Vérifier et mettre à jour Sophos Connect Client en toute sécurité

Le guide actuel de Sophos décrit la mise à niveau sous Windows et macOS comme le téléchargement et l’installation du nouveau paquet obtenu depuis le VPN Portal ou auprès de l’administrateur ; il n’impose pas de désinstallation préalable systématique. Cela ne confirme toutefois pas que chaque paquet peut mettre à jour n’importe quelle installation existante. Ce guide conserve la procédure contrôlée de désinstallation suivie d’une réinstallation pour une réinstallation expressément approuvée ou un retour arrière. Avant toute modification, déterminez la méthode adaptée aux versions initiale et cible, puis vérifiez-la en pilote ; les profils, les paquets d’installation et le retour arrière doivent être prêts.

La version installée apparaît dans Sophos Connect sous trois points > About. Les guides Windows et macOS couvrent la première installation ; ce guide traite du choix de version et de la transition contrôlée.

Si vous hésitez encore entre IPsec, SSL VPN et d’autres méthodes d’accès à distance, commencez par le comparatif des solutions d’accès à distance avant de choisir le client cible.

Choisir la version cible

Ne déployez pas automatiquement le paquet le plus récent à grande échelle. Comparez d’abord les changements de version expliqués ci-dessous, les systèmes d’exploitation pris en charge et les fonctions VPN réellement utilisées avec votre propre environnement. La vérification éditoriale du 7 septembre 2026 a établi l’instantané daté suivant :

• Windows : Sophos Connect 2.5 MR1, publié le 18 juin 2026.
• macOS : Sophos Connect 2.0 MR1, publié le 21 mai 2026.

Mise à jour du 9 octobre 2026 : les notes de version présentent Sophos Connect 2.1 pour macOS, publié le 6 octobre 2026, avec la prise en charge ARM native, le provisionnement .pro et Microsoft Entra ID SSO pour IPsec et SSL VPN. L’instantané du 7 septembre reste historique. Une publication documentée ne prouve ni la disponibilité effective du paquet dans votre propre portail, ni la réussite d’un test sur appareil ; elle ne permet pas de déduire une approbation supplémentaire de disponibilité générale (GA) ou de déploiement.

Ces indications de version constituent un instantané, pas une approbation illimitée dans le temps. Avant chaque nouveau déploiement, comparez la matrice des versions et les corrections décrites avec la version du paquet réellement disponible ; l’équipe informatique responsable confirme sa prise en charge actuelle des plateformes et son adéquation aux fonctions VPN nécessaires. Une nouvelle version passe d’abord en pilote ; une ancienne ne reste cible que si elle est encore prise en charge sur la plateforme existante et qu’une raison documentée s’oppose à la nouvelle. Ne déduisez pas de dates de fin de vie propres au client depuis la page générale du cycle de vie des produits Sophos.

Sophos Connect n’est pas un client iOS ou Android. Si une combinaison sort de ces limites, définissez d’abord une migration au lieu de la tester en production.

Windows 2.5 MR1 corrige notamment le démarrage pour des utilisateurs supplémentaires (NCL-2570), un état SSO erroné après une coupure Internet (NCL-2783), des demandes OTP incohérentes à la reconnexion (NCL-2992) et le provisioning SSL VPN avec des caractères spéciaux dans les certificats (NCL-2795). macOS 2.0 MR1 corrige notamment le DNS SSL VPN et rétablit l’enregistrement des identifiants. Un correctif ne remplace toutefois pas un pilote avec votre propre profil.

Préparer la mise à jour et le retour

Avant la maintenance, relevez pour chaque plateforme et groupe :

• versions du client et du système d’exploitation ;
• IPsec ou SSL VPN et source du profil (.scx, .ovpn ou .pro) ; en revanche, un fichier .tgb est un export destiné aux clients IPsec tiers, et non un profil Sophos Connect ;
• authentification locale, AD, RADIUS ou Entra ID SSO ;
• comportement MFA et reconnexion ;
• dépendances : passerelle, certificat, DNS, pool VPN et réseaux autorisés.

Conservez dans la distribution logicielle le paquet cible, le paquet précédent approuvé en interne et les sources originales des profils. Une capture du nom du profil n’est pas une sauvegarde : le retour exige l’export réellement utilisé ou une source de provisioning reproductible. Stockez les profils contenant des certificats ou des clés privées uniquement dans un emplacement protégé et pour l’identité utilisateur prévue.

L’administrateur obtient l’installateur avec Download client sous Remote access VPN > IPsec ou Remote access VPN > SSL VPN ; l’utilisateur peut le télécharger depuis VPN Portal. Backup & Firmware > Pattern updates peut renouveler le paquet sur le pare-feu, mais ne met pas à jour les endpoints installés. Vérifiez la source, la plateforme et la version, puis bloquez ou identifiez clairement les anciens paquets.

