Configurar Sophos SSL VPN en iPhone y iPad

Sophos Connect no admite iOS ni iPadOS directamente para IPsec o SSL VPN. Si se quiere conectar un iPhone o iPad mediante Sophos Firewall Remote Access, se utiliza por tanto un cliente compatible con OpenVPN. En muchos entornos, OpenVPN Connect es el estándar más evidente.

Este artículo describe el procedimiento práctico para Sophos SSL VPN en iPhone y iPad: instalar la app, obtener la configuración .ovpn, importar el perfil, probar la conexión y acotar errores típicos. Para la decisión básica entre Sophos Connect, SSL VPN, IPsec, clientes móviles y ZTNA, conviene empezar por Sophos Connect o SSL VPN: ¿qué solución de Remote Access encaja?.

Cuándo tiene sentido SSL VPN en iOS

SSL VPN en iPhone o iPad tiene sentido cuando usuarios móviles necesitan acceder ocasionalmente a sistemas internos y basta para ello un perfil VPN clásico.

Ejemplos típicos:

Acceso a aplicaciones web internas
Acceso administrativo a pocos sistemas desde un iPad
Acceso a servicios de archivos o herramientas internas mediante apps definidas
Trabajo externo temporal sin cliente de notebook administrado
Solución transitoria cuando ZTNA o un app proxy aún no está disponible

Para acceso permanente a muchos sistemas internos, un dispositivo móvil a menudo no es la mejor plataforma de destino. Entonces debería comprobarse si encaja mejor un cliente Windows o macOS administrado con Sophos Connect, un acceso ZTNA más limitado u otro diseño de Remote Access.

Clasificación frente a otros clientes

Esta guía se aplica a Sophos Firewall con SFOS y dispositivos móviles Apple. Según la plataforma o el punto de partida, puede encajar mejor otro artículo:

Configurar SSL VPN en iPhone y iPad: Este artículo.
Configurar SSL VPN con Sophos Connect en Windows: Configurar Sophos SSL VPN con Sophos Connect en Windows.
Configurar SSL VPN con Sophos Connect en macOS: Configurar Sophos SSL VPN con Sophos Connect en macOS.
Configurar SSL VPN en Android: Configurar Sophos SSL VPN en Android.
Instalar Sophos Connect en Windows: Instalar Sophos Connect Client en Windows.
Instalar Sophos Connect en macOS: Instalar Sophos Connect Client en macOS.

La delimitación es importante: Sophos Connect no es el cliente SSL VPN directo para iOS e iPadOS. Si se van a admitir dispositivos móviles, debe definirse internamente qué cliente compatible con OpenVPN se utilizará, de dónde proceden los perfiles y quién presta soporte en cambios de dispositivo.

Requisitos

Antes de la configuración deberían aclararse estos puntos:

Sophos Firewall con configuración de SSL-VPN-Remote-Access ya preparada
Usuario con autorización para SSL VPN
Acceso al VPN Portal o a un archivo .ovpn proporcionado administrativamente
Cliente compatible con OpenVPN en iPhone o iPad
MFA/OTP configurado, si Remote Access se protege con ello
Certificado válido para VPN Portal y acceso al firewall, si es posible
Reglas de firewall para tráfico desde la zona VPN
Diseño aclarado de Split Tunnel o Full Tunnel
Proceso de soporte para cambios de dispositivo, dispositivos perdidos y perfiles antiguos

Antes de una actualización a SFOS 22.0 MR1 o posterior, también debería comprobarse si todavía existen configuraciones antiguas de Remote Access IPsec. SSL VPN no se ve afectado directamente, pero muchas organizaciones vuelven a evaluar Remote Access en ese momento. El procedimiento se describe en Migrar Legacy Remote Access IPsec antes de SFOS 22 MR1.

Preparar firewall y VPN Portal

La configuración en iOS es solo el último paso. Antes, la configuración del firewall debe ser correcta.

