Instalar el cliente Sophos Connect en Windows

Sophos Connect es el cliente central de Sophos para muchos escenarios de acceso remoto con Sophos Firewall. En Windows, el cliente puede utilizar conexiones VPN IPsec y SSL según la configuración del firewall. Es importante que la versión del cliente, la plataforma Windows, el archivo de configuración y la configuración del firewall coincidan.

Estas instrucciones describen la instalación en Windows y las comprobaciones más importantes después de importar la conexión. Al decidir entre IPsec, SSL VPN, clientes móviles y ZTNA, la primera comparación es Sophos Connect o SSL VPN: ¿Cuál es la solución para un acceso remoto?.

¿Qué artículo encaja?

Sophos Connect en Windows es sólo una parte de las operaciones de acceso remoto. Dependiendo de la tarea, es apropiado un enfoque diferente:

• Instalar Sophos Connect en Windows: Este artículo.
• Configure SSL VPN en Windows con .ovpn: Configurar Sophos SSL VPN con Sophos Connect en Windows.
• Configurar Sophos Connect en el lado del firewall: Configurar Sophos Connect y Sophos Firewall.
• Configurar el inicio de sesión único de Microsoft Entra ID para Sophos Connect: Configurar SSO de Microsoft Entra ID para Sophos Connect y VPN Portal.
• Mantener versiones, actualizaciones y perfiles de clientes: Completar y actualizar la versión de Sophos Connect Client.
• La VPN está conectada pero el tráfico no funciona: Compruebe el control del firewall con Visor de registros, Prueba de políticas y Captura de paquetes. Esta separación evita la típica solución de problemas en el lugar equivocado. Un cliente instalado aún no demuestra que el portal VPN, la autenticación, el perfil, las reglas del firewall, el DNS y la ruta de retorno sean correctos.

Requisitos

• Firewall de Sophos con configuración de acceso remoto configurada
• Sophos Connect Client en una versión que coincida con el firewall y la plataforma
• Windows 10 o Windows 11, con versiones actuales de Sophos Connect como 64 bits o Windows ARM
• Archivo de configuración para IPsec (.scx o .tgb) o SSL VPN (.ovpn o archivo de aprovisionamiento)
• Cuenta de usuario con permiso de VPN y, si está habilitado, MFA en funcionamiento
• Reglas de firewall para el tráfico desde la zona VPN o la zona de acceso remoto utilizada

Si se va a utilizar Sophos Connect con Microsoft Entra ID SSO, se requiere Sophos Connect 2.4 o posterior en Windows y una configuración de SSO adecuada en el firewall. El proceso está en Configurar Microsoft Entra ID SSO para Sophos Connect y VPN Portal.

Sophos Connect es compatible con Windows ARM a partir de la versión 2.5. Si todavía se distribuyen internamente paquetes de software antiguos, debe comprobar qué versión está realmente instalada antes del lanzamiento. Para la implementación, el grupo piloto y la verificación de actualizaciones, Compruebe y actualice de forma segura la versión de Sophos Connect Client es adecuado.

El límite de la plataforma también es importante: las versiones actuales de Sophos Connect deben planificarse para nuevas implementaciones con Windows 10 o Windows 11. Las instalaciones antiguas de 32 bits no deben continuar como el nuevo estándar sólo porque antes eran posibles con versiones de cliente más antiguas.

1. Descargar el cliente Sophos Connect

El cliente Sophos Connect se puede descargar a través del portal VPN de Sophos Firewall o directamente desde el Sitio web de Sophos.

En entornos administrados, el cliente no debe ser instalado aleatoriamente por usuarios individuales. Tiene sentido un paquete claro con una versión definida, un grupo de implementación y un plan alternativo. Esto es particularmente importante cuando se utiliza Windows ARM, SSL VPN a través de Sophos Connect o archivos de aprovisionamiento.

Sophos Connect debe actualizarse periódicamente. Las nuevas versiones no sólo contienen cambios funcionales, sino también componentes actualizados como OpenVPN, strongSwan u OpenSSL.

Para entornos más grandes, la fuente de instalación debe ser clara. Si existen archivos MSI antiguos, una descarga del portal VPN y una distribución de software al mismo tiempo, el servicio de asistencia técnica instalará rápidamente diferentes versiones del cliente.

2. Instale el cliente Sophos Connect

La instalación comienza con el archivo SophosConnect.msi. Después de completar el asistente, la ventana se puede cerrar con Finish.Después de la instalación, la versión debe verificarse directamente en el cliente o mediante el inventario de software. Esto es particularmente importante para Windows ARM, Entra SSO, archivos de aprovisionamiento y errores de servicio recurrentes, porque pequeñas diferencias de versión pueden cambiar el patrón de error.

