Configurer Sophos SSL VPN sur Android

Sophos Connect ne prend pas directement en charge Android pour IPsec ou SSL VPN. Si un smartphone ou une tablette Android doit être connecté via Sophos Firewall Remote Access, un client compatible OpenVPN est nécessaire. Dans de nombreux environnements, OpenVPN Connect est le standard évident, car Sophos Firewall fournit une configuration .ovpn pour les clients mobiles.

Cet article décrit le processus pratique pour Sophos SSL VPN sur Android : installer l’application, obtenir la configuration .ovpn, importer le profil, tester la connexion et identifier les erreurs courantes. Pour la décision fondamentale entre Sophos Connect, SSL VPN, IPsec, clients mobiles et ZTNA, consultez d’abord Sophos Connect ou SSL VPN : Quelle solution d’accès à distance convient ?.

Quand SSL VPN sur Android est pertinent

SSL VPN sur Android est pertinent lorsque les utilisateurs mobiles doivent accéder occasionnellement à des systèmes internes et qu’un profil VPN classique suffit.

Exemples typiques :

• Accès à des applications Web internes
• Accès administrateur à quelques systèmes via une tablette
• Accès à des outils internes via des applications définies
• Accès temporaire sans client portable géré
• Solution de transition lorsque ZTNA ou App-Proxy n’est pas encore disponible

Pour un accès permanent à de nombreux systèmes internes, un appareil mobile n’est souvent pas la meilleure plateforme cible. Il convient alors d’examiner si un client Windows ou macOS géré avec Sophos Connect, un accès ZTNA plus ciblé ou un autre design d’accès à distance est plus approprié.

Comparaison avec d’autres clients

Cette procédure s’applique aux appareils Android qui se connectent à Sophos Firewall sous SFOS. Selon la plateforme ou la situation de départ, un autre point d’entrée peut être plus approprié :

• Configurer SSL VPN sur Android : Cet article.
• Configurer SSL VPN avec Sophos Connect sur Windows : Configurer Sophos SSL VPN avec Sophos Connect sur Windows.
• Configurer SSL VPN avec Sophos Connect sur macOS : Configurer Sophos SSL VPN avec Sophos Connect sur macOS.
• Configurer SSL VPN sur iPhone et iPad : Configurer Sophos SSL VPN sur iPhone et iPad.
• Installer Sophos Connect sur Windows : Installer Sophos Connect Client sur Windows.
• Installer Sophos Connect sur macOS : Installer Sophos Connect Client sur macOS.

Il est important de faire la distinction : Sophos Connect n’est pas le client SSL VPN direct pour Android. Si les appareils mobiles doivent être pris en charge, il doit être clairement défini en interne quel client compatible OpenVPN est utilisé, d’où proviennent les profils et qui est responsable en cas de changement d’appareil.

Prérequis

Avant la configuration, les points suivants doivent être clarifiés :

• Sophos Firewall avec accès à distance SSL VPN configuré
• Utilisateur avec autorisation pour SSL VPN
• Accès au portail VPN ou fichier .ovpn fourni administrativement
• Client compatible OpenVPN sur Android
• MFA/OTP configuré, si l’accès à distance est protégé par celui-ci
• Certificat valide pour le portail VPN et l’accès au pare-feu, si possible
• Règles de pare-feu pour le trafic provenant de la zone VPN
• Conception de tunnel fractionné ou de tunnel complet clarifiée
• Processus de support pour le changement d’appareil, les appareils perdus et les anciens profils

Avant une mise à niveau vers SFOS 22.0 MR1 ou plus récent, il convient également de vérifier si des configurations d’accès à distance IPsec anciennes sont encore présentes. SSL VPN n’est pas directement affecté, mais de nombreux environnements réévaluent l’accès à distance à ce moment-là. Le processus est décrit dans Migrer l’accès à distance IPsec hérité avant SFOS 22 MR1.

Préparer le pare-feu et le portail VPN

La configuration Android n’est que la dernière étape. Auparavant, la configuration du pare-feu doit être correcte.

