Configurar el aprovisionamiento de Sophos Connect con .pro

Un archivo de aprovisionamiento de Sophos Connect con la extensión .pro no es un perfil VPN completo. Indica a Sophos Connect, en Windows o en un Mac compatible con la versión 2.1 o posterior del cliente, qué portal VPN debe utilizar para obtener las configuraciones IPsec y SSL VPN. Tras iniciar sesión correctamente en el portal y completar MFA si corresponde, Sophos Connect importa el archivo .scx y, si el usuario está asignado a una política SSL VPN, también el archivo .ovpn. Que un perfil sea visible no significa todavía que estén permitidos la autenticación del túnel o el acceso a destinos internos.

Esto resulta especialmente práctico cuando los perfiles deben distribuirse de forma centralizada y los cambios posteriores deben obtenerse automáticamente. Al mismo tiempo, el portal VPN pasa a formar parte de la ruta de inicio de sesión productiva. Su accesibilidad, certificado, MFA, asignación de usuarios y protección son, por tanto, tan importantes como la sintaxis JSON del archivo.

⚠️ Si los usuarios externos deben efectuar el aprovisionamiento desde la WAN, el portal VPN debe ser accesible desde la WAN. Esto aumenta la superficie de ataque expuesta públicamente. Antes del despliegue, utilice un certificado de confianza, MFA, ACL Local Service lo más restrictivas posible, bloqueos de inicio de sesión probados y una vía alternativa basada en un perfil distribuido manualmente.

Aprovisionamiento en ocho pasos

1. Configure por completo IPsec Remote Access o SSL VPN en el firewall y pruébelo con un archivo importado manualmente.
2. Publique el portal VPN mediante un FQDN cubierto por un certificado de confianza.
3. En Administration > Device access, defina el alcance necesario del acceso al portal VPN. Para limitarlo a redes de origen concretas, mantenga deshabilitado el permiso general de la zona y configure una excepción Local Service ACL de tipo Accept con los orígenes permitidos y el destino previsto. Compruebe por separado el acceso permitido y el no permitido, así como la posible exposición de puertos a través de otros servicios.
4. Cree un archivo .pro mínimo con display_name, gateway y vpn_portal_port.
5. Añada MFA, conexión automática y orden de gateways solo cuando el flujo correspondiente ya esté definido.
6. Importe primero el archivo manualmente con un usuario piloto y pruebe IPsec y SSL VPN por separado.
7. Distribuya después el archivo .pro aprobado a un pequeño grupo piloto: en Windows, mediante el despliegue administrado; en macOS con Sophos Connect 2.1 o posterior, mediante la importación directa en el cliente enlazada en este artículo.
8. Valide el inicio de sesión en el portal, los perfiles importados, el túnel, los destinos internos, los registros, las actualizaciones de perfiles y la reversión.

Cuándo conviene un archivo .pro

El aprovisionamiento es adecuado para equipos Windows y Macs compatibles con Sophos Connect 2.1 o posterior que utilizan IPsec, SSL VPN o ambos. Para este flujo están documentados Windows 10/11 y macOS 14 o posterior; antes de importar, compruebe la versión del cliente realmente instalada. El aprovisionamiento IPsec también requiere Sophos Connect 2.1 o posterior en Windows. Después de iniciar sesión en el portal, el firewall proporciona el perfil IPsec a todos los usuarios. Esto no significa que todos puedan autenticar el túnel o acceder a los destinos internos. Una configuración SSL VPN solo se importa cuando el usuario pertenece a una política SSL VPN correspondiente.

Durante el primer aprovisionamiento, SFOS puede crear automáticamente un usuario de directorio que todavía no exista localmente y asignarlo a un grupo según el mapeo del servidor de autenticación. El usuario no necesita iniciar sesión previamente en el portal VPN ni en el portal de usuario. Esta creación automática no sustituye la comprobación del orden de los grupos ni del permiso VPN real.

