Installer le client Sophos Connect sur macOS

Sophos Connect 2.1 pour macOS prend en charge IPsec et SSL VPN sur les Mac Intel et Apple Silicon à partir de macOS 14. Sur Apple Silicon, cette version fonctionne nativement. L’installateur se télécharge dans le VPN Portal de l’organisation sous VPN > Download for macOS ; le service informatique fournit l’adresse du portail et le profil de connexion approprié.

Après l’installation, on importe un fichier .scx pour IPsec ou un fichier .ovpn pour SSL VPN. À partir de 2.1, le service informatique peut fournir à la place un fichier .pro pour récupérer automatiquement les profils. Cet article couvre le téléchargement, l’installation, l’importation du profil et les contrôles qui suivent. Pour choisir entre Sophos Connect, SSL VPN, les clients OpenVPN et ZTNA, consultez Sophos Connect ou SSL VPN : quelle solution d’accès à distance choisir ?.

Quel article choisir ?

Sophos Connect sur macOS recoupe rapidement d’autres sujets liés à l’accès à distance. Selon l’objectif, un autre article constitue un meilleur point de départ :

• Installer Sophos Connect sur macOS : le présent article.
• Configurer SSL VPN sur macOS avec un fichier .ovpn : Configurer Sophos SSL VPN avec Sophos Connect sur macOS.
• Préparer Sophos Connect sur le pare-feu : Configurer Sophos Connect sur Sophos Firewall.
• Planifier les versions, les mises à jour et la maintenance des profils : Vérifier la version du client Sophos Connect et le mettre à jour en toute sécurité.
• Diagnostiquer les erreurs d’importation, d’authentification ou de connexion : Dépanner le client Sophos Connect.
• Le VPN est connecté, mais le trafic ne passe pas : Tester une règle de pare-feu avec Log Viewer, Policy Test et Packet Capture.

Cette distinction est importante, car l’installation du client ne représente qu’une partie de l’exploitation de l’accès à distance. Les règles de pare-feu, le DNS, la MFA, les certificats, le VPN Portal et la distribution des profils restent des points de contrôle distincts.

Prérequis

• Sophos Firewall avec une configuration d’accès à distance opérationnelle
• client Sophos Connect dans une version compatible avec le pare-feu et la plateforme
• Mac Intel ou Apple Silicon avec une version de macOS adaptée à la version du client ; voir la synthèse ci-dessous
• fichier de configuration IPsec (.scx) ou SSL VPN (.ovpn), ou fichier .pro fourni par le service informatique à partir du client 2.1
• aucun ancien Sophos SSL VPN Client installé en parallèle
• compte utilisateur autorisé à utiliser le VPN et, si elle est activée, MFA fonctionnelle
• règles de pare-feu pour le trafic provenant de la zone VPN ou de la zone d’accès à distance utilisée

Quelle version choisir pour le Mac ?

Au 21 octobre 2026, les notes de publication Sophos indiquent Sophos Connect 2.1 pour macOS du 6 octobre 2026 comme version Mac actuelle. Le numéro Windows supérieur, 2.5 MR1, ne correspond pas à une version du paquet macOS.

• 2.1 à partir de macOS 14 Sonoma : Intel et Apple Silicon ; ARM natif sur Apple Silicon. IPsec, SSL VPN, le provisionnement .pro et Microsoft Entra ID SSO sont pris en charge. L’authentification SSO dans le navigateur système nécessite en plus SFOS 22.0 MR3 ou une version ultérieure.
• Branche 2.0 à partir de macOS 13 Ventura : IPsec et SSL VPN avec importation manuelle des profils ; Apple Silicon via Rosetta 2. La dernière version de maintenance répertoriée est 2.0 MR1 du 21 mai 2026. L’exécution ARM native, le provisionnement .pro et Entra ID SSO ne sont pas disponibles dans cette branche.
• Avant 2.0 : le client macOS prend uniquement en charge IPsec. Ces anciens paquets ne conviennent pas à SSL VPN.

Avant l’installation, vérifier le numéro de version du paquet macOS réellement fourni. Une annonce de publication ne prouve ni que le pare-feu distribue déjà ce paquet ni que la combinaison client, macOS et profil VPN est approuvée dans l’environnement concerné. Mettre à jour Sophos Connect en toute sécurité décrit la vérification de version et le retour arrière contrôlé.