En Sophos Firewall deberían revisarse estos puntos:

Abrir Remote access VPN.
Configurar SSL VPN para los usuarios o grupos necesarios.
Usar un pool de IP VPN sin solapamientos con LAN, WLAN, VLANs, Site-to-Site VPNs o redes domésticas típicas.
Configurar servidores DNS y sufijos de dominio adecuados si se usan nombres internos.
Activar MFA para Remote Access y probarlo con un usuario de prueba.
Crear una regla de firewall desde VPN hacia la zona de destino necesaria.
Activar logging durante la fase de introducción.
Exponer el VPN Portal mediante Administration > Device access solo con la amplitud necesaria.

El procedimiento completo del lado del firewall se describe en Configurar Sophos Firewall SSL VPN Remote Access.

El VPN Portal es un punto de entrada accesible públicamente. Si debe ser accesible desde internet, deberían planificarse conscientemente certificado, MFA, restricciones por país/origen y revisión de logs. Para el endurecimiento encaja Device Access y Local Service ACL en Sophos Firewall.

1. Instalar OpenVPN Connect

Instalar OpenVPN Connect desde el App Store: OpenVPN Connect.

Si en el entorno se ha estandarizado otro cliente compatible con OpenVPN, esa decisión debería documentarse. Se vuelve problemático cuando los usuarios utilizan en paralelo diferentes apps VPN, perfiles antiguos e instrucciones distintas.

Para soporte y operación debería definirse:

qué cliente recibe soporte
qué versión mínima de la app se espera
si los usuarios pueden instalar la app por su cuenta
cómo se distribuyen y retiran los perfiles
cómo se tratan dispositivos perdidos o sustituidos

2. Abrir el VPN Portal

En el iPhone o iPad, abrir el VPN Portal de Sophos Firewall en el navegador e iniciar sesión con el usuario VPN. Safari suele ser la vía más fiable para la descarga y la entrega del archivo .ovpn a OpenVPN Connect.

Si el VPN Portal se abre con un certificado no válido o no confiable, debería corregirse la causa. Una excepción permanente en el navegador no es un buen estándar operativo para Remote Access productivo.

Con MFA, debe probarse el procedimiento con un usuario de prueba real. Es especialmente importante si el segundo factor se solicita en un campo separado o si la contraseña y el código OTP deben introducirse en la forma esperada. Los fundamentos se describen en Activar MFA para Sophos Firewall WebAdmin, VPN Portal y Remote Access.

3. Descargar la configuración OVPN

En el VPN Portal, cambiar al área SSL VPN o VPN y descargar la configuración para Android/iOS. Según la versión de SFOS y la vista del portal, el enlace se llama aproximadamente Download configuration for Android/iOS.

El archivo descargado normalmente tiene la extensión .ovpn. Este archivo está vinculado al usuario y no debería compartirse con otros usuarios.

Importante:

El archivo debe proceder de la configuración actual del firewall.
No deberían reutilizarse archivos antiguos de archivos de correo o historiales de chat.
Después de cambios en SSL-VPN-Policy, certificado, gateway, DNS o grupo de usuarios, el perfil debería descargarse de nuevo.
Si un usuario deja la empresa o se pierde un dispositivo, deben revisarse el acceso del usuario, la pertenencia a grupos y la distribución de perfiles.

4. Importar el perfil en OpenVPN Connect

Si iOS no ofrece la importación automáticamente, el archivo .ovpn puede entregarse a OpenVPN Connect mediante la función de compartir. OpenVPN Connect muestra después el nuevo perfil y, durante la primera configuración, solicita autorización para crear una configuración VPN.

Esta confirmación de iOS es necesaria para que la app pueda crear una conexión VPN. Si se rechaza la confirmación, es posible que el perfil aparezca en la app, pero la conexión no podrá establecerse correctamente.

Cuando hay varios perfiles, el nombre debe ser inequívoco, por ejemplo con ubicación, entorno o nombre de empresa. Varios perfiles con nombres casi iguales son una causa frecuente de soporte.

5. Establecer la conexión VPN

Activar el perfil importado e iniciar sesión con el usuario VPN. Si MFA u OTP está activo, debe confirmarse el segundo factor según la configuración del firewall.

