Installare Sophos Connect Client su macOS

Sophos Connect può essere utilizzato su macOS per l’accesso remoto con Sophos Firewall. Nelle versioni attuali non è più rilevante solo IPsec: da Sophos Connect 2.0 è possibile anche il Remote Access SSL VPN su macOS. Ciò ha cambiato la raccomandazione per molti ambienti.

L’articolo descrive l’installazione su macOS, l’importazione della connessione appropriata e i controlli principali dopo la connessione. Per la decisione di base tra Sophos Connect, SSL VPN, client OpenVPN e ZTNA, consulta Sophos Connect o SSL VPN: Quale soluzione di accesso remoto è adatta?.

Quale articolo è adatto?

Sophos Connect su macOS si sovrappone rapidamente ad altri articoli sull’accesso remoto. A seconda del compito, un altro punto di partenza potrebbe essere migliore:

• Installare Sophos Connect su macOS: Questo articolo.
• Configurare SSL VPN su macOS con .ovpn: Configurare Sophos SSL VPN con Sophos Connect su macOS.
• Preparare Sophos Connect sul firewall: Configurare Sophos Connect su Sophos Firewall.
• Pianificare versioni client, aggiornamenti e manutenzione profili: Verificare e aggiornare in sicurezza la versione di Sophos Connect Client.
• VPN è connessa, ma il traffico non funziona: Testare la regola firewall con Log Viewer, Policy Test e Packet Capture.

Questa separazione è importante perché l’installazione del client è solo una parte dell’operatività dell’accesso remoto. Regole firewall, DNS, MFA, certificati, portale VPN e distribuzione dei profili rimangono punti di controllo separati.

Prerequisiti

• Sophos Firewall con configurazione di accesso remoto impostata
• Sophos Connect Client in una versione compatibile con il firewall e la piattaforma
• Per Sophos Connect 2.0 o successivo: macOS Ventura 13 o successivo
• Mac con processore Intel o Apple Silicon tramite Rosetta 2
• File di configurazione per IPsec (.scx o .tgb) o SSL VPN (.ovpn)
• Account utente con autorizzazione VPN e, se attivato, MFA funzionante
• Regole firewall per il traffico dalla zona VPN o dalla zona di accesso remoto utilizzata

Se si desidera utilizzare SSL VPN su macOS, è necessario utilizzare Sophos Connect 2.0 o successivo. Le vecchie istruzioni interne dovrebbero quindi essere verificate per vedere se si basano ancora sulla situazione precedente solo IPsec. Per la verifica delle versioni, la pianificazione degli aggiornamenti e i problemi tipici di DNS/profili, consulta Verificare e aggiornare in sicurezza la versione di Sophos Connect Client.

Importante: per macOS non è documentato il supporto per i file di provisioning. Pertanto, per macOS dovrebbe essere pianificato con un file di configurazione IPsec importato o un file .ovpn. Se si desidera un rollout completamente automatizzato, è necessario verificare in anticipo se l’MDM utilizzato può rappresentare correttamente i processi di file e utente.

1. Scaricare Sophos Connect Client

Il Sophos Connect Client per macOS può essere ottenuto a seconda dell’ambiente tramite il firewall, il portale VPN o la pagina di download di Sophos. In ambienti gestiti dovrebbe essere definito quale versione del client viene distribuita e dove gli utenti ottengono il file di configurazione appropriato.

Per IPsec viene tipicamente utilizzato un file .scx o .tgb. Per SSL VPN viene importato un file .ovpn. Quale file è corretto dipende dalla configurazione di accesso remoto sul firewall.

• Accesso remoto IPsec: .scx o .tgb. utilizzabile con Sophos Connect su Intel e Apple Silicon.
• SSL VPN: .ovpn. Richiede Sophos Connect 2.0 o successivo.
• Provisioning: .pro. non pianificare come standard per macOS.

In una configurazione classica di Sophos Connect IPsec, la connessione viene esportata in WebAdmin:

1. Aprire VPN > Sophos Connect Client su Sophos Firewall.
2. Esportare la connessione.
3. Salvare il file in modo sicuro e fornirlo solo agli utenti autorizzati.

A seconda della fonte di download, l’installer si trova in un file Zip. Dopo l’estrazione, si trova tipicamente il pacchetto Sophos Connect.pkg per macOS.

Per i Mac gestiti, l’installer non dovrebbe essere distribuito ampiamente senza un gruppo pilota. Dovrebbe essere verificato almeno un Mac Intel e un Mac Apple Silicon, se entrambe le piattaforme sono presenti nell’azienda.

2. Installare Sophos Connect Client

L’installazione viene avviata con un doppio clic su Sophos Connect.pkg. Al termine dell’assistente di installazione, la finestra può essere chiusa con Chiudi.

