Solución de problemas del cliente Sophos Connect

Si Sophos Connect no establece la conexión, inicie el diagnóstico en el endpoint: anote la hora del error, consulte en Events el mensaje correspondiente al intento y compruebe únicamente la ruta afectada. Modificar reglas de firewall, políticas VPN o certificados basándose solo en sospechas dificulta el análisis. Este procedimiento cubre el cliente en Windows y macOS; las guías de Windows y macOS explican la instalación.

Acotar el problema rápidamente

1. Registre la situación inicial: Hora con zona horaria, usuario, sistema operativo, versión de Sophos Connect, VPN IPsec o SSL y origen del perfil (.scx, .ovpn o .pro).
2. Verifique la red local: El adaptador físico necesita una dirección IP válida. Un nombre público debe poder resolverse sin una VPN.
3. Leer el evento: En Events, haga coincidir la entrada con el intento de conexión. Conserve sin cambios el texto y los valores de los marcadores.
4. Distinguir entre el cliente y el extremo remoto: Si la interfaz o el servicio no se inician, continúe el análisis en el endpoint. Si el cliente llega al gateway, pero falla en la política, la autenticación o IKE, el administrador del firewall debe correlacionar el intento.
5. Compruebe el resultado: Vuelva a conectarse después de exactamente una acción y observe una nueva marca de tiempo.
6. Escalar: Pasar errores repetibles con eventos, registros de VPN y scvpntsr.zip; no escriba datos de acceso en el ticket.

Un estado Connected solo prueba que se ha establecido el túnel. DNS, enrutamiento y acceso a un destino interno permitido son pruebas independientes.

Leer eventos correctamente

El mensaje debajo de Eventos es el mejor primer filtro. Sin embargo, no describe la causa última en todos los casos. Por ejemplo, DNS resolution failed solo puede confirmar que el cliente no pudo resolver el nombre de la puerta de enlace; El motivo por el que el solucionador utilizado no responde debe aclararse por separado.

Red, DNS y aprovisionamiento

• No network connection: Ethernet o WiFi no tiene dirección IP. Primero, restablezca la conectividad local sin VPN.
• DNS resolution failed: No se puede resolver el nombre de la puerta de enlace. Compruebe si hay un servidor DNS asignado a la interfaz física y ejecute nslookup www.sophos.com en Símbolo del sistema en Windows o en Terminal en macOS. Se espera al menos una dirección IP. Si esta prueba pública falla, el siguiente paso corresponde a la red o proveedor local, no a la política de VPN.
• DNS resolution failed for gateway: <gateway name:port>: El nombre de host en el aprovisionamiento no es válido; Para .ovpn importado, el administrador del firewall debe verificar la configuración de SSL VPN.
• Cannot connect to policy gateway: <gateway name>: Para provisioning en Windows y en macOS desde Sophos Connect 2.1. Compare gateway y user_portal_port con el gateway y el puerto HTTPS de VPN Portal. Compruebe también si el puerto de salida está bloqueado o el gateway de políticas no está disponible.
• Import file contains a duplicate connection: <connection name>: Para provisioning en Windows y en macOS desde Sophos Connect 2.1. Asigne un nombre único a cada valor display_name duplicado en el archivo .pro.
• The connection data could not be added. Connection with name <connection name> already exists: Verifique la conexión ya importada y elimínela solo si la fuente del perfil actual está disponible para volver a importarla.

Registro y estado del perfil

• User authentication of <username entered> failed: Repita la entrada con atención una vez. Si el error se repite, el administrador del firewall debe verificar el estado de la contraseña, el usuario y la autorización de VPN. Varias conjeturas pueden activar mecanismos de bloqueo.

• Server expected remote ID <expected ID value> but got <actual ID value>: El ID local en el firewall y el perfil del cliente no coinciden. Obtenga el perfil actual del administrador del firewall.

• Possible pre-shared key mismatch <connection name>: Sólo IPsec. La clave previamente compartida y el perfil exportado no son lo mismo; no transfieras la clave en el ticket o chat.

• No SSL VPN policy is defined for this user: <username>: La política de acceso remoto SSL VPN no contiene miembros coincidentes. Esta es una tarea de autorización del lado del firewall.