Sur le Sophos Firewall, les points suivants doivent être vérifiés :

1. Ouvrir Remote access VPN.
2. Configurer SSL VPN pour les utilisateurs ou groupes nécessaires.
3. Utiliser un pool d’IP VPN sans chevauchement avec LAN, WLAN, VLANs, VPN site-à-site ou réseaux domestiques typiques.
4. Définir les serveurs DNS et suffixes de domaine de manière appropriée si des noms internes sont utilisés.
5. Activer MFA pour l’accès à distance et tester avec un utilisateur de test.
6. Créer une règle de pare-feu de VPN vers la zone cible nécessaire.
7. Activer la journalisation pour la phase d’introduction.
8. Autoriser le portail VPN via Administration > Device access uniquement dans la mesure nécessaire.

Le processus complet côté pare-feu est décrit dans Configurer l’accès à distance SSL VPN sur Sophos Firewall.

Le portail VPN est un point d’entrée accessible publiquement. S’il doit être accessible depuis Internet, le certificat, MFA, la limitation par pays/source et la vérification des journaux doivent être planifiés consciemment. Pour le renforcement, consultez Accès aux appareils et ACL de service local sur Sophos Firewall.

1. Installer OpenVPN Connect

Installer OpenVPN Connect depuis Google Play : OpenVPN Connect.

Si un autre client compatible OpenVPN est standardisé dans l’environnement, cette décision doit être documentée. Cela devient problématique lorsque les utilisateurs utilisent simultanément différentes applications VPN, des anciens profils et des instructions différentes.

Pour le support et l’exploitation, il convient de définir :

• quel client est pris en charge
• quelle version de l’application est attendue au minimum
• si les utilisateurs peuvent installer l’application eux-mêmes
• comment les profils sont distribués et retirés
• comment les appareils perdus ou remplacés sont traités

2. Ouvrir le portail VPN

Sur l’appareil Android, ouvrir le portail VPN de Sophos Firewall dans le navigateur. L’adresse par défaut est :

https://<Firewall-FQDN-oder-IP>:443

Si l’administration a configuré un autre VPN portal HTTPS port, ce port doit être utilisé. Pour l’accès direct dans un cluster HA, Sophos indique le FQDN ou l’adresse IP de l’appliance initialement primaire. En production, il convient toutefois d’utiliser le FQDN commun du portail qui a été documenté.

Se connecter ensuite avec l’utilisateur VPN. Le portail VPN et les téléchargements SSL VPN ne s’affichent que si l’utilisateur ou son groupe est affecté à une politique SSL VPN d’accès à distance. Si le téléchargement est absent, il faut donc commencer par vérifier cette affectation plutôt que l’application OpenVPN.

Si le portail VPN est ouvert avec un certificat invalide ou non fiable, la cause doit être corrigée. Une exception de navigateur permanente n’est pas une bonne norme d’exploitation pour l’accès à distance en production.

Avec Sophos OTP, un nouvel utilisateur doit d’abord scanner le code QR dans le portail VPN et enregistrer le jeton dans une application d’authentification. Il faut ensuite tester le processus de connexion réel avec un utilisateur de test : selon le client et la méthode MFA, le mot de passe et l’OTP sont traités ensemble ou au cours d’étapes distinctes. Une MFA basée sur un challenge ou fournie par un service externe doit donc être testée avec le client Android prévu avant un déploiement généralisé. Les bases sont décrites dans Activer MFA pour Sophos Firewall WebAdmin, portail VPN et accès à distance.

3. Télécharger la configuration OVPN

Dans le portail VPN, ouvrir VPN > VPN configuration. Sous SSL VPN configuration, appuyer sur Download for Android and iOS. Sophos Firewall fournit ainsi le fichier .ovpn prévu pour les clients OpenVPN mobiles.

Le fichier téléchargé a normalement l’extension .ovpn. Ce fichier est spécifique à l’utilisateur et ne doit pas être partagé avec d’autres utilisateurs.