Los archivos manuales .scx y .ovpn siguen siendo útiles si el VPN Portal no debe ser accesible públicamente, hay pocos clientes o el portal supone una dependencia adicional no deseada. .pro descarga IPsec (.scx) y las configuraciones SSL VPN autorizadas para el usuario (.ovpn) desde el VPN Portal, además de cambios posteriores; no es un perfil de túnel. Se admiten clientes Windows compatibles y Sophos Connect para macOS desde 2.1, no el cliente macOS 2.0 ni anteriores. El provisioning IPsec requiere Sophos Connect 2.1 o posterior. En el cliente macOS 2.0 siguen siendo necesarios la importación directa y la actualización manual controlada.

Actualización de la observación fechada: las notas de versión de Sophos incluyen Sophos Connect 2.1 para macOS, publicado el 6 de octubre de 2026, con provisioning .pro, Entra ID SSO y ARM nativo. La observación del 24 de septiembre de 2026 describe la situación de entonces. Compruebe la versión del instalador realmente disponible; la publicación no demuestra que su portal ya distribuya ese paquete ni que se haya probado en un dispositivo concreto.

La configuración VPN propiamente dicha permanece en las guías específicas: Configurar Sophos Connect IPsec en el firewall y Configurar el acceso remoto SSL VPN.

Requisitos y valores de ejemplo

El siguiente ejemplo utiliza el nombre público del portal vpn.example.com y el host de comprobación interno intranet.corp.example. Ambos nombres son marcadores de posición:

• vpn.example.com se sustituye por el FQDN real del portal VPN, que debe resolverse correctamente de forma pública e interna. El certificado del portal debe ser válido para este nombre y de confianza para los clientes.
• intranet.corp.example solo se utiliza como auto_connect_host si el host está disponible de forma estable y responde exclusivamente desde la red interna. Un host público o poco fiable falsearía la detección de red.
• El puerto 443 es el puerto predeterminado del portal VPN. Si el firewall utiliza otro puerto, debe introducirse el mismo valor en vpn_portal_port.

Antes de crear el archivo deben haberse probado correctamente al menos estos puntos:

• El perfil IPsec o SSL VPN deseado funciona con una importación manual.
• El portal VPN es accesible mediante el FQDN previsto y utiliza una cadena de certificados completa.
• Los usuarios, grupos principales, política SSL VPN y métodos de autenticación coinciden.
• En el aprovisionamiento SSO, el portal VPN, IPsec y SSL VPN utilizan el mismo servidor del proveedor de identidad (IdP) configurado en Authentication > Services: Microsoft Entra ID en la documentación de SFOS 22, o un IdP OpenID Connect (OIDC) compatible en SFOS 23.
• gateway coincide con el FQDN o la dirección IP del firewall configurados en la sección Redirect URI del servidor IdP. Introduzca solo ese host, no la URI de callback completa con esquema, puerto y ruta; configure el puerto del portal por separado en vpn_portal_port.
• Funcionan MFA y la prueba negativa con un usuario no autorizado.

Para publicar el portal, véase Device Access y Local Service ACL. Protección contra fuerza bruta para el portal VPN explica los intentos fallidos repetidos y la protección de un portal accesible desde WAN.

Elegir la versión SSO y el proveedor

Para Windows con Sophos Connect 2.4 o posterior, SFOS 22 describe Entra ID SSO; SFOS 23 amplía el alcance a IdP OIDC compatibles. Esto no implica compatibilidad con todos los proveedores OIDC ni disponibilidad demostrada en una compilación concreta del firmware. Utilice la rama de versión correspondiente de Entra ID VPN SSO o la configuración Google Workspace OIDC para SFOS 23. Google exige un FQDN público válido para las redirecciones, no una dirección IP. Estas guías cubren la configuración del proveedor, la asignación de servicios y el diagnóstico.

Para descargas directas de .scx o .ovpn sin .pro, seleccione primero el IdP en Authentication > Services y después descargue el perfil. SSL VPN debe utilizar el mismo IdP para el portal y el túnel; IPsec directo permite el mismo IdP u otro. No aplique esta excepción de IPsec al aprovisionamiento.

