Naar de inhoud
Avanet

Sophos Firewall-gebruikersgroepen en de hoofdgroep correct beheren

Sophos Firewall

Gebruikersgroepen passen gemeenschappelijk beleid toe op geauthenticeerde gebruikers. Voordat u een groep wijzigt, moet u twee zaken vaststellen: waar de identiteit vandaan komt en of de betreffende functie alleen de Main Group of ook andere AD-groepen evalueert. Pas daarna kunt u bepalen of de groepsvolgorde, een beleidstoewijzing of de firewall- of VPN-regel zelf moet worden gewijzigd.

Beknopte procedure:

  1. Gebruikersbron en doel van de groep vaststellen.
  2. Een lokale groep aanmaken of de benodigde directorygroep gericht importeren.
  3. Onder Authentication > Services de werkzame Default group respectievelijk bij de Entra-server de Fallback user group controleren.
  4. Bij AD de volgorde onder Authentication > Groups > Reorder en de verwachte hoofdgroep documenteren.
  5. De pilotgebruiker afmelden en opnieuw aanmelden. Controleer vervolgens onder Authentication > Users > gebruiker > Policies de velden Group en Other group memberships.
  6. Test de betreffende functie met een bevoegde en een onbevoegde gebruiker. Controleer bij netwerkverkeer bovendien de verwachte Firewall Rule ID.

⚠️ Reorder is niet zomaar een sorteerfunctie. Bij AD-gebruikers kan een verplaatsing de hoofdgroep wijzigen en daarmee MFA, quota, toegangstijden, externe toegang en ander beleid voor veel gebruikers beïnvloeden. Noteer vooraf de volgorde, het groepsbeleid en de terugdraaiprocedure.

Het groepsmodel begrijpen

Een groep bevat gemeenschappelijk beleid en gemeenschappelijke instellingen. Een groep vervangt noch de authenticatie, noch een firewallregel. Een gebruiker kan daarom in de juiste groep zitten en toch geen toegang krijgen als de verwachte regel, het VPN-beleid, de zone, de route of de terugweg ontbreekt.

Stel bij een fout vier afzonderlijke vragen:

  1. Komt de identiteit uit de lokale database, Active Directory, LDAP, RADIUS, Microsoft Entra ID of een clientless-toewijzing?
  2. Welke groep is de hoofdgroep?
  3. Ondersteunt de betreffende functie verdere AD-groepslidmaatschappen?
  4. Welke regel of beleidsregel verwerkt het daadwerkelijke dataverkeer?

Lokale, geïmporteerde en clientloze groepen onderscheiden

Normal en Clientless zijn groepssoorten. Geïmporteerd beschrijft daarentegen de herkomst van een groep en is geen eigen Group type.

Een lokale groep van het type Normal is geschikt voor gebruikers die zich aanmelden. Lokale gebruikers krijgen hun groep in het gebruikersobject. Bij een externe gebruikersbron ontstaan de lokale gebruikersrecords doorgaans pas bij de eerste succesvolle aanmelding.

Gastgebruikers volgen een eigen tijdsgebonden verloop. Gastgebruikers aanmaken en veilig gebruiken op Sophos Firewall legt de standaardgroep, geldigheid, captive portal en opschoning uit.

AD- en Entra-groepen worden via de assistent van de betreffende server geïmporteerd. De directory blijft de bron van de lidmaatschappen; een lokale groep met dezelfde naam vervangt geen correcte import. De volledige AD-, LDAPS- en importprocedure wordt beschreven in Active Directory met Sophos Firewall verbinden.

Bij generiek LDAP moeten Base DN, Authentication attribute, Group name attribute, servervolgorde en Default group overeenkomen. Sophos raadt memberOf als groepsattribuut aan. LDAP-server verbinden met Sophos Firewall leidt u door deze configuratie.

Een groep van het type Clientless bundelt Clientless-gebruikers en hun gezamenlijke instellingen. Deze gebruikers melden zich niet via een client aan; de firewall regelt hun toegang op basis van het IP-adres. Het vaste IP-adres wordt bij de individuele Clientless-gebruiker opgeslagen, niet in het groepsobject. Clientless-gebruikers instellen op Sophos Firewall beschrijft IP-toewijzing, regel en negatieve test.

