Sophos Firewall-gebruikersgroepen en de hoofdgroep correct beheren

Gebruikersgroepen bundelen gemeenschappelijk beleid voor geauthenticeerde gebruikers. Voordat u een groep wijzigt, moet u twee zaken vaststellen: waar de identiteit vandaan komt en of de betreffende functie alleen de Main Group of ook andere AD-groepen evalueert. Pas daarna kunt u bepalen of de groepsvolgorde, een beleidstoewijzing of de firewall- of VPN-regel zelf moet worden gewijzigd.

Beknopte procedure:

Gebruikersbron en doel van de groep vaststellen.
Een lokale groep aanmaken of de benodigde directorygroep gericht importeren.
Onder Authentication > Services de effectieve Default group respectievelijk bij de Entra-server de Fallback user group controleren.
Bij AD de volgorde onder Authentication > Groups > Reorder en de verwachte Main Group documenteren.
De pilotgebruiker afmelden en opnieuw aanmelden. Controleer vervolgens onder Authentication > Users > gebruiker > Policies de velden Group en Other group memberships.
Test de betreffende functie met een bevoegde en een onbevoegde gebruiker. Controleer bij netwerkverkeer bovendien de verwachte Firewall Rule ID.

⚠️ Reorder is niet zomaar een sorteerfunctie. Bij AD-gebruikers kan een verplaatsing de Main Group wijzigen en daarmee MFA, quota, toegangstijden, externe toegang en ander beleid voor veel gebruikers beïnvloeden. Noteer vooraf de volgorde, het groepsbeleid en de terugdraaiprocedure.

Het groepsmodel begrijpen

Een groep bevat gemeenschappelijk beleid en gemeenschappelijke instellingen. Een groep vervangt noch de authenticatie, noch een firewallregel. Een gebruiker kan daarom in de juiste groep zitten en toch geen toegang krijgen als de verwachte regel, het VPN-beleid, de zone, de route of de terugweg ontbreekt.

Stel bij een fout vier afzonderlijke vragen:

Komt de identiteit uit de lokale database, Active Directory, LDAP, RADIUS, Microsoft Entra ID of een clientless-toewijzing?
Welke groep is de Main Group?
Ondersteunt de betreffende functie verdere AD-groepslidmaatschappen?
Welke regel of welk beleid verwerkt het daadwerkelijke dataverkeer?

Lokale, geïmporteerde en clientless-groepen onderscheiden

Normal en Clientless zijn groepssoorten. Geïmporteerd beschrijft daarentegen de herkomst van een groep en is geen eigen Group type.

Een lokale groep van het type Normal is geschikt voor gebruikers die zich aanmelden. Lokale gebruikers krijgen hun groep in het gebruikersobject. Bij een externe gebruikersbron ontstaan de lokale gebruikersrecords doorgaans pas bij de eerste succesvolle aanmelding.

Gastgebruikers volgen een eigen tijdsgebonden verloop. Gastgebruikers aanmaken en veilig gebruiken op Sophos Firewall legt de standaardgroep, geldigheid, captive portal en opschoning uit.

AD- en Entra-groepen worden via de assistent van de betreffende server geïmporteerd. De directory blijft de bron van de lidmaatschappen. Voor AD documenteert Sophos als alternatief ook het handmatig aanmaken van de groep in zowel AD als op de firewall. Ook daarbij moeten de groepstoewijzing en rechten na een nieuwe aanmelding worden gecontroleerd. De volledige AD-, LDAPS- en importprocedure wordt beschreven in Active Directory met Sophos Firewall verbinden.

Bij generiek LDAP moeten Base DN, Authentication attribute, Group name attribute, servervolgorde en Default group overeenkomen. Sophos raadt memberOf als groepsattribuut aan. LDAP-server verbinden met Sophos Firewall leidt u door deze configuratie.

Een groep van het type Clientless bundelt clientless-gebruikers en hun gezamenlijke instellingen. Deze gebruikers melden zich niet via een client aan; de firewall regelt hun toegang op basis van het IP-adres. Het vaste IP-adres wordt bij de individuele clientless-gebruiker opgeslagen, niet in het groepsobject. Clientless-gebruikers instellen op Sophos Firewall beschrijft IP-toewijzing, regel en negatieve test.

Default Group en Entra-fallback niet gelijkstellen

Onder Authentication > Services > Firewall authentication methods bepaalt Default group welke groep een gebruiker van een externe authenticatieserver krijgt toegewezen wanneer geen van zijn directorygroepen als lokale groep aanwezig is. In de fabrieksinstelling is dit Open group. Controleer de huidige waarde in plaats van de standaard aan te nemen. Voor productieomgevingen raadt Avanet een afzonderlijke, restrictieve fallback-groep aan zonder onbedoelde VPN-, quotum- of aanmeldingsrechten.

