Configurare Sophos SSL VPN su iPhone e iPad

Sophos Connect non supporta direttamente iOS e iPadOS per IPsec o SSL VPN. Se iPhone o iPad devono collegarsi tramite Sophos Firewall Remote Access, viene quindi usato un client compatibile con OpenVPN. In molti ambienti OpenVPN Connect è lo standard più naturale.

L’articolo descrive il processo pratico per Sophos SSL VPN su iPhone e iPad: installare l’app, ottenere la configurazione .ovpn, importare il profilo, testare la connessione e delimitare gli errori tipici. Per la decisione di base tra Sophos Connect, SSL VPN, IPsec, client mobili e ZTNA, conviene partire da Sophos Connect o SSL VPN: quale soluzione Remote Access è adatta?.

Quando SSL VPN su iOS ha senso

SSL VPN su iPhone o iPad ha senso quando utenti mobili devono accedere occasionalmente a sistemi interni e per questo è sufficiente un profilo VPN classico.

Esempi tipici:

accesso ad applicazioni web interne
accesso amministrativo a pochi sistemi tramite iPad
accesso a file service o tool interni tramite app definite
lavoro esterno temporaneo senza client notebook gestito
soluzione transitoria quando ZTNA o App Proxy non sono ancora disponibili

Per l’accesso permanente a molti sistemi interni, un dispositivo mobile spesso non è la piattaforma di destinazione migliore. In quel caso va verificato se un client Windows o macOS gestito con Sophos Connect, un accesso ZTNA più ristretto o un altro design Remote Access sia più adatto.

Inquadramento rispetto ad altri client

Questa guida vale per Sophos Firewall con SFOS e dispositivi Apple mobili. A seconda della piattaforma o della situazione di partenza, può essere più adatto un altro punto di ingresso:

Configurare SSL VPN su iPhone e iPad: Questo articolo.
Configurare SSL VPN con Sophos Connect su Windows: Configurare Sophos SSL VPN con Sophos Connect su Windows.
Configurare SSL VPN con Sophos Connect su macOS: Configurare Sophos SSL VPN con Sophos Connect su macOS.
Configurare SSL VPN su Android: Configurare Sophos SSL VPN su Android.
Installare Sophos Connect su Windows: Installare Sophos Connect Client su Windows.
Installare Sophos Connect su macOS: Installare Sophos Connect Client su macOS.

La distinzione è importante: Sophos Connect non è il client SSL VPN diretto per iOS e iPadOS. Se si vogliono supportare dispositivi mobili, va definito internamente quale client compatibile con OpenVPN viene usato, da dove arrivano i profili e chi fornisce supporto in caso di cambio dispositivo.

Requisiti

Prima della configurazione dovrebbero essere chiariti questi punti:

Sophos Firewall con configurazione SSL VPN Remote Access già predisposta
utente autorizzato per SSL VPN
accesso al VPN Portal o file .ovpn fornito amministrativamente
client compatibile con OpenVPN su iPhone o iPad
MFA/OTP configurato, se Remote Access è protetto in questo modo
certificato valido per VPN Portal e accesso firewall, se possibile
regole firewall per il traffico dalla zona VPN
design Split Tunnel o Full Tunnel definito
processo di supporto per cambi dispositivo, dispositivi persi e profili vecchi

Prima di un upgrade a SFOS 22.0 MR1 o più recente, va inoltre verificato se esistono ancora vecchie configurazioni Remote Access IPsec. SSL VPN non è direttamente interessata, ma molte organizzazioni rivalutano Remote Access proprio in questo momento. La procedura è descritta in Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.

Preparare firewall e VPN Portal

La configurazione iOS è solo l’ultimo passaggio. Prima deve essere corretta la configurazione firewall.

Su Sophos Firewall vanno verificati questi punti:

Aprire Remote access VPN.
Configurare SSL VPN per gli utenti o gruppi necessari.
Usare un pool IP VPN senza sovrapposizioni con LAN, WLAN, VLAN, Site-to-Site VPN o reti domestiche tipiche.
Impostare DNS server e domain suffix in modo adeguato, se vengono usati nomi interni.
Attivare MFA per Remote Access e verificarlo con un utente di test.
Creare una regola firewall da VPN verso la zona di destinazione necessaria.
Attivare il logging per la fase di introduzione.
Esporre il VPN Portal tramite Administration > Device access solo quanto necessario.

La procedura completa lato firewall è descritta in Configurare Sophos Firewall SSL VPN Remote Access.

