Installare Sophos Connect Client su macOS

Sophos Connect 2.1 per macOS supporta IPsec e SSL VPN su Mac Intel e Apple Silicon da macOS 14. Su Apple Silicon, questa versione viene eseguita nativamente. Il programma di installazione si scarica dal VPN Portal della propria organizzazione in VPN > Download for macOS; l’IT fornisce l’indirizzo del portale e il profilo di connessione appropriato.

Dopo l’installazione, importare un file .scx per IPsec oppure un file .ovpn per SSL VPN. Dalla versione 2.1, l’IT può invece fornire un file .pro per il recupero automatico dei profili. Questo articolo accompagna l’utente nel download, nell’installazione, nell’importazione del profilo e nei controlli successivi. Per scegliere in linea di principio tra Sophos Connect, SSL VPN, client OpenVPN e ZTNA, è utile Sophos Connect o SSL VPN: quale soluzione di accesso remoto scegliere?.

Quale articolo scegliere?

Sophos Connect su macOS si sovrappone facilmente ad altri articoli sull’accesso remoto. A seconda dell’attività, può essere preferibile partire da un’altra guida:

• Installare Sophos Connect su macOS: questo articolo.
• Configurare SSL VPN su macOS con .ovpn: Configurare Sophos SSL VPN con Sophos Connect su macOS.
• Preparare Sophos Connect sul firewall: Configurare Sophos Connect su Sophos Firewall.
• Pianificare versioni del client, aggiornamenti e manutenzione dei profili: Verificare e aggiornare in sicurezza la versione di Sophos Connect Client.
• Diagnosticare errori di importazione, accesso o connessione: Risolvere i problemi di Sophos Connect Client.
• La VPN è connessa, ma il traffico non funziona: Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Questa distinzione è importante perché l’installazione del client è solo una parte della gestione dell’accesso remoto. Regole firewall, DNS, MFA, certificati, VPN Portal e distribuzione dei profili restano punti di controllo separati.

Prerequisiti

• Sophos Firewall con configurazione di accesso remoto già predisposta
• Sophos Connect Client in una versione compatibile con il firewall e la piattaforma
• Mac Intel o Apple Silicon con una versione di macOS compatibile con quella del client; vedere la panoramica seguente
• File di configurazione per IPsec (.scx) o SSL VPN (.ovpn), in alternativa un file .pro fornito dall’IT a partire dal client 2.1
• nessun vecchio Sophos SSL VPN Client installato in parallelo
• Account utente autorizzato alla VPN e, se attivata, MFA funzionante
• Regole firewall per il traffico proveniente dalla zona VPN o dalla zona di accesso remoto utilizzata

Quale versione è adatta al Mac?

Al 21 ottobre 2026, le note di rilascio Sophos indicano Sophos Connect 2.1 per macOS del 6 ottobre 2026 come versione Mac attuale. Il numero di versione più alto 2.5 MR1 per Windows non è una versione del pacchetto macOS.

• 2.1 da macOS 14 Sonoma: Intel e Apple Silicon; ARM nativo su Apple Silicon. Sono supportati IPsec e SSL VPN, il provisioning .pro e Microsoft Entra ID SSO. Per l’accesso SSO nel browser di sistema è inoltre richiesto SFOS 22.0 MR3 o successivo.
• Linea 2.0 da macOS 13 Ventura: IPsec e SSL VPN con importazione manuale dei profili; Apple Silicon tramite Rosetta 2. L’ultima versione di manutenzione elencata è 2.0 MR1 del 21 maggio 2026. Non sono disponibili esecuzione ARM nativa, provisioning .pro ed Entra ID SSO.
• Prima di 2.0: il client macOS supporta soltanto IPsec. Questi vecchi pacchetti non sono adatti a SSL VPN.

Prima dell’installazione, controllare il numero di versione del pacchetto macOS effettivamente fornito. L’annuncio di un rilascio non dimostra né che il proprio firewall distribuisca già il pacchetto, né che la combinazione di client, macOS e profilo VPN sia approvata per l’uso nella propria organizzazione. La verifica della versione e il percorso controllato di rollback sono descritti in Aggiornare Sophos Connect in sicurezza.

