Verificar o limite de User ID e limpar utilizadores do AD

Se utilizadores novos ou específicos deixarem de ser autenticados apesar de o diretório, o grupo e a palavra-passe estarem corretos, a causa pode ser a User ID interna do Sophos Firewall. A Sophos também indica casos em que os utilizadores afetados não conseguem descarregar uma configuração .ovpn do VPN Portal.

A Sophos documenta para utilizadores e grupos um intervalo interno de ID partilhado até 65535. Os utilizadores com uma ID superior não são autenticados e não podem aparecer como Live Users. No entanto, o sintoma por si só não prova que o limite foi atingido; a ID efetivamente atribuída é que determina o diagnóstico.

Um objeto de utilizador pode ser criado mesmo acima deste limite. A sua simples presença em Authentication > Users não prova, por isso, que o início de sessão funcione.

As páginas atuais da ajuda da Sophos contabilizam este intervalo de forma diferente: Authentication > Users indica um máximo de 65 535 User IDs, enquanto Current activities > Live users indica 65 536. Para o diagnóstico, o limite fiável mantém-se igual em ambas as descrições: 65535 é suportado, um valor superior não.

Verificar rapidamente o limite de User ID

A ID concreta está visível no WebAdmin:

1. Abrir Authentication > Users.
2. Selecionar Show additional properties e apresentar User ID.
3. Procurar o utilizador afetado e anotar a respetiva ID.
4. Se possível, verificar como comparação um utilizador funcional do mesmo grupo.
5. Em Current activities > Live users, confirmar se o utilizador aparece após iniciar sessão.

A interpretação é clara:

• User ID até 65535: O limite documentado não foi ultrapassado para este utilizador. O diagnóstico geral de autenticação orienta depois a verificação do servidor, serviço, Live Users, grupo, MFA, portal e percurso posterior do tráfego.
• User ID superior a 65535: O objeto de utilizador encontra-se fora do intervalo suportado. A firewall não autentica este utilizador. A Sophos também indica a ausência do download .ovpn como um possível problema funcional.
• O utilizador não aparece na lista: Os utilizadores de servidores de autenticação externos normalmente só aparecem aqui após o primeiro início de sessão bem-sucedido num serviço da firewall. Verificar primeiro o caminho de autenticação propriamente dito.

⚠️ O número de utilizadores visíveis não é suficiente para o diagnóstico. Os grupos também ocupam IDs e podem existir lacunas na numeração. Só a coluna User ID mostra se o utilizador concreto é afetado.

Um início de sessão comprovadamente bem-sucedido no VPN Portal torna menos provável que o limite de User ID seja a causa principal. Se depois o ficheiro .ovpn estiver ausente, permanecer vazio ou não puder ser gerado, Sophos Firewall: ficheiro .ovpn ausente ou com 0 bytes distingue erros de policy, utilizador, certificado e sistema. O limite de User ID é apenas um dos possíveis caminhos de diagnóstico.

Max Live Users é um limite diferente

O limite interno de User ID de 65535 não deve ser confundido com o número máximo de Live Users mantidos em simultâneo. Segundo a Sophos, o SFOS 22 suporta até 32 000 Live Users. O valor configurável chega a 32768; esses 768 valores adicionais não aumentam a capacidade operacional documentada.

No WebAdmin, abrir o menu de administrador no canto superior direito, selecionar Console e depois 4. Device Console. Um início de sessão SSH administrativo conduz ao mesmo menu principal. Apresentar o valor atual com:

system auth max-live-users show

O SFOS aceita valores de max-live-users entre 8192 e 32768:

⚠️ O comando set seguinte é um modelo de sintaxe para Device Console, não um comando para executar sem alterações. Substituir <8192-32768> por um valor numérico planeado para a firewall, sem parênteses angulares. Alterar a capacidade apenas depois de verificar o dimensionamento e documentar a reversão; não é uma solução para um problema de User ID. A sintaxe e o intervalo aplicam-se ao SFOS 22.

system auth max-live-users set <8192-32768>

O intervalo documentado não é uma recomendação geral para definir sempre 32768. Antes de uma alteração, documentam-se o valor atual, o número real de Live Users, o método de autenticação afetado e o caminho de rollback. Depois verificam-se show, novos logins, Current activities > Live users, regras baseadas em utilizadores e a utilização do sistema. Para reverter a alteração, utiliza-se system auth max-live-users set <valor-anterior> para repor o valor registado dentro do intervalo permitido.

Aumentar este valor não corrige um utilizador com uma User ID interna superior a 65535 nem elimina objetos antigos de utilizadores ou grupos. Da mesma forma, um utilizador abaixo do limite de ID não prova que o limite separado de Live Users ainda tenha capacidade. Os dois valores devem ser verificados de forma independente.

O que significa a User ID interna

A User ID é a atribuição numérica interna de um objeto de utilizador ou grupo na firewall. Não é um SID do Active Directory nem um Microsoft Entra Object ID, nem corresponde à função Synchronized user ID authentication.