Apple Silicon et mises à niveau de macOS

Rosetta n’est pas un prérequis systématique pour le client 2.1 natif. En revanche, un client 2.0 encore utilisé en dépend : la disponibilité générale de Rosetta ne valide pas l’installateur précis ni le fonctionnement du VPN sous macOS 27. De même, une validation de Sophos Endpoint ne constitue pas une preuve pour Sophos Connect.

Avant une mise à niveau de macOS, tester sur un appareil pilote l’installation, le profil IPsec ou SSL VPN réellement utilisé, la MFA, la résolution DNS interne et la reconnexion. Tant que ce test n’est pas concluant, reporter la mise à niveau des appareils qui dépendent du VPN. Pour macOS 28, ne pas prévoir d’utiliser le client Intel de la branche 2.0 ; faire approuver à temps une version native ou une autre solution VPN prise en charge. Ce guide ne rapporte aucun test effectivement réalisé sur un appareil.

1. Télécharger le client Sophos Connect

Sous SFOS 22, un administrateur télécharge le client Sophos Connect pour macOS dans WebAdmin via Remote access VPN > IPsec > Download client ou Remote access VPN > SSL VPN > Download client. Les utilisateurs ouvrent plutôt le VPN Portal, disponible par défaut à l’adresse https://<Firewall-FQDN>:443, puis choisissent VPN > Download for macOS. Le client actuel est disponible dans le VPN Portal ; le paquet WebAdmin est à jour lorsque les Pattern updates sont actualisées automatiquement sous Backup & Firmware > Pattern updates.

La Sophos Download Page existante est la page de téléchargement UTM. Pour une installation SFOS, il faut donc utiliser WebAdmin ou le VPN Portal comme source du paquet. Dans un environnement administré, il faut aussi définir la version approuvée et l’emplacement où les utilisateurs obtiennent le fichier de configuration approprié.

Le fichier dépend de la connexion configurée sur le pare-feu :

• IPsec : importer directement le fichier .scx.
• SSL VPN : importer directement son propre fichier .ovpn ; Sophos Connect 2.0 ou une version ultérieure est nécessaire.
• Récupération automatique des profils à partir du client macOS 2.1 : le service informatique fournit un fichier .pro. Celui-ci récupère les profils IPsec et SSL VPN autorisés via le VPN Portal, ainsi que leurs modifications ultérieures ; ce n’est pas un profil de tunnel. Le client macOS 2.0 nécessite toujours des importations directes et des mises à jour manuelles. Configurer le provisionnement de Sophos Connect avec .pro décrit la procédure.

Sous SFOS 22, les profils se récupèrent aux emplacements suivants :

1. IPsec : ouvrir Remote access VPN > IPsec > Export connection. L’archive contient des fichiers .scx et .tgb ; distribuez le fichier .scx recommandé par Sophos pour Sophos Connect.
2. SSL VPN : dans le VPN Portal, ouvrir VPN > VPN configuration > SSL VPN configuration et choisir Download configuration for Windows, macOS, Linux. Pour Sophos Connect, utiliser Use with Sophos Connect and OpenVPN Connect v2 clients ; Use with OpenVPN Connect v3 clients concerne OpenVPN Connect 3, pas Sophos Connect. Télécharger le fichier .ovpn. Le téléchargement n’apparaît pas si l’utilisateur n’a pas de politique SSL VPN correspondante.
3. Stocker le fichier en lieu sûr et le remettre uniquement à l’utilisateur concerné.

Le nom du paquet actuel suit le modèle SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Un paquet dont le nom contient (IPsec) appartient à l’ancienne gamme macOS et ne prend pas en charge SSL VPN.

Sur les Mac administrés, le programme d’installation ne doit pas être distribué à grande échelle sans groupe pilote. Si l’entreprise utilise les deux plateformes, il faut d’abord tester au moins un Mac Intel et un Mac Apple Silicon.

2. Installer le client Sophos Connect

Avant l’installation, tout ancien Sophos SSL VPN Client doit être supprimé. Le guide d’installation exclut l’utilisation en parallèle avec un autre client VPN, tandis que l’aide générale au dépannage décrit encore un ordre d’installation différent pour l’ancien SSL VPN Client. Cela ne constitue pas une autorisation générale de faire coexister plusieurs clients ; si un cas particulier hérité l’exige, faites valider la combinaison précise par Sophos. Le guide actuel de mise à niveau prévoit le téléchargement et l’installation du nouveau paquet, mais n’impose pas de manière générale une désinstallation préalable. Utilisez la procédure de suppression-réinstallation décrite ici uniquement comme une opération de maintenance ou de retour arrière contrôlée et approuvée pour la version cible, et non comme un prérequis obligatoire à chaque mise à jour.