Su dispositivi Apple Silicon potrebbe essere necessario Rosetta 2. Se macOS mostra un messaggio corrispondente durante l’installazione, Rosetta 2 dovrebbe essere installato e il client riavviato.

Dopo l’installazione, la versione dovrebbe essere verificata direttamente nel client. Questo è particolarmente importante se erano in circolazione diversi pacchetti di installazione interni o se gli utenti avevano già installato il client in precedenza.

3. Scaricare il file di connessione

Al primo avvio, Sophos Connect richiede una configurazione di connessione. Questo file dovrebbe provenire dalla configurazione del firewall attualmente valida e non essere riutilizzato da un vecchio archivio utente.

File di connessione tipici:

• Accesso remoto IPsec: .scx o .tgb. Esportazione sotto VPN > Sophos Connect Client.
• SSL VPN: .ovpn. Portale VPN o esportazione amministrativa.

Se prima di un aggiornamento a SFOS-22-MR1 sono ancora in uso vecchie configurazioni di accesso remoto IPsec, non dovrebbe essere semplicemente ridistribuito un vecchio profilo. In questo caso, controllare prima Migrare l’accesso remoto IPsec legacy prima di SFOS 22 MR1.

I profili dovrebbero essere trattati come credenziali di accesso. Un vecchio file .ovpn, .scx o .tgb può ancora contenere reti interne, nomi di gateway, certificati o riferimenti utente. Se gateway, certificato, DNS, gruppo utente, pool IP o autenticazione sono stati modificati, il profilo dovrebbe essere riesportato e reimportato.

4. Configurare Sophos Connect Client

La configurazione del Sophos Connect Client è completata in pochi passaggi:

1. Aprire Sophos Connect.
2. Selezionare Import Connection.
3. Importare il file di connessione appropriato.
4. Verificare la connessione sotto Connections.
5. Fare clic su Connect.
6. Accedere con l’utente VPN e confermare MFA, se attivato.

Dopo la connessione riuscita, si dovrebbe inoltre verificare se i nomi DNS interni vengono risolti e se i sistemi necessari sono raggiungibili. Se la connessione è attiva ma non c’è traffico, aiutano Log Viewer, Policy Test e Packet Capture. La guida appropriata è Testare la regola firewall con Log Viewer, Policy Test e Packet Capture.

Con SSL VPN su macOS, il test DNS è particolarmente importante. Sophos Connect 2.0 MR1 risolve un problema in cui le impostazioni DNS per le connessioni SSL VPN su macOS non venivano applicate correttamente. Se i nomi interni non vengono risolti, si dovrebbe prima controllare la versione e lo stato del profilo prima di modificare ciecamente le regole DNS.

IPsec con strumenti integrati di macOS

A seconda della configurazione del firewall, l’accesso remoto IPsec può essere configurato anche con gli strumenti integrati di macOS. Questo è un modello operativo separato e non dovrebbe essere confuso con Sophos Connect. Può essere utile se non si desidera software client aggiuntivo, ma non si adatta a tutti gli ambienti.

Procedura pratica se questa variante viene utilizzata consapevolmente:

1. Accedere al User Portal di Sophos Firewall.
2. Scaricare la configurazione IPsec appropriata per dispositivi Apple.
3. Aprire e installare il profilo sul Mac.
4. Verificare la connessione nelle impostazioni di rete di macOS.
5. Testare la connessione e convalidare gli obiettivi interni.

Se Sophos Connect e gli strumenti integrati di macOS vengono utilizzati in parallelo, dovrebbe essere documentato intenzionalmente. Altrimenti si creano casi di supporto in cui gli utenti dicono “VPN”, ma intendono profili, protocolli e comportamenti DNS diversi.

Controllare dopo l’installazione

Dopo l’installazione, dovrebbero essere controllati questi punti:

• La versione di Sophos Connect è compatibile con la versione di macOS utilizzata.
• Su Apple Silicon è disponibile Rosetta 2, se il client ne ha bisogno.
• Il file importato corrisponde al protocollo desiderato: IPsec o SSL VPN.
• L’utente è autorizzato nel gruppo VPN corretto.
• MFA funziona ed è richiesto in modo comprensibile.
• Il client riceve un IP VPN appropriato.
• I nomi DNS interni vengono risolti.
• Le regole firewall per la zona VPN consentono solo gli obiettivi necessari.