Para Sophos Connect para macOS 2.1 o posterior, la guía del cliente indica Entra ID SSO, no compatibilidad OIDC general. Los requisitos y la guía del cliente guardados difieren en su cobertura de macOS; confirme y pruebe por separado la combinación de firmware, cliente y VPN prevista. El campo de navegador de macOS siguiente sigue siendo exclusivo de Entra; GPO, automatización de la carpeta de importación y scripts de inicio de sesión siguen siendo exclusivos de Windows.

Crear el archivo de aprovisionamiento

Un archivo .pro está en formato JSON. gateway es el único campo obligatorio. No obstante, conviene definir explícitamente el nombre para mostrar y el puerto del portal para que la configuración pueda revisarse sin ambigüedad. Cree el archivo con un editor de texto y guárdelo, por ejemplo, como avanet-vpn.pro.

Perfil mínimo para una puerta de enlace

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name puede contener como máximo 60 caracteres. Sin un nombre visible, Sophos Connect muestra el valor de gateway. Con can_save_credentials en true, el usuario puede guardar su nombre de usuario y contraseña; esta opción no se utiliza con SSO. Permitir credenciales guardadas es una decisión de seguridad, no un ajuste predeterminado de comodidad.

Con can_save_credentials: true, el diálogo de inicio de sesión muestra una casilla para guardar las credenciales, marcada de forma predeterminada. El usuario puede desmarcarla y optar por no guardarlas; el ejemplo reforzado anterior mantiene false.

Los campos no especificados utilizan los valores predeterminados del fabricante. El ejemplo los define todos expresamente para que durante la revisión no se pasen por alto valores implícitos:

Con check_remote_availability, el cliente realiza una comprobación de accesibilidad al iniciar la conexión. run_logon_script solo se aplica a Sophos Connect para Windows; admite true y false, con false como valor predeterminado. Ejecuta el script de inicio de sesión proporcionado por el controlador de dominio una vez establecido el túnel. El script permanece deshabilitado hasta que una prueba piloto confirme su necesidad y comportamiento.

La sintaxis anterior user_portal_port sigue siendo válida, pero actualmente también identifica el puerto del portal VPN. vpn_portal_port es más clara para archivos nuevos.

Elegir el navegador de Entra ID SSO en macOS

El campo opcional sso_auth_browser_type se aplica exclusivamente a Microsoft Entra ID SSO con Sophos Connect para macOS 2.1 o posterior. No es un ajuste de Windows ni una opción general de navegador para otros proveedores de identidad. Los valores admitidos se escriben literalmente:

• auto: valor predeterminado; utiliza el navegador integrado y puede recurrir al navegador del sistema si es necesario.
• embedded: utiliza el navegador integrado en Sophos Connect.
• system: utiliza el navegador predeterminado del sistema operativo.

Si se omite el campo o contiene un valor no válido, Sophos Connect utiliza auto. Para una configuración adecuada de Entra en macOS, puede añadirse esta propiedad opcional al objeto de conexión del archivo .pro:

"sso_auth_browser_type": "auto"

Es solo un fragmento JSON, no un archivo .pro completo. La propiedad se incorpora junto a gateway en el objeto existente; las propiedades se separan con comas, sin coma después de la última. auto hace explícito el valor predeterminado para la revisión; embedded o system solo se establecen para un flujo de navegador elegido conscientemente y probado en un piloto. Sophos Connect en macOS explica la importación y el inicio de sesión interactivo; la sintaxis del campo se describe aquí.

Planificar correctamente la conexión automática

auto_connect_host ayuda a Sophos Connect a determinar si el cliente ya se encuentra en la red interna. Cuando una interfaz de red recibe una dirección IP nueva o modificada, el cliente comprueba este host. Si no es accesible, se activa la conexión. El túnel se establece automáticamente si las credenciales están guardadas o si el último inicio de sesión se realizó mediante SSO.

