Configurar Sophos Firewall IPsec VPN en iPhone

Para utilizar IPsec nativo de acceso remoto en el iPhone, se descarga el perfil iOS directamente desde VPN Portal de Sophos Firewall y se instala en los ajustes del sistema. Sophos Connect y OpenVPN Connect no son la vía de importación para este procedimiento. El archivo .ovpn y la guía independiente de SSL VPN en iPhone y iPad corresponden a otro protocolo.

El procedimiento rápido consiste en comprobar la versión de iOS y su aprobación, iniciar sesión en VPN Portal desde Safari, abrir VPN > VPN configuration > IPsec VPN profile > Download for iOS, revisar e instalar el perfil y comprobar después el estado de la VPN y los destinos internos permitidos. Una descarga correcta no equivale por sí sola a una conexión operativa.

Antes de descargar: aclarar la versión y los permisos

El administrador debe haber configurado IPsec de acceso remoto y asignado al usuario la política adecuada. Sin esta configuración, no aparece la descarga de IPsec para iOS. Que se muestre una descarga de SSL VPN no demuestra que el usuario tenga permiso para IPsec. La preparación del firewall se explica en Configurar Sophos Connect en Sophos Firewall; sus perfiles de escritorio .scx y .pro no se utilizan aquí.

Antes de instalar, documentar lo siguiente:

la compilación de SFOS y la versión de iOS utilizadas, así como la aprobación de esta combinación por parte del administrador;
la dirección exacta del portal, el usuario, el método de autenticación y el nombre esperado del perfil;
la aplicación interna permitida, los nombres DNS internos y el comportamiento previsto de túnel dividido o túnel completo;
los perfiles VPN existentes y si el iPhone está administrado mediante MDM;
dónde muestra la versión de iOS instalada la instalación de perfiles y el estado de conexión VPN, y cómo desconectar exactamente este túnel.

Las siguientes etiquetas de los menús de Apple se indican en inglés; pueden tener otros nombres en un dispositivo configurado en otro idioma. Apple sitúa los perfiles instalados en Settings > General > VPN & Device Management. La ubicación del interruptor VPN debe aclararse de antemano para la versión realmente utilizada. Si la instalación de perfiles está bloqueada en un dispositivo administrado, contactar con el administrador en lugar de eliminar la administración o las funciones de seguridad.

El cliente nativo debe ser compatible con el método de autenticación previsto. Una guía de Windows para Sophos Connect con OIDC o Entra SSO no garantiza esa compatibilidad con IPsec nativo de iOS. MFA para VPN Portal y acceso remoto debe evaluarse por separado para el portal y el túnel. Si el segundo factor requerido no puede implementarse de forma segura en el procedimiento nativo, detener el despliegue y elegir una alternativa aprobada; no desactivar MFA para resolver problemas.

Obtener e instalar el perfil desde Safari

En Safari, abrir la dirección de VPN Portal confirmada por el administrador. Ejemplo: https://vpn.example.com:443. vpn.example.com es un marcador de posición para el FQDN del portal propio; 443 es el puerto predeterminado. Utilizar otro puerto únicamente por indicación del administrador. Resolver las advertencias de certificado antes de descargar, sin omitirlas de forma permanente.
Iniciar sesión con el usuario VPN propio y confirmar el segundo factor previsto. Abrir VPN y, en VPN configuration > IPsec VPN profile, tocar Download for iOS. No se trata de la descarga móvil de SSL VPN ni de un paquete de cliente para Windows.
Confirmar la autorización de descarga mostrada únicamente para el perfil esperado. En Settings, abrir Profile Downloaded. Contrastar con el administrador el origen del perfil, la organización, el gateway VPN y los ajustes incluidos. No instalar certificados inesperados ni ajustes adicionales de administración sin revisarlos.
Solo entonces seleccionar Install y completar las confirmaciones mostradas, incluido el código del dispositivo. Apple elimina una descarga aún no instalada transcurridos ocho minutos; si más tarde ya no aparece, descargarla de nuevo desde el portal confirmado. Solo puede haber un perfil descargado pendiente de instalación a la vez. Si Stolen Device Protection impide la instalación, recurrir primero a un lugar habitual y al proceso de soporte aprobado, en lugar de desactivar esta protección de forma rutinaria.
Identificar el perfil instalado en los ajustes del sistema. En las guías de SFOS 22/23, Sophos describe un establecimiento automático de la conexión IPsec después de la descarga. Esto no garantiza ese comportamiento en la versión actual de iOS: deben haberse completado la instalación de Apple y, si corresponde, el inicio de sesión. Comprobar el estado real de la VPN; si no está conectada, utilizar el interruptor VPN identificado de antemano para este perfil y completar las credenciales o los pasos MFA previstos. Si no aparece el interruptor o las solicitudes son distintas, no improvisar: contactar con soporte.

Tratar el perfil como confidencial y no compartirlo con otros usuarios. El SSO del portal, la instalación del perfil y la autenticación del túnel son tres procesos distintos; ninguno demuestra por sí solo que los otros hayan finalizado correctamente.

