La VPN SSL su macOS veniva spesso configurata con Tunnelblick o altri client OpenVPN. Ciò è ancora possibile, ma non è più l’unica opzione ovvia: a partire da Sophos Connect 2.0, Sophos supporta anche Remote Access SSL VPN su macOS.

L’articolo descrive l’attuale percorso standard con Sophos Connect su macOS e classifica Tunnelblick come alternativa. Quando si decide tra Sophos Connect, SSL VPN, IPsec, client mobili e ZTNA, la prima cosa che si adatta è Sophos Connect o SSL VPN: quale soluzione ha l’accesso remoto?.

Quale articolo VPN per macOS è adatto?

Queste istruzioni si applicano a Sophos Firewall con SFOS e SSL VPN su macOS. A seconda del compito, è appropriato un approccio diverso:

• Installa Sophos Connect generalmente su macOS: Installa Sophos Connect Client su macOS.
• Configurare la VPN SSL sul lato firewall: Configurare l’accesso SSL VPN remoto da Sophos Firewall.
• Configura SSL VPN su macOS con Sophos Connect: Questo articolo.
• Configura SSL VPN su Windows: Configura Sophos SSL VPN con Sophos Connect su Windows.
• Configura SSL VPN su iPhone, iPad o Android: iPhone/iPad o Android.
• Mantenere le versioni e i profili client di Sophos Connect: Controllare e coordinare in modo da garantire la versione di Sophos Connect Client.
• La VPN è connessa ma il traffico non funziona: Test di controllo del firewall con visualizzatore log, test policy e acquisizione pacchetti.

Le piattaforme mobili come iOS e Android non sono direttamente supportate da Sophos Connect per IPsec e SSL VPN. I client compatibili con OpenVPN o le funzioni del sistema operativo rimangono rilevanti.

Requisiti

• Configurazione di Sophos Firewall con configurazione di accesso remoto SSL VPN
• Utenti autorizzati per SSL VPN
• Accesso al portale VPN o a un file .ovpn fornito dall’amministratore
• Sophos Connect 2.0 o versione successiva
• macOS Ventura 13 o successivo con Sophos Connect 2.0+
• Mac con processore Intel o Apple Silicon tramite Rosetta 2
• Configurazione MFA/OTP se l’accesso remoto è protetto con esso
• Regole firewall per il traffico dalla zona VPN.

Se la configurazione SSL VPN lato firewall non è ancora in atto, Configurare l’accesso remoto VPN SSL di Sophos Firewall deve essere implementato per primo.

Prima dell’aggiornamento di SFOS 22 MR1 è opportuno verificare anche se esistono ancora le vecchie configurazioni IPsec di accesso remoto. La VPN SSL non ne è direttamente interessata, ma in questo momento molti ambienti stanno rivalutando l’accesso remoto. Il processo è in Migrazione dell’IPsec di accesso remoto legacy prima di SFOS 22 MR1.

Sophos Connect o Tunnelblick?

Per le nuove implementazioni di macOS, è necessario verificare prima Sophos Connect perché Sophos Connect è il client di Sophos e supporta SSL VPN su macOS dalla versione 2.0. Tunnelblick rimane un’alternativa OpenVPN, ma non dovrebbe emergere come un secondo standard non pianificato.

• Sophos Connect: Mac gestiti, processo di supporto unificato, ambiente SFOS attuale. Versione, requisiti macOS, Rosetta 2 presso Apple Silicon e profilo .ovpn attuale.
• Tunnelblick o altro client OpenVPN: processo OpenVPN esistente, casi speciali, deviazione deliberata da Sophos Connect. Documenta chiaramente la versione di OpenVPN, la manutenzione del profilo, il comportamento DNS e la responsabilità del supporto.

Il nome del client è meno importante dell’operazione: dovrebbe essere chiaro quale client è supportato, quale versione è distribuita, da dove proviene il profilo e quando gli utenti devono importare un nuovo profilo.

1. Distribuire Sophos Connect per macOS

A seconda dell’ambiente, Sophos Connect può essere distribuito tramite Sophos Firewall, il portale VPN o la pagina di download di Sophos. Negli ambienti gestiti, dovrebbe essere chiaro quale versione client verrà implementata e se Rosetta 2 è presente sui dispositivi Apple Silicon.

La VPN SSL su macOS richiede Sophos Connect 2.0 o versione successiva. Pertanto le istruzioni interne o i pacchetti di installazione più vecchi non dovrebbero essere utilizzati senza controllarli. Sophos Connect 2.0 MR1 apporta diverse correzioni specifiche per macOS, comprese le impostazioni DNS per le connessioni VPN SSL e l’opzione per salvare le credenziali. Dopo un aggiornamento, se si desidera utilizzare questa opzione, è necessario reimportare il profilo.

2. Ottieni la configurazione OVPN

La configurazione SSL VPN viene fornita come file .ovpn. A seconda del modello operativo, gli utenti li scaricano dal portale VPN o li ricevono controllati tramite il processo di amministrazione.

