Configurar el aprovisionamiento de Sophos Connect con .pro

Un archivo de aprovisionamiento de Sophos Connect con la extensión .pro no es un perfil VPN completo. Indica al cliente de Windows qué portal VPN debe utilizar para obtener las configuraciones IPsec y SSL VPN. Tras iniciar sesión correctamente en el portal, Sophos Connect importa el archivo .scx y, si el usuario está asignado a una política SSL VPN, también el archivo .ovpn. Que un perfil sea visible no significa todavía que estén permitidos la autenticación del túnel o el acceso a destinos internos.

Esto resulta especialmente práctico cuando los perfiles deben distribuirse de forma centralizada y los cambios posteriores deben obtenerse automáticamente. Al mismo tiempo, el portal VPN pasa a formar parte de la ruta de inicio de sesión productiva. Su accesibilidad, certificado, MFA, asignación de usuarios y protección son, por tanto, tan importantes como la sintaxis JSON del archivo.

⚠️ Si los usuarios externos deben efectuar el aprovisionamiento desde la WAN, el portal VPN debe ser accesible desde la WAN. Esto aumenta la superficie de ataque expuesta públicamente. Antes del despliegue, utilice un certificado de confianza, MFA, ACL Local Service lo más restrictivas posible, bloqueos de inicio de sesión probados y una vía alternativa basada en un perfil distribuido manualmente.

Aprovisionamiento en ocho pasos

1. Configure por completo IPsec Remote Access o SSL VPN en el firewall y pruébelo con un archivo importado manualmente.
2. Publique el portal VPN mediante un FQDN cubierto por un certificado de confianza.
3. En Administration > Device access, habilite el portal VPN únicamente para las zonas necesarias. Para limitar el acceso a redes de origen concretas, también se necesita una regla de excepción Local Service ACL adecuada.
4. Cree un archivo .pro mínimo con display_name, gateway y vpn_portal_port.
5. Añada MFA, conexión automática y orden de gateways solo cuando el flujo correspondiente ya esté definido.
6. Importe primero el archivo manualmente con un usuario piloto y pruebe IPsec y SSL VPN por separado.
7. Entregue después el archivo .pro aprobado al despliegue administrado de Windows y empiece por un pequeño grupo piloto.
8. Valide el inicio de sesión en el portal, los perfiles importados, el túnel, los destinos internos, los registros, las actualizaciones de perfiles y la reversión.

Cuándo conviene un archivo .pro

El aprovisionamiento es adecuado para los endpoints Windows administrados que utilizan Sophos Connect para IPsec, SSL VPN o ambos. Después de iniciar sesión en el portal, el firewall proporciona el perfil IPsec a todos los usuarios. Esto no significa que todos puedan autenticar el túnel o acceder a los destinos internos. Una configuración SSL VPN solo se importa cuando el usuario pertenece a una política SSL VPN correspondiente.

Durante el primer aprovisionamiento, SFOS puede crear automáticamente un usuario de directorio que todavía no exista localmente y asignarlo a un grupo según el mapeo del servidor de autenticación. El usuario no necesita iniciar sesión previamente en el portal VPN ni en el portal de usuario. Esta creación automática no sustituye la comprobación del orden de los grupos ni del permiso VPN real.

Los archivos manuales .scx y .ovpn siguen siendo útiles si el VPN Portal no debe ser accesible públicamente, hay pocos clientes o el portal supone una dependencia adicional no deseada. .pro descarga IPsec (.scx) y las configuraciones SSL VPN autorizadas para el usuario (.ovpn) desde el VPN Portal, además de cambios posteriores; no es un perfil de túnel. Se admiten clientes Windows compatibles y Sophos Connect para macOS desde 2.1, no el cliente macOS 2.0 ni anteriores. El provisioning IPsec requiere Sophos Connect 2.1 o posterior. En el cliente macOS 2.0 siguen siendo necesarios la importación directa y la actualización manual controlada.