Um exemplo simples mostra o limite:

• 60000 encontra-se no intervalo suportado.
• 65535 é a última ID suportada.
• 65536 já se encontra fora do intervalo suportado.

Os utilizadores do Active Directory, RADIUS e de outros servidores de autenticação externos não são importados integralmente de antemão. O respetivo registo local é normalmente criado quando se autenticam pela primeira vez num serviço da firewall. Os grupos e os objetos de utilizador já existentes consomem o mesmo intervalo de IDs.

Os Clientless Users criados manualmente também fazem parte da estrutura local de identidades. Configurar Clientless Users na Sophos Firewall apresenta o procedimento seguro de configuração e teste; no entanto, uma grande quantidade de objetos, por si só, continua sem provar um problema de User ID.

A Sophos recomenda a eliminação dos utilizadores e grupos que já não sejam necessários, para que as IDs libertadas possam ser reutilizadas. No entanto, isto não implica uma renumeração automática: Não está documentado nem garantido que, após a eliminação de objetos antigos, um utilizador existente com uma ID demasiado elevada receba imediatamente um número inferior.

Verificar dependências antes da limpeza

A limpeza de utilizadores ou grupos interfere na estrutura de identidades e políticas. Antes de uma alteração importante, deve existir um backup atual da firewall. É igualmente necessária uma lista dos objetos a remover, das respetivas User IDs e das utilizações conhecidas.

Para cada utilizador e grupo, devem ser verificadas pelo menos as seguintes dependências:

• políticas de SSL VPN e IPsec Remote Access;
• políticas de firewall, web e aplicações baseadas em utilizadores;
• atribuições de MFA, OTP ou tokens;
• Main Group e outras associações a grupos;
• regras de inspeção SSL/TLS;
• origem do diretório e comportamento no próximo início de sessão.

Os objetos não são eliminados apenas por serem antigos ou terem uma ID elevada. Primeiro são tratados os casos de contas de teste claramente obsoletas, antigos colaboradores e grupos não utilizados. As identidades de produção não são removidas e recriadas sem verificação.

Limpar utilizadores do AD de forma controlada

Registar a origem do utilizador e as políticas efetivas

Authentication > Users contém utilizadores e administradores locais, além de registos criados automaticamente para utilizadores externos. Antes da limpeza, abrir o nome e identificar a origem responsável:

• Para um utilizador local, a palavra-passe e o grupo podem ser alterados na firewall. Gerir utilizadores locais explica o procedimento completo de manutenção e reversão.
• Para um utilizador importado do AD, esses dois dados não podem ser alterados ali; a identidade é mantida no diretório. Group mostra a Main Group e Other group memberships os restantes grupos. Nem todas as regras ou políticas suportam estas associações adicionais.
• Se Profile apresentar Managed by Central, a conta é gerida no Sophos Fusion ou Sophos Central. Não pode ser editada no WebAdmin da firewall; os direitos de acesso resultam da função atribuída ali. Contas de administrador e perfis explica este caminho de gestão separado.

Ao registar as dependências, anotar também a seleção real nas regras e políticas: Se apenas o grupo estiver selecionado, aplicam-se as definições do grupo; se estiverem selecionados o utilizador e o respetivo grupo, aplicam-se as definições do utilizador. Um início de sessão bem-sucedido não prova, portanto, que a mesma política continue efetiva após a limpeza. Grupos de utilizadores e Main Group explica a seleção, as exceções e os limites de múltiplos grupos específicos de cada serviço. Os diferentes nomes Sophos Fusion e Sophos Central nas ajudas de SFOS 22 e 23 não alteram o valor visível a verificar: Managed by Central.

Uma exportação não permite uma reversão completa dos utilizadores do AD

Os registos de utilizadores podem ser importados ou exportados em Backup and firmware > Import export. Contudo, uma exportação de configuração contém apenas os utilizadores criados manualmente na firewall, não os utilizadores do AD ou RADIUS criados automaticamente ao iniciar sessão. Um backup completo inclui todos os utilizadores e grupos. Antes da limpeza, verificar o âmbito real dos dados guardados, em vez de equiparar uma exportação a um backup completo das identidades.

Para os utilizadores locais, o procedimento de manutenção indicado acima explica a exportação seletiva, os dados sensíveis, os objetos dependentes e os efeitos da importação. Não utilizar uma exportação ou backup como reparação garantida ou garantia de reatribuição de uma User ID demasiado elevada. Um restauro é uma recuperação planeada da configuração da firewall, não uma reversão rápida de um único utilizador; acordar o caminho de recuperação segundo o procedimento de backup antes de eliminar objetos.

Utilizar corretamente Purge AD users

Purge AD users remove os registos locais dos utilizadores do AD que já foram eliminados do Active Directory. Não é necessário selecionar utilizadores individuais: A firewall compara os registos com o AD e remove apenas os utilizadores que já não existem.

