Instalar Sophos Connect Client en macOS

Sophos Connect 2.1 para macOS admite IPsec y SSL VPN en Macs Intel y Apple Silicon desde macOS 14. En Apple Silicon, esta versión se ejecuta de forma nativa. El instalador se descarga desde el VPN Portal de la propia organización en VPN > Download for macOS; TI proporciona la dirección del portal y el perfil de conexión adecuado.

Después de la instalación se importa una .scx para IPsec o una .ovpn para SSL VPN. Desde 2.1, TI puede proporcionar en su lugar una .pro para obtener los perfiles automáticamente. El artículo explica la descarga, la instalación, la importación del perfil y las comprobaciones posteriores. Para decidir entre Sophos Connect, SSL VPN, clientes OpenVPN y ZTNA, consulte Sophos Connect o SSL VPN: ¿qué solución de acceso remoto conviene?.

¿Qué artículo corresponde a cada tarea?

Sophos Connect en macOS se solapa fácilmente con otros artículos sobre acceso remoto. Según la tarea, puede ser más útil empezar por otra guía:

• Instalar Sophos Connect en macOS: este artículo.
• Configurar SSL VPN en macOS con .ovpn: Configurar Sophos SSL VPN con Sophos Connect en macOS.
• Preparar Sophos Connect en el firewall: Configurar Sophos Connect en Sophos Firewall.
• Planificar las versiones del cliente, las actualizaciones y el mantenimiento de perfiles: Comprobar y actualizar de forma segura la versión de Sophos Connect Client.
• Diagnosticar errores de importación, inicio de sesión o conexión: Solucionar problemas de Sophos Connect Client.
• La VPN está conectada, pero el tráfico no funciona: Probar una regla de firewall con Log Viewer, Policy Test y Packet Capture.

Esta separación es importante porque instalar el cliente es solo una parte del funcionamiento del acceso remoto. Las reglas de firewall, DNS, MFA, los certificados, VPN Portal y la distribución de perfiles siguen siendo puntos de control independientes.

Requisitos previos

• Sophos Firewall con una configuración de acceso remoto preparada
• Sophos Connect Client en una versión compatible con el firewall y la plataforma
• Mac Intel o Apple Silicon con una versión de macOS compatible con la versión del cliente; véase el resumen siguiente
• Archivo de configuración para IPsec (.scx) o SSL VPN (.ovpn), o una .pro proporcionada por TI desde el cliente 2.1
• ningún Sophos SSL VPN Client antiguo instalado en paralelo
• Cuenta de usuario con autorización VPN y, si está activada, MFA operativa
• Reglas de firewall para el tráfico procedente de la zona VPN o de la zona de acceso remoto utilizada

¿Qué versión corresponde al Mac?

A fecha de 21 de octubre de 2026, las notas de versión de Sophos indican Sophos Connect 2.1 para macOS, del 6 de octubre de 2026, como la edición actual para Mac. El número de versión superior 2.5 MR1 de Windows no corresponde a un paquete para macOS.

• 2.1 desde macOS 14 Sonoma: Intel y Apple Silicon; Apple Silicon con ARM nativo. Se admiten IPsec y SSL VPN, aprovisionamiento .pro y Microsoft Entra ID SSO. El inicio de sesión SSO en el navegador del sistema requiere además SFOS 22.0 MR3 o posterior.
• Línea 2.0 desde macOS 13 Ventura: IPsec y SSL VPN con importación manual de perfiles; Apple Silicon mediante Rosetta 2. La última versión de mantenimiento indicada es 2.0 MR1, del 21 de mayo de 2026. No están disponibles la ejecución ARM nativa, el aprovisionamiento .pro ni Entra ID SSO.
• Antes de 2.0: el cliente para macOS solo admite IPsec. Estos paquetes antiguos no son adecuados para SSL VPN.

Comprobar antes de la instalación la versión del paquete de macOS que realmente se proporciona. Un anuncio de lanzamiento no demuestra que el firewall ya distribuya ese paquete ni que la combinación de cliente, macOS y perfil VPN esté aprobada para el entorno propio. Actualizar Sophos Connect de forma segura explica la comprobación de versiones y la reversión controlada.