Tegenstrijdige AD-beschrijvingen over de eerste aanmelding: De AD-installatiehandleiding beschrijft dat gebruikers bij de eerste aanmelding automatisch aan de Default Group worden toegevoegd; de AD-FAQ noemt de Default Group daarentegen alleen voor het geval dat geen van de AD-groepen van de gebruiker op de firewall aanwezig is. Het AD-serveroverzicht noemt voor gebruikers die alleen tot een OU behoren en niet tot een directorygroep expliciet Open group, terwijl het groepenoverzicht en de FAQ naar de geconfigureerde Default group verwijzen. Deze beschrijvingen spreken elkaar tegen en onderbouwen niet dat er een bijzondere, universeel geldende groep voor de eerste aanmelding bestaat of dat deze voorrang heeft. De geconfigureerde Default group moet worden onderscheiden van de fabrieksinstelling Open group.

Controleer vóór de uitrol de daadwerkelijke Default group en de rechten die gebruikers via deze groep erven. Controleer de eerste aanmelding afzonderlijk met twee daarvoor bestemde pilotaccounts: één met een AD-groep die al op de firewall is geïmporteerd en één waarvan geen van de AD-groepen daar is geïmporteerd. Controleer bij beide accounts onder Policies de velden Group en Other group memberships, evenals de toegestane en bewust niet toegestane toegang. Stop bij een onverwachte groepstoewijzing de uitrol en onderzoek de oorzaak. Verwijder hiervoor geen productiegroepen en breid de fallback-rechten niet uit.

Microsoft Entra ID SSO gebruikt de afzonderlijke Fallback user group in de Entra-serverconfiguratie. Dit geldt ook als de Entra-server onder Firewall authentication methods is geselecteerd. De algemene Default Group is in dit geval niet van toepassing.

De volgorde van de authenticatieservers is ook relevant. Sophos Firewall staat maximaal 20 servers per authenticatiemethode toe en stuurt verzoeken door in de getoonde volgorde. Wijzig deze volgorde niet als tijdelijke oplossing voor een groepsprobleem voordat u de betreffende server en de mapping hebt gecontroleerd.

Voorbeeld en beginsituatie plannen

Het voorbeeld gebruikt drie groepen met elk een afzonderlijke functie:

Local_Contractors: lokale pilotgroep voor enkele externe medewerkers;
SFOS_Internet_Standard: geïmporteerde AD-groep voor normale internettoegang;
SFOS_SSLVPN: geïmporteerde AD-groep voor een SSL-VPN-beleid.

auth-pilot@example.com dient als testaccount en de gelogde regel LAN-Users-to-WAN als verkeerstest. example.com is een gereserveerd documentatiedomein. Vervang de namen en gebruikers volgens uw eigen naamgevingsconventie. Een functiegerelateerde naam zoals SFOS_SSLVPN blijft ook na een reorganisatie begrijpelijk.

Noteer voor de wijziging:

huidige groepsvolgorde;
Default group en indien van toepassing Fallback user group;
groepsbeleid en gebruikersspecifieke overrides;
betrokken authenticatiediensten en VPN-beleid;
geteste beheerderstoegang en een tweede beheerpad, voor het geval de Main Group, MFA of aanmeldingsbeperkingen door de wijziging worden beïnvloed;
pilotgebruikers, verwachte Main Group en positieve en negatieve test.

Lokale gebruikersgroep aanmaken

Ga naar Authentication > Groups en klik op Add:

Voer Local_Contractors in als groepsnaam.
Kies bij Group type Normal.
Selecteer alleen de benodigde gemeenschappelijke beleidsregels:
- Surfing quota beperkt de gebruikstijd volgens periode en cyclus.
- Access time staat terugkerende perioden toe of weigert deze.
- Network traffic beperkt het overgedragen datavolume.
- Traffic shaping wijst een QoS-beleid toe met prioriteit en bandbreedtelimieten.
Stel SSL VPN policy, Clientless SSL VPN policy, L2TP, PPTP en IPsec remote access alleen in voor de daadwerkelijk geplande toegang. PPTP is geen optie voor nieuwe ontwerpen; L2TP blijft een beperkte compatibiliteitsoptie, zoals toegelicht in L2TP Remote Access op Sophos Firewall.
Beperk Sign-in restriction indien mogelijk met Selected nodes of Node range tot de vereiste bronnen. Selected nodes staat alleen de opgegeven IP-adressen toe; Node range staat adressen binnen het opgegeven IP-bereik toe. Any node staat aanmelding vanuit elk netwerk toe.
Schakel Quarantine digest en MAC binding alleen in als de groep deze functies nodig heeft. Quarantine digest stuurt een overzicht van de in quarantaine gehouden e-mails naar de mailbox van de gebruiker. MAC binding beperkt de aanmelding tot de bedoelde apparaten.
Klik op Save.