"auto_connect_host": "intranet.corp.example"

El host de comprobación no es una prueba general del estado de Internet. Debe ser estable y resolverse internamente, y no debe ser accesible desde el exterior. Antes del despliegue se prueba tanto desde la red corporativa como desde una red externa. Una cadena vacía "" desactiva la conexión automática.

Para un funcionamiento permanente, deben coordinarse las credenciales guardadas, SSO, MFA y el comportamiento después de los cambios de red. Iniciar SSL VPN automáticamente con inicio de sesión automático explica las diferencias.

Utilizar varias puertas de enlace

Las distintas puertas de enlace del portal se introducen como una matriz. gateway_order solo determina cómo Sophos Connect selecciona el portal para obtener la configuración. El túnel posterior utiliza las puertas de enlace del archivo .scx o .ovpn importado.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Los modos de selección tienen efectos operativos distintos:

• in_order prueba las entradas en el orden definido.
• latency selecciona la puerta de enlace según el tiempo de respuesta de un intento de conexión TCP.
• distributed selecciona una puerta de enlace al azar durante un intento de conexión.

El orden no sustituye un diseño WAN, DNS o HA probado. Cada nombre de portal indicado necesita un certificado válido, la accesibilidad prevista y el mismo contenido de aprovisionamiento esperado.

Este caso debe distinguirse del uso de varias conexiones. Dos objetos separados en la matriz JSON externa crean dos entradas en Sophos Connect, por ejemplo una para empleados y otra para administradores. En cambio, un único objeto con varios valores en el campo gateway sigue siendo una sola conexión con gateways de aprovisionamiento alternativos. Antes de combinar ambas variantes, deben definirse los nombres, los grupos de destino y las vías alternativas.

Definir conscientemente los campos MFA

Con otp: true, Sophos Connect muestra un tercer campo de entrada. 2fa determina cómo se envía su contenido al servidor de autenticación:

• 2fa: 1 utiliza la configuración de Sophos Firewall. La contraseña y el OTP se concatenan como passwordotp.
• 2fa: 2 utiliza un servicio externo como Duo. La contraseña y el código se separan mediante una coma; según la configuración de Duo, también pueden utilizarse push, phone, sms o un código de token.

Para Duo Push, introduzca push en el tercer campo y después apruebe la notificación en su dispositivo móvil. Para Duo Phone, introduzca phone; a continuación recibirá una llamada para la autenticación.

Para Duo SMS, introduzca sms en el tercer campo. Después vuelve a aparecer el diálogo de inicio de sesión: introduzca de nuevo el nombre de usuario y la contraseña, y ahora escriba el código de verificación recibido en el tercer campo. Este proceso de verificación por SMS no es lo mismo que los dos inicios de sesión para descargar la configuración y establecer el túnel durante el primer aprovisionamiento.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Durante la primera obtención, la pantalla de inicio de sesión puede aparecer dos veces: una para descargar la configuración y otra para establecer el túnel. Esto no indica necesariamente un error. El soporte debe conocer este comportamiento antes de un despliegue amplio. La configuración MFA en el firewall se explica en Configurar MFA en Sophos Firewall.

Los pasos de GPO y carpeta de importación siguientes se aplican a Windows. En macOS con Sophos Connect 2.1 o posterior, importe la .pro aprobada directamente en el cliente y pruebe por separado paquete, acceso al portal, descarga del perfil y conexión VPN; no traslade rutas Windows ni pasos GPO al Mac.

Importar en Windows y entregar al despliegue administrado

El archivo puede proporcionarse mediante una descarga protegida e importarse manualmente. Los usuarios seleccionan Import connection o abren el archivo .pro con un doble clic. El correo electrónico solo es apropiado si se controlan el transporte y los destinatarios; el archivo nunca debe contener contraseñas, OTP ni tokens de usuario.