Apple Silicon y actualizaciones de macOS

Rosetta no es un requisito general del cliente 2.1 nativo. En un cliente 2.0 que aún se utilice sigue siendo una dependencia: la disponibilidad general de Rosetta no implica que el instalador concreto ni el funcionamiento de la VPN en macOS 27 estén aprobados. Del mismo modo, una aprobación de Sophos Endpoint no constituye una prueba para Sophos Connect.

Antes de actualizar macOS, comprobar en un equipo piloto la instalación, el perfil IPsec o SSL VPN realmente utilizado, MFA, la resolución DNS interna y la reconexión. Hasta superar esta prueba, posponer la actualización en los equipos que dependen de la VPN. Para macOS 28, no planificar el uso del cliente Intel de la línea 2.0, sino aprobar con antelación una solución VPN nativa u otra alternativa compatible. Esta guía no documenta ninguna prueba realizada en dispositivos.

1. Descargar Sophos Connect Client

En SFOS 22, el administrador descarga el Sophos Connect Client para macOS desde WebAdmin en Remote access VPN > IPsec > Download client o Remote access VPN > SSL VPN > Download client. Los usuarios abren VPN Portal, de forma predeterminada en https://<Firewall-FQDN>:443, y seleccionan VPN > Download for macOS. El cliente actual está disponible en VPN Portal; el paquete de WebAdmin está al día cuando las Pattern updates se actualizan automáticamente en Backup & Firmware > Pattern updates.

La página de descargas de Sophos existente corresponde a UTM. Para una instalación de SFOS, utilice WebAdmin o VPN Portal como origen del paquete. En entornos gestionados también debe definirse la versión aprobada y dónde obtienen los usuarios el archivo de configuración correcto.

El archivo depende de la conexión configurada en el firewall:

• IPsec: importar directamente .scx.
• SSL VPN: importar directamente la .ovpn personal; se requiere Sophos Connect 2.0 o posterior.
• Obtención automática de perfiles desde el cliente macOS 2.1: TI proporciona una .pro. Este archivo descarga desde VPN Portal los perfiles IPsec y SSL VPN autorizados y obtiene los cambios posteriores; no es un perfil de túnel. El cliente macOS 2.0 sigue necesitando importaciones directas y actualizaciones manuales. El procedimiento se explica en Aprovisionamiento de Sophos Connect con .pro.

En SFOS 22, los perfiles se obtienen en estas ubicaciones:

1. IPsec: abra Remote access VPN > IPsec > Export connection. El archivo comprimido contiene .scx y .tgb; distribuya el archivo .scx que Sophos recomienda para Sophos Connect.
2. SSL VPN: en VPN Portal, abra VPN > VPN configuration > SSL VPN configuration y seleccione Download configuration for Windows, macOS, Linux. Para Sophos Connect, utilice Use with Sophos Connect and OpenVPN Connect v2 clients; Use with OpenVPN Connect v3 clients corresponde a OpenVPN Connect 3, no a Sophos Connect. Descargue el archivo .ovpn. La descarga no aparece si el usuario no tiene una política SSL VPN adecuada.
3. Guarde el archivo de forma segura y entréguelo únicamente al usuario previsto.

El nombre del paquete actual sigue el patrón SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Un paquete con (IPsec) en el nombre pertenece a la línea anterior de macOS y no incluye compatibilidad con SSL VPN.

En Macs gestionados, el instalador no debe distribuirse de forma generalizada sin una fase piloto. Si la empresa utiliza ambas plataformas, pruebe primero al menos un Mac Intel y un Mac con Apple Silicon.

2. Instalar Sophos Connect Client

Antes de instalar Sophos Connect debe eliminarse cualquier Sophos SSL VPN Client antiguo. La guía de instalación excluye el uso en paralelo con otro cliente VPN, mientras que la ayuda general para solucionar problemas sigue describiendo un orden de instalación distinto para el antiguo SSL VPN Client. Esto no constituye una autorización general para utilizar clientes en paralelo; si resulta necesario un caso excepcional con un cliente heredado, confirme con Sophos la combinación concreta. La guía de actualización actual indica que se debe descargar e instalar el paquete nuevo, pero no establece una obligación general de desinstalar previamente la versión existente. Utilice el procedimiento de eliminación y reinstalación descrito aquí únicamente como una vía controlada de mantenimiento o reversión aprobada para la versión de destino, no como un requisito obligatorio para todas las actualizaciones.