Important :

• Le fichier doit provenir de la configuration actuelle du pare-feu.
• Les anciens fichiers provenant d’archives d’e-mails, de discussions ou de dossiers de téléchargement ne doivent pas être réutilisés.
• Si un tunnel auparavant fonctionnel ne se connecte plus après une modification administrative, le fichier doit être téléchargé et importé à nouveau. Les changements de port SSL VPN, de protocole, de passerelle ou Override Hostname, ainsi que de certificat de serveur SSL, sont particulièrement concernés.
• Les changements d’affectation des utilisateurs ou des groupes ne sont pas corrigés par l’importation d’un profil. Ils doivent être rectifiés dans la politique d’accès à distance et sur le serveur d’authentification.
• Si un utilisateur quitte l’entreprise ou si un appareil est perdu, l’accès utilisateur, l’appartenance au groupe et la distribution du profil doivent être vérifiés.

4. Importer le profil dans OpenVPN Connect

Si Android ne propose pas automatiquement l’importation, le fichier .ovpn peut être transmis à OpenVPN Connect au moyen de la fonction de partage. Il est également possible d’ouvrir Menu > My Profiles > Add > Upload File dans OpenVPN Connect, puis de sélectionner le fichier .ovpn enregistré. Confirmer ensuite l’importation.

Lors du premier établissement de la connexion, OpenVPN Connect demande l’autorisation Android de créer une connexion VPN. Cette autorisation doit être accordée pour que l’application puisse établir le tunnel.

En cas de plusieurs profils, le nom doit être clair, par exemple avec le lieu, l’environnement ou le nom de l’entreprise. Plusieurs profils presque identiques sont une cause fréquente de demandes d’assistance.

5. Établir la connexion VPN

Activer le profil importé et se connecter avec l’utilisateur VPN. Si MFA ou OTP est actif, le second facteur doit être confirmé selon la configuration du pare-feu.

Après une connexion réussie, l’application OpenVPN ne doit pas seulement indiquer qu’elle est connectée. Il est crucial de vérifier si les cibles internes prévues sont accessibles et si le trafic sur le pare-feu correspond à la règle correcte.

Vérifications après la configuration

Au minimum, ces points doivent être vérifiés avec un utilisateur de test :

• OpenVPN Connect affiche la connexion comme connectée.
• Android affiche le statut VPN dans la barre d’état ou dans les paramètres réseau.
• L’utilisateur reçoit une adresse IP du pool SSL VPN attendu.
• Les noms DNS internes sont résolus correctement.
• Les serveurs, applications Web ou services nécessaires sont accessibles.
• Le comportement Internet correspond à la conception : tunnel fractionné ou tunnel complet.
• Dans le Log Viewer, la règle de pare-feu attendue pour le trafic de la zone VPN est visible.
• MFA est demandé comme prévu.
• Tester la connexion après le mode avion, le changement de Wi-Fi ou de réseau mobile.
• Les anciens profils ont été supprimés ou clairement marqués comme obsolètes.

Si la connexion est établie mais qu’aucun accès ne fonctionne, la cause se trouve souvent non pas sur le client mobile, mais dans les règles de pare-feu, DNS, routage ou NAT. Pour l’analyse, consultez Tester la règle de pare-feu avec Log Viewer, Policy Test et Packet Capture.

Distribution manuelle ou MDM ?

Pour quelques appareils Android, l’importation manuelle via le portail VPN, le dossier de téléchargement et OpenVPN Connect peut suffire. Dès que plusieurs utilisateurs, des smartphones gérés ou des changements d’appareils réguliers sont impliqués, la distribution des profils doit être planifiée consciemment. Sinon, les anciens fichiers .ovpn restent dans les téléchargements, les discussions, les e-mails ou les stockages cloud privés et sont réutilisés lors des cas de support ultérieurs.