Double-cliquez sur SophosConnect_x.x_(IPsec_and_SSLVPN).pkg pour lancer l’installation ; x.x correspond à la version approuvée. Vérifiez la destination et l’espace libre, cliquez sur Install, puis terminez l’assistant avec Finish.

Sur Apple Silicon, Sophos Connect 2.0 nécessite Rosetta 2 ; à partir de 2.1, ARM est pris en charge nativement. Rosetta n’est donc pas un prérequis systématique pour 2.1. Si macOS le demande avec l’installateur 2.0 approuvé, installez Rosetta 2, puis relancez le client. Sous macOS 27, ne supposez ni qu’un composant Rosetta installé avant la mise à niveau sera automatiquement restauré, ni qu’un paquet d’installation précis fonctionnera sans changement. Pour les deux branches du client, testez l’installation et la connexion VPN dans le cadre du pilote.

Après l’installation, vérifiez directement la version dans le client. Ce contrôle est particulièrement important lorsque plusieurs paquets d’installation ont circulé en interne ou que les utilisateurs avaient déjà installé le client.

3. Télécharger le fichier de connexion

Au premier démarrage, Sophos Connect nécessite une configuration de connexion. Ce fichier doit provenir de la configuration actuellement valide du pare-feu et ne pas être réutilisé depuis une ancienne archive utilisateur.

Fichiers de connexion courants :

• IPsec Remote Access : .scx ; exporté depuis la configuration IPsec Remote Access actuelle.
• SSL VPN : .ovpn ; téléchargé depuis le VPN Portal ou fourni par l’administrateur.
• Provisionnement à partir de 2.1 : .pro ; mécanisme de récupération des profils autorisés fourni par le service informatique.

Si d’anciennes configurations IPsec Remote Access sont encore utilisées avant une mise à niveau vers SFOS 22 MR1, il ne faut pas simplement continuer à distribuer un ancien profil. Consultez d’abord Migrer l’accès à distance IPsec hérité avant SFOS 22 MR1.

Les profils doivent être traités comme des données d’accès. Un ancien fichier .ovpn ou .scx peut toujours contenir des réseaux internes, des noms de passerelle, des certificats ou une référence utilisateur. Si la passerelle, le certificat, le DNS, le groupe d’utilisateurs, le pool IP ou l’authentification ont changé, le profil doit être réexporté et réimporté.

Pour SSL VPN, le fichier .ovpn est propre à l’utilisateur : il contient un certificat utilisateur unique et sa clé privée et ne doit donc pas être distribué comme profil commun à une équipe. Un fichier .pro non importé contient en revanche des métadonnées de provisionnement et n’est pas intrinsèquement propre à un utilisateur ; il ne faut pas le confondre avec le profil SSL VPN et les certificats générés lors de l’importation. Ne partagez pas non plus ces profils générés ni les clés privées entre utilisateurs.

Pour SFOS 22, Sophos documente la liaison d’un profil SSL VPN importé à l’identité de l’utilisateur, au domaine et à la méthode d’authentification. Lors d’un passage, par exemple, d’une authentification locale à Active Directory, obtenez et importez une configuration .ovpn distincte ou générez le profil SSL approprié par une importation distincte de .pro. Selon cette documentation SFOS 22, réutiliser le profil importé avec une autre méthode ou un autre domaine peut provoquer Login failed. Wrong fingerprint of certificate. Cette liaison SSL documentée ne s’applique pas aux profils IPsec .scx.

Pour SFOS 23, le comportement à l’exécution reste indéterminé : la section correspondante est absente du guide Sophos comparé ici. Cette absence ne confirme ni un assouplissement de la réutilisation ni le maintien inchangé de la liaison. En attendant une confirmation propre à la version, continuez à obtenir et à importer des profils SSL distincts pour l’identité, la méthode et le domaine prévus. Il s’agit d’une précaution, pas d’une règle de fonctionnement vérifiée pour SFOS 23 ; ne contournez pas la validation des certificats.

