Sustituir el antiguo Sophos SSL VPN Client y su inicio

El antiguo Sophos SSL VPN Client for Windows ya no debe instalarse ni seguir utilizándose. Está End of Life desde el 31 de enero de 2022 y CVE-2021-36809 afecta a todas las versiones. Un atacante local puede usar privilegios de administrador para sobrescribir archivos arbitrarios del sistema con registros del cliente VPN, lo que podría provocar una denegación de servicio y pérdida de datos. Sophos no corregirá la vulnerabilidad; para remediarla es necesario migrar a Sophos Connect v2. Desde SFOS 20.0 MR1, el cliente heredado tampoco establece túneles SSL VPN de acceso remoto.

Estado de compatibilidad a 7 de septiembre de 2026: Para SFOS 22, Sophos Connect es el cliente Sophos compatible. Sophos Connect 2.5 MR1 y anteriores para Windows y 2.0 MR1 y anteriores para macOS figuran como compatibles. Son límites máximos de compatibilidad del firewall, no una recomendación de usar clientes antiguos. Antes del despliegue, consulte Comprobar la versión de Sophos Connect Client y actualizarla de forma segura para elegir la versión aprobada actual y revisar sus problemas conocidos.

La solución segura es migrar a Sophos Connect: preparar un perfil y un instalador actuales, desinstalar el cliente antiguo, importar y probar la conexión y, solo entonces, eliminar por completo el inicio automático, los archivos de texto claro y los perfiles antiguos. Para elegir el modelo de acceso remoto adecuado, consulte Sophos Connect o SSL VPN: ¿qué solución conviene?.

⚠️ Si el dispositivo afectado proporciona el único acceso administrativo remoto, antes de desinstalar el cliente debe prepararse un acceso alternativo o una ventana de mantenimiento con acceso local. El cliente EOL no es una vía de recuperación segura.

Migrar a Sophos Connect

1. Inventariar versiones de Windows, arquitecturas de CPU, grupos de usuarios, MFA/SSO y la versión heredada instalada. Para el piloto, mantener un acceso administrativo alternativo y un paquete Sophos Connect aprobado.
2. Preparar el instalador actual de Sophos Connect y un archivo .ovpn nuevo desde el VPN Portal. En SFOS 22, la ruta de WebAdmin es Remote access VPN > SSL VPN > Download client; los usuarios obtienen cliente y perfil en VPN Portal > VPN. Las rutas completas se describen en Configurar Sophos SSL VPN con Sophos Connect en Windows.
3. Si el VPN Portal no está disponible, copiar únicamente el archivo .ovpn existente desde la carpeta de configuración heredada a una carpeta temporal protegida. No debe copiarse ningún archivo password.txt.
4. Si la copia del perfil contiene auth-user-pass password.txt, eliminar el nombre del archivo en la copia para que solo quede auth-user-pass.
5. Desconectar la VPN y desinstalar normalmente el antiguo Sophos SSL VPN Client desde Configuración > Aplicaciones > Aplicaciones instaladas. Sophos Connect no se instala junto al cliente heredado; no eliminar manualmente controladores o servicios desconocidos.
6. Reiniciar Windows, instalar Sophos Connect e importar el archivo .ovpn actual o la copia depurada del perfil mediante Import connection.
7. Conectar con un usuario piloto y, si está configurado, MFA o SSO. Comprobar dirección VPN, DNS, destinos permitidos y bloqueados y reconexión. Solo entonces ampliar el despliegue y eliminar los artefactos heredados.

Después, Sophos Connect y sus perfiles deben mantenerse mediante un proceso de actualización definido. Para ello, consulte Comprobar la versión de Sophos Connect Client y actualizarla de forma segura.

Identificar el inicio automático heredado y las credenciales en texto claro

Comprobar el inicio automático y el valor Run

En el Administrador de tareas, abrir Aplicaciones de inicio, buscar SSL VPN Client for Windows y desactivar la entrada.

También puede existir un valor de inicio personalizado para el usuario actual:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Un valor heredado puede identificarse por openvpn-gui.exe, --config_dir y --connect. El siguiente patrón sirve únicamente para identificarlo y no debe crearse:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profile-name>.ovpn

Eliminar solo el valor que pertenezca inequívocamente al antiguo cliente Sophos. Nunca debe eliminarse toda la clave Run ni entradas desconocidas. En instalaciones antiguas, también debe comprobarse la carpeta Inicio clásica de Windows. En entornos administrados, debe determinarse además si una GPO o la distribución de software vuelve a crear el valor.

Comprobar el perfil OVPN y password.txt

Los perfiles heredados suelen encontrarse en una de estas rutas:

• Windows de 64 bits: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• instalaciones antiguas de 32 bits: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

El valor Run real y la instalación local son referencias más fiables que una ruta predeterminada supuesta.

Una referencia de archivo problemática tiene este aspecto:

auth-user-pass password.txt

El archivo referenciado contiene el nombre de usuario y la contraseña en texto claro. No debe abrirse, mostrarse ni adjuntarse a los datos de soporte. Para la migración, en una copia del perfil se conserva únicamente la autenticación interactiva normal:

auth-user-pass

En cuanto estén disponibles el acceso administrativo alternativo y el perfil depurado, se eliminan el archivo de contraseña referenciado y todas sus copias antes del primer inicio de sesión con Sophos Connect. A continuación, se cambia la contraseña de la cuenta afectada en el sistema de identidades correspondiente, se revisan los registros de VPN en busca de accesos inesperados y se realiza la prueba piloto con la nueva contraseña. Los perfiles heredados que ya no sean necesarios se eliminan después de validar la migración. Eliminar únicamente el archivo no es suficiente.

