Configurar Microsoft Entra ID SSO para Sophos Connect y el Portal VPN

Con Microsoft Entra ID SSO, Sophos Firewall puede autenticar a los usuarios para el Portal VPN y el Acceso Remoto a través de Sophos Connect contra Microsoft Entra ID. Para muchas configuraciones de Microsoft 365, esto es más conveniente que contraseñas locales separadas en el firewall, ya que la identidad, el acceso condicional y el MFA se gestionan centralmente en el proveedor de identidad.

Sin embargo, la ventaja solo es real si toda la cadena está bien planificada: la aplicación Entra, las URIs de redirección, el Portal VPN, Sophos Connect, los métodos de autenticación, los grupos, Device Access y los perfiles de cliente deben coincidir. Este artículo describe el proceso práctico para el Portal VPN, SSL VPN y Acceso Remoto IPsec con Sophos Connect.

Para la configuración general de Sophos Connect, primero consulte Configurar Sophos Connect en Sophos Firewall. Este artículo complementa los pasos específicos de identidad y SSO.

Qué hace Entra ID SSO en el firewall

Sophos Firewall integra Microsoft Entra ID SSO a través de OAuth 2.0 y OpenID Connect. El firewall utiliza Entra ID como servidor de autenticación y puede registrar usuarios para varios servicios.

Para el Acceso Remoto, estos servicios son especialmente relevantes:

• Portal VPN
• SSL VPN a través de Sophos Connect
• Acceso Remoto IPsec a través de Sophos Connect

Para el Portal Cautivo se aplica un proceso diferente: el usuario ya se encuentra en la red local y se autentica en el navegador para que se apliquen reglas basadas en el usuario. Este caso se describe por separado en Configurar Microsoft Entra ID SSO para el Portal Cautivo de Sophos Firewall.

Es importante la delimitación: el firewall sigue gestionando el VPN, las políticas, la coincidencia de grupos de usuarios y el acceso a través de reglas de firewall. Entra ID gestiona la verificación de identidad, SSO y MFA basado en Entra.

Un servidor Entra ID, varios servicios

El servidor Microsoft Entra ID se crea una vez en Sophos Firewall en Authentication > Servers. Después, el mismo objeto de servidor puede seleccionarse en Authentication > Services para distintos servicios, por ejemplo Portal VPN, SSL VPN, Acceso Remoto IPsec, Captive Portal o inicio de sesión de administradores.

Esto no significa que todos los servicios funcionen automáticamente igual. Cada servicio necesita la Redirect URI correcta, el método de autenticación adecuado y su propio flujo de prueba. Para Portal VPN, SSL VPN y Acceso Remoto IPsec, la URL relevante es VPN portal and remote access URL. Si Captive Portal o WebAdmin también usan Entra ID SSO, sus URLs de servicio deben añadirse a la aplicación Entra y probarse por separado.

El servicio administrativo requiere además roles o grupos de Entra, perfiles locales de permisos y un acceso de emergencia probado. El procedimiento específico se explica en Configurar Microsoft Entra ID SSO para WebAdmin de Sophos Firewall.

Por cada método de autenticación solo puede usarse un servidor Microsoft Entra ID. Por eso, con Sophos Connect Provisioning, Portal VPN, SSL VPN e IPsec deben usar de forma consciente el mismo servidor Entra ID para que el valor de gateway, la Redirect URI y el perfil de cliente coincidan.

Cuándo es útil Entra ID SSO

Entra ID SSO es adecuado cuando los usuarios ya trabajan con Microsoft 365 y la organización utiliza el Acceso Condicional o Entra-MFA como control de seguridad central.

Razones típicas:

• Los usuarios no deben mantener contraseñas de firewall separadas.
• El MFA debe ejecutarse a través de Entra ID en lugar de Sophos OTP.
• El Acceso Remoto debe estar más vinculado al estado del usuario, grupos y Acceso Condicional.
• El equipo de soporte y seguridad debe gestionar los procesos de identidad centralmente en Entra ID.
• Se deben reducir los usuarios locales del firewall.