De veldnamen en hun werking worden door het product bepaald; de selectie hangt af van de omgeving. Een internettoegangsgroep heeft niet automatisch VPN, quota of MAC-binding nodig. Groepen met een duidelijk afgebakende functie zijn eenvoudiger te testen en terug te draaien.

Lokale gebruikers toewijzen en overrides herkennen

Normale lokale gebruikers aanmaken en beheren beschrijft gebruikersnaam, wachtwoord, groepsovererving en acceptatietests volledig. Lokale gebruikers kunnen onder Authentication > Users aan een groep worden toegewezen. In de groepsbewerking toont Show group members de leden; via Add member(s) voegt u geschikte lokale gebruikers toe. Bij extern beheerde identiteiten blijft daarentegen de directory de bron van het lidmaatschap.

Welke gebruikers- of groepsinstelling een regel of beleid gebruikt, hangt af van de daadwerkelijke selectie van gebruikers en groepen. Controleer bij de gebruiker onder Policies of een eigen waarde is geselecteerd in plaats van de groepsinstelling. Als het groepsbeleid weer van toepassing moet zijn, herstel dan gericht de eerder gedocumenteerde overervingsstatus en test alleen de betreffende functie opnieuw. Een override blijft zinvol als een gemotiveerde uitzondering uitdrukkelijk is gedocumenteerd.

Sophos onderscheidt twee gevallen voor de selectie in de betreffende regel of het betreffende beleid:

Alleen de groep geselecteerd: De firewall gebruikt de groepsinstellingen, niet automatisch de override van de gebruiker.
De gebruiker en diens groep geselecteerd: De firewall gebruikt de gebruikersinstellingen.

Een beperkte pilottest maakt het verschil zichtbaar: leg voor auth-pilot@example.com in Local_Contractors een groepswaarde A en een afwijkende gebruikerswaarde B vast voor dezelfde ondersteunde instelling. A en B zijn placeholders voor twee bewust geplande testwaarden in uw omgeving. Controleer in een geïsoleerde testregel of testbeleid met gebruikers- en groepsselectie eerst de daadwerkelijke selectie: alleen Local_Contractors betekent A; auth-pilot@example.com samen met Local_Contractors betekent B. Test de betreffende dienst of het gegevenspad telkens met een nieuwe aanmelding; controleer bij firewallverkeer ook de Firewall Rule ID. Herstel daarna de eerder genoteerde selectie en beide instellingen en test opnieuw. Verruim hiervoor geen productieregel en wijzig de groepsvolgorde niet.

Deze selectie is niet de volgorde van de Main Group. De hieronder beschreven beperkingen van de ondersteuning voor meerdere groepen en de combinatie van toepasselijke SSL-VPN-beleidsregels blijven gelden; dit betekent geen universele voorrang van gebruikersbeleid voor elke dienst.

De volledige configuratie van Access-Time-beleidsregels, Surfing- en Network Traffic-quota en MFA voor Sophos Firewall wordt uitgelegd in de betreffende gespecialiseerde artikelen. In het groepsobject wordt slechts reeds gepland beleid toegewezen.

Groepsvelden in de XML API duiden

Wie groepen geautomatiseerd beheert, vindt in het XML-model UserGroup als groepsobject, GroupDetail als configuratiegedeelte en GroupMembers met GroupName en UserName als lidmaatschapsgegevens. Dit is geen import van AD-lidmaatschappen; voor directorygebruikers blijft de directory bepalend. Authenticatie, expliciete wrappers voor bewerkingen en de evaluatie van het XML-antwoord worden behandeld in XML API veilig gebruiken.

Het volgende fragment toont alleen de gedocumenteerde structuur voor de bestaande pilotvoorbeelden. Het is geen volledige Add/Edit-aanvraag; met name de wrapper voor de bewerking en andere vereiste configuratievelden ontbreken. Uit het weglaten van velden volgt niet dat een wijziging bestaande waarden behoudt.