Default Group en Entra-Fallback niet gelijkstellen

Onder Authentication > Services > Firewall authentication methods specificeert Default group welke groep een gebruiker van een externe authenticatieserver krijgt toegewezen wanneer geen van zijn directorygroepen als lokale groep aanwezig is. In de fabrieksinstelling is dit Open group. Controleer de huidige waarde in plaats van de standaard aan te nemen. Voor productieomgevingen raadt Avanet een afzonderlijke, restrictieve fallback-groep aan zonder onbedoelde VPN-, quotum- of aanmeldingsrechten.

Microsoft Entra ID SSO gebruikt de afzonderlijke Fallback user group in de Entra-serverconfiguratie. Dit geldt ook als de Entra-server onder Firewall authentication methods is geselecteerd. De algemene standaardgroep is in dit geval niet van toepassing.

De volgorde van de authenticatieservers is ook relevant. Sophos Firewall staat maximaal 20 servers per authenticatiemethode toe en stuurt verzoeken door in de getoonde volgorde. Gebruik deze volgorde niet als tijdelijke oplossing voor een groepsprobleem voordat u de betreffende server en de mapping hebt gecontroleerd.

Voorbeeld en beginsituatie plannen

Het voorbeeld gebruikt drie groepen met elk een afzonderlijke functie:

  • Local_Contractors: lokale pilotgroep voor enkele externe medewerkers;
  • SFOS_Internet_Standard: geïmporteerde AD-groep voor normale internettoegang;
  • SFOS_SSLVPN: geïmporteerde AD-groep voor een SSL-VPN-beleid.

auth-pilot@example.com dient als testaccount en de gelogde regel LAN-Users-to-WAN als verkeerstest. example.com is een gereserveerd documentatiedomein. Vervang de namen en gebruikers volgens uw eigen naamgevingsconventie. Een functiegerelateerde naam zoals SFOS_SSLVPN blijft ook na een reorganisatie begrijpelijk.

Noteer voor de wijziging:

  • huidige groepsvolgorde;
  • Default group en indien van toepassing Fallback user group;
  • groepsbeleid en gebruikersspecifieke overrides;
  • betrokken authenticatiediensten en VPN-beleid;
  • gecontroleerde beheerderstoegang en een tweede beheerpad, voor het geval de Main Group, MFA of aanmeldingsbeperkingen door de wijziging worden beïnvloed;
  • pilotgebruikers, verwachte Main Group en positieve en negatieve test.

Lokale gebruikersgroep aanmaken

Ga naar Authentication > Groups en klik op Add:

  1. Voer Local_Contractors in als groepsnaam.
  2. Kies bij Group type Normal.
  3. Selecteer alleen de benodigde gemeenschappelijke beleidsregels:
    • Surfing quota beperkt de gebruikstijd volgens periode en cyclus.
    • Access time staat terugkerende perioden toe of weigert deze.
    • Network traffic beperkt het overgedragen datavolume.
    • Traffic shaping wijst een QoS-beleid toe met prioriteit en bandbreedtelimieten.
  4. Stel SSL VPN policy, Clientless SSL VPN policy, L2TP, PPTP en IPsec remote access alleen in voor de daadwerkelijk geplande toegang. PPTP is geen optie voor nieuwe ontwerpen; L2TP blijft een beperkte compatibiliteitsoptie, zoals toegelicht in L2TP Remote Access op Sophos Firewall.
  5. Beperk Sign-in restriction indien mogelijk met Selected nodes of Node range tot de vereiste bronnen. Any node staat aanmelding vanuit elk netwerk toe.
  6. Schakel Quarantine digest en MAC binding alleen in als de groep deze functies nodig heeft.
  7. Klik op Save.

De veldnamen en hun werking worden door het product bepaald; de selectie hangt af van de omgeving. Een internettoegangsgroep heeft niet automatisch VPN, quota of MAC-binding nodig. Groepen met een duidelijk afgebakende functie zijn eenvoudiger te testen en terug te draaien.

Lokale gebruikers toewijzen en overrides herkennen

Normale lokale gebruikers aanmaken en beheren beschrijft gebruikersnaam, wachtwoord, groepsovererving en acceptatietests volledig. Lokale gebruikers kunnen onder Authentication > Users aan een groep worden toegewezen. In de groepsbewerking toont Show group members de leden; via Add member(s) voegt men geschikte lokale gebruikers toe. Bij extern beheerde identiteiten blijft daarentegen de directory de bron van het lidmaatschap.

