VPN Zugang (über Sophos VPN Client) sowie User Portal Fehler: Ungültiger Benutzername /Kennwort, oder Zugang verweigert aufgrund einer internen Vorgabe.

Hallo,

wir haben seit gestern Abend das gleiche Problem.

User werden per Prefetch aus dem AD auf der Sophos UTM angelegt, das funktioniert ohne Probleme.

Auf der Sophos gibt es eine Gruppe für SSL-VPN-Users, die die passende AD-Gruppe enthält.
Zusätzlich noch eine Gruppe für das User-Portal, selbes Schema.

Dieses Konstrukt hat über Monate/Jahre problemlos funktioniert.
Seit gestern Abend können sich diese Benutzer nicht mehr im User Portal anmelden und sich nicht mehr per VPN einwählen.
Die Fehlermeldungen/Logeinträge sind identisch wie bei Herrn Lehmann.

Sowohl an der UTM-Konfig als auch an den AD-Gruppen/-Benutzern wurde nichts verändert.
Die Tests bei den Auth-Servern funktionieren problemlos, User Prefetch auch ohne Probleme.

Erstelle ich eine Gruppe auf der Sophos, die die gesyncten User enthält, funktionieren User Portal und VPN ohne Probleme.

So langsam glaube ich nicht mehr an einen Zufall oder einen Fehler auf unserer Seite.

Hallo,

wir haben seit gestern Abend das gleiche Problem.

User werden per Prefetch aus dem AD auf der Sophos UTM angelegt, das funktioniert ohne Probleme.

Auf der Sophos gibt es eine Gruppe für SSL-VPN-Users, die die passende AD-Gruppe enthält.
Zusätzlich noch eine Gruppe für das User-Portal, selbes Schema.

Dieses Konstrukt hat über Monate/Jahre problemlos funktioniert.
Seit gestern Abend können sich diese Benutzer nicht mehr im User Portal anmelden und sich nicht mehr per VPN einwählen.
Die Fehlermeldungen/Logeinträge sind identisch wie bei Herrn Lehmann.

Sowohl an der UTM-Konfig als auch an den AD-Gruppen/-Benutzern wurde nichts verändert.
Die Tests bei den Auth-Servern funktionieren problemlos, User Prefetch auch ohne Probleme.

Erstelle ich eine Gruppe auf der Sophos, die die gesyncten User enthält, funktionieren User Portal und VPN ohne Probleme.

So langsam glaube ich nicht mehr an einen Zufall oder einen Fehler auf unserer Seite.

Hallo! 

Dann kann es doch nur noch mit dem letzten Firmwareupdate zusammenhängen? 

V9.711-5 das ist die, die wir aktuell nutzen. Was mich hier wundert, wenn ich das Log richtig lese, wurde das Update von 9.710-1 auf 9.711-5 bei uns am 01.05. eingespielt, der Fehler trat aber ja erst Wochen später auf. Eigentlich passt das nicht. 

Blöde Frage: Könnten Updates auf dem AD Server so etwas auslösen? 

Gruß
Carsten Lehmann

Wir haben erst am späten Abend ein FW-Update auf 9.711-5 auf der Sophos durchgeführt, also nachdem der Fehler aufgetreten ist.
Das letzte FW-Update lag Wochen/Monate zurück.

Windows-Updates auf den DCs wurden am 01.07 durchgeführt, also einige Tage bevor der Fehler aufgetreten ist.

https://community.sophos.com/utm-firewall/f/management-networking-logging-and-reporting/134712/solved-ssl-vpn---authentication-failure-for-all-users

Das trat bei einem dritten Benutzer auch schon auf, nur die Lösung funktioniert bei uns nicht.

Hmm, dann liegt es weder an der Firmware noch an den Windows Updates. 

Kannst du mir erklären, warum ich manche User doppelt drin habe? Hatte ich weiter oben vor 7 Tagen gefragt. 

Ich würde auch mal prüfen, ob die User tatsächlich doppelt im AD enthalten sind.
Ansonsten beide löschen und neu syncen (User Prefetch), dann sollte nur noch einer da sein.
Prinzipiell werden auf der Sophos keine User gelöscht, auch wenn sie im AD gelöscht werden.

Ich habe in einem anderen Thread noch einen Konsolenbefehl aufgeschnappt:
net ads info

<M> utm:/home/login # net ads info
ads_connect: No logon servers
ads_connect: No logon servers
Didn't find the ldap server!

Sollte der immer was Sinnvolles liefern, oder nur, wenn man Active Directory SSO aktiviert hat?

Nein, die User sind nicht doppelt im AD enthalten. 
Wie lange dauert das mit dem User Prefetch, bis die in der Sophos sichtbar sind? 

Zu dem Konsolenbefehl kann ich nichts sagen; gehe nur per Weboberfläche drauf bisher. 

Das kommt darauf an, ob du einen automatischen Prefetch konfiguriert hast.

Definition & Users -> Authentication Services -> Advanced -> Prefetch Directory Users

Ansonsten kannst du das auch händisch anstoßen, dann dauert es nur ein paar Sekunden.
Vermutlich musst du aber dann die VPN-Konfig für den Client neu herunterladen, weil ein neues Zertifikat generiert wird.

Ah, okay ja das ist bei uns aktiviert, also Automatisch. 

Ne, dann muss ich das nach meinem Urlaub mal testen, vorher ist das nicht gut ;) VPN muss funktionieren! 

Danke schonmal! 

Any ideas?

'AUTH_FAILED' kann alles und nix sein... Aber da ist das SSL VPN Log eher nutzlos. Lieber mal das User authentication daemon Log anschauen ;-)

9.711-5 kann ich nix gegen sagen. Seit Release drauf (SG330 HA) und keine Probleme. Nutzen ebenfalls SSL VPN mit UserPrefetch und sowohl alten, als auch neuen SSL Client bei den Usern.

mal das user-synclog prüfen.

wenn die konten gefunden werden, ist die erste hürde genommen.

sonst die ad-server verbindung mit dem test button prüfen.

dann lässt sich die authentifizierung noch auf debugging schalten, dann steht im auth-log wirklich alles drin.