<UserGroup>
  <GroupDetail>
    <Name>Local_Contractors</Name>
    <LoginRestriction>SelectedNodes</LoginRestriction>
    <NodeList>
      <IPAddress>192.0.2.10</IPAddress>
    </NodeList>
  </GroupDetail>
  <GroupMembers>
    <GroupName>Local_Contractors</GroupName>
    <UserName>auth-pilot@example.com</UserName>
  </GroupMembers>
</UserGroup>

Vervang de groepsnaam en gebruiker door de waarden voor het nauwkeurig geplande lokale doel. 192.0.2.10 is een IPv4-documentatieadres en moet worden vervangen door een daadwerkelijk benodigde, toegestane aanmeldingsbron. De XML-veldnamen blijven ongewijzigd. De koppeling met de UI-velden is als volgt:

SurfingQuotaPolicy: Surfing quota; AccessTimePolicy: Access time.
DataTransferPolicy: Network traffic; QoSPolicy: Traffic shaping.
SSLVPNPolicy: SSL VPN policy; ClientlessPolicy: Clientless SSL VPN policy, niet het groepstype Clientless.
SophosConnectClient: IPsec remote access via de Sophos Connect Client.

Voor LoginRestriction onderscheidt het referentievoorbeeld AnyNode, SelectedNodes en NodeRange. AnyNode komt overeen met Any node en beperkt de aanmeldingsbron niet; het is geen standaardwaarde voor probleemoplossing. SelectedNodes gebruikt NodeList met de afzonderlijke IPAddress-vermeldingen. NodeRange gebruikt in plaats daarvan FromIP en ToIP, bijvoorbeeld 192.0.2.10 tot 192.0.2.20. Ook beide bereikgrenzen zijn documentatiewaarden en moeten worden vervangen door het kleinste vereiste IPv4-bereik, zonder bestaande beperkingen te verruimen. Hoewel de tabel FromIP en ToIP als verplichte velden markeert, beperkt de beschrijving het gebruik ervan tot Node range; hieruit volgt geen algemene verplichting voor de andere varianten.

De API-referentie noemt voor QuarantineDigest, MACBinding, L2TP, PPTP en SophosConnectClient telkens Enable of Disable en documenteert Disable als standaardwaarde. Dit is referentie-informatie, geen bewijs van de momenteel opgeslagen groepsstatus. Als QuarantineDigest actief is, wordt het quarantaineoverzicht dagelijks per e-mail verzonden. PPTP blijft uitgesloten voor nieuwe ontwerpen; L2TP blijft uitsluitend de hierboven toegelichte beperkte compatibiliteitsoptie.

Beperkingen van het referentievoorbeeld: Het maakt onderscheid tussen instellingen voor Normal-groepen en een Clientless-tak die QoSPolicy toont. Bij GroupType is het echter tegenstrijdig: het sjabloon bevat Normal/Clienless, de beschrijving noemt Normal of Clientless en vermeldt INTEGER als gegevenstype. Bovendien bevat het sjabloon dubbele punten als placeholders in plaats van volledige XML-inhoud. Hieruit mag noch een gecorrigeerde Clientless-codering noch een numerieke mapping worden afgeleid. Gebruik voor een schrijfbewerking een uitgelezen of geëxporteerde waarde van de geïnstalleerde versie waarvan de mapping al vaststaat; gebruik anders de veilige UI-procedure. Alternatieven met een slash, zoals Enable/Disable, zijn geen afzonderlijke waarden die kunnen worden overgenomen.

Het sjabloon toont bovendien After met een daarin genest Name als positieaanduiding. De tweede tabelrij voor Name vermeldt moveto, maar onderbouwt geen zelfstandig uitvoerbare bewerking. Een positiewijziging moet worden behandeld als Reorder: deze kan de Main Group wijzigen. Leg vooraf de volgorde, lidmaatschappen, huidige en beoogde beleidsstatus en terugdraaiprocedure vast; controleer daarna met de pilot en herstel bij een onverwacht effect de opgeslagen volgorde. Het sjabloon onderbouwt noch vervangings- of samenvoegingsgedrag van GroupMembers, noch updatesemantiek van After of weggelaten velden.

Leg vóór een nauw begrensde Add/Edit-schrijfbewerking de doelnaam en gewenste status vast. Evalueer daarna het daadwerkelijke XML-bewerkingsresultaat, lees precies de genoemde groep opnieuw uit en voer de hierboven beschreven positieve en negatieve tests uit op de betreffende dienst. De referentie koppelt bij Add en Edit 502 aan de sleutel UserGroupRecordExists en 503 aan de sleutel UserGroupDuplicateIPInLoginRestriction. Controleer bij een overeenkomstig resultaat eerst de bedoelde bestaande groepsnaam respectievelijk dubbele adressen in SelectedNodes. Verzend niet blind opnieuw en verruim LoginRestriction niet. Deze koppelingen bepalen de referentiesleutels, niet de volledige runtimeberichtteksten.