Il VPN Portal è un punto di ingresso raggiungibile pubblicamente. Se deve essere raggiungibile da Internet, certificato, MFA, limitazione per paese/origine e controllo dei log vanno pianificati consapevolmente. Per l’hardening è utile Device Access e Local Service ACL su Sophos Firewall.

1. Installare OpenVPN Connect

Installare OpenVPN Connect dall’App Store: OpenVPN Connect.

Se nell’ambiente è standardizzato un altro client compatibile con OpenVPN, questa decisione va documentata. Diventa problematico quando gli utenti usano in parallelo app VPN diverse, profili vecchi e istruzioni differenti.

Per supporto e operatività va definito:

quale client viene supportato
quale versione minima dell’app è attesa
se gli utenti possono installare l’app autonomamente
come vengono distribuiti e revocati i profili
come vengono gestiti dispositivi persi o sostituiti

2. Aprire il VPN Portal

Su iPhone o iPad aprire in Safari il VPN Portal di Sophos Firewall. L’indirizzo predefinito è:

https://<FQDN-o-IP-firewall>:443

Se l’amministrazione ha configurato un altro VPN portal HTTPS port, occorre usare tale porta. Per l’accesso diretto in un cluster HA, Sophos indica l’FQDN o l’indirizzo IP dell’appliance originariamente primaria; negli ambienti di produzione va utilizzato l’FQDN comune del portale definito nella documentazione interna.

Accedere quindi con l’utente VPN. Il VPN Portal e i download SSL VPN vengono visualizzati solo se l’utente o il relativo gruppo è assegnato a una policy SSL VPN Remote Access. Se il download non compare, va quindi verificata prima l’assegnazione alla policy, non l’app OpenVPN.

Se il VPN Portal viene aperto con un certificato non valido o non attendibile, la causa va risolta. Un’eccezione permanente nel browser non è un buon standard operativo per Remote Access produttivo.

Con Sophos OTP, un nuovo utente deve prima scansionare il codice QR nel VPN Portal e registrare il token in un’app di autenticazione. Occorre poi verificare il flusso di connessione effettivo con un utente di test: a seconda del client e del metodo MFA, password e OTP vengono elaborati insieme oppure in passaggi separati. Prima di un rollout esteso, l’MFA basata su challenge o fornita da servizi esterni va quindi testata esattamente con il client iOS previsto. Le basi sono descritte in Attivare MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access.

3. Scaricare la configurazione OVPN

Nel VPN Portal aprire VPN > VPN configuration. In SSL VPN configuration, toccare Download for Android and iOS. Sophos Firewall fornisce così il file .ovpn destinato ai client OpenVPN mobili.

Il file scaricato ha normalmente estensione .ovpn. Questo file è legato all’utente e non va inoltrato ad altri utenti.

Importante:

Il file dovrebbe provenire dalla configurazione firewall attuale.
Vecchi file da archivi e-mail o chat non dovrebbero essere riutilizzati.
Se un tunnel che prima funzionava non si connette più dopo una modifica amministrativa, il file va scaricato e importato nuovamente. Sono particolarmente rilevanti le modifiche alla porta SSL VPN, al protocollo, al gateway o all’Override Hostname e al certificato SSL del server.
Le modifiche alle assegnazioni di utenti o gruppi non vengono risolte importando nuovamente il profilo. Devono essere corrette nella policy Remote Access e sul server di autenticazione.
Se un utente lascia l’azienda o un dispositivo viene perso, vanno verificati accesso utente, appartenenza ai gruppi e distribuzione del profilo.

4. Importare il profilo in OpenVPN Connect

Se iOS non propone automaticamente l’importazione, il file .ovpn può essere passato a OpenVPN Connect tramite la funzione di condivisione. In alternativa, in OpenVPN Connect aprire Menu > My Profiles > Add > Upload File, selezionare il file .ovpn salvato e confermare l’importazione.

Alla prima configurazione, OpenVPN Connect richiede l’autorizzazione iOS per creare una configurazione VPN. Questa autorizzazione deve essere confermata affinché l’app possa stabilire un tunnel.

Con più profili, il nome dovrebbe essere univoco, per esempio con sede, ambiente o nome aziendale. Più profili con nomi quasi identici sono una causa frequente di supporto.

5. Stabilire la connessione VPN

Attivare il profilo importato e accedere con l’utente VPN. Se MFA o OTP è attivo, il secondo fattore deve essere confermato secondo la configurazione del firewall.