Apple Silicon e aggiornamenti di macOS

Rosetta non è un requisito generale per il client 2.1 nativo. Se si utilizza ancora un client 2.0, resta invece una dipendenza: la disponibilità generale di Rosetta non dimostra che lo specifico programma di installazione o il funzionamento della VPN su macOS 27 siano approvati. Allo stesso modo, un’approvazione di Sophos Endpoint non costituisce prova per Sophos Connect.

Prima di aggiornare macOS, verificare su un dispositivo pilota l’installazione, il profilo IPsec o SSL VPN realmente utilizzato, l’MFA, la risoluzione dei nomi DNS interni e la riconnessione. Finché il test non riesce, rinviare l’aggiornamento sui dispositivi che dipendono dalla VPN. Per macOS 28 non pianificare l’uso del client Intel della linea 2.0; approvare per tempo una soluzione VPN nativa o un’altra soluzione supportata. Questa guida non documenta un test eseguito su dispositivi.

1. Scaricare Sophos Connect Client

In SFOS 22, un amministratore scarica il Sophos Connect Client per macOS da WebAdmin in Remote access VPN > IPsec > Download client oppure Remote access VPN > SSL VPN > Download client. Gli utenti aprono invece il VPN Portal, disponibile per impostazione predefinita all’indirizzo https://<Firewall-FQDN>:443, e selezionano VPN > Download for macOS. Il client attuale è disponibile nel VPN Portal; il pacchetto di WebAdmin è aggiornato se i Pattern updates vengono aggiornati automaticamente in Backup & Firmware > Pattern updates.

La pagina di download Sophos esistente è la pagina di download per UTM. Per un’installazione SFOS occorre quindi usare WebAdmin o il VPN Portal come fonte del pacchetto. Negli ambienti gestiti bisogna inoltre definire la versione approvata e dove gli utenti possono ottenere il file di configurazione corretto.

Il file dipende dalla connessione configurata sul firewall:

• IPsec: importare direttamente il file .scx.
• SSL VPN: importare direttamente il proprio file .ovpn; è richiesto Sophos Connect 2.0 o successivo.
• Recupero automatico dei profili dal client macOS 2.1: l’IT fornisce un file .pro. Questo recupera i profili IPsec e SSL VPN autorizzati dal VPN Portal e le modifiche successive; non è di per sé un profilo di tunnel. Il client macOS 2.0 richiede ancora importazioni dirette e aggiornamenti manuali. La procedura è descritta in Sophos Connect Provisioning con .pro.

In SFOS 22 i profili si ottengono da questi percorsi:

1. IPsec: aprire Remote access VPN > IPsec > Export connection. L’archivio contiene .scx e .tgb; distribuire il file .scx raccomandato da Sophos per Sophos Connect.
2. SSL VPN: nel VPN Portal aprire VPN > VPN configuration > SSL VPN configuration e scegliere Download configuration for Windows, macOS, Linux. Per Sophos Connect usare Use with Sophos Connect and OpenVPN Connect v2 clients; Use with OpenVPN Connect v3 clients è per OpenVPN Connect 3, non per Sophos Connect. Scaricare il file .ovpn. Il download non compare se l’utente non ha una policy SSL VPN corrispondente.
3. Conservare il file in modo sicuro e metterlo a disposizione soltanto dell’utente previsto.

Il nome del pacchetto attuale segue il modello SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Un pacchetto con (IPsec) nel nome appartiene alla linea macOS precedente e non include il supporto SSL VPN.

Sui Mac gestiti, il programma di installazione non dovrebbe essere distribuito su larga scala senza un gruppo pilota. Se in azienda sono presenti entrambe le piattaforme, occorre testare prima almeno un Mac Intel e un Mac con Apple Silicon.

2. Installare Sophos Connect Client

Prima dell’installazione è necessario rimuovere un eventuale vecchio Sophos SSL VPN Client. La guida all’installazione esclude l’utilizzo in parallelo con un altro client VPN, mentre la guida generale alla risoluzione dei problemi descrive ancora un ordine di installazione diverso per il vecchio SSL VPN Client. Questo non costituisce un’approvazione generale dell’utilizzo di client in parallelo; se è necessario gestire un caso particolare con un client legacy, chiarire con Sophos la compatibilità della combinazione specifica. La guida attuale all’aggiornamento indica di scaricare e installare il nuovo pacchetto, ma non impone in generale la disinstallazione preventiva. Utilizzare la procedura di rimozione e reinstallazione qui descritta soltanto come percorso controllato di manutenzione o rollback, approvato per la versione di destinazione, non come requisito obbligatorio per ogni aggiornamento.

