Sophos Connect SSL VPN ile Active Directory ve OTP/2FA Kimlik Doğrulama Dağıtımı

Pandemi sonrası hibrit çalışma modeli kalıcı hale geldiğinde, uzaktan çalışan personelin ev ağları şirket altyapısı için en büyük güvenlik tehdidine dönüştü. Yalnızca kullanıcı adı ve şifreye dayalı bir VPN mimarisi, kimlik avı (phishing) veya parola sızıntısı durumunda şirket ağının anahtarını saldırgana teslim etmek demektir. Çözüm: Sophos Connect SSL VPN ile Active Directory ve TOTP (Zaman Ayarlı Tek Kullanımlık Şifre / 2FA) entegrasyonudur.

1. Active Directory LDAP / LDAPS Entegrasyonu

Sophos XGS üzerinde kullanıcıları tek tek elle açmak yerine, etki alanındaki (Domain) VPN_Kullanicilari güvenlik grubunu Sophos ile senkronize ediyoruz.

Konfigürasyon: Administration -> Authentication -> Servers -> Add
Server Type: Active Directory
Server IP: 10.10.20.10 (DC01.holding.local)
Port: 636 (Güvenli LDAPS - SSL Sertifikalı)
Base DN: DC=holding,DC=local
Authentication Attribute: sAMAccountName
Search Filter: (&(objectCategory=person)(memberOf=CN=VPN_Kullanicilari,OU=Groups,DC=holding,DC=local))

2. Donanımsız 2FA / OTP (One-Time Password) Kurgusu

Pahalı SMS servislerine veya harici token cihazlarına para harcamadan, kullanıcının akıllı telefonundaki Sophos Authenticator veya Google Authenticator uygulamasını 2FA motoruna bağlıyoruz:

1. Authentication -> One-Time Password (OTP) menüsünden OTP aktif edilir.
2. Kullanıcı ilk kez kullanıcı portalına (https://vpn.holding.com.tr:8443) girdiğinde ekranda bir QR kod belirir.
3. Kullanıcı telefonundaki authenticator uygulamasıyla bu kodu okutur.
4. Artık VPN'e bağlanırken şifre alanına: DomainSifresi + 6HaneliKod (Örn: Sirket2024!384912) girilerek oturum açılır.

3. Sophos Connect İstemcisi ve .pro Dosyası ile Otomatik Dağıtım

Kullanıcılara tek tek VPN yapılandırması yükletmek yerine, merkezi bir provizyon dosyası (holding.pro) hazırlanarak Active Directory GPO veya uzaktan yönetim yazılımı ile dağıtılır:

{
  "version": "1.0",
  "auto_connect": false,
  "can_save_credentials": true,
  "connections": [
    {
      "name": "Dorak Holding Merkez VPN",
      "server": "vpn.dorakholding.com.tr",
      "port": 8443,
      "protocol": "tcp",
      "otp": true
    }
  ]
}

Bu dosya istemci bilgisayardaki C:\Program Files (x86)\Sophos\Connect\import klasörüne kopyalandığı anda Sophos Connect tüneli otomatik olarak yükler; kullanıcıya yalnızca kullanıcı adı ve şifresini girmek kalır.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Saat Sapması (Time Drift) Nedeniyle 2FA Kodunun Reddedilmesi: Eğer güvenlik duvarının NTP saati ile kullanıcının telefon saati arasında 60 saniyeden fazla fark varsa, üretilen 6 haneli kodlar geçersiz sayılır. Sophos'un kurumsal bir NTP sunucusuna (pool.ntp.org) senkronize olduğundan emin olunmalı, OTP ayarlarından "Time variance timestep" toleransı 1 adım (30 saniye) artırılmalıdır.
• Split Tunneling İkilemi: "Use default gateway on remote network" seçeneğini kapatarak personelin YouTube veya Netflix trafiğinin şirket firewall'u üzerinden değil, kendi ev internetinden akmasını sağlayın (Split Tunneling). Yalnızca şirket IP blokları (10.0.0.0/8) VPN tüneline yönlendirilmelidir.

Mühendis Notu

VPN kullanıcılarının erişebileceği kaynakları güvenlik duvarı kurallarıyla sınırlayın. Muhasebe personelinin VPN ile bağlandığında IT sunucu yönetim VLAN'ına veya iDRAC portlarına erişmeye hakkı yoktur!