Gestionar correctamente los grupos de usuarios y el grupo principal en Sophos Firewall

Los grupos de usuarios aplican políticas comunes a los usuarios autenticados. Antes de cambiar un grupo, aclara dos aspectos: de dónde proviene la identidad y si la función afectada evalúa solo el Main Group o también otros grupos de AD. Solo entonces podrás determinar si debes cambiar el orden de los grupos, la asignación de una política o la propia regla de firewall o VPN.

Procedimiento rápido:

Establecer la fuente de usuarios y el propósito del grupo.
Crear un grupo local o importar específicamente el grupo de directorio necesario.
Bajo Authentication > Services, comprobar el Default group efectivo o, en el servidor Entra, el Fallback user group.
En AD, documentar el orden bajo Authentication > Groups > Reorder y el Grupo Principal esperado.
Cerrar sesión con el usuario piloto y volver a iniciar sesión. Después, comprobar los campos Group y Other group memberships en Authentication > Users > usuario > Policies.
Probar la función afectada con un usuario autorizado y uno no autorizado. En caso de tráfico de red, controlar además el Firewall Rule ID esperado.

⚠️ Reorder no es una simple función de ordenación. En los usuarios de AD, un cambio de posición puede modificar el grupo principal y, por tanto, MFA, las cuotas, los horarios de acceso, el acceso remoto y otras políticas para muchos usuarios. Anota previamente el orden, las políticas de grupo y el procedimiento de reversión.

Entender el modelo de grupo

Un grupo define políticas y ajustes comunes. No sustituye la autenticación ni una regla de firewall. Un usuario puede estar en el grupo correcto y aun así no obtener acceso si falta la regla esperada, la política de VPN, la zona, la ruta o el camino de retorno.

Para diagnosticar un error, plantea cuatro preguntas por separado:

¿Proviene la identidad de la base de datos local, Active Directory, LDAP, RADIUS, Microsoft Entra ID o de una asignación sin cliente?
¿Qué grupo es el grupo principal?
¿La función afectada admite otras pertenencias a grupos de AD?
¿Qué regla o política procesa el tráfico real?

Diferenciar entre grupos locales, importados y sin cliente

Normal y Clientless son tipos de grupo. Importado, en cambio, describe el origen de un grupo y no es un Group type propio.

Un grupo local del tipo Normal es adecuado para usuarios que inician sesión. Los usuarios locales obtienen su grupo en el objeto de usuario. Con una fuente de usuarios externa, los registros de usuarios locales normalmente solo se crean en el primer inicio de sesión exitoso.

Los usuarios invitados siguen un ciclo propio y de duración limitada. Crear y gestionar de forma segura usuarios invitados en Sophos Firewall explica el grupo por defecto, la validez, el portal cautivo y la limpieza.

Los grupos AD y Entra se importan a través del asistente del servidor correspondiente. El directorio sigue siendo la fuente de las pertenencias; un grupo local con el mismo nombre no reemplaza una importación correcta. El flujo completo de AD, LDAPS e importación está disponible en Conectar Active Directory con Sophos Firewall.

Con el LDAP genérico, Base DN, Authentication attribute, Group name attribute, el orden del servidor y Default group deben coincidir. Sophos recomienda memberOf como atributo de grupo. Conectar servidores LDAP con Sophos Firewall explica esta configuración paso a paso.

Un grupo del tipo Clientless agrupa a usuarios sin cliente y sus ajustes comunes. Estos usuarios no inician sesión a través de un cliente; el firewall controla su acceso en función de la dirección IP. La dirección IP fija se almacena en el usuario sin cliente individual, no en el objeto del grupo. Configurar usuarios sin cliente en Sophos Firewall describe la asignación de IP, la regla y la prueba negativa.

No confundir el grupo predeterminado con el grupo de reserva de Entra

Bajo Authentication > Services > Firewall authentication methods, Default group define qué grupo recibe un usuario de un servidor de autenticación externo cuando ninguno de sus grupos de directorio está presente como grupo local. El valor de fábrica es Open group. Comprueba el valor actual en lugar de dar por sentado el predeterminado. Para entornos de producción, Avanet recomienda un grupo de reserva específico y restrictivo, sin permisos de VPN, cuota o inicio de sesión no deseados.

Microsoft Entra ID SSO utiliza el Fallback user group separado en la configuración del servidor Entra. También se aplica si el servidor Entra está seleccionado bajo Firewall authentication methods. El Grupo Predeterminado general no se aplica en este caso.

El orden de los servidores de autenticación también es relevante. Sophos Firewall permite como máximo 20 servidores por método de autenticación y reenvía las solicitudes en el orden mostrado. No uses este orden para eludir un problema de grupos sin haber verificado antes el servidor correspondiente y su mapeo.

