Installare Sophos Connect Client su macOS

Sophos Connect può essere utilizzato su macOS per l’accesso remoto tramite Sophos Firewall. Nelle versioni attuali non è più rilevante soltanto IPsec: a partire da Sophos Connect 2.0 è disponibile anche Remote Access SSL VPN su macOS. Di conseguenza, la raccomandazione è cambiata per molti ambienti.

Questo articolo descrive l’installazione su macOS, l’importazione della connessione appropriata e i controlli più importanti dopo aver stabilito la connessione. Per scegliere in linea di principio tra Sophos Connect, SSL VPN, client OpenVPN e ZTNA, consulta Sophos Connect o SSL VPN: quale soluzione di accesso remoto scegliere?.

Quale articolo scegliere?

Sophos Connect su macOS si sovrappone facilmente ad altri articoli sull’accesso remoto. A seconda dell’attività, può essere preferibile partire da un’altra guida:

• Installare Sophos Connect su macOS: questo articolo.
• Configurare SSL VPN su macOS con .ovpn: Configurare Sophos SSL VPN con Sophos Connect su macOS.
• Preparare Sophos Connect sul firewall: Configurare Sophos Connect su Sophos Firewall.
• Pianificare versioni del client, aggiornamenti e manutenzione dei profili: Verificare e aggiornare in sicurezza la versione di Sophos Connect Client.
• La VPN è connessa, ma il traffico non funziona: Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Questa distinzione è importante perché l’installazione del client è solo una parte della gestione dell’accesso remoto. Regole firewall, DNS, MFA, certificati, VPN Portal e distribuzione dei profili restano punti di controllo separati.

Prerequisiti

• Sophos Firewall con configurazione di accesso remoto già predisposta
• Sophos Connect Client in una versione compatibile con il firewall e la piattaforma
• Per Sophos Connect 2.0 o versioni successive: macOS Ventura 13 o successivo
• Mac con processore Intel oppure Apple Silicon tramite Rosetta 2
• File di configurazione per IPsec (.scx) o SSL VPN (.ovpn)
• nessun vecchio Sophos SSL VPN Client installato in parallelo
• Account utente autorizzato alla VPN e, se attivata, MFA funzionante
• Regole firewall per il traffico proveniente dalla zona VPN o dalla zona di accesso remoto utilizzata

Per utilizzare SSL VPN su macOS è necessario Sophos Connect 2.0 o successivo. È quindi opportuno verificare se le vecchie istruzioni interne si basano ancora sulla precedente situazione limitata a IPsec. Per la verifica della versione, la pianificazione degli aggiornamenti e i problemi tipici relativi a DNS e profili, consulta Verificare e aggiornare in sicurezza la versione di Sophos Connect Client.

Importante: il provisioning automatico tramite file .pro è attualmente documentato per Sophos Connect solo su Windows. Su macOS si importa quindi un file .scx per IPsec oppure un file .ovpn per SSL VPN. Le modifiche apportate sul firewall non vengono trasferite automaticamente a questi profili; dopo modifiche rilevanti, il file aggiornato deve essere ridistribuito e importato nuovamente.

1. Scaricare Sophos Connect Client

Il Sophos Connect Client per macOS può essere scaricato, a seconda dell’ambiente, dal firewall, dal VPN Portal o dalla pagina di download Sophos. Negli ambienti gestiti occorre definire quale versione del client distribuire e dove gli utenti possano ottenere il file di configurazione corretto.

Per IPsec su macOS si utilizza un file .scx. Per SSL VPN si importa un file .ovpn. Il file corretto dipende dalla configurazione di accesso remoto sul firewall.

• IPsec Remote Access: .scx; utilizzabile con Sophos Connect su Intel e Apple Silicon.
• SSL VPN: .ovpn; richiede Sophos Connect 2.0 o successivo.
• Provisioning: .pro; attualmente non supportato su macOS, ma solo su Windows.

Con una configurazione IPsec classica di Sophos Connect, la connessione viene esportata da WebAdmin:

1. Su Sophos Firewall aprire VPN > Sophos Connect Client.
2. Esportare la connessione.
3. Conservare il file in modo sicuro e metterlo a disposizione soltanto degli utenti autorizzati.

A seconda della fonte di download, il programma di installazione si trova in un file Zip. Dopo l’estrazione, in genere è disponibile il pacchetto Sophos Connect.pkg per macOS.

Sui Mac gestiti, il programma di installazione non dovrebbe essere distribuito su larga scala senza un gruppo pilota. Se in azienda sono presenti entrambe le piattaforme, occorre testare prima almeno un Mac Intel e un Mac con Apple Silicon.

2. Installare Sophos Connect Client

Prima dell’installazione è necessario rimuovere un eventuale vecchio Sophos SSL VPN Client. Sophos segnala che Sophos Connect non può essere utilizzato in parallelo con un altro client VPN già presente. Anche per aggiornare Sophos Connect vale la stessa procedura: disinstallare la versione esistente e installare quindi quella corrente.

Avviare l’installazione con un doppio clic su Sophos Connect.pkg. Verificare la destinazione di installazione, fare clic su Install e concludere la procedura guidata con Finish.