Inicie la instalación haciendo doble clic en SophosConnect_x.x_(IPsec_and_SSLVPN).pkg; x.x representa la versión aprobada. Compruebe el destino y el espacio libre, haga clic en Install y finalice el asistente con Finish.

En Apple Silicon, Sophos Connect 2.0 necesita Rosetta 2; desde 2.1, ARM se admite de forma nativa. Por tanto, Rosetta no es un requisito general para 2.1. Si macOS lo solicita al utilizar el instalador aprobado de 2.0, instale Rosetta 2 y vuelva a iniciar el cliente. En macOS 27, no dé por hecho que una instalación de Rosetta anterior a la actualización se restablecerá automáticamente ni que un paquete de instalación concreto seguirá funcionando sin cambios. Pruebe la instalación y la conexión VPN en el piloto para ambas líneas del cliente.

Después de la instalación, compruebe directamente la versión en el cliente. Esto es especialmente importante cuando circulan internamente varios paquetes de instalación o el usuario ya tenía el cliente instalado.

3. Descargar el archivo de conexión

Al iniciarse por primera vez, Sophos Connect necesita una configuración de conexión. El archivo debe proceder de la configuración vigente del firewall y no reutilizarse desde un archivo antiguo del usuario.

Archivos de conexión habituales:

• IPsec Remote Access: .scx; exportado desde la configuración actual de Remote Access IPsec.
• SSL VPN: .ovpn; obtenido desde VPN Portal o mediante una exportación administrativa.
• Aprovisionamiento desde 2.1: .pro; mecanismo de obtención de los perfiles autorizados proporcionado por TI.

Si antes de actualizar a SFOS 22 MR1 todavía se utilizan configuraciones antiguas de Remote Access IPsec, no debe seguir distribuyéndose el perfil existente sin más. Consulte primero Migrar Legacy Remote Access IPsec antes de SFOS 22 MR1.

Los perfiles deben tratarse como credenciales de acceso. Un archivo .ovpn o .scx antiguo puede seguir incluyendo redes internas, nombres de gateway, certificados o referencias de usuario. Si se modifican el gateway, el certificado, DNS, el grupo de usuarios, el pool de IP o la autenticación, vuelva a exportar e importar el perfil.

En SSL VPN, el archivo .ovpn es específico del usuario: contiene un certificado de usuario único y su clave privada, por lo que no debe distribuirse como perfil compartido de un equipo. En cambio, un archivo .pro sin importar contiene metadatos de aprovisionamiento y no es específico del usuario por sí mismo; no equivale al perfil SSL VPN y a los certificados generados durante la importación. Tampoco comparta entre usuarios esos perfiles generados ni las claves privadas.

Para SFOS 22, Sophos documenta que un perfil SSL VPN importado queda vinculado a la identidad del usuario, el dominio y el método de autenticación. Al cambiar, por ejemplo, de autenticación local a Active Directory, obtenga e importe una configuración .ovpn independiente o genere el perfil SSL adecuado mediante una importación independiente de .pro. Según esa documentación de SFOS 22, reutilizar el perfil importado con otro método o dominio puede provocar Login failed. Wrong fingerprint of certificate. Esta vinculación SSL documentada no se aplica a los perfiles IPsec .scx.

Para SFOS 23, el comportamiento en ejecución sigue sin aclararse: el apartado correspondiente no figura en la guía de Sophos comparada aquí. Su ausencia no confirma ni una reutilización menos restrictiva ni que la vinculación siga siendo la misma. Hasta disponer de una confirmación específica de la versión, siga obteniendo e importando perfiles SSL separados para la identidad, el método y el dominio previstos. Es una precaución, no una regla de funcionamiento verificada para SFOS 23; no omita la validación de certificados.