Lors d’une migration depuis un client tiers, les fichiers de configuration existants compatibles peuvent être importés dans Sophos Connect. Pour IPsec, préparez d’abord les paramètres avancés sur le pare-feu et distribuez un fichier .scx actuel ou, à partir du client macOS 2.1, un fichier .pro adapté : cela fournit également les paramètres que les clients tiers ne prennent pas en charge. Une simple mise à jour du client n’invalide pas automatiquement les fichiers existants ; les modifications du pare-feu doivent être traitées séparément.

4. Configurer le client Sophos Connect

La configuration du client Sophos Connect s’effectue en quelques étapes :

1. Ouvrir Sophos Connect.
2. Sélectionner Import connection.
3. Importer le fichier de connexion approprié.
4. Vérifier la connexion sous Connections.
5. Cliquer sur Connect.
6. S’authentifier avec le compte VPN, puis confirmer la MFA si elle est activée.

Une fois la connexion établie, vérifiez également que les noms DNS internes sont résolus et que les systèmes nécessaires sont accessibles. Si la connexion est active, mais qu’aucun trafic ne passe, utilisez Log Viewer, Policy Test et Packet Capture. La procédure est décrite dans Tester une règle de pare-feu avec Log Viewer, Policy Test et Packet Capture.

Le test DNS est particulièrement important avec SSL VPN sur macOS. Sophos Connect 2.0 MR1 corrige un problème empêchant l’application correcte des paramètres DNS pour les connexions SSL VPN sur macOS. Si les noms internes ne sont pas résolus, vérifiez d’abord la version du client et l’état du profil avant de modifier les règles DNS sans diagnostic.

Pour SSL VPN avec plusieurs passerelles dans le fichier .ovpn, Sophos Connect essaie les entrées dans l’ordre inverse de priorité ; les passerelles DNS dynamique sont prioritaires sur les passerelles à adresse IP WAN. Si une tentative échoue, le client essaie la passerelle disponible suivante dans cet ordre. En cas de choix inattendu, comparez le fichier actuel aux destinations réellement essayées dans les événements du client, plutôt que de supposer que la première entrée est privilégiée.

Microsoft Entra ID SSO sur macOS (Sophos Connect 2.1) : navigateur et retour au client

Entra ID SSO est documenté pour IPsec, SSL VPN et le provisionnement à partir de Sophos Connect 2.1 pour macOS ; macOS 2.0 ne prend pas en charge ce parcours client. Avant de commencer, vérifiez la configuration Entra ID appropriée sur le pare-feu, les méthodes d’authentification et la Redirect URI. Sous macOS 14+, utilisez la version approuvée du paquet 2.1. Le choix du navigateur dépend de la configuration de connexion ou de provisionnement, et pas uniquement du système d’exploitation. L’authentification dans le navigateur système et le basculement automatique vers celui-ci nécessitent SFOS 22.0 MR3 ou une version ultérieure. Avant de suivre un tel parcours, vérifier la version du pare-feu avec le service informatique ; une version antérieure ne remplit pas ce prérequis.

Avant d’utiliser Entra ID SSO, vérifiez que le VPN Portal, la stratégie SSL VPN et la configuration Microsoft Entra ID utilisent le serveur d’authentification requis.

1. Dans Sophos Connect, sélectionnez la bonne connexion, utilisez l’authentification SSO et lancez Connect. Terminez l’authentification dans le navigateur ouvert par Sophos Connect, y compris la MFA ou la vérification de conformité demandée. Une connexion au portail ouverte indépendamment ne remplace pas ce parcours client.
2. Si sso_auth_browser_type est absent ou vaut auto, Sophos Connect commence dans le navigateur intégré. Si les exigences de Conditional Access empêchent d’y terminer l’authentification, le client bascule automatiquement vers le navigateur système par défaut et réessaie l’authentification. Terminez-y l’authentification, puis revenez à Sophos Connect.
3. Avec embedded, seul le navigateur intégré est utilisé : aucun basculement automatique. Si l’authentification échoue à cause de Conditional Access, demandez au service informatique de fournir un fichier de provisionnement approuvé avec system, puis réessayez. Avec system, seul le navigateur système est utilisé ; après l’authentification, revenez à Sophos Connect.
4. Les profils .ovpn ou .scx importés directement se comportent comme auto : d’abord le navigateur intégré, puis automatiquement le navigateur système si les exigences de Conditional Access le nécessitent. Si le changement de navigateur nécessaire n’a pas lieu et que l’erreur persiste, demandez au service informatique de fournir un fichier .pro approuvé avec sso_auth_browser_type défini sur system. Le schéma de provisionnement et les valeurs autorisées sont décrits dans Provisionnement Sophos Connect ; n’inventez pas de modifications manuelles de .ovpn ou .scx pour configurer le navigateur.