Of een regel of beleid de gebruikers- of groepsinstellingen gebruikt, hangt af van de daadwerkelijke selectie van gebruikers en groepen. Controleer bij de gebruiker onder Policies of een eigen waarde is geselecteerd in plaats van de groepsinstelling. Als het groepsbeleid weer van toepassing moet zijn, herstel dan de eerder gedocumenteerde overervingsstatus en test alleen de betreffende functie opnieuw. Een override blijft zinvol als een goedgekeurde uitzondering uitdrukkelijk is gedocumenteerd.

Sophos onderscheidt twee gevallen voor de selectie in de betreffende regel of het betreffende beleid:

  • Alleen de groep geselecteerd: De firewall gebruikt de groepsinstellingen, niet automatisch de override van de gebruiker.
  • De gebruiker en diens groep geselecteerd: De firewall gebruikt de gebruikersinstellingen.

Een beperkte pilottest maakt het verschil zichtbaar: leg voor auth-pilot@example.com in Local_Contractors een groepswaarde A en een afwijkende gebruikerswaarde B vast voor dezelfde ondersteunde instelling. A en B zijn placeholders voor twee bewust geplande testwaarden in uw omgeving. Controleer in een geïsoleerde testregel of testbeleid met gebruikers- en groepsselectie eerst de daadwerkelijke selectie: alleen Local_Contractors betekent A; auth-pilot@example.com samen met Local_Contractors betekent B. Test de betreffende dienst of het gegevenspad telkens met een nieuwe aanmelding; controleer bij firewallverkeer ook de Firewall Rule ID. Herstel daarna de eerder genoteerde selectie en beide instellingen en test opnieuw. Verruim hiervoor geen productieregel en wijzig de groepsvolgorde niet.

Deze selectie is niet de volgorde van de Main Group. De hieronder beschreven beperkingen van de ondersteuning voor meerdere groepen en de combinatie van toepasselijke SSL-VPN-beleidsregels blijven gelden; dit betekent geen universele voorrang van gebruikersbeleid voor elke dienst.

De volledige configuratie van Access-Time-Policies, Surfing en Network Traffic Quotas evenals MFA voor Sophos Firewall wordt uitgelegd in de respectieve gespecialiseerde artikelen. In het groepsobject wordt slechts een reeds geplande policy toegewezen.

Directorygroepen gecontroleerd importeren

Active Directory-groepen

Ga naar Authentication > Servers en start de importwizard voor de geconfigureerde AD-server. In een HA-cluster moet de import op Primary plaatsvinden. De wizard importeert alleen de geselecteerde groepen. Een later in AD aangemaakte groep verschijnt daarom niet automatisch en moet opnieuw worden geïmporteerd.

Geneste AD-groepen worden niet geëvalueerd. Als een subgroep van toepassing moet zijn op een firewallregel of VPN-beleid, moet precies die subgroep worden geïmporteerd. De primaire AD-groep van een gebruiker wordt ook niet als normaal lidmaatschap overgenomen. Voor beleidsregels zijn daarom expliciete beveiligingsgroepen beter geschikt dan de AD-standaardgroep Domain Users.

Na wijzigingen in AD-lidmaatschappen, geïmporteerde groepen of de volgorde van de groepen, moet de gebruiker zich opnieuw aanmelden. Pas dan evalueert de firewall de groepen opnieuw en werkt het gebruikersobject bij.

Entra-groepen

Voor de Entra-groepsimport heeft de app-registratie in Microsoft Graph de Application Permission Group.Read.All met Admin Consent nodig. De klokken van de firewall en Microsoft Entra ID moeten gesynchroniseerd zijn; anders kan de verbinding mislukken.

Ga daarna naar Authentication > Servers en klik op de Microsoft-Entra-ID-server op de wizard voor het importeren van groepen. U kunt alle groepen importeren of alleen groepen waarvan de Display name of Description aan een filter voldoet. Surfing quota, Access time, Network traffic en Traffic shaping kunnen worden toegewezen aan alle of afzonderlijke geïmporteerde groepen. Nieuw geïmporteerde groepen moeten daarnaast worden opgenomen in de gebruikte IPsec-beleidsregels voor externe toegang of SSL-VPN-beleidsregels; de import alleen geeft geen VPN-toegang.