Avviare l’installazione con un doppio clic su SophosConnect_x.x_(IPsec_and_SSLVPN).pkg; x.x indica la versione approvata. Verificare la destinazione e lo spazio libero, fare clic su Install e concludere la procedura guidata con Finish.

Su Apple Silicon, Sophos Connect 2.0 richiede Rosetta 2; dalla versione 2.1 ARM è supportato nativamente. Rosetta non è quindi un requisito generale per la versione 2.1. Se macOS lo richiede durante l’installazione del pacchetto 2.0 approvato, installare Rosetta 2 e riavviare il client. Su macOS 27 non presumere che Rosetta installato prima dell’aggiornamento venga ripristinato automaticamente, né che uno specifico pacchetto di installazione funzioni senza modifiche. Per entrambe le linee del client, verificare installazione e connessione VPN nel pilota.

Dopo l’installazione, verificare subito la versione direttamente nel client. Questo controllo è particolarmente importante quando nell’organizzazione sono circolati più pacchetti di installazione o quando gli utenti avevano già installato il client in precedenza.

3. Scaricare il file di connessione

Al primo avvio, Sophos Connect richiede una configurazione di connessione. Il file deve provenire dalla configurazione attualmente valida del firewall e non essere recuperato da un vecchio archivio dell’utente.

File di connessione tipici:

• IPsec Remote Access: .scx; esportazione dalla configurazione IPsec Remote Access corrente.
• SSL VPN: .ovpn; VPN Portal o esportazione amministrativa.
• Provisioning da 2.1: .pro; metodo di recupero dei profili autorizzati fornito dall’IT.

Se prima di un aggiornamento a SFOS 22 MR1 sono ancora presenti vecchie configurazioni IPsec Remote Access, non bisogna semplicemente ridistribuire un profilo obsoleto. In questo caso, consulta prima Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.

I profili devono essere trattati come credenziali di accesso. Un vecchio file .ovpn o .scx può continuare a contenere reti interne, nomi di gateway, certificati o riferimenti agli utenti. Se sono stati modificati gateway, certificato, DNS, gruppo di utenti, pool IP o autenticazione, il profilo deve essere esportato e importato nuovamente.

Per SSL VPN, il file .ovpn è specifico dell’utente: contiene un certificato utente univoco e la relativa chiave privata, quindi non deve essere distribuito come profilo condiviso del team. Un file .pro non ancora importato contiene invece metadati di provisioning e non è di per sé specifico dell’utente; non va confuso con il profilo SSL VPN e i certificati generati durante l’importazione. Non condividere tra utenti nemmeno questi profili generati o le chiavi private.

Per SFOS 22, Sophos documenta il vincolo di un profilo SSL VPN importato all’identità dell’utente, al dominio e al metodo di autenticazione. Se si passa, per esempio, dall’autenticazione locale ad Active Directory, ottenere e importare una configurazione .ovpn separata oppure generare il profilo SSL appropriato mediante un’importazione separata di .pro. Secondo questa documentazione di SFOS 22, riutilizzare il profilo importato con un metodo o un dominio diverso può causare Login failed. Wrong fingerprint of certificate. Questo vincolo SSL documentato non si applica ai profili IPsec .scx.

Per SFOS 23, il comportamento in esecuzione resta da chiarire: la sezione corrispondente non è presente nella guida Sophos qui confrontata. L’assenza non conferma né un riutilizzo meno restrittivo né che il vincolo sia rimasto invariato. Fino a una conferma specifica per la versione, continuare a ottenere e importare profili SSL separati per l’identità, il metodo e il dominio previsti. È una precauzione, non una regola di funzionamento verificata per SFOS 23; non aggirare la convalida dei certificati.

