Configurare Sophos SSL VPN con Sophos Connect su macOS

In passato, SSL VPN su macOS veniva spesso configurata con Tunnelblick o altri client OpenVPN. È ancora possibile farlo, ma non è più l’unica scelta naturale: dalla versione 2.0, Sophos Connect supporta anche Remote Access SSL VPN su macOS.

Questo articolo descrive l’attuale procedura standard con Sophos Connect su macOS e presenta i client compatibili con OpenVPN come alternativa. Per scegliere tra Sophos Connect, SSL VPN, IPsec, client mobili e ZTNA, conviene iniziare da Sophos Connect o SSL VPN: quale soluzione di accesso remoto scegliere?.

Scelta e requisiti

Quale articolo sulla VPN per macOS scegliere?

Questa guida riguarda Sophos Firewall con SFOS e SSL VPN su macOS. A seconda dell’attività, può essere più adatto un altro punto di partenza:

Installare Sophos Connect su macOS in generale: Installare Sophos Connect Client su macOS.
Configurare SSL VPN sul firewall: Configurare Sophos Firewall SSL VPN Remote Access.
Configurare SSL VPN su macOS con Sophos Connect: questo articolo.
Configurare SSL VPN su Windows: Configurare Sophos SSL VPN con Sophos Connect su Windows.
Configurare SSL VPN su iPhone, iPad o Android: iPhone/iPad o Android.
Gestire versioni e profili di Sophos Connect Client: Controllare la versione di Sophos Connect Client e aggiornarla in sicurezza.
La VPN è connessa, ma il traffico non funziona: Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Sophos Connect non supporta direttamente le piattaforme mobili come iOS e Android per IPsec e SSL VPN. Su questi dispositivi restano pertinenti i client compatibili con OpenVPN o le funzioni del sistema operativo.

Requisiti

Sophos Firewall con una configurazione SSL VPN Remote Access già predisposta
utente autorizzato a utilizzare SSL VPN
accesso al VPN Portal oppure a un file .ovpn fornito dall’amministratore
Sophos Connect 2.0 o versione successiva
macOS Ventura 13 o versione successiva con Sophos Connect 2.0+
Mac con processore Intel oppure Apple Silicon tramite Rosetta 2
nessun vecchio Sophos SSL VPN Client installato in parallelo
MFA/OTP configurata, se Remote Access è protetto in questo modo
regole firewall per il traffico proveniente dalla zona VPN

Se la configurazione SSL VPN sul firewall non è ancora pronta, occorre prima seguire Configurare Sophos Firewall SSL VPN Remote Access.

Prima di un aggiornamento a SFOS 22 MR1, è inoltre opportuno controllare se sono ancora presenti vecchie configurazioni Remote Access IPsec. SSL VPN non è direttamente interessata, ma molte organizzazioni colgono questo momento per rivalutare l’accesso remoto. La procedura è descritta in Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.

Sophos Connect o un client compatibile con OpenVPN?

Per le nuove distribuzioni su macOS, conviene valutare prima Sophos Connect: è il client di Sophos e dalla versione 2.0 supporta SSL VPN su macOS. OpenVPN Connect o Tunnelblick restano alternative, ma non dovrebbero trasformarsi per caso in un secondo standard non pianificato.

Sophos Connect: indicato per Mac gestiti, un processo di supporto uniforme e ambienti SFOS aggiornati. Sono importanti la versione, i requisiti macOS, Rosetta 2 su Apple Silicon e un profilo .ovpn aggiornato.
OpenVPN Connect, Tunnelblick o un altro client OpenVPN: indicato se esiste già un processo OpenVPN, per casi particolari o quando si decide consapevolmente di non usare Sophos Connect. Sono importanti la versione OpenVPN, il formato di download corretto, la gestione del profilo, il comportamento DNS e una responsabilità di supporto chiaramente documentata.

Il nome del client conta meno della sua gestione operativa: deve essere chiaro quale client è supportato, quale versione viene distribuita, da dove proviene il profilo e quando gli utenti devono importarne uno nuovo.

Configurare Sophos Connect su macOS

1. Distribuire Sophos Connect per macOS

A seconda dell’ambiente, Sophos Connect può essere distribuito tramite Sophos Firewall, il VPN Portal o la pagina di download di Sophos. Negli ambienti gestiti occorre stabilire quale versione del client distribuire e verificare la presenza di Rosetta 2 sui dispositivi Apple Silicon.