No todas las configuraciones deben cambiarse de inmediato. En instalaciones pequeñas sin un modelo de grupos Entra limpio, el MFA propio de Sophos puede ser más sencillo. Para la variante clásica de OTP, consulte Activar MFA para Sophos Firewall WebAdmin, Portal VPN y Acceso Remoto.

Requisitos y limitaciones

Antes de la configuración, se deben cumplir estos puntos:

• Sophos Firewall con una versión de SFOS compatible.
• Tenant de Microsoft Entra con permiso para crear un registro de aplicación.
• FQDN público para el Portal VPN o el acceso remoto.
• Certificado válido para el nombre público.
• El Portal VPN es accesible desde la zona necesaria.
• Sophos Connect 2.4 o posterior en Windows, si se va a utilizar SSO en el cliente.
• Los usuarios o grupos están correctamente presentes en Entra ID.
• El firewall y Entra ID tienen la hora correcta.
• Las URLs de inicio de sesión de Microsoft son accesibles desde los clientes y, dependiendo de la ruta del tráfico, desde el firewall.

Limitaciones importantes:

• Para Sophos Connect SSO, Sophos menciona endpoints de Windows con Sophos Connect 2.4 o posterior.
• Si se utiliza Microsoft Entra ID SSO, se utiliza MFA en el proveedor de identidad. El MFA propio de Sophos Firewall no se puede utilizar adicionalmente para este método de autenticación.
• Solo se puede seleccionar un servidor de Microsoft Entra ID por método de autenticación.
• Los usuarios del mismo dominio no deben sincronizarse simultáneamente a través de AD y Microsoft Entra ID.
• En clústeres HA, actualmente no se debe asumir que Microsoft Entra ID SSO funciona para el WebAdmin del firewall auxiliar.

⚠️ Conditional Access requiere una versión de firmware corregida: En SFOS 21.5 GA Build 171, Sophos Connect podía reutilizar una sesión SSO existente sin volver a comprobar MFA ni otras condiciones de Conditional Access. Desconectar y volver a conectar el túnel VPN no siempre era suficiente. Sophos identifica el problema como NC-167126 y no ofrece una solución temporal oficial. Está corregido a partir de SFOS 21.5 MR2 Build 323 o SFOS 22.0 MR1 Build 490. Si Conditional Access actúa como límite de seguridad, primero se debe actualizar al menos a una de estas versiones. Force SSO re-login reduce el riesgo en sistemas anteriores, pero no sustituye la corrección.

Planificar la arquitectura

Antes de la configuración técnica, se debe decidir qué servicios utilizarán SSO.

• Portal VPN: ¿Debería el inicio de sesión en el portal realizarse a través de Entra ID?
• SSL VPN: ¿Debería utilizarse SSL VPN a través de Sophos Connect con Entra SSO?
• Acceso Remoto IPsec: ¿Debería utilizarse Acceso Remoto IPsec a través de Sophos Connect con Entra SSO?
• Archivo de aprovisionamiento: ¿Se utilizará un archivo de aprovisionamiento automático?
• Grupos: ¿Qué grupos de Entra pueden usar VPN?
• MFA: ¿Qué reglas de Acceso Condicional y MFA se aplican para el Acceso Remoto?
• Fallback: ¿Qué sucede si Entra ID o el acceso a Internet a Microsoft no está disponible?

Si se utiliza un archivo de aprovisionamiento, el valor gateway establecido en él debe coincidir con el FQDN o la IP que se utiliza en la configuración de Microsoft Entra ID del firewall como URI de redirección. Después de los cambios en Entra ID o en la configuración del firewall, los usuarios deben importar nuevamente la configuración actualizada.