Processo tipico nel portale VPN:

1. Aprire il portale VPN del Sophos Firewall.
2. Accedi con l’utente VPN.
3. Passare all’area VPN.
4. Scarica la configurazione SSL VPN per il profilo.
5. Conservare il file .ovpn in modo sicuro e utilizzarlo solo per l’utente autorizzato.

Se il browser avvisa del certificato del portale, è necessario verificarne la causa. Negli ambienti produttivi, un certificato valido per il portale VPN è più pulito di un’eccezione persistente del browser. Per la protezione avanzata, è adatto Accesso al dispositivo e ACL del servizio locale su Sophos Firewall.

Dopo eventuali modifiche al gateway, alla porta, al certificato, al DNS, all’intervallo di lease, all’autenticazione o alla policy VPN SSL, il profilo deve essere scaricato nuovamente e importato. Un aggiornamento client da solo non aggiorna un vecchio profilo .ovpn.

3. Importa la connessione in Sophos Connect

Aprire Sophos Connect e importare il file .ovpn. La connessione dovrebbe quindi apparire nell’elenco delle connessioni. Se disponi di più profili, è importante avere un nome univoco in modo che gli utenti e l’assistenza non utilizzino accidentalmente il profilo sbagliato.

Se l’importazione non funziona, controlla prima la versione del client, il tipo di file e l’origine del file di configurazione. La VPN SSL su macOS richiede Sophos Connect 2.0 o versione successiva.

4. Stabilisci una connessione VPN

Selezionare la connessione importata e fare clic su Connect. Quindi accedi con l’utente VPN. Se MFA o OTP sono attivi, il secondo fattore deve essere confermato in base alla configurazione del firewall.

Dopo aver stabilito la connessione non è necessario verificare solo lo stato nel client. Ciò che è cruciale è se gli obiettivi interni richiesti possono essere raggiunti.

Controllare dopo l’installazione

Almeno questi punti dovrebbero essere verificati con un utente di prova:

• Sophos Connect mostra la connessione come connessa.
• L’utente riceve un indirizzo IP dal pool VPN SSL previsto.
• I nomi DNS interni sono risolti correttamente.
• I server e le applicazioni richiesti sono accessibili.
• Il comportamento di Internet corrisponde alla struttura: split tunnel o full tunnel.
• La regola firewall prevista per il traffico dalla zona VPN è visibile nel visualizzatore registro.
• L’AMF viene interrogata come previsto.
• Lavori di disconnessione e ri-accesso.

Se la connessione viene stabilita ma l’accesso non funziona, spesso la causa non è il client, ma piuttosto le regole del firewall, il DNS, il routing o il NAT. Testa le regole del firewall con Log Viewer, Policy Test e Packet Capture è adatto per l’analisi.

Test di accettazione su macOS

Dopo la configurazione, dovresti documentare un caso di test reale, non solo lo stato del client verde.

• Controlla la versione di Sophos Connect: La versione del client corrisponde alla versione di macOS e al supporto SSL VPN.
• Prova il silicio di Apple: Rosetta 2 è disponibile e il client si avvia in modo affidabile.
• Controlla l’importazione del profilo: Il profilo .ovpn proviene dalla configurazione attuale del firewall.
• Prova l’AMF: L’accesso con il fattore giusto e sbagliato si comporta in modo comprensibile.
• Prova DNS: I nomi interni vengono risolti correttamente, non solo gli indirizzi IP.
• Prova l’accesso: I target consentiti funzionano, i target non autorizzati rimangono bloccati.
• Controllare Visualizzatore registro: Il traffico dalla zona VPN soddisfa la regola firewall prevista.
• Testare la riconnessione: La disconnessione e la riconnessione funzionano senza modificare i profili.

Se in azienda vengono utilizzate più versioni di macOS, è necessario testare almeno un Mac Intel e un Mac Apple Silicon. Per i client misti, è necessario verificare anche che Sophos Connect e Tunnelblick non utilizzino profili o risultati DNS diversi.

Alternativa: Tunnelblick o altro client OpenVPN

Tunnelblick può comunque essere utile se non si intende utilizzare Sophos Connect o se si mantiene deliberatamente un processo OpenVPN esistente. Questa variante dovrebbe tuttavia essere documentata come standard operativo separato, in modo che Sophos Connect, Tunnelblick e vecchi profili non siano in circolazione contemporaneamente.

Con Tunnelblick viene importato il file .ovpn. Successivamente è necessario verificare la versione di OpenVPN, il profilo, l’accesso dell’utente e il comportamento DNS. Le vecchie specifiche generali per una specifica versione di OpenVPN non dovrebbero essere adottate senza verifica; I fattori decisivi sono la versione del firewall attualmente utilizzata, la versione del client e il profilo specifico.

