Sophos Firewall

Esta guía explica cómo proteger Sophos Firewall con Ironchip por RADIUS a través de NPS o con códigos OTP.

RADIUS con NPS

Implementa el servicio RADIUS en Sophos e intégralo con un servidor NPS en un entorno de Active Directory.

Requisitos

• Acceso a la consola de administración de Ironchip.
• Un servidor Windows con el rol de NPS configurado y protegido por Ironchip.
• Una cuenta con permisos para realizar la configuración en Sophos.

Configuración en Sophos

1. Ve al apartado Autenticación.

2. En la sección Servers, haz clic en ADD para añadir el servicio RADIUS.

3. En Server Type, selecciona RADIUS Server y completa los campos:

   1. Nombre del servidor NPS.
   2. IP del servidor NPS.
   3. Puerto de autenticación. Viene con 1812 por defecto; en este ejemplo se cambia a 1645. Usa el puerto en el que escuche tu servidor NPS.
   4. Tiempo de espera para la autenticación. Te recomendamos 60 segundos, como en el resto de integraciones RADIUS, para que dé tiempo a aceptar la notificación de Ironchip.
   5. Secreto compartido.
   6. Group name attribute: para probar la conexión, déjalo de momento en group.

4. Comprueba la conexión con el servidor con las credenciales de un usuario que tenga acceso a la aplicación de NPS en la consola de administración de Ironchip.

Crear el grupo de usuarios en Sophos

Si usas ahora la autenticación RADIUS en un servicio de Sophos, falla, porque los usuarios no están en la base de datos local de Sophos. Para solucionarlo, crea un grupo en Sophos donde se almacenarán los usuarios con permisos de autenticación.

1. Ve a la sección Grupos y haz clic en Add. Si ya tienes un grupo creado, no hace falta.
2. Rellena los campos obligatorios.

Añadir un atributo a la política de red

Indica al servidor NPS, mediante un atributo, qué grupo gestiona los usuarios de autenticación.

1. En NPS, abre la directiva de red generada anteriormente haciendo doble clic sobre ella.
2. Ve al apartado Configuración.
3. En Atributos RADIUS, elige Estándar, haz clic en Agregar, selecciona el atributo Filter-Id y haz clic en Agregar.
4. En la ventana siguiente, indica el valor del atributo: formato Cadena y, debajo, el grupo que creaste en Sophos.
5. En Sophos, ve a Autenticación, en la sección Servers edita la configuración hecha antes y en Group name attribute indica Filter-Id.

Comprobación

En la sección Services están todos los servicios de Sophos en los que puedes usar RADIUS. En este ejemplo se prueba con el portal de usuario de Sophos.

1. Ve a User portal authentication methods, activa la casilla RADIUS y muévelo por encima de Local para que tenga prioridad. Haz clic en Aplicar.
2. En Administración > Admin and Users settings está el apartado con los puertos de los distintos portales de Sophos. En este ejemplo el portal de usuario está en el 4443.
3. Entra en el portal de usuario e inicia sesión con un usuario que esté en el dominio y configurado en la consola de administración de Ironchip. En el ejemplo se usa un usuario de prueba.
4. Al conectar con un usuario que no existe en la base de datos local de Sophos, Sophos lo crea y lo añade al grupo indicado en la directiva de red.
5. Al introducir las credenciales, recibes una notificación del autenticador de Ironchip para aceptarla.

Usar RADIUS en la VPN SSL

Para el servicio de VPN, el proceso es similar:

1. Ve a Autenticación, abre el apartado VPN SSL, activa la casilla RADIUS y colócalo por encima de Local para que tenga prioridad.
2. Descarga el archivo de configuración desde el portal de usuarios y añádelo al cliente VPN.

Problemas frecuentes

• La prueba de conexión o el inicio de sesión fallan por tiempo de espera: sube el tiempo de espera del servidor RADIUS a 60 segundos. El usuario tiene que aceptar la notificación de Ironchip antes de que se agote.
• El servidor NPS rechaza la petición: comprueba que el secreto compartido y el puerto son los mismos en Sophos y en NPS, y que Sophos está configurado como cliente RADIUS en NPS.

OTP

Configura los códigos OTP en Sophos y añádelos al autenticador de Ironchip.

Requisitos

• La app de Ironchip instalada y configurada en tu dispositivo.
• Sophos desplegado e instalado correctamente.

Configuración en Sophos

1. En el panel de administración de Sophos, entra en Autenticación.

   

2. Ve a Autenticación multifactor y activa y configura el OTP en esta pestaña.

   

   1. Selecciona si el OTP no se utiliza, se utiliza o se utiliza para grupos y usuarios concretos.
   2. Activa esta opción para que los usuarios tengan que configurar el OTP en el siguiente inicio de sesión.
   3. Selecciona qué servicios utilizan OTP.

3. Para usar OTP con la cuenta de administrador, ve a Administración y entra en Acceso de dispositivo.

   

4. Baja hasta la sección MFA y activa MFA para el administrador predeterminado.

   

5. Al hacer clic en Aplicar, aparece una ventana en la que debes seleccionar Generar un token de software.

   

6. Aparece un código QR. Escanéalo con la app de Ironchip desde la sección OTP y escribe la contraseña del administrador y el código OTP en la misma línea:

   <contraseña><000000>

   

A partir de ahora, cada vez que un usuario con OTP habilitado entre en alguno de los servicios configurados con OTP, tendrá que escribir la contraseña y el código OTP en la misma línea: <contraseña><000000>.

Problemas frecuentes

Credenciales correctas pero acceso denegado

Si el usuario y la contraseña con el OTP son correctos pero no permite la entrada:

1. En el panel de administración de Sophos, entra en Autenticación.

   

2. Ve a Autenticación multifactor. Al final de la página hay una lista de usuarios con OTP habilitado.

   

3. Haz clic en el icono de sincronización del usuario afectado.

   

4. Introduce el código OTP de esa cuenta de usuario y ejecuta la sincronización.