Crear un servidor Microsoft Entra ID en el firewall

La ruta del menú es:

Authentication > Servers

Procedimiento en el firewall:

1. Abrir Add.
2. Seleccionar la opción Microsoft Entra ID SSO como Server type.
3. Asignar un nombre de servidor descriptivo.
4. Ingresar Application (client) ID de la aplicación Entra.
5. Ingresar Directory (tenant) ID.
6. Ingresar Client secret.
7. Verificar o establecer manualmente el FQDN de la URI de redirección.
8. Establecer el grupo de fallback.
9. Si se necesita SSO para WebAdmin, planificar la asignación de roles o grupos a perfiles de administrador.
10. Ejecutar Test connection.
11. Guardar.

Para escenarios de SSO solo para VPN, no se necesita una asignación de roles de administrador. En ese caso, el servidor debe planificarse como un servicio de usuario, no como un acceso de administrador general.

⚠️ Los secretos de cliente son credenciales de acceso productivas. La fecha de vencimiento, rotación, responsabilidad y documentación deben aclararse antes del despliegue.

Establecer métodos de autenticación

Después de crear el servidor de Microsoft Entra ID, debe asignarse a los servicios correspondientes en Authentication > Services.

Para el Acceso Remoto, estas áreas son relevantes:

• VPN portal authentication methods
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods
• SSL VPN authentication methods

Si se utiliza un archivo de aprovisionamiento, se debe utilizar el mismo servidor de Microsoft Entra ID para el Portal VPN, IPsec y SSL VPN. En los archivos de aprovisionamiento, es importante la misma selección de servidor para los métodos de autenticación, para que el perfil del cliente, el portal y el método de acceso remoto coincidan.

Después de cada cambio:

1. Seleccionar el servidor en el método correspondiente.
2. Arrastrar el servidor a la posición correcta si hay varios servidores.
3. Ejecutar Apply para cada servicio cambiado.
4. Usar un usuario de prueba antes de desplegar el cambio ampliamente.

Registrar URIs de redirección en Microsoft Entra ID

Para que SSO funcione, las URLs del firewall deben registrarse en la aplicación Entra como URIs de redirección.

Procedimiento:

1. Abrir Authentication > Servers en el firewall.
2. Abrir el servidor de Microsoft Entra ID.
3. Copiar las URLs necesarias:
   • URL de la consola de administración web, si se utiliza SSO para WebAdmin
   • URL del portal cautivo, si se utiliza el Portal Cautivo
   • URL del portal VPN y acceso remoto para el Portal VPN, Acceso Remoto IPsec y SSL VPN
4. Cambiar al portal de Azure en Microsoft Entra ID > App registrations.
5. Abrir la aplicación para Sophos Firewall.
6. En Manage > Authentication, agregar una plataforma web o editar la plataforma web existente.
7. Insertar las URIs de redirección copiadas.
8. Guardar.

Un error común es un nombre de host diferente en el perfil del cliente, URI de redirección, certificado y DNS público. Estos valores deben compararse conscientemente antes del despliegue.

Si no se protege el Acceso Remoto, sino el Portal Cautivo, también se debe verificar el proceso específico del Portal Cautivo: Device Access para la zona del cliente, método de autenticación del Portal Cautivo, grupo de usuarios y coincidencia de reglas de firewall posterior.

Permitir el Portal VPN a través de Device Access

Microsoft Entra ID SSO para el Acceso Remoto utiliza el puerto del Portal VPN para comunicarse con el firewall. Por lo tanto, el Portal VPN debe estar permitido en la zona necesaria bajo Administration > Device access.

Esto no significa que se deba abrir el Portal VPN sin pensar en todo el mundo. El Acceso Remoto es una superficie de ataque accesible públicamente. Para entornos productivos, también se debe verificar:

• certificado público válido
• MFA y Acceso Condicional en Entra ID
• limitación de países o fuentes lo más estrecha posible, si es realista
• registro y revisión de intentos de inicio de sesión
• desactivación clara de usuarios que ya no se necesitan

El endurecimiento de los servicios locales del firewall se describe en Device Access y Local Service ACL en Sophos Firewall.