Operazioni e sicurezza

SSL VPN è un servizio di accesso remoto disponibile pubblicamente. Ecco perché non dovresti documentare solo l’installazione, ma anche il funzionamento:

• Aggiorna regolarmente il client Sophos Connect o OpenVPN.
• Attivare e testare l’MFA per l’accesso remoto.
• Controlla regolarmente i gruppi VPN.
• Limitare l’accesso al portale tramite Accesso al dispositivo e ACL del servizio locale, ove possibile.
• Mantieni rigide le regole del firewall per la zona VPN e accedi.
• Rimuovi vecchi file .ovpn e profili obsoleti.
• Se i log vengono archiviati per un periodo di tempo più lungo, pianificare un syslog o una valutazione centralizzata.

Per le nozioni di base sull’MFA, Abilita MFA tramite Sophos Firewall WebAdmin, portale VPN e accesso remoto è adatto. Per i file di registro e i registri dei servizi, è utile Risoluzione dei problemi di Sophos Firewall: servizio e registro.

Elenco di controllo per l’implementazione di macOS

• È definito il client predefinito supportato: Sophos Connect o deliberatamente un client OpenVPN.
• La versione di Sophos Connect è adatta per macOS Ventura 13 o versioni successive.
• I dispositivi Apple Silicon hanno incluso Rosetta 2 nel lancio.
• Il profilo .ovpn proviene dall’attuale configurazione SSL VPN.
• Il portale VPN utilizza un certificato valido.
• L’utente è incluso nella policy SSL VPN corretta.
• Il comportamento dell’MFA è documentato e testato con un utente di prova.
• DNS, dominio di ricerca e sistemi di destinazione interni sono stati testati su macOS.
• Regole firewall per il traffico di test del registro della zona VPN.
• Dopo le modifiche al profilo, è chiaro chi informerà gli utenti sulla nuova importazione.

Risoluzione dei problemi

Sophos Connect non importa il file OVPN

Per prima cosa dovresti verificare se è installato Sophos Connect 2.0 o versione successiva e se il file proviene realmente dall’attuale configurazione SSL VPN. Ricaricare quindi il file dal portale VPN o ridistribuirlo a livello amministrativo.

I nomi interni non vengono risolti

Controlla i server DNS, i domini di ricerca e la configurazione SSL VPN sul firewall. Per Sophos Connect su macOS, è necessario verificare anche lo stato del client poiché Sophos ha risolto un problema DNS con le connessioni SSL VPN su macOS nella versione 2.0 MR1.

Se gli indirizzi IP funzionano ma i nomi no, si tratta di un problema DNS o di dominio di ricerca. Se anche gli indirizzi IP non funzionano, sono più probabili il routing, le regole del firewall o il percorso di ritorno.

La connessione è stata stabilita, ma non è possibile raggiungere i sistemi interni

Controlla le regole del firewall, il routing, il NAT e il percorso di ritorno. Il traffico dalla zona VPN dovrebbe essere visibile nel visualizzatore registro. Se non viene visualizzato alcun registro, probabilmente il traffico non raggiunge la regola prevista oppure la registrazione è disabilitata.

Se i piccoli accessi funzionano, ma i trasferimenti di file più grandi o alcune applicazioni si bloccano, è necessario controllare anche MTU/MSS: Controllare Sophos Firewall MTU e MSS per VPN potenzialmente problematiche.

La connessione non funziona più dopo la modifica del profilo

Dopo le modifiche al gateway, al certificato, alla porta, al DNS, all’intervallo di lease o all’autenticazione, il profilo .ovpn deve essere reimportato. Se è stato aggiornato solo il client ma rimane in uso un vecchio profilo, è ancora possibile utilizzare le vecchie destinazioni, porte o valori DNS.

I dati di accesso al salvataggio non sono visibili

Sophos ha riattivato l’opzione per salvare le credenziali in Sophos Connect 2.0 MR1 per macOS. Dopo l’aggiornamento è necessario reimportare la configurazione affinché l’opzione possa essere utilizzata. Negli ambienti con MFA bisognerebbe comunque verificare se la memorizzazione dei dati di accesso è conforme al concetto di sicurezza.#

Interruzioni di connessione in reti straniere

La VPN SSL è spesso più tollerante di IPsec, ma non è immune a reti restrittive, captive Portal, coercizione dei proxy o WLAN instabili. In questi casi, testare con una seconda rete e verificare se tunnel diviso, porta, protocollo o ZTNA sono la soluzione migliore.

Raccogli i dati di supporto

Se l’errore non è immediatamente visibile, è necessario documentare i registri del client, l’ora, l’utente, la rete di origine e il sistema di destinazione. Sul lato firewall, Log Viewer, sslvpn.log, openvpn-status*.log e la regola firewall appropriata aiutano in parallelo. L’assegnazione dei file di log è reperibile in Risoluzione dei problemi di Sophos Firewall: servizio e log.

Domande frequenti