Configurare Sophos Connect su Sophos Firewall

Su SFOS 22, Sophos Connect per IPsec Remote Access si configura in Remote access VPN > IPsec. Il solo tunnel non abilita l’accesso: autenticazione, indirizzamento dei client, DNS, regole firewall e profilo distribuito devono funzionare come un unico sistema.

Questo articolo si concentra volutamente sul lato firewall. Installazione e importazione sono descritte separatamente per Windows e macOS. Per SSL VPN, consultare Configurare Sophos Firewall SSL VPN Remote Access; se la scelta dell’architettura è ancora aperta, vedere Sophos Connect o SSL VPN.

Prima di iniziare

Per un’implementazione controllata servono:

• accesso amministrativo a WebAdmin e un indirizzo WAN raggiungibile;
• utenti o gruppi in un’origine supportata da Sophos Connect, ad esempio il database locale, Active Directory, RADIUS o Microsoft Entra ID, oltre a una strategia MFA adeguata;
• un pool client privato libero, le reti interne di destinazione e i soli servizi realmente necessari;
• server DNS in grado di risolvere i nomi interni previsti e, se necessario, un suffisso DNS;
• un profilo IPsec IKEv1 e una Preshared Key oppure certificati RSA idonei;
• una connessione di test esterna, ad esempio tramite hotspot mobile. SFOS non supporta IPsec Remote Access dalla zona LAN.

Prima di eseguire l’upgrade a SFOS 22.0 MR1 o versione successiva, verificare se occorre migrare Legacy Remote Access IPsec.

Assegnare prima i servizi di autenticazione

In Authentication > Services, i server richiesti devono essere presenti nei punti corretti di Selected authentication server:

• VPN portal authentication methods per il VPN Portal e il provisioning;
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods per l’accesso al tunnel IPsec.

Una configurazione tipica utilizza Local insieme al server di directory, RADIUS o Entra ID configurato in Authentication > Servers. Verificare questa assegnazione prima dell’esportazione. Con Microsoft Entra ID SSO, il server Entra ID deve essere già selezionato qui prima di scaricare il file di configurazione; in caso contrario, nel file .scx mancheranno i valori SSO. La procedura completa è descritta in Microsoft Entra ID SSO per VPN, mentre la configurazione OTP è illustrata in Configurare Sophos Firewall MFA.

Per SSO su Windows con Sophos Connect 2.4 o versione successiva, distinguere firmware e provider: su SFOS 22 si applica la procedura Entra ID collegata sopra; SFOS 23 prevede OpenID Connect (OIDC) con un provider di identità (IdP) supportato. Entra ID rimane un’opzione valida. La configurazione Google Workspace OIDC descrive l’altra opzione di provider trattata qui e i relativi limiti; non garantisce il supporto di qualsiasi provider OIDC, piattaforma client o build del firmware.

Anche per un profilo importato direttamente, selezionare il server IdP previsto in Authentication > Services prima di scaricare la configurazione. Con SSL VPN diretto, VPN Portal e SSL VPN devono utilizzare lo stesso server. Con IPsec diretto, il tunnel può utilizzare lo stesso server del VPN Portal oppure un altro; ciò non rende i provider liberamente intercambiabili. L’estensione OIDC per Windows non amplia il supporto di Entra ID SSO su macOS descritto di seguito.

Definire indirizzi, destinazioni e procedura di ripristino

Per evitare conflitti, il pool VPN non deve sovrapporsi a LAN, WLAN, VLAN, VPN Site-to-Site o comuni reti domestiche. SFOS richiede inoltre che l’intervallo si trovi in una subnet di almeno /24 e non sia utilizzato contemporaneamente per SSL VPN, L2TP o PPTP. Un esempio è l’intervallo da 10.250.10.10 a 10.250.10.200 all’interno di 10.250.10.0/24.

Prima delle modifiche, documentare la configurazione IPsec attuale, i certificati e gli ID selezionati, l’ordine delle regole e le versioni .scx/.pro già distribuite. Conservare il vecchio profilo in un luogo sicuro. Se una modifica non riesce, sarà così possibile ripristinare singolarmente valori e regole senza eliminare utenti, certificati o altre configurazioni VPN esistenti. Reset, nella parte inferiore della pagina IPsec, riporta invece la configurazione Remote Access IPsec alle impostazioni di fabbrica e non è una normale procedura di rollback.