Une erreur de conformité n’est pas une invitation à affaiblir les règles de sécurité. Effectuez les mesures de mise en conformité requises ou contactez le service informatique. Ne désactivez pas Conditional Access, la MFA ou les vérifications de certificats pour forcer l’authentification. Vérifiez l’état du tunnel, l’adresse IP VPN, le DNS et les accès uniquement après le retour au client. Le parcours Windows et le déploiement par GPO Windows ne constituent pas une preuve pour macOS.

Les profils .ovpn ou .scx importés manuellement ne récupèrent pas automatiquement les modifications ultérieures. Auto-connect et Update policy nécessitent le provisioning : sur Windows avec un client compatible, sur macOS à partir de 2.1, pas avec 2.0. auto_connect_host active Auto-connect ; Update policy devient disponible après la première connexion réussie. Rename, Clear credentials et Delete restent des actions distinctes ; après Delete, un profil manuel doit être réimporté.

Sur les Mac partagés, déconnectez d’abord le tunnel, puis ouvrez le menu Sophos Connect en haut à droite, sélectionnez Force SSO re-login et confirmez avec OK. Cette action efface les cookies du navigateur intégré, pas ceux du navigateur système. Si ce dernier utilise toujours l’identité précédente, supprimez uniquement les cookies des domaines Microsoft Entra ID ou de la passerelle VPN concernés. Cela peut aussi fermer d’autres sessions sur ces domaines ; n’effacez pas toutes les données du navigateur sans distinction.

Pendant le pilote, vérifiez que l’utilisateur suivant ne peut établir le tunnel qu’après s’être authentifié avec sa propre identité Microsoft Entra ID. Une session SSO existante ou une simple déconnexion du tunnel ne prouve pas un changement d’utilisateur sûr. Après suppression des cookies, la session se rétablit par une nouvelle connexion, pas en restaurant les cookies d’un autre utilisateur.

Si un mot de passe enregistré déclenche une connexion automatique et masque le choix SSO, utilisez Edit connection > Clear credentials. Les options réapparaissent au prochain Connect. Cette action supprime les identifiants enregistrés, pas les autorisations VPN, et diffère de Force SSO re-login. Ne modifiez le port VPN Portal du client que si l’administrateur fournit une nouvelle valeur : SSO utilise également ce port.

Contrôles après l’installation

Après l’installation, vérifiez les points suivants :

• La version de Sophos Connect est compatible avec la version de macOS utilisée.
• Sur Apple Silicon, Sophos Connect démarre réellement et passe tous les tests du pilote VPN ; vérifiez Rosetta pour 2.0, l’exécution ARM native pour 2.1 et les boîtes de dialogue d’installation réellement affichées.
• Le fichier importé correspond au protocole souhaité : IPsec ou SSL VPN.
• L’utilisateur est autorisé dans le groupe VPN approprié.
• La MFA fonctionne et son invitation est compréhensible.
• Le client reçoit une adresse IP VPN appropriée.
• Les noms DNS internes sont résolus.
• Les règles de pare-feu de la zone VPN n’autorisent que les destinations nécessaires.

Test de validation pour macOS

Un statut de connexion vert ne suffit pas pour valider le déploiement. Un utilisateur pilote doit effectuer les contrôles suivants :

1. Vérifier la version du client : elle est compatible avec macOS, IPsec ou SSL VPN et la version approuvée en interne.
2. Vérifier Apple Silicon : Sophos Connect démarre sous la version précise de macOS utilisée. Vérifiez les exigences liées à Rosetta pour 2.0 et l’exécution ARM native pour 2.1 ; un démarrage réussi ne dispense pas de tester la connexion.
3. Importer le profil : le fichier approprié pour IPsec ou SSL VPN est accepté.
4. Tester la MFA : la connexion demande le second facteur prévu.
5. Tester le DNS : les FQDN internes sont correctement résolus.
6. Tester l’accès : les serveurs autorisés sont accessibles et les destinations non autorisées restent bloquées.
7. Vérifier Log Viewer : le trafic de la zone VPN correspond à la règle de pare-feu attendue.
8. Tester la reconnexion : la déconnexion, le changement de réseau et la reconnexion fonctionnent.
9. Tester Entra SSO à partir de 2.1 : documentez le mode de navigateur utilisé, le basculement nécessaire, l’authentification complète dans le navigateur et le retour à Sophos Connect. Un appareil non conforme reste bloqué ; corrigez la conformité ou contactez le service informatique, sans affaiblir Conditional Access.