SSL VPN su macOS richiede Sophos Connect 2.0 o una versione successiva. Le vecchie istruzioni interne o i pacchetti di installazione datati non devono quindi essere riutilizzati senza verifica. Prima di installare Sophos Connect è necessario rimuovere un eventuale vecchio Sophos SSL VPN Client, perché i due client non possono funzionare in parallelo.

Sophos Connect 2.0 MR1 include diverse correzioni specifiche per macOS, tra cui le impostazioni DNS per le connessioni SSL VPN e l’opzione per salvare le credenziali. Dopo l’aggiornamento, il profilo deve essere importato nuovamente se si vuole utilizzare questa opzione.

2. Ottenere la configurazione OVPN

La configurazione SSL VPN viene fornita come file .ovpn. A seconda del modello operativo, gli utenti la scaricano dal VPN Portal oppure la ricevono in modo controllato tramite il processo amministrativo.

Nel VPN Portal, la procedura per Sophos Connect su macOS è la seguente:

Aprire il VPN Portal di Sophos Firewall. L’indirizzo predefinito è https://<Firewall-FQDN>:443, se la porta non è stata modificata.
Accedere con l’utente VPN.
Passare alla sezione VPN.
In Sophos Connect client, selezionare Download for macOS per scaricare il client, se non è già stato distribuito centralmente.
In VPN configuration, per la configurazione SSL VPN desiderata selezionare Download configuration for Windows, macOS, Linux.
Per Sophos Connect scegliere Use with Sophos Connect and OpenVPN Connect v2 clients. La variante per OpenVPN Connect v3 è destinata a un client OpenVPN v3 corrispondente.
Conservare il file .ovpn in modo sicuro e utilizzarlo esclusivamente per l’utente autorizzato.

Per SSL VPN su macOS viene attualmente utilizzato il file .ovpn. Il provisioning automatico tramite .pro per SSL VPN è disponibile in Sophos Connect soltanto su Windows. Le modifiche alla policy o alle impostazioni SSL VPN globali non arrivano quindi automaticamente al Mac; dopo modifiche rilevanti è necessario scaricare e importare un file .ovpn aggiornato.

Se il browser segnala un problema con il certificato del portale, occorre verificarne la causa. Negli ambienti di produzione, un certificato valido per il VPN Portal è preferibile a un’eccezione permanente nel browser. Per l’hardening, consultare Device Access e Local Service ACL su Sophos Firewall.

Dopo modifiche a gateway, porta, certificato, DNS, intervallo di lease, autenticazione o SSL VPN policy, il profilo deve essere scaricato e importato nuovamente. Il solo aggiornamento del client non aggiorna un vecchio profilo .ovpn.

3. Importare la connessione in Sophos Connect

Aprire Sophos Connect e importare il file .ovpn. La connessione dovrebbe quindi comparire nell’elenco. Se sono presenti più profili, è importante assegnare nomi univoci, affinché utenti e supporto non utilizzino per errore il profilo sbagliato.

Se l’importazione non riesce, controllare innanzitutto la versione del client, il tipo di file e l’origine del file di configurazione. SSL VPN su macOS richiede Sophos Connect 2.0 o una versione successiva. Un profilo scaricato per OpenVPN Connect v3 non deve essere trattato come profilo Sophos Connect.

Se si utilizza Microsoft Entra ID SSO, il profilo deve contenere la configurazione SSO aggiornata. Se SSO smette di funzionare dopo una modifica, scaricare e importare nuovamente il file .ovpn. La configurazione sul firewall è descritta in Configurare Microsoft Entra ID SSO per Sophos Connect e VPN Portal.

4. Stabilire la connessione VPN

Selezionare la connessione importata e fare clic su Connect. Accedere quindi con l’utente VPN. Se MFA o OTP sono attive, il secondo fattore deve essere confermato secondo la configurazione del firewall.

Dopo avere stabilito la connessione, non basta controllare lo stato nel client. È essenziale verificare che le risorse interne necessarie siano effettivamente raggiungibili.

Verificare la connessione

Controlli dopo l’installazione

Con un utente di prova occorre verificare almeno i seguenti punti:

Sophos Connect mostra la connessione come attiva.
L’utente riceve un indirizzo IP dal pool SSL VPN previsto.
I nomi DNS interni vengono risolti correttamente.
I server e le applicazioni necessari sono raggiungibili.
Il comportamento del traffico Internet corrisponde al progetto: Split Tunnel o Full Tunnel.
Nel Log Viewer è visibile la regola firewall prevista per il traffico proveniente dalla zona VPN.
MFA viene richiesta come previsto.
La disconnessione e un nuovo accesso funzionano.

