Vraag over VPN-clientimplementatie en authenticatie met Intune en Azure

Ik heb onlangs het IT-beheer geërfd van een middelgrote non-profitorganisatie als de nieuwe IT-manager/systeembeheerder.

Momenteel hebben ze een zeer ingewikkelde en onstabiele VPN met OPEN WRT en OpenVPN.

Ze hebben wel Sophos SG UTM9 in het netwerk, maar die wordt niet echt optimaal gebruikt.

Aangezien ik ook wat cloud-gerelateerde zaken opzet en Intune gebruik en mogelijk geen lokale AD nodig heb, zoek ik naar een oplossing waarmee het volgende mogelijk is:

Uitrollen van VPN-clients met configuratie en mogelijk inloggen met Azure-gegevens.

Of uitrollen van Client VPN met een gebruikersonafhankelijke configuratie die nog steeds veilig is. (Ik heb gekeken naar het implementeren van SSL VPN met inloggegevens en een enkel account, maar dat lijkt zeer onveilig en dat wil ik liever niet)

Ik weet dat het mogelijk is om een lokale AD te gebruiken, maar die zijn momenteel alleen in de cloud, en het omzetten naar een hybride situatie lijkt een achteruitgang. Ook staat Sophos alleen pre-2000 login toe, wat anders is dan de Azure-login vanwege de limiet van 20 tekens voor gebruikersnaam.

Zelfs een generieke configuratie om uit te rollen en vervolgens nog steeds gebruikersauthenticatie te vereisen, zou haalbaar zijn, maar ik moet dan nog steeds gebruikers beheren op Sophos, wat ik zou vermijden indien mogelijk.

Heeft iemand vergelijkbare systemen draaiende?

Ik kan online niets vinden dat zo specifiek is, dus misschien kunnen jullie helpen.

Hoi. Je kunt SSL VPN gebruiken met lokale authenticatie op de firewall en de OTP (MFA) van Sophos activeren voor veilige authenticatie. Op dit moment is het niet mogelijk om de SG UTM-versie te integreren met Azure AD. Je kunt proberen te migreren van SG 9 UTM naar XG Firewall.

De OTP is gratis.

Je kunt alle VPN-configuraties van gebruikers downloaden (inclusief persoonlijke certificaten) via het UTM-beheerportaal.

Vervolgens kun je ze uitrollen via een GPO-script/Intune/PDQ of wat dan ook met creatieve scripting, zodat ze alleen hun eigen VPN-configuratie + certificaat krijgen uit de geëxporteerde .ovpn-bestanden.

We doen dit voor laptops waarop we altijd VPN willen gebruiken zodra de laptops aanstaan en verbinding maken met het internet.
We gebruiken PDQ Deploy met een aangepaste implementatie die de OpenVPN-client installeert en de configuratie die overeenkomt met de hostnaam uit de PDQ centrale opslag.

Niet de meest elegante oplossing, maar het werkt al jaren goed.

Met Sophos XG en de nieuwe VPN Connect Client, kun je gewoon een standaardconfiguratie uitrollen. Bij het verbinden wordt automatisch de VPN-gebruikersconfiguratie en certificaat opgehaald.

Sophos UTM: Configureer een eenmalig wachtwoord (OTP) https://support.sophos.com/support/s/article/KB-000034983?language=en_US