Hoofdgroep en meervoudige groepen correct evalueren

Open onder Authentication > Users de gebruiker en scroll naar Policies:

  • Group toont de eerste overeenkomende groep in de firewalllijst en daarmee de hoofdgroep.
  • Other group memberships toont andere geïmporteerde AD-groepen van de gebruiker.

Onder Authentication > Groups > Reorder kan de volgorde per drag-and-drop worden gewijzigd. Klik op Close om het dialoogvenster te sluiten. Behoort auth-pilot@example.com tot SFOS_Internet_Standard en SFOS_SSLVPN, dan wordt de hoger geplaatste bijbehorende groep bij de volgende aanmelding de Main Group.

Deze volgorde is niet alleen van invloed op de huidige fout. Controleer vóór een wijziging of de betrokken functie andere groepen ondersteunt. Anders kan een verplaatsing een VPN-geval oplossen en tegelijkertijd MFA, quota of toegangstijd voor andere gebruikers wijzigen.

Functies met ondersteuning voor meerdere AD-groepen

De volgende matrix geldt uitdrukkelijk voor Active Directory. Ga er niet zonder controle van uit dat deze ook geldt voor LDAP, RADIUS of Microsoft Entra ID.

Meerdere AD-groepen kunnen in aanmerking worden genomen bij:

  • Firewall rules en SSL/TLS inspection rules;
  • SD-WAN routes;
  • Web policies;
  • IPS en Application control policies;
  • Policy test;
  • Remote access SSL VPN;
  • Clientless SSL VPN.

Bij Remote access SSL VPN worden de rechten uit toepasselijk gebruikers- en groepsbeleid gecombineerd. Zodra een toepasselijke Full-Tunnel-Policy betrokken is, ontstaat een Full Tunnel. Controleer deze combinatie met een echte clienttest.

Alleen de hoofdgroep of een expliciete gebruikerstoewijzing wordt in aanmerking genomen bij:

  • WAF rules, My policy overrides en Hotspots;
  • Remote access IPsec VPN, L2TP en PPTP;
  • Surfing quota, Access time, Network traffic en Traffic shaping;
  • Quarantine digest, MAC binding en Sign-in restriction;
  • MFA.

Bij WAF, L2TP, PPTP en Remote access IPsec kan het gebruikersbeleid Enable worden weergegeven, hoewel de toestemming alleen afkomstig is van Other group memberships en de toegang daarom niet is toegestaan. Beoordeel deze diensten op basis van de Main Group of een directe gebruikerstoewijzing, niet alleen op basis van de weergave.

Bij functies met ondersteuning voor meerdere groepen blijft de volgorde van de betreffende regel of policy bepalend. Een firewallregel kan via SFOS_SSLVPN worden toegepast, hoewel SFOS_Internet_Standard de hoofdgroep is. Dit betekent niet dat MFA of Quota ook SFOS_SSLVPN gebruiken.

Groepswerking controleren

Een opgeslagen groep en een zichtbare gebruiker zijn nog geen bewijs van succes:

  1. Beëindig de bestaande sessie van de pilotgebruiker en meld de pilotgebruiker opnieuw aan.
  2. Noteer onder Authentication > Users > gebruiker > Policies de status, Group, Other group memberships en mogelijke overrides.
  3. Controleer onder Current activities > Live users de gebruikersnaam, bron-IP en Client Type.
  4. Activeer bij een gebruikersgebaseerde firewallregel de bedoelde datastroom en controleer in Log Viewer de Firewall Rule ID.
  5. Test Access Time, Quota, MFA en Remote Access elk via de daadwerkelijk getroffen dienst.
  6. Herhaal dezelfde poging met een gebruiker buiten de pilotgroep als negatieve test.

Open voor de quotacontrole Authentication > Users > gebruiker > View usage. Gebruikgegevens zijn alleen beschikbaar als een gebruikersgebaseerde firewallregel het verkeer verwerkt en Log firewall traffic is ingeschakeld.

Firewallregels controleren met Log Viewer, Policy Test en Packet Capture toont de volledige verkeerstest. Als de dienstkeuze, identiteit of Main Group al onduidelijk is, leidt Sophos Firewall-authenticatiefouten systematisch oplossen u door de volledige controleketen.