Al migrar desde un cliente de terceros, pueden importarse en Sophos Connect los archivos de configuración existentes que sean compatibles. Para IPsec, conviene preparar primero los ajustes avanzados en el firewall y distribuir una .scx actual o, desde el cliente macOS 2.1, una .pro adecuada: así también se proporcionan ajustes que los clientes de terceros no admiten. Una actualización de la versión del cliente no invalida automáticamente los archivos existentes; los cambios en el firewall deben tratarse por separado.

4. Configurar Sophos Connect Client

Sophos Connect Client se configura en pocos pasos:

1. Abra Sophos Connect.
2. Seleccione Import connection.
3. Importe el archivo de conexión adecuado.
4. Compruebe la conexión en Connections.
5. Haga clic en Connect.
6. Inicie sesión con el usuario VPN y confirme MFA, si está activada.

Después de establecer la conexión, compruebe también que se resuelven los nombres DNS internos y que los sistemas necesarios son accesibles. Si la conexión aparece activa pero no circula tráfico, utilice Log Viewer, Policy Test y Packet Capture. El procedimiento se explica en Probar una regla de firewall con Log Viewer, Policy Test y Packet Capture.

La prueba de DNS es especialmente importante con SSL VPN en macOS. Sophos Connect 2.0 MR1 corrige un problema por el que la configuración DNS no se aplicaba correctamente a las conexiones SSL VPN en macOS. Si los nombres internos no se resuelven, compruebe primero la versión y la vigencia del perfil antes de modificar las reglas DNS sin un diagnóstico claro.

Con SSL VPN y varios gateways en el archivo .ovpn, Sophos Connect prueba las entradas en orden inverso de prioridad; los gateways de DNS dinámico tienen preferencia sobre los de IP WAN. Si un intento falla, prueba el siguiente gateway disponible en ese orden. Si la selección resulta inesperada, compare el archivo actual con los destinos realmente intentados en los eventos del cliente, en lugar de asumir que la primera entrada es la preferida.

Microsoft Entra ID SSO en macOS (Sophos Connect 2.1): navegador y regreso al cliente

Entra ID SSO está documentado para IPsec, SSL VPN y aprovisionamiento desde Sophos Connect 2.1 para macOS; macOS 2.0 no admite este flujo del cliente. Antes de empezar, compruebe la configuración de Entra ID en el firewall correspondiente, los métodos de autenticación y Redirect URI. En macOS 14+, utilice la versión aprobada del paquete 2.1. La elección del navegador depende de la configuración de la conexión o del aprovisionamiento, no solo del sistema operativo. La autenticación en el navegador del sistema y el cambio automático a este requieren SFOS 22.0 MR3 o posterior. Antes de utilizar ese procedimiento, confirmar con TI la versión del firewall; una versión anterior no cumple este requisito.

Antes de utilizar Entra ID SSO, compruebe que VPN Portal, la política SSL VPN y la configuración de Microsoft Entra ID utilizan el servidor de autenticación requerido.

1. En Sophos Connect, seleccione la conexión correcta, utilice el inicio de sesión SSO e inicie Connect. Complete el inicio de sesión en el navegador abierto por Sophos Connect, incluida la MFA o la comprobación de cumplimiento requerida. Un inicio de sesión en el portal abierto de forma independiente no sustituye este flujo del cliente.
2. Si falta sso_auth_browser_type o su valor es auto, Sophos Connect comienza en el navegador integrado. Si los requisitos de Conditional Access impiden completar allí el inicio de sesión, el cliente cambia automáticamente al navegador predeterminado del sistema y vuelve a intentarlo. Complete allí el inicio de sesión y después vuelva a Sophos Connect.
3. Con embedded se utiliza únicamente el navegador integrado: sin cambio automático al navegador del sistema. Si Conditional Access impide el inicio de sesión, solicite a TI un archivo de aprovisionamiento aprobado con system y vuelva a intentarlo. Con system se utiliza exclusivamente el navegador del sistema; después de iniciar sesión, vuelva a Sophos Connect.
4. Los perfiles .ovpn o .scx importados directamente se comportan como auto: primero utilizan el navegador integrado y después, si los requisitos de Conditional Access lo exigen, cambian automáticamente al navegador del sistema. Si no se produce el cambio necesario de navegador y el error persiste, solicite a TI un archivo .pro aprobado con sso_auth_browser_type establecido en system. El esquema de aprovisionamiento y los valores permitidos se describen en Aprovisionamiento de Sophos Connect; no invente cambios manuales en .ovpn o .scx para configurar el navegador.

