La VPN SSL en macOS solía configurarse con Tunnelblick u otros clientes OpenVPN. Esto todavía es posible, pero ya no es la única opción obvia: desde Sophos Connect 2.0, Sophos también admite VPN SSL de acceso remoto en macOS.

El artículo describe la ruta estándar actual con Sophos Connect en macOS y clasifica Tunnelblick como alternativa. A la hora de decidir entre Sophos Connect, SSL VPN, IPsec, clientes móviles y ZTNA, lo primero que encaja es Sophos Connect o SSL VPN: ¿Qué solución tiene el acceso remoto?.

¿Qué artículo sobre VPN para macOS encaja?

Estas instrucciones se aplican a Sophos Firewall con SFOS y SSL VPN en macOS. Dependiendo de la tarea, es apropiado un enfoque diferente:

• Instale Sophos Connect de forma general en macOS: Instalar el cliente Sophos Connect en macOS.
• Configurar SSL VPN en el lado del firewall: Configurar el acceso VPN SSL remoto desde Sophos Firewall.
• Configure SSL VPN en macOS con Sophos Connect: Este artículo.
• Configurar SSL VPN en Windows: Configurar Sophos SSL VPN con Sophos Connect en Windows.
• Configure SSL VPN en iPhone, iPad o Android: iPhone/iPad o Android.
• Mantener versiones y perfiles del cliente de Sophos Connect: Completar y actualizar la versión de Sophos Connect Client.
• La VPN está conectada pero el tráfico no funciona: Compruebe el control del firewall con Visor de registros, Prueba de políticas y Captura de paquetes.

Sophos Connect no admite directamente plataformas móviles como iOS y Android para IPsec y SSL VPN. Allí siguen siendo relevantes los clientes compatibles con OpenVPN o las funciones del sistema operativo.

Requisitos

• Configuración de Sophos Firewall con acceso remoto SSL VPN
• Usuarios autorizados para SSL VPN
• Acceso al portal VPN o a un archivo .ovpn proporcionado administrativamente
• Sophos Connect 2.0 o posterior
• macOS Ventura 13 o posterior con Sophos Connect 2.0+
• Mac con procesador Intel o Apple Silicon vía Rosetta 2
• MFA/OTP configurado si el acceso remoto está protegido con él
• Reglas de firewall para el tráfico desde la zona VPN

Si la configuración VPN SSL del lado del firewall aún no está implementada, primero se debe implementar Configurar el acceso remoto VPN SSL de Sophos Firewall.

Antes de actualizar SFOS 22 MR1, también debe verificar si aún existen configuraciones IPsec de acceso remoto antiguas. SSL VPN no se ve directamente afectado por esto, pero muchos entornos están reevaluando el acceso remoto en este momento. El proceso está en Migrar IPsec de acceso remoto heredado antes de SFOS 22 MR1.

¿Sophos Connect o Tunnelblick?

Para nuevas implementaciones de macOS, se debe verificar primero Sophos Connect porque Sophos Connect es el cliente propio de Sophos y admite SSL VPN en macOS desde la versión 2.0. Tunnelblick sigue siendo una alternativa a OpenVPN, pero no debería surgir como un segundo estándar no planificado.

• Conexión de Sophos: Macs administrados, proceso de soporte unificado, entorno SFOS actual. Versión, requisitos de macOS, Rosetta 2 en Apple Silicon y perfil actual de .ovpn.
• Tunnelblick u otro cliente OpenVPN: proceso OpenVPN existente, casos especiales, desviación deliberada de Sophos Connect. Documente claramente la versión de OpenVPN, el mantenimiento del perfil, el comportamiento de DNS y la responsabilidad de soporte.

El nombre del cliente es menos importante que la operación: debe quedar claro qué cliente es compatible, qué versión se distribuye, de dónde proviene el perfil y cuándo los usuarios necesitan importar un nuevo perfil.

1. Implementar Sophos Connect para macOS

Sophos Connect se puede implementar a través de Sophos Firewall, el Portal VPN o la Página de descarga de Sophos, según su entorno. En entornos administrados, debe quedar claro qué versión de cliente se está implementando y si Rosetta 2 está presente en los dispositivos Apple Silicon.

SSL VPN en macOS requiere Sophos Connect 2.0 o posterior. Por lo tanto, no se deben utilizar instrucciones internas o paquetes de instalación antiguos sin comprobarlos. Sophos Connect 2.0 MR1 trae varias correcciones específicas de macOS, incluida la configuración de DNS para conexiones VPN SSL y la opción de guardar credenciales. Después de una actualización, se debe volver a importar el perfil si se va a utilizar esta opción.

2. Obtener la configuración de OVPN

La configuración de SSL VPN se proporciona como un archivo .ovpn. Dependiendo del modelo operativo, los usuarios los descargan desde el portal VPN o los reciben controlados a través del proceso de administración.

