Configurare Sophos SSL VPN con Sophos Connect su Windows

SSL VPN resta un’importante soluzione di Remote Access su Sophos Firewall, soprattutto quando IPsec presenta problemi in hotel, reti guest o reti esterne soggette a filtri restrittivi. Su Windows, oggi SSL VPN viene utilizzata in molti ambienti tramite Sophos Connect.

Questo articolo descrive l’installazione su Windows, l’importazione della configurazione .ovpn e i controlli principali dopo aver stabilito la connessione. Per orientarsi nella scelta tra Sophos Connect, SSL VPN, IPsec, client mobili e ZTNA, conviene iniziare da Sophos Connect o SSL VPN: quale soluzione Remote Access scegliere?.

Inquadramento

Questa guida si applica a Sophos Firewall con SFOS. A seconda della piattaforma o della situazione iniziale, può essere più adatto un altro punto di partenza:

• Configurare SSL VPN con Sophos Connect su Windows: questo articolo.
• Configurare SSL VPN su macOS: Configurare Sophos SSL VPN su macOS.
• Configurare SSL VPN su iOS: Configurare Sophos SSL VPN su iOS.
• Valutare Sophos Connect in generale: Sophos Connect o SSL VPN: quale soluzione Remote Access scegliere?.
• Gestire versioni e profili di Sophos Connect Client: Verificare la versione di Sophos Connect Client e aggiornarla in sicurezza.

Importante: Sophos Connect non supporta SSL VPN soltanto su Windows. Da Sophos Connect 2.0, Remote Access SSL VPN è disponibile anche su macOS. Le piattaforme mobili come iOS e Android non sono supportate direttamente da Sophos Connect per IPsec e SSL VPN; in questi casi si utilizzano client compatibili con OpenVPN o le funzioni del sistema operativo.

Requisiti

• Sophos Firewall con configurazione SSL VPN Remote Access già predisposta
• utente autorizzato a utilizzare SSL VPN
• accesso al VPN Portal oppure file .ovpn fornito dall’amministratore
• Sophos Connect in una versione aggiornata e compatibile con la piattaforma Windows
• Windows 10 o Windows 11; con Sophos Connect 2.5 o versioni successive anche Windows ARM
• nessun vecchio Sophos SSL VPN Client installato in parallelo
• MFA/OTP configurato, se Remote Access è protetto in questo modo
• regole firewall per il traffico proveniente dalla zona VPN
• processo definito per distribuire nuovi file .ovpn dopo eventuali modifiche

Se la configurazione SSL VPN lato firewall non è ancora pronta, occorre prima completare Configurare Sophos Firewall SSL VPN Remote Access.

Prima di un upgrade a SFOS 22 MR1, conviene inoltre verificare se sono ancora presenti vecchie configurazioni Remote Access IPsec. SSL VPN non è direttamente interessata, ma molte organizzazioni rivalutano Remote Access proprio in questa fase. La procedura è descritta in Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.

Pianificare prima del download

Prima che gli utenti scarichino il client, deve essere chiaro come verrà gestita SSL VPN. Molti problemi successivi non dipendono dall’installazione, ma da profili obsoleti, autorizzazioni poco chiare o regole firewall troppo permissive.

Domande importanti da chiarire:

• Utenti: quali utenti o gruppi sono autorizzati come Policy members per SSL VPN?
• Portal: il VPN Portal deve essere raggiungibile da Internet oppure il file .ovpn viene distribuito dall’amministratore?
• Certificato: il certificato corrisponde al FQDN pubblico e non genera avvisi nel browser?
• MFA: OTP/MFA viene richiesto per Remote Access e il rollout dei token è stato completato?
• DNS: sono necessari server DNS interni e domini di ricerca?
• Accesso: quali reti e servizi interni devono essere raggiungibili dalla zona VPN?
• Gestione: chi aggiorna Sophos Connect e distribuisce i nuovi profili dopo le modifiche?

Se il VPN Portal è accessibile pubblicamente, non va considerato una semplice pagina di download. È un servizio di login del firewall e fa parte della superficie di attacco. Device Access, certificato, MFA, logging ed eventuali limitazioni per origine o paese devono quindi essere valutati con attenzione.

1. Accedere al VPN Portal

Aprire nel browser il VPN Portal di Sophos Firewall. L’indirizzo predefinito è https://<Firewall-FQDN>:443, a meno che la porta non sia stata modificata. Accedere quindi con l’utente VPN.

Se il browser mostra un avviso relativo al certificato, occorre verificarne la causa. Negli ambienti di produzione, un certificato valido per il VPN Portal è preferibile a un’eccezione permanente nel browser. Per i portali pubblici, certificato, MFA e Device Access non sono dettagli secondari, ma parte integrante della sicurezza Remote Access. Per l’hardening è utile Device Access e Local Service ACL su Sophos Firewall.