Directorygroepen gecontroleerd importeren

Active Directory-groepen

Ga naar Authentication > Servers en start de importwizard voor de geconfigureerde AD-server. In een HA-cluster moet de import op Primary plaatsvinden. De wizard importeert alleen de geselecteerde groepen. Een later in AD aangemaakte groep verschijnt daarom niet automatisch en moet opnieuw worden geïmporteerd.

Vóór de import moet de AD-query werken: de server heeft de juiste NetBIOS domain, Domain name, een ADS username met rechten om te zoeken, te lezen en groepslidmaatschappen op te vragen, en het bijbehorende Password nodig. Een Domain Admin-account is niet nodig voor de groepsimport. Connection security biedt SSL/TLS als standaard en STARTTLS als versleuteld alternatief; Plaintext verstuurt aanmeldingsgegevens onversleuteld en is geen veilige oplossing voor productieomgevingen. De Port moet passen bij het gekozen verbindingstype. Bij Validate server certificate wordt het AD-servercertificaat onder Certificates > Certificates > Add > Upload certificate geüpload; Server IP/domain moet de CNAME gebruiken die in het certificaat staat. Als de firewall deze naam niet kan omzetten naar een IP-adres, moet u de interne DNS-resolutie of Network > DNS > DNS host entry controleren. De volledige serverconfiguratie blijft beschreven in het hierboven gelinkte AD-artikel.

De Search queries beperken welke gebruikers worden meegenomen. Zo zoekt OU=VPN_Users,DC=example,DC=com in de OU VPN_Users van het documentatiedomein example.com; de OU- en domeinonderdelen moeten worden vervangen door de daadwerkelijke Distinguished Name. Een beperktere zoekbasis houdt de gebruikersgroep overzichtelijk, maar mag de beoogde gebruikers niet uitsluiten. Alleen gebruikers die binnen de zoekbasis vallen, kunnen via deze server als Live Users verschijnen. Test connection controleert de verbinding en aanmeldingsgegevens, maar bewijst nog niet dat een normale gebruiker aan de juiste groep wordt toegewezen. Strikt afgedwongen LDAP Channel Binding en LDAP Signing worden niet ondersteund; een dergelijke AD-beveiligingseis moet vóór de integratie worden opgehelderd en mag niet als groepsfout worden omzeild.

De eigenlijke import verloopt als volgt:

Klik bij de bedoelde AD-server op Import en begin in de Import group wizard met Start.
Selecteer de juiste Base DN voor het zoeken naar groepen. Deze moet de benodigde groepen omvatten en moet worden onderscheiden van de zoekbasis voor gebruikers.
Selecteer alleen de beoogde AD-groepen, bijvoorbeeld SFOS_Internet_Standard en SFOS_SSLVPN.
Selecteer de gemeenschappelijke groepsbeleidsregels en controleer daarna de selectie en de resultaten.
Controleer onder Authentication > Groups beide groepen en hun beleidsregels. De wizard importeert groepen, niet meteen alle gebruikersrecords of lidmaatschappen.
Controleer onder Authentication > Services > Firewall authentication methods of de AD-server voor de geplande dienst is geselecteerd. Als AD bij deze configuratie als eerste moet worden geraadpleegd, verplaats de server dan naar de eerste positie en klik op Apply. Behoud in een bestaande omgeving de eerder geplande servervolgorde in plaats van deze zonder meer te wijzigen.

Geneste AD-groepen worden niet geëvalueerd. Als een subgroep van toepassing moet zijn op een firewallregel of VPN-beleid, moet precies die subgroep worden geïmporteerd. De primaire AD-groep van een gebruiker wordt ook niet als normaal lidmaatschap overgenomen. Voor beleidsregels zijn daarom expliciete beveiligingsgroepen beter geschikt dan de AD-standaardgroep Domain Users.

Dit geldt niet alleen voor Domain Users: als bijvoorbeeld SFOS_Internet_Standard de primaire AD-groep van de gebruiker wordt, wordt juist dat lidmaatschap niet als een normaal AD-lidmaatschap overgenomen. Daardoor kan de volgende overeenkomende geïmporteerde groep de Main Group worden. De Main Group van de firewall wordt bepaald aan de hand van de eigen groepslijst van de firewall en is niet de primaire groep in AD.

Na wijzigingen in AD-lidmaatschappen, geïmporteerde groepen of de groepsvolgorde moet de gebruiker zich opnieuw aanmelden. Pas dan evalueert de firewall de groepen opnieuw en werkt deze het gebruikersobject bij.