Planificar el ejemplo y documentar el estado inicial

El ejemplo utiliza tres grupos con funciones distintas:

Local_Contractors: grupo piloto local para pocos empleados externos;
SFOS_Internet_Standard: grupo AD importado para acceso normal a Internet;
SFOS_SSLVPN: grupo AD importado para una política SSL-VPN.

auth-pilot@example.com sirve como cuenta de prueba y la regla con registro LAN-Users-to-WAN como prueba de tráfico. example.com es un dominio de documentación reservado. Sustituye nombres y usuarios por tu propia convención de nombres. Un nombre relacionado con la función como SFOS_SSLVPN sigue siendo comprensible incluso después de una reorganización.

Anota antes del cambio:

orden actual de grupos;
Default group y, si corresponde, Fallback user group;
políticas de grupo y anulaciones específicas de usuario;
servicios de autenticación afectados y políticas de VPN;
un acceso de administrador verificado y una segunda vía de gestión, en caso de que se vean afectadas Main Group, MFA o restricciones de inicio de sesión;
usuarios piloto, Main Group esperada, así como pruebas positivas y negativas.

Crear grupo de usuarios local

Ve a Authentication > Groups y haz clic en Add:

Introduce Local_Contractors como nombre del grupo.
En Group type, selecciona Normal.
Selecciona únicamente las políticas comunes necesarias:
- Surfing quota limita el tiempo de uso según el período y el ciclo.
- Access time permite o deniega períodos recurrentes.
- Network traffic limita la cantidad de datos transferidos.
- Traffic shaping asigna una política QoS con prioridad y límites de ancho de banda.
Configura SSL VPN policy, Clientless SSL VPN policy, L2TP, PPTP y IPsec remote access solo para el acceso realmente planificado. PPTP no es adecuado para nuevos diseños; L2TP sigue siendo una opción de compatibilidad limitada, como se explica en Acceso remoto L2TP en Sophos Firewall.
Limita Sign-in restriction, si es posible, con Selected nodes o Node range a las fuentes necesarias. Any node permite el inicio de sesión desde cualquier red.
Activa Quarantine digest y MAC binding únicamente si el grupo necesita estas funciones.
Haz clic en Save.

Los nombres de los campos y su efecto los determina el producto; la selección depende del entorno. Un grupo de acceso a Internet no necesita automáticamente VPN, cuota ni vinculación MAC. Los grupos con funciones bien delimitadas son más fáciles de probar y revertir.

Asignar usuarios locales y reconocer anulaciones

Crear y administrar usuarios locales normales describe detalladamente el nombre de usuario, la contraseña, la herencia de grupos y la validación. Los usuarios locales se pueden asignar a un grupo en Authentication > Users. En la edición de grupos, Show group members muestra los miembros; a través de Add member(s) se agregan los usuarios locales adecuados. En el caso de identidades administradas externamente, en cambio, el directorio sigue siendo la fuente de la membresía.

Que una regla o política utilice los ajustes del usuario o del grupo depende de la selección real de usuarios y grupos. Comprueba en el usuario bajo Policies si se ha seleccionado un valor propio en lugar de la configuración del grupo. Si se desea que la política de grupo vuelva a aplicarse, restaura específicamente el estado de herencia previamente documentado y prueba únicamente la función afectada nuevamente. Una anulación sigue siendo útil si se documenta explícitamente una excepción justificada.

Sophos distingue dos casos para la selección en la regla o política afectada:

Solo el grupo seleccionado: El firewall utiliza los ajustes del grupo, no automáticamente la anulación del usuario.
El usuario y su grupo seleccionados: El firewall utiliza los ajustes del usuario.

Una prueba piloto limitada permite ver la diferencia: para auth-pilot@example.com en Local_Contractors, documenta un valor de grupo A y un valor de usuario diferente B para el mismo ajuste admitido. A y B son marcadores de posición para dos valores de prueba planificados deliberadamente en tu entorno. En una regla o política de prueba aislada con selección de usuarios y grupos, comprueba primero la selección real: solo Local_Contractors implica A; auth-pilot@example.com junto con Local_Contractors implica B. Prueba el servicio o la ruta de datos afectados con un nuevo inicio de sesión en cada caso; para el tráfico de firewall, comprueba también el Firewall Rule ID. Después, restaura la selección previamente anotada y ambos ajustes y vuelve a probar. No amplíes una regla de producción ni cambies el orden de los grupos para esta prueba.

Esta selección no es el orden del Main Group. Siguen aplicándose las limitaciones de la compatibilidad con varios grupos y la combinación de políticas SSL VPN coincidentes descritas más abajo; esto no establece una prioridad universal de las políticas de usuario para todos los servicios.

