Sophos Firewall User-ID-Limit prüfen und AD-Benutzer bereinigen

Wenn neue oder einzelne Benutzer nicht mehr authentifiziert werden, obwohl Verzeichnis, Gruppe und Kennwort stimmen, kann die interne User ID der Sophos Firewall die Ursache sein. Sophos nennt zusätzlich Fälle, in denen betroffene Benutzer keine .ovpn-Konfiguration aus dem VPN Portal herunterladen können.

Sophos dokumentiert für Benutzer und Gruppen einen gemeinsamen internen ID-Bereich bis 65535. Benutzer mit einer höheren ID werden nicht authentifiziert und können nicht als Live User erscheinen. Das Fehlerbild allein beweist das Limit jedoch nicht; entscheidend ist die tatsächlich zugewiesene ID.

Die aktuellen Sophos-Hilfeseiten zählen diesen Bereich unterschiedlich: Authentication > Users nennt maximal 65'535 User IDs, Current activities > Live users nennt 65'536. Für die Diagnose bleibt die belastbare Grenze in beiden Darstellungen gleich: 65535 ist unterstützt, ein Wert darüber nicht.

User-ID-Limit schnell prüfen

Die konkrete ID ist im WebAdmin sichtbar:

1. Authentication > Users öffnen.
2. Show additional properties wählen und User ID einblenden.
3. Den betroffenen Benutzer suchen und seine ID notieren.
4. Falls möglich, einen funktionierenden Benutzer aus derselben Gruppe als Vergleich prüfen.
5. Unter Current activities > Live users kontrollieren, ob der Benutzer nach einer Anmeldung erscheint.

Die Auswertung ist eindeutig:

• User ID bis 65535: Das dokumentierte Limit ist für diesen Benutzer nicht überschritten. Die allgemeine Authentifizierungsdiagnose führt danach durch Server, Dienst, Live Users, Gruppe, MFA, Portal und späteren Traffic-Pfad.
• User ID über 65535: Das Benutzerobjekt liegt ausserhalb des unterstützten Bereichs. Die Firewall authentifiziert diesen Benutzer nicht. Sophos nennt einen fehlenden .ovpn-Download zusätzlich als mögliches Funktionsproblem.
• Benutzer fehlt in der Liste: Benutzer externer Authentifizierungsserver erscheinen hier normalerweise erst nach ihrer ersten erfolgreichen Anmeldung an einem Firewall-Dienst. Zuerst den eigentlichen Authentifizierungsweg prüfen.

⚠️ Die Anzahl sichtbarer Benutzer reicht für die Diagnose nicht aus. Gruppen belegen ebenfalls IDs, und Lücken in der Nummerierung sind möglich. Erst die Spalte User ID zeigt, ob der konkrete Benutzer betroffen ist.

Ein nachweislich erfolgreicher Login am VPN Portal spricht gegen das User-ID-Limit als Hauptursache. Fehlt danach die .ovpn, bleibt sie leer oder lässt sie sich nicht erzeugen, trennt Sophos Firewall: .ovpn fehlt oder hat 0 Byte Policy-, Benutzer-, Zertifikats- und Systemfehler. Das User-ID-Limit ist dabei nur ein möglicher Diagnosezweig.

Was die interne User ID bedeutet

Die User ID ist die interne numerische Zuordnung eines Benutzer- oder Gruppenobjekts auf der Firewall. Sie ist weder ein Active-Directory-SID noch eine Microsoft Entra Object ID und auch nicht die Funktion Synchronized user ID authentication.

Ein einfaches Beispiel zeigt die Grenze:

• 60000 liegt im unterstützten Bereich.
• 65535 ist die letzte unterstützte ID.
• 65536 liegt bereits ausserhalb des unterstützten Bereichs.

Benutzer von Active Directory, RADIUS und anderen externen Authentifizierungsservern werden nicht vollständig im Voraus importiert. Ihr lokaler Datensatz entsteht in der Regel, wenn sie sich erstmals an einem Dienst der Firewall authentifizieren. Gruppen und bereits vorhandene Benutzerobjekte verbrauchen denselben ID-Bereich.

Auch manuell angelegte Clientless Users gehören zur lokalen Identitätsstruktur. Ihr sicherer Einrichtungs- und Testablauf steht unter Clientless Users auf Sophos Firewall einrichten; eine hohe Objektzahl allein beweist jedoch weiterhin kein User-ID-Problem.

Sophos empfiehlt, nicht mehr benötigte Benutzer und Gruppen zu löschen, damit freie IDs wiederverwendet werden können. Daraus folgt aber keine automatische Neunummerierung: Wenn alte Objekte gelöscht werden, erhält ein bereits bestehender Benutzer mit einer zu hohen ID nicht dokumentiert und garantiert sofort eine tiefere Nummer.

Vor der Bereinigung Abhängigkeiten prüfen

Eine Benutzer- oder Gruppenbereinigung greift in die Identitäts- und Policy-Struktur ein. Vor einer grösseren Änderung sollte ein aktuelles Firewall-Backup vorhanden sein. Zusätzlich braucht es eine Liste der Objekte, die entfernt werden sollen, ihrer User IDs und ihrer bekannten Verwendungen.

Für jeden Benutzer und jede Gruppe sind mindestens folgende Abhängigkeiten zu prüfen:

• SSL-VPN- und IPsec-Remote-Access-Policies;
• benutzerbasierte Firewall-, Web- und Application-Policies;
• MFA-, OTP- oder Token-Zuordnungen;
• Main Group und weitere Gruppenmitgliedschaften;
• SSL/TLS-Inspection-Regeln;
• Verzeichnisquelle und Verhalten beim nächsten Login.

