tjänst.
• Captive Portal backend authentication: Ingen användning som autentiseringsbackend för en captive portal.

Den som exempelvis tilldelar medarbetare olika VLAN utifrån en RADIUS-princip kan inte bara ersätta den befintliga tjänsten med Entra-IdP:n. Begränsningen gäller den dynamiska tilldelningen, inte generellt ett statiskt planerat VLAN för en SSID. En separat SSID- och VLAN-design behövs fortfarande för att den inloggade klienten bara ska nå de avsedda nätverken.

Flera Enterprise-SSID:er kräver kontroll av frekvensbanden

Gränssnittet hanterar RADIUS-val per SSID. Samtidigt dokumenterar Sophos endast en RADIUS-serverkonfiguration per frekvensband för AP6. En ytterligare Enterprise-SSID med en annan server kan skriva över det befintliga valet på ett överlappande band.

En extra test-SSID på en AP i produktion är därför inte automatiskt isolerad från den befintliga konfigurationen. Före tilldelningen bör alla Enterprise-SSID:er, frekvensband och autentiseringskällor kontrolleras. En separat pilot-AP är ett mer överskådligt val för det första försöket. Sophos beskriver detta beteende och avbrottet vid sparandet i SSID-inställningarna.

Konfiguration och godkännande i praktiken

Konfigurationen kopplar samman tre delar: appen i Entra ID, IdP-objektet i Sophos Fusion och Wi-Fi-profilen på klienten. I Fusion börjar konfigurationen under My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. Där anges de förberedda Entra-värdena, kontrolleras med Test connection och sparas. Därefter tilldelas IdP:n till en AP6-Enterprise-SSID.

Test connection är en inledande kontroll, inte ett fullständigt godkännandetest av Wi-Fi. Först en verklig klientinloggning testar samspelet mellan EAP-profilen och användaridentiteten. Därefter måste även IP-adressering, DHCP, DNS och den tillåtna nätverksåtkomsten fungera.

Följande kontroller rekommenderas för ett pilotförsök:

1. Välj en AP och en SSID där ändringen inte påverkar någon befintlig autentisering.
2. Logga in med ett vanligt testkonto och de avsedda klientprofilerna. Serverförtroendet måste fungera utan att certifikat godkänns utan kontroll.
3. Testa alla avsedda enhetstyper och identitetsprinciper, inklusive ett kontrollerat negativt test med ett inaktiverat testkonto. Att ett konto spärras avslutar inte nödvändigtvis en befintlig Wi-Fi-session omedelbart. Utvärdera ny inloggning och pågående session separat.
4. Kontrollera adressering, DNS, tillåtna destinationer och den avsedda nätverkssegmenteringen. Testa befintliga SSID:er igen efter ändringar.
5. Lägg till fler AP:er först när ett lyckat resultat har dokumenterats. Ta med förnyelse av Client Secret, ändringar i Entra-principer och beteendet när molnet inte kan nås i driftplanen.

För företag som redan hanterar sina användare i Entra ID och inte behöver avancerade RADIUS-funktioner kan AP6-integrationen förenkla Wi-Fi-infrastrukturen. Den avgörande jämförelsen gäller dock det tidigare åtkomstkonceptet: Vilka identiteter kontrolleras, vilka enheter måste fungera och vilka regler får inte gå förlorade vid övergången? Dessa frågor bör vara besvarade innan en lokal autentiseringstjänst stängs av.

Vanliga frågor