Configurare Sophos Connect su Sophos Firewall

Sophos Connect si configura sul firewall in Remote access VPN > IPsec. Perché la connessione funzioni, profilo IPsec, autenticazione, gruppo utenti, pool IP, DNS, regole firewall e profilo client distribuito devono essere coerenti. Questo articolo descrive la configurazione completa lato firewall per IPsec Remote Access.

Per SSL VPN si applica la guida separata Configurare Sophos Firewall SSL VPN Remote Access. Chi deve ancora scegliere tra IPsec, SSL VPN, client mobili e ZTNA può iniziare da Sophos Connect o SSL VPN: quale soluzione Remote Access è adatta?.

Configurazione in breve

1. In Remote access VPN > IPsec, attivare IPsec Remote Access e scegliere l’interfaccia WAN e un profilo IKEv1 consentito.
2. Configurare PSK o certificati digitali e definire Local/Remote ID.
3. Selezionare gli utenti autorizzati o il loro gruppo principale e verificare l’opzione del gruppo.
4. Inserire nome della connessione, pool IP e server DNS interni.
5. Definire Split o Full Tunnel e le altre Advanced Settings.
6. Configurare le regole firewall e le voci necessarie in Administration > Device access.
7. Esportare il file .scx, importarlo con un utente di test e verificare nuovamente la connessione dopo il riavvio del client.

Requisiti e pianificazione

Servono accesso amministrativo a WebAdmin, un intervallo di indirizzi VPN libero, server DNS interni per i nomi interni, reti e servizi di destinazione definiti e utenti o gruppi con un concetto MFA. Prima di un aggiornamento a SFOS 22.0 MR1 o versione successiva, migrare Legacy Remote Access IPsec, perché questa configurazione precedente può bloccare l’upgrade.

Prima della configurazione, definire:

• utenti locali, gruppo principale AD, RADIUS o Microsoft Entra ID SSO;
• un pool VPN dedicato senza sovrapposizioni con LAN, WLAN, VLAN, VPN Site-to-Site o comuni reti domestiche;
• server DNS interni e, se necessario, un suffisso DNS;
• server, reti e servizi consentiti invece dell’accesso indiscriminato alla LAN;
• Split o Full Tunnel;
• MFA, processo di supporto, distribuzione dei profili e aggiornamenti del client;
• un percorso di fallback documentato nel caso in cui un nuovo profilo o una nuova versione del client causi problemi.

Per la configurazione MFA, consultare Configurare Sophos Firewall MFA.

Usare correttamente i tipi di profilo

• .scx: profilo Sophos Connect per IPsec con impostazioni generali e avanzate.
• .tgb: profilo IPsec per client meno recenti o di terze parti, solo con impostazioni generali.
• .ovpn: profilo SSL VPN proveniente dalla configurazione SSL VPN o dal VPN Portal.
• .pro: file di provisioning per Windows 10 e 11 che carica le configurazioni tramite il VPN Portal dopo l’accesso e acquisisce automaticamente le modifiche successive. Su macOS, il profilo IPsec viene importato come .scx.

Per i nuovi rollout IPsec con Sophos Connect, .scx è lo standard appropriato. Dopo modifiche generali a IPsec, occorre esportare nuovamente .scx e .tgb; se cambiano solo le Advanced Settings, è sufficiente un nuovo .scx. Se cambia un valore nel file .pro, ad esempio la porta del VPN Portal, occorre aggiornare anche questo file.

Il provisioning semplifica la distribuzione, ma rende il client dipendente dal VPN Portal. Se deve essere raggiungibile da Internet, limitare il più possibile l’accesso in Administration > Device access. Un portale permanentemente accessibile in modo ampio aumenta la superficie di attacco; per i dettagli, consultare Device Access e Local Service ACL su Sophos Firewall.

Configurare IPsec Remote Access

Nelle versioni SFOS attuali, la configurazione si trova in Remote access VPN > IPsec. Le interfacce meno recenti e lo screenshot presente possono ancora mostrare VPN > Sophos Connect Client.

