Instalar Sophos Connect Client en macOS

Sophos Connect se puede utilizar en macOS para acceso remoto con Sophos Firewall. En las versiones actuales, no solo es relevante IPsec: desde Sophos Connect 2.0 también es posible el acceso remoto SSL VPN en macOS. Esto ha cambiado la recomendación para muchos entornos.

El artículo describe la instalación en macOS, la importación de la conexión adecuada y los controles más importantes después de establecer la conexión. Para la decisión fundamental entre Sophos Connect, SSL VPN, clientes OpenVPN y ZTNA, consulte Sophos Connect o SSL VPN: ¿Qué solución de acceso remoto es adecuada?.

¿Qué artículo es adecuado?

Sophos Connect en macOS se superpone rápidamente con otros artículos de acceso remoto. Dependiendo de la tarea, es mejor comenzar con otro:

• Instalar Sophos Connect en macOS: Este artículo.
• Configurar SSL VPN en macOS con .ovpn: Configurar Sophos SSL VPN con Sophos Connect en macOS.
• Preparar Sophos Connect en el firewall: Configurar Sophos Connect en Sophos Firewall.
• Planificar versiones de cliente, actualizaciones y mantenimiento de perfiles: Verificar y actualizar de forma segura la versión de Sophos Connect Client.
• VPN está conectada, pero el tráfico no funciona: Probar regla de firewall con Log Viewer, Policy Test y Packet Capture.

Esta separación es importante porque la instalación del cliente es solo una parte del funcionamiento del acceso remoto. Las reglas de firewall, DNS, MFA, certificados, portal VPN y distribución de perfiles siguen siendo puntos de control separados.

Requisitos previos

• Sophos Firewall con configuración de acceso remoto establecida
• Sophos Connect Client en una versión compatible con el firewall y la plataforma
• Para Sophos Connect 2.0 o posterior: macOS Ventura 13 o posterior
• Mac con procesador Intel o Apple Silicon a través de Rosetta 2
• Archivo de configuración para IPsec (.scx o .tgb) o SSL VPN (.ovpn)
• Cuenta de usuario con permiso VPN y, si está activado, MFA funcional
• Reglas de firewall para tráfico desde la zona VPN o la zona de acceso remoto utilizada

Si se va a utilizar SSL VPN en macOS, se debe emplear Sophos Connect 2.0 o posterior. En las guías internas más antiguas, se debe verificar si aún se basan en la situación anterior de solo IPsec. Para verificación de versiones, planificación de actualizaciones y problemas típicos de DNS/perfil, consulte Verificar y actualizar de forma segura la versión de Sophos Connect Client.

Importante: No se documenta soporte para archivos de aprovisionamiento en macOS. Por lo tanto, en macOS se debe planificar con un archivo de configuración IPsec importado o un archivo .ovpn. Si se desea una implementación completamente automatizada, primero se debe verificar si el MDM utilizado puede representar correctamente los procesos de archivo y usuario.

1. Descargar Sophos Connect Client

El Sophos Connect Client para macOS se puede obtener según el entorno a través del firewall, el portal VPN o la página de descargas de Sophos. En entornos gestionados, se debe definir qué versión del cliente se distribuye y dónde los usuarios obtienen el archivo de configuración adecuado.

Para IPsec, típicamente se utiliza un archivo .scx o .tgb. Para SSL VPN, se importa un archivo .ovpn. Qué archivo es correcto depende de la configuración de acceso remoto en el firewall.

• Acceso remoto IPsec: .scx o .tgb. utilizable con Sophos Connect en Intel y Apple Silicon.
• SSL VPN: .ovpn. se requiere Sophos Connect 2.0 o posterior.
• Aprovisionamiento: .pro. no planificar como estándar para macOS.

En una configuración clásica de Sophos Connect IPsec, la conexión se exporta en WebAdmin:

1. Abrir VPN > Sophos Connect Client en Sophos Firewall.
2. Exportar conexión.
3. Guardar el archivo de forma segura y proporcionarlo solo a usuarios autorizados.

Dependiendo de la fuente de descarga, el instalador se encuentra en un archivo Zip. Después de descomprimir, generalmente se encuentra el paquete Sophos Connect.pkg para macOS.

Para Macs gestionados, no se debe distribuir ampliamente el instalador sin un grupo piloto. Primero se debe verificar al menos un Mac Intel y un Mac Apple Silicon si ambas plataformas están presentes en la empresa.

2. Instalar Sophos Connect Client

La instalación se inicia con un doble clic en Sophos Connect.pkg. Después de completar el asistente de instalación, se puede cerrar la ventana con Cerrar.

