Comprobar y actualizar Sophos Connect Client de forma segura

La guía actual de Sophos describe la actualización en Windows y macOS como la descarga e instalación del nuevo paquete obtenido del VPN Portal o del administrador; no exige una desinstalación previa en todos los casos. Esto tampoco confirma que cualquier paquete pueda actualizarse sobre cualquier instalación existente. Esta guía mantiene el procedimiento controlado de desinstalación y reinstalación para una reinstalación expresamente aprobada o una reversión. Antes del cambio, determine el método adecuado para las versiones de origen y destino y compruébelo en el piloto; los perfiles, los paquetes de instalación y la reversión deben estar preparados.

La versión instalada aparece en Sophos Connect en tres puntos > About. Las guías de Windows y macOS cubren la primera instalación; esta guía se centra en la decisión de versión y el cambio controlado.

Si aún debe elegir entre IPsec, SSL VPN y otros métodos de acceso remoto, consulte primero la comparación de soluciones de acceso remoto antes de fijar el cliente objetivo.

Elegir la versión objetivo

No distribuya automáticamente el paquete más reciente de forma generalizada. Compare primero los cambios de versión explicados a continuación, los sistemas operativos compatibles y las funciones VPN que realmente se utilizan con su propio entorno. La revisión editorial, realizada el 7 de septiembre de 2026, dio la siguiente instantánea fechada:

• Windows: Sophos Connect 2.5 MR1, publicado el 18 de junio de 2026.
• macOS: Sophos Connect 2.0 MR1, publicado el 21 de mayo de 2026.

Actualización del 9 de octubre de 2026: Las notas de la versión incluyen Sophos Connect 2.1 para macOS, publicado el 6 de octubre de 2026, con compatibilidad nativa ARM, aprovisionamiento .pro y Microsoft Entra ID SSO para IPsec y SSL VPN. La instantánea del 7 de septiembre sigue siendo histórica. Una versión documentada no demuestra que el paquete esté realmente disponible en su propio portal ni que haya superado una prueba en el dispositivo; de ello no se deriva ninguna aprobación adicional de disponibilidad general (GA) ni de despliegue.

Estos datos de versiones son una instantánea, no una aprobación indefinida. Antes de cada nuevo despliegue, compare la matriz de versiones y las correcciones descritas con la versión del paquete realmente disponible; el equipo de TI responsable confirma su compatibilidad actual con las plataformas y su idoneidad para las funciones VPN necesarias. Una versión nueva pasa primero por el piloto; mantenga una anterior solo si sigue siendo compatible con la plataforma existente y existe un motivo documentado para no utilizar la más reciente. No deduzca fechas de fin de vida específicas del cliente a partir de la página general del ciclo de vida de Sophos.

Sophos Connect no es un cliente para iOS o Android. Si una combinación queda fuera de estos límites, defina primero una migración en lugar de probarla en producción.

Windows 2.5 MR1 corrige, entre otros, el inicio para usuarios adicionales (NCL-2570), un estado SSO incorrecto tras un corte de Internet (NCL-2783), solicitudes OTP distintas al reconectar (NCL-2992) y el aprovisionamiento SSL VPN con caracteres especiales en certificados (NCL-2795). macOS 2.0 MR1 incluye correcciones de DNS para SSL VPN y restaura el guardado de credenciales. Una incidencia resuelta no sustituye un piloto con el perfil propio.

Preparar la actualización y la reversión

Antes de la ventana de mantenimiento registre por plataforma y grupo:

• versión del cliente y del sistema operativo;
• IPsec o SSL VPN y origen del perfil (.scx, .ovpn o .pro); en cambio, un archivo .tgb es una exportación para clientes IPsec de terceros, no un perfil de Sophos Connect;
• autenticación local, AD, RADIUS o Entra ID SSO;
• comportamiento de MFA y reconexión;
• dependencias como gateway, certificado, DNS, pool VPN y redes permitidas.

Conserve en la distribución de software el paquete objetivo, el paquete anterior aprobado internamente y las fuentes originales de los perfiles. Una captura del nombre no es una copia de seguridad: para revertir se necesita el archivo exportado o una fuente de aprovisionamiento reproducible. Guarde los perfiles que contengan certificados o claves privadas únicamente de forma protegida y para la identidad de usuario prevista.