Después de establecer la conexión no basta con que la app OpenVPN se muestre como conectada. Lo decisivo es si los destinos internos previstos son accesibles y si el tráfico llega a la regla correcta en el firewall.

Comprobaciones después de la configuración

Como mínimo, deben comprobarse estos puntos con un usuario de prueba:

OpenVPN Connect muestra la conexión como conectada.
iOS muestra el símbolo VPN o el estado VPN.
El usuario recibe una dirección IP del pool SSL VPN esperado.
Los nombres DNS internos se resuelven correctamente.
Los servidores, aplicaciones web o servicios necesarios son accesibles.
El comportamiento de internet coincide con el diseño: Split Tunnel o Full Tunnel.
En Log Viewer se ve la regla de firewall esperada para tráfico desde la zona VPN.
MFA se solicita según lo previsto.
Volver a probar la conexión después de modo avión, cambio de WLAN o cambio a red móvil.
Los perfiles antiguos se han eliminado o marcado claramente como obsoletos.

Si la conexión se establece pero no funciona ningún acceso, la causa suele estar no en el cliente móvil, sino en reglas de firewall, DNS, routing o NAT. Para el análisis encaja Probar una regla de firewall con Log Viewer, Policy Test y Packet Capture.

¿Distribución manual o MDM?

Para pocos iPhones o iPads, la importación manual mediante VPN Portal, Safari y OpenVPN Connect puede ser suficiente. Pero en cuanto hay varios usuarios, muchos dispositivos o cambios de dispositivo regulares, la distribución de perfiles debería planificarse conscientemente. De lo contrario, archivos .ovpn antiguos quedan en correos, chats o carpetas privadas de descargas y reaparecen meses después en casos de soporte.

Importación manual: pocos dispositivos, grupo piloto, uso ocasional. instrucciones claras, perfil actual, prueba de MFA y eliminación de perfiles antiguos.
Distribución mediante MDM o Endpoint Management: dispositivos administrados, muchos usuarios, cambios recurrentes. versión del perfil, instalación de la app, pérdida de dispositivo, retirada de perfiles antiguos y proceso de soporte.

Lo importante es la retirada. Si se sustituye un dispositivo, un usuario sale de la empresa o se modifica una SSL-VPN-Policy, no basta con distribuir un perfil nuevo. También deben comprobarse perfiles antiguos, pertenencias a grupos y posibles credenciales guardadas.

Operación y seguridad

Los perfiles VPN móviles necesitan reglas operativas claras. iPhones y iPads cambian con frecuencia entre WLAN, red móvil, hotspots y Captive Portals. Además, los dispositivos móviles se pierden con más facilidad o se sustituyen más rápido que los notebooks corporativos clásicos.

Buenas prácticas:

Actualizar OpenVPN Connect con regularidad.
Activar y probar MFA para Remote Access.
Revisar regularmente los grupos VPN.
Limitar el VPN Portal mediante Device Access y Local Service ACL en la medida de lo posible.
Mantener estrechas y registrar las reglas de firewall para la zona VPN.
Eliminar archivos .ovpn antiguos y perfiles obsoletos.
Considerar cambios de dispositivo y dispositivos perdidos en el proceso de soporte.
Planificar Syslog o evaluación centralizada si se requiere conservación prolongada de logs.

Para archivos de log y service logs es útil Sophos Firewall Troubleshooting: servicios y logs.

Errores típicos

El archivo OVPN no se puede abrir

Primero comprobar si OpenVPN Connect está instalado y si el archivo existe realmente como .ovpn. Después, descargar de nuevo el archivo desde el VPN Portal o entregarlo a OpenVPN Connect mediante la función de compartir.

Si el archivo se distribuye mediante MDM, correo electrónico o recurso compartido de archivos, debería comprobarse si se modificó, renombró o bloqueó durante el transporte.

La importación funciona, pero la conexión no

Entonces a menudo la autorización de iOS para la configuración VPN no se concedió correctamente o el perfil no coincide con la configuración actual del firewall. Eliminar el perfil, obtener de nuevo el archivo .ovpn actual e importarlo otra vez.