En dispositivos Apple Silicon, puede ser necesario Rosetta 2. Si macOS muestra un mensaje correspondiente durante la instalación, se debe instalar Rosetta 2 y luego reiniciar el cliente.

Después de la instalación, se debe verificar directamente la versión en el cliente. Esto es especialmente importante si varios paquetes de instalación han estado circulando internamente o si los usuarios ya habían instalado el cliente anteriormente.

3. Descargar archivo de conexión

En el primer inicio, Sophos Connect necesita una configuración de conexión. Este archivo debe provenir de la configuración de firewall actualmente válida y no reutilizarse de un archivo de usuario antiguo.

Archivos de conexión típicos:

• Acceso remoto IPsec: .scx o .tgb. Exportación en VPN > Sophos Connect Client.
• SSL VPN: .ovpn. Portal VPN o exportación administrativa.

Si antes de una actualización a SFOS-22-MR1 todavía se utilizan configuraciones antiguas de acceso remoto IPsec, no se debe simplemente redistribuir un perfil antiguo. En este caso, primero consulte Migrar acceso remoto IPsec heredado antes de SFOS 22 MR1.

Los perfiles deben tratarse como credenciales de acceso. Un archivo antiguo .ovpn, .scx o .tgb puede seguir conteniendo redes internas, nombres de gateway, certificados o referencias de usuario. Si se han cambiado el gateway, certificado, DNS, grupo de usuarios, pool de IP o autenticación, el perfil debe exportarse e importarse nuevamente.

4. Configurar Sophos Connect Client

La configuración del Sophos Connect Client se realiza en pocos pasos:

1. Abrir Sophos Connect.
2. Seleccionar Import Connection.
3. Importar el archivo de conexión adecuado.
4. Verificar la conexión en Connections.
5. Hacer clic en Connect.
6. Iniciar sesión con el usuario VPN y confirmar MFA, si está activado.

Después de establecer la conexión con éxito, también se debe verificar si se resuelven los nombres DNS internos y si los sistemas necesarios son accesibles. Si la conexión está establecida pero no fluye tráfico, el Log Viewer, Policy Test y Packet Capture pueden ayudar. La guía adecuada es Probar regla de firewall con Log Viewer, Policy Test y Packet Capture.

En SSL VPN en macOS, la prueba de DNS es especialmente importante. Sophos Connect 2.0 MR1 soluciona un problema en el que las configuraciones DNS para conexiones SSL VPN en macOS no se aplicaban correctamente. Si no se resuelven nombres internos, primero se debe verificar la versión y el estado del perfil antes de ajustar ciegamente las reglas DNS.

IPsec con herramientas integradas de macOS

Dependiendo de la configuración del firewall, el acceso remoto IPsec también se puede configurar con las herramientas integradas de macOS. Este es un modelo operativo separado y no debe confundirse con Sophos Connect. Puede ser útil si no se desea software cliente adicional, pero no se adapta a todos los entornos.

Procedimiento práctico si se utiliza esta variante conscientemente:

1. Iniciar sesión en el User Portal de Sophos Firewall.
2. Descargar la configuración IPsec adecuada para dispositivos Apple.
3. Abrir e instalar el perfil en el Mac.
4. Verificar la conexión en la configuración de red de macOS.
5. Probar la conexión y validar los objetivos internos.

Si se utilizan Sophos Connect y las herramientas integradas de macOS en paralelo, esto debe documentarse intencionadamente. De lo contrario, surgen casos de soporte en los que los usuarios dicen “VPN”, pero se refieren a diferentes perfiles, protocolos y comportamientos de DNS.

Verificar después de la instalación

Después de la instalación, se deben verificar estos puntos:

• La versión de Sophos Connect es compatible con la versión de macOS utilizada.
• En Apple Silicon, Rosetta 2 está disponible si el cliente lo necesita.
• El archivo importado corresponde al protocolo deseado: IPsec o SSL VPN.
• El usuario está autorizado en el grupo VPN correcto.
• MFA funciona y se solicita de manera comprensible.
• El cliente recibe una IP VPN adecuada.
• Los nombres DNS internos se resuelven.
• Las reglas de firewall para la zona VPN solo permiten los objetivos necesarios.

Prueba de aceptación para macOS

Un estado de conexión verde no es suficiente como aceptación. Para una implementación confiable, un usuario de prueba debe realizar estos pasos:

• Verificar versión del cliente: La versión es compatible con macOS, IPsec o SSL VPN y la aprobación interna.
• Verificar Apple Silicon: Rosetta 2 está presente y Sophos Connect se inicia de manera confiable.
• Importar perfil: Se acepta el archivo correcto para IPsec o SSL VPN.
• Probar MFA: El inicio de sesión requiere el segundo factor esperado.
• Probar DNS: Los FQDN internos se resuelven correctamente.
• Probar acceso: Los servidores permitidos funcionan, los objetivos no permitidos permanecen bloqueados.
• Verificar Log Viewer: El tráfico desde la zona VPN coincide con la regla de firewall esperada.
• Probar reconexión: Desconectar, cambiar de red y volver a conectar funcionan.