Actualización de la observación fechada: las notas de versión de Sophos incluyen Sophos Connect 2.1 para macOS, publicado el 6 de octubre de 2026, con provisioning .pro, Entra ID SSO y ARM nativo. La observación del 24 de septiembre de 2026 describe la situación de entonces. Compruebe la versión del instalador realmente disponible; la publicación no demuestra que su portal ya distribuya ese paquete ni que se haya probado en un dispositivo concreto.

La configuración VPN propiamente dicha permanece en las guías específicas: Configurar Sophos Connect IPsec en el firewall y Configurar el acceso remoto SSL VPN.

Requisitos y valores de ejemplo

El siguiente ejemplo utiliza el nombre público del portal vpn.example.com y el host de comprobación interno intranet.corp.example. Ambos nombres son marcadores de posición:

• vpn.example.com se sustituye por el FQDN real del portal VPN, que debe resolverse correctamente de forma pública e interna. El certificado del portal debe ser válido para este nombre y de confianza para los clientes.
• intranet.corp.example solo se utiliza como auto_connect_host si el host está disponible de forma estable y responde exclusivamente desde la red interna. Un host público o poco fiable falsearía la detección de red.
• El puerto 443 es el puerto predeterminado del portal VPN. Si el firewall utiliza otro puerto, debe introducirse el mismo valor en vpn_portal_port.

Antes de crear el archivo deben haberse probado correctamente al menos estos puntos:

• El perfil IPsec o SSL VPN deseado funciona con una importación manual.
• El portal VPN es accesible mediante el FQDN previsto y utiliza una cadena de certificados completa.
• Los usuarios, grupos principales, política SSL VPN y métodos de autenticación coinciden.
• En el aprovisionamiento SSO, el portal VPN, IPsec y SSL VPN utilizan el mismo servidor del proveedor de identidad (IdP) configurado en Authentication > Services: Microsoft Entra ID en la documentación de SFOS 22, o un IdP OpenID Connect (OIDC) compatible en SFOS 23.
• gateway coincide con el FQDN o la dirección IP del firewall configurados en la sección Redirect URI del servidor IdP. Introduzca solo ese host, no la URI de callback completa con esquema, puerto y ruta; configure el puerto del portal por separado en vpn_portal_port.
• Funcionan MFA y la prueba negativa con un usuario no autorizado.

Para publicar el portal, véase Device Access y Local Service ACL. Protección contra fuerza bruta para el portal VPN explica los intentos fallidos repetidos y la protección de un portal accesible desde WAN.

Elegir la versión SSO y el proveedor

Para Windows con Sophos Connect 2.4 o posterior, SFOS 22 describe Entra ID SSO; SFOS 23 amplía el alcance a IdP OIDC compatibles. Esto no implica compatibilidad con todos los proveedores OIDC ni disponibilidad demostrada en una compilación concreta del firmware. Utilice la rama de versión correspondiente de Entra ID VPN SSO o la configuración Google Workspace OIDC para SFOS 23. Google exige un FQDN público válido para las redirecciones, no una dirección IP. Estas guías cubren la configuración del proveedor, la asignación de servicios y el diagnóstico.

Para descargas directas de .scx o .ovpn sin .pro, seleccione primero el IdP en Authentication > Services y después descargue el perfil. SSL VPN debe utilizar el mismo IdP para el portal y el túnel; IPsec directo permite el mismo IdP u otro. No aplique esta excepción de IPsec al aprovisionamiento.

Para macOS 2.1 o posterior, la guía del cliente indica Entra ID SSO, no compatibilidad OIDC general. Los requisitos y la guía del cliente guardados difieren en su cobertura de macOS; confirme y pruebe por separado la combinación de firmware, cliente y VPN prevista. El campo de navegador de macOS siguiente sigue siendo exclusivo de Entra; GPO, automatización de la carpeta de importación y scripts de inicio de sesión siguen siendo exclusivos de Windows.

Crear el archivo de aprovisionamiento

Un archivo .pro está en formato JSON. gateway es el único campo obligatorio. No obstante, conviene definir explícitamente el nombre para mostrar y el puerto del portal para que la configuración pueda revisarse sin ambigüedad. Cree el archivo con un editor de texto y guárdelo, por ejemplo, como avanet-vpn.pro.