Durante la migrazione da un client di terze parti, è possibile importare in Sophos Connect i file di configurazione esistenti compatibili. Per IPsec, preparare prima le impostazioni avanzate sul firewall e distribuire una .scx aggiornata oppure, dal client macOS 2.1, una .pro adeguata: in questo modo vengono fornite anche impostazioni non supportate dai client di terze parti. Il solo aggiornamento della versione del client non invalida automaticamente i file esistenti; le modifiche al firewall vanno gestite separatamente.

4. Configurare Sophos Connect Client

La configurazione di Sophos Connect Client richiede pochi passaggi:

1. Aprire Sophos Connect.
2. Selezionare Import connection.
3. Importare il file di connessione corretto.
4. Verificare la connessione in Connections.
5. Fare clic su Connect.
6. Accedere con l’utente VPN e confermare l’MFA, se attivata.

Dopo aver stabilito la connessione, verificare anche che i nomi DNS interni vengano risolti e che i sistemi necessari siano raggiungibili. Se la connessione è attiva ma il traffico non passa, utilizzare Log Viewer, Policy Test e Packet Capture. La procedura è descritta in Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Con SSL VPN su macOS, il test DNS è particolarmente importante. Sophos Connect 2.0 MR1 risolve un problema per cui le impostazioni DNS delle connessioni SSL VPN non venivano applicate correttamente su macOS. Se i nomi interni non vengono risolti, controllare prima la versione e lo stato del profilo anziché modificare indiscriminatamente le regole DNS.

Per SSL VPN con più gateway nel file .ovpn, Sophos Connect prova le voci in ordine inverso di priorità; i gateway DNS dinamico hanno precedenza sui gateway con IP WAN. Se un tentativo fallisce, prova il gateway disponibile successivo in quell’ordine. Se viene scelto un gateway inatteso, confrontare il file attuale con le destinazioni effettivamente tentate negli eventi del client, anziché presumere che la prima voce dell’elenco sia preferita.

Microsoft Entra ID SSO su macOS (Sophos Connect 2.1): browser e ritorno al client

Entra ID SSO per IPsec, SSL VPN e provisioning è documentato da Sophos Connect 2.1 per macOS; macOS 2.0 non supporta questa procedura del client. Prima di iniziare, verificare la corretta configurazione Entra ID sul firewall, i metodi di autenticazione e il Redirect URI. Su macOS 14+ utilizzare la versione approvata del pacchetto 2.1. La scelta del browser dipende dalla configurazione della connessione o del provisioning, non soltanto dal sistema operativo. L’autenticazione nel browser di sistema e il passaggio automatico a questo browser richiedono SFOS 22.0 MR3 o successivo. Prima di utilizzare questa procedura, verificare la versione del firewall con l’IT; una versione precedente non soddisfa questo requisito.

Prima di utilizzare Entra ID SSO, verificare che VPN Portal, policy SSL VPN e configurazione Microsoft Entra ID utilizzino il server di autenticazione richiesto.

1. In Sophos Connect selezionare la connessione corretta, utilizzare l’accesso SSO e avviare Connect. Completare l’accesso nel browser aperto da Sophos Connect, inclusa l’MFA o la verifica di conformità richiesta. Un accesso al portale aperto separatamente non sostituisce questa procedura del client.
2. Se sso_auth_browser_type è assente o ha il valore auto, Sophos Connect inizia nel browser incorporato. Se non è possibile completare l’accesso in quel browser a causa dei requisiti di Conditional Access, il client passa automaticamente al browser di sistema predefinito e riprova l’accesso. Completare l’accesso in quel browser e poi tornare a Sophos Connect.
3. Con embedded viene utilizzato soltanto il browser incorporato: nessun fallback automatico. Se l’accesso non riesce a causa di Conditional Access, chiedere all’IT di fornire un file di provisioning approvato con system e riprovare. Con system viene utilizzato esclusivamente il browser di sistema; dopo l’accesso tornare a Sophos Connect.
4. I profili .ovpn o .scx importati direttamente si comportano come auto: prima il browser incorporato, poi automaticamente il browser di sistema se richiesto dai relativi requisiti di Conditional Access. Se il passaggio necessario al browser di sistema non avviene e l’errore persiste, chiedere all’IT di fornire un file .pro approvato con sso_auth_browser_type impostato su system. Lo schema di provisioning e i valori consentiti sono descritti in Provisioning di Sophos Connect; non inventare modifiche manuali a .ovpn o .scx per configurare il browser.

