Configurer Sophos Firewall IPsec VPN sur iPhone

Pour un accès à distance IPsec natif sur iPhone, le profil iOS est téléchargé directement depuis le VPN Portal de Sophos Firewall, puis installé dans les réglages système. Sophos Connect et OpenVPN Connect ne sont pas les outils d’importation à utiliser dans ce cas. Le fichier .ovpn et le guide distinct pour SSL VPN sur iPhone et iPad concernent un autre protocole.

Le parcours rapide consiste à vérifier la version d’iOS et l’approbation de la configuration, à se connecter au VPN Portal dans Safari, à ouvrir VPN > VPN configuration > IPsec VPN profile > Download for iOS, à contrôler et installer le profil, puis à vérifier le statut VPN et les destinations internes autorisées. Un téléchargement réussi ne signifie pas à lui seul que la connexion fonctionne.

Avant le téléchargement : clarifier la version et les autorisations

L’administration doit avoir configuré l’accès à distance IPsec et attribué la policy appropriée à l’utilisateur. Sans cette configuration, le téléchargement IPsec pour iOS n’apparaît pas. La présence d’un téléchargement SSL VPN ne prouve pas que l’utilisateur est autorisé à utiliser IPsec. La préparation côté pare-feu est décrite dans Configurer Sophos Connect sur Sophos Firewall ; les profils pour ordinateurs .scx et .pro de ce guide ne sont pas utilisés ici.

Avant l’installation, documenter :

le build SFOS et la version d’iOS utilisés, ainsi que l’approbation de cette combinaison par l’administration ;
l’adresse exacte du portail, l’utilisateur, la méthode d’authentification et le nom attendu du profil ;
l’application interne autorisée, les noms DNS internes et le fonctionnement prévu en tunnel fractionné ou complet ;
les profils VPN existants et la gestion éventuelle de l’iPhone par MDM ;
l’emplacement de l’installation des profils et du statut de connexion VPN dans la version d’iOS installée, ainsi que la procédure pour déconnecter précisément ce tunnel.

Les libellés des menus Apple ci-dessous sont indiqués en anglais ; ils peuvent être différents sur un appareil configuré dans une autre langue. Apple situe les profils installés sous Settings > General > VPN & Device Management. L’emplacement du commutateur VPN doit être identifié au préalable pour la version effectivement utilisée. Si l’installation de profils est bloquée sur un appareil administré, contacter l’administration plutôt que de supprimer la gestion de l’appareil ou des fonctions de sécurité.

Le client natif doit être compatible avec la méthode d’authentification prévue. Un guide Windows pour Sophos Connect avec OIDC ou Entra SSO ne garantit pas leur prise en charge par IPsec natif sur iOS. La MFA pour VPN Portal et Remote Access doit être évaluée séparément pour le portail et pour le tunnel. Si le second facteur exigé ne peut pas être mis en œuvre de manière sûre dans le parcours natif, arrêter le déploiement et choisir une autre solution approuvée ; ne pas désactiver la MFA pour résoudre un problème.

Télécharger et installer le profil dans Safari

Dans Safari, ouvrir l’adresse du VPN Portal confirmée par l’administration. Exemple : https://vpn.example.com:443. vpn.example.com est un nom de substitution à remplacer par le FQDN de votre portail ; 443 est le port par défaut. N’utiliser un autre port que sur instruction de l’administration. Résoudre les avertissements de certificat avant le téléchargement, sans les contourner durablement.
Se connecter avec son propre compte VPN et confirmer le second facteur prévu. Ouvrir VPN, puis, sous VPN configuration > IPsec VPN profile, toucher Download for iOS. Il ne s’agit ni du téléchargement SSL VPN pour appareils mobiles ni d’un package client Windows.
N’autoriser le téléchargement affiché que pour le profil attendu. Dans Settings, ouvrir Profile Downloaded. Vérifier avec l’administration l’origine du profil, l’organisation, la passerelle VPN et les réglages inclus. Ne pas installer sans contrôle des certificats inattendus ou des réglages de gestion supplémentaires.
Choisir ensuite seulement Install et effectuer les confirmations affichées, y compris la saisie du code de l’appareil. Apple supprime au bout de huit minutes un profil téléchargé qui n’a pas encore été installé ; s’il n’est plus disponible, le télécharger de nouveau depuis le portail confirmé. Un seul profil téléchargé peut être en attente d’installation à la fois. Si la protection en cas de vol de l’appareil, Stolen Device Protection, empêche l’installation, privilégier d’abord un lieu connu et la procédure de support approuvée, plutôt que de désactiver systématiquement cette protection.
Identifier le profil installé dans les réglages système. Dans les guides SFOS 22/23, Sophos décrit un établissement automatique de la connexion IPsec après le téléchargement. Cela ne constitue pas une garantie pour la version actuelle d’iOS : l’installation Apple et, le cas échéant, une authentification doivent être terminées. Vérifier le statut VPN réel ; si la connexion n’est pas établie, utiliser le commutateur VPN identifié au préalable pour ce profil et effectuer les étapes prévues de saisie des identifiants ou de MFA. Si le commutateur est absent ou si les demandes affichées diffèrent, ne pas improviser et contacter le support.

Traiter le profil comme un élément confidentiel et ne pas le transmettre à d’autres utilisateurs. Le SSO du portail, l’installation du profil et l’authentification du tunnel sont trois opérations distinctes ; la réussite de l’une ne prouve pas à elle seule celle des autres.

