Desplegar Sophos Connect de forma centralizada en Windows

Sophos Connect se puede instalar y aprovisionar en Windows con scripts de inicio del equipo mediante GPO. Conviene separar tres tareas: el MSI instala el cliente, el archivo .pro controla la obtención de las configuraciones VPN permitidas y SCCLI consulta o modifica conexiones. Así se pueden verificar y revertir por separado el paquete, el perfil y la automatización.

Para un solo equipo, consulte Instalar Sophos Connect en Windows. La guía de aprovisionamiento explica la estructura y protección de .pro; la selección de versión y el orden de actualización se tratan en la guía de actualización.

Requisitos y decisiones del despliegue

Defina antes de distribuir:

• la versión y arquitectura de Windows admitidas por Sophos y la versión aprobada de Sophos Connect;
• IPsec, SSL VPN o ambas, incluida la autenticación, MFA y SSO;
• un VPN Portal accesible con un certificado de confianza para el cliente;
• un MSI verificado y una fuente .pro, .scx u .ovpn aprobada;
• acceso de lectura de la cuenta del equipo al script, al MSI y, cuando proceda, a la fuente del perfil;
• una OU o grupo piloto, una ventana de mantenimiento y una segunda vía de administración;
• el MSI anterior que siga teniendo soporte y su fuente de perfil para la reversión.

Una plataforma de distribución puede ejecutar el mismo paquete verificado como sistema local. Esto no implica compatibilidad con un paquete de Intune o RMM, su regla de detección o su tratamiento de códigos. Pruebe la llamada, la cuenta, la detección y los reinicios con la herramienta real.

Proteger el paquete y los perfiles

Guarde MSI, script y perfiles en un repositorio versionado que solo puedan modificar los administradores responsables. Los equipos de destino solo necesitan lectura. Antes de aprobarlos, compruebe firma digital, versión y un hash registrado internamente. No sustituya un archivo aprobado conservando el mismo nombre.

Un .pro normalmente no contiene contraseñas de usuario, pero puede revelar gateways internos, el puerto del VPN Portal y ajustes de aprovisionamiento. Los archivos .scx, .ovpn, certificados o claves precompartidas pueden ser más sensibles. No los coloque en recursos de lectura general, correos o tickets. No incluya contraseñas SCCLI en scripts ni argumentos de proceso.

1. Instalar el cliente mediante GPO

Sophos documenta un script de inicio que detecta scvpn.exe y ejecuta el MSI silenciosamente si falta el cliente. Sustituya la ruta UNC y el nombre completo del MSI:

@echo off
set "Sophos_Connect=Sophos\Connect\scvpn.exe"
if exist "%ProgramFiles(x86)%\%Sophos_Connect%" exit /b 0

rem Replace the UNC path and filename with the approved MSI source.
msiexec.exe /i "\\WINSERVER\Software\SophosConnect\SophosConnect_x64.msi" /qn
exit /b %ERRORLEVEL%

Añada el script en Group Policy Management Console > Computer Configuration > Policies > Windows Settings > Scripts > Startup. gpupdate /force actualiza las directivas; el script se ejecuta en el siguiente arranque.

La comprobación reproduce el patrón sencillo de Sophos, pero no detecta una versión errónea u obsoleta. El inventario debe verificar también la versión instalada. El código 0 también puede proceder de la salida anticipada cuando la ruta del archivo ya existe, sin que se haya ejecutado msiexec. El código de retorno del instalador solo se transmite si este se ejecuta realmente. Por tanto, un valor 0 no demuestra ni la instalación ni que la versión sea correcta; compruebe por separado la versión y el estado del servicio. Trate 1641 y 3010 como resultados MSI de reinicio, no como códigos SCCLI.

2. Distribuir el archivo de aprovisionamiento

El segundo script documentado espera al servicio scvpn, descarga .pro y lo copia en C:\Program Files (x86)\Sophos\Connect\import\. Sophos Connect lo importa, lo elimina de la carpeta y obtiene del VPN Portal las configuraciones IPsec y SSL VPN permitidas.