Effectuer un pilote

Incluez au moins un appareil de chaque combinaison utilisée en production et un à trois utilisateurs représentatifs, pas seulement des administrateurs. Le cas échéant, testez séparément Windows x64, Windows ARM, macOS avec IPsec, macOS avec SSL VPN, Entra SSO et la reconnexion OTP/MFA. Sur Mac, vérifiez séparément 2.0/Rosetta et 2.1/ARM natif, la version de macOS réellement utilisée, ainsi que les profils directs et le provisionnement. Pour Entra SSO à partir de 2.1, le mode de navigateur, le basculement nécessaire et le retour au client font partie du pilote SSO sur macOS. Une erreur de conformité doit être corrigée ou transmise au service informatique, et non contournée en affaiblissant Conditional Access.

Avant la mise à niveau, documentez une référence : connexion, adresse VPN attribuée, résolution DNS interne, accès à une cible représentative, split ou full tunnel et reconnexion après un changement de réseau. Répétez exactement ces tests ensuite. Vous distinguerez ainsi une régression du client d’un problème de pare-feu, routage ou profil déjà présent.

Ne généralisez le déploiement par étapes qu’après la réussite de toutes les combinaisons et l’information du helpdesk sur la cible et le retour. Un seul test Windows ne valide pas macOS.

Désinstaller et réinstaller le client

Déconnectez le VPN actif. S’il constitue le seul accès d’administration à distance, prévoyez une maintenance locale ou un second accès, car le VPN est interrompu pendant l’opération.

Windows

1. Sous Control Panel > Programs > Uninstall a program, sélectionnez Sophos Connect, puis Uninstall.
2. Attendez la fin et ne reportez pas un redémarrage demandé.
3. Installez le paquet Windows approuvé avec des droits administrateur.
4. Vérifiez la version sous trois points > About.
5. Contrôlez le profil existant ou réimportez la source conservée, puis répétez le pilote.

Ne revenez pas à une version antérieure à 2.5 sur Windows ARM. Ne mettez pas Windows 32 bits à niveau vers 2.5 ; il exige une migration de plateforme.

macOS

Si Sophos Endpoint est installé, ne désactivez pas systématiquement Tamper Protection avant la suppression. Le guide actuel de désinstallation ne présente plus cette désactivation comme un prérequis ; l’aide au dépannage décrit toutefois encore des processus Sophos Connect bloqués par Tamper Protection d’Endpoint et recommande un redémarrage. Si vous rencontrez ce problème, conservez les journaux, redémarrez pendant la fenêtre de maintenance et vérifiez à nouveau l’état. Si la suppression reste bloquée, examinez la combinaison précise d’Endpoint et de client avec le service informatique ou Sophos. Ne modifiez temporairement la protection qu’après une autorisation explicite pour ce cas ; sa réactivation fait alors partie des opérations de clôture, même si la tentative échoue. En cas de conflit avec un produit de sécurité ou un client VPN d’un autre fournisseur, faites vérifier la prise en charge de leur coexistence pour les versions concernées par le service informatique ou les fournisseurs ; ne présumez pas leur compatibilité et ne désactivez pas leurs protections sans autorisation. Pour une suppression approuvée, exécutez dans Terminal avec les droits administrateur :

sudo /Library/Sophos\ Connect/uninstall.sh

La confirmation attendue est Sophos Connect has been uninstalled. Ensuite :

1. Redémarrez le Mac si cela est demandé.
2. Installez le paquet macOS approuvé et confirmez les dialogues système requis.
3. Vérifiez la version sous trois points > About.
4. Fournissez le profil conservé et répétez les contrôles du pilote.
5. Si Tamper Protection a été expressément désactivée pour cette opération, réactivez-la et vérifiez qu’elle est active sur l’endpoint et dans la console d’administration ; procédez de même si la réinstallation échoue.

Une version antérieure à 2.0 n’est pas un retour valable pour SSL VPN sous macOS. Après le passage à 2.0 MR1, réimportez la configuration si l’option rétablie d’enregistrement des identifiants est nécessaire. Un retour au client macOS 2.0 ne conserve ni l’exécution ARM native, ni le provisionnement .pro, ni Entra ID SSO. Si ces fonctions de 2.1 sont nécessaires, 2.0 n’est pas une solution de retour arrière équivalente ; approuvez et testez au préalable une solution de remplacement prise en charge.