Comprobar la conexión con un usuario piloto

Las siguientes comprobaciones son pasos de aceptación, no pruebas de dispositivos ya realizadas. Realizar la primera prueba fuera de la WLAN interna, en una red externa aprobada, para que el acceso directo por LAN no falsee el resultado.

Comprobar en los ajustes VPN de iOS que el perfil esperado esté conectado. El administrador comprueba el usuario y la sesión en el firewall.
Abrir una aplicación interna permitida mediante su nombre DNS documentado. Por ejemplo, https://intranet.example.com representa la aplicación propia aprobada; sustituir el marcador de posición por el nombre interno real. Comprobar por separado la resolución DNS y el acceso a la aplicación.
Un destino no autorizado acordado con el administrador debe seguir bloqueado. No ampliar las reglas de firewall para conseguir un éxito aparente.
El administrador comprueba en Log Viewer que el tráfico procedente de la zona VPN coincida con la regla esperada, de alcance limitado; para ello, el registro debe estar activado. El procedimiento se describe en Comprobar reglas de firewall con Log Viewer y Packet Capture.
Comprobar que el segundo factor se aplique donde lo exige la política de seguridad. Una solicitud MFA en el portal no demuestra que haya MFA en el túnel IPsec. La aceptación también incluye una reconexión y un cambio controlado entre WLAN y red móvil. El tráfico de Internet debe ajustarse al diseño acordado de túnel dividido o túnel completo.

Si el túnel está establecido pero no hay acceso a la aplicación, investigar primero la política, la regla, la ruta de retorno y el DNS. Si no se establece el túnel, comprobar el perfil, los permisos del usuario, la autenticación y la ruta de red IPsec. Solución de problemas de IPsec ayuda al administrador a acotar la causa; desactivar la validación de certificados o MFA no es un paso de diagnóstico.

Desconectar y sustituir perfiles de forma controlada

Para desconectar, Sophos indica Settings > General > VPN > Status para la conexión correspondiente. Esta ruta indicada por la fuente no es una secuencia de navegación universal para las versiones actuales de iOS. Abrir el apartado VPN identificado en la comprobación previa, seleccionar exactamente la conexión propia y cambiar su estado a desconectada. Después, comprobar que el túnel ya no esté conectado y que una nueva solicitud a la aplicación de prueba accesible exclusivamente por VPN ya no funcione. No confiar para ello en páginas del navegador ya cargadas. Si una configuración administrada impide desconectar o la conexión vuelve a establecerse, recurrir al responsable de MDM en lugar de eliminar perfiles ajenos.

Volver a instalar después de cambios administrativos

Si un túnel que antes funcionaba deja de conectarse después de un cambio de configuración, Sophos exige volver a instalar la configuración. IPsec nativo de iOS no utiliza aquí el provisioning automático de Sophos Connect.

Antes de la sustitución, documentar el nombre del perfil, la versión, el motivo del cambio y el procedimiento de reversión aprobado por el administrador. Acordar una ventana de intervención, ya que la sustitución interrumpe el acceso. No restablecer indiscriminadamente todos los perfiles de red o los ajustes del dispositivo.
Desconectar el túnel y descargar de nuevo el perfil IPsec actual de iOS desde VPN Portal en Safari. El administrador debe aclarar si sustituye al perfil existente o si primero hay que eliminar exactamente ese perfil antiguo. Si se trata de un perfil MDM, realizar el cambio mediante el proceso de administración correspondiente.
Revisar e instalar el perfil nuevo como se ha indicado anteriormente. A continuación, volver a comprobar la conexión, el requisito MFA, el DNS y los destinos permitidos y bloqueados. No mantener sin control varios perfiles con el mismo nombre en paralelo.
Si falla la aceptación, desconectar el túnel nuevo y detener la implantación. Reutilizar un perfil antiguo únicamente si el administrador confirma que el gateway, las claves o los certificados y los permisos siguen siendo válidos. Después de cambios de seguridad, no es una vía de reversión fiable. Solo tras completar correctamente la aceptación, eliminar de forma selectiva las descargas antiguas y los perfiles obsoletos.

Sustituir o perder el dispositivo, o retirar el acceso

Antes de eliminarlo en Settings > General > VPN & Device Management, revisar el perfil correspondiente y su contenido. Confirmar la opción de eliminación ofrecida únicamente para el perfil VPN identificado de forma inequívoca y tras obtener la aprobación. Apple advierte que, al eliminar un perfil, también pueden eliminarse los ajustes, las apps y los datos asociados. Por tanto, no eliminar un perfil de administración compartido como si fuera una simple limpieza de VPN. Si la eliminación está bloqueada, la administración debe realizar la retirada.

Después de la retirada, comprobar que el perfil ya no esté y que no sea posible establecer una conexión nueva. En caso de pérdida del dispositivo o salida del usuario de la organización, retirar además los permisos de usuario o grupo en el servidor, finalizar las sesiones VPN existentes y aclarar con el administrador cómo tratar las claves o los certificados que puedan haber quedado expuestos. Borrar solo el archivo local no revoca los permisos VPN. Las copias del perfil en descargas y copias de seguridad también deben incluirse en el proceso de retirada.