El patrón oficial espera indefinidamente. Este ejemplo limita la espera a dos minutos y devuelve el error de descarga o copia:

@echo off
set /a WAIT_COUNT=0

:WAIT_FOR_SCVPN
sc query scvpn | findstr /C:"RUNNING" >NUL
if not errorlevel 1 goto DOWNLOAD_PROFILE
set /a WAIT_COUNT+=1
if %WAIT_COUNT% GEQ 24 exit /b 50
timeout /t 5 /nobreak >NUL
goto WAIT_FOR_SCVPN

:DOWNLOAD_PROFILE
powershell.exe -NoProfile -Command "$ErrorActionPreference='Stop'; Invoke-WebRequest 'https://software.example.net/vpn/company.pro' -OutFile '%TEMP%\company.pro'"
if errorlevel 1 exit /b %ERRORLEVEL%
copy /Y "%TEMP%\company.pro" "C:\Program Files (x86)\Sophos\Connect\import\company.pro" >NUL
exit /b %ERRORLEVEL%

software.example.net es un ejemplo. El host real necesita un certificado de confianza y permisos restrictivos. Durante el piloto, compare el contenido descargado con la fuente aprobada. El código local 50 de este script de inicio identifica el tiempo de espera y no es un código SCCLI. Mantenga la estructura JSON, vpn_portal_port, los campos MFA y los gateways múltiples en la guía de aprovisionamiento.

3. Automatizar SCCLI de forma controlada

SCCLI suele estar en C:\Program Files (x86)\Sophos\Connect. sccli ? muestra los comandos. Para consultar versión y conexiones:

cd /d "C:\Program Files (x86)\Sophos\Connect"
sccli show -v
if errorlevel 1 exit /b %ERRORLEVEL%
sccli list -d
set "SCCLI_RC=%ERRORLEVEL%"
exit /b %SCCLI_RC%

Para añadir un perfil local con un nombre único:

sccli add --file "C:\ProgramData\Company\VPN\branch.scx" --name "Company VPN" --overwrite
set "SCCLI_RC=%ERRORLEVEL%"
exit /b %SCCLI_RC%

add falla si la directiva no permite conexiones no administradas. remove --name "Company VPN" solo elimina conexiones creadas con add, no las administradas. enable y disable cambian el estado del túnel; enable pide interactivamente las credenciales ausentes. Un proceso desatendido no debe pasar una contraseña en texto claro mediante --password.

Códigos de retorno SCCLI documentados

Guarde el código justo después de cada llamada: otro comando puede sobrescribir %ERRORLEVEL%.

Algunas herramientas representan -1 como código sin signo. Pruebe el wrapper exacto de producción. Todo código desconocido es un error; registre hora, versión, contexto y comando sin secretos.

Piloto, aprobación y reversión

Un cambio de versión puede interrumpir VPN activas. Pruebe la desinstalación e instalación silenciosas con el MSI concreto o su Product ID dependiente de la versión. Separe resultados MSI y SCCLI.

El piloto abarca cada arquitectura Windows, tipo de perfil y método de autenticación que se vaya a aprobar. Compruebe:

1. firma, hash y versión instalada;
2. inicio de scvpn y Sophos Connect tras reiniciar e iniciar sesión;
3. importación .pro o salida SCCLI esperada;
4. inicio de sesión, MFA o SSO y dirección VPN asignada;
5. DNS interno, un destino permitido y otro bloqueado deliberadamente;
6. reconexión tras cambiar de red y volver a iniciar sesión;
7. códigos de despliegue, MSI y SCCLI en el registro central.

Continúe después por anillos. Tras cada uno, compare versión y perfil con el objetivo, ejecute sccli list -d y pruebe la ruta de datos. Un estado verde no demuestra DNS, autorización ni tráfico de retorno.

Ante un incidente, detenga la distribución y conserve primero hora, códigos, versión y datos de soporte. Desinstale la versión defectuosa por la vía aprobada, instale el MSI anterior que siga teniendo soporte y restaure su fuente de perfil. Repita todo el piloto para confirmar la reversión.

Si también falla, continúe con el diagnóstico de Sophos Connect en Windows. Compruebe reglas y ruta de datos por separado con Probar una regla de firewall, en lugar de cambiar paquete o perfil por sospecha.