Proceso típico en el portal VPN:

1. Abra el portal VPN de Sophos Firewall.
2. Inicie sesión con el usuario de VPN.
3. Cambie al área VPN.
4. Descargue la configuración de VPN SSL para el perfil.
5. Guarde el archivo .ovpn de forma segura y utilícelo únicamente para el usuario autorizado.

Si el navegador advierte sobre el certificado del portal se debe comprobar la causa. En entornos productivos, un certificado válido para el portal VPN es más limpio que una excepción persistente del navegador. Acceso a dispositivos y ACL de servicio local en Sophos Firewall es adecuado para endurecimiento.

Después de cualquier cambio en la puerta de enlace, el puerto, el certificado, el DNS, el rango de concesión, la autenticación o la política de VPN SSL, se debe volver a descargar e importar el perfil. Una actualización de cliente por sí sola no actualiza un perfil .ovpn antiguo.

3. Importar conexión a Sophos Connect

Abra Sophos Connect e importe el archivo .ovpn. La conexión debería aparecer entonces en la lista de conexiones. Si tiene varios perfiles, es importante tener un nombre único para que los usuarios y el soporte no utilicen accidentalmente el perfil incorrecto.

Si la importación no funciona, primero verifique la versión del cliente, el tipo de archivo y el origen del archivo de configuración. SSL VPN en macOS requiere Sophos Connect 2.0 o posterior.

4. Establecer una conexión VPN

Seleccione la conexión importada y haga clic en Connect. Luego inicie sesión con el usuario de VPN. Si MFA u OTP están activos, el segundo factor debe confirmarse según la configuración del firewall.

Una vez establecida la conexión, no sólo se debe comprobar el estado en el cliente. Lo crucial es si se pueden alcanzar los objetivos internos requeridos.

Verificar después de la instalación

Al menos estos puntos deberían comprobarse con un usuario de prueba:

• Sophos Connect muestra la conexión como conectada.
• El usuario recibe una dirección IP del grupo VPN SSL esperado.
• Los nombres DNS internos se resuelven correctamente.
• Se puede acceder a los servidores y aplicaciones necesarios.
• El comportamiento de Internet corresponde al diseño: túnel dividido o túnel completo.
• La regla de firewall esperada para el tráfico de la zona VPN es visible en el visor de registros.
• Se consulta MFA según lo previsto.
• Trabajo de desconexión y reinicio de sesión.

Si se establece la conexión pero no funciona el acceso, la causa no suele ser el cliente, sino las reglas del firewall, DNS, enrutamiento o NAT. Verificar el control del firewall con Log Viewer, Policy Test y Packet Capture es adecuado para el análisis.

Prueba de aceptación en macOS

Después de la configuración, debe documentar un caso de prueba real, no solo el estado del cliente ecológico.

• Verifique la versión de Sophos Connect: La versión del cliente coincide con la versión de macOS y es compatible con SSL VPN.
• Pruebe el silicio de Apple: Rosetta 2 está disponible y el cliente se inicia de manera confiable.
• Verificar importación de perfil: El perfil .ovpn proviene de la configuración actual del firewall.
• Prueba MFA: Iniciar sesión con el factor correcto e incorrecto se comporta de manera comprensible.
• Probar DNS: Los nombres internos se resuelven correctamente, no sólo las direcciones IP.
• Acceso de prueba: Los objetivos permitidos funcionan, los objetivos no autorizados permanecen bloqueados.
• Verificar visor de registros: El tráfico de la zona VPN alcanza la regla de firewall esperada.
• Prueba de reconexión: Desconectar y reconectar obras sin cambiar de perfil.

Si se utilizan varias versiones de macOS en la empresa, se debe probar al menos una Mac Intel y una Mac Apple Silicon. Para clientes mixtos, también debe comprobar que Sophos Connect y Tunnelblick no utilizan perfiles o resultados de DNS diferentes.

Alternativa: Tunnelblick u otro cliente OpenVPN

Tunnelblick puede seguir siendo útil si no se va a utilizar Sophos Connect o si se conserva deliberadamente un proceso OpenVPN existente. Sin embargo, esta variante debería documentarse como estándar operativo independiente para que Sophos Connect, Tunnelblick y los perfiles antiguos no estén en circulación al mismo tiempo.

Con Tunnelblick se importa el archivo .ovpn. Después de eso, se debe verificar la versión de OpenVPN, el perfil, el inicio de sesión del usuario y el comportamiento de DNS. Las especificaciones generales antiguas para una versión específica de OpenVPN no deben adoptarse sin verificarlas; Los factores decisivos son la versión del firewall utilizada actualmente, la versión del cliente y el perfil específico.

