# Sophos Firewall > Proteger Sophos Firewall con Ironchip por RADIUS con NPS o con códigos OTP: servidor RADIUS, atributo Filter-Id, portal de usuario, VPN SSL y OTP. URL: https://docs.ironchip.com/identidad/integraciones/red/sophos/ Esta guía explica cómo proteger **Sophos Firewall** con Ironchip por [RADIUS](https://docs.ironchip.com/identidad/protocolos/radius/) a través de [NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/) o con códigos [OTP](https://docs.ironchip.com/identidad/protocolos/otp/). ## RADIUS con NPS Implementa el servicio RADIUS en Sophos e intégralo con un servidor NPS en un entorno de Active Directory. ### Requisitos - Acceso a la consola de administración de Ironchip. - Un servidor Windows con el rol de [NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/) configurado y protegido por Ironchip. - Una cuenta con permisos para realizar la configuración en Sophos. ### Configuración en Sophos 1. Ve al apartado **Autenticación**. 2. En la sección **Servers**, haz clic en **ADD** para añadir el servicio RADIUS. 3. En **Server Type**, selecciona `RADIUS Server` y completa los campos: 1. Nombre del servidor NPS. 2. IP del servidor NPS. 3. Puerto de autenticación. Viene con `1812` por defecto; en este ejemplo se cambia a `1645`. Usa el puerto en el que escuche tu servidor NPS. 4. Tiempo de espera para la autenticación. Te recomendamos `60` segundos, como en el resto de integraciones RADIUS, para que dé tiempo a aceptar la notificación de Ironchip. 5. Secreto compartido. 6. **Group name attribute**: para probar la conexión, déjalo de momento en `group`. 4. Comprueba la conexión con el servidor con las credenciales de un usuario que tenga acceso a la aplicación de NPS en la consola de administración de Ironchip. ### Crear el grupo de usuarios en Sophos Si usas ahora la autenticación RADIUS en un servicio de Sophos, falla, porque los usuarios no están en la base de datos local de Sophos. Para solucionarlo, crea un grupo en Sophos donde se almacenarán los usuarios con permisos de autenticación. 1. Ve a la sección **Grupos** y haz clic en **Add**. Si ya tienes un grupo creado, no hace falta. 2. Rellena los campos obligatorios. ### Añadir un atributo a la política de red Indica al servidor NPS, mediante un atributo, qué grupo gestiona los usuarios de autenticación. 1. En NPS, abre la [directiva de red](https://docs.ironchip.com/identidad/integraciones/red/nps/) generada anteriormente haciendo doble clic sobre ella. 2. Ve al apartado **Configuración**. 3. En **Atributos RADIUS**, elige **Estándar**, haz clic en **Agregar**, selecciona el atributo `Filter-Id` y haz clic en **Agregar**. 4. En la ventana siguiente, indica el valor del atributo: formato **Cadena** y, debajo, el grupo que creaste en Sophos. 5. En Sophos, ve a **Autenticación**, en la sección **Servers** edita la configuración hecha antes y en **Group name attribute** indica `Filter-Id`. ### Comprobación En la sección **Services** están todos los servicios de Sophos en los que puedes usar RADIUS. En este ejemplo se prueba con el portal de usuario de Sophos. 1. Ve a **User portal authentication methods**, activa la casilla **RADIUS** y muévelo por encima de **Local** para que tenga prioridad. Haz clic en **Aplicar**. 2. En **Administración > Admin and Users settings** está el apartado con los puertos de los distintos portales de Sophos. En este ejemplo el portal de usuario está en el `4443`. 3. Entra en el portal de usuario e inicia sesión con un usuario que esté en el dominio y configurado en la consola de administración de Ironchip. En el ejemplo se usa un usuario de prueba. 4. Al conectar con un usuario que no existe en la base de datos local de Sophos, Sophos lo crea y lo añade al grupo indicado en la directiva de red. 5. Al introducir las credenciales, recibes una notificación del autenticador de Ironchip para aceptarla. ### Usar RADIUS en la VPN SSL Para el servicio de VPN, el proceso es similar: 1. Ve a **Autenticación**, abre el apartado **VPN SSL**, activa la casilla **RADIUS** y colócalo por encima de **Local** para que tenga prioridad. 2. Descarga el archivo de configuración desde el portal de usuarios y añádelo al cliente VPN. ### Problemas frecuentes - **La prueba de conexión o el inicio de sesión fallan por tiempo de espera**: sube el tiempo de espera del servidor RADIUS a `60` segundos. El usuario tiene que aceptar la notificación de Ironchip antes de que se agote. - **El servidor NPS rechaza la petición**: comprueba que el secreto compartido y el puerto son los mismos en Sophos y en NPS, y que Sophos está configurado como cliente RADIUS en NPS. ## OTP Configura los códigos OTP en Sophos y añádelos al autenticador de Ironchip. ### Requisitos - La app de Ironchip instalada y configurada en tu dispositivo. - Sophos desplegado e instalado correctamente. ### Configuración en Sophos 1. En el panel de administración de Sophos, entra en **Autenticación**. [Imagen: Apartado Autenticación en el panel de Sophos] 2. Ve a **Autenticación multifactor** y activa y configura el OTP en esta pestaña. [Imagen: Pestaña Autenticación multifactor con las opciones de OTP] 1. Selecciona si el OTP no se utiliza, se utiliza o se utiliza para grupos y usuarios concretos. 2. Activa esta opción para que los usuarios tengan que configurar el OTP en el siguiente inicio de sesión. 3. Selecciona qué servicios utilizan OTP. 3. Para usar OTP con la cuenta de administrador, ve a **Administración** y entra en **Acceso de dispositivo**. [Imagen: Apartado Acceso de dispositivo en Administración] 4. Baja hasta la sección **MFA** y activa **MFA para el administrador predeterminado**. [Imagen: Opción MFA para el administrador predeterminado] 5. Al hacer clic en **Aplicar**, aparece una ventana en la que debes seleccionar **Generar un token de software**. [Imagen: Ventana para generar un token de software] 6. Aparece un código QR. Escanéalo con la app de Ironchip desde la sección **OTP** y escribe la contraseña del administrador y el código OTP en la misma línea: ```text <000000> ``` [Imagen: Código QR para escanear con la app de Ironchip] A partir de ahora, cada vez que un usuario con OTP habilitado entre en alguno de los servicios configurados con OTP, tendrá que escribir la contraseña y el código OTP en la misma línea: `<000000>`. ### Problemas frecuentes #### Credenciales correctas pero acceso denegado Si el usuario y la contraseña con el OTP son correctos pero no permite la entrada: 1. En el panel de administración de Sophos, entra en **Autenticación**. [Imagen: Apartado Autenticación en el panel de Sophos] 2. Ve a **Autenticación multifactor**. Al final de la página hay una lista de usuarios con OTP habilitado. [Imagen: Lista de usuarios con OTP habilitado] 3. Haz clic en el icono de sincronización del usuario afectado. [Imagen: Icono de sincronización del usuario] 4. Introduce el código OTP de esa cuenta de usuario y ejecuta la sincronización. [Imagen: Ventana de sincronización con el código OTP]