Configurare completamente IPsec Remote Access

Le interfacce meno recenti e lo screenshot esistente mostrano ancora VPN > Sophos Connect Client. In SFOS 22, il percorso è Remote access VPN > IPsec.

General settings

1. Attivare IPsec remote access.
2. In Interface, selezionare la porta WAN che fungerà da endpoint del tunnel. In questa configurazione Remote Access, SFOS consente una sola interfaccia WAN; più gateway di provisioning non modificano questa associazione del tunnel.
3. In IPsec profile, selezionare un profilo IKEv1. Il profilo compare solo se Dead Peer Detection è disattivato o impostato su Disconnect. Algoritmi di fase 1 e fase 2, DH/PFS e durate devono rispettare lo standard di sicurezza adottato. Algoritmi robusti e PFS sono best practice ragionevoli; le condizioni IKEv1 e DPD appena indicate sono invece requisiti di SFOS.
4. Impostare Authentication type su Preshared key o Digital certificate.
5. Completare Local ID, Remote ID e Allowed users and groups.

La PSK viene inclusa nella configurazione esportata. Deve essere casuale e protetta e, in caso di sospetta compromissione, va sostituita insieme a tutti i profili interessati. MFA protegge ulteriormente l’accesso dell’utente, ma non sostituisce questa chiave del tunnel.

In SFOS 22, per Digital certificate valgono limiti precisi:

• IPsec utilizza certificati RSA, non ECDSA;
• Local e Remote Certificate richiedono una Certificate ID;
• External certificate non deve essere selezionato;
• Local e Remote Certificate devono appartenere alla stessa catena di attendibilità. Utilizzare certificati generati localmente oppure certificati emessi dalla stessa CA di terze parti e caricare sul firewall la relativa Signing CA.

Sophos consiglia una Local ID per identificare il firewall e una Remote ID diversa per i client. I tipi consentiti sono DNS, IP Address, Email e, per i certificati, DER ASN1 DN [X509]. In quest’ultimo caso, il firewall utilizza il Distinguished Name del certificato. Gli ID non devono necessariamente essere risolvibili pubblicamente, ma firewall e profilo esportato devono attendersi gli stessi valori.

Autorizzare correttamente utenti e gruppi

In Allowed users and groups, inserire soltanto gli account previsti. Per un utente di directory, IPsec Remote Access considera il Main group. Il gruppo AD autorizzato deve quindi essere il suo gruppo principale; in caso contrario, autorizzare esplicitamente l’utente anziché aprire l’accesso a un gruppo ampio.

In Authentication > Groups, verificare l’impostazione effettiva IPsec remote access e l’ordine dei gruppi. Finché Remote Access IPsec non è configurato, è disattivato per impostazione predefinita per tutti i gruppi. Dopo la configurazione, i gruppi AD importati e i gruppi migrati rimangono disattivati per impostazione predefinita; i nuovi gruppi locali, invece, sono attivati per impostazione predefinita. Se sono presenti più gruppi, si applica la policy del gruppo più in alto. Le policy individuali degli utenti hanno in linea generale la precedenza: ad esempio, un utente può essere esplicitamente abilitato anche se il gruppo è disattivato. L’eccezione decisiva è questa: se IPsec Remote Access è esplicitamente attivato per un gruppo, non è possibile bloccare questo accesso disattivando individualmente un membro. Durante l’offboarding, verificare quindi l’assegnazione effettiva al Main-group, l’ordine dei gruppi e tutte le autorizzazioni concesse a utenti o gruppi, e revocare l’autorizzazione effettiva anziché affidarsi all’interruttore dell’utente. Secondo Sophos, la disattivazione di un gruppo ne interrompe le sessioni attive e impedisce la riconnessione; le autorizzazioni individuali devono essere verificate separatamente. Con un normale utente pilota, controllare l’autenticazione effettiva e le destinazioni consentite e bloccate. Durante l’offboarding, verificare le sessioni attive in Current activities > IPsec connections, utilizzare in modo mirato Disconnect se necessario e confermare quindi che l’utente non possa autenticarsi nuovamente né accedere alle destinazioni protette. Queste verifiche sono passaggi di collaudo, non effetti sul dispositivo dimostrati in questa sede. Collegare Active Directory a Sophos Firewall.