Un error de cumplimiento no es una indicación de que deban debilitarse las reglas de seguridad. Aplique las medidas de cumplimiento necesarias o contacte con TI. No desactive Conditional Access, MFA ni las comprobaciones de certificados para forzar el inicio de sesión. Solo después de volver al cliente, compruebe el estado del túnel, la IP de VPN, DNS y el acceso. El flujo de Windows y la distribución mediante GPO de Windows no constituyen una prueba para macOS.

Los perfiles .ovpn o .scx importados manualmente no obtienen automáticamente los cambios posteriores. Auto-connect y Update policy requieren provisioning: en Windows con un cliente compatible, y en macOS desde 2.1, no con 2.0. auto_connect_host activa Auto-connect; Update policy está disponible tras la primera conexión correcta. Rename, Clear credentials y Delete siguen siendo acciones independientes; tras Delete, los perfiles manuales deben volver a importarse.

En Macs compartidos, desconecte primero el túnel y abra el menú de Sophos Connect situado arriba a la derecha. Seleccione Force SSO re-login y confirme con OK. Esta acción elimina las cookies del navegador integrado, no las del navegador del sistema. Si este sigue utilizando la identidad anterior, elimine únicamente las cookies de los dominios correspondientes de Microsoft Entra ID o del gateway VPN. Esto también puede cerrar otras sesiones en esos dominios; no elimine indiscriminadamente todos los datos del navegador.

Durante el piloto, compruebe que el siguiente usuario solo puede establecer el túnel después de iniciar sesión con su propia identidad de Microsoft Entra ID. Una sesión SSO existente o la simple desconexión del túnel no demuestran un cambio de usuario seguro. Tras eliminar las cookies, la sesión se recupera iniciando sesión de nuevo, no restaurando cookies de otro usuario.

Si una contraseña guardada provoca un inicio de sesión automático y no aparece la opción SSO, utilice Edit connection > Clear credentials. Las opciones vuelven a aparecer en el siguiente Connect. Esta acción elimina las credenciales guardadas, no la autorización VPN, y es distinta de Force SSO re-login. Cambie el puerto de VPN Portal en el cliente únicamente cuando el administrador indique un nuevo valor: SSO también utiliza ese puerto.

Comprobaciones posteriores a la instalación

Después de la instalación, compruebe los siguientes puntos:

• La versión de Sophos Connect es compatible con la versión de macOS utilizada.
• En Apple Silicon, Sophos Connect se inicia y supera la prueba piloto completa de la VPN; compruebe Rosetta para 2.0, la ejecución nativa ARM para 2.1 y los diálogos de instalación que realmente aparecen.
• El archivo importado corresponde al protocolo deseado: IPsec o SSL VPN.
• El usuario está autorizado en el grupo VPN correcto.
• MFA funciona y se solicita de forma comprensible.
• El cliente recibe una IP de VPN adecuada.
• Los nombres DNS internos se resuelven.
• Las reglas de firewall de la zona VPN solo permiten los destinos necesarios.

Prueba de aceptación en macOS

Un estado de conexión verde no basta para aceptar el despliegue. Para realizar una prueba fiable, un usuario piloto debe completar estos pasos:

1. Comprobar la versión del cliente: la versión está aprobada internamente y es compatible con macOS y con IPsec o SSL VPN.
2. Comprobar Apple Silicon: Sophos Connect se inicia en la versión concreta de macOS que se va a utilizar. Compruebe los requisitos de Rosetta para 2.0 y la ejecución nativa ARM para 2.1; que el cliente se abra no sustituye la prueba de conexión.
3. Importar el perfil: se acepta el archivo correcto para IPsec o SSL VPN.
4. Probar MFA: el inicio de sesión solicita el segundo factor esperado.
5. Probar DNS: los FQDN internos se resuelven correctamente.
6. Probar el acceso: los servidores permitidos funcionan y los destinos no autorizados permanecen bloqueados.
7. Comprobar Log Viewer: el tráfico procedente de la zona VPN coincide con la regla de firewall prevista.
8. Probar la reconexión: funcionan la desconexión, el cambio de red y la conexión posterior.
9. Probar Entra SSO desde 2.1: documente el modo de navegador utilizado, el cambio de navegador necesario, el inicio de sesión completo en el navegador y el regreso a Sophos Connect. Un dispositivo que no cumple los requisitos permanece bloqueado; corrija el incumplimiento o contacte con TI, sin debilitar Conditional Access.