• The Single sign-on (SSO) option is grayed out: Windows desde Sophos Connect 2.4; macOS desde 2.1. La ayuda actual para errores indica que, en ambas plataformas, faltan los valores sso_api_port y sso_api_domain en el perfil .ovpn o .scx. Solicite al administrador del firewall una configuración actualizada, impórtela y vuelva a conectarse; esto no es una indicación para editar los perfiles manualmente. El cliente 2.0 para macOS no obtiene compatibilidad con SSO mediante este procedimiento.

• SSO Authentication failed due to Webview2 setup error: Reparar o actualizar WebView2 y el estado de actualización de Windows; el cliente no pudo abrir la página de inicio de sesión de Microsoft.

• El inicio de sesión Entra SSO falla en el navegador o no vuelve al cliente (macOS, Sophos Connect 2.1 o posterior): Consulte el flujo de navegador SSO en macOS para comprobar la selección del navegador, el cambio de navegador y el regreso a Sophos Connect. Si se necesita otro modo de navegador, solicite a TI un archivo .pro aprobado conforme al esquema de provisioning de sso_auth_browser_type. Cumpla los requisitos de cumplimiento o contacte con TI; no debilite Conditional Access, MFA ni la validación de certificados.

eventos IPsec

• UDP ports 500/4500 blocked: El firewall o enrutador local bloquea IKE/NAT-T. Si no administra el enrutador, consulte con un punto de acceso móvil. Si el mismo cliente trabaja allí, es una fuerte indicación de la ruta de red original.
• No response from gateway: <gateway FQDN or IP specified in connection>: La puerta de enlace IPsec no responde a IKE. El administrador del firewall debe verificar la accesibilidad y la conexión WAN pública.
• Received NO_PROPOSAL_CHOSEN notification from gateway: La política de Sophos Connect no está activa o la propuesta de la fase 1 y el perfil exportado no coinciden. No aflojen las propuestas a ciegas; Compara pólizas y perfiles de forma controlada.
• SA disabled or deleted by gateway: La puerta de enlace eliminó la SA, por ejemplo, después de un cambio de política o una desconexión manual. Vuelva a conectarse una vez; se correlacionan con la marca de tiempo del firewall cuando se repite.
• Failure to add route [network/mask] prevented phase 2 completion: Solo Windows. Después de que se estableció la Fase 2 SA, no se pudo establecer la ruta. Desactive y reactive el adaptador TAP. Si el error persiste, abra Símbolo del sistema como administrador:

net stop scvpn
net start scvpn

Luego se espera que el servicio se ejecute nuevamente y un nuevo intento de conexión establecerá la ruta. Al detenerlo se interrumpen los túneles de Sophos Connect existentes en este dispositivo.

• Failed to load connection info into strongSwan: Sólo Windows; charon-svc.exe o el servicio strongSwan no se están ejecutando. Comience en Símbolo del sistema como administrador:

net start strongswan

Si el servicio no se inicia o falla nuevamente, no continúe en un ciclo de reinicio, sino haga una copia de seguridad del informe de soporte y de los eventos de Windows.

Eventos de VPN SSL

• Policy mismatch error. Will download policy and retry connection.: Una conexión de Windows creada con .pro descarga la política modificada y vuelve a conectarse automáticamente. Con TCP, el cliente detecta el cambio mientras está conectado; con UDP, puede ser necesario esperar a que venza el temporizador de inactividad.
• Policy mismatch error. Import a new policy for this connection.: Un .ovpn importado manualmente está obsoleto. Obtenga e importe un nuevo .ovpn específico del usuario desde el portal VPN.
• Compression mismatch error. Will retry connection.: Para .ovpn, vuelva a conectar manualmente; una conexión aprovisionada lo intenta automáticamente.
• Server certificate cannot be verified: <gateway name>. Do you want to continue? Durante el aprovisionamiento, VPN Portal presenta un certificado que el endpoint no puede verificar, normalmente el certificado autofirmado del firewall. Continúe únicamente después de confirmar el gateway y el certificado por un canal de confianza. El administrador debe asignar un certificado de confianza pública a Admin console and end-user interaction o distribuir de forma controlada la CA de Sophos Firewall a los almacenes de confianza de los endpoints administrados. No desactive la validación del certificado.
• Could not connect to untrusted server: <gateway>: La advertencia del certificado ha sido cancelada. Primero aclare la identidad y la cadena de confianza y luego vuelva a intentarlo.
• Timed out waiting for server response: La anulación del nombre de host, DDNS o dirección WAN pública de la configuración de VPN SSL no apunta correctamente al firewall. Para .pro utilice Update policy; Para .ovpn, obtenga un nuevo archivo después de que el administrador del firewall haya corregido la estación remota.