Conexión automática sin password.txt

Un archivo de aprovisionamiento de Sophos Connect (.pro) puede importar y actualizar perfiles automáticamente. Con auto_connect_host, el cliente comprueba un host que solo está disponible en la red interna. Si no puede acceder a él, Sophos Connect activa la conexión; el túnel solo se establece automáticamente con credenciales guardadas o después de un inicio de sesión SSO anterior.

[
  {
    "display_name": "Company VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Con can_save_credentials: false, el cliente no guarda la contraseña del usuario. Sin SSO, el usuario debe seguir iniciando sesión. Si SSO fue el último método de inicio de sesión, Sophos Connect puede establecer el túnel automáticamente mediante SSO. Este ejemplo es deliberadamente mínimo; el OTP clásico de Sophos Firewall requiere los campos adicionales otp y 2fa. La guía de aprovisionamiento de Sophos Connect enlazada anteriormente explica estos campos y el despliegue por GPO; para la autenticación, consulte MFA en Sophos Firewall o Microsoft Entra ID SSO para Sophos Connect.

Hay que distinguir tres funciones: Windows inicia la aplicación Sophos Connect, .pro importa o actualiza perfiles y auto_connect_host activa una conexión según la red. Ninguna sustituye de forma compatible a password.txt. El ejemplo no contiene usuario ni contraseña y, sin un inicio de sesión SSO anterior, no crea un túnel desatendido. Auto-connect tampoco es un túnel de dispositivo previo al inicio de sesión de Windows.

Para Microsoft Entra ID SSO, Sophos exige Sophos Connect 2.4 o posterior en Windows con SFOS 21.5 o posterior. La guía de actualización de Sophos Connect también cubre la selección de versión y los problemas conocidos: Windows 10/11 de 64 bits y Windows 10/11 en ARM están documentados desde 2.5; Windows 11 Enterprise Multi-session, incluido Azure Virtual Desktop, no es compatible. El aprovisionamiento .pro está documentado para Windows, no para macOS.

En dispositivos Windows compartidos se prueban al menos dos cuentas. Según la misma guía, Sophos Connect 2.5 MR1 corrige NCL-2570, que impedía el inicio automático para usuarios Windows adicionales cuando otro usuario había instalado el cliente. La actualización no sustituye esta prueba y «cliente iniciado» no significa «VPN conectada».

El aprovisionamiento requiere que el VPN Portal sea accesible. Si se publica desde la WAN, debe utilizarse un certificado de confianza, MFA, supervisión y una configuración de Device Access y Local Service ACL lo más restrictiva posible.

Comprobar la migración y aislar errores

Después del cambio, la conexión y la limpieza deben comprobarse por separado:

• Se han eliminado el cliente antiguo, su entrada de inicio en el Administrador de tareas y el valor HKCU Run correspondiente.
• Ya no existe ningún password.txt en la ruta del perfil antiguo ni en la distribución de software.
• El perfil migrado no contiene ninguna referencia de archivo detrás de auth-user-pass.
• Sophos Connect utiliza la conexión actual y la versión del cliente previstas.
• La autenticación, MFA o SSO funcionan.
• El cliente recibe una dirección del pool de VPN esperado.
• Los nombres DNS internos y los destinos permitidos funcionan, mientras que las redes bloqueadas expresamente siguen bloqueadas.
• Log Viewer muestra el usuario esperado y la regla de acceso remoto correcta.

No se puede instalar Sophos Connect

Comprobar si el antiguo Sophos SSL VPN Client sigue instalado. Desinstalarlo normalmente, reiniciar Windows y repetir la instalación. Si existen conflictos con otros clientes VPN, no eliminar controladores o servicios sin haber identificado la causa.

El perfil está importado, pero el túnel no se inicia

Volver a importar un archivo .ovpn actual desde el VPN Portal y comprobar la asignación de la política, la cuenta de usuario, MFA y los eventos de Sophos Connect. En el firewall, según el tipo de error, pueden ayudar sslvpn.log, openvpn-status*.log y, para problemas de autenticación, access_server.log.

El túnel está conectado, pero los destinos internos no funcionan

En ese caso, el problema suele estar en la política, la regla de firewall, DNS, el enrutamiento o la MTU. Para aislarlo, consulte Probar una regla de firewall con Log Viewer, Policy Test y Packet Capture, Servicios y registros de Sophos Firewall y, si las aplicaciones se bloquean, MTU y MSS para problemas de VPN.

Sophos Connect se inicia, pero no conecta automáticamente

Primero se comprueba que se use un perfil .pro y que auto_connect_host contenga un FQDN estable accesible solo internamente. Se prueba el mismo host en la red corporativa y desde fuera. Si también es accesible externamente, Auto-connect permanece inactivo; si es inestable internamente, la conexión puede activarse sin necesidad. Después se comprueba que el usuario haya iniciado sesión previamente mediante SSO. Con can_save_credentials: false y sin SSO previo, el inicio interactivo es el comportamiento esperado.

Retorno seguro

El retorno no consiste en reinstalar el cliente heredado vulnerable. Antes del piloto se conservan el paquete Sophos Connect aprobado, el perfil depurado y un acceso administrativo alternativo. Si el nuevo cliente falla, primero se guardan los eventos de Sophos Connect y scvpntsr.zip y luego se detienen despliegue y GPO. Se desinstala normalmente la versión defectuosa, se reinicia si es necesario y se instala la última versión Sophos Connect aprobada con su perfil probado.

Se vuelven a probar inicio de sesión, MFA/SSO, dirección VPN, DNS y destinos permitidos y bloqueados. Los cambios de firewall, portal o políticas solo se revierten cuando ningún usuario migrado dependa de ellos. No se restauran el instalador heredado, password.txt ni el antiguo valor Run.

FAQ