Dopo la connessione non basta che l’app OpenVPN risulti connessa. È decisivo verificare se le destinazioni interne previste sono raggiungibili e se il traffico sul firewall raggiunge la regola corretta.

Controlli dopo la configurazione

Almeno questi punti dovrebbero essere verificati con un utente di test:

OpenVPN Connect mostra la connessione come connessa.
iOS mostra l’icona VPN o lo stato VPN.
L’utente riceve un indirizzo IP dal pool SSL VPN previsto.
I nomi DNS interni vengono risolti correttamente.
I server, le applicazioni web o i servizi necessari sono raggiungibili.
Il comportamento Internet corrisponde al design: Split Tunnel o Full Tunnel.
Nel Log Viewer è visibile la regola firewall attesa per il traffico dalla zona VPN.
MFA viene richiesto come previsto.
La connessione viene testata di nuovo dopo modalità aereo, cambio WLAN o cambio rete mobile.
I profili vecchi sono stati rimossi o contrassegnati chiaramente come obsoleti.

Se la connessione è attiva ma l’accesso non funziona, spesso la causa non è il client mobile, ma regole firewall, DNS, routing o NAT. Per l’analisi è adatto Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Distribuzione manuale o MDM?

Con pochi iPhone o iPad, l’importazione manuale tramite VPN Portal, Safari e OpenVPN Connect può bastare. Non appena sono coinvolti più utenti, molti dispositivi o cambi dispositivo regolari, la distribuzione dei profili va però pianificata consapevolmente. Altrimenti vecchi file .ovpn restano in e-mail, chat o cartelle download private e ricompaiono mesi dopo nei casi di supporto.

Varianti tipiche:

Importazione manuale: indicata per pochi dispositivi, un gruppo pilota o un uso occasionale. Sono importanti istruzioni chiare, un profilo aggiornato, il test MFA e la rimozione dei profili vecchi.
Distribuzione tramite MDM o Endpoint-Management: indicata per dispositivi gestiti, molti utenti o modifiche ricorrenti. Sono importanti la versione del profilo, l’installazione dell’app, la perdita del dispositivo, la revoca dei profili vecchi e il processo di supporto.

La revoca è importante. Quando un dispositivo viene sostituito, un utente lascia l’azienda o una policy SSL VPN viene modificata, non basta distribuire un nuovo profilo. Vanno verificati anche vecchi profili, appartenenze ai gruppi ed eventuali credenziali salvate.

Operatività e sicurezza

I profili VPN mobili richiedono regole operative chiare. iPhone e iPad passano spesso tra WLAN, rete mobile, hotspot e Captive Portals. Inoltre i dispositivi mobili vengono persi più facilmente o sostituiti più rapidamente rispetto ai classici notebook aziendali.

Buone pratiche:

aggiornare regolarmente OpenVPN Connect.
attivare e testare MFA per Remote Access.
verificare regolarmente i gruppi VPN.
limitare il VPN Portal tramite Device Access e Local Service ACL, per quanto possibile.
mantenere strette e loggate le regole firewall per la zona VPN.
rimuovere vecchi file .ovpn e profili obsoleti.
considerare cambi dispositivo e dispositivi persi nel processo di supporto.
pianificare Syslog o valutazione centralizzata se serve una conservazione dei log più lunga.

Per file di log e service logs è utile Sophos Firewall Troubleshooting: servizi e log.

Errori tipici

Il file OVPN non si apre

Prima verificare che OpenVPN Connect sia installato e che il file sia effettivamente .ovpn. Poi scaricare di nuovo il file dal VPN Portal oppure passarlo a OpenVPN Connect tramite la funzione di condivisione.

Se il file viene distribuito tramite MDM, e-mail o file sharing, va verificato se durante il percorso è stato modificato, rinominato o bloccato. Per l’importazione di file, OpenVPN Connect richiede un profilo ASCII o UTF-8 di dimensioni inferiori a 256 KB. Se un profilo modificato manualmente fa riferimento a file esterni di certificati o chiavi, anche questi devono essere disponibili durante l’importazione. Il file .ovpn generato da Sophos dovrebbe quindi essere utilizzato senza modifiche, per quanto possibile.

L’importazione funziona, ma la connessione no

Spesso in questo caso l’autorizzazione iOS per la configurazione VPN non è stata concessa correttamente oppure il profilo non corrisponde alla configurazione firewall attuale. Eliminare il profilo, recuperare il file .ovpn attuale e importarlo di nuovo.