Si el archivo de aprovisionamiento aprobado se entrega como archivo de texto, cambie su extensión a .pro antes de importarlo. Primero muestre los nombres completos y compruebe el contenido JSON: avanet-vpn.pro.txt sigue siendo un archivo de texto, y cambiar el nombre no genera un JSON de aprovisionamiento válido. Conserve el original sin modificar en un lugar seguro. Al abrirlo debe aparecer la entrada prevista en Connections; solo Connect y las autenticaciones al portal y al túnel validan la conexión. Para este flujo, las guías SFOS 22/23 indican Windows 10/11 o macOS 14+ con Sophos Connect 2.1+; el Mac utiliza la importación directa enlazada arriba, no las rutas de distribución Windows siguientes.

Sophos Connect supervisa esta carpeta de importación:

C:\Program Files (x86)\Sophos\Connect\import\

Un archivo .pro colocado aquí se importa automáticamente y después se elimina. La eliminación es normal y no demuestra que la autenticación en el portal o el túnel ya funcionen. Esta entrega mediante la carpeta es la interfaz con el despliegue administrado.

Los scripts de inicio GPO, el paquete del cliente, SCCLI, los códigos de salida y la reversión completa se explican en Desplegar Sophos Connect en equipos Windows administrados. Ese flujo entrega el .pro aprobado al cliente ya instalado como artefacto independiente y versionado, separando la comprobación del paquete de la del aprovisionamiento.

Para la prueba piloto, documente la versión o el hash aprobado, entregue el archivo a la carpeta de importación y compruebe qué conexión aparece. El origen solo debe ser legible para los dispositivos previstos, usar un certificado de confianza y no incluir credenciales en URL o scripts. Instalar Sophos Connect en Windows explica la instalación y las plataformas compatibles.

Un archivo .pro normalmente no contiene contraseñas de usuario. Aun así, sigue siendo un artefacto de configuración controlado: las direcciones del portal, el comportamiento, MFA y los ajustes de conexión automática solo deben proceder de un origen autorizado.

Para la entrega mediante GPO, el servicio scvpn debe estar en ejecución tras el arranque del equipo; por tanto, no deshabilite Sophos Connect en las aplicaciones de inicio de Windows. El script de inicio enlazado espera al servicio, pero no lo inicia ni lo repara. Guarde el script de inicio de aprovisionamiento adaptado, por ejemplo, como import-vpn-pro.bat, y añada la ruta a ese archivo en Group Policy Management Console > Computer Configuration > Policies > Windows Settings > Scripts > Startup. gpupdate /force actualiza la directiva; la entrega se realiza en el siguiente arranque del equipo.

Metadatos .pro reutilizables e identidad SSL

El archivo .pro sin importar contiene metadatos de aprovisionamiento reutilizables, no el certificado SSL VPN ni la clave privada de un usuario. La documentación del cliente de SFOS 22 lo distingue del perfil SSL generado durante la importación: ese perfil y sus certificados se asocian a la identidad, el método de autenticación y el dominio utilizados al importar. Para otro método o dominio, importe un .pro independiente o el .ovpn propio del usuario; reutilizar el perfil SSL importado puede provocar Login failed. Wrong fingerprint of certificate. Esta restricción documentada no se aplica a los perfiles IPsec .scx.

Un .ovpn contiene certificados y claves privadas específicos del usuario: nunca lo comparta entre usuarios. Reutilizar metadatos .pro originales aprobados no significa compartir un perfil SSL generado ni exportar las claves de otro usuario. Importación e inicio de sesión en Windows y en macOS explican los pasos del cliente; aplique esta precisión de versión a las indicaciones sobre vinculación SSL y huella del certificado.

La documentación del cliente de SFOS 23 guardada omite la sección de vinculación de identidad de SFOS 22 sin explicar un cambio de comportamiento en ejecución. Esta omisión no demuestra ni una reutilización más permisiva ni una vinculación inalterada en todas las versiones. Hasta obtener una aclaración autorizada para la versión concreta, separe por precaución las importaciones SSL por identidad, método y dominio; esta precaución no es una regla de ejecución de SFOS 23 verificada.