Corregir errores de servicio y GUI

La interfaz no se abre ni responde

En Windows, abra Administrador de tareas > Detalles, seleccione scgui.exe, ejecute Finalizar tarea y reinicie Sophos Connect desde el acceso directo del escritorio. En macOS, abra el proceso Sophos Connect en Monitor de actividad, seleccione Forzar salida y reinicie la aplicación desde Launchpad. Esto pone fin a la superficie atascada, no automáticamente la causa. Si el error se repite, guarde la versión y scgui.log.

Service is unavailable

En Windows, el evento significa que scvpn no se está ejecutando. Abra Símbolo del sistema como administrador:

net start scvpn

Para Service Unavailable después de una desconexión de IPsec bloqueada en macOS, primero cierre la GUI en Monitor de actividad. Luego recarga el servicio documentado en Terminal con derechos de administrador:

sudo /bin/launchctl unload -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist
sudo /bin/launchctl load -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist

Vuelva a abrir Sophos Connect y compruebe si el mensaje ha desaparecido. Estos comandos interrumpen el túnel. Si se repite un error, no recargue los servicios repetidamente, guarde registros e informes.

Más errores del servicio VPN SSL local

• Management port is unavailable: Sophos Connect no pudo ocupar el puerto TCP 25340 para la comunicación con OpenVPN. Compruebe qué otra aplicación local está utilizando el puerto y finalícelo sólo si conoce su función. Luego vuelva a conectarse.
• OpenVPN service is unavailable: En Windows, compruebe el tipo de inicio del servicio OpenVPN. Si está configurado en Disabled, documente el valor anterior, cámbielo a Manual y luego reinicie el servicio Sophos Connect. Esto interrumpe los túneles activos. Después, compruebe el servicio y la conexión; si el intento falla, restaure el tipo de inicio anterior y escale el caso. No aplique esta configuración de servicios de Windows a macOS.
• Failed to create temporary file: Reiniciar el dispositivo. El cliente no pudo crear el archivo temporal para pasar los atributos de conexión.
• Failed to write to pipe o más generalmente SSL VPN error: Vuelva a conectarse una vez. Si el error persiste, reinicie el dispositivo; luego escale con registros en lugar de reiniciar continuamente.
• Sophos Connect can’t establish a tunnel después de instalar ambos clientes: la ayuda para errores describe, para el antiguo Sophos SSL VPN Client, la reinstalación de ambos clientes en este orden: primero el antiguo SSL VPN Client y después Sophos Connect. Sin embargo, la guía de instalación excluye el uso simultáneo con otros clientes VPN. Estas indicaciones contradictorias no constituyen una autorización general para la coexistencia. Si el cliente antiguo ya no es necesario, mantenga la configuración de destino aprobada sin él; si ambos son imprescindibles, aclare primero con Sophos la combinación concreta y planifique un piloto independiente y un procedimiento de reversión, en lugar de instalar ambos basándose en sospechas.
• Los perfiles .ovpn o .scx importados manualmente no obtienen automáticamente los cambios posteriores. Auto-connect y Update policy requieren provisioning: en Windows con un cliente compatible, y en macOS desde 2.1, no con 2.0. auto_connect_host activa Auto-connect; Update policy está disponible tras la primera conexión correcta. Rename, Clear credentials y Delete siguen siendo acciones independientes; tras Delete, los perfiles manuales deben volver a importarse.
• Una actualización o desinstalación deja procesos antiguos en ejecución en un Mac con Sophos Endpoint: Según la ayuda para errores, Tamper Protection puede impedir que se descarguen los daemons de Sophos Connect. Guarde los registros, reinicie el Mac una vez durante la ventana de mantenimiento y después compruebe el estado del cliente y de los procesos. La guía actual de desinstalación ya no indica una desactivación general de la protección; esto no implica que sea obligatorio desactivarla ni garantiza que la protección nunca intervenga. Si la eliminación sigue bloqueada, aclare con TI o Sophos la combinación concreta de Endpoint y cliente. Realice únicamente un cambio temporal de protección expresamente autorizado y, después, compruebe que la protección se ha vuelto a habilitar y está activa tanto en el endpoint como en la consola de administración, incluso si el intento ha fallado. La conservación de los perfiles y el procedimiento de reversión se explican en el proceso de desinstalación de macOS; no finalice los daemons repetidamente.