Dans un environnement mixte, testez au moins un Mac Intel et un Mac Apple Silicon. Si des clients Windows sont également utilisés, leur comportement ne doit pas être considéré comme identique. La plateforme, le type de profil et la version du client peuvent différer.

Conseils de déploiement pour les Mac administrés

Pour quelques utilisateurs, une installation manuelle avec importation contrôlée du profil suffit souvent. Dans un environnement plus vaste, Sophos Connect doit être géré comme tout autre logiciel client lié à la sécurité.

Avant un déploiement à grande échelle, clarifiez les points suivants :

• Quelle version de Sophos Connect est approuvée ?
• Quelles versions de macOS sont utilisées ?
• L’environnement comporte-t-il des Mac Intel, des Mac Apple Silicon ou les deux ?
• IPsec, SSL VPN ou les deux sont-ils utilisés ?
• Où les utilisateurs obtiennent-ils le profil actuel ?
• Qui informe les utilisateurs lorsqu’un profil doit être réimporté ?
• Quelle procédure de mise à jour est approuvée pour les versions de départ et cible, et comment se déroule une éventuelle désinstallation suivie d’une réinstallation ?
• Microsoft Entra ID SSO est documenté sur Windows à partir de Sophos Connect 2.4 et sur macOS à partir de 2.1, pas avec le client macOS 2.0. Une configuration SFOS compatible et une configuration client à jour sont nécessaires. Vérifiez les méthodes d’authentification et la Redirect URI ; la MFA reste un contrôle distinct. Cela n’implique ni un parcours navigateur identique ni l’applicabilité du déploiement GPO Windows à macOS.
• Comment le support identifie-t-il les profils obsolètes ?
• Le VPN Portal, la MFA et les certificats sont-ils surveillés séparément ?

Les anciens paquets d’installation et profils doivent être supprimés des espaces de téléchargement internes ou clairement signalés comme obsolètes. Dans le contexte de l’accès à distance, l’utilisation d’un ancien profil trouvé au hasard dans le dossier de téléchargement entraîne rapidement des recherches inutiles. La procédure d’installation officielle citée ici ne décrit pas de déploiement MDM générique du paquet macOS. Ne transposez donc pas de procédures Windows ni de paramètres propres à un fournisseur MDM sans documentation et tests pour votre plateforme.

Supprimer ou restaurer Sophos Connect en toute sécurité

Pour disposer d’un retour arrière sûr, conservez le paquet macOS précédemment approuvé sous accès contrôlé jusqu’à la fin du pilote. Si la nouvelle version échoue, supprimez Sophos Connect avec le script pris en charge, installez le paquet précédemment approuvé, réimportez le profil correspondant, puis répétez le test de validation complet. Un retour à une version antérieure à 2.0 ne convient pas à SSL VPN, car ces versions macOS ne prennent en charge qu’IPsec. Avant le retour arrière, conservez la version, l’heure et le rapport de support pour tout incident susceptible d’être transmis au support. Vérifier la version du client Sophos Connect et le mettre à jour en toute sécurité explique plus en détail le choix de version et la procédure de suppression-réinstallation. Un retour au client macOS 2.0 ne conserve ni l’exécution ARM native, ni le provisionnement .pro, ni Entra ID SSO. Si ces fonctions de 2.1 sont nécessaires, 2.0 n’est pas une solution de retour arrière équivalente ; approuvez et testez au préalable une solution de remplacement prise en charge.