En entornos mixtos, se debe probar al menos un Mac Intel y un Mac Apple Silicon. Si también se utilizan clientes de Windows, no se debe asumir silenciosamente que el comportamiento es el mismo. La plataforma, el tipo de perfil y la versión del cliente pueden diferir.

Consejos de implementación para Macs gestionados

Con pocos usuarios, a menudo basta con una instalación manual con importación de perfil controlada. En entornos más grandes, Sophos Connect debe tratarse como otro software cliente relevante para la seguridad.

Antes de una implementación amplia, aclarar:

• ¿Qué versión de Sophos Connect está aprobada?
• ¿Qué versiones de macOS están en uso?
• ¿Hay Macs Intel, Macs Apple Silicon o ambos?
• ¿Se utiliza IPsec, SSL VPN o ambos?
• ¿De dónde obtienen los usuarios el perfil actual?
• ¿Quién informa a los usuarios cuando los perfiles deben importarse nuevamente?
• ¿Cómo reconoce el servicio de asistencia técnica los perfiles obsoletos?
• ¿Se supervisan por separado el portal VPN, MFA y los certificados?

Los paquetes de instalación antiguos y los perfiles antiguos deben eliminarse de los repositorios de descargas internos o marcarse claramente como obsoletos. Especialmente en acceso remoto, un “algún perfil antiguo de la carpeta de descargas” lleva rápidamente a una búsqueda de errores innecesaria.

Solución de problemas

La conexión se importa, pero no se establece

Primero verifique si el archivo pertenece al protocolo correcto y si la versión de Sophos Connect es adecuada para ello. SSL VPN en macOS requiere Sophos Connect 2.0 o posterior. Luego verifique la autorización del usuario, MFA, certificado, gateway, hora del firewall y el FQDN del portal VPN o gateway accesible.

No se resuelven nombres internos

En SSL VPN en macOS, se debe verificar la versión de Sophos Connect utilizada, ya que ha habido correcciones específicas en esta área. Luego verifique el servidor DNS, los dominios de búsqueda, el perfil importado y las reglas de firewall.

Si las direcciones IP funcionan, pero los nombres no, probablemente sea DNS. Si tampoco funcionan las direcciones IP, es más probable que sean problemas de enrutamiento, reglas de firewall, NAT o retorno.

La conexión está establecida, pero no funciona el acceso

Entonces, la causa suele estar en las reglas de firewall, enrutamiento, NAT o retorno. En el Log Viewer debería ser visible si el tráfico desde la zona VPN coincide con la regla esperada. Para casos especiales de IPsec, consulte Solución de problemas de Sophos Firewall IPsec VPN.

Después de cambiar el perfil, la conexión no funciona

Después de cambios en el gateway, certificado, puerto, DNS, pool de IP, grupo de usuarios o autenticación, el perfil debe exportarse e importarse nuevamente. Una actualización del cliente no reemplaza automáticamente un perfil antiguo.

No es visible el almacenamiento de credenciales

Sophos ha reactivado esta opción para SSL VPN en macOS en Sophos Connect 2.0 MR1. Después de una actualización, el archivo de configuración debe importarse nuevamente para que la opción pueda utilizarse. En entornos con MFA, también se debe verificar si el almacenamiento de credenciales se ajusta al concepto de seguridad.

La conexión está establecida, pero las transferencias grandes se cuelgan

Si el inicio de sesión, DNS y los accesos pequeños funcionan, pero las transferencias de archivos grandes o ciertas aplicaciones se cuelgan, también se debe verificar MTU/MSS. El patrón de error a menudo se ajusta a fragmentación, PPPoE, conexiones tuneladas o una ruta asimétrica. El procedimiento está en Verificar MTU y MSS de Sophos Firewall en problemas de VPN.

Recopilar datos de soporte

Si el error no es visible directamente, se debe documentar el momento, usuario, versión de macOS, versión de Sophos Connect, tipo de perfil, red de origen y sistema de destino. En el firewall, ayudan Log Viewer, sslvpn.log, registros de IPsec, Packet Capture y la regla de firewall afectada. La asignación de archivos de registro está en Solución de problemas de Sophos Firewall: Servicios y registros.

Preguntas frecuentes