Test di accettazione per macOS

Uno stato di connessione verde non è sufficiente come accettazione. Per un rollout affidabile, un utente di test dovrebbe eseguire questi punti:

• Verificare la versione del client: La versione è compatibile con macOS, IPsec o SSL VPN e rilascio interno.
• Verificare Apple Silicon: Rosetta 2 è presente e Sophos Connect si avvia in modo affidabile.
• Importare il profilo: il file corretto per IPsec o SSL VPN viene accettato.
• Testare MFA: L’accesso richiede il secondo fattore previsto.
• Testare DNS: i FQDN interni vengono risolti correttamente.
• Testare l’accesso: i server consentiti funzionano, gli obiettivi non consentiti rimangono bloccati.
• Verificare Log Viewer: Il traffico dalla zona VPN colpisce la regola firewall prevista.
• Testare la riconnessione: Disconnessione, cambio di rete e riconnessione funzionano.

In ambienti misti, dovrebbe essere testato almeno un Mac Intel e un Mac Apple Silicon. Se sono in uso anche client Windows, il comportamento non dovrebbe essere equiparato silenziosamente. Piattaforma, tipo di profilo e versione del client possono differire.

Note di distribuzione per Mac gestiti

Con pochi utenti, spesso è sufficiente un’installazione manuale con importazione del profilo controllata. In ambienti più grandi, Sophos Connect dovrebbe essere trattato come altro software client rilevante per la sicurezza.

Prima di una distribuzione ampia, chiarire:

• Quale versione di Sophos Connect è autorizzata?
• Quali versioni di macOS sono in uso?
• Ci sono Mac Intel, Mac Apple Silicon o entrambi?
• Viene utilizzato IPsec, SSL VPN o entrambi?
• Da dove ottengono gli utenti il profilo attuale?
• Chi informa gli utenti quando i profili devono essere reimportati?
• Come riconosce l’helpdesk i profili obsoleti?
• Vengono monitorati separatamente portale VPN, MFA e certificati?

I vecchi pacchetti di installazione e i vecchi profili dovrebbero essere rimossi dagli archivi di download interni o chiaramente contrassegnati come obsoleti. Soprattutto con l’accesso remoto, un “qualsiasi vecchio profilo dalla cartella dei download” porta rapidamente a una ricerca di errori non necessaria.

Risoluzione dei problemi

La connessione viene importata, ma non stabilita

Controllare prima se il file appartiene al protocollo corretto e se la versione di Sophos Connect è adatta. SSL VPN su macOS richiede Sophos Connect 2.0 o successivo. Successivamente, verificare autorizzazione utente, MFA, certificato, gateway, ora del firewall e FQDN del portale VPN o gateway raggiungibile.

I nomi interni non vengono risolti

Con SSL VPN su macOS, dovrebbe essere verificata la versione di Sophos Connect utilizzata, poiché in quest’area ci sono state correzioni specifiche. Successivamente, controllare server DNS, domini di ricerca, profilo importato e regole firewall.

Se gli indirizzi IP funzionano, ma i nomi no, probabilmente è DNS. Se anche gli indirizzi IP non funzionano, sono più probabili routing, regole firewall, NAT o percorso di ritorno.

La connessione è attiva, ma nessun accesso funziona

La causa è spesso nelle regole firewall, routing, NAT o percorso di ritorno. Nel Log Viewer dovrebbe essere visibile se il traffico dalla zona VPN colpisce la regola prevista. Per casi particolari IPsec, consulta Risoluzione dei problemi IPsec VPN di Sophos Firewall.

Dopo la modifica del profilo, la connessione non funziona più

Dopo modifiche a gateway, certificato, porta, DNS, pool IP, gruppo utente o autenticazione, il profilo dovrebbe essere riesportato e reimportato. Un aggiornamento del client non sostituisce automaticamente un vecchio profilo.

Il salvataggio delle credenziali non è visibile

Sophos ha riattivato questa opzione per SSL VPN su macOS in Sophos Connect 2.0 MR1. Dopo un aggiornamento, il file di configurazione deve essere reimportato per poter utilizzare l’opzione. In ambienti con MFA, dovrebbe essere inoltre verificato se il salvataggio delle credenziali si adatta al concetto di sicurezza.

La connessione è attiva, ma i trasferimenti di grandi dimensioni si bloccano

Se login, DNS e piccoli accessi funzionano, ma trasferimenti di file più grandi o determinate applicazioni si bloccano, dovrebbe essere verificato anche MTU/MSS. Il quadro degli errori spesso si adatta a frammentazione, PPPoE, connessioni incapsulate o un percorso asimmetrico. La procedura è descritta in Verificare MTU e MSS di Sophos Firewall in caso di problemi VPN.

Raccogliere dati di supporto

Se l’errore non è direttamente visibile, si dovrebbe documentare il momento, l’utente, la versione di macOS, la versione di Sophos Connect, il tipo di profilo, la rete di origine e il sistema di destinazione. Sul firewall aiutano Log Viewer, sslvpn.log, log IPsec, Packet Capture e la regola firewall interessata. L’assegnazione dei file di log è descritta in Risoluzione dei problemi di Sophos Firewall: Servizi e log.

FAQ