Interfaccia WAN e profilo IPsec

Attivare IPsec remote access e scegliere l’interfaccia WAN attraverso la quale i client raggiungono il firewall. Indirizzo IP pubblico o DynDNS/FQDN, router a monte, port forwarding e comportamento del failover WAN devono essere coerenti.

Per IPsec Remote Access, SFOS consente solo profili IKEv1 nei quali Dead Peer Detection è disattivato o impostato su Disconnect. Il profilo determina i parametri IKE e IPsec e deve essere coerente con il concetto di sicurezza e con tutti i client distribuiti.

Autenticazione e ID

Per l’autenticazione si utilizzano normalmente Preshared key o Digital certificate. Un PSK è rapido da configurare, ma deve essere protetto con attenzione e sostituito in tutti i profili interessati in caso di sospetto. MFA protegge inoltre l’accesso dell’utente, ma non sostituisce il PSK o il certificato.

In SFOS 22.0, ai certificati digitali si applicano condizioni specifiche:

• IPsec supporta certificati RSA, ma non ECDSA.
• Local e Remote Certificate devono avere una Certificate ID.
• External certificate non deve essere selezionato per questa connessione.
• I certificati firmati localmente e quelli di terze parti non possono essere combinati arbitrariamente. Utilizzare su entrambi i lati certificati generati sul firewall oppure certificati firmati dalla stessa CA di terze parti e caricare sul firewall la relativa Signing CA.

Sophos consiglia una Local ID per il firewall e una Remote ID diversa per i client. Sono possibili nome DNS, indirizzo IP, e-mail e, per i certificati, DER ASN1 DN [X509]. Gli ID non sono nomi visualizzati liberamente intercambiabili: profilo e firewall devono utilizzare gli stessi valori previsti.

Prima del rollout, verificare anche validità, chiavi private, processo di rinnovo e distribuzione dei certificati. Un successivo cambio di certificato riguarda non solo il firewall, ma anche i profili esportati e il collaudo sui client.

Utenti e gruppi

In Allowed users and groups, inserire solo utenti o gruppi autorizzati. Per gli utenti di directory, IPsec Remote Access considera il gruppo principale. Per l’accesso basato sui gruppi, un gruppo VPN dedicato deve quindi essere utilizzato come gruppo principale. Se non è possibile, autorizzare singoli utenti; non autorizzare un gruppo principale ampio solo a causa di un gruppo VPN secondario.

Inoltre, verificare in Authentication > Groups che IPsec remote access sia attivato per il gruppo principale. Per i gruppi AD importati e i gruppi migrati, l’opzione è disattivata per impostazione predefinita; per i nuovi gruppi locali è attivata. Se un utente appartiene a più gruppi, si applica la policy del gruppo in cima all’elenco; le policy individuali dell’utente hanno la precedenza. L’ordine dei gruppi è spiegato più dettagliatamente in Collegare Active Directory a Sophos Firewall.

Se IPsec Remote Access viene disattivato per un gruppo, il firewall disconnette gli utenti attivi del gruppo e impedisce loro di accedere nuovamente. Prima del primo accesso classico a Sophos Connect, un utente AD deve normalmente autenticarsi con un altro Authentication Client, ad esempio il portale utente. Con il provisioning .pro, il firewall può creare e assegnare l’utente al primo accesso. I Guest users non sono supportati per Remote Access.

Nome della connessione, pool IP e DNS

Assegnare un nome comprensibile per utenti e supporto, ad esempio homeoffice o remote-access-ipsec. L’intervallo di lease IPsec deve rientrare in una subnet di almeno /24, ad esempio da 10.250.10.10 a 10.250.10.200 in 10.250.10.0/24. Non deve essere utilizzato contemporaneamente per SSL VPN, L2TP o PPTP, né sovrapporsi a reti interne, reti Site-to-Site o comuni reti domestiche come 192.168.0.0/24 e 192.168.1.0/24.

La dimensione dipende dal numero massimo di utenti simultanei. Documentare il pool, gli indirizzi riservati e le regole firewall associate nell’IPAM o nella documentazione di rete, affinché modifiche successive non provochino sovrapposizioni non rilevate.