Vérifier la connexion avec un utilisateur pilote

Les contrôles suivants sont des étapes de validation, et non des tests déjà effectués sur un appareil. Réaliser le premier test hors du réseau Wi-Fi interne, sur un réseau externe approuvé, afin qu’un accès direct au LAN ne fausse pas le résultat.

Dans les réglages VPN d’iOS, vérifier que le profil attendu est connecté. L’administration contrôle l’utilisateur et la session sur le pare-feu.
Ouvrir une application interne autorisée avec son nom DNS documenté. Par exemple, https://intranet.example.com représente votre propre application approuvée ; remplacer ce nom de substitution par le nom interne réel. Vérifier séparément la résolution DNS et l’accès à l’application.
Une destination non autorisée, convenue avec l’administration, doit rester bloquée. Ne pas élargir les règles de pare-feu pour obtenir une réussite apparente.
Dans Log Viewer, l’administration vérifie que le trafic provenant de la zone VPN correspond à la règle attendue, limitée aux accès nécessaires ; la journalisation doit être activée pour ce contrôle. La procédure figure dans Vérifier les règles de pare-feu avec Log Viewer et Packet Capture.
Vérifier que le second facteur intervient là où la politique de sécurité l’exige. Une demande MFA dans le portail ne prouve pas que la MFA s’applique au tunnel IPsec. La validation comprend aussi une reconnexion et un passage contrôlé entre Wi-Fi et réseau mobile. Le trafic Internet doit respecter la conception convenue en tunnel fractionné ou complet.

Si le tunnel est établi mais que l’application reste inaccessible, examiner d’abord la policy, la règle, le chemin de retour et le DNS. Si le tunnel n’est pas établi, vérifier le profil, les autorisations de l’utilisateur, l’authentification et le chemin réseau IPsec. Le dépannage IPsec aide l’administration à cerner la cause ; désactiver la validation des certificats ou la MFA n’est pas une étape de diagnostic.

Déconnecter la connexion et remplacer les profils de manière contrôlée

Pour déconnecter la connexion concernée, Sophos indique Settings > General > VPN > Status. Ce libellé issu des sources n’est pas un chemin universel pour les versions actuelles d’iOS. Ouvrir la section VPN identifiée lors des vérifications préalables, sélectionner précisément sa propre connexion et la déconnecter en modifiant son statut. Vérifier ensuite que le tunnel n’est plus connecté et qu’une nouvelle requête vers l’application de test accessible exclusivement par VPN ne fonctionne plus. Ne pas se fier à des pages déjà chargées dans le navigateur. Si une configuration administrée empêche la déconnexion ou rétablit la connexion, faire intervenir le responsable MDM plutôt que de supprimer d’autres profils.

Réinstaller après des modifications administratives

Lorsqu’un tunnel qui fonctionnait auparavant ne se connecte plus après une modification de configuration, Sophos demande de réinstaller la configuration. IPsec natif sur iOS n’utilise pas ici le provisioning automatique de Sophos Connect.

Avant le remplacement, documenter le nom du profil, sa version, le motif du changement et la procédure de retour arrière approuvée par l’administration. Convenir d’un créneau, car le remplacement interrompt l’accès. Ne pas réinitialiser globalement tous les profils réseau ou les réglages de l’appareil.
Déconnecter le tunnel et télécharger de nouveau le profil IPsec actuel pour iOS depuis le VPN Portal dans Safari. L’administration doit déterminer s’il remplace le profil existant ou s’il faut d’abord supprimer précisément cet ancien profil. Pour un profil MDM, le remplacement suit la procédure de gestion correspondante.
Contrôler et installer le nouveau profil comme indiqué ci-dessus. Vérifier ensuite de nouveau la connexion, les exigences MFA, le DNS et les destinations autorisées et bloquées. Ne pas conserver sans contrôle plusieurs profils portant le même nom.
Si la validation échoue, déconnecter le nouveau tunnel et arrêter le déploiement. Ne réutiliser un ancien profil que si l’administration confirme que la passerelle, les clés ou certificats et les autorisations restent valides. Après des changements de sécurité, il ne constitue pas un retour arrière fiable. Supprimer de manière ciblée les anciens téléchargements et les profils obsolètes uniquement après une validation réussie.

Remplacer l’appareil, gérer sa perte ou retirer l’accès

Avant la suppression, examiner le profil concerné et son contenu sous Settings > General > VPN & Device Management. Ne confirmer la suppression proposée que pour le profil VPN identifié sans ambiguïté et après approbation. Apple précise que la suppression d’un profil peut aussi supprimer les réglages, applications et données qui lui sont associés. Ne pas supprimer un profil de gestion partagé en pensant simplement nettoyer les profils VPN. Si la suppression est bloquée, l’équipe de gestion doit effectuer le retrait.

Après le retrait, vérifier que le profil est absent et qu’aucune nouvelle connexion n’est possible. En cas de perte de l’appareil ou de départ de l’utilisateur, retirer également les autorisations de l’utilisateur ou du groupe côté serveur, terminer les sessions VPN existantes et demander à l’administration de déterminer les mesures à prendre pour les clés ou certificats éventuellement exposés. Supprimer uniquement le fichier local ne révoque aucune autorisation VPN. Les copies du profil présentes dans les téléchargements et les sauvegardes doivent également être prises en compte dans la procédure de retrait.