Verificare il limite User ID e ripulire gli utenti AD

Se utenti nuovi o specifici non vengono più autenticati nonostante directory, gruppo e password siano corretti, la causa può essere la User ID interna di Sophos Firewall. Sophos segnala inoltre casi in cui gli utenti interessati non riescono a scaricare una configurazione .ovpn dal VPN Portal.

Sophos documenta per utenti e gruppi un intervallo di ID interno condiviso fino a 65535. Gli utenti con un’ID superiore non vengono autenticati e non possono apparire come Live Users. Il solo sintomo, tuttavia, non dimostra il raggiungimento del limite; è determinante l’ID effettivamente assegnata.

Le attuali pagine della guida Sophos conteggiano questo intervallo in modo diverso: Authentication > Users indica un massimo di 65.535 User ID, mentre Current activities > Live users ne indica 65.536. Per la diagnosi, il limite affidabile rimane uguale in entrambe le descrizioni: 65535 è supportato, un valore superiore no.

Verificare rapidamente il limite User ID

L’ID specifica è visibile in WebAdmin:

1. Aprire Authentication > Users.
2. Selezionare Show additional properties e visualizzare User ID.
3. Cercare l’utente interessato e annotarne l’ID.
4. Se possibile, verificare per confronto un utente funzionante dello stesso gruppo.
5. In Current activities > Live users, controllare se l’utente appare dopo l’accesso.

L’interpretazione è chiara:

• User ID fino a 65535: Il limite documentato non è superato per questo utente. La diagnostica generale dell’autenticazione guida quindi nella verifica di server, servizio, Live Users, gruppo, MFA, portale e successivo percorso del traffico.
• User ID superiore a 65535: L’oggetto utente è fuori dall’intervallo supportato. Il firewall non autentica questo utente. Sophos indica inoltre l’assenza del download .ovpn come possibile problema funzionale.
• L’utente non compare nell’elenco: Gli utenti di server di autenticazione esterni di norma compaiono qui solo dopo il primo accesso riuscito a un servizio del firewall. Verificare prima il percorso di autenticazione effettivo.

⚠️ Il numero di utenti visibili non basta per la diagnosi. Anche i gruppi occupano ID e la numerazione può contenere lacune. Solo la colonna User ID mostra se l’utente specifico è interessato.

Un accesso al VPN Portal dimostrabilmente riuscito indica che il limite User ID non è la causa principale. Se il file .ovpn è assente, rimane vuoto o non può essere generato, Sophos Firewall: file .ovpn assente o da 0 byte distingue gli errori di policy, utente, certificato e sistema. Il limite User ID è solo uno dei possibili rami della diagnosi.

Significato della User ID interna

La User ID è l’assegnazione numerica interna di un oggetto utente o gruppo sul firewall. Non è né un SID di Active Directory né un Microsoft Entra Object ID e non è neppure la funzione Synchronized user ID authentication.

Un semplice esempio mostra il limite:

• 60000 rientra nell’intervallo supportato.
• 65535 è l’ultima ID supportata.
• 65536 è già fuori dall’intervallo supportato.

Gli utenti di Active Directory, RADIUS e altri server di autenticazione esterni non vengono importati completamente in anticipo. Il relativo record locale viene generalmente creato quando si autenticano per la prima volta a un servizio del firewall. I gruppi e gli oggetti utente già esistenti consumano lo stesso intervallo di ID.

Anche i Clientless Users creati manualmente fanno parte della struttura locale delle identità. Configurare Clientless Users su Sophos Firewall mostra la procedura sicura di configurazione e test; tuttavia, un numero elevato di oggetti da solo non dimostra ancora un problema di User ID.

Sophos consiglia di eliminare utenti e gruppi non più necessari affinché le ID liberate possano essere riutilizzate. Ciò non implica però una rinumerazione automatica: L’eliminazione di vecchi oggetti non documenta né garantisce che un utente esistente con un’ID troppo elevata riceva immediatamente un numero inferiore.

Verificare le dipendenze prima della pulizia

La pulizia di utenti o gruppi interviene nella struttura di identità e policy. Prima di una modifica importante deve essere disponibile un backup aggiornato del firewall. Serve inoltre un elenco degli oggetti da rimuovere, delle relative User ID e degli utilizzi noti.

Per ogni utente e gruppo occorre verificare almeno le seguenti dipendenze:

• policy SSL VPN e IPsec Remote Access;
• policy firewall, web e applicazioni basate sugli utenti;
• assegnazioni MFA, OTP o token;
• Main Group e altre appartenenze a gruppi;
• regole di ispezione SSL/TLS;
• origine della directory e comportamento al successivo accesso.