En entornos mixtos, pruebe al menos un Mac Intel y un Mac con Apple Silicon. Si también se utilizan clientes Windows, no asuma que su comportamiento es idéntico. La plataforma, el tipo de perfil y la versión del cliente pueden ser diferentes.

Indicaciones para desplegarlo en Macs gestionados

Con pocos usuarios suele bastar una instalación manual con una importación controlada del perfil. En entornos más grandes, Sophos Connect debe tratarse como cualquier otro software cliente relevante para la seguridad.

Antes de un despliegue generalizado, aclare:

• ¿Qué versión de Sophos Connect está aprobada?
• ¿Qué versiones de macOS se utilizan?
• ¿Hay Macs Intel, Macs con Apple Silicon o ambos?
• ¿Se utiliza IPsec, SSL VPN o ambos?
• ¿Dónde obtienen los usuarios el perfil vigente?
• ¿Quién informa a los usuarios cuando deben volver a importar un perfil?
• ¿Qué procedimiento de actualización está aprobado para las versiones de origen y destino, y cómo se realiza una desinstalación con posterior reinstalación cuando es necesaria?
• Microsoft Entra ID SSO está documentado para Windows desde Sophos Connect 2.4 y para macOS desde 2.1, no para el cliente macOS 2.0. Se necesitan una configuración SFOS compatible y una configuración del cliente actualizada. Compruebe métodos de autenticación y Redirect URI; MFA sigue siendo un control independiente. Esto no implica un flujo de navegador idéntico ni que el despliegue GPO de Windows sea aplicable a macOS.
• ¿Cómo identifica el equipo de soporte los perfiles obsoletos?
• ¿Se supervisan por separado VPN Portal, MFA y los certificados?

Los paquetes de instalación y perfiles antiguos deben retirarse de los repositorios internos de descargas o marcarse claramente como obsoletos. En acceso remoto, utilizar un perfil antiguo cualquiera de la carpeta de descargas provoca rápidamente diagnósticos innecesarios. La guía oficial de instalación citada aquí no describe un despliegue MDM genérico para el paquete de macOS. No traslade procedimientos de Windows ni parámetros específicos de un proveedor MDM sin documentación y pruebas para su plataforma.

Eliminar o revertir Sophos Connect de forma segura

Para disponer de una reversión segura, conserve bajo acceso controlado el paquete de macOS aprobado anteriormente hasta que termine el piloto. Si la nueva versión falla, elimine Sophos Connect con el script compatible, instale el paquete aprobado anterior, vuelva a importar el perfil correspondiente y repita la prueba de aceptación completa. Volver a una versión anterior a 2.0 no es adecuado para SSL VPN, porque esas versiones para macOS solo admiten IPsec. Antes de la reversión, conserve la versión, la hora y el informe de soporte de cualquier error que pueda requerir una escalación. Comprobar y actualizar de forma segura la versión de Sophos Connect Client explica con más detalle la selección de versión y el proceso de eliminación y reinstalación. Volver al cliente macOS 2.0 no conserva la ejecución nativa ARM, el aprovisionamiento .pro ni Entra ID SSO. Si estas funciones de 2.1 son necesarias, 2.0 no es una alternativa de reversión equivalente; apruebe y pruebe previamente una alternativa compatible.

