Installer le client Sophos Connect sous Windows

Sophos Connect est le client Sophos central pour de nombreux scénarios d’accès à distance avec Sophos Firewall. Sous Windows, le client peut utiliser des connexions VPN IPsec et SSL en fonction de la configuration du pare-feu. Il est important que la version du client, la plate-forme Windows, le fichier de configuration et la configuration du pare-feu correspondent.

Ces instructions décrivent l’installation sous Windows et les vérifications les plus importantes après l’importation de la connexion. Pour choisir entre IPsec, SSL VPN, clients mobiles et ZTNA, la comparaison Sophos Connect ou SSL VPN : quelle solution d’accès à distance est la bonne ? est le meilleur choix.

Quel article convient ?

Sophos Connect sous Windows n’est qu’une partie des opérations d’accès à distance. Selon la tâche, une approche différente est appropriée :

• Installer Sophos Connect sous Windows: Cet article.
• Configurez un VPN SSL sur Windows avec .ovpn: Configurateur Sophos SSL VPN avec Sophos Connect sous Windows.
• Configurer Sophos Connect côté pare-feu: Configurer Sophos Connect sur Sophos Firewall.
• Configurer l’authentification unique Microsoft Entra ID pour Sophos Connect: Configurateur Microsoft Entra ID SSO pour Sophos Connect et le port VPN.
• Maintenir les versions client, les mises à jour et les profils: Vérifiez et mettez à jour en toute sécurité la version de Sophos Connect Client.
• Le VPN est connecté mais le trafic ne fonctionne pas: Testez les règles du pare-feu avec Log Viewer, Policy Test et Packet Capture. Cette séparation évite un dépannage typique au mauvais endroit. Un client installé ne prouve pas encore que le portail VPN, l’authentification, le profil, les règles de pare-feu, le DNS et le chemin de retour sont corrects.

Exigences

• Pare-feu Sophos avec configuration de l’accès à distance configuré
• Sophos Connect Client dans une version adaptée au pare-feu et à la plateforme
• Windows 10 ou Windows 11, avec les versions actuelles de Sophos Connect 64 bits ou Windows ARM
• Fichier de configuration pour IPsec (.scx ou .tgb) ou SSL VPN (.ovpn ou fichier de provisioning)
• Compte utilisateur avec autorisation VPN et, si activé, MFA fonctionnel
• Règles de pare-feu pour le trafic provenant de la zone VPN ou de la zone d’accès distant utilisée

Si Sophos Connect doit être utilisé avec Microsoft Entra ID SSO, Sophos Connect 2.4 ou version ultérieure est requis sous Windows et une configuration SSO appropriée sur le pare-feu. Le processus se trouve dans Configurateur Microsoft Entra ID SSO pour Sophos Connect et le portail VPN.

Sophos Connect est pris en charge pour Windows ARM à partir de la version 2.5. Si d’anciens progiciels sont toujours distribués en interne, vous devez vérifier quelle version est réellement installée avant le déploiement. Pour le déploiement, le groupe pilote et la vérification des mises à jour, Vérifiez et mettez à jour en toute sécurité la version de Sophos Connect Client convient.

La limite de la plate-forme est également importante : les versions actuelles de Sophos Connect doivent être planifiées pour de nouveaux déploiements avec Windows 10 ou Windows 11. Les anciennes installations 32 bits ne doivent pas être maintenues comme nouveau standard simplement parce qu’elles étaient auparavant possibles avec des versions client plus anciennes.

1. Téléchargez le client Sophos Connect

Le client Sophos Connect peut être téléchargé via le portail VPN de Sophos Firewall ou directement depuis le Site Web Sophos.

Dans les environnements gérés, le client ne doit pas être installé de manière aléatoire par des utilisateurs individuels. Un package clair avec une version définie, un groupe de déploiement et un plan de secours est logique. Ceci est particulièrement important lors de l’utilisation de Windows ARM, d’un VPN SSL via Sophos Connect ou du provisionnement de fichiers.

Sophos Connect doit être mis à jour régulièrement. Les nouvelles versions contiennent non seulement des modifications fonctionnelles, mais également des composants mis à jour tels que OpenVPN, strongSwan ou OpenSSL.

Pour les environnements plus grands, la source d’installation doit être claire. Si d’anciens fichiers MSI, un téléchargement de portail VPN et une distribution de logiciel existent en même temps, le service d’assistance installera rapidement différentes versions de client.

2. Installer le client Sophos ConnectL’installation démarre avec le fichier SophosConnect.msi. Après avoir terminé l’assistant, la fenêtre peut être fermée avec Finish.

Après l’installation, la version doit être vérifiée directement dans le client ou via l’inventaire logiciel. Ceci est particulièrement important pour Windows ARM, Entra SSO, les fichiers de provisionnement et les erreurs de service récurrentes, car de petites différences de version peuvent modifier le modèle d’erreur.