Un errore di conformità non è un invito ad allentare le regole di sicurezza. Eseguire le misure di conformità richieste oppure contattare l’IT. Non disattivare Conditional Access, MFA o le verifiche dei certificati per forzare l’accesso. Solo dopo il ritorno al client verificare lo stato del tunnel, l’IP VPN, il DNS e l’accesso. La procedura Windows e la distribuzione tramite GPO Windows non costituiscono una prova per macOS.

I profili .ovpn o .scx importati manualmente non recuperano automaticamente le modifiche successive. Auto-connect e Update policy richiedono provisioning: su Windows con un client compatibile, su macOS da 2.1, non con 2.0. auto_connect_host abilita Auto-connect; Update policy è disponibile dopo la prima connessione riuscita. Rename, Clear credentials e Delete restano azioni separate; dopo Delete i profili manuali vanno reimportati.

Sui Mac condivisi, disconnettere prima il tunnel, quindi aprire il menu di Sophos Connect in alto a destra, selezionare Force SSO re-login e confermare con OK. L’azione elimina i cookie del browser integrato, non quelli del browser di sistema. Se quest’ultimo usa ancora l’identità precedente, eliminare soltanto i cookie dei domini Microsoft Entra ID o del gateway VPN interessati. Questo può chiudere anche altre sessioni su quei domini; non cancellare indiscriminatamente tutti i dati del browser.

Nel pilota verificare che l’utente successivo possa stabilire il tunnel soltanto dopo aver effettuato l’accesso con la propria identità Microsoft Entra ID. Una sessione SSO esistente o la semplice disconnessione del tunnel non dimostrano un cambio utente sicuro. Dopo la cancellazione dei cookie, ripristinare la sessione con un nuovo accesso, non recuperando i cookie di un altro utente.

Se una password salvata provoca l’accesso automatico e nasconde l’opzione SSO, usare Edit connection > Clear credentials. Le opzioni ricompaiono al successivo Connect. L’azione elimina le credenziali salvate, non l’autorizzazione VPN, ed è distinta da Force SSO re-login. Modificare la porta VPN Portal del client soltanto quando l’amministratore fornisce un nuovo valore: anche SSO utilizza questa porta.

Controlli dopo l’installazione

Dopo l’installazione, controllare i seguenti punti:

• La versione di Sophos Connect è compatibile con la versione di macOS in uso.
• Su Apple Silicon, Sophos Connect si avvia effettivamente e supera l’intero test pilota VPN; per 2.0 verificare Rosetta, per 2.1 l’esecuzione ARM nativa e le finestre di installazione effettivamente visualizzate.
• Il file importato corrisponde al protocollo desiderato: IPsec o SSL VPN.
• L’utente è autorizzato nel gruppo VPN corretto.
• L’MFA funziona e viene richiesta in modo comprensibile.
• Il client riceve un indirizzo IP VPN appropriato.
• I nomi DNS interni vengono risolti.
• Le regole firewall per la zona VPN consentono soltanto le destinazioni necessarie.

Test di collaudo per macOS

Uno stato di connessione verde non è sufficiente per il collaudo. Per un rollout affidabile, un utente di test deve verificare i seguenti punti:

1. Verificare la versione del client: la versione è compatibile con macOS, con IPsec o SSL VPN e con l’approvazione interna.
2. Verificare Apple Silicon: Sophos Connect si avvia sulla specifica versione di macOS in uso. Per 2.0 verificare i requisiti Rosetta, per 2.1 l’esecuzione ARM nativa; il solo avvio riuscito non sostituisce il test della connessione.
3. Importare il profilo: viene accettato il file corretto per IPsec o SSL VPN.
4. Testare l’MFA: l’accesso richiede il secondo fattore previsto.
5. Testare il DNS: i FQDN interni vengono risolti correttamente.
6. Testare l’accesso: i server autorizzati funzionano, mentre le destinazioni non autorizzate restano bloccate.
7. Controllare Log Viewer: il traffico dalla zona VPN raggiunge la regola firewall prevista.
8. Testare la riconnessione: la disconnessione, il cambio di rete e la nuova connessione funzionano.
9. Testare Entra SSO dalla versione 2.1: documentare la modalità browser utilizzata, il fallback necessario, l’accesso completo nel browser e il ritorno a Sophos Connect. Un dispositivo non conforme resta bloccato; risolvere i problemi di conformità o contattare l’IT, senza allentare Conditional Access.