El administrador obtiene el instalador mediante Download client en Remote access VPN > IPsec o Remote access VPN > SSL VPN; el usuario puede obtenerlo en VPN Portal. Backup & Firmware > Pattern updates puede renovar el paquete de la firewall, pero no actualiza los endpoints instalados. Compruebe origen, plataforma y versión, y bloquee o marque claramente los paquetes antiguos.

Realizar un piloto

Incluya al menos un dispositivo de cada combinación productiva y de uno a tres usuarios habituales, no solo administradores. Cuando existan, pruebe por separado Windows x64, Windows ARM, macOS con IPsec, macOS con SSL VPN, Entra SSO y la reconexión OTP/MFA. En Mac, compruebe por separado 2.0/Rosetta y 2.1/ARM nativo, la versión de macOS realmente utilizada, los perfiles directos y el aprovisionamiento. Para Entra SSO desde 2.1, el modo de navegador, el cambio de navegador necesario y el regreso al cliente forman parte del piloto SSO en macOS. Un error de cumplimiento se corrige o se escala a TI, no se elude debilitando Conditional Access.

Antes del cambio documente una referencia: inicio de sesión, IP VPN asignada, DNS interno, acceso a un destino representativo, split o full tunnel y reconexión tras cambiar de red. Repita exactamente las mismas pruebas después. Así distingue una regresión del cliente de un problema previo de firewall, routing o perfil.

Amplíe el despliegue por etapas solo cuando pasen todas las combinaciones y el helpdesk conozca la versión y la reversión. Un único éxito en Windows no aprueba macOS.

Desinstalar y volver a instalar el cliente

Desconecte la VPN activa. Si es la única vía de administración remota, programe acceso local o una segunda vía, ya que la VPN se interrumpe durante el proceso.

Windows

1. En Control Panel > Programs > Uninstall a program, seleccione Sophos Connect y Uninstall.
2. Espere a que termine y no posponga un reinicio solicitado.
3. Instale con derechos de administrador el paquete Windows aprobado.
4. Compruebe la versión en tres puntos > About.
5. Revise el perfil existente o impórtelo desde la fuente guardada y repita el piloto.

No revierta Windows ARM a una versión anterior a 2.5. No actualice Windows de 32 bits a 2.5; necesita un plan de migración de plataforma.

macOS

Si el Mac tiene Sophos Endpoint, no desactive Tamper Protection de forma general antes de desinstalar el cliente. La guía actual de desinstalación ya no lo indica como requisito; sin embargo, la ayuda de resolución de problemas sigue describiendo procesos de Sophos Connect bloqueados por Tamper Protection del endpoint y recomienda reiniciar. Si se presenta este problema, guarde los registros, reinicie durante la ventana de mantenimiento y compruebe de nuevo el estado. Si la desinstalación sigue bloqueada, consulte con TI o Sophos sobre la combinación concreta de Endpoint y cliente. Modifique temporalmente la protección solo con aprobación expresa para este caso; su reactivación forma parte del cierre del procedimiento incluso si el intento falla. Para una desinstalación aprobada, abra Terminal y ejecute con privilegios de administrador:

sudo /Library/Sophos\ Connect/uninstall.sh

La confirmación esperada es Sophos Connect has been uninstalled. Después:

1. Reinicie el Mac si se solicita.
2. Instale el paquete macOS aprobado y confirme los diálogos necesarios.
3. Compruebe la versión en tres puntos > About.
4. Cargue el perfil guardado y repita las pruebas del piloto.
5. Si Tamper Protection se desactivó expresamente para este procedimiento, vuelva a activarla y compruebe que su estado sea activo tanto en el endpoint como en la consola de administración; hágalo también si la reinstalación falla.

Una versión anterior a 2.0 no es una reversión válida para SSL VPN en macOS. Tras pasar a 2.0 MR1, vuelva a importar la configuración si se necesita la opción restaurada para guardar credenciales. Volver al cliente macOS 2.0 no conserva la ejecución nativa ARM, el aprovisionamiento .pro ni Entra ID SSO. Si estas funciones de 2.1 son necesarias, 2.0 no es una alternativa de reversión equivalente; apruebe y pruebe previamente una alternativa compatible.