3. Télécharger le fichier de connexion

Lorsque vous démarrez pour la première fois, Sophos Connect nécessite une configuration de connexion. Selon la conception de l’accès à distance, il s’agit d’un fichier IPsec, VPN SSL ou d’un fichier de provisionnement.

Fichiers de connexion typiques :

• Accès à distance IPsec: .scx ou .tgb; Exporter vers VPN > Sophos Connect Client.
• VPN SSL: .ovpn; Portail VPN ou export administratif.
• Importation automatique via provisionnement: .pro; fichier de provisionnement préparé de manière centralisée. Avec une configuration IPsec classique, le fichier est exporté dans WebAdmin :

1. Sur Sophos Firewall, ouvrez VPN > Sophos Connect Client.
2. Exporter la connexion.
3. Stockez le fichier en toute sécurité et distribuez-le uniquement aux utilisateurs autorisés.

Avec SSL VPN, la configuration est généralement fournie depuis le portail VPN ou depuis la configuration de l’accès à distance. La source exacte dépend de la manière dont l’accès à distance a été configuré sur le pare-feu. La procédure détaillée pour l’import .ovpn, le portail VPN et les tests VPN SSL est disponible dans Configurer Sophos SSL VPN avec Sophos Connect sous Windows.

Les profils doivent être distribués de manière contrôlée. Si la passerelle, le certificat, le DNS, le groupe d’utilisateurs, le pool IP, le SSO ou l’authentification ont été modifiés, il ne faut pas se fier aux anciens fichiers des dossiers de téléchargement. Les connexions concernées doivent être réexportées, réimportées ou correctement mises à jour via le provisionnement.

Pour les fichiers de provisionnement, la passerelle, le port du portail VPN, les certificats, la référence SSO et le groupe d’utilisateurs doivent être vérifiés avec une attention particulière. Un fichier de provisionnement facilite la distribution, mais ne remplace pas l’approbation technique de la connexion.

4. Configurer le client Sophos Connect

La configuration se fait en quelques étapes seulement :

1. Ouvrez Sophos Connect.
2. Sélectionnez Import Connection.
3. Importez le fichier de connexion approprié.
4. Vérifiez la connexion sous Connexions.
5. Cliquez sur Connect.
6. Connectez-vous avec l’utilisateur VPN et confirmez MFA s’il est activé.

Si la connexion réussit, Sophos Connect devrait afficher la connexion comme étant connectée. Ensuite, vous devez non seulement vérifier le statut vert, mais également tester le DNS, les cibles internes et les règles de pare-feu. Si la connexion est établie mais qu’aucun trafic ne circule, Testez les règles de pare-feu avec Log Viewer, Policy Test et Packet Capture aide.

Avec Entra ID SSO, vous devez également vérifier si le flux SSO s’exécute réellement via le serveur Microsoft Entra ID attendu et si l’accès conditionnel ou le MFA fonctionnent comme prévu. Une connexion locale réussie ne prouve pas automatiquement que le SSO, le mappage de groupe et l’autorisation VPN sont corrects.

Vérifiez après l’installation

Après l’installation, ces points doivent être vérifiés :

• La version Sophos Connect s’adapte à la plateforme, notamment avec Windows ARM.
• Le fichier importé correspond au protocole souhaité : IPsec ou SSL VPN.
• L’utilisateur est autorisé dans le bon groupe VPN.
• MFA fonctionne et ne bloque pas l’établissement de la connexion.
• Le client reçoit une IP VPN appropriée.
• Les noms DNS internes sont résolus.
• Les règles de pare-feu pour la zone VPN autorisent uniquement les cibles requises.
• Les anciens profils n’ont pas été réutilisés accidentellement.

Si d’anciennes configurations IPsec d’accès à distance existent toujours avant une mise à niveau SFOS 22 MR1, Migrer l’ancien accès à distance IPsec avant SFOS 22 MR1 doit être vérifié en premier.

Test d’acceptation pour Windows

Un statut de client vert ne suffit pas comme acceptation. Pour un déploiement robuste, un utilisateur test doit vérifier ces points :

1. Vérifier la version du client: La version convient à Windows 10/11, Windows ARM et à la version interne.
2. Profil d’importation: .scx, .tgb, .ovpn ou .pro est reconnu correctement.
3. Tester l’authentification unique: Entra SSO ne démarre que là où il est prévu.
4. Tester l’AMF: OTP, RADIUS-MFA ou Entra-MFA se comporte comme documenté.
5. Tester le DNS: les FQDN internes se résolvent correctement.
6. Accès aux tests: Les cibles autorisées fonctionnent, les cibles non autorisées restent bloquées.
7. Vérifier la visionneuse de journaux: Le trafic provenant de la zone VPN respecte la règle de pare-feu attendue.
8. Tester la reconnexion: Les modifications du réseau, la mise en veille et les reconnexions sont traçables.

Pour les environnements mixtes, au moins un appareil Windows 10/11 classique et un appareil Windows ARM doivent être testés si ARM est utilisé en production. Si des clients macOS sont également utilisés, le comportement doit être documenté séparément.

