Sophos XGS entegrasyonu (SFOS 19–21)

Adım adım

1. 1

   Ön koşulları hazırlayın

   LogSpot'a sabit bir IP verin (örn. 192.168.5.19) ve güvenlik duvarı ile aynı L2/VLAN üzerinden haberleşebildiğini doğrulayın. Misafir ağı için ayrı bir VLAN/arayüz ve DHCP kapsamı bulunmalıdır. Portal ve RADIUS aynı adreste çalışır: portal http://192.168.5.19:8899, RADIUS 1812/UDP (auth) ve 1813/UDP (acct). Yönetim paneli ayrıca 8080 portundadır.

2. 2

   LogSpot panelinde NAS kaydını açın

   Güvenlik duvarı, LogSpot için bir NAS istemcisidir. Panelde Cihazlar & Ağ › RADIUS / NAS altında Sophos'un IP'sini (192.168.5.4) ve paylaşılan sırrı tanımlayın. Bu kayıt yapılmazsa güvenlik duvarından gelen tüm istekler Access-Reject ile döner.

3. 3

   Sophos'ta RADIUS sunucusunu ekleyin

   CONFIGURE › Authentication › Servers › Add yolunda Server type olarak RADIUS seçin. Server name: Logspot-AAA, Server IP: 192.168.5.19, Port: 1812, Shared secret: LogSpot NAS kaydındaki sırla birebir aynı. Group name attribute boş bırakılabilir; Test connection yeşil dönünce Save deyin.

4. 4

   RADIUS sunucusunu doğrulama servislerine atayın

   CONFIGURE › Authentication › Services altında Captive portal authentication methods ve/veya Firewall authentication methods listesine Logspot-AAA'yı ekleyip listenin en üstüne taşıyın. SMS OTP akışı portalda yürüdüğü için Sophos'ta yerel kullanıcı ya da voucher tanımlamanıza gerek yoktur.

5. 5

   Misafir arayüzü, DHCP ve MAC rezervasyonu

   CONFIGURE › Network › Interfaces altında misafir VLAN'ını (örn. MisafirNet) tanımlayıp ayrı bir Zone atayın; CONFIGURE › Network › DHCP › Server ile kapsam açın. LogSpot'un MAC adresine sabit IP (192.168.5.19) rezerve edin — yeniden başlatma sonrası L2 erişiminin kaybolması genelde DHCP'nin farklı IP vermesinden kaynaklanır ve MAC rezervasyonu bunu kalıcı çözer.

6. 6

   Web Authentication ayarlarını yapın

   CONFIGURE › Authentication › Web authentication ekranında Use insecure HTTP instead of HTTPS kutusunu işaretleyin — misafir, portaldan güvenlik duvarının http://…:8090 giriş sayfasına geri döner. Sign out user için When user is inactive seçin ve trafik eşiğini örneğin 1440 dakikada 100 bayt yapın; böylece misafir gün içinde bağlı kaldıkça oturumu düşmez. ADMINISTRATION › Device access ekranında misafir zone'u için yalnız Captive portal ve DNS açık olmalıdır.

7. 7

   Captive portalı Custom HTML olarak yükleyin

   CONFIGURE › Authentication › Web authentication › Captive portal appearance altında Layout = Custom HTML seçin. Şablonu LogSpot panelinde Cihaz Entegrasyonu › Bağlama Reçetesi ekranında Sophos'u seçerek alın. SFOS 22 ve sonrası için "betiği dış dosyadan yükleyen şablon"u kullanın: bu sürümlerde Custom HTML'e gömülü script çalışmayabilir (sayfa açılır ama yönlendirme olmaz, hata da görünmez). Şablondaki yedek bağlantıda geçen login_url değerini, misafirin gördüğü giriş sayfası adresiyle (örn. http://192.168.0.1:8090/httpclient.html) değiştirin. Eski/varsayılan şablon artığı kalmadığından emin olun.

8. 8

   Firewall kuralını oluşturun (SSL denetimi kapalı)

   PROTECT › Rules and policies › Add firewall rule › User/network rule ile Source zone = MisafirNet, Destination zone = WAN, Action = Accept kuralı açın. Kuralda Match known users'ı işaretleyin, Use web authentication (captive portal) seçeneğini etkinleştirin ve özel portalınızı seçin. Bu kuralda Decrypt & Scan / SSL-TLS inspection mutlaka kapalı olmalıdır; açık kalırsa sertifika uyarıları ve portal XHR hataları oluşur.

9. 9

   NAT kuralında MASQ seçin

   PROTECT › Rules and policies › NAT rules › Add NAT rule ile Original source = MisafirNet, Outbound interface = WAN tanımlayın ve Translated source (SNAT) olarak MASQ seçin. Translated Source = Original bırakılırsa misafir trafiği maskelenmez ve WAN'a çıkamaz — sahada en sık görülen "portal geçtim ama internet yok" hatası budur.

10. 10

    Walled garden ekleyin ve uçtan uca test edin

    Kimlik doğrulama öncesi erişilecek hedefleri istisna edin: 192.168.5.19:8899 (portal; misafir ağı farklı bir segmentteyse bu kural NAT'sız olmalı), otpsms.postaguvercini.com (SMS ağ geçidi) ve portalın statik/CDN kaynakları. Ardından bir misafir cihazı SSID'ye bağlayın: portal otomatik açılmalı, SMS OTP gelmeli, doğrulama sonrası internet erişimi olmalı ve LogSpot panelinde Loglar altında giriş olayı kimlikle görünmelidir.