Perfil mínimo para una puerta de enlace

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name puede contener como máximo 60 caracteres. Sin un nombre visible, Sophos Connect muestra el valor de gateway. Con can_save_credentials en true, el usuario puede guardar su nombre de usuario y contraseña; esta opción no se utiliza con SSO. Permitir credenciales guardadas es una decisión de seguridad, no un ajuste predeterminado de comodidad.

Los campos no especificados utilizan los valores predeterminados del fabricante. El ejemplo los define todos expresamente para que durante la revisión no se pasen por alto valores implícitos:

Con check_remote_availability, el cliente realiza una comprobación de accesibilidad al iniciar la conexión. run_logon_script solo se aplica a Sophos Connect para Windows; admite true y false, con false como valor predeterminado. Ejecuta el script de inicio de sesión proporcionado por el controlador de dominio una vez establecido el túnel. El script permanece deshabilitado hasta que una prueba piloto confirme su necesidad y comportamiento.

La sintaxis anterior user_portal_port sigue siendo válida, pero actualmente también identifica el puerto del portal VPN. vpn_portal_port es más clara para archivos nuevos.

Elegir el navegador de Entra ID SSO en macOS

El campo opcional sso_auth_browser_type se aplica exclusivamente a Microsoft Entra ID SSO con Sophos Connect para macOS 2.1 o posterior. No es un ajuste de Windows ni una opción general de navegador para otros proveedores de identidad. Los valores admitidos se escriben literalmente:

• auto: valor predeterminado; utiliza el navegador integrado y puede recurrir al navegador del sistema si es necesario.
• embedded: utiliza el navegador integrado en Sophos Connect.
• system: utiliza el navegador predeterminado del sistema operativo.

Si se omite el campo o contiene un valor no válido, Sophos Connect utiliza auto. Para una configuración adecuada de Entra en macOS, puede añadirse esta propiedad opcional al objeto de conexión del archivo .pro:

"sso_auth_browser_type": "auto"

Es solo un fragmento JSON, no un archivo .pro completo. La propiedad se incorpora junto a gateway en el objeto existente; las propiedades se separan con comas, sin coma después de la última. auto hace explícito el valor predeterminado para la revisión; embedded o system solo se establecen para un flujo de navegador elegido conscientemente y probado en un piloto. Sophos Connect en macOS explica la importación y el inicio de sesión interactivo; la sintaxis del campo se describe aquí.

Planificar correctamente la conexión automática

auto_connect_host ayuda a Sophos Connect a determinar si el cliente ya se encuentra en la red interna. Cuando una interfaz de red recibe una dirección IP nueva o modificada, el cliente comprueba este host. Si no es accesible, se activa la conexión. El túnel se establece automáticamente si las credenciales están guardadas o si el último inicio de sesión se realizó mediante SSO.

"auto_connect_host": "intranet.corp.example"

El host de comprobación no es una prueba general del estado de Internet. Debe ser estable y resolverse internamente, y no debe ser accesible desde el exterior. Antes del despliegue se prueba tanto desde la red corporativa como desde una red externa. Una cadena vacía "" desactiva la conexión automática.

Para un funcionamiento permanente, deben coordinarse las credenciales guardadas, SSO, MFA y el comportamiento después de los cambios de red. Iniciar SSL VPN automáticamente con inicio de sesión automático explica las diferencias.

Utilizar varias puertas de enlace

Las distintas puertas de enlace del portal se introducen como una matriz. gateway_order solo determina cómo Sophos Connect selecciona el portal para obtener la configuración. El túnel posterior utiliza las puertas de enlace del archivo .scx o .ovpn importado.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Los modos de selección tienen efectos operativos distintos:

• in_order prueba las entradas en el orden definido.
• latency selecciona la puerta de enlace según el tiempo de respuesta de un intento de conexión TCP.
• distributed selecciona una puerta de enlace al azar durante un intento de conexión.