Notes de déploiement pour les clients Windows gérés

S’il y a peu d’utilisateurs, une installation manuelle peut suffire. Dans les environnements plus grands, Sophos Connect doit être contrôlé via la distribution normale de logiciels ou la gestion des points finaux.

Clarifier avant un déploiement à grande échelle :

• Quelle version de Sophos Connect est disponible ?
• Quelles versions de Windows et architectures de processeur sont utilisées ?
• IPsec, SSL VPN, Entra SSO ou provisioning sont-ils utilisés ?
• Y a-t-il des utilisateurs avec OTP, RADIUS-MFA ou Entra-MFA ?
• Comment sont répartis les nouveaux profils ?
• Comment supprimer les anciens profils ou les marquer comme obsolètes ?
• Qui vérifie le DNS, les règles de pare-feu et le comportement de reconnexion après les mises à jour des clients ?
• De quels journaux et captures d’écran le service d’assistance a-t-il besoin pour les cas d’assistance ?

Pour les appareils Windows partagés, une attention particulière doit être accordée à la fiabilité du démarrage de Sophos Connect pour tous les utilisateurs concernés. Sophos Connect 2.5 MR1 inclut un correctif pour le cas où le client destiné aux utilisateurs Windows supplémentaires ne démarrait pas automatiquement lorsqu’il était installé par un autre utilisateur.

Dépannage

Sophos Connect ne démarre pas ou affiche des erreurs de service

Vérifiez d’abord si le service Sophos Connect est en cours d’exécution et si une version client actuelle est installée. Pour les anciens packages d’installation, il est généralement préférable d’effectuer une réinstallation propre avec la version publiée. Si plusieurs utilisateurs Windows utilisent le même appareil, vous devez également vérifier si le client démarre automatiquement correctement dans le contexte utilisateur.

La connexion est importée mais n’est pas établie

Il s’agit généralement d’une autorisation utilisateur, d’un MFA, d’un certificat, d’une clé pré-partagée, d’une version du pare-feu ou d’un type de fichier incorrect. Les profils VPN IPsec et SSL ne doivent pas être mélangés. Pour les fichiers de provisionnement, vérifiez également la passerelle, le port du portail VPN, le certificat, la configuration SSO et les points de terminaison Microsoft accessibles si Entra SSO est impliqué.

L’état du SSO n’est pas clair après une interruption d’Internet

Dans les environnements Entra SSO, une interruption d’Internet peut entraîner des affichages d’état irritants. Sophos Connect 2.5 MR1 inclut un correctif pour les utilisateurs SSO. Néanmoins, vous devez également vérifier si le tunnel est réellement déconnecté, si le client se reconnecte et si le pare-feu sous Authentification > Services utilise le serveur Microsoft Entra ID attendu.

OTP est interrogé différemment lors de la reconnexion

Si les utilisateurs OTP ou MFA classiques utilisent IPsec et SSL VPN en parallèle, le comportement de reconnexion doit être testé. Sophos Connect 2.5 MR1 corrige une différence de vérification de connexion entre IPsec et SSL VPN pour les utilisateurs d’informations d’identification avec OTP.

La connexion est établie, mais les systèmes internes ne sont pas accessibles

Dans ce cas, la cause n’est souvent pas le client, mais plutôt les règles de pare-feu, le routage, le DNS ou le NAT. Il doit être visible dans la visionneuse de journaux si le trafic en provenance de la zone VPN répond à la règle attendue. Pour les cas particuliers IPsec, Dépannage du VPN IPsec du pare-feu Sophos aide.

La connexion ne fonctionne plus après changement de profil

Après avoir modifié la passerelle, le certificat, le port du portail VPN, le DNS, le pool IP, le groupe d’utilisateurs, Entra SSO ou l’authentification, le profil doit être redistribué ou réimporté. Une mise à jour client ne remplace pas automatiquement un ancien profil.### La connexion est établie, mais les transferts importants sont suspendus

Si la connexion, le DNS et les petits accès fonctionnent, mais que les transferts de fichiers plus volumineux ou certaines applications se bloquent, MTU/MSS doit également être vérifié. Le modèle d’erreur correspond souvent à une fragmentation, à un PPPoE, à des connexions tunnelisées ou à un chemin asymétrique. Le processus est en Vérifiez le MTU et le MSS de Sophos Firewall pour détecter les problèmes VPN..

Collecter les données d’assistance

Si l’erreur n’est pas immédiatement visible, vous devez documenter l’heure, l’utilisateur, la version de Windows, l’architecture du processeur, la version de Sophos Connect, le type de profil, le réseau source et le système cible. Log Viewer, sslvpn.log, journaux IPsec, capture de paquets et aide aux règles de pare-feu concernées sur le pare-feu. L’affectation des fichiers journaux se trouve dans Dépannage de Sophos Firewall : services et journaux.

##FAQ