Als STAS en Synchronized User ID tegelijkertijd zijn geconfigureerd, gebruikt de authenticatieserver het mechanisme waarvan het aanmeldingsverzoek als eerste binnenkomt. Controleer bij uiteenlopende pilotresultaten daarom ook Client Type, in plaats van meteen de volgorde van groepen of servers te wijzigen.

Entra-groepen

Voor de Entra-groepsimport heeft de app-registratie in Microsoft Graph de Application Permission Group.Read.All met Admin Consent nodig. De klokken van de firewall en Microsoft Entra ID moeten gesynchroniseerd zijn; anders kan de verbinding mislukken.

Ga daarna naar Authentication > Servers en klik bij de Microsoft-Entra-ID-server op de wizard voor het importeren van groepen. U kunt alle groepen importeren of alleen groepen waarvan de Display name of Description aan een filter voldoet. Surfing quota, Access time, Network traffic en Traffic shaping kunnen worden toegewezen aan alle of afzonderlijke geïmporteerde groepen. Nieuw geïmporteerde groepen moeten daarnaast worden opgenomen in de gebruikte IPsec-beleidsregels voor externe toegang of SSL-VPN-beleidsregels; de import alleen geeft geen VPN-toegang.

Hoofdgroep en meerdere groepslidmaatschappen correct evalueren

Open onder Authentication > Users de gebruiker en scroll naar Policies:

Group toont de eerste overeenkomende groep in de firewalllijst en daarmee de Main Group.
Other group memberships toont andere geïmporteerde AD-groepen van de gebruiker.

Twee aanvullende velden verschijnen onder Policies alleen als voor elk veld aan beide voorwaarden is voldaan:

Group SSL VPN policies: De gebruiker is lid van meerdere AD-groepen en minstens twee van deze groepen zijn opgenomen in SSL-VPN-beleidsregels voor externe toegang.
Group clientless SSL VPN policies: De gebruiker is lid van meerdere AD-groepen en minstens twee van deze groepen zijn opgenomen in clientless-SSL-VPN-beleidsregels.

Als een van deze velden ontbreekt, controleer dan eerst de AD-lidmaatschappen, de geïmporteerde groepen en of deze in het betreffende VPN-beleid zijn opgenomen. Meerdere AD-groepen alleen zijn niet voldoende om het veld weer te geven. Breid geen VPN-rechten in de productieomgeving uit om het veld zichtbaar te maken. De weergave is bovendien geen toegangstest; de daadwerkelijke combinatie van rechten wordt verderop toegelicht.

Onder Authentication > Groups > Reorder kunt u de volgorde wijzigen door groepen te verslepen. Klik op Close om het dialoogvenster te sluiten. Als auth-pilot@example.com lid is van SFOS_Internet_Standard en SFOS_SSLVPN, wordt de hoger geplaatste overeenkomende groep bij de volgende aanmelding de Main Group.

Deze volgorde is niet alleen van invloed op de huidige fout. Controleer vóór een wijziging of de betrokken functie andere groepen ondersteunt. Anders kan een verplaatsing een VPN-probleem oplossen en tegelijkertijd MFA, quota of toegangstijden voor andere gebruikers wijzigen.

Functies met ondersteuning voor meerdere AD-groepen

De volgende matrix geldt uitdrukkelijk voor Active Directory. Ga er niet zonder controle van uit dat deze ook geldt voor LDAP, RADIUS of Microsoft Entra ID.

Meerdere AD-groepen kunnen in aanmerking worden genomen bij:

Firewall rules en SSL/TLS inspection rules;
SD-WAN routes;
Web policies;
IPS en Application control policies;
Policy test;
Remote access SSL VPN;
Clientless SSL VPN.

Bij Remote access SSL VPN worden de rechten uit toepasselijke gebruikers- en groepsbeleidsregels gecombineerd. Zodra een toepasselijke full-tunnelbeleidsregel betrokken is, ontstaat een full tunnel. Controleer deze combinatie met een echte clienttest.

Bij Clientless SSL VPN worden de rechten meegenomen uit alle beleidsregels waaraan een van de AD-groepen van de gebruiker is toegewezen. Controleer daarom niet alleen de verwachte beleidsregel, maar ook aanvullende toegestane bookmarks of resources uit andere groepen.

Hotspots houden uitsluitend rekening met de Main Group.

Alleen de Main Group of een expliciete gebruikerstoewijzing wordt in aanmerking genomen bij:

WAF rules, My policy overrides;
Remote access IPsec VPN, L2TP en PPTP;
Surfing quota, Access time, Network traffic en Traffic shaping;
Quarantine digest, MAC binding en Sign-in restriction;
MFA.