Per i FQDN interni, distribuire i server DNS interni e, se necessario, un suffisso DNS. Resolver esterni come 1.1.1.1, 8.8.8.8, 9.9.9.9 o 208.67.222.222 non risolvono le zone interne. Il tunnel può quindi risultare attivo anche se le applicazioni non funzionano a causa di risposte DNS errate.

Idle Time e Advanced Settings

Impostare Disconnect when tunnel is idle e l’intervallo in modo da terminare le connessioni inutilizzate senza interrompere inutilmente le normali sessioni di lavoro. Se Sophos Connect non riesce a riconnettersi automaticamente dopo un Idle Disconnect, selezionare prima Disconnect e poi Connect nel client.

Timeout brevi sono più adatti agli accessi amministrativi sporadici, timeout più lunghi alle sessioni di lavoro stabili. Con OTP/MFA, occorre testare la riconnessione con il valore scelto e informare l’helpdesk.

Le Advanced Settings vengono incluse solo in .scx, non in .tgb:

• Use as default gateway: Full Tunnel per tutto il traffico oppure Split Tunnel solo verso le risorse interne.
• Permitted network resources: reti raggiungibili tramite Split Tunnel.
• Send Security Heartbeat through tunnel: inviare l’heartbeat di Sophos Endpoint attraverso il tunnel VPN.
• Allow users to save username and password: attivare solo se compatibile con il concetto MFA e di sicurezza.
• Prompt users for 2FA token: mostrare un campo OTP separato.
• Run AD logon script after connecting: attivare solo gli script necessari, come la mappatura delle unità, e testarli con un utente di prova.
• Connect tunnel automatically: stabilire automaticamente il tunnel all’accesso dell’utente.

Quando Prompt users for 2FA token è attivato, lo strumento da riga di comando SCCLI non funziona. Inoltre, Sophos Connect non supporta le richieste OTP basate su challenge; password e OTP vengono tecnicamente trasmessi al server di autenticazione nel formato passwordotp.

Dopo il salvataggio, esportare la configurazione tramite Export connection e distribuirla in modo protetto. I profili contengono dati di connessione sensibili alla sicurezza e non devono essere archiviati in posizioni aperte.

Regole firewall e Device Access

Sophos Connect stabilisce soltanto il tunnel. L’accesso operativo richiede comunque regole firewall. Per le destinazioni interne, creare una regola il più possibile restrittiva da VPN alla zona di destinazione necessaria e attivare il logging almeno durante l’introduzione.

• Source Zone: VPN
• Destination Zone: LAN o la zona interna effettivamente necessaria

Con Full Tunnel tramite Use as default gateway, serve anche una regola da VPN a WAN e un design NAT e Security Policy appropriato.

• Source Zone: VPN
• Destination Zone: WAN

In Administration > Device access, consentire IPsec dalla zona WAN necessaria. Abilitare il VPN Portal solo per download o provisioning dalle zone realmente necessarie. Se il firewall viene utilizzato come resolver DNS o destinazione ping, occorre consentire anche DNS o Ping dalla zona VPN.

Per analizzare le regole, consultare Testare una regola firewall con Log Viewer, Policy Test e Packet Capture. Dopo l’introduzione, stabilire consapevolmente quali regole Remote Access registrare in modo permanente e quali eventi inviare anche a Sophos Central o Syslog. Con Full Tunnel, Web Protection, Application Control e le altre policy di sicurezza si applicano come per le altre reti client.

Collaudare e gestire la connessione

Installare quindi Sophos Connect su Windows o macOS e verificare con un utente di prova:

• il profilo viene importato senza errori e l’accesso con MFA funziona;
• il client riceve un indirizzo dal pool previsto;
• i FQDN interni e i sistemi centrali sono raggiungibili;
• Log Viewer mostra hit sulla regola prevista;
• Split Tunnel blocca le destinazioni non autorizzate oppure Full Tunnel instrada il traffico Internet come previsto attraverso firewall e NAT;
• la riconnessione funziona dopo un cambio di rete e dopo il riavvio del client o dell’endpoint;
• il client di test utilizza la versione documentata del profilo e il provisioning acquisisce le modifiche in modo verificabile.