Variantes courantes :

• Importation manuelle : adaptée à un petit nombre d’appareils, à un groupe pilote ou à un usage occasionnel. Il faut notamment une procédure claire, un profil à jour, un test de la MFA et la suppression des anciens profils.
• Distribution via MDM ou gestion des terminaux : adaptée aux appareils Android administrés, à de nombreux utilisateurs ou à des changements récurrents. Il faut notamment gérer le déploiement de l’application, la version du profil, la perte d’un appareil, le retrait des anciens profils et le processus de support.

L’important est le retrait. Si un appareil Android est remplacé, un utilisateur quitte ou une politique SSL VPN est modifiée, il ne suffit pas de fournir un nouveau profil. Les anciens profils, les appartenances aux groupes, les identifiants enregistrés et les copies de fichiers éventuellement présentes doivent également être vérifiés.

Exploitation et sécurité

Les profils VPN mobiles nécessitent des règles d’exploitation claires. Les appareils Android changent souvent entre Wi-Fi, réseau mobile, hotspots et portails captifs. De plus, les appareils mobiles se perdent plus facilement ou sont remplacés plus rapidement que les ordinateurs portables d’entreprise classiques.

Bonnes pratiques :

• Mettre régulièrement à jour OpenVPN Connect.
• Activer et tester MFA pour l’accès à distance.
• Vérifier régulièrement les groupes VPN.
• Limiter le portail VPN via Device Access et Local Service ACL autant que possible.
• Garder les règles de pare-feu pour la zone VPN strictes et les journaliser.
• Supprimer les anciens fichiers .ovpn et les profils obsolètes.
• Prendre en compte les changements d’appareil et les appareils perdus dans le processus de support.
• Envisager Syslog ou une évaluation centrale pour une conservation prolongée des journaux.

Pour les fichiers journaux et les journaux de service, Dépannage Sophos Firewall : Services et journaux est utile.

Battery Saver, Always-on VPN et Captive Portals

OpenVPN Connect propose sur Android plusieurs options qui influencent fortement l’établissement de la connexion. Elles ne doivent être activées qu’en connaissance de cause :

• Battery Saver, sous Menu > Settings, met le tunnel VPN en pause dès que l’écran s’éteint. Cette option économise de l’énergie, mais ne convient pas si des applications en arrière-plan doivent accéder en permanence à des ressources internes.
• Captive Portal Detection facilite l’utilisation des réseaux Wi-Fi d’hôtels, d’invités ou d’aéroports, sur lesquels une page de connexion doit d’abord être validée. Si le tunnel ne se connecte plus après un changement de réseau, il faut vérifier cette option ainsi que la connexion au portail dans le navigateur.
• Always-on VPN s’active dans les paramètres système Android pour OpenVPN Connect. Associé à Block connections without VPN, il produit un comportement de type kill switch. Cela évite le trafic hors tunnel, mais peut aussi bloquer tout accès réseau si le profil a expiré, si le pare-feu est inaccessible ou si un portail captif doit être validé.

Ces options ne sont pas indispensables pour un accès manuel occasionnel. Un scénario Always-on administré exige en revanche une procédure de repli et de support testée. Il faut désactiver l’optimisation de la batterie Android pour OpenVPN Connect si le système interrompt autrement le tunnel permanent attendu.

Erreurs typiques

Le fichier OVPN ne s’ouvre pas

Vérifiez d’abord si OpenVPN Connect est installé et si le fichier est bien au format .ovpn. Ensuite, téléchargez à nouveau le fichier depuis le portail VPN ou transmettez-le à OpenVPN Connect via la fonction de partage.

Si le fichier est distribué via MDM, e-mail ou partage de fichiers, il convient de vérifier s’il a été modifié, renommé ou bloqué en cours de route. Pour l’importation d’un fichier, OpenVPN Connect exige un profil ASCII ou UTF-8 de moins de 256 KB. Si un profil modifié manuellement fait référence à des fichiers de certificat ou de clé externes, ceux-ci doivent également être disponibles lors de l’importation. Le fichier .ovpn généré par Sophos doit donc être utilisé sans modification dans la mesure du possible.