Se sono presenti più profili con nomi quasi identici, verificare innanzitutto quale viene effettivamente attivato. Quando si importano più volte profili con lo stesso nome, OpenVPN Connect aggiunge suffissi come (1) o (2). Dopo un test riuscito, le vecchie varianti dovrebbero essere eliminate.

Verificare utente, password, MFA, appartenenza ai gruppi e authentication server. Se sono coinvolti AD, RADIUS o Microsoft Entra ID SSO, l’autenticazione va testata separatamente dalla VPN. Un problema di login non è automaticamente un problema OpenVPN.

La connessione è attiva, ma i sistemi interni non sono raggiungibili

Verificare DNS, regole firewall, routing, NAT e percorso di ritorno. Nel Log Viewer dovrebbe essere visibile traffico dalla zona VPN. Se non compaiono log, probabilmente il traffico non raggiunge la regola attesa o il logging è disattivato.

Per singoli sistemi interni, spesso non è la VPN stessa a essere difettosa, ma una regola firewall mancante, un nome DNS errato o una route di ritorno nella rete di destinazione.

Se piccoli accessi funzionano ma trasferimenti file più grandi o determinate applicazioni restano bloccati, va verificato anche MTU/MSS: Verificare MTU e MSS su Sophos Firewall in caso di problemi VPN.

I nomi interni non vengono risolti

Verificare DNS server e search domain nella configurazione SSL VPN. Poi testare se i sistemi interni sono raggiungibili tramite indirizzo IP. Se l’IP funziona ma il nome no, la causa è probabilmente DNS, non la connessione VPN stessa.

La connessione si interrompe al cambio rete

Sui dispositivi mobili, cambi WLAN, cambi rete mobile, Captive Portals e meccanismi di risparmio energetico sono cause tipiche. Testare con una seconda rete e verificare se il comportamento è riproducibile.

Se gli utenti cambiano spesso rete, va verificato se l’applicazione può gestire brevi interruzioni VPN o se un altro modello di accesso sia più adatto.

Checklist

Prima del rollout

Client OpenVPN supportato definito.
Gruppo utenti SSL VPN verificato.
MFA per Remote Access testato.
VPN Portal raggiungibile con certificato valido.
Device Access e accesso da Internet limitati consapevolmente.
Regole firewall per zona VPN create e loggate.
Split Tunnel o Full Tunnel documentato.
Distribuzione profili e processo di cambio dispositivo chiariti.

Dopo l’importazione

Profilo visibile in OpenVPN Connect.
Autorizzazione iOS VPN confermata.
Connessione stabilita con utente di test.
DNS, destinazioni interne e match della regola firewall verificati.
WLAN, rete mobile e cambio rete testati.
Profili vecchi rimossi.

In esercizio

Mantenere aggiornati app OpenVPN e iOS.
Verificare regolarmente i gruppi utenti.
Rimuovere profili vecchi in caso di uscita dell’utente o perdita del dispositivo.
Verificare presto i log VPN nei casi di supporto.
In caso di problemi mobili ricorrenti, valutare ZTNA o accesso basato su app.

FAQ

Sophos Connect supporta SSL VPN su iOS?

No. Sophos Connect non supporta direttamente iOS e iPadOS per IPsec e SSL VPN. Su iPhone e iPad viene usato un client compatibile con OpenVPN.

È obbligatorio usare OpenVPN Connect?

Non necessariamente. OpenVPN Connect è però uno standard diffuso per profili OpenVPN su iOS. Se viene usato un altro client, questo dovrebbe essere documentato e supportato chiaramente a livello interno.

MFA funziona con SSL VPN su iOS?

Sì, se MFA è configurato correttamente su Sophos Firewall per Remote Access. A seconda della configurazione, il secondo fattore viene gestito durante il login o tramite l’inserimento della password.

SSL VPN su iOS è migliore di IPsec?

Non in modo generale. SSL VPN è spesso pratica quando i profili OpenVPN sono già consolidati. Per alcuni ambienti può essere più adatto un altro design Remote Access con IPsec, ZTNA o accesso basato su app.

Perché la connessione funziona, ma nessuna applicazione interna è raggiungibile?

In quel caso il tunnel è solo una parte della verifica. Spesso mancano regole firewall, risoluzione DNS, routing o percorsi di ritorno. Nel Log Viewer va verificato se il traffico dalla zona VPN raggiunge la regola attesa.