Sophos Firewall'da MFA: VPN, User Portal ve WebAdmin İçin OTP Nasıl Açılır?

Sophos Firewall’un kendi OTP (tek kullanımlık parola) mekanizması ayrı bir MFA sunucusu ya da ek lisans olmadan VPN ve portal girişlerine ikinci faktör ekleyebilir. Ayarın kendisi birkaç tıklamadır; sorun çoğunlukla sonrasında çıkar: telefonu değişen kullanıcı, saati kayan firewall ya da MFA’yı kendi yönetici hesabına açıp dışarıda kalan yönetici. Bu yazı kurulumu bu riskleri baştan hesaba katarak anlatıyor.

Sophos Firewall’da MFA hangi girişleri koruyabilir?

Sophos’un VPN ve User Portal yardım sayfası, kurumunuz MFA kullanıyorsa VPN portalına ve User Portal’a tek kullanımlık parola ile girileceğini, kullanıcının da portalda gösterilen QR kodu okutarak kaydolduğunu söyler. Ayarlar Authentication > Multi-factor authentication altında durur ve OTP’yi hiç kimseye, tüm kullanıcılara ya da seçtiğiniz kullanıcı ve gruplara uygulayabilirsiniz.

İş ortağı Avanet’in SFOS 22 için derlediği bilgi tabanına göre MFA şu girişlerde seçilebiliyor:

User Portal (captive portal ve client authentication agent girişleri dahil)
Web yönetim konsolu (WebAdmin)
VPN portalı
SSL VPN uzaktan erişim
IPsec uzaktan erişim
Web Application Firewall (WAF)

Bu liste firmware sürümüne göre değişebilir. Kendi cihazınızda hangi hizmetlerin göründüğünü Require MFA for bölümünden kontrol edin. SSH, Sophos OTP ile korunmaz; SSH erişimini Device Access kurallarıyla sınırlamak ve mümkünse anahtar tabanlı giriş kullanmak gerekir.

Önce pilot grup: kurulum sırası

Tüm şirkete bir anda açmayın. Mantıklı sıra şöyle:

Ön hazırlık. Firewall saatinin doğru olduğundan (tercihen NTP ile) emin olun, güncel bir yedek alın ve en az iki yönetici hesabı hazırlayın. Yedek ve geri dönüş adımları için yedek alma ve firmware güncelleme yazımıza bakabilirsiniz.
Pilot grup. Multi-factor authentication ekranında “Specific users and groups” seçip yalnızca BT ekibinden birkaç kişiyi ekleyin.
Kayıt yöntemi. Kullanıcılar kendi token’larını oluşturacaksa “Generate OTP token with next sign-in” seçeneğini açın. Kullanıcı ilk girişte QR kodu görür ve authenticator uygulamasıyla okutur. Kayıt tamamlanınca token Issued tokens listesinde görünür.
Hizmetler. İlk aşamada yalnızca ihtiyacınız olan girişleri işaretleyin, örneğin VPN portalı ve SSL VPN.
Test. Pilot kullanıcı önce yalnızca parola ile girip token’ı kaydeder; ardından parolanın ardına altı haneli kodu ekleyerek girer. Yanlış kodun reddedildiğini ve log’a düştüğünü görün.
Genişletme. Ancak bu adımlar sorunsuz geçtikten sonra departman departman ya da tüm kullanıcılara açın.

Kullanıcı sayınız yüzlerceyse ve uzaktan erişim yeni kuruluyorsa SSL VPN, IPsec ve ZTNA seçimini MFA’dan önce netleştirmek işinizi kolaylaştırır.

Kendinizi dışarıda bırakmamak için

Avanet’in rehberi bu konuda net: MFA’yı test etmeden tüm yöneticilere açmayın. Hatalı bir yapılandırma WebAdmin’e ya da VPN portalına girişi engelleyebilir. Pratikte şunlara dikkat edin:

İkinci bir yöneticiyi, izin verilen bir ağdan test edilmiş halde hazır tutun.
Varsayılan admin hesabı acil durum hesabı olarak kalsın, günlük kullanımda olmasın. Aynı kaynağa göre cihaz konsolundaki menüde, bu hesap için MFA tanımlıysa, bir sonraki girişte MFA’yı bir kez atlamak ve MFA’yı sıfırlamak için seçenekler çıkar.
Başarısız girişlerden sonra IP adresini bloklayan Block login ayarını negatif testlerden önce gözden geçirin; denemeler kendi ofis IP’nizi de bloklayabilir.
WebAdmin ve portallara erişimi Device Access ile yalnızca gereken ağlara açın. MFA kısıtlayıcı erişim kurallarının yerini tutmaz.