L’importation fonctionne, mais pas la connexion

Il est alors fréquent que l’autorisation Android pour la configuration VPN ne soit pas correctement accordée ou que le profil ne corresponde pas à la configuration actuelle du pare-feu. Supprimez le profil, obtenez à nouveau le fichier .ovpn actuel et importez-le à nouveau.

Si plusieurs profils portent des noms presque identiques, commencez par vérifier lequel est réellement activé. Lors d’importations répétées de profils portant le même nom, OpenVPN Connect ajoute des suffixes tels que (1) ou (2). Les anciennes variantes doivent être supprimées après un test concluant.

L’authentification échoue

Vérifiez l’utilisateur, le mot de passe, MFA, l’appartenance au groupe et le serveur d’authentification. Si AD, RADIUS ou Microsoft Entra ID SSO est impliqué, l’authentification doit être testée séparément du VPN. Un problème de connexion n’est pas automatiquement un problème OpenVPN.

La connexion est établie, mais les systèmes internes ne sont pas accessibles

Vérifiez DNS, règles de pare-feu, routage, NAT et chemin de retour. Dans le Log Viewer, le trafic de la zone VPN doit être visible. Si aucun journal n’apparaît, le trafic n’atteint probablement pas la règle attendue ou la journalisation est désactivée.

Pour certains systèmes internes, le problème ne vient souvent pas du VPN lui-même, mais d’une règle de pare-feu manquante, d’un nom DNS incorrect ou d’une route de retour dans le réseau cible.

Si de petits accès fonctionnent, mais que les transferts de fichiers plus importants ou certaines applications sont bloqués, MTU/MSS doit également être vérifié : Vérifier MTU et MSS de Sophos Firewall en cas de problèmes VPN.

Les noms internes ne sont pas résolus

Vérifiez les serveurs DNS et le domaine de recherche dans la configuration SSL VPN. Ensuite, testez si les systèmes internes sont accessibles par adresse IP. Si l’IP fonctionne mais pas le nom, la cause est probablement liée à DNS, pas à la connexion VPN elle-même.

La connexion se coupe lors du changement de réseau

Pour les appareils mobiles, les changements de Wi-Fi, de réseau mobile, les portails captifs et les mécanismes d’économie d’énergie sont des causes typiques. Testez avec un deuxième réseau et vérifiez si le comportement est reproductible.

Dans OpenVPN Connect, vérifiez également Captive Portal Detection, Battery Saver ainsi que les paramètres de lancement et de reconnexion. Avec Always-on VPN, Android doit être autorisé à exécuter l’application en arrière-plan. Si les utilisateurs changent souvent de réseau, il convient en outre de vérifier si l’application utilisée tolère de brèves interruptions du VPN ou si un autre modèle d’accès est plus approprié.

Liste de contrôle

Avant le déploiement

• Client OpenVPN pris en charge défini.
• Groupe d’utilisateurs SSL VPN vérifié.
• MFA pour l’accès à distance testé.
• Portail VPN accessible avec un certificat valide.
• Accès aux appareils et accès depuis Internet consciemment limité.
• Règles de pare-feu pour la zone VPN créées et journalisées.
• Tunnel fractionné ou tunnel complet documenté.
• Distribution des profils et processus de changement d’appareil clarifiés.

Après l’importation

• Profil visible dans OpenVPN Connect.
• Autorisation VPN Android confirmée.
• Connexion établie avec un utilisateur de test.
• DNS, cibles internes et correspondance des règles de pare-feu vérifiés.
• Wi-Fi, réseau mobile et changement de réseau testés.
• Anciens profils supprimés.

En exploitation

• Maintenir l’application OpenVPN et Android à jour.
• Vérifier régulièrement les groupes d’utilisateurs.
• Supprimer les anciens profils lors de départs ou de pertes d’appareils.
• Vérifier les journaux VPN en cas de support.
• En cas de problèmes mobiles récurrents, envisager ZTNA ou un accès basé sur une application.

FAQ