Prima del primo accesso classico tramite Sophos Connect, un utente AD deve in genere autenticarsi con un altro Authentication Client, ad esempio lo User Portal. Il provisioning può creare l’account al primo accesso e assegnarlo in base al mapping del server. Guest users e guest groups non sono consentiti per Remote Access.

Client information e Idle time

Impostare consapevolmente tutti i campi in Client information:

• Name: un nome visualizzato breve e univoco, ad esempio remote-access-ipsec;
• Assign IP from: l’inizio e la fine del pool privato pianificato;
• Allow leasing IP address from RADIUS server for L2TP, PPTP, and IPsec remote access: attivare solo se gli indirizzi vengono assegnati da RADIUS. Se RADIUS non fornisce un indirizzo, SFOS utilizza prima l’indirizzo statico configurato per l’utente e, in mancanza di questo, un lease da Assign IP from;
• DNS server 1 e DNS server 2: resolver autorevoli per le zone richieste o in grado di inoltrarvi correttamente le richieste.

I resolver pubblici non sono errati in assoluto, ma in genere non risolvono le zone aziendali private senza un’apposita pubblicazione o un corretto inoltro. Per le risorse interne, verificare quindi l’effettivo percorso DNS autorevole o di forwarding.

In Idle time è possibile attivare Disconnect when tunnel is idle. Idle session time interval è espresso in secondi. Il valore è una scelta operativa: un timeout breve riduce le sessioni abbandonate, ma può interferire con i flussi di lavoro e con le riconnessioni MFA. Dopo una disconnessione per inattività, Sophos Connect tenta di ristabilire la connessione in background; se non riesce, selezionare prima Disconnect e poi Connect nel client.

Advanced settings

Questi valori vengono inclusi in .scx, ma non in .tgb:

• Use as default gateway: attivato per Full Tunnel, disattivato per Split Tunnel. La scelta si applica a tutti gli utenti elencati in Allowed users and groups; non è possibile applicare impostazioni diverse nella stessa configurazione IPsec.
• Permitted network resources (IPv4): reti e host interni per lo Split Tunnel. Inserire soltanto le risorse che gli utenti devono raggiungere attraverso il tunnel.
• Send Security Heartbeat through tunnel: inviare attraverso il tunnel l’Heartbeat di un Sophos Endpoint esistente.
• Allow users to save username and password: consentire solo se la protezione dei dispositivi e i requisiti MFA lo permettono. Per Connect tunnel automatically, Sophos consiglia di salvare le credenziali.
• Prompt users for 2FA token: mostrare un campo OTP separato. Il firewall invia comunque passwordotp; l’MFA basata su challenge non è supportata. SCCLI non funziona con questa opzione.
• Run AD logon script after connecting: eseguire lo script di accesso AD dopo aver stabilito il tunnel.
• Connect tunnel automatically: stabilire automaticamente la connessione dopo l’accesso dell’utente all’endpoint.
• Hostname or DNS suffix to monitor: inserire un nome host risolvibile solo internamente oppure un suffisso interno. Sophos Connect lo utilizza per valutare la connessione automatica; l’host monitorato deve poter rispondere alle probe ICMP.
• Assign client DNS suffix: aggiungere un suffisso come firma.example alla scheda di rete dell’endpoint, affinché i nomi host brevi vengano risolti come FQDN.

Con Split Tunnel, SFOS crea SA ESP separate per le subnet consentite e, in caso di inattività, rimuove soltanto la Child SA interessata. Con Full Tunnel è presente una sola SA ESP, che viene rimossa dopo l’intervallo di inattività in assenza di traffico.

Verificare la raggiungibilità a monte del firewall

Se Sophos Firewall si trova dietro un router o un altro dispositivo NAT, quest’ultimo deve tradurre l’indirizzo pubblico verso l’interfaccia WAN del firewall selezionata. Per NAT-T occorre consentire e inoltrare UDP 500 e UDP 4500. In assenza di NAT lungo il percorso, il traffico ESP utilizza il protocollo IP 50 e deve essere consentito anche dal dispositivo a monte. Quando SFOS rileva il NAT, NAT-T incapsula i successivi pacchetti IKE ed ESP su UDP 4500.