Sui dispositivi Apple Silicon può essere necessario Rosetta 2. Se macOS mostra un avviso corrispondente durante l’installazione, installare Rosetta 2 e riavviare quindi il client.

Dopo l’installazione, verificare subito la versione direttamente nel client. Questo controllo è particolarmente importante quando nell’organizzazione sono circolati più pacchetti di installazione o quando gli utenti avevano già installato il client in precedenza.

3. Scaricare il file di connessione

Al primo avvio, Sophos Connect richiede una configurazione di connessione. Il file deve provenire dalla configurazione attualmente valida del firewall e non essere recuperato da un vecchio archivio dell’utente.

File di connessione tipici:

• IPsec Remote Access: .scx; esportazione dalla configurazione IPsec Remote Access corrente.
• SSL VPN: .ovpn; VPN Portal o esportazione amministrativa.

Se prima di un aggiornamento a SFOS 22 MR1 sono ancora presenti vecchie configurazioni IPsec Remote Access, non bisogna semplicemente ridistribuire un profilo obsoleto. In questo caso, consulta prima Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.

I profili devono essere trattati come credenziali di accesso. Un vecchio file .ovpn o .scx può continuare a contenere reti interne, nomi di gateway, certificati o riferimenti agli utenti. Se sono stati modificati gateway, certificato, DNS, gruppo di utenti, pool IP o autenticazione, il profilo deve essere esportato e importato nuovamente.

4. Configurare Sophos Connect Client

La configurazione di Sophos Connect Client richiede pochi passaggi:

1. Aprire Sophos Connect.
2. Selezionare Import Connection.
3. Importare il file di connessione corretto.
4. Verificare la connessione in Connections.
5. Fare clic su Connect.
6. Accedere con l’utente VPN e confermare l’MFA, se attivata.

Dopo aver stabilito la connessione, verificare anche che i nomi DNS interni vengano risolti e che i sistemi necessari siano raggiungibili. Se la connessione è attiva ma il traffico non passa, utilizzare Log Viewer, Policy Test e Packet Capture. La procedura è descritta in Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Con SSL VPN su macOS, il test DNS è particolarmente importante. Sophos Connect 2.0 MR1 risolve un problema per cui le impostazioni DNS delle connessioni SSL VPN non venivano applicate correttamente su macOS. Se i nomi interni non vengono risolti, controllare prima la versione e lo stato del profilo anziché modificare indiscriminatamente le regole DNS.

Microsoft Entra ID SSO in Sophos Connect Client è attualmente documentato solo per Windows a partire da Sophos Connect 2.4. Per un rollout su macOS non si deve quindi presumere che la guida SSO per Windows o il provisioning .pro funzionino allo stesso modo. L’MFA configurata sul firewall resta una funzione separata.

Controlli dopo l’installazione

Dopo l’installazione, controllare i seguenti punti:

• La versione di Sophos Connect è compatibile con la versione di macOS in uso.
• Su Apple Silicon è disponibile Rosetta 2, se richiesto dal client.
• Il file importato corrisponde al protocollo desiderato: IPsec o SSL VPN.
• L’utente è autorizzato nel gruppo VPN corretto.
• L’MFA funziona e viene richiesta in modo comprensibile.
• Il client riceve un indirizzo IP VPN appropriato.
• I nomi DNS interni vengono risolti.
• Le regole firewall per la zona VPN consentono soltanto le destinazioni necessarie.

Test di collaudo per macOS

Uno stato di connessione verde non è sufficiente per il collaudo. Per un rollout affidabile, un utente di test deve verificare i seguenti punti:

1. Verificare la versione del client: la versione è compatibile con macOS, con IPsec o SSL VPN e con l’approvazione interna.
2. Verificare Apple Silicon: Rosetta 2 è disponibile e Sophos Connect si avvia in modo affidabile.
3. Importare il profilo: viene accettato il file corretto per IPsec o SSL VPN.
4. Testare l’MFA: l’accesso richiede il secondo fattore previsto.
5. Testare il DNS: i FQDN interni vengono risolti correttamente.
6. Testare l’accesso: i server autorizzati funzionano, mentre le destinazioni non autorizzate restano bloccate.
7. Controllare Log Viewer: il traffico dalla zona VPN raggiunge la regola firewall prevista.
8. Testare la riconnessione: la disconnessione, il cambio di rete e la nuova connessione funzionano.

Negli ambienti misti è opportuno testare almeno un Mac Intel e un Mac con Apple Silicon. Se vengono utilizzati anche client Windows, il loro comportamento non deve essere considerato implicitamente identico. Piattaforma, tipo di profilo e versione del client possono differire.

Indicazioni per il rollout sui Mac gestiti

Con pochi utenti, spesso è sufficiente un’installazione manuale con importazione controllata del profilo. Negli ambienti più grandi, Sophos Connect deve essere gestito come qualsiasi altro software client rilevante per la sicurezza.