Se la connessione è attiva ma l’accesso non funziona, spesso la causa non è il client, bensì le regole firewall, DNS, routing o NAT. Per l’analisi, consultare Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Test di accettazione su macOS

Dopo la configurazione è opportuno documentare un caso di prova reale, non soltanto lo stato verde del client.

Controllare la versione di Sophos Connect: la versione del client è compatibile con la versione di macOS e con il supporto SSL VPN.
Testare Apple Silicon: Rosetta 2 è presente e il client si avvia in modo affidabile.
Controllare l’importazione del profilo: il profilo .ovpn proviene dalla configurazione corrente del firewall.
Testare MFA: l’accesso con un fattore corretto e con uno errato produce un comportamento comprensibile.
Testare DNS: i nomi interni vengono risolti correttamente, non soltanto gli indirizzi IP.
Testare l’accesso: le destinazioni consentite sono raggiungibili, quelle non autorizzate restano bloccate.
Controllare il Log Viewer: il traffico dalla zona VPN utilizza la regola firewall prevista.
Testare la riconnessione: disconnessione e nuova connessione funzionano senza cambiare profilo.

Se in azienda vengono utilizzate più versioni di macOS, è opportuno testare almeno un Mac Intel e un Mac Apple Silicon. In presenza di client diversi, occorre inoltre verificare che Sophos Connect e Tunnelblick non utilizzino profili o risultati DNS differenti.

Alternativa: client compatibile con OpenVPN

OpenVPN Connect o Tunnelblick possono essere ancora utili se non si vuole usare Sophos Connect oppure se si mantiene consapevolmente un processo OpenVPN esistente. Questa variante deve però essere documentata come standard operativo separato, evitando che Sophos Connect, più client OpenVPN e vecchi profili restino in uso contemporaneamente.

Nel VPN Portal, la variante di configurazione scaricata deve corrispondere al client utilizzato. In seguito occorre verificare il file .ovpn, l’accesso dell’utente e il comportamento DNS. Le vecchie indicazioni generiche relative a una specifica versione OpenVPN non devono essere riprese senza controllo; fanno fede la versione del firewall in uso, la versione del client e il profilo concreto.

Gestione operativa e sicurezza

SSL VPN è un servizio Remote Access raggiungibile pubblicamente. Non bisogna quindi documentarne soltanto l’installazione, ma anche la gestione operativa:

Aggiornare regolarmente Sophos Connect o il client OpenVPN.
Attivare e testare MFA per Remote Access.
Controllare regolarmente i gruppi VPN.
Limitare, per quanto possibile, gli accessi al portale tramite Device Access e Local Service ACL.
Mantenere restrittive le regole firewall per la zona VPN e attivare il logging.
Rimuovere i vecchi file .ovpn e i profili obsoleti.
Per una conservazione prolungata dei log, prevedere Syslog o un’analisi centralizzata.

Per le nozioni di base su MFA, consultare Attivare MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access. Per i file di log e i log dei servizi, è utile Risoluzione dei problemi di Sophos Firewall: servizi e log.

Checklist per la distribuzione su macOS

È stato definito il client standard supportato: Sophos Connect oppure, consapevolmente, un client OpenVPN.
La versione di Sophos Connect è adatta a macOS Ventura 13 o versione successiva.
Rosetta 2 è stata inclusa nella distribuzione sui dispositivi Apple Silicon.
Il profilo .ovpn proviene dalla configurazione SSL VPN corrente.
La variante di download corrisponde a Sophos Connect o alla versione del client OpenVPN utilizzata.
Nel processo di gestione dei profili si tiene conto dell’assenza dell’aggiornamento automatico tramite .pro su macOS.
Il VPN Portal utilizza un certificato valido.
L’utente è incluso nella SSL VPN policy corretta.
Il comportamento MFA è documentato e verificato con un utente di prova.
DNS, dominio di ricerca e sistemi interni di destinazione sono stati testati su macOS.
Le regole firewall per la zona VPN registrano il traffico di prova.
Dopo le modifiche al profilo, è chiaro chi informa gli utenti della necessità di importarlo nuovamente.

Risoluzione dei problemi

Sophos Connect non importa il file OVPN

Controllare innanzitutto che sia installato Sophos Connect 2.0 o una versione successiva e che il file provenga effettivamente dalla configurazione SSL VPN corrente. Scaricare quindi di nuovo il file dal VPN Portal oppure distribuirlo nuovamente tramite l’amministrazione.