Conectado pero el DNS o el tráfico no funcionan

Primero dibuje una línea divisoria clara:

• Dirección IP interna accesible, FQDN interno no: Verifique el servidor DNS, el dominio de búsqueda y el estado del perfil. Si el DNS cambia mientras un túnel IPsec está activo, Sophos Connect solo mostrará los nuevos valores después de desconectarse y volver a conectarse.
• Después de desconectar un túnel completo, el acceso web ya no funciona: Especialmente en macOS, los servidores DNS internos pueden permanecer en el adaptador físico. Desconecte y vuelva a conectar la conexión Wi-Fi o Ethernet local. Si esto se repite, documente la versión, perfil y hora; No sobrescriba manualmente el DNS de forma permanente.
• Ni IP interna ni nombre accesible: Esto no es evidencia de un error del cliente. Verifique la IP de VPN, la red de destino, la ruta de regreso, la NAT y la regla de firewall en Sophos Firewall. Verifique las reglas del firewall con Visor de registros, Prueba de políticas y Captura de paquetes se encarga de este diagnóstico.
• Solo falla la configuración de IPsec o las SA: El runbook del lado del firewall es Solución de problemas de VPN de IPsec de Sophos Firewall.
• La política de VPN SSL o la configuración de la puerta de enlace son incorrectas: La configuración pertenece a Configuración del acceso remoto VPN SSL, no a una solución alternativa de servicio al cliente.
• Los accesos pequeños funcionan, las transferencias grandes se bloquean: Verifique MTU/MSS a lo largo del camino. Eso es lo que Compruebe Sophos Firewall MTU y MSS para detectar problemas de VPN.

Received connection reset from gateway: <gateway name> aparece en scvpn.log para SSL VPN cuando cambia la configuración del firewall, un administrador desconecta al usuario o Sophos Firewall se reinicia. Importe una configuración actualizada y vuelva a conectarse. Los registros del cliente no bastan para identificar la acción exacta del firewall.

Realizar copias de seguridad de registros e informes de soporte técnico

Para comenzar, abra Events o seleccione Open VPN log en el menú de tres puntos. Conserve el estado del error antes de reiniciar: cada archivo de log solo se rota una vez. Tras reiniciar el endpoint o el cliente, por ejemplo, la sesión anterior queda en openvpn.log.old y la actual en openvpn.log. No se documenta un tamaño máximo para los logs; los archivos .txt no se rotan.

Para Received connection reset from gateway, Sophos documenta scvpn.log en la carpeta de instalación, pero no publica una ruta del directorio de logs que sea estable entre versiones de Windows y macOS. No invente ni codifique una ruta fija: utilice Open VPN log o el informe de soporte. Los comandos de servicio de macOS anteriores usan deliberadamente la ruta absoluta documentada /Library/LaunchDaemons/com.sophos.connect.scvpn.plist.

Sophos Connect genera scvpntsr.zip mediante menú de tres puntos > About > Generate technical support report. El informe incluye configuraciones VPN, eventos de conexión, detalles de aprovisionamiento, información de autenticación SSO, detalles del navegador e información del endpoint. Incluye los siguientes archivos de diagnóstico:

• openvpn.log: Intentos de conexión VPN SSL, estado, interfaz virtual, flujo de paquetes y errores.
• charon.log: strongSwan, IKE, ESP, eventos de seguridad, cambios de configuración y flujo de paquetes.
• scvpn.log: Inicio de sesión, conexión, desconexión y otros eventos de VPN.
• scgui.log: Versiones de Sophos Connect y OpenVPN, información de la versión de WebView2 solo en Windows e inicios de sesión SSO. No deduzca de ello una dependencia de WebView2 en macOS.
• configs.txt: Detalles de conexiones importadas .pro, .ovpn y .scx; Sophos describe este archivo como que no contiene información personal.
• route.txt: Tablas de enrutamiento de endpoints.
• ipconfig.txt: Configuración IP del endpoint.
• systeminfo.txt: Información del sistema endpoint.