Prima di un rollout esteso, chiarire:

• Quale versione di Sophos Connect è approvata?
• Quali versioni di macOS sono in uso?
• Sono presenti Mac Intel, Mac con Apple Silicon o entrambi?
• Si utilizza IPsec, SSL VPN o entrambi?
• Dove ottengono gli utenti il profilo corrente?
• Chi informa gli utenti quando è necessario importare nuovamente i profili?
• In che modo Sophos Connect viene disinstallato prima di un aggiornamento e reinstallato in seguito?
• È documentato che Entra ID SSO e il provisioning .pro su macOS non offrono le stesse funzionalità disponibili su Windows?
• In che modo l’helpdesk identifica i profili obsoleti?
• VPN Portal, MFA e certificati vengono monitorati separatamente?

I vecchi pacchetti di installazione e i profili obsoleti devono essere rimossi dagli archivi di download interni o contrassegnati chiaramente come superati. Soprattutto con l’accesso remoto, usare “un vecchio profilo qualsiasi dalla cartella Download” comporta rapidamente un’inutile ricerca degli errori.

Risoluzione dei problemi

La connessione viene importata, ma non viene stabilita

Verificare innanzitutto che il file appartenga al protocollo corretto e che la versione di Sophos Connect sia adeguata. SSL VPN su macOS richiede Sophos Connect 2.0 o successivo. Controllare quindi autorizzazione dell’utente, MFA, certificato, gateway, ora del firewall e raggiungibilità del FQDN di VPN Portal o del gateway.

I nomi interni non vengono risolti

Con SSL VPN su macOS, verificare la versione di Sophos Connect utilizzata, poiché sono state pubblicate correzioni specifiche in questo ambito. Controllare quindi server DNS, domini di ricerca, profilo importato e regole firewall.

Se gli indirizzi IP funzionano ma i nomi no, la causa probabile è il DNS. Se non funzionano nemmeno gli indirizzi IP, sono più probabili routing, regole firewall, NAT o percorso di ritorno.

La connessione è attiva, ma non funziona alcun accesso

In questo caso, la causa è spesso nelle regole firewall, nel routing, nel NAT o nel percorso di ritorno. In Log Viewer deve essere visibile se il traffico proveniente dalla zona VPN raggiunge la regola prevista. Per casi specifici relativi a IPsec, consulta Risoluzione dei problemi IPsec VPN su Sophos Firewall.

La connessione non funziona più dopo una modifica del profilo

Dopo modifiche a gateway, certificato, porta, DNS, pool IP, gruppo di utenti o autenticazione, esportare e importare nuovamente il profilo. Un aggiornamento del client non sostituisce automaticamente un profilo obsoleto.

L’opzione per salvare le credenziali non è visibile

Sophos ha riattivato questa opzione per SSL VPN su macOS in Sophos Connect 2.0 MR1. Dopo un aggiornamento, il file di configurazione deve essere importato nuovamente per poter utilizzare l’opzione. Negli ambienti con MFA, verificare inoltre se il salvataggio delle credenziali è compatibile con il modello di sicurezza.

Sophos Connect non si apre o non risponde

Se l’interfaccia non si apre o non reagisce all’icona nella barra dei menu di macOS, il processo della GUI potrebbe essersi bloccato. In Activity Monitor, selezionare il processo Sophos Connect, terminarlo con Force Quit e riavviare quindi l’applicazione da Launchpad. Questa operazione chiude soltanto l’interfaccia bloccata; se il problema si ripete, controllare la versione del client e il report di supporto.

Dopo la disconnessione, l’accesso al Web non funziona più

Dopo la disconnessione di un Full Tunnel, macOS può continuare a utilizzare i server DNS interni della connessione VPN. In questo caso, i siti Web e la risoluzione dei nomi al di fuori del tunnel smettono di funzionare. Disconnettere brevemente il Wi-Fi o Ethernet e riconnetterlo. Se il problema si ripete, documentare la versione del client, il profilo e il comportamento DNS anziché impostare manualmente server DNS permanenti.

La connessione è attiva, ma i trasferimenti di grandi dimensioni si bloccano

Se login, DNS e piccoli accessi funzionano, ma i trasferimenti di file più grandi o determinate applicazioni si bloccano, occorre controllare anche MTU/MSS. Il problema è spesso riconducibile a frammentazione, PPPoE, connessioni incapsulate o un percorso asimmetrico. La procedura è descritta in Verificare MTU e MSS di Sophos Firewall in caso di problemi VPN.

Raccogliere i dati per il supporto

Se l’errore non è immediatamente evidente, documentare ora, utente, versione di macOS, versione di Sophos Connect, tipo di profilo, rete di origine e sistema di destinazione. In Sophos Connect Client, menu con tre puntini > About > Generate technical support report genera il file scvpntsr.zip. Il file contiene configurazioni VPN, eventi di connessione e informazioni sull’endpoint e deve essere trasmesso in modo controllato soltanto a destinatari autorizzati.

Sul firewall sono inoltre utili Log Viewer, sslvpn.log, i log IPsec, Packet Capture e la regola firewall interessata. L’associazione dei file di log è descritta in Risoluzione dei problemi Sophos Firewall: servizi e log.

FAQ