Traiter séparément les modifications de profil

La mise à niveau du client n’actualise pas automatiquement toute configuration VPN. Après modification des paramètres IPsec avancés, exportez et distribuez un nouveau .scx s’il est distribué manuellement. Sous Windows avec un client compatible et sur macOS à partir de 2.1, un fichier .pro importé récupère les configurations via le VPN Portal. Après modification du port ou du protocole sous Remote access VPN > SSL VPN > SSL VPN global settings, l’utilisateur clique sur l’engrenage du profil puis sur Update policy. Sur macOS 2.0, les imports directs et la maintenance manuelle des profils restent nécessaires. La configuration du fichier de provisionnement est décrite dans Provisionnement Sophos Connect.

Documenté pour SFOS 22 : un profil SSL VPN importé est lié à l’identité utilisateur, au domaine et à la méthode d’authentification utilisés lors de l’import. Lors d’un passage d’AD à Entra ID SSO, par exemple, ou d’un changement de domaine, une configuration .pro ou .ovpn distincte doit être importée ; la réutilisation du même profil importé peut entraîner Login failed. Wrong fingerprint of certificate. Un fichier .ovpn contient des certificats et des clés privées propres à l’utilisateur. En revanche, un fichier .pro n’est pas en lui-même propre à un utilisateur : la configuration SSL VPN et les certificats ne sont générés qu’à l’import et sont associés à l’identité et à la méthode d’authentification utilisées. Cette restriction documentée pour SFOS 22 concerne SSL VPN, et non les profils IPsec .scx.

Ce comportement n’a pas été vérifié pour SFOS 23. Le guide correspondant ne contient pas la section consacrée à la liaison du profil et à ce message d’erreur. Cette absence ne prouve ni que la liaison a été supprimée, ni qu’elle reste inchangée. Lors d’un changement de domaine ou de méthode d’authentification, il est donc recommandé, par précaution, d’importer un profil SSL distinct depuis une source de confiance confirmée par le service informatique ; ce n’est pas une exigence confirmée de SFOS 23. Vérifiez d’abord avec le service informatique l’identité utilisateur, le domaine, la méthode d’authentification et le serveur cible prévus et, si nécessaire, obtenez un fichier .ovpn à jour depuis le VPN Portal confirmé ou utilisez la source .pro approuvée. Testez ensuite le couple client/profil en pilote. Si le message de fingerprint apparaît, arrêtez le déploiement et consignez, pour le service informatique ou Sophos, les versions du client et de SFOS, l’identité prévue, le domaine, la méthode d’authentification et l’entrée sous Events. Le message seul ne prouve ni l’expiration d’un certificat, ni une erreur de signature ou de chaîne de confiance. Ne contournez pas les vérifications des certificats.

Effectuez les modifications côté pare-feu à l’aide des guides Sophos Connect avec IPsec, accès à distance SSL VPN ou Entra ID SSO. Revenez ensuite ici pour tester en pilote le couple client/profil actualisé.

Valider et approuver le déploiement

La bonne version et un état vert ne suffisent pas. Consignez pour chaque combinaison :

• version cible correcte sous About ;
• connexion et MFA ou SSO conformes ;
• adresse VPN correcte ;
• DNS interne et cible représentative accessibles ;
• règle correspondante de la zone VPN visible dans Log Viewer ;
• split ou full tunnel conforme au modèle ;
• reconnexion après un changement de réseau et après la fermeture puis la réouverture de session fonctionnelles.

Si un test échoue, arrêtez le déploiement pour cette combinaison. Vérifiez la version, la limite du système et le profil chargé, puis notez l’heure, le message et l’entrée correspondante sous Events. Dépannage de Sophos Connect Client couvre le diagnostic des erreurs de connexion, DNS, authentification, policy et service ; ce guide ne duplique pas ce catalogue.

Revenir en arrière et escalader

Le retour restaure temporairement le service ; il ne constitue pas une solution durable pour un client obsolète ou vulnérable.

1. Arrêtez le déploiement et identifiez la combinaison touchée.
2. Désinstallez le client en échec par la même procédure.
3. Installez uniquement le paquet précédent approuvé et compatible.
4. Réimportez la source de profil conservée.
5. Retestez version, connexion, adresse VPN, DNS, cible interne, Log Viewer et reconnexion.
6. Documentez le résultat et ne relancez un pilote qu’après avoir compris la cause.

Si le retour échoue aussi, ouvrez trois points > About > Generate Technical Support Report. Le rapport contient des configurations VPN, des événements de connexion, des détails de provisionnement, des informations d’authentification SSO, des détails sur le navigateur et des informations sur l’endpoint. Les informations WebView2 concernent uniquement Windows. Conformément aux règles internes de confidentialité, transmettez ce rapport uniquement par un canal de transfert contrôlé à des destinataires autorisés. Pour l’escalade, réunissez les versions cible et initiale, le système d’exploitation, le type de profil, l’heure, le message d’erreur visible et le résultat du retour arrière ; n’incluez jamais de mots de passe, d’OTP ou de clés privées dans le texte du ticket.