El orden no sustituye un diseño WAN, DNS o HA probado. Cada nombre de portal indicado necesita un certificado válido, la accesibilidad prevista y el mismo contenido de aprovisionamiento esperado.

Este caso debe distinguirse del uso de varias conexiones. Dos objetos separados en la matriz JSON externa crean dos entradas en Sophos Connect, por ejemplo una para empleados y otra para administradores. En cambio, un único objeto con varios valores en el campo gateway sigue siendo una sola conexión con gateways de aprovisionamiento alternativos. Antes de combinar ambas variantes, deben definirse los nombres, los grupos de destino y las vías alternativas.

Definir conscientemente los campos MFA

Con otp: true, Sophos Connect muestra un tercer campo de entrada. 2fa determina cómo se envía su contenido al servidor de autenticación:

• 2fa: 1 utiliza la configuración de Sophos Firewall. La contraseña y el OTP se concatenan como passwordotp.
• 2fa: 2 utiliza un servicio externo como Duo. La contraseña y el código se separan mediante una coma; según la configuración de Duo, también pueden utilizarse push, phone, sms o un código de token.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Durante la primera obtención, la pantalla de inicio de sesión puede aparecer dos veces: una para descargar la configuración y otra para establecer el túnel. Esto no indica necesariamente un error. El soporte debe conocer este comportamiento antes de un despliegue amplio. La configuración MFA en el firewall se explica en Configurar MFA en Sophos Firewall.

Los pasos de GPO y carpeta de importación siguientes se aplican a Windows. En macOS desde 2.1, importe la .pro aprobada directamente en el cliente y pruebe por separado paquete, acceso al portal, descarga del perfil y conexión VPN; no traslade rutas Windows ni pasos GPO al Mac.

Importar en Windows y entregar al despliegue administrado

El archivo puede proporcionarse mediante una descarga protegida e importarse manualmente. Los usuarios seleccionan Import connection o abren el archivo .pro con un doble clic. El correo electrónico solo es apropiado si se controlan el transporte y los destinatarios; el archivo nunca debe contener contraseñas, OTP ni tokens de usuario.

Sophos Connect supervisa esta carpeta de importación:

C:\Program Files (x86)\Sophos\Connect\import\

Un archivo .pro colocado aquí se importa automáticamente y después se elimina. La eliminación es normal y no demuestra que la autenticación en el portal o el túnel ya funcionen. Esta entrega mediante la carpeta es la interfaz con el despliegue administrado.

Los scripts de inicio GPO, el paquete del cliente, SCCLI, los códigos de salida y la reversión completa se explican en Desplegar Sophos Connect en equipos Windows administrados. Ese flujo entrega el .pro aprobado al cliente ya instalado como artefacto independiente y versionado, separando la comprobación del paquete de la del aprovisionamiento.

Para la prueba piloto, documente la versión o el hash aprobado, entregue el archivo a la carpeta de importación y compruebe qué conexión aparece. El origen solo debe ser legible para los dispositivos previstos, usar un certificado de confianza y no incluir credenciales en URL o scripts. Instalar Sophos Connect en Windows explica la instalación y las plataformas compatibles.

Un archivo .pro normalmente no contiene contraseñas de usuario. Aun así, sigue siendo un artefacto de configuración controlado: las direcciones del portal, el comportamiento, MFA y los ajustes de conexión automática solo deben proceder de un origen autorizado.

Metadatos .pro reutilizables e identidad SSL

El archivo .pro sin importar contiene metadatos de aprovisionamiento reutilizables, no el certificado SSL VPN ni la clave privada de un usuario. La documentación del cliente de SFOS 22 lo distingue del perfil SSL generado durante la importación: ese perfil y sus certificados se asocian a la identidad, el método de autenticación y el dominio utilizados al importar. Para otro método o dominio, importe un .pro independiente o el .ovpn propio del usuario; reutilizar el perfil SSL importado puede provocar Login failed. Wrong fingerprint of certificate. Esta restricción documentada no se aplica a los perfiles IPsec .scx.