Un normale controllo delle porte TCP/UDP non dimostra quindi che l’intero percorso IPsec sia funzionante. Anche un NAT dell’operatore, un doppio NAT o una rete guest restrittiva possono impedire la connessione. Se l’indirizzo pubblico è assegnato direttamente a SFOS, non serve alcuna regola DNAT a monte.

Se il firewall è dietro un router, conservare prima una copia protetta della .scx esportata come profilo originale. Secondo la FAQ Sophos, modificare manualmente l’indirizzo del gateway nella .scx impostando l’IP WAN del router. Distribuire e reimportare il profilo corretto in modo controllato, quindi testare tunnel e traffico consentito da una rete esterna. Gli inoltri IKE/NAT-T restano necessari. Invece gateway in .pro indica il VPN Portal e non corregge automaticamente l’endpoint del tunnel nella .scx; qui non si presume alcuna chiave di schema non verificata.

Regole firewall e Device Access

Accesso alle destinazioni interne

In Rules and policies > Firewall rules, creare una regola IPv4 mirata:

• Rule name: un nome univoco, ad esempio VPN-SophosConnect-to-ERP;
• Rule position: sopra una regola Drop più generale o una regola Accept in conflitto;
• Action: Accept;
• Log firewall traffic: attivare per il collaudo e l’esercizio;
• Source zones: VPN;
• Source networks and devices: il pool client IPsec o un oggetto IP host adatto, non un Any inutilmente ampio;
• During scheduled time: All the time o una finestra temporale giustificata;
• Destination zones: la zona effettivamente necessaria, ad esempio LAN o DMZ;
• Destination networks: soltanto i server o le reti autorizzati;
• Services: soltanto i protocolli e le porte necessari;
• Match known users e Users or groups: facoltativamente, una condizione di identità aggiuntiva se coerente con l’architettura di autenticazione.

SFOS valuta le regole dall’alto verso il basso e si ferma alla prima corrispondenza. Dopo il salvataggio, controllare quindi la posizione effettiva; le regole create automaticamente o aggiunte in cima in un secondo momento possono modificare l’ordine. Web, Application Control, IPS, Heartbeat e le altre policy di sicurezza non sono requisiti SFOS generalizzati per il traffico VPN. Devono essere scelte in base alla protezione necessaria e testate con le applicazioni.

Accesso a Internet con Full Tunnel

Con Use as default gateway serve anche una regola per il traffico da VPN a WAN:

Anche questa regola deve avere il pool client come rete di origine, servizi appropriati, logging e le policy Web, Application Control o IPS desiderate. Il pool client deve inoltre essere incluso in una regola SNAT/Masquerading adatta; una regola NAT esistente potrebbe già assolvere questa funzione. È possibile utilizzare una regola NAT collegata, ma non è obbligatorio. Anche le regole NAT vengono valutate in ordine, quindi prevale una regola precedente e più ampia. Un Full Tunnel privo di policy NAT e di sicurezza coordinate produce pertanto spesso un tunnel verde senza accesso a Internet oppure traffico involontariamente non filtrato.

Local Service ACL

Le regole firewall controllano il traffico inoltrato, non i servizi locali del firewall. In Administration > Device access:

• consentire IPsec dalla zona WAN utilizzata;
• consentire VPN portal solo dalle zone che richiedono download o provisioning; Sophos raccomanda di consentire l’accesso WAN solo temporaneamente;
• consentire DNS da VPN soltanto se il firewall stesso viene interrogato come resolver DNS;
• consentire Ping/Ping6 da VPN soltanto se il firewall stesso deve fungere da destinazione di test.

Se un’intera zona fosse troppo ampia, una Local service ACL exception rule può limitare l’accesso a host o reti di origine specifici. Per i dettagli, consultare Device Access e Local Service ACL.

Esportare il profilo o distribuirlo tramite provisioning

Export connection crea un archivio contenente .scx e .tgb. Per Sophos Connect, .scx è il formato standard e include General e Advanced Settings. .tgb è destinato ai client di terze parti compatibili e contiene solo i General Settings. Dopo modifiche ai General o Advanced Settings, occorre distribuire nuovamente la configurazione; se cambiano soltanto gli Advanced Settings, è interessato solo .scx.