I nomi interni non vengono risolti

Controllare i server DNS, i domini di ricerca e la configurazione SSL VPN sul firewall. Con Sophos Connect su macOS occorre verificare anche la versione del client, perché nella versione 2.0 MR1 Sophos ha corretto un problema DNS relativo alle connessioni SSL VPN su macOS.

Se gli indirizzi IP funzionano ma i nomi no, si tratta di un problema DNS o del dominio di ricerca. Se non funzionano nemmeno gli indirizzi IP, le cause più probabili sono routing, regole firewall o percorso di ritorno.

La connessione è attiva, ma i sistemi interni non sono raggiungibili

Controllare regole firewall, routing, NAT e percorso di ritorno. Nel Log Viewer dovrebbe essere visibile il traffico proveniente dalla zona VPN. Se non appare alcun log, probabilmente il traffico non raggiunge la regola prevista oppure il logging è disattivato.

Se gli accessi di piccole dimensioni funzionano, ma i trasferimenti di file più grandi o determinate applicazioni si bloccano, occorre controllare anche MTU/MSS: Controllare MTU e MSS di Sophos Firewall in caso di problemi VPN.

La connessione non funziona più dopo una modifica del profilo

Dopo modifiche a gateway, certificato, porta, DNS, intervallo di lease o autenticazione, il profilo .ovpn deve essere importato nuovamente. Se è stato aggiornato soltanto il client ma si continua a usare un vecchio profilo, possono restare attive destinazioni, porte o impostazioni DNS obsolete.

L’opzione per salvare le credenziali non è visibile

Sophos ha riattivato in Sophos Connect 2.0 MR1 per macOS l’opzione per salvare le credenziali. Dopo l’aggiornamento, la configurazione deve essere importata nuovamente per rendere disponibile questa opzione. Negli ambienti con MFA occorre comunque verificare che il salvataggio delle credenziali sia conforme al modello di sicurezza.

La connessione si interrompe su reti esterne

SSL VPN è spesso più tollerante di IPsec, ma non è immune da reti restrittive, Captive Portal, proxy obbligatori o reti Wi-Fi instabili. In questi casi, effettuare una prova con una seconda rete e valutare se Split Tunnel, porta, protocollo o ZTNA siano più adatti.

Raccogliere i dati per il supporto

Se l’errore non è immediatamente evidente, documentare i log del client, l’ora, l’utente, la rete di origine e il sistema di destinazione. In Sophos Connect è possibile generare un pacchetto di supporto tramite menu con tre puntini > About > Generate technical support report. Il file si chiama scvpntsr.zip e contiene eventi di connessione, informazioni di configurazione e dati dell’endpoint. Prima di inoltrarlo, occorre verificare a chi è consentito trasmettere queste informazioni.

Sul firewall, sono utili in parallelo Log Viewer, sslvpn.log, openvpn-status*.log e la regola firewall pertinente. L’associazione dei file di log è descritta in Risoluzione dei problemi di Sophos Firewall: servizi e log.

FAQ

Sophos Connect supporta SSL VPN su macOS?

Sì. Dalla versione Sophos Connect 2.0, il client Sophos Connect su macOS può utilizzare Remote Access SSL VPN.

Sophos Connect funziona su Apple Silicon?

Sì. Sophos Connect 2.0 e versioni successive supportano i Mac con Apple Silicon tramite Rosetta 2. Negli ambienti gestiti, Rosetta 2 deve quindi essere inclusa nella pianificazione della distribuzione.

È ancora necessario utilizzare Tunnelblick?

Non necessariamente. Tunnelblick resta un’alternativa OpenVPN, ma per molti ambienti Sophos Connect è il client standard più facile da gestire.

Perché DNS non funziona su macOS anche se la connessione SSL VPN è attiva?

Le cause più frequenti sono i server DNS, il dominio di ricerca, un profilo obsoleto o la versione del client. Sophos Connect 2.0 MR1 include una correzione per le impostazioni DNS di SSL VPN su macOS. Anche dopo l’aggiornamento, profilo e regole firewall devono comunque essere verificati separatamente.

È possibile usare Sophos Connect per SSL VPN su iOS o Android?

No. Sophos Connect non supporta direttamente le piattaforme mobili per IPsec e SSL VPN. A seconda del protocollo, su iOS e Android si utilizzano client compatibili con OpenVPN o funzioni del sistema operativo.