Bij WAF, L2TP, PPTP en Remote access IPsec kan het gebruikersbeleid Enable weergeven, hoewel de toestemming alleen afkomstig is van Other group memberships en de toegang daarom niet wordt toegestaan. Beoordeel deze diensten op basis van de Main Group of een directe gebruikerstoewijzing, niet alleen op basis van de weergave.

Bij functies met ondersteuning voor meerdere groepen blijft de volgorde van de betreffende regel of beleidsregel bepalend. Een firewallregel kan via SFOS_SSLVPN van toepassing zijn, hoewel SFOS_Internet_Standard de Main Group is. Dit betekent niet dat MFA of quota ook SFOS_SSLVPN gebruiken.

Bij Web policies gaat het om twee afzonderlijke beslissingen: eerst bepaalt de overeenkomende firewallregel het webbeleid. Binnen dat beleid wordt de eerste regel toegepast die zowel bij de gebruiker als bij de website past. Als de pilotgebruiker lid is van beide voorbeeldgroepen en de eerste webregel sportwebsites blokkeert voor SFOS_SSLVPN, wordt een sportwebsite geblokkeerd, ook als SFOS_Internet_Standard zijn Main Group is en een latere regel nieuwswebsites voor deze groep toestaat. IPS en Application control nemen daarentegen het beleid van de overeenkomende firewallregel over; de groepsvolgorde leidt niet tot een aanvullende samenvoeging van deze beleidsregels.

Voor MFA kunt u in plaats van een groep te selecteren de gebruiker expliciet opnemen of MFA op alle gebruikers toepassen. Toestemming die alleen via Other group memberships wordt verleend, is niet voldoende. Hotspots in het User Portal worden uitsluitend bepaald door de Main Group; een andere AD-groep breidt deze lijst niet uit.

Groepswerking controleren

Een opgeslagen groep en een zichtbare gebruiker zijn nog geen bewijs van succes:

Beëindig de bestaande sessie van de pilotgebruiker en meld de pilotgebruiker opnieuw aan.
Noteer onder Authentication > Users > gebruiker > Policies de status, Group, Other group memberships en mogelijke overrides.
Controleer onder Current activities > Live users de gebruikersnaam, het bron-IP-adres en Client Type.
Genereer bij een gebruikersgebaseerde firewallregel het beoogde dataverkeer en controleer in Log Viewer de Firewall Rule ID.
Test toegangstijden, quota, MFA en externe toegang elk via de daadwerkelijk betrokken dienst.
Herhaal dezelfde poging met een gebruiker buiten de pilotgroep als negatieve test.

Open voor de quotacontrole Authentication > Users > gebruiker > View usage. Gebruiksgegevens zijn alleen beschikbaar als een gebruikersgebaseerde firewallregel het verkeer verwerkt en Log firewall traffic is ingeschakeld.

Firewallregels controleren met Log Viewer, Policy Test en Packet Capture toont de volledige verkeerstest. Als de dienstkeuze, identiteit of Main Group al onduidelijk is, leidt Sophos Firewall-authenticatiefouten systematisch oplossen u door de volledige controleketen.

Wijzigingen terugdraaien en groepen opschonen

Wijzig telkens slechts één groepsbeleidsregel of positie. Als de pilot een onverwacht effect vertoont, herstel dan de genoteerde volgorde en beleidstoewijzing, meld de gebruiker opnieuw aan en herhaal de positieve en negatieve test.

AD-groepen worden eerst in de directory en daarna afzonderlijk onder Authentication > Groups op de firewall verwijderd. Purge AD users ruimt geen groepen op.

Voor AD-gebruikers geldt:

Verwijder de gebruiker eerst in AD. Zolang deze daar bestaat, kan de firewall de gebruiker bij een latere aanmelding opnieuw aanmaken.
Klik onder Authentication > Users op Purge AD users. U hoeft de gebruikers niet van tevoren te selecteren; de firewall controleert de AD-server en verwijdert alleen gebruikers die daar al verwijderd zijn.
Start het proces in HA op Primary. De records worden verwijderd op Primary en Auxiliary. De opschoning onderbreekt Sign-in, Sign-out en User Accounting niet.

Een configuratie-export bevat geïmporteerde en lokaal aangemaakte AD-groepen, maar geen gebruikers van externe authenticatieservers. Een volledige back-up omvat daarentegen alle gebruikers en groepen. Houd rekening met deze beperking als de terugdraaiprocedure meer dan één beleidswijziging betreft.