Su Windows, con Sophos Connect 2.1 o versione successiva, un file .pro può scaricare dal VPN Portal le configurazioni IPsec e SSL VPN autorizzate e acquisire automaticamente le modifiche successive. Provisioning di Sophos Connect con .pro e GPO descrive l’esatta struttura JSON, più gateway del portale, i campi MFA e la distribuzione tramite GPO.

Per Microsoft Entra ID SSO con Sophos Connect per macOS dalla versione 2.1 in poi, includere nei test di accettazione anche l’accesso nel browser aperto dal client e il ritorno al client. Il flusso di accesso su macOS con scelta del browser e fallback illustra i passaggi; successivamente verificare lo stato del tunnel, l’IP VPN, il DNS e l’accesso, senza indebolire i controlli di Conditional Access, MFA o dei certificati. Se a tale scopo è necessario un file .pro personalizzato, utilizzare la sintassi letterale dei campi e i valori consentiti di sso_auth_browser_type indicati in Sophos Connect Provisioning.

Una distinzione importante per il troubleshooting: gateway in .pro è il nome FQDN o l’indirizzo IPv4 del firewall tramite il quale il client raggiunge il VPN Portal e recupera le configurazioni. Non è automaticamente il gateway del tunnel IPsec. Il tunnel termina sull’Interface selezionata in Remote access VPN > IPsec e memorizzata nel file .scx scaricato. Più gateway in .pro offrono quindi più percorsi di provisioning, ma non il Multi-WAN per questa singola configurazione IPsec Remote Access.

Se cambiano gateway o la porta del VPN Portal, è necessario modificare .pro e distribuirlo nuovamente. Se entrambi rimangono invariati, il percorso di provisioning configurato può recuperare nuovamente la configurazione VPN e le modifiche successive. Nel caso di un file .scx importato manualmente, invece, dopo modifiche alle impostazioni General o Advanced Settings è necessario esportare nuovamente la connessione corrente tramite Export connection, distribuirla attraverso un canale protetto e importarla nuovamente nel client. Update policy non sostituisce questa distribuzione manuale e la successiva importazione; l’utilizzo documentato riguarda il percorso di provisioning, in particolare in caso di modifica della porta SSL VPN o del protocollo. Un aggiornamento del software client non aggiorna automaticamente la policy del firewall o un profilo obsoleto; i profili esistenti rimangono in linea generale utilizzabili dopo un semplice aggiornamento della versione di Sophos Connect. Conservare in modo sicuro il profilo noto come funzionante e i relativi valori del firewall per un rollback controllato. Prima della distribuzione su larga scala, verificare con un normale utente pilota la versione del profilo e il gateway del tunnel, l’autenticazione/MFA, le rotte, il DNS e le destinazioni consentite e bloccate. Se il collaudo non riesce, ripristinare insieme i vecchi valori del firewall e il relativo profilo noto come funzionante, quindi ripetere le stesse verifiche.

Se il provisioning carica valori obsoleti o non recupera alcuna configurazione, controllare nell’ordine la raggiungibilità e il certificato del VPN Portal, la porta del portale, gateway, l’accesso dell’utente e MFA. Per il provisioning SSO, VPN portal authentication methods, VPN (IPsec/dial-in/L2TP/PPTP) authentication methods e SSL VPN authentication methods in Authentication > Services devono utilizzare lo stesso server IdP configurato: Entra ID su SFOS 22 oppure un IdP OIDC supportato su SFOS 23 nell’ambito Windows definito sopra. gateway deve corrispondere al FQDN o all’indirizzo IPv4 del firewall indicato nella sezione Redirect URI di quel server configurato in Authentication > Servers. Si tratta del solo host, non dell’intero URI di callback con schema, porta e percorso; inserire separatamente la porta del VPN Portal in vpn_portal_port. Restano validi i limiti specifici del provider: per Google Workspace, utilizzare il FQDN valido richiesto dalla guida dettagliata, non un indirizzo IP. Prima della distribuzione, confrontare le assegnazioni dei server, l’host e la porta del portale. Per gli errori SSO, seguire la procedura specifica per firmware e provider nell’articolo Entra o Google collegato sopra; non generalizzare la diagnostica Entra agli altri provider OIDC.