Un .ovpn contiene certificados y claves privadas específicos del usuario: nunca lo comparta entre usuarios. Reutilizar metadatos .pro originales aprobados no significa compartir un perfil SSL generado ni exportar las claves de otro usuario. Importación e inicio de sesión en Windows y en macOS explican los pasos del cliente; aplique esta precisión de versión a las indicaciones sobre vinculación SSL y huella del certificado.

La documentación del cliente de SFOS 23 guardada omite la sección de vinculación de identidad de SFOS 22 sin explicar un cambio de comportamiento en ejecución. Esta omisión no demuestra ni una reutilización más permisiva ni una vinculación inalterada en todas las versiones. Hasta obtener una aclaración autorizada para la versión concreta, separe por precaución las importaciones SSL por identidad, método y dominio; esta precaución no es una regla de ejecución de SFOS 23 verificada.

Cambios y actualizaciones de perfiles

Tras una importación correcta, Sophos Connect obtiene automáticamente los perfiles .scx y .ovpn disponibles y sus cambios posteriores. Aun así, debe diferenciarse entre la ruta de obtención del archivo .pro y el perfil VPN obtenido:

• Si gateway o vpn_portal_port cambia, actualice y redistribuya el archivo .pro.
• Si cambia el puerto o el protocolo en SSL VPN global settings, los usuarios deben pulsar el icono del engranaje de la conexión en el cliente y seleccionar Update policy.
• El cliente obtiene automáticamente los demás cambios del perfil VPN proporcionado. Los cambios en el gateway, el certificado del servidor, el puerto o el protocolo de SSL VPN pueden exigir un nuevo inicio de sesión.
• Si gateway y el puerto del portal VPN permanecen sin cambios después de una restauración o importación, el archivo vuelve a obtener automáticamente las configuraciones IPsec y SSL VPN afectadas.
• Si esta ruta ha cambiado, redistribuya y vuelva a importar el archivo .pro.
• Sin un .pro funcional, vuelva a importar las configuraciones IPsec afectadas; tras cambios de puerto, protocolo, interfaz o certificado de servidor SSL VPN, descargue de nuevo el .ovpn del portal VPN e impórtelo.
• Una actualización del cliente no es un sustituto de la redistribución controlada de un archivo .pro cambiado.

No deben distribuirse en paralelo archivos de aprovisionamiento antiguos y nuevos mediante distintas GPO, descargas y correos electrónicos. Para cada despliegue se documentan el nombre de archivo, versión o fecha de modificación, grupo de destino y vía alternativa.

Validar el aprovisionamiento y el túnel

La prueba se realiza con un usuario autorizado y otro no autorizado desde una red externa real. Una autenticación correcta en el portal no constituye por sí sola una prueba VPN satisfactoria.

1. Compruebe la versión Sophos Connect y la plataforma Windows.
2. Importe el archivo .pro manualmente o a través de la GPO piloto.
3. Verifique qué conexiones .scx y .ovpn aparecen realmente.
4. Complete el flujo de MFA, incluido un posible segundo inicio de sesión.
5. Conecte IPsec y SSL VPN por separado si se ofrecen ambos.
6. Compruebe la dirección de arrendamiento, resolución DNS interna, servidor de destino, regla de firewall y ruta de retorno.
7. Para el usuario no autorizado, distinga entre la importación del perfil y el acceso: puede aparecer un perfil IPsec, pero el túnel o el acceso interno deben fallar en la fase prevista de autenticación o aplicación de la política. No debe importarse un archivo SSL VPN .ovpn sin una política correspondiente.
8. Pruebe ambas rutas de actualización: un cambio normal del perfil debe llegar automáticamente mediante el .pro importado; tras cambiar el puerto o el protocolo de SSL VPN, seleccione Update policy en el cliente.
9. Pruebe el reinicio del cliente, el cambio de red y otra entrega con el método elegido.
10. Pruebe la vía alternativa manual con un perfil .scx o .ovpn aprobado.

Con Microsoft Entra ID SSO también se comprueban Redirect URI, Conditional Access y el nuevo inicio de sesión forzado en endpoints compartidos. Microsoft Entra ID SSO para Sophos Connect y el portal VPN explica el mapeo completo.