La afirmación de que no contiene datos personales se refiere únicamente a configs.txt, no al archivo completo ni a que todos los datos de configuración incluidos sean inocuos. Guarde el informe como material de soporte confidencial conforme a las normas internas y facilítelo únicamente a destinatarios autorizados a través del canal de transferencia aprobado. Nunca copie contraseñas, OTP ni claves privadas en el texto del ticket o en un extracto público de registros.

Comprobación complementaria de SCCLI en macOS

La ubicación predeterminada documentada de la herramienta SCCLI es /Library/Sophos\ Connect/. En un Mac piloto, compruebe primero si el paquete realmente instalado contiene allí sccli y qué opciones indica su ayuda local. Los siguientes ejemplos de solo lectura muestran la versión y las conexiones; no representan una prueba de ejecución en macOS realizada aquí ni demuestran la distribución mediante MDM o la posibilidad de trasladar scripts de Windows:

/Library/Sophos\ Connect/sccli show --version
echo $?
/Library/Sophos\ Connect/sccli list -d
echo $?

Consulte el estado con echo $? inmediatamente después de cada comando SCCLI, antes de que otro comando lo sobrescriba. En Windows, Command Prompt utiliza en su lugar echo %ERRORLEVEL%; esta no es sintaxis de macOS. La shell devuelve el estado del proceso, no necesariamente el código numérico de diagnóstico sin modificar de un mensaje interno del cliente. Si el binario no existe o no se inicia, compruebe el paquete y el estado de la instalación; no interprete el estado como una prueba del túnel.

La referencia de errores indica -1 para opciones no válidas o credenciales vacías, 1 para entradas no válidas o que no se pueden analizar, 2 para un archivo ausente o una contraseña o certificado vacíos, 5 para archivos que no se pueden leer, 14 para una respuesta que no se puede analizar, 101 para una solicitud fallida y 120 para datos del servidor ausentes. 1016 solicita credenciales, 1024 significa «conexión no encontrada», 1101 indica un inicio de sesión fallido y 9009 un comando no encontrado o que no se puede iniciar. Estos códigos son indicaciones de diagnóstico de la referencia, no una garantía de que todos aparezcan exactamente así como estado de la shell en macOS. Registre conjuntamente el mensaje exacto, el estado obtenido inmediatamente y la versión del cliente; ante errores de archivo o conexión, compruebe el origen y los nombres, y ante errores de inicio de sesión, aclare con TI los permisos y la autenticación, en lugar de intentar adivinar contraseñas repetidamente.

SCCLI también ofrece add, remove, update, enable, disable, get y show; esto no implica un conjunto de comandos recién introducido ni comprobado para todas las versiones de Mac. Las acciones que modifican el estado no forman parte de este ejemplo de diagnóstico: remove puede desconectar primero una conexión activa y no puede eliminar una conexión administrada; las políticas pueden restringir add, remove o disable. Auto-connect mediante add -a figura como TBD en la fuente y aquí no se describe como un método de despliegue funcional. Nunca escriba contraseñas ni OTP como argumentos de comandos, en scripts, en el historial de la shell ni en registros. Si un flujo de inicio de sesión autorizado por separado utiliza SCCLI, use su solicitud interactiva, no los argumentos de contraseña documentados. Para conocer otras opciones, consulte la ayuda de la herramienta instalada; realice cambios únicamente con el origen del perfil resguardado, un procedimiento de reversión aprobado y una prueba posterior de la VPN.

Escalar limpiamente

Un caso procesable contiene el sistema operativo y la compilación, la versión de Sophos Connect, el tipo y origen del perfil, la hora del error con la zona horaria, el texto exacto del evento, el destino esperado, el resultado por IP y por nombre, y scvpntsr.zip. Si hay sospechas por parte del firewall, se agrega el extracto del visor de registros correspondiente y los registros IPsec o SSL VPN relevantes; Servicios y registros de Sophos Firewall los clasifica.

Escalar si un servicio vuelve a fallar después de un único inicio controlado, el mismo error se puede reproducir en un perfil compartido, la identidad del certificado sigue sin estar clara o las marcas de tiempo del cliente y del firewall entran en conflicto. Se puede enviar un caso de soporte de forma estructurada usando Preparar y abrir ticket de soporte de Sophos.

Preguntas frecuentes