Gli oggetti non vengono eliminati solo perché vecchi o perché hanno un’ID elevata. Si inizia da account di test chiaramente obsoleti, utenti non più presenti in azienda e gruppi inutilizzati. Le identità di produzione non vengono rimosse e ricreate senza verifiche.

Ripulire gli utenti AD in modo controllato

Usare correttamente Purge AD users

Purge AD users rimuove i record locali degli utenti AD già eliminati da Active Directory. Non è necessario selezionare singoli utenti: Il firewall confronta i record con AD e rimuove soltanto gli utenti che non esistono più.

La procedura sicura è:

1. Verificare che il server AD configurato sia raggiungibile e gestisca normalmente gli accessi.
2. Eliminare prima da Active Directory gli utenti non più necessari.
3. Sul firewall aprire Authentication > Users.
4. Eseguire Purge AD users.
5. Controllare che siano scomparsi esclusivamente i record previsti.

Un account solo disabilitato in AD, ma ancora esistente, non viene rimosso automaticamente da questa procedura. Se dal firewall viene eliminato il record locale di un utente ancora presente in AD, questo può essere ricreato durante un accesso successivo. Configurare Active Directory su Sophos Firewall spiega la configurazione e l’importazione dei gruppi.

In un cluster HA, Purge AD users viene avviato sul dispositivo Primary. Il firewall rimuove i record su Primary e Auxiliary; il risultato deve essere verificato su entrambi i dispositivi. Sophos documenta che la pulizia non interrompe gli eventi di accesso, disconnessione e accounting. Ciò non garantisce però il comportamento di ogni sessione VPN attiva. Per pulizie molto estese sono consigliabili una finestra di manutenzione, il monitoraggio dell’autenticazione e un piano di ripristino.

Ripulire utenti locali e gruppi

Gli utenti locali, gli account di test e i gruppi non più necessari vengono eliminati in modo mirato in Authentication > Users o Authentication > Groups. Purge AD users non ripulisce i gruppi AD. Un gruppo AD non più necessario viene rimosso prima in AD e poi separatamente sul firewall.

La pulizia si svolge in piccoli passaggi tracciabili:

1. Documentare gli oggetti chiaramente obsoleti e i relativi riferimenti.
2. Rimuovere o sostituire in modo controllato i riferimenti in regole, policy VPN o altre configurazioni.
3. Eliminare un piccolo insieme di oggetti non più necessari.
4. Testare accesso di produzione, assegnazione di gruppi e policy e MFA.
5. Solo dopo procedere con il passaggio di pulizia successivo.

Disabilitare un account locale non basta se la relativa ID deve essere riutilizzata. Anche le importazioni estese di gruppi devono essere limitate ai gruppi effettivamente necessari per VPN, portali, regole o policy utente.

Verificare il risultato

Una pulizia non è riuscita soltanto perché sono visibili meno oggetti. In seguito occorre verificare nuovamente lo stesso percorso utente:

1. In Authentication > Users, controllare che siano stati rimossi solo i record AD previsti.
2. In un cluster HA, confrontare il risultato su Primary e Auxiliary.
3. Visualizzare nuovamente la User ID dell’account interessato.
4. Autenticare l’utente al servizio effettivamente interessato.
5. In Current activities > Live users e nei log di autenticazione, verificare che l’accesso sia riuscito.
6. Se l’errore iniziale riguardava l’accesso VPN, testare poi VPN Portal, download .ovpn e tunnel.
7. Verificare per confronto un accesso AD rappresentativo in produzione, inclusi gruppo, policy e MFA.

Se l’ID rimane superiore a 65535, il problema del limite non è risolto. Eliminare altri oggetti di produzione o ricreare ripetutamente l’account interessato non è un metodo diagnostico sicuro. È più opportuno aprire un caso con Sophos Support indicando versione firmware, origine utente, User ID, orario, log di autenticazione e passaggi di pulizia documentati.

Evitare problemi con le User ID

L’igiene degli utenti deve far parte della normale gestione del firewall:

• importare solo i gruppi di directory effettivamente necessari;
• ripulire gli utenti non più presenti prima nella directory e poi sul firewall;
• eliminare gli account locali di test e progetto dopo l’utilizzo;
• verificare i vecchi oggetti utente e gruppo dopo ristrutturazioni della directory;
• confrontare tempestivamente le User ID in caso di problemi insoliti di autenticazione o VPN Portal;
• documentare Main Group e dipendenze di MFA e policy;
• eseguire le pulizie più estese con backup, un piccolo insieme di modifiche e un test funzionale.

Il firewall deve conoscere solo le identità realmente necessarie per autenticazione, policy, portali, Remote Access e reporting. Non sostituisce un corretto ciclo di vita delle identità nel servizio di directory.

FAQ