Si ya se producen muchos inicios de sesión fallidos, orígenes distribuidos o bloqueos de cuentas de Entra, Detectar y contener ataques de fuerza bruta contra VPN Portal combina los logs del firewall con la revisión de Entra, una restricción ACL segura y la comprobación posterior.

Permitir URLs de inicio de sesión de Microsoft

Los clientes y las rutas de firewall afectadas deben poder alcanzar los endpoints de Microsoft Entra ID. Esto incluye varias URLs de inicio de sesión y CDN de Microsoft, como login.microsoftonline.com, login.microsoft.com, *.login.live.com, *.msauth.net y otros dominios de Azure/Microsoft Online.

En entornos restrictivos, no se debe descubrir durante el despliegue que las páginas de inicio de sesión, JavaScript o los endpoints de tokens están bloqueados. Es recomendable:

• Verificar la lista de URLs de Microsoft en la documentación actual de Sophos y Microsoft.
• Nombrar correctamente los Hosts FQDN o los Grupos de Hosts FQDN.
• Establecer conscientemente una regla de firewall para DNS y HTTPS.
• En caso de un proxy web directo, verificar también las excepciones web.
• Activar el registro hasta que el inicio de sesión SSO funcione de manera estable.

Verificar grupos y permisos de VPN

SSO por sí solo no otorga acceso a VPN. El usuario también debe estar permitido en la configuración de Acceso Remoto correspondiente.

Para verificar:

• El grupo Entra se ha importado al firewall o se ha mapeado correctamente.
• El grupo está seleccionado en Acceso Remoto IPsec bajo Allowed users and groups.
• El grupo está seleccionado en SSL VPN bajo Policy members.
• Las reglas de firewall permiten el tráfico desde la zona VPN solo a los destinos necesarios.
• El usuario no solo está autenticado, sino que también recibe la política esperada.

Si el túnel está conectado pero no fluye tráfico, a menudo no es SSO la causa, sino las reglas, el enrutamiento, DNS o NAT. Para el análisis, consulte Probar reglas de firewall con Log Viewer, Policy Test y Packet Capture.

Verificar UPN, correo electrónico y coincidencia de grupos

Con Microsoft Entra ID SSO, se debe verificar especialmente la identidad del usuario y la coincidencia de grupos. Un inicio de sesión puede ser exitoso en el proveedor de identidad y aun así estar mal asignado en el firewall si el UPN, la dirección de correo electrónico, el grupo importado o la identificación local del usuario no coinciden.

Esto es especialmente relevante en entornos donde los usuarios tienen valores históricos diferentes:

• Nombre principal de usuario: max.muster@example.com suele ser el nombre de inicio de sesión esperado.
• Dirección de correo electrónico: m.muster@example.com puede ser diferente y causar confusión durante la asignación o el inicio de sesión en el portal.
• Nombre para mostrar: Max Muster es legible para las personas, pero no sirve como identificador técnico.
• Grupo: VPN-Users debe importarse al firewall y utilizarse en la configuración de Acceso Remoto correcta.

El antiguo problema conocido NC-157635 provocaba que los inicios de sesión en el portal SSL VPN o IPsec fallaran cuando la dirección de correo electrónico y el UPN eran diferentes. Sophos lo corrigió en SFOS 21.0 MR2 Build 349, 21.5 MR1 Build 261 y 22.0 EAP0 Build 274. La comprobación de los atributos del usuario sigue siendo útil cuando solo hay problemas con determinadas cuentas, ya que permite detectar objetos de usuario locales o permisos de grupo que no coinciden.

Proceso de verificación práctica:

1. Abrir el usuario de prueba en Microsoft Entra ID.
2. Comparar UPN y dirección de correo electrónico.
3. Verificar si el usuario es miembro del grupo VPN planificado.
4. En el firewall, abrir el grupo importado y verificar si el usuario aparece como se espera.
5. En Authentication > Services, verificar si el servidor de Microsoft Entra ID correcto está seleccionado para el Portal VPN, SSL VPN e IPsec.
6. Realizar un inicio de sesión de prueba y verificar Log Viewer y oauth_sso_vpn.log.