I profili contengono informazioni sensibili per la sicurezza e devono essere distribuiti attraverso un canale protetto. Assegnare nomi inequivocabili alle versioni vecchie e nuove, affinché helpdesk e utenti non ripristinino involontariamente una versione precedente.

La distribuzione di una nuova policy firewall va distinta dall’aggiornamento del software client. La selezione delle versioni, i gruppi pilota e la pianificazione del rollback sono trattati in Aggiornare Sophos Connect in sicurezza.

Documentare il gruppo VPN responsabile dell’esercizio e il processo di uscita, il reset MFA e il blocco e lo sblocco degli utenti. La documentazione operativa deve includere anche versione del profilo, data della modifica e responsabile, requisiti di logging permanente compresi Sophos Fusion (in precedenza Sophos Central) o Syslog, nonché un nuovo controllo dei profili prima degli upgrade di SFOS.

Collaudo con un vero client remoto

Dopo l’importazione, eseguire i test con un normale utente destinatario da una rete esterna:

1. Accesso e MFA funzionano e il client riceve l’indirizzo previsto dal pool o da RADIUS.
2. La sessione compare in Current activities > IPsec connections. È possibile filtrare l’elenco, tra gli altri campi, per Connection name, Username, Local subnet e Remote host/subnet; Refresh aggiorna la visualizzazione e Disconnect termina una connessione specifica.
3. I FQDN interni e, se configurati, i nomi brevi tramite il suffisso DNS vengono risolti correttamente.
4. Le destinazioni consentite funzionano e quelle non autorizzate restano bloccate.
5. Log Viewer mostra le corrispondenze con la regola firewall prevista.
6. Split Tunnel mantiene locale il restante traffico Internet; Full Tunnel lo instrada attraverso il firewall, la regola SNAT prevista e le policy di sicurezza configurate.
7. La riconnessione funziona dopo un timeout di inattività, un cambio di rete e il riavvio dell’endpoint.
8. Nel client Sophos Connect, Events mostra la sequenza temporale di importazione, accesso e creazione del tunnel. In caso di errore riproducibile, generare un Support report nel client e conservarlo insieme a data e ora, utente, versione del client e versione del profilo prima di modificare profili o certificati.

Per l’analisi delle regole, vedere Testare una regola firewall con Log Viewer, Policy Test e Packet Capture. Per un’analisi più approfondita del tunnel, proseguire con Troubleshooting di IPsec VPN su Sophos Firewall.

Troubleshooting mirato

L’accesso non riesce

Controllare innanzitutto Authentication > Services, lo stato di password e MFA, eventuali blocchi e il server di autenticazione indipendentemente dalla VPN. Confrontare quindi Main group, Allowed users and groups e l’opzione IPsec remote access del gruppo. Sophos Connect supporta solo caratteri ASCII nei nomi utente; caratteri accentati e altri caratteri UTF-8/UTF-16 possono impedire l’accesso.

Anziché basare la diagnosi su un singolo messaggio testuale IKE non documentato in modo univoco, suddividere il processo: il tentativo arriva fino all’autenticazione dell’utente? Interfaccia, profilo IPsec, certificato o PSK e Local/Remote ID corrispondono? L’utente è davvero autorizzato tramite il proprio Main group? Gli eventi del client e i log del firewall acquisiti nello stesso momento offrono indicazioni più affidabili.

Failed to validate certificate dopo un riavvio

Se la prima connessione funziona, ma dopo un riavvio compare Failed to validate certificate, spesso Local e Remote Certificate non sono firmati dalla stessa CA. Controllare Certificate ID e catena di attendibilità. Utilizzare certificati generati localmente oppure certificati della stessa CA di terze parti caricandone la Signing CA, oppure passare consapevolmente a una PSK. Esportare e importare nuovamente .scx, quindi ripetere il test dopo un riavvio.