La creación completa de Access-Time-Policies, Cuotas de Navegación y Tráfico de Red así como MFA para Sophos Firewall se explica en los respectivos artículos especializados. En el objeto de grupo solo se asigna una política ya planificada.

Importar grupos de directorios de forma controlada

Grupos de Active Directory

Ve a Authentication > Servers y ejecuta el asistente de importación para el servidor AD configurado. En un clúster HA, la importación debe realizarse en Primary. El asistente solo importa los grupos seleccionados. Por lo tanto, un grupo creado posteriormente en AD no aparecerá automáticamente y debe importarse nuevamente.

Los grupos AD anidados no se evaluarán. Si un subgrupo debe aplicarse a una regla de firewall o a una política de VPN, debe importarse exactamente ese subgrupo. El grupo AD principal de un usuario tampoco se adoptará como membresía normal. Por lo tanto, para las políticas, es mejor utilizar grupos de seguridad explícitos en lugar del grupo estándar de AD Domain Users.

Después de cambiar las pertenencias a grupos de AD, grupos importados o el orden de los grupos, el usuario debe iniciar sesión nuevamente. Solo entonces el firewall evalúa los grupos nuevamente y actualiza el objeto de usuario.

Grupos Entra

Para la importación de grupos Entra, el registro de la aplicación en Microsoft Graph necesita el permiso de aplicación Group.Read.All con Admin Consent. Los relojes del firewall y de Microsoft Entra ID deben estar sincronizados; de lo contrario la conexión puede fallar.

Luego ve a Authentication > Servers y haz clic en el asistente de importación de grupos en el servidor Microsoft Entra-ID. Se pueden importar todos los grupos o solo aquellos grupos cuyo Display name o Description cumpla con un filtro. Surfing quota, Access time, Network traffic y Traffic shaping se pueden asignar a todos o a grupos individuales importados. Los grupos recién importados también deben incorporarse a las políticas IPsec de acceso remoto o SSL VPN utilizadas; la importación por sí sola no otorga acceso VPN.

Evaluar correctamente los grupos principales y los grupos múltiples

Abre el usuario bajo Authentication > Users y desplázate a Policies:

Group muestra el primer grupo correspondiente en la lista de firewall y, por lo tanto, el Grupo Principal.
Other group memberships muestra otros grupos de AD importados del usuario.

Bajo Authentication > Groups > Reorder se puede cambiar el orden mediante arrastrar y soltar. Haz clic en Close para cerrar el cuadro de diálogo. Si auth-pilot@example.com pertenece a SFOS_Internet_Standard y SFOS_SSLVPN, el grupo adecuado que se encuentra más arriba se establecerá como Grupo Principal en el próximo inicio de sesión.

Este orden no solo se aplica al caso de error actual. Antes de realizar un cambio, verifica si la función afectada admite otros grupos. De lo contrario, un desplazamiento podría resolver un caso de VPN y al mismo tiempo cambiar MFA, cuota o tiempo de acceso para otros usuarios.

Funciones con soporte para varios grupos de AD

La siguiente matriz se aplica expresamente a Active Directory. No des por sentado que también se aplica a LDAP, RADIUS o Microsoft Entra ID.

Se pueden considerar varios grupos de AD en:

Firewall rules y SSL/TLS inspection rules;
SD-WAN routes;
Web policies;
IPS y Application control policies;
Policy test;
Remote access SSL VPN;
Clientless SSL VPN.

En Remote access SSL VPN se combinan los permisos de las políticas de usuario y grupo correspondientes. Si interviene alguna política de túnel completo aplicable, el resultado es un Full Tunnel. Verifica esta combinación con una prueba de cliente real.

Solo se considera el Main Group o una asignación de usuario explícita en:

WAF rules, My policy overrides y Hotspots;
Remote access IPsec VPN, L2TP y PPTP;
Surfing quota, Access time, Network traffic y Traffic shaping;
Quarantine digest, MAC binding y Sign-in restriction;
MFA.

Con WAF, L2TP, PPTP y acceso remoto IPsec, la política de usuario Enable puede mostrarse, aunque el permiso proceda únicamente de Other group memberships y por lo tanto el acceso no esté permitido. Evalúa estos servicios según el Grupo Principal o una asignación directa de usuario, no solo según la visualización.

En las funciones que admiten varios grupos, el orden de la regla o política correspondiente sigue siendo determinante. Una regla de firewall puede aplicarse a través de SFOS_SSLVPN, aunque SFOS_Internet_Standard sea el Grupo Principal. Esto no significa que MFA o Quota también utilicen SFOS_SSLVPN.