Negli ambienti misti è opportuno testare almeno un Mac Intel e un Mac con Apple Silicon. Se vengono utilizzati anche client Windows, il loro comportamento non deve essere considerato implicitamente identico. Piattaforma, tipo di profilo e versione del client possono differire.

Indicazioni per il rollout sui Mac gestiti

Con pochi utenti, spesso è sufficiente un’installazione manuale con importazione controllata del profilo. Negli ambienti più grandi, Sophos Connect deve essere gestito come qualsiasi altro software client rilevante per la sicurezza.

Prima di un rollout esteso, chiarire:

• Quale versione di Sophos Connect è approvata?
• Quali versioni di macOS sono in uso?
• Sono presenti Mac Intel, Mac con Apple Silicon o entrambi?
• Si utilizza IPsec, SSL VPN o entrambi?
• Dove ottengono gli utenti il profilo corrente?
• Chi informa gli utenti quando è necessario importare nuovamente i profili?
• Quale procedura di aggiornamento è approvata per le versioni di partenza e di destinazione, e come si esegue un’eventuale disinstallazione necessaria con successiva reinstallazione?
• Microsoft Entra ID SSO è documentato per Windows da Sophos Connect 2.4 e per macOS da 2.1, non per il client macOS 2.0. Servono una configurazione SFOS compatibile e una configurazione client aggiornata. Controllare metodi di autenticazione e Redirect URI; MFA rimane un controllo distinto. Ciò non implica un flusso browser identico né l’applicabilità del deployment GPO Windows a macOS.
• In che modo l’helpdesk identifica i profili obsoleti?
• VPN Portal, MFA e certificati vengono monitorati separatamente?

I vecchi pacchetti di installazione e i profili obsoleti devono essere rimossi dagli archivi di download interni o contrassegnati chiaramente come superati. Soprattutto con l’accesso remoto, usare un vecchio profilo qualsiasi dalla cartella Download comporta rapidamente un’inutile ricerca degli errori. La guida ufficiale all’installazione citata qui non descrive una distribuzione MDM generica del pacchetto macOS. Non trasferire quindi procedure Windows o parametri specifici di un fornitore MDM senza documentazione e test per la propria piattaforma.

Rimuovere o ripristinare Sophos Connect in sicurezza

Prima della disinstallazione, disconnettere la VPN e conservare in modo controllato il profilo necessario a un successivo ripristino. Un file .ovpn contiene un certificato specifico dell’utente e la relativa chiave privata e deve quindi essere conservato in un percorso protetto. Se è installato Sophos Endpoint con la protezione antimanomissione attiva, non disattivarla preventivamente. La guida attuale alla disinstallazione non indica più questo prerequisito; la guida alla risoluzione dei problemi continua però a citare la protezione antimanomissione di Endpoint come possibile causa della mancata terminazione dei processi di Sophos Connect e raccomanda un riavvio. La rimozione di quell’istruzione non implica né che siano necessarie modifiche alla protezione né che non possano mai esserlo. Se si verifica questo problema, conservare i log, eseguire un riavvio durante la finestra di manutenzione e ripetere la verifica; se la rimozione resta bloccata, chiarire con l’IT o Sophos la compatibilità della combinazione specifica di Endpoint e client. Modificare in modo mirato la protezione antimanomissione in Sophos Fusion soltanto se una modifica temporanea della protezione è stata espressamente approvata per questo intervento. Per una disinstallazione approvata, eseguire lo script documentato con privilegi di amministratore nel Terminale di macOS:

sudo /Library/Sophos\ Connect/uninstall.sh

Il messaggio Sophos Connect has been uninstalled conferma l’esito positivo. Verificare quindi che Sophos Connect non si avvii più. Se la protezione antimanomissione è stata disattivata espressamente per questo intervento, riattivarla e verificarne lo stato attivo sia sull’endpoint sia nella console di gestione, anche se la disinstallazione non riesce. Il comando rimuove il client e deve essere eseguito solo durante una finestra di manutenzione pianificata, con un accesso amministrativo locale o un secondo accesso amministrativo disponibile.