Antes de desinstalar, desconecte la VPN y guarde de forma controlada el perfil necesario para una recuperación posterior. Un archivo .ovpn contiene un certificado específico del usuario y su clave privada, por lo que debe almacenarse en una ubicación protegida. Si Sophos Endpoint está instalado con la protección contra manipulaciones activa, no la desactive de forma preventiva. La guía de desinstalación actual ya no indica ese requisito; sin embargo, la ayuda para solucionar problemas sigue señalando la protección contra manipulaciones de Endpoint como una posible causa de que los procesos de Sophos Connect no se descarguen de la memoria y recomienda reiniciar. La eliminación de aquella instrucción no implica que sea necesario modificar la protección ni que nunca vaya a serlo. Ante este problema, conserve los registros, reinicie durante una ventana de mantenimiento y vuelva a comprobar el estado; si la eliminación sigue bloqueada, consulte con TI o Sophos sobre la combinación concreta de Endpoint y cliente. Modifique de forma específica la protección contra manipulaciones en Sophos Fusion únicamente si se ha aprobado expresamente un cambio temporal de la protección para este caso. Para una desinstalación aprobada, ejecute el script documentado con privilegios de administrador en Terminal de macOS:

sudo /Library/Sophos\ Connect/uninstall.sh

El mensaje de éxito es Sophos Connect has been uninstalled. Compruebe después que Sophos Connect ya no se inicia. Si la protección contra manipulaciones se desactivó expresamente para esta operación, vuelva a activarla y compruebe que su estado es activo tanto en el endpoint como en la consola de gestión, incluso si la desinstalación falla. El comando elimina el cliente y solo debe ejecutarse durante una ventana de mantenimiento prevista, con acceso de administración local o una segunda vía de acceso administrativo.

Diagnosticar y escalar problemas

Para un diagnóstico inicial, abrir Events en el cliente o seleccionar Open VPN log en el menú de tres puntos. Comprobar que el tipo de perfil, la identidad del usuario, la versión de macOS y la versión de Sophos Connect corresponden al caso de prueba. Si solo fallan los nombres internos, revisar primero DNS y el estado del perfil; si también falla el acceso por dirección IP, comprobar después las reglas de firewall, el enrutamiento, NAT y la ruta de retorno.

El procedimiento detallado por síntoma se encuentra en Solucionar problemas de Sophos Connect Client. Reúne, entre otros, errores de importación e inicio de sesión, DNS después de conexiones Full Tunnel, una interfaz bloqueada, MTU/MSS y los registros del cliente y del firewall. No omitir la validación de certificados ni otros controles de seguridad para establecer una conexión temporalmente.

La conexión se importa, pero no se establece

Compruebe primero que el archivo corresponde al protocolo correcto y que la versión de Sophos Connect es compatible. SSL VPN en macOS requiere Sophos Connect 2.0 o posterior. A continuación, verifique la autorización del usuario, MFA, el certificado, el gateway, la hora del firewall y que el FQDN de VPN Portal o del gateway sea accesible.

Para el primer diagnóstico, abra Events en el cliente o seleccione Open VPN log en el menú de tres puntos. Según la documentación de SFOS 22, en SSL VPN, Login failed. Wrong fingerprint of certificate. indica que el perfil importado puede no corresponder a la identidad, el dominio o el método de autenticación utilizados. No omita la validación del certificado: obtenga e importe un nuevo archivo .ovpn con el mismo método de autenticación que se utilizará para establecer la conexión. Para SFOS 23, no trate esa asociación como un diagnóstico confirmado: documente las versiones del firewall y del cliente y la identidad del perfil, y solicite a TI o a Sophos una aclaración específica de la versión; no omita la validación de certificados.

Los nombres internos no se resuelven

Con SSL VPN en macOS, compruebe la versión de Sophos Connect porque se han publicado correcciones específicas para este problema. Revise después los servidores DNS, los dominios de búsqueda, el perfil importado y las reglas de firewall.

Si las direcciones IP funcionan pero los nombres no, la causa probable es DNS. Si tampoco funcionan las direcciones IP, es más probable que el problema esté en el enrutamiento, las reglas de firewall, NAT o la ruta de retorno.

La conexión está activa, pero no funciona el acceso

La causa suele estar en las reglas de firewall, el enrutamiento, NAT o la ruta de retorno. Log Viewer debe mostrar si el tráfico de la zona VPN coincide con la regla esperada. Para casos específicos de IPsec, consulte Solución de problemas de IPsec VPN en Sophos Firewall.