Si solo se ven afectados usuarios individuales, es más probable que sea un problema de atributos o grupos que un error general del servidor Entra ID. Si todos los usuarios se ven afectados, primero verifique Tenant ID, Client ID, Client Secret, URIs de redirección, hora y endpoints de Microsoft.

Para las reglas de usuario después de un inicio de sesión VPN exitoso, además: La regla de firewall debe ver al usuario o grupo en el tráfico real. Si el túnel está activo, pero la regla de usuario planificada no coincide, consulte el análisis en La regla de Sophos Firewall no coincide: Verificar causas.

Probar Sophos Connect y aprovisionamiento

Para Sophos Connect: Después de la configuración de Entra ID o después de cambios en la configuración de SSO, la configuración del cliente debe importarse nuevamente.

Proceso de prueba:

1. Instalar el cliente actual de Sophos Connect en Windows.
2. Importar la configuración de aprovisionamiento o VPN adecuada.
3. Verificar si la opción SSO es visible y seleccionable en el cliente.
4. Iniciar sesión con Entra ID.
5. Activar MFA o Acceso Condicional según lo planeado y comprobar el resultado en los registros de inicio de sesión de Entra.
6. Verificar el estado del túnel.
7. Verificar IP de VPN, DNS, objetivos internos y coincidencia de reglas de firewall.
8. En un dispositivo compartido, probar un inicio de sesión SSO forzado nuevamente.

Para la última prueba, abrir el menú superior derecho del cliente Sophos Connect, seleccionar Force SSO re-login y confirmar con OK. Solo entonces el siguiente usuario tendrá que iniciar sesión con sus propias credenciales de Entra. Desconectar el túnel de forma normal no es equivalente. En dispositivos Windows compartidos, este paso también forma parte de un cambio de usuario correcto con firmware actual.

Para la instalación del cliente en Windows, consulte Instalar el cliente Sophos Connect en Windows. Para SSL VPN con Sophos Connect, consulte además Configurar Sophos SSL VPN con Sophos Connect en Windows.

Operación y seguridad

Entra ID SSO desplaza la seguridad de inicio de sesión más hacia el proveedor de identidad. Esto es bueno si Entra ID se gestiona correctamente. Es problemático si los grupos, el Acceso Condicional o los secretos de la aplicación se gestionan de manera descuidada.

En operación, estos puntos deben verificarse regularmente:

• El secreto de la aplicación no expira inesperadamente.
• Los grupos Entra solo contienen usuarios autorizados.
• El Acceso Condicional se aplica para el Acceso Remoto.
• Los accesos de emergencia y de respaldo están documentados.
• El Portal VPN es accesible solo en la medida necesaria.
• Las versiones de Sophos Connect están actualizadas.
• Los perfiles de cliente antiguos se retiran después de los cambios.
• Los registros se verifican temprano en caso de problemas de inicio de sesión.

Para el lado del cliente, también debe existir un proceso de actualización propio. El artículo Verificar y actualizar de manera segura la versión del cliente Sophos Connect resume qué temas de Windows, macOS, SSO, OTP y aprovisionamiento deben verificarse antes de un despliegue.

Solución de problemas

El botón SSO no es utilizable en el cliente Sophos Connect

Si el cliente informa que SSO no está configurado, primero pruebe la conexión al servidor de Microsoft Entra ID en el firewall. Luego, en Authentication > Services, verifique si el servidor Entra ID está configurado correctamente para SSL VPN o IPsec y el Portal VPN.

El usuario no puede iniciar sesión en el Portal VPN

Entonces, SSO puede funcionar en general, pero falta el permiso de VPN. Verifique si el grupo Entra está incluido en la configuración de Acceso Remoto IPsec bajo Allowed users and groups o en SSL VPN bajo Policy members.