Per un rollback sicuro, mantenere disponibile con accesso controllato il pacchetto macOS precedentemente approvato fino alla conclusione del pilota. Se la nuova versione non funziona, rimuovere Sophos Connect con lo script supportato, installare il pacchetto precedentemente approvato, importare di nuovo il profilo corrispondente e ripetere il test di collaudo completo. Un rollback a una versione precedente alla 2.0 non è adatto a SSL VPN, perché tali versioni macOS supportano solo IPsec. Prima del rollback, conservare versione, orario e report di supporto per gli errori che potrebbero richiedere un’escalation. Verificare e aggiornare in sicurezza la versione di Sophos Connect Client descrive più in dettaglio la scelta della versione e la procedura di rimozione e reinstallazione. Un rollback al client macOS 2.0 non mantiene l’esecuzione ARM nativa, il provisioning .pro o Entra ID SSO. Se queste funzioni della versione 2.1 sono necessarie, la versione 2.0 non è un’alternativa equivalente per il rollback; approvare e testare preventivamente una soluzione alternativa supportata.

Diagnosticare ed effettuare l’escalation dei problemi

Per una prima diagnosi, aprire Events nel client oppure scegliere Open VPN log dal menu con tre puntini. Verificare che tipo di profilo, identità dell’utente, versione di macOS e versione di Sophos Connect corrispondano al caso di test. Se non funzionano soltanto i nomi interni, verificare prima DNS e stato del profilo; se non funziona nemmeno l’accesso tramite indirizzo IP, i controlli successivi riguardano regole firewall, routing, NAT o percorso di ritorno.

La procedura dettagliata per sintomo è descritta in Risolvere i problemi di Sophos Connect Client. Riunisce, tra l’altro, errori di importazione e accesso, DNS dopo connessioni Full Tunnel, interfaccia bloccata, MTU/MSS e i log lato client e firewall. Non aggirare la convalida dei certificati o altri controlli di sicurezza per stabilire temporaneamente una connessione.

La connessione viene importata, ma non viene stabilita

Verificare innanzitutto che il file appartenga al protocollo corretto e che la versione di Sophos Connect sia adeguata. SSL VPN su macOS richiede Sophos Connect 2.0 o successivo. Controllare quindi autorizzazione dell’utente, MFA, certificato, gateway, ora del firewall e raggiungibilità del FQDN di VPN Portal o del gateway.

Per una prima diagnosi, aprire Events nel client oppure scegliere Open VPN log dal menu con tre puntini. Secondo la documentazione di SFOS 22, con SSL VPN, Login failed. Wrong fingerprint of certificate. indica che il profilo importato potrebbe non corrispondere all’identità, al dominio o al metodo di autenticazione utilizzati. Non aggirare la convalida del certificato: ottenere e importare un nuovo file .ovpn usando lo stesso metodo di autenticazione previsto per la connessione. Per SFOS 23, non considerare questa associazione una diagnosi confermata: documentare le versioni del firewall e del client e l’identità del profilo, quindi chiedere all’IT o a Sophos un chiarimento specifico per la versione; non aggirare la convalida dei certificati.

I nomi interni non vengono risolti

Con SSL VPN su macOS, verificare la versione di Sophos Connect utilizzata, poiché sono state pubblicate correzioni specifiche in questo ambito. Controllare quindi server DNS, domini di ricerca, profilo importato e regole firewall.

Se gli indirizzi IP funzionano ma i nomi no, la causa probabile è il DNS. Se non funzionano nemmeno gli indirizzi IP, sono più probabili routing, regole firewall, NAT o percorso di ritorno.

La connessione è attiva, ma non funziona alcun accesso

In questo caso, la causa è spesso nelle regole firewall, nel routing, nel NAT o nel percorso di ritorno. In Log Viewer deve essere visibile se il traffico proveniente dalla zona VPN raggiunge la regola prevista. Per casi specifici relativi a IPsec, consulta Risoluzione dei problemi IPsec VPN su Sophos Firewall.

La connessione non funziona più dopo una modifica del profilo

Profili importati manualmente: Dopo modifiche a gateway, certificato, porta, DNS, pool IP, gruppo di utenti o autenticazione, esportare e importare nuovamente il profilo. Un aggiornamento del client non sostituisce automaticamente un profilo obsoleto, ma non invalida nemmeno automaticamente una configurazione rimasta invariata.