Avant la désinstallation, déconnectez le VPN et sauvegardez de manière contrôlée le profil nécessaire à une restauration ultérieure. Un fichier .ovpn contient un certificat propre à l’utilisateur et sa clé privée et doit donc être conservé dans un emplacement protégé. Si Sophos Endpoint est installé avec la protection antialtération active, ne la désactivez pas par précaution. Le guide actuel de désinstallation ne mentionne plus ce prérequis ; l’aide au dépannage cite toutefois encore la protection antialtération d’Endpoint comme une cause possible de processus Sophos Connect qui ne se déchargent pas et recommande un redémarrage. La suppression de cette instruction ne signifie ni qu’une modification de la protection est nécessaire, ni qu’elle ne le sera jamais. Si ce symptôme se présente, sauvegardez les journaux, redémarrez pendant une fenêtre de maintenance, puis vérifiez à nouveau ; si la suppression reste bloquée, faites examiner la combinaison précise d’Endpoint et du client par le service informatique ou Sophos. Ne modifiez de manière ciblée la protection antialtération dans Sophos Fusion que si une modification temporaire de la protection a été expressément approuvée pour cette intervention. Pour une désinstallation approuvée, exécutez le script documenté avec les droits d’administrateur dans Terminal sur macOS :

sudo /Library/Sophos\ Connect/uninstall.sh

Le message Sophos Connect has been uninstalled confirme la réussite. Vérifiez ensuite que Sophos Connect ne démarre plus. Si la protection antialtération a été désactivée expressément pour cette intervention, réactivez-la et vérifiez qu’elle est active sur le terminal et dans la console d’administration, même si la désinstallation échoue. Cette commande supprime le client et ne doit être exécutée que pendant une fenêtre de maintenance planifiée, avec un accès d’administration local ou un second accès d’administration.

Diagnostiquer et transmettre les incidents

Pour le premier diagnostic, ouvrir Events dans le client ou choisir Open VPN log dans le menu à trois points. Vérifier que le type de profil, l’identité de l’utilisateur, la version de macOS et la version de Sophos Connect correspondent au cas de test. Si seuls les noms internes échouent, examiner d’abord le DNS et l’état du profil ; si les accès par adresse IP échouent aussi, vérifier ensuite les règles de pare-feu, le routage, le NAT et le chemin de retour.

Le parcours détaillé par symptôme figure dans Dépanner le client Sophos Connect. Il regroupe notamment les erreurs d’importation et d’authentification, le DNS après des connexions Full Tunnel, une interface bloquée, MTU/MSS et les journaux côté client et pare-feu. Ne pas contourner la validation des certificats ni les contrôles de sécurité pour établir temporairement une connexion.

La connexion est importée, mais ne s’établit pas

Vérifiez d’abord que le fichier correspond au bon protocole et que la version de Sophos Connect le prend en charge. SSL VPN sur macOS nécessite Sophos Connect 2.0 ou une version ultérieure. Contrôlez ensuite les autorisations de l’utilisateur, la MFA, le certificat, la passerelle, l’heure du pare-feu et l’accessibilité du FQDN du VPN Portal ou de la passerelle.

Pour un premier diagnostic, ouvrez Events dans le client ou choisissez Open VPN log dans le menu à trois points. Selon la documentation SFOS 22, avec SSL VPN, le message Login failed. Wrong fingerprint of certificate. indique que le profil importé peut ne pas correspondre à l’identité, au domaine ou à la méthode d’authentification utilisés. Ne contournez pas la validation du certificat : obtenez et importez un nouveau fichier .ovpn avec la même méthode d’authentification que celle qui servira à établir la connexion. Pour SFOS 23, ne considérez pas cette association comme un diagnostic confirmé : documentez les versions du pare-feu et du client ainsi que l’identité du profil, puis demandez une clarification propre à la version au service informatique ou à Sophos ; ne contournez pas la validation des certificats.

Les noms internes ne sont pas résolus

Pour SSL VPN sur macOS, vérifiez la version de Sophos Connect, car des correctifs spécifiques ont été apportés dans ce domaine. Contrôlez ensuite le serveur DNS, les domaines de recherche, le profil importé et les règles de pare-feu.

Si les adresses IP fonctionnent, mais pas les noms, le problème provient probablement du DNS. Si les adresses IP ne fonctionnent pas non plus, le routage, les règles de pare-feu, le NAT ou le chemin de retour sont plus probablement en cause.

La connexion est établie, mais aucun accès ne fonctionne

La cause se situe souvent au niveau des règles de pare-feu, du routage, du NAT ou du chemin de retour. Log Viewer doit indiquer si le trafic provenant de la zone VPN correspond à la règle attendue. Pour les cas particuliers liés à IPsec, consultez Dépannage du VPN IPsec sur Sophos Firewall.