Wijzigingen terugdraaien en groepen opschonen

Wijzig telkens slechts één groepsbeleid of positie. Als de pilot een onverwacht effect vertoont, herstel de genoteerde volgorde en beleidstoewijzing, meld de gebruiker opnieuw aan en herhaal de positieve en negatieve test.

AD-groepen worden eerst in de directory en daarna afzonderlijk onder Authentication > Groups op de firewall verwijderd. Purge AD users ruimt geen groepen op.

Voor AD-gebruikers geldt:

  1. Verwijder de gebruiker eerst in AD. Zolang hij daar bestaat, kan de firewall hem bij een latere aanmelding opnieuw aanmaken.
  2. Klik onder Authentication > Users op Purge AD users. U hoeft de gebruikers niet van tevoren te selecteren; de firewall controleert de AD-server en verwijdert alleen gebruikers die daar al verwijderd zijn.
  3. Start het proces in HA op Primary. De records worden verwijderd op Primary en Auxiliary. De opschoning onderbreekt aanmelden, afmelden en User Accounting niet.

Een configuratie-export bevat geïmporteerde en lokaal aangemaakte AD-groepen, maar geen gebruikers van externe authenticatieservers. Een volledige back-up omvat daarentegen alle gebruikers en groepen. Houd rekening met deze beperking als de terugdraaiprocedure meer dan één beleidswijziging betreft.

Gebruikers en groepen delen het interne ID-bereik tot 65535. Een groot aantal zichtbare objecten alleen bewijst niet dat de limiet is bereikt. Als een gebruiker een User ID boven 65535 heeft en geen Live User wordt, past het proces bij de Sophos Firewall User-ID-limiet.

Fouten per symptoom afbakenen

Meld de betreffende gebruiker na elke correctie opnieuw aan en controleer Group evenals Other group memberships. Daarna volstaat voor elk symptoom één gerichte volgende stap.

Nieuwe AD-groep verschijnt niet

Start de importassistent van de AD-server opnieuw en voer deze uit in HA op de Primary. Controleer vervolgens onder Authentication > Groups of precies de benodigde groep aanwezig is. Maak geen brede vervangingsgroep aan, alleen zodat een aanmelding werkt.

LDAP-gebruiker belandt in de standaardgroep

Controleer op de LDAP-server Base DN, Authentication attribute en Group name attribute, daarna onder Authentication > Services de servervolgorde en Default group. Voer Test connection uit voor de LDAP-server. De AD-importassistent is niet verantwoordelijk voor deze mapping.

Entra-gebruiker komt in de fallback-groep terecht

Controleer of de Entra-groep is geïmporteerd en of de token de verwachte groep levert. Controleer daarna de Fallback user group direct op de Entra-server. De algemene Default group onder Authentication > Services wordt voor deze mapping niet gebruikt.

Gebruiker heeft de verkeerde hoofdgroep

Vergelijk AD-lidmaatschappen, geïmporteerde groepen en de huidige volgorde. Controleer de nieuwe volgorde pas na de volgende aanmelding en met meerdere representatieve gebruikers.

Firewallregel treedt in werking, maar MFA of quotum niet

Firewallregels ondersteunen andere AD-groepen, MFA en quota daarentegen niet. Controleer onder Authentication > Users > gebruiker > Policies de hoofdgroep, mogelijke overrides en de werkelijke beleidstoewijzing. Het effect van de regel bewijst niet dat MFA of quota dezelfde groep evalueren.

Groepswijziging werkt alleen bij één gebruiker niet

Vergelijk de gebruikersspecifieke beleidsvelden en de daadwerkelijke selectie van gebruikers en groepen in de betreffende regel of het betreffende beleid: alleen de groep selecteren gebruikt groepswaarden; de gebruiker en diens groep selecteren gebruikt gebruikerswaarden. Controleer ook de functiebeperkingen voor de hoofdgroep en meerdere groepen. Herstel de groepswaarde alleen als de gedocumenteerde uitzondering niet langer nodig is.

Genestelde AD-groep werkt niet

Importeer de benodigde subgroep zelf en neem de gebruiker daar direct op. Alleen de bovenliggende groep importeren is niet voldoende.