Een benoemde groep veilig verwijderen via de API

Bepaal vóór elke verwijdering de exacte Name van de doelgroep en leg beleid, volgorde, leden en toepassingen vast. Dat de oudere API-tabel Name als niet verplicht markeert, is geen vrijbrief om een groep zonder naam te verwijderen: de beschrijving vereist een naam om het object te identificeren. Controleer vooraf de daadwerkelijke groepsgebruikers, VPN-toewijzingen inclusief L2TP/IPsec, de selectie voor externe authenticatie, verwijzingen in firewallregels en het gebruik als standaardgroep voor gasten. Als de groep nog nodig is, voer dan een uitdrukkelijk geplande, nauw begrensde migratie uit of stop. Forceer de verwijdering niet, schoon geen gebruikers op en versoepel geen toegang alleen om de verwijdering te laten slagen. De hierboven beschreven AD-volgorde en het onderscheid met Purge AD users blijven gelden.

De verwijderingsreferentie koppelt resultaatrijen aan JavaScript-berichtensleutels voor dergelijke afhankelijkheden. Gebruik deze controlecategorieën voor de diagnose; vul ontbrekende runtimeberichtteksten niet zelf in. Voor de opbouw van aanvragen en de verwerking van XML-resultaten geldt XML API veilig gebruiken; de verwijderingsreferentie bevat geen payloadvoorbeeld, dus de volledige Delete-wrapper moet vóór automatisering vaststaan. Behoud bij een afwijzing de groep en controleer gericht de verwijzing die in het resultaat wordt weergegeven. Lees ook na een succesresultaat precies het doel opnieuw uit, controleer of het ontbreekt en herhaal de geplande dienst- en toegangstests.

Gebruikers en groepen delen het interne ID-bereik tot 65535. Een groot aantal zichtbare objecten alleen bewijst niet dat de limiet is bereikt. Als een gebruiker een User ID boven 65535 heeft en geen Live User wordt, komt dit gedrag overeen met de Sophos Firewall User-ID-limiet.

Fouten per symptoom afbakenen

Meld de betreffende gebruiker na elke correctie opnieuw aan en controleer Group en Other group memberships. Daarna volstaat voor elk symptoom één gerichte volgende stap.

Nieuwe AD-groep verschijnt niet

Start de importwizard van de AD-server opnieuw en voer deze in HA uit op Primary. Controleer vervolgens onder Authentication > Groups of precies de benodigde groep aanwezig is. Maak geen ruim toegankelijke vervangingsgroep aan alleen om een aanmelding te laten werken.

LDAP-gebruiker komt in de standaardgroep terecht

Controleer op de LDAP-server Base DN, Authentication attribute en Group name attribute, en daarna onder Authentication > Services de servervolgorde en Default group. Voer Test connection uit voor de LDAP-server. De AD-importwizard is niet verantwoordelijk voor deze mapping.

Entra-gebruiker komt in de fallback-groep terecht

Controleer of de Entra-groep is geïmporteerd en of het token de verwachte groep levert. Controleer daarna de Fallback user group direct op de Entra-server. De algemene Default group onder Authentication > Services wordt voor deze mapping niet gebruikt.

Gebruiker heeft de verkeerde hoofdgroep

Vergelijk AD-lidmaatschappen, geïmporteerde groepen en de huidige volgorde. Controleer de nieuwe volgorde pas na de volgende aanmelding en met meerdere representatieve gebruikers.

Firewallregel wordt toegepast, maar MFA of quota niet

Firewallregels ondersteunen andere AD-groepen, MFA en quota daarentegen niet. Controleer onder Authentication > Users > gebruiker > Policies de Main Group, mogelijke overrides en de daadwerkelijke beleidstoewijzing. Het effect van de regel bewijst niet dat MFA of quota dezelfde groep evalueren.

Groepswijziging werkt bij slechts één gebruiker niet

Vergelijk de gebruikersspecifieke beleidsvelden en de daadwerkelijke selectie van gebruikers en groepen in de betreffende regel of het betreffende beleid: als alleen de groep is geselecteerd, worden de groepswaarden gebruikt; als de gebruiker en diens groep zijn geselecteerd, worden de gebruikerswaarden gebruikt. Controleer ook de functiebeperkingen voor de Main Group en meerdere groepslidmaatschappen. Herstel de groepswaarde alleen als de gedocumenteerde uitzondering niet langer nodig is.

Geneste AD-groep wordt niet toegepast

Importeer de benodigde subgroep zelf en maak de gebruiker daar rechtstreeks lid van. Alleen de bovenliggende groep importeren is niet voldoende.