Saat kayması en sık görülen arıza

OTP zamana dayalıdır. Firewall ile telefon arasındaki saat farkı büyüdüğünde doğru kod bile reddedilir. Avanet’e göre varsayılan zaman adımı 30 saniyedir ve doğrulama penceresi küçük tutulmalıdır; pencere büyüdükçe ele geçirilmiş bir kodun geçerli kalma süresi de uzar. Issued tokens ekranında token zaman farkını senkronize etme seçeneği vardır: mevcut kodu girip kontrol edersiniz. Önce Administration > Time altında NTP’nin çalıştığını doğrulayın. Aynı kaynak, NTP sunucusu değiştirildiğinde mevcut IPsec tüneller yeniden bağlanabileceğini de not ediyor; bunu bakım penceresinde yapın.

Telefon değişti, token nasıl sıfırlanır?

Bu, MFA açıldıktan sonra yardım masasına en çok gelen taleptir. Güvenli sıra:

Kullanıcının kimliğini telefonla ya da yüz yüze doğrulayın.
Eski token’ı Issued tokens listesinden silin.
“Generate OTP token with next sign-in” açıksa kullanıcı yalnızca parolayla girer ve yeni QR kodu alır.
Yeni kodla giriş yapıldığını doğrulayın.

Varsayılan admin hesabı için kendi token’ını yalnızca kendisi silebilir. Bu yüzden o hesabın kurtarma planını önceden denemek gerekir.

Uygulama uyumluluğu ve bilinen sınırlar

Her authenticator uygulaması her ayarla çalışmaz. Avanet’in notlarına göre Microsoft Authenticator SHA256 ve SHA512 algoritmalarıyla çalışmıyor; iOS’ta bazı uygulamalarda QR okutma başarısız olabiliyor ve manuel anahtar girişi gerekiyor. Sophos’un eski Sophos Authenticator uygulaması 31 Temmuz 2022’de yaşam sonuna ulaştı. Üretim ortamında yaygınlaştırmadan önce şirketin standart uygulamasıyla pilot yapın. Sophos Community’deki bir rehbere göre Sophos’un kendi uygulamasının yanı sıra Google Authenticator gibi üçüncü taraf uygulamalar da kullanılabilir.

Kimlik sağlayıcınız Microsoft Entra ise MFA’yı o tarafta tutmak çoğu zaman daha tutarlıdır. Avanet’e göre Entra SSO kullanıldığında MFA kimlik sağlayıcıya geçer ve yerel OTP o girişe eklenemez. Hangi modelin sizin ortamınıza uyduğuna karar vermeden önce Sophos Central ve yönetim modeli yazısındaki rol ayrımına da göz atın.

Neden denetimlerde soruluyor?

Siber sigorta başvurularında ve güvenlik denetimlerinde uzaktan erişimde çok faktörlü doğrulama artık standart sorulardan biri. Siber sigorta güvenlik kontrolleri yazısında bu soruların ürün karşılığını bulabilirsiniz. Türkiye’de 7545 sayılı Siber Güvenlik Kanunu kapsamında yükümlülüklerinizi değerlendirirken de erişim kontrolü kayıtlarınızın hazır olması işinize yarar. Firewall lisansınızın ve destek hakkınızın güncel olduğundan emin olmak için lisans yenileme sayfasından süreci başlatabilir, uygun yapılandırma ve donanım için teklif alabilirsiniz. Model seçimi için XGS rehberi başlangıç noktası olur.

Sık sorulan sorular

Sophos Firewall’da MFA için ayrı lisans gerekir mi? İncelediğimiz Sophos dokümantasyonunda OTP için ayrı bir lisans şartı yer almıyor; özellik firewall’un kimlik doğrulama yapısının parçası olarak anlatılıyor. Güncelleme ve destek hakkınız için geçerli bir abonelik yine de gerekir, paketinizi satış ortağınızdan doğrulayın.

Kullanıcı telefonunu kaybederse ne olur? Yönetici kimliği doğruladıktan sonra eski token’ı Issued tokens listesinden siler, kullanıcı parolasıyla girip yeni QR kodu okutur.

Yöneticiler için de MFA açılmalı mı? Evet, ancak önce ikinci bir yönetici ve izin verilen ağdan test edilmiş bir yedek erişim hazırlayın. Pilot olmadan tüm yöneticilere açmak kilitlenme riski taşır.

SSH girişi OTP ile korunur mu? Hayır. Avanet’in rehberine göre SSH Sophos OTP kapsamında değildir; erişimi Device Access ile kısıtlayın.

Yapılandırmayı birlikte planlamak ya da yenileme öncesi gözden geçirmek isterseniz teklif alın.