3. Descargar archivo de conexión

La primera vez que inicia Sophos Connect, es necesario configurar la conexión. Dependiendo del diseño de acceso remoto, se trata de un IPsec, una VPN SSL o un archivo de aprovisionamiento.

Archivos de conexión típicos:

• Acceso remoto IPsec: .scx o .tgb; Exportar a VPN > Sophos Connect Client.
• VPN SSL: .ovpn; Portal VPN o exportación administrativa.
• Importación automática mediante aprovisionamiento: .pro; archivo de aprovisionamiento preparado centralmente. Con una configuración IPsec clásica, el archivo se exporta en WebAdmin:

1. En Sophos Firewall, abra VPN > Sophos Connect Client.
2. Conexión de exportación.
3. Guarde el archivo de forma segura y distribúyalo únicamente a usuarios autorizados.

Con SSL VPN, la configuración normalmente se proporciona desde el portal VPN o desde la configuración de acceso remoto. La fuente exacta depende de cómo se configuró el acceso remoto en el firewall. El procedimiento detallado para la importación de .ovpn, el portal VPN y las pruebas de VPN SSL está disponible en Configurar Sophos SSL VPN con Sophos Connect en Windows.

Los perfiles deben distribuirse de forma controlada. Si se han cambiado la puerta de enlace, el certificado, el DNS, el grupo de usuarios, el grupo de IP, el SSO o la autenticación, no se debe confiar en los archivos antiguos en las carpetas de descarga. Las conexiones afectadas deben reexportarse, reimportarse o actualizarse adecuadamente mediante aprovisionamiento.

Para el aprovisionamiento de archivos, se deben comprobar con especial atención la puerta de enlace, el puerto del portal VPN, los certificados, la referencia de SSO y el grupo de usuarios. Un archivo de aprovisionamiento facilita la distribución, pero no reemplaza la aprobación técnica de la conexión.

4. Configurar el cliente Sophos Connect

La configuración se realiza en sólo unos pocos pasos:

1. Abra Sophos Connect.
2. Seleccione Import Connection.
3. Importe el archivo de conexión apropiado.
4. Verifique la conexión en Conexiones.
5. Haga clic en Connect.
6. Inicie sesión con el usuario de VPN y confirme MFA si está habilitado.

Si el inicio de sesión se realiza correctamente, Sophos Connect debería mostrar la conexión como conectada. Entonces no sólo deberías comprobar el estado verde, sino también probar el DNS, los objetivos internos y las reglas del firewall. Si se establece la conexión pero no fluye tráfico, Verifique el control del firewall con Visor de registros, Prueba de políticas y Captura de paquetes será de ayuda.

Con Entra ID SSO, también debe verificar si el flujo de SSO realmente se ejecuta a través del servidor Microsoft Entra ID esperado y si el acceso condicional o MFA funciona según lo planeado. Un inicio de sesión local exitoso no prueba automáticamente que el SSO, el mapeo de grupo y el permiso de VPN sean correctos.

Verificar después de la instalación

Después de la instalación, se deben verificar estos puntos:

• La versión de Sophos Connect se adapta a la plataforma, especialmente con Windows ARM.
• El archivo importado corresponde al protocolo deseado: IPsec o SSL VPN.
• El usuario está autorizado en el grupo VPN correcto.
• MFA funciona y no bloquea el establecimiento de la conexión.
• El cliente recibe una IP VPN adecuada.
• Se resuelven los nombres DNS internos.
• Las reglas del firewall para la zona VPN solo permiten los objetivos requeridos.
• Los perfiles antiguos no se reutilizaron accidentalmente.

Si aún existen configuraciones IPsec de acceso remoto antiguas antes de una actualización de SFOS 22 MR1, primero se debe marcar Migrar IPsec de acceso remoto heredado antes de SFOS 22 MR1.

Prueba de aceptación para Windows

Un estatus de cliente ecológico no es suficiente para aceptarlo. Para una implementación sólida, un usuario de prueba debe verificar estos puntos:

1. Verificar versión del cliente: La versión se adapta a Windows 10/11, Windows ARM y la versión interna.
2. Importar perfil: .scx, .tgb, .ovpn o .pro se reconoce correctamente.
3. Prueba SSO: Entra SSO sólo comienza donde está previsto.
4. Prueba MFA: OTP, RADIUS-MFA o Entra-MFA se comporta según lo documentado.
5. Probar DNS: Los FQDN internos se resuelven correctamente.
6. Acceso de prueba: Los objetivos permitidos funcionan, los objetivos no autorizados permanecen bloqueados.
7. Verificar visor de registros: El tráfico de la zona VPN alcanza la regla de firewall esperada.
8. Prueba de reconexión: Los cambios de red, el modo de espera y las reconexiones son rastreables.

Para entornos mixtos, se debe probar al menos un dispositivo Windows 10/11 clásico y un dispositivo Windows ARM si se utiliza ARM en producción. Si también se utilizan clientes macOS, el comportamiento debe documentarse por separado.