Comprobar el efecto del grupo

Un grupo guardado y un usuario visible aún no son una prueba de éxito:

Finalizar la sesión existente del usuario piloto y volver a iniciar sesión.
Anotar bajo Authentication > Users > usuario > Policies el estado, Group, Other group memberships y posibles anulaciones.
Verificar bajo Current activities > Live users el nombre de usuario, la IP de origen y Client Type.
En una regla de firewall basada en el usuario, activar el tráfico previsto y controlar en Log Viewer el Firewall Rule ID.
Probar Access Time, Quota, MFA y Remote Access cada uno a través del servicio realmente afectado.
Repetir el mismo intento con un usuario fuera del grupo piloto como prueba negativa.

Para comprobar la cuota, abre Authentication > Users > usuario > View usage. Los datos de uso solo están disponibles si una regla de firewall basada en el usuario procesa el tráfico y Log firewall traffic está activado.

Revisar reglas de firewall con Log Viewer, Policy Test y Packet Capture muestra la prueba completa de tráfico. Si la selección de servicio, la identidad o el Grupo Principal no están claros, Resolver sistemáticamente errores de autenticación en Sophos Firewall recorre toda la cadena de verificación.

Revertir cambios y limpiar grupos

Cambia siempre solo una política de grupo o posición. Si la prueba muestra un efecto inesperado, restaura el orden y la asignación de políticas anotados, vuelve a iniciar sesión con el usuario y repite la prueba positiva y negativa.

Los grupos de AD se eliminan primero en el directorio y luego por separado en Authentication > Groups en el firewall. Purge AD users no elimina grupos.

Para usuarios de AD se aplica:

Eliminar primero al usuario en el AD. Mientras permanezca allí, el firewall puede volver a crearlo en un inicio de sesión posterior.
En Authentication > Users hacer clic en Purge AD users. No es necesario seleccionar previamente a los usuarios; el firewall verifica el servidor AD y solo elimina los usuarios que ya han sido eliminados allí.
En HA iniciar el proceso en Primary. Los registros se eliminarán en Primary y Auxiliary. La limpieza no interrumpe el inicio de sesión, el cierre de sesión ni la contabilidad de usuarios.

Una exportación de configuración contiene grupos de AD importados y creados localmente, pero no usuarios de servidores de autenticación externos. En cambio, una copia de seguridad completa incluye todos los usuarios y grupos. Ten en cuenta este límite cuando el procedimiento de reversión afecte a más de un cambio de política individual.

Los usuarios y grupos comparten el rango de ID interno hasta 65535. Un alto número de objetos visibles por sí solo no demuestra un problema de límite. Si un usuario muestra un User ID sobre 65535 y no se convierte en usuario en vivo, el proceso se ajusta al límite de ID de usuario Sophos Firewall.

Acotar los errores según el síntoma

Vuelve a iniciar sesión con el usuario afectado después de cada corrección y comprueba Group así como Other group memberships. Después, basta con un siguiente paso específico por síntoma.

Nuevo grupo de AD no aparece

Inicia de nuevo el asistente de importación del servidor AD y ejecútalo en HA en el Primary. Luego verifica en Authentication > Groups si exactamente el grupo necesario está presente. No crees un grupo de reemplazo amplio solo para que funcione un inicio de sesión.

El usuario LDAP termina en el grupo predeterminado

Revisa en el servidor LDAP Base DN, Authentication attribute y Group name attribute, luego bajo Authentication > Services el orden de los servidores y Default group. Ejecuta Test connection para el servidor LDAP. El asistente de importación de AD no es responsable de este mapeo.

El usuario Entra termina en el grupo de reserva

Comprueba si se ha importado el grupo Entra y si el token proporciona el grupo esperado. Luego verifica directamente el Fallback user group en el servidor Entra. El Default group general bajo Authentication > Services no se utiliza para este mapeo.

El usuario tiene el grupo principal incorrecto

Compara las pertenencias a grupos de AD, los grupos importados y el orden actual. Verifica el nuevo orden solo después del próximo inicio de sesión y con varios usuarios representativos.

La regla del cortafuegos se aplica, pero MFA o cuota no

Las reglas de firewall admiten otros grupos de AD, pero MFA y las cuotas no. Revisa bajo Authentication > Users > usuario > Policies el Grupo Principal, posibles anulaciones y la asignación real de la política. El efecto de la regla no demuestra que MFA o la cuota evalúen el mismo grupo.

El cambio de grupo no surte efecto para un solo usuario

Compara los campos de política específicos del usuario y la selección real de usuarios y grupos en la regla o política afectada: seleccionar solo el grupo utiliza los valores del grupo; seleccionar el usuario y su grupo utiliza los valores del usuario. Comprueba también las limitaciones de la función para el grupo principal y los grupos múltiples. Solo restablece el valor del grupo si la excepción documentada ya no es necesaria.

Grupo AD anidado no funciona

Importa el subgrupo necesario y añade al usuario directamente a él. No basta con importar solo el grupo superior.