Dopo un ripristino del firewall o un’importazione della configurazione, confrontare le impostazioni interessate:

• IPsec: Importare nuovamente il file di configurazione attuale se sono cambiati interfaccia, metodo di autenticazione o 2FA.
• SSL VPN: Se sono cambiati porta, protocollo, interfaccia o certificato del server nelle impostazioni globali SSL VPN, scaricare di nuovo la .ovpn dal VPN Portal e importarla.

Provisioning dal client macOS 2.1: Una .pro già importata recupera automaticamente le configurazioni IPsec e SSL VPN appropriate per l’utente finché l’indirizzo del gateway (gateway) e la porta del VPN Portal (user_portal_port) restano invariati. Se questi valori cambiano, aggiornare e ridistribuire il file di provisioning; non presumere che il vecchio percorso di recupero funzioni ancora. Verificare quindi nuovamente connessione, MFA, DNS e accessi consentiti. Il client macOS 2.0 richiede ancora l’importazione manuale.

L’opzione per salvare le credenziali non è visibile

Sophos ha riattivato questa opzione per SSL VPN su macOS in Sophos Connect 2.0 MR1. Dopo un aggiornamento, il file di configurazione deve essere importato nuovamente per poter utilizzare l’opzione. Negli ambienti con MFA, verificare inoltre se il salvataggio delle credenziali è compatibile con il modello di sicurezza.

Sophos Connect non si apre o non risponde

Se l’interfaccia non si apre o non reagisce all’icona nella barra dei menu di macOS, il processo della GUI potrebbe essersi bloccato. In Activity Monitor, selezionare il processo Sophos Connect, terminarlo con Force Quit e riavviare quindi l’applicazione da Launchpad. Questa operazione chiude soltanto l’interfaccia bloccata; se il problema si ripete, controllare la versione del client e il report di supporto.

Dopo la disconnessione, l’accesso al Web non funziona più

Dopo la disconnessione di un Full Tunnel, macOS può continuare a utilizzare i server DNS interni della connessione VPN. In questo caso, i siti Web e la risoluzione dei nomi al di fuori del tunnel smettono di funzionare. Disconnettere brevemente il Wi-Fi o Ethernet e riconnetterlo. Se il problema si ripete, documentare la versione del client, il profilo e il comportamento DNS anziché impostare manualmente server DNS permanenti.

La connessione è attiva, ma i trasferimenti di grandi dimensioni si bloccano

Se login, DNS e piccoli accessi funzionano, ma i trasferimenti di file più grandi o determinate applicazioni si bloccano, occorre controllare anche MTU/MSS. Il problema è spesso riconducibile a frammentazione, PPPoE, connessioni incapsulate o un percorso asimmetrico. La procedura è descritta in Verificare MTU e MSS di Sophos Firewall in caso di problemi VPN.

Raccogliere i dati per il supporto

Per un’escalation, documentare ora, utente, versione di macOS, versione di Sophos Connect, tipo di profilo, rete di origine e sistema di destinazione. In Sophos Connect Client, menu con tre puntini > About > Generate technical support report genera il file scvpntsr.zip, che contiene configurazioni VPN, eventi di connessione, dettagli di provisioning, informazioni sull’autenticazione SSO, dettagli del browser e informazioni sull’endpoint. Il file può contenere dati sensibili e deve essere trasmesso soltanto tramite il canale di trasferimento approvato a destinatari autorizzati; non copiare mai password, OTP o chiavi private nel testo del ticket. Le informazioni su WebView2 in scgui.log riguardano soltanto Windows, non il browser di macOS.

Sul firewall sono inoltre utili Log Viewer, sslvpn.log, i log IPsec, Packet Capture e la regola firewall interessata. L’associazione dei file di log è descritta in Risoluzione dei problemi Sophos Firewall: servizi e log.

Per una verifica SCCLI supplementare, esclusivamente in lettura, su un Mac pilota, è disponibile il riferimento rapido alla CLI di macOS. Non sostituisce né l’interfaccia del client né un test VPN superato e non costituisce una base per la distribuzione automatica tramite MDM.

FAQ