La conexión deja de funcionar después de modificar el perfil

Perfiles importados manualmente: Después de cambiar el gateway, certificado, puerto, DNS, pool de IP, grupo de usuarios o autenticación, vuelva a exportar e importar el perfil. Una actualización del cliente no sustituye automáticamente un perfil antiguo, pero tampoco invalida automáticamente una configuración que no ha cambiado.

Después de restaurar el firewall o importar una configuración, compare los ajustes afectados:

• IPsec: Vuelva a importar el archivo de configuración actual si han cambiado la interfaz, el método de autenticación o 2FA.
• SSL VPN: Si han cambiado el puerto, protocolo, interfaz o certificado del servidor en los ajustes globales de SSL VPN, descargue de nuevo la .ovpn desde VPN Portal e impórtela.

Aprovisionamiento desde el cliente macOS 2.1: Una .pro ya importada obtiene automáticamente las configuraciones IPsec y SSL VPN correspondientes al usuario mientras no cambien la dirección del gateway (gateway) ni el puerto de VPN Portal (user_portal_port). Si cambian estos valores, actualice y redistribuya el archivo de aprovisionamiento; no dé por hecho que la ruta de descarga anterior sigue funcionando. Después, compruebe de nuevo conexión, MFA, DNS y accesos permitidos. El cliente macOS 2.0 sigue necesitando una importación manual.

No aparece la opción para guardar las credenciales

Sophos volvió a activar esta opción para SSL VPN en macOS con Sophos Connect 2.0 MR1. Después de actualizar, vuelva a importar el archivo de configuración para poder utilizarla. En entornos con MFA, compruebe además si guardar credenciales es compatible con el concepto de seguridad.

Sophos Connect no se abre o no responde

Si la interfaz no se abre o no responde al icono de la barra de menús de macOS, el proceso de la GUI puede haberse bloqueado. En Activity Monitor, seleccione el proceso Sophos Connect, termínelo mediante Force Quit y vuelva a iniciar la aplicación desde Launchpad. Esto solo cierra la interfaz bloqueada; si el problema se repite, compruebe la versión del cliente y el informe de soporte.

El acceso web deja de funcionar después de desconectar

Después de desconectar un túnel completo, macOS puede seguir utilizando los servidores DNS internos de la conexión VPN. En ese caso dejan de funcionar los sitios web y la resolución de nombres fuera del túnel. Desconecte brevemente Wi-Fi o Ethernet y vuelva a conectarlo. Si el problema se repite, documente la versión del cliente, el perfil y el comportamiento de DNS en lugar de sobrescribir permanentemente los servidores DNS de forma manual.

La conexión está activa, pero las transferencias grandes se bloquean

Si funcionan el inicio de sesión, DNS y los accesos pequeños, pero se bloquean las transferencias de archivos grandes o determinadas aplicaciones, compruebe también MTU/MSS. Este patrón suele estar relacionado con fragmentación, PPPoE, conexiones encapsuladas o una ruta asimétrica. Consulte Comprobar MTU y MSS de Sophos Firewall cuando hay problemas de VPN.

Recopilar datos para soporte

Para escalar el caso, documente la hora, el usuario, la versión de macOS, la versión de Sophos Connect, el tipo de perfil, la red de origen y el sistema de destino. En Sophos Connect Client, menú de tres puntos > About > Generate technical support report genera el archivo scvpntsr.zip. Contiene configuraciones VPN, eventos de conexión, detalles de aprovisionamiento, información de autenticación SSO, detalles del navegador e información del endpoint. El archivo puede contener datos sensibles y solo debe entregarse a destinatarios autorizados mediante el canal de transferencia aprobado; nunca copie contraseñas, OTP ni claves privadas en el texto del ticket. La información de WebView2 en scgui.log corresponde únicamente a Windows, no al navegador de macOS.

En el firewall, utilice en paralelo Log Viewer, sslvpn.log, los registros de IPsec, Packet Capture y la regla de firewall afectada. La correspondencia de los archivos de registro se explica en Solución de problemas de Sophos Firewall: servicios y registros.

Para realizar una comprobación complementaria de SCCLI, exclusivamente de lectura, en un Mac piloto, consulte la referencia rápida de la CLI de macOS. No sustituye la interfaz del cliente ni una prueba de VPN superada, y no constituye una base para la distribución automática mediante MDM.

Preguntas frecuentes