O procedimento seguro é:

1. Verificar se o servidor AD configurado está acessível e processa normalmente os inícios de sessão.
2. Eliminar primeiro do Active Directory os utilizadores que já não sejam necessários.
3. Na firewall, abrir Authentication > Users.
4. Executar Purge AD users.
5. Confirmar que desapareceram exclusivamente os registos esperados.

Uma conta que esteja apenas desativada no AD, mas que continue a existir, não é removida automaticamente por este procedimento. Se o registo local de um utilizador que ainda existe no AD for removido da firewall, pode voltar a ser criado num início de sessão posterior. Configurar o Active Directory no Sophos Firewall explica a configuração e a importação de grupos.

Num cluster HA, Purge AD users é iniciado no dispositivo Primary. A firewall remove os registos no Primary e no Auxiliary; o resultado deve ser verificado em ambos os dispositivos. A Sophos documenta que a limpeza não interrompe os eventos de início de sessão, fim de sessão ou accounting. No entanto, isto não garante o comportamento de todas as sessões VPN ativas. Para limpezas muito extensas, são recomendáveis uma janela de manutenção, monitorização da autenticação e um plano de reversão.

Limpar utilizadores locais e grupos

Os utilizadores locais, as contas de teste e os grupos que já não sejam necessários são eliminados especificamente em Authentication > Users ou Authentication > Groups. Purge AD users não limpa grupos do AD. Um grupo do AD que já não seja necessário é removido primeiro no AD e depois separadamente na firewall.

A limpeza é realizada em passos pequenos e rastreáveis:

1. Documentar os objetos claramente obsoletos e as respetivas referências.
2. Remover ou substituir de forma controlada as referências em regras, políticas de VPN ou outras configurações.
3. Eliminar um pequeno conjunto de objetos que já não sejam necessários.
4. Testar o início de sessão em produção, a atribuição de grupos e políticas e o MFA.
5. Só depois avançar para o passo de limpeza seguinte.

Desativar uma conta local não é suficiente se a respetiva ID tiver de ser reutilizada. As importações abrangentes de grupos também devem ser limitadas aos grupos efetivamente necessários para VPN, portais, regras ou políticas de utilizadores.

Se uma conta local tiver de ser inicialmente mantida, selecioná-la de forma específica em Authentication > Users e usar Change status para alternar entre ativa e inativa. Anotar o estado anterior, verificar o novo e testar um novo início de sessão no serviço afetado. A desativação não é uma eliminação nem prova que todas as sessões ou túneis VPN existentes tenham terminado; verificá-los separadamente. Para reverter, repor o estado anterior documentado e voltar a verificar o início de sessão e o efeito das políticas. Se ocorrerem interrupções inesperadas, parar a limpeza e repor as referências ou estados alterados mais recentemente; não recriar objetos eliminados com base em suposições.

Verificar o resultado

Uma limpeza não é bem-sucedida apenas porque existem menos objetos visíveis. Em seguida, deve ser testado novamente o mesmo caminho do utilizador:

1. Em Authentication > Users, verificar se foram removidos apenas os registos de AD esperados.
2. Num cluster HA, comparar o resultado no Primary e no Auxiliary.
3. Apresentar novamente a User ID da conta afetada.
4. Autenticar o utilizador no serviço realmente afetado.
5. Em Current activities > Live users e nos registos de autenticação, confirmar se o início de sessão foi bem-sucedido.
6. Se o erro original afetava o acesso VPN, testar depois o VPN Portal, o download .ovpn e o túnel.
7. Confirmar como comparação um início de sessão representativo de um utilizador do AD em produção, incluindo grupo, política e MFA.

Se a ID continuar acima de 65535, o problema do limite não está resolvido. Eliminar mais objetos de produção ou recriar repetidamente a conta afetada não é um diagnóstico seguro. É preferível abrir um caso no Sophos Support com a versão de firmware, a origem do utilizador, a User ID, a hora, o registo de autenticação e os passos de limpeza documentados.

Evitar problemas com User IDs

A higiene dos utilizadores deve fazer parte da operação normal da firewall:

• importar apenas os grupos de diretório efetivamente necessários;
• limpar antigos colaboradores primeiro no diretório e depois na firewall;
• eliminar contas locais de teste e projeto após a utilização;
• verificar objetos antigos de utilizadores e grupos após reestruturações do diretório;
• comparar atempadamente as User IDs em caso de problemas invulgares de autenticação ou do VPN Portal;
• documentar Main Groups e dependências de MFA e políticas;
• realizar limpezas maiores com backup, um pequeno conjunto de alterações e um teste funcional.

A firewall só deve conhecer as identidades de que realmente necessita para autenticação, políticas, portais, Remote Access e reporting. Não substitui um ciclo de vida de identidades adequado no serviço de diretório.

FAQ