Cambios y actualizaciones de perfiles

Tras una importación correcta, Sophos Connect obtiene automáticamente los perfiles .scx y .ovpn disponibles y sus cambios posteriores. Aun así, debe diferenciarse entre la ruta de obtención del archivo .pro y el perfil VPN obtenido:

• Si gateway o vpn_portal_port cambia, actualice y redistribuya el archivo .pro.
• Si cambia el puerto o el protocolo en SSL VPN global settings, los usuarios deben pulsar el icono del engranaje de la conexión en el cliente y seleccionar Update policy.
• El cliente obtiene automáticamente los demás cambios del perfil VPN proporcionado. Los cambios en el gateway, el certificado del servidor, el puerto o el protocolo de SSL VPN pueden exigir un nuevo inicio de sesión.
• Si gateway y el puerto del portal VPN del archivo .pro permanecen sin cambios después de una restauración o importación de configuración, se vuelven a obtener automáticamente las configuraciones IPsec y SSL VPN afectadas.
• Si esta ruta de aprovisionamiento ha cambiado, redistribuya y vuelva a importar el archivo .pro.
• Sin un .pro funcional, utilice la importación directa de perfiles: vuelva a importar las configuraciones IPsec afectadas; tras cambios de puerto, protocolo, interfaz o certificado de servidor SSL VPN, descargue de nuevo el .ovpn del portal VPN e impórtelo.
• Una actualización del cliente no es un sustituto de la redistribución controlada de un archivo .pro cambiado.

Con perfiles IPsec importados directamente, tras una restauración o importación de configuración es necesario volver a importar el .scx, especialmente si han cambiado la interfaz, el mecanismo de autenticación o 2FA de la configuración IPsec de acceso remoto. Distinga este caso de la recuperación automática mediante un .pro ya importado cuyo gateway y puerto del portal VPN no hayan cambiado. Después, vuelva a comprobar la autenticación del túnel, MFA y la ruta de datos interna.

No deben distribuirse en paralelo archivos de aprovisionamiento antiguos y nuevos mediante distintas GPO, descargas y correos electrónicos. Para cada despliegue se documentan el nombre de archivo, versión o fecha de modificación, grupo de destino y vía alternativa.

Validar el aprovisionamiento y el túnel

La prueba se realiza con un usuario autorizado y otro no autorizado desde una red externa real. Una autenticación correcta en el portal no constituye por sí sola una prueba VPN satisfactoria.

1. Compruebe la versión de Sophos Connect y el sistema operativo; en macOS, utilice como mínimo macOS 14 y Sophos Connect 2.1, y no confunda la importación manual de perfiles del cliente 2.0 con el aprovisionamiento.
2. Importe el archivo .pro manualmente; la GPO piloto solo es una alternativa en Windows.
3. Verifique qué conexiones .scx y .ovpn aparecen realmente.
4. Complete el flujo de MFA, incluido un posible segundo inicio de sesión.
5. Conecte IPsec y SSL VPN por separado si se ofrecen ambos.
6. Compruebe la dirección de arrendamiento, resolución DNS interna, servidor de destino, regla de firewall y ruta de retorno.
7. Para el usuario no autorizado, distinga entre la importación del perfil y el acceso: puede aparecer un perfil IPsec, pero el túnel o el acceso interno deben fallar en la fase prevista de autenticación o aplicación de la política. No debe importarse un archivo SSL VPN .ovpn sin una política correspondiente.
8. Pruebe ambas rutas de actualización: un cambio normal del perfil debe llegar automáticamente mediante el .pro importado; tras cambiar el puerto o el protocolo de SSL VPN, seleccione Update policy en el cliente. Esta acción requiere una conexión aprovisionada; un perfil .scx o .ovpn importado manualmente sin aprovisionamiento no dispone de esta ruta de obtención automática.
9. Pruebe el reinicio del cliente, el cambio de red y otra entrega con el método elegido.
10. Pruebe la vía alternativa manual con un perfil .scx o .ovpn aprobado.

Con Microsoft Entra ID SSO también se comprueban Redirect URI, Conditional Access y el nuevo inicio de sesión forzado en endpoints compartidos. Microsoft Entra ID SSO para Sophos Connect y el portal VPN explica el mapeo completo.