En la prueba piloto SSO, registre la versión del firmware, la versión del cliente y el IdP. Utilice la rama de versión elegida arriba, compruebe la asignación del mismo IdP a los servicios de aprovisionamiento y pruebe por separado la recuperación desde el portal y el túnel con usuarios autorizados y no autorizados. Las indicaciones de identidad SSL siguen delimitadas por versión; una prueba piloto correcta no resuelve de forma general el conflicto pendiente de la documentación fuente de SFOS 23.

Delimitar errores sistemáticamente

No se importa ninguna conexión

Primero se comprueba que el archivo contiene JSON válido, termina en .pro y ha sido importado por el cliente. Después se verifican gateway, vpn_portal_port, DNS, la cadena de certificados y la accesibilidad del portal VPN. Que un archivo desaparezca de la carpeta de importación significa que fue procesado, pero no demuestra una autenticación correcta.

Si el cliente alcanza el portal pero no recibe ningún perfil, se comprueban la conexión IPsec configurada, la política SSL VPN, la pertenencia a grupos y los métodos de autenticación. El archivo IPsec .scx se proporciona a todos los usuarios; un archivo SSL VPN .ovpn solo a miembros de una política adecuada.

Errores de certificado o SSO

El nombre público de gateway debe coincidir con el certificado y el host del firewall en la sección Redirect URI del IdP configurado. Compruebe vpn_portal_port por separado. En el aprovisionamiento SSO, portal VPN, IPsec y SSL VPN deben utilizar el mismo IdP. Valide por separado la recuperación desde el portal y la autenticación del túnel para la rama SFOS/cliente/proveedor elegida; un perfil visible o un Test connection correcto no demuestra ninguna de las dos.

Para Entra, correlacione el intento con Entra sign-in log, incluidos MFA y Conditional Access. Siga el diagnóstico específico de la versión en Entra ID VPN SSO: sus nombres de registros SSO antiguos corresponden a SFOS 22, no a todos los despliegues OIDC. Para Google en SFOS 23, siga el diagnóstico Google Workspace OIDC. No traslade instrucciones de registros o reinicio específicas de un proveedor entre versiones.

MFA aparece dos veces o falla

Durante la primera obtención pueden esperarse dos inicios de sesión. Si la autenticación falla, se comparan otp, 2fa, el método MFA de Sophos o externo configurado y el formato de entrada esperado. passwordotp y el método externo separado por comas no son intercambiables.

El perfil existe, pero el tráfico no funciona

En ese caso, el aprovisionamiento ya ha superado el punto real del fallo. Se comprueban por separado el rango de asignación, las rutas del cliente, DNS, la regla de firewall, NAT, la ruta de retorno y la captura de paquetes. Para IPsec, se continúa con Diagnóstico de VPN IPsec en Sophos Firewall.

La entrega administrada no importa el archivo

Pruebe primero la importación manual del mismo archivo aprobado. Si funciona, el fallo está en la entrega y no en el esquema .pro. Compruebe el estado del servicio, el contexto del sistema, el acceso al origen, los permisos y la ruta exacta. Continúe el diagnóstico del paquete, GPO y SCCLI en el despliegue administrado de Windows. Redistribuir a ciegas no sustituye el diagnóstico.

Revertir de forma segura

Para la reversión, detenga primero la distribución al grupo afectado para evitar más importaciones. Detener la entrega no borra las conexiones ya importadas. En los dispositivos piloto, elimínelas o sustitúyalas de forma controlada antes de importar y probar el archivo manual .scx o .ovpn aprobado previamente. Revierta los cambios del portal VPN, Device Access o la autenticación únicamente cuando ningún aprovisionamiento de producción dependa ya de ellos.

En los clientes de prueba, se elimina y vuelve a importar de forma controlada la conexión de Sophos Connect existente. Después se repiten el inicio de sesión en el portal, el túnel, DNS, los destinos internos y la prueba negativa. El archivo .pro defectuoso solo se elimina de los repositorios centrales y de la distribución de software cuando funciona la vía alternativa.

FAQ