Operaciones y Seguridad

SSL VPN es un servicio de acceso remoto disponible públicamente. Por eso no sólo debes documentar la instalación, sino también el funcionamiento:

• Actualice Sophos Connect o el cliente OpenVPN periódicamente.
• Activar y probar MFA para acceso remoto.
• Verifique los grupos VPN con regularidad.
• Limite el acceso al portal a través del acceso al dispositivo y la ACL del servicio local cuando sea posible.
• Mantenga estrictas las reglas del firewall para la zona VPN y regístrese.
• Eliminar archivos .ovpn antiguos y perfiles obsoletos.
• Si los registros se almacenan durante un período de tiempo más largo, planifique una evaluación central o syslog.

Para los conceptos básicos de MFA, Habilite MFA para Sophos Firewall WebAdmin, portal VPN y acceso remoto es adecuado. Para archivos de registro y registros de servicios, es útil Solución de problemas de Sophos Firewall: servicios y registros.

Lista de verificación de implementación de macOS

• Se define el cliente predeterminado admitido: Sophos Connect o deliberadamente un cliente OpenVPN.
• La versión de Sophos Connect es adecuada para macOS Ventura 13 o posterior.
• Los dispositivos Apple Silicon han incluido Rosetta 2 en el lanzamiento.
• El perfil .ovpn proviene de la configuración VPN SSL actual.
• VPN Portal utiliza un certificado válido.
• El usuario está incluido en la política VPN SSL correcta.
• El comportamiento de MFA está documentado y probado con un usuario de prueba.
• Se probaron DNS, dominio de búsqueda y sistemas de destino internos en macOS.
• Reglas de firewall para el tráfico de prueba de registro de zona VPN.
• Después de los cambios de perfil, queda claro quién informará a los usuarios sobre la nueva importación.

Solución de problemas

Sophos Connect no importa el archivo OVPN

Primero debe comprobar si está instalado Sophos Connect 2.0 o posterior y si el archivo realmente proviene de la configuración VPN SSL actual. Luego vuelva a cargar el archivo desde el portal VPN o vuelva a implementarlo administrativamente.

Los nombres internos no se resuelven

Verifique los servidores DNS, los dominios de búsqueda y la configuración de VPN SSL en el firewall. Para Sophos Connect en macOS, también se debe verificar el estado del cliente porque Sophos solucionó un problema de DNS con las conexiones VPN SSL en macOS en la versión 2.0 MR1.

Si las direcciones IP funcionan pero los nombres no, es un problema de DNS o de dominio de búsqueda. Si las direcciones IP tampoco funcionan, es más probable que haya enrutamiento, reglas de firewall o ruta de retorno.

Se establece la conexión, pero no se puede acceder a los sistemas internos

Verifique las reglas del firewall, el enrutamiento, la NAT y la ruta de retorno. El tráfico de la zona VPN debería ser visible en el visor de registros. Si no aparece ningún registro, es probable que el tráfico no alcance la regla esperada o que el registro esté deshabilitado.

Si los accesos pequeños funcionan, pero las transferencias de archivos más grandes o ciertas aplicaciones se bloquean, también se debe verificar MTU/MSS: Verifique Sophos Firewall MTU y MSS para detectar problemas desde VPN.

La conexión ya no funciona después del cambio de perfil

Después de realizar cambios en la puerta de enlace, el certificado, el puerto, el DNS, el rango de concesión o la autenticación, se debe volver a importar el perfil .ovpn. Si solo se ha actualizado el cliente pero un perfil antiguo sigue en uso, aún se pueden usar destinos, puertos o valores DNS antiguos.

Los datos de acceso a guardar no son visibles

Sophos ha vuelto a habilitar la opción para guardar credenciales en Sophos Connect 2.0 MR1 para macOS. Después de la actualización, se debe volver a importar la configuración para que se pueda utilizar la opción. En entornos con MFA, aún se debe comprobar si el almacenamiento de los datos de acceso se ajusta al concepto de seguridad.#

La conexión se interrumpe en redes extranjeras

SSL VPN suele ser más tolerante que IPsec, pero no es inmune a redes restrictivas, portales cautivos, coerción de proxy o WLAN inestables. En tales casos, pruebe con una segunda red y compruebe si el túnel dividido, el puerto, el protocolo o ZTNA son más adecuados.

Recopilar datos de soporte

Si el error no es visible de inmediato, debe documentar los registros del cliente, la hora, el usuario, la red de origen y el sistema de destino. En el lado del firewall, Log Viewer, sslvpn.log, openvpn-status*.log y la regla de firewall adecuada ayudan en paralelo. La asignación de los archivos de registro se puede encontrar en Solución de problemas de Sophos Firewall: servicios y registros.

Preguntas frecuentes