En la prueba piloto SSO, registre la versión del firmware, la versión del cliente y el IdP. Utilice la rama de versión elegida arriba, compruebe la asignación del mismo IdP a los servicios de aprovisionamiento y pruebe por separado la recuperación desde el portal y el túnel con usuarios autorizados y no autorizados. Las indicaciones de identidad SSL siguen delimitadas por versión; una prueba piloto correcta no resuelve de forma general el conflicto pendiente de la documentación fuente de SFOS 23.

Delimitar errores sistemáticamente

No se importa ninguna conexión

Primero se comprueba que el archivo contiene JSON válido, termina en .pro y ha sido importado por el cliente. Después se verifican gateway, vpn_portal_port, DNS, la cadena de certificados y la accesibilidad del portal VPN. Que un archivo desaparezca de la carpeta de importación significa que fue procesado, pero no demuestra una autenticación correcta.

Si el cliente alcanza el portal pero no recibe ningún perfil, se comprueban la conexión IPsec configurada, la política SSL VPN, la pertenencia a grupos y los métodos de autenticación. El archivo IPsec .scx se proporciona a todos los usuarios; un archivo SSL VPN .ovpn solo a miembros de una política adecuada.

Errores de certificado o SSO

El nombre público de gateway debe coincidir con el certificado y el host del firewall en la sección Redirect URI del IdP configurado. Compruebe vpn_portal_port por separado. En el aprovisionamiento SSO, portal VPN, IPsec y SSL VPN deben utilizar el mismo IdP. Valide por separado la recuperación desde el portal y la autenticación del túnel para la rama SFOS/cliente/proveedor elegida; un perfil visible o un Test connection correcto no demuestra ninguna de las dos.

Para Entra, correlacione el intento con Entra sign-in log, incluidos MFA y Conditional Access. Siga el diagnóstico específico de la versión en Entra ID VPN SSO: sus nombres de registros SSO antiguos corresponden a SFOS 22, no a todos los despliegues OIDC. Para Google en SFOS 23, siga el diagnóstico Google Workspace OIDC. No traslade instrucciones de registros o reinicio específicas de un proveedor entre versiones.

MFA aparece dos veces o falla

Durante la primera obtención pueden esperarse dos inicios de sesión. Si la autenticación falla, se comparan otp, 2fa, el método MFA de Sophos o externo configurado y el formato de entrada esperado. passwordotp y el método externo separado por comas no son intercambiables.

El perfil existe, pero el tráfico no funciona

En ese caso, el aprovisionamiento ya ha superado el punto real del fallo. Se comprueban por separado el rango de asignación, las rutas del cliente, DNS, la regla de firewall, NAT, la ruta de retorno y la captura de paquetes. Para IPsec, se continúa con Diagnóstico de VPN IPsec en Sophos Firewall.

La entrega administrada no importa el archivo

Pruebe primero la importación manual del mismo archivo aprobado. Si funciona, el fallo está en la entrega y no en el esquema .pro. Compruebe el estado del servicio, el contexto del sistema, el acceso al origen, los permisos y la ruta exacta. Continúe el diagnóstico del paquete, GPO y SCCLI en el despliegue administrado de Windows. Redistribuir a ciegas no sustituye el diagnóstico.

Revertir de forma segura

Para la reversión, detenga primero la distribución al grupo afectado para evitar más importaciones. Detener la entrega no borra las conexiones ya importadas. En los dispositivos piloto, elimínelas o sustitúyalas de forma controlada antes de importar y probar el archivo manual .scx o .ovpn aprobado previamente. Revierta los cambios del portal VPN, Device Access o la autenticación únicamente cuando ningún aprovisionamiento de producción dependa ya de ellos.

En los clientes de prueba, se elimina y vuelve a importar de forma controlada la conexión de Sophos Connect existente. Después se repiten el inicio de sesión en el portal, el túnel, DNS, los destinos internos y la prueba negativa. El archivo .pro defectuoso solo se elimina de los repositorios centrales y de la distribución de software cuando funciona la vía alternativa.

FAQ