Il tunnel è connesso, ma il traffico non passa

Controllare prima l’indirizzo assegnato e le route sul client, quindi Permitted network resources, posizione della regola, Source/Destination networks, Services, percorso di ritorno e DNS. Con Full Tunnel, verificare anche la regola da VPN a WAN e la regola SNAT effettivamente applicata. Device access interviene solo se la destinazione è il firewall stesso, ad esempio per DNS o ping.

La connessione si interrompe circa ogni quattro ore

Durante il rekeying IKEv1, una nuova richiesta OTP può interrompere il tunnel. Sophos indica per il profilo IPsec predefinito un intervallo di rekeying di circa quattro ore; un profilo personalizzato può arrivare a 24 ore. La valutazione della sicurezza e l’implementazione sono descritte in Risolvere il timeout di IPsec Remote Access dopo quattro ore.

I trasferimenti di grandi dimensioni si bloccano o solo alcune reti esterne non funzionano

Se accesso, DNS e richieste di piccole dimensioni funzionano, ma i trasferimenti più grandi si bloccano, controllare MTU e MSS. Se IPsec non funziona soltanto in hotel, reti Wi-Fi guest o reti aziendali con filtri rigidi, l’accesso esterno potrebbe bloccare UDP 500/4500 o ESP. Per questi utenti, SSL VPN o un’altra architettura Remote Access potrebbe essere più affidabile.

Remote Access IPsec dopo un failover HA

L’errore NC-175860, documentato nelle note di rilascio di SFOS 22, interessa Remote Access IPsec dopo un failover HA se l’Appliance Certificate è stato rigenerato in precedenza. È stato corretto in SFOS 22.0 MR2 Build 546 del 14 luglio 2026. Sophos non indica né uno specifico messaggio di log né un workaround ufficiale.

Prima di intervenire, registrare firmware e build, modalità HA, ruoli e Last status change su entrambi gli appliance, ora del failover, Authentication Type, Local/Remote Certificate con le rispettive Certificate IDs e versione del profilo. Non rigenerare l’Appliance Certificate sulla base di un semplice sospetto. Su una versione precedente interessata, verificare il percorso di upgrade approvato a MR2 Build 546 o versione successiva; quindi, durante una finestra di manutenzione, eseguire un failover controllato e un test di riconnessione dall’esterno. Per le basi della topologia, vedere Varianti dei cluster HA Sophos Firewall; per la procedura di upgrade, consultare Aggiornamento del firmware SFOS.

Controlli aggiuntivi per rollout e migrazione

Certificati, ID e Advanced settings

Se manca il certificato RSA necessario, selezionare Generate locally-signed certificate in Certificates > Certificates > Add, oppure caricare un certificato esistente con Upload certificate. Compilare i dettagli del certificato e Subject Name; in Subject Alternative Names, aggiungere il nome DNS o l’indirizzo IP previsto con +. Verificare quindi i Certificate IDs e la catena di fiducia comune come descritto sopra. Remote ID non deve essere identico a Local ID. Salvare General e Advanced settings con Apply prima di usare Export connection.

Secondo Sophos, le credenziali salvate sono protette mediante i servizi portachiavi del dispositivo; questo non sostituisce né la protezione del dispositivo né l’autorizzazione prevista dalla politica di sicurezza. Prompt users for 2FA token richiede MFA effettivamente configurata per Remote Access IPsec in Authentication > Multi-factor authentication o presso il fornitore OTP. Se il campo separato è disattivato, aggiungere l’OTP direttamente alla password: passwordotp. Se utenti diversi necessitano di modalità Split/Full Tunnel differenti, usare politiche SSL VPN Remote Access separate invece di distribuire profili IPsec contraddittori.

Distribuire il client e ripristinare le opzioni di accesso

Gli amministratori scaricano il client in Remote access VPN > IPsec o SSL VPN > Download client. Gli utenti trovano Download for Windows e Download for macOS in VPN portal > VPN > Sophos Connect client. Aggiornare la versione offerta dal firewall in Backup & Firmware > Pattern updates; aggiornare separatamente gli endpoint già installati seguendo il runbook di aggiornamento collegato. Logs nella pagina IPsec apre i log; IPsec profiles porta ai parametri IKE.