Objekte werden nicht allein wegen eines hohen Alters oder einer hohen ID gelöscht. Zuerst kommen eindeutig veraltete Testkonten, ausgeschiedene Benutzer und ungenutzte Gruppen. Produktive Identitäten werden nicht blind entfernt und neu angelegt.

AD-Benutzer kontrolliert bereinigen

Purge AD users richtig verwenden

Purge AD users entfernt lokale Datensätze von AD-Benutzern, die im Active Directory bereits gelöscht wurden. Eine Auswahl einzelner Benutzer ist dafür nicht nötig: Die Firewall gleicht die Datensätze mit dem AD ab und entfernt nur Benutzer, die dort nicht mehr vorhanden sind.

Der sichere Ablauf:

1. Prüfen, ob der konfigurierte AD-Server erreichbar ist und Anmeldungen normal verarbeitet.
2. Nicht mehr benötigte Benutzer zuerst im Active Directory löschen.
3. Auf der Firewall Authentication > Users öffnen.
4. Purge AD users ausführen.
5. Kontrollieren, ob ausschliesslich die erwarteten Datensätze verschwunden sind.

Ein im AD nur deaktiviertes, aber weiterhin vorhandenes Konto wird durch diesen Ablauf nicht automatisch entfernt. Wird der lokale Datensatz eines weiterhin im AD vorhandenen Benutzers auf der Firewall entfernt, kann er bei einer späteren Anmeldung erneut entstehen. Die Konfiguration und den Gruppenimport erklärt Active Directory auf Sophos Firewall einrichten.

In einem HA-Cluster wird Purge AD users auf dem Primary-Gerät gestartet. Die Firewall entfernt die Datensätze auf Primary und Auxiliary; das Ergebnis sollte auf beiden Geräten geprüft werden. Sophos dokumentiert, dass der Purge Anmelde-, Abmelde- und Accounting-Ereignisse nicht unterbricht. Daraus folgt jedoch keine Garantie für jede aktive VPN-Sitzung. Bei sehr grossen Bereinigungen sind ein Wartungsfenster, Monitoring der Authentifizierung und ein Rückfallplan sinnvoll.

Lokale Benutzer und Gruppen bereinigen

Lokale Benutzer, Testkonten und nicht mehr benötigte Gruppen werden gezielt unter Authentication > Users beziehungsweise Authentication > Groups gelöscht. Purge AD users bereinigt keine AD-Gruppen. Eine nicht mehr benötigte AD-Gruppe wird zuerst im AD und danach separat auf der Firewall entfernt.

Die Bereinigung erfolgt in kleinen, nachvollziehbaren Schritten:

1. Eindeutig veraltete Objekte und ihre Referenzen dokumentieren.
2. Referenzen aus Regeln, VPN-Policies oder anderen Konfigurationen kontrolliert entfernen oder ersetzen.
3. Eine kleine Gruppe nicht mehr benötigter Objekte löschen.
4. Produktive Anmeldung, Gruppen- und Policy-Zuordnung sowie MFA testen.
5. Erst danach mit dem nächsten Bereinigungsschritt fortfahren.

Das Deaktivieren eines lokalen Kontos reicht nicht aus, wenn seine ID wiederverwendet werden soll. Breite Gruppenimporte sollten zudem auf die Gruppen begrenzt werden, die tatsächlich für VPN, Portale, Regeln oder Benutzer-Policies benötigt werden.

Ergebnis prüfen

Eine Bereinigung ist nicht allein deshalb erfolgreich, weil weniger Objekte sichtbar sind. Danach wird derselbe Benutzerweg erneut geprüft:

1. Unter Authentication > Users kontrollieren, ob nur die erwarteten AD-Datensätze entfernt wurden.
2. Im HA-Cluster das Ergebnis auf Primary und Auxiliary vergleichen.
3. Die User ID des betroffenen Kontos erneut einblenden.
4. Den Benutzer am tatsächlich betroffenen Dienst authentifizieren.
5. Unter Current activities > Live users und in den Authentifizierungslogs prüfen, ob die Anmeldung erfolgreich war.
6. Falls der ursprüngliche Fehler den VPN-Zugang betraf, danach VPN Portal, .ovpn-Download und Tunnel testen.
7. Eine repräsentative produktive AD-Anmeldung samt Gruppe, Policy und MFA gegenprüfen.

Bleibt die ID über 65535, ist das Limitproblem nicht gelöst. Das Löschen weiterer produktiver Objekte oder wiederholte Neuerstellen des betroffenen Kontos ist dann keine sichere Diagnose. Sinnvoller ist ein Sophos-Support-Fall mit Firmwarestand, Benutzerquelle, User ID, Zeitpunkt, Authentifizierungslog und dokumentierten Bereinigungsschritten.

User-ID-Probleme vermeiden

Benutzerhygiene sollte Teil des normalen Firewall-Betriebs sein:

• nur tatsächlich benötigte Verzeichnisgruppen importieren;
• ausgeschiedene Benutzer zuerst im Verzeichnis und danach auf der Firewall bereinigen;
• lokale Test- und Projektkonten nach ihrer Verwendung löschen;
• nach Verzeichnisumbauten alte Benutzer- und Gruppenobjekte prüfen;
• User IDs bei ungewöhnlichen Authentifizierungs- oder VPN-Portal-Problemen früh vergleichen;
• Main Groups, MFA und Policy-Abhängigkeiten dokumentieren;
• grössere Bereinigungen mit Backup, kleinem Änderungssatz und Funktionstest durchführen.

Die Firewall sollte nur die Identitäten kennen, die sie für Authentifizierung, Policies, Portale, Remote Access und Reporting wirklich benötigt. Sie ersetzt keinen sauberen Identity Lifecycle im Verzeichnisdienst.

FAQ