La connexion ne fonctionne plus après une modification du profil

Profils importés manuellement : Après une modification de la passerelle, du certificat, du port, du DNS, du pool IP, du groupe d’utilisateurs ou de l’authentification, le profil doit être réexporté et réimporté. Une mise à jour du client ne remplace pas automatiquement un ancien profil, mais n’invalide pas non plus automatiquement une configuration inchangée.

Après une restauration du pare-feu ou une importation de configuration, comparez les paramètres concernés :

• IPsec : Réimportez le fichier de configuration actuel si l’interface, la méthode d’authentification ou la 2FA ont changé.
• SSL VPN : Si le port, le protocole, l’interface ou le certificat serveur des paramètres globaux SSL VPN ont changé, téléchargez de nouveau le fichier .ovpn depuis le VPN Portal et importez-le.

Provisionnement à partir du client macOS 2.1 : Un fichier .pro déjà importé récupère automatiquement les configurations IPsec et SSL VPN appropriées pour l’utilisateur tant que l’adresse de la passerelle (gateway) et le port du VPN Portal (user_portal_port) restent inchangés. Si ces valeurs changent, mettez à jour et redistribuez le fichier de provisionnement ; ne supposez pas que l’ancien chemin de récupération fonctionne encore. Vérifiez ensuite à nouveau la connexion, la MFA, le DNS et les accès autorisés. Le client macOS 2.0 nécessite toujours une importation manuelle.

L’option d’enregistrement des identifiants n’apparaît pas

Sophos a réactivé cette option pour SSL VPN sur macOS dans Sophos Connect 2.0 MR1. Après une mise à jour, le fichier de configuration doit être réimporté pour rendre l’option disponible. Dans les environnements avec MFA, vérifiez également que l’enregistrement des identifiants est compatible avec le concept de sécurité.

Sophos Connect ne s’ouvre pas ou ne répond pas

Si l’interface ne s’ouvre pas ou ne réagit pas à l’icône de la barre des menus macOS, le processus graphique peut être bloqué. Dans Activity Monitor, sélectionnez le processus Sophos Connect, arrêtez-le avec Force Quit, puis relancez l’application depuis Launchpad. Cette opération ne fait qu’arrêter l’interface bloquée ; si le problème se reproduit, vérifiez la version du client et le rapport de support.

L’accès au Web ne fonctionne plus après la déconnexion

Après la déconnexion d’un Full Tunnel, macOS peut continuer à utiliser les serveurs DNS internes de la connexion VPN. Les sites Web et la résolution de noms hors tunnel ne fonctionnent alors plus. Déconnectez brièvement le Wi-Fi ou Ethernet, puis reconnectez-le. Si le problème se reproduit, documentez la version du client, le profil et le comportement DNS au lieu de remplacer définitivement les serveurs DNS à la main.

La connexion est établie, mais les transferts volumineux se bloquent

Si l’authentification, le DNS et les petits accès fonctionnent, mais que les transferts de fichiers volumineux ou certaines applications se bloquent, vérifiez également MTU/MSS. Ce comportement correspond souvent à une fragmentation, à PPPoE, à des connexions encapsulées ou à un chemin asymétrique. La procédure est décrite dans Vérifier MTU et MSS en cas de problème VPN sur Sophos Firewall.

Collecter les données de support

Pour transmettre un incident au support, documentez l’heure, l’utilisateur, la version de macOS, la version de Sophos Connect, le type de profil, le réseau source et le système cible. Dans le client Sophos Connect, menu à trois points > About > Generate technical support report crée le fichier scvpntsr.zip. Celui-ci contient les configurations VPN, les événements de connexion, les détails du provisionnement, les informations d’authentification SSO, les détails du navigateur et des informations sur le terminal. Ce fichier peut contenir des données sensibles et ne doit être transmis qu’aux personnes autorisées, par le canal de transfert approuvé ; ne copiez jamais de mots de passe, de codes OTP ou de clés privées dans le texte du ticket. Les informations WebView2 dans scgui.log concernent uniquement Windows, et non le navigateur macOS.

Sur le pare-feu, Log Viewer, sslvpn.log, les journaux IPsec, Packet Capture et la règle de pare-feu concernée sont également utiles. La correspondance entre les services et les journaux est décrite dans Dépannage de Sophos Firewall : services et journaux.

Pour une vérification SCCLI complémentaire, en lecture seule, sur un Mac pilote, consultez l’aide-mémoire CLI pour macOS. Cette vérification ne remplace ni l’interface du client ni un test VPN réussi et ne justifie pas un déploiement MDM automatique.

FAQ