Tratar por separado los cambios de perfil

Actualizar el cliente no actualiza automáticamente toda configuración VPN. Tras cambiar ajustes IPsec avanzados, exporte y distribuya un nuevo .scx si se distribuye manualmente. En Windows con un cliente compatible y en macOS desde 2.1, un archivo .pro importado obtiene configuraciones del VPN Portal. Si cambia el puerto o el protocolo en Remote access VPN > SSL VPN > SSL VPN global settings, el usuario pulsa el engranaje del perfil y Update policy. En macOS 2.0 siguen siendo necesarias las importaciones directas y el mantenimiento manual de perfiles. La configuración del archivo de aprovisionamiento se describe en Aprovisionamiento de Sophos Connect.

Documentado para SFOS 22: Un perfil SSL VPN importado queda ligado a la identidad de usuario, el dominio y el método de autenticación utilizados al importarlo. Al pasar, por ejemplo, de AD a Entra ID SSO o de un dominio a otro, se debe importar una configuración .pro o .ovpn separada; reutilizar el mismo perfil importado puede provocar Login failed. Wrong fingerprint of certificate. Un archivo .ovpn contiene certificados y claves privadas específicos del usuario. En cambio, un archivo .pro no es, por sí mismo, específico del usuario: la configuración SSL VPN y los certificados solo se generan durante la importación y se asocian a la identidad y al método de autenticación utilizados. Esta restricción documentada para SFOS 22 afecta a SSL VPN, no a los perfiles IPsec .scx.

Este comportamiento no se ha verificado para SFOS 23. La guía correspondiente no contiene el apartado sobre la vinculación del perfil y este mensaje de error. Esto no demuestra que la vinculación haya desaparecido ni que siga vigente sin cambios. Por ello, al cambiar de dominio o de método de autenticación, se recomienda, como precaución, importar un perfil SSL separado desde una fuente de confianza confirmada por TI; no se trata de un requisito confirmado de SFOS 23. Antes, confirme con TI la identidad de usuario, el dominio, el método de autenticación y el servidor de destino previstos y, si es necesario, obtenga un archivo .ovpn actualizado del VPN Portal confirmado o utilice la fuente .pro aprobada. Después, pruebe el par cliente/perfil en el piloto. Si aparece el mensaje de fingerprint, detenga el despliegue y registre para TI o Sophos las versiones del cliente y de SFOS, la identidad prevista, el dominio, el método de autenticación y la entrada en Events. El mensaje por sí solo no demuestra que el certificado haya caducado ni que exista un error de firma o de cadena de confianza. No eluda las comprobaciones de certificados.

Realice los cambios de la firewall con las guías de Sophos Connect con IPsec, acceso remoto SSL VPN o Entra ID SSO. Después vuelva aquí y pruebe en el piloto el par actualizado de cliente y perfil.

Validar y aprobar el despliegue

La versión correcta y un estado verde no bastan. Registre por combinación:

• versión objetivo correcta en About;
• inicio de sesión y MFA o SSO correctos;
• IP VPN correcta;
• DNS interno y destino representativo accesibles;
• regla correspondiente de la zona VPN visible en Log Viewer;
• split o full tunnel según el diseño;
• reconexión tras cambiar de red, cierre e inicio de sesión correctos.

Si falla una prueba, detenga esa combinación. Compruebe versión, límite del sistema operativo y perfil cargado; después anote hora, mensaje visible y evento correspondiente en Events. Solución de problemas de Sophos Connect Client contiene el diagnóstico de errores de conexión, DNS, autenticación, policy y servicios; esta guía no duplica ese catálogo.

Revertir y escalar

La reversión restaura temporalmente el servicio; no es una solución permanente para un cliente obsoleto o vulnerable.

1. Detenga el despliegue e identifique la combinación afectada.
2. Desinstale el cliente fallido por el mismo procedimiento.
3. Instale solo el paquete anterior aprobado y compatible.
4. Importe de nuevo la fuente guardada del perfil.
5. Repita versión, acceso, IP VPN, DNS, destino interno, Log Viewer y reconexión.
6. Documente el resultado y no inicie otro piloto hasta entender la causa.

Si también falla la reversión, abra tres puntos > About > Generate Technical Support Report. El informe contiene configuraciones VPN, eventos de conexión, detalles de aprovisionamiento, información de autenticación SSO, detalles del navegador e información del endpoint. Según las normas internas de privacidad, compártalo únicamente con destinatarios autorizados mediante un canal de transferencia controlado. Para escalar el caso, incluya las versiones objetivo y de origen, el sistema operativo, el tipo de perfil, la hora, el mensaje de error visible y el resultado de la reversión; nunca incluya contraseñas, OTP ni claves privadas en el texto del ticket.