Per il successivo esercizio, documentare:

• gruppo VPN responsabile e processo di uscita;
• reset MFA e blocco o sblocco degli utenti;
• versione attuale del profilo o data della modifica;
• percorsi di log e supporto noti all’helpdesk;
• nuova verifica di Legacy Remote Access IPsec e dei profili client prima degli upgrade SFOS.

Per le modifiche a pool, DNS, gateway, certificati, gruppi o Advanced Settings, definire un responsabile, la data della modifica, un percorso di fallback e un nuovo test di accettazione.

Troubleshooting

Failed to validate certificate dopo un riavvio

Se la prima connessione funziona, ma dopo il riavvio dell’endpoint o di Sophos Connect compare Failed to validate certificate, spesso Local e Remote Certificate non sono firmati dalla stessa CA.

Controllare che Local e Remote Certificate abbiano un’assegnazione CA coerente e le rispettive Certificate ID. Utilizzare certificati generati sul firewall o firmati dalla stessa CA di terze parti, caricare sul firewall la Signing CA del fornitore oppure passare a PSK. Esportare e importare quindi nuovamente il profilo e ritestare la connessione dopo un altro riavvio.

L’utente non riesce ad accedere

Verificare innanzitutto che il gruppo principale sia inserito in Allowed users and groups e che IPsec remote access sia attivato in Authentication > Groups. Controllare poi server di autenticazione, MFA, stato della password, utente bloccato e accesso iniziale richiesto. Testare prima AD, RADIUS o Entra ID separatamente dalla VPN. Con Microsoft Entra ID SSO, i metodi in Authentication > Services devono essere assegnati correttamente prima dell’esportazione del profilo.

Se compare no IKE config found, confrontare anche profilo IPsec, Local ID e Remote ID tra firewall e profilo client. Se il problema riguarda solo alcuni utenti di directory, controllare anche gruppo principale, UPN, indirizzo e-mail e mapping dei gruppi. Sophos Connect supporta solo caratteri ASCII nei nomi utente; nomi con caratteri accentati o altri caratteri UTF-8/UTF-16 possono quindi non funzionare anche con la password corretta.

La connessione è attiva, ma manca il traffico o Internet

In Log Viewer, verificare se il traffico proveniente dalla zona VPN raggiunge la regola prevista. Se non ci sono hit, controllare route del client, Permitted network resources, reti di origine e destinazione e Packet Capture; se ci sono hit, restringere l’analisi a routing, percorso di ritorno, DNS e NAT. Device Access è rilevante in questo caso solo se la destinazione è il firewall stesso, ad esempio per DNS o Ping. Con Full Tunnel, la regola da VPN a WAN e lo SNAT devono essere corretti. Per un’analisi più approfondita del tunnel, consultare Troubleshooting Sophos Firewall IPsec VPN.

Il client o il provisioning usa valori precedenti

Dopo modifiche generali, esportare nuovamente i file .scx e .tgb distribuiti manualmente; se cambiano solo le Advanced Settings, sostituire soltanto .scx. Rimuovere dalla circolazione le versioni precedenti. Con .pro, controllare prima raggiungibilità del VPN Portal, porta del portale, gateway, certificato, accesso utente e MFA. Con Entra SSO, gateway deve corrispondere alla Redirect URI.

La connessione si interrompe circa ogni quattro ore

Durante il rekeying IKEv1, una nuova richiesta OTP può interrompere il tunnel. Causa, intervallo di rekeying più lungo e valutazione della sicurezza sono descritti in Risolvere il timeout IPsec Remote Access dopo quattro ore.

I trasferimenti di grandi dimensioni si bloccano o IPsec non funziona solo su reti esterne

Se accesso, DNS e trasferimenti ridotti funzionano, ma quelli più grandi no, controllare MTU e MSS. Se IPsec non funziona solo in hotel, Wi-Fi per ospiti, reti mobili o reti aziendali con filtri rigidi, la rete può bloccare IPsec. In tal caso, verificare se SSL VPN o un altro design Remote Access sia più adatto a questi utenti.

FAQ