Notas de implementación para clientes Windows administrados

Si hay pocos usuarios, una instalación manual puede ser suficiente. En entornos más grandes, Sophos Connect debe controlarse mediante la distribución normal de software o la gestión de puntos finales.

Aclare antes de una implementación amplia:

• ¿Qué versión de Sophos Connect se lanza?
• ¿Qué versiones de Windows y arquitecturas de CPU se utilizan?
• ¿Se utiliza IPsec, SSL VPN, Entra SSO o aprovisionamiento?
• ¿Hay usuarios con OTP, RADIUS-MFA o Entra-MFA?
• ¿Cómo se distribuyen los nuevos perfiles?
• ¿Cómo eliminar perfiles antiguos o marcarlos como obsoletos?
• ¿Quién verifica el DNS, las reglas del firewall y el comportamiento de reconexión después de las actualizaciones del cliente?
• ¿Qué registros y capturas de pantalla necesita el servicio de asistencia técnica para los casos de soporte?

Para dispositivos Windows compartidos, se debe prestar especial atención a si Sophos Connect se inicia de manera confiable para todos los usuarios afectados. Sophos Connect 2.5 MR1 incluye una solución para un caso en el que el cliente para usuarios adicionales de Windows no se iniciaba automáticamente cuando lo instalaba otro usuario.

Solución de problemas

Sophos Connect no se inicia o muestra errores de servicio

Primero compruebe si el servicio Sophos Connect se está ejecutando y si hay instalada una versión actual del cliente. Para paquetes de instalación más antiguos, normalmente vale la pena realizar una reinstalación limpia con la versión publicada. Si varios usuarios de Windows utilizan el mismo dispositivo, también debe comprobar si el cliente se inicia automáticamente correctamente en el contexto del usuario.

La conexión se importa pero no se establece

Entonces, normalmente están involucrados el permiso del usuario, MFA, certificado, clave previamente compartida, versión del firewall o un tipo de archivo incorrecto. Los perfiles VPN IPsec y SSL no se deben mezclar. Para los archivos de aprovisionamiento, verifique también la puerta de enlace, el puerto del portal VPN, el certificado, la configuración de SSO y los puntos finales de Microsoft accesibles si Entra SSO está involucrado.

El estado del SSO no está claro después de la interrupción de Internet

En entornos de Entra SSO, una interrupción de Internet puede provocar visualizaciones de estado irritantes. Sophos Connect 2.5 MR1 incluye una solución para usuarios de SSO. Sin embargo, también debe verificar si el túnel está realmente desconectado, si el cliente se está reconectando y si el firewall en Autenticación > Servicios está utilizando el servidor Microsoft Entra ID esperado.

La OTP se consulta de manera diferente al volver a conectarse

Si los usuarios clásicos de OTP o MFA utilizan IPsec y SSL VPN en paralelo, se debe probar el comportamiento de reconexión. Sophos Connect 2.5 MR1 corrige una diferencia en la verificación de inicio de sesión entre IPsec y SSL VPN para usuarios de credenciales con OTP.

Se establece la conexión, pero no se puede acceder a los sistemas internos

En este caso, la causa no suele ser el cliente, sino las reglas del firewall, el enrutamiento, DNS o NAT. Debería ser visible en el visor de registros si el tráfico de la zona VPN cumple con la regla esperada. Solución de problemas de VPN IPsec de Sophos Firewall ayuda para casos especiales de IPsec.

La conexión ya no funciona después del cambio de perfil

Después de realizar cambios en la puerta de enlace, el certificado, el puerto del portal VPN, el DNS, el grupo de IP, el grupo de usuarios, el SSO de Entra o la autenticación, el perfil se debe redistribuir o reimportar. Una actualización de cliente no reemplaza automáticamente un perfil antiguo.### Se establece la conexión, pero se bloquean transferencias grandes

Si el inicio de sesión, el DNS y los accesos pequeños funcionan, pero las transferencias de archivos más grandes o ciertas aplicaciones se bloquean, también se debe verificar MTU/MSS. El patrón de error suele coincidir con fragmentación, PPPoE, conexiones tunelizadas o una ruta asimétrica. El proceso está en Verifique Sophos Firewall MTU y MSS para detectar problemas con VPN.

Recopilar datos de soporte

Si el error no es visible inmediatamente, debe documentar la hora, el usuario, la versión de Windows, la arquitectura de la CPU, la versión de Sophos Connect, el tipo de perfil, la red de origen y el sistema de destino. Visor de registros, sslvpn.log, registros de IPsec, captura de paquetes y la regla de firewall afectada ayudan en el firewall. La asignación de los archivos de registro se puede encontrar en Solución de problemas de Sophos Firewall: servicios y registros.

Preguntas frecuentes