El inicio de sesión falla

Comprobar usuario, contraseña, MFA, pertenencia a grupos y servidor de autenticación. Si intervienen AD, RADIUS o Microsoft Entra ID SSO, la autenticación debería probarse separada de la VPN. Un problema de login no es automáticamente un problema de OpenVPN.

La conexión está activa, pero los sistemas internos no son accesibles

Comprobar DNS, reglas de firewall, routing, NAT y ruta de retorno. En Log Viewer debería verse tráfico desde la zona VPN. Si no aparecen logs, probablemente el tráfico no llega a la regla esperada o el logging está desactivado.

En sistemas internos concretos, a menudo no es la VPN la que está defectuosa, sino una regla de firewall faltante, un nombre DNS incorrecto o una ruta de retorno en la red de destino.

Si accesos pequeños funcionan pero transferencias de archivos mayores o determinadas aplicaciones se quedan colgadas, también debería comprobarse MTU/MSS: Comprobar MTU y MSS en Sophos Firewall ante problemas de VPN.

Los nombres internos no se resuelven

Comprobar servidores DNS y dominio de búsqueda en la configuración SSL VPN. Después, probar si los sistemas internos son accesibles por dirección IP. Si la IP funciona pero el nombre no, la causa probablemente está en DNS, no en la conexión VPN en sí.

La conexión se interrumpe al cambiar de red

En dispositivos móviles, los cambios de WLAN, cambios a red móvil, Captive Portals y mecanismos de ahorro de energía son causas típicas. Probar con una segunda red y comprobar si el comportamiento es reproducible.

Si los usuarios cambian con frecuencia entre redes, debería comprobarse si la aplicación puede tolerar interrupciones breves de VPN o si encaja mejor otro modelo de acceso.

Checklist

Antes del rollout

Cliente OpenVPN compatible definido.
Grupo de usuarios SSL VPN comprobado.
MFA para Remote Access probado.
VPN Portal accesible con certificado válido.
Device Access y acceso desde internet limitados conscientemente.
Reglas de firewall para la zona VPN creadas y registradas.
Split Tunnel o Full Tunnel documentado.
Distribución de perfiles y proceso de cambio de dispositivos aclarados.

Después de la importación

Perfil visible en OpenVPN Connect.
Autorización VPN de iOS confirmada.
Conexión establecida con usuario de prueba.
DNS, destinos internos y coincidencia de regla de firewall comprobados.
WLAN, red móvil y cambios de red probados.
Perfiles antiguos eliminados.

En operación

Mantener actualizados OpenVPN-App e iOS.
Revisar regularmente los grupos de usuarios.
Eliminar perfiles antiguos cuando un usuario sale o se pierde un dispositivo.
Revisar pronto los VPN logs en casos de soporte.
En problemas móviles recurrentes, comprobar ZTNA o acceso basado en apps.

FAQ

¿Sophos Connect admite SSL VPN en iOS?

No. Sophos Connect no admite iOS ni iPadOS directamente para IPsec y SSL VPN. En iPhone y iPad se usa un cliente compatible con OpenVPN.

¿Debe usarse OpenVPN Connect?

No necesariamente. Sin embargo, OpenVPN Connect es un estándar habitual para perfiles OpenVPN en iOS. Si se utiliza otro cliente, debería documentarse y recibir soporte internamente de forma clara.

¿Funciona MFA con SSL VPN en iOS?

Sí, si MFA está configurado correctamente en Sophos Firewall para Remote Access. Según la configuración, el segundo factor se procesa durante el login o mediante la entrada de contraseña.

¿SSL VPN en iOS es mejor que IPsec?

No de forma general. SSL VPN suele ser práctico cuando ya existen perfiles OpenVPN. Para algunos entornos puede encajar mejor otro diseño de Remote Access con IPsec, ZTNA o acceso basado en apps.

¿Por qué la conexión funciona, pero ninguna aplicación interna?

Entonces el túnel es solo una parte de la comprobación. A menudo faltan reglas de firewall, resolución DNS, routing o rutas de retorno. En Log Viewer debería comprobarse si el tráfico desde la zona VPN llega a la regla esperada.