Il provisioning con .pro è documentato anche su macOS con Sophos Connect 2.1 o successivo; SSL VPN con importazione diretta di .ovpn è disponibile dal client macOS 2.0. La distribuzione tramite GPO rimane una procedura Windows. Nella migrazione da un client di terze parti, le configurazioni esistenti possono essere importabili; per IPsec, preferire un .scx appena esportato o un .pro attuale per includere Advanced settings. Seguire il flusso macOS.

Se Remember username and password provoca l’accesso automatico con password e nasconde la scelta SSO, selezionare Edit connection > Clear credentials nel client. Le opzioni ricompaiono al prossimo accesso; questo non modifica le autorizzazioni del firewall.

Diagnosticare SSO e disconnessione ritardata

Una scelta SSO disabilitata nel client Windows 2.4+ o macOS 2.1+ può dipendere dall’assenza di sso_api_port e sso_api_domain in .scx o .ovpn. Per Entra ID, assegnare prima il server in Authentication > Services, poi esportare o scaricare una nuova configurazione e usare il percorso di importazione appropriato. Non inventare i valori né copiarli da un altro tenant; non applicare questa diagnosi Entra a Google Workspace senza verifica.

Se Entra Conditional Access non riesce nel browser incorporato su macOS 2.1+, completare l’autenticazione nel browser di sistema aperto da Sophos Connect e tornare al client. Se il client segnala un dispositivo non conforme, completare le azioni di conformità richieste o contattare l’IT. Reimportare un profilo non risolve la mancata conformità; non aggirare Conditional Access.

Dopo lo spegnimento dell’interfaccia WAN associata, le sessioni Remote Access IPsec possono risultare disconnesse solo al timeout di inattività o DPD. Un tunnel ancora visualizzato non dimostra quindi la raggiungibilità. Controllare stato dell’interfaccia e log insieme allo stato della sessione; usare Disconnect per terminare una sessione specifica, senza presumere che lo spegnimento dell’interfaccia disconnetta immediatamente gli utenti.

Limiti di SSL VPN e dispositivi mobili

Con .pro, .scx viene scaricato come configurazione IPsec comune, mentre .ovpn corrisponde alle politiche SSL VPN autorizzate per l’utente; scaricare un profilo non concede l’autorizzazione al tunnel. I profili SSL sono disponibili in VPN portal > VPN > VPN configuration > SSL VPN configuration. Le modifiche a porta, gateway, certificato server o protocollo SSL VPN possono richiedere un nuovo accesso al client; usare inoltre Update policy per le modifiche di porta/protocollo nel flusso con provisioning. Quando si controlla un .ovpn vuoto, ricordare che SSL VPN usa per impostazione predefinita ApplianceCertificate con Default CA.

Un rollout SSL VPN parallelo presenta errori diversi: da SFOS 20.0 MR1, il precedente client SSL VPN legacy non funziona più; migrare a Sophos Connect o a un’architettura IPsec pianificata. La migrazione da 18.5.x o precedente a 19.5 o successivo converte il vecchio intervallo di indirizzi SSL in una sottorete. Un oggetto IP host gestito manualmente può quindi non corrispondere più. Usare gli host di sistema dinamici ##ALL_SSLVPN_RW e ##ALL_SSLVPN_RW6 nelle regole interessate. Un .ovpn di 0 byte richiede controlli su certificato e Signing CA; solo dopo aver confermato la causa, rinnovare il certificato interessato con controllo delle modifiche e scaricare/importare nuovamente .ovpn. Per Login failed. Wrong fingerprint of certificate. dopo un cambio di metodo di accesso o dominio, importare un .pro o .ovpn separato invece di disattivare la verifica dei certificati. Dettagli nel runbook SSL VPN.

iOS può scaricare il profilo IPsec in VPN portal > VPN > VPN configuration > IPsec VPN profile. Non è un profilo desktop Sophos Connect per dispositivi mobili. La matrice dei client del produttore contiene un’assegnazione OpenVPN contraddittoria nella riga IPsec; non consente di ricavare una procedura IPsec sicura con OpenVPN Connect. Per SSL VPN mobile, usare .ovpn con OpenVPN Connect; per IPsec mobile, verificare prima del rollout il client e il tipo di profilo espressamente compatibili. I controlli di accettazione e diagnostica descritti qui non sono stati eseguiti su un appliance o endpoint.

FAQ