Solo algunos usuarios no pueden iniciar sesión

Entonces, primero verifique UPN, dirección de correo electrónico, membresía de grupo y grupo importado en el firewall. Especialmente para usuarios con direcciones de correo electrónico diferentes, nombres cambiados o cuentas migradas, la identificación técnica puede ser diferente a la esperada.

Microsoft informa un tenant o aplicación incorrecta

Entonces, a menudo no coinciden los métodos de autenticación, la aplicación Entra, Tenant ID o la selección del servidor en el firewall. Especialmente con varios servidores Entra ID, se debe verificar si el Portal VPN, SSL VPN e IPsec utilizan el mismo servidor esperado.

La redirección o el inicio de sesión termina en una página de error

Comparar FQDN, certificado, DNS público, URI de redirección y valor de gateway del archivo de aprovisionamiento. Incluso pequeñas discrepancias en el nombre de host, puerto o ruta pueden interrumpir el flujo OAuth/OIDC.

Test connection falla con un error x509

Si oauth_sso_vpn.log muestra el error x509: certificate signed by unknown authority, puede faltar una CA raíz o intermedia en la cadena de certificados hacia Microsoft Entra ID. El problema conocido NC-176806 se corrigió en SFOS 22.0 MR2 Build 546; otras cadenas de certificados incompletas o errores TLS siguen siendo posibles.

En la Advanced Shell se puede comprobar la cadena proporcionada por Microsoft:

openssl s_client -connect login.microsoftonline.com:443 -showcerts

1. Comprobar la cadena de certificados y el emisor en la salida.
2. Obtener únicamente la CA raíz o intermedia que falta de una fuente de confianza. No importar un certificado de servidor como CA.
3. Añadir y aplicar la CA en Certificates > Certificate Authority.
4. Abrir el servidor Entra ID en Authentication > Servers y volver a ejecutar Test connection.
5. Solo si la prueba sigue fallando, reiniciar el servicio VPN SSO en la Advanced Shell:

service oauth_sso_vpn:restart -ds nosync

Después, volver a ejecutar Test connection. El reinicio del servicio es un último paso opcional, no la primera medida ante un error x509.

La importación de grupos no funciona

Verificar la hora del firewall, datos del tenant, permisos de la aplicación, secreto del cliente y accesibilidad de los endpoints de Microsoft. Si los grupos locales existentes no coinciden con los grupos Entra, se debe decidir si se limpian, mapean o gestionan manualmente.

La conexión está activa, pero los sistemas internos no son accesibles

Entonces, probablemente la autenticación ya no sea el error principal. Verificar IP de VPN, DNS, reglas de firewall, NAT, enrutamiento y sistema de destino. En el Log Viewer debería ser visible qué regla afecta el tráfico desde la zona VPN.

Lista de verificación

• La aplicación Entra con Client ID, Tenant ID y Client Secret está documentada.
• Las URIs de redirección para el Portal VPN y el Acceso Remoto están registradas en Entra ID.
• FQDN público, certificado y gateway de aprovisionamiento coinciden.
• El Portal VPN está permitido conscientemente bajo Device Access.
• Las URLs de inicio de sesión de Microsoft son accesibles.
• Los servicios de autenticación utilizan el servidor Entra ID correcto.
• Los grupos de VPN están importados y permitidos en las políticas de SSL/IPsec.
• UPN, dirección de correo electrónico y membresía de grupo se verificaron con un usuario de prueba.
• Sophos Connect 2.4 o posterior está en uso en Windows.
• Los perfiles de cliente se importaron nuevamente después de los cambios.
• Entra-MFA y Acceso Condicional se verificaron con un usuario de prueba.
• oauth_sso_vpn.log, Log Viewer y registros del servidor de acceso son conocidos para la solución de problemas.

Preguntas frecuentes