Se dopo aver eseguito correttamente l’accesso l’utente non vede alcuna configurazione SSL VPN, raramente si tratta di un problema di Windows. Occorre prima verificare se l’utente o il relativo gruppo è incluso come Policy members nella policy SSL VPN corretta e se è stato raggiunto il portale giusto.

2. Scaricare Sophos Connect e la configurazione SSL VPN

Nel VPN Portal passare alla sezione VPN. Qui vengono messi a disposizione Sophos Connect Client e la configurazione SSL VPN.

Per la procedura manuale con Sophos Connect su Windows:

1. In Sophos Connect client, selezionare Download for Windows per scaricare il client, se non viene distribuito centralmente.
2. In VPN configuration, per la configurazione SSL VPN desiderata selezionare Download configuration for Windows, macOS, Linux.
3. Scegliere Use with Sophos Connect and OpenVPN Connect v2 clients. L’opzione Use with OpenVPN Connect v3 clients è destinata a OpenVPN Connect 3, non a Sophos Connect.
4. Conservare in modo protetto il file .ovpn scaricato e importarlo successivamente in Sophos Connect.

Sophos Connect Client può essere scaricato anche direttamente dal sito Sophos: Scaricare Sophos Connect Client.

Negli ambienti gestiti, il client non dovrebbe essere installato in modo non coordinato. È preferibile usare un pacchetto software definito, con una versione chiara, un gruppo di test e un processo di aggiornamento. La versione approvata dovrebbe essere ricavata dalle Release Notes ufficiali, dal VPN Portal o dal pacchetto software interno, non da download isolati sui dispositivi degli utenti. Le versioni recenti di Sophos Connect includono anche aggiornamenti di sicurezza e dei componenti, ad esempio per OpenVPN o OpenSSL.

Se sul dispositivo Windows è ancora installato un vecchio Sophos SSL VPN Client, deve essere disinstallato prima di Sophos Connect. Sophos specifica che Sophos Connect non può essere eseguito in parallelo con un altro client VPN già presente. Inoltre, più client e profili gestiti in parallelo causano rapidamente adattatori errati e casi di supporto difficili da interpretare.

In alternativa, su Windows un amministratore può distribuire un file di provisioning .pro. Sophos Connect lo utilizza per recuperare dal VPN Portal la configurazione .ovpn associata all’utente e può applicare automaticamente modifiche successive. Questo metodo richiede un VPN Portal raggiungibile e dotato di un certificato attendibile. La configurazione dettagliata del provisioning e delle GPO è descritta in Configurare Sophos Connect su Sophos Firewall.

3. Installare Sophos Connect

Eseguire il setup, accettare le condizioni di licenza, fare clic su Install e completare la procedura guidata con Finish. In caso di upgrade, la versione di Sophos Connect esistente deve essere prima disinstallata e la versione attuale deve poi essere reinstallata.

Se durante l’installazione viene richiesta la conferma di un adattatore di rete, si tratta di un componente del client VPN. Negli ambienti Windows gestiti, questo passaggio dovrebbe essere predisposto correttamente tramite la distribuzione software o i diritti di amministratore locale.

Dopo l’installazione, è opportuno documentare la versione di Sophos Connect. Questo aiuta nei casi di supporto successivi, evitando di confondere problemi del client, del profilo e del firewall. Per la gestione continuativa è utile Verificare la versione di Sophos Connect Client e aggiornarla in sicurezza.

4. Importare la configurazione SSL VPN

Dopo l’installazione, l’icona di Sophos Connect compare nell’area di notifica della barra delle applicazioni di Windows. Aprire Sophos Connect e importare il file .ovpn scaricato.

In presenza di più profili, il nome della connessione deve essere univoco. Profili vecchi o duplicati causano rapidamente richieste di supporto, perché gli utenti possono selezionare la destinazione sbagliata.

Con un file .ovpn importato manualmente, dopo modifiche rilevanti gli utenti devono scaricare nuovamente la configurazione dal VPN Portal e importarla. Sophos indica in particolare le modifiche a porta, protocollo, interfaccia o certificato server SSL nelle impostazioni globali di SSL VPN. Il solo aggiornamento del client, invece, non richiede un nuovo import del profilo: i file di configurazione esistenti continuano a funzionare.

Con una connessione fornita tramite .pro, Sophos Connect può recuperare automaticamente le modifiche, purché gateway e porta del VPN Portal nel file di provisioning non siano cambiati. Il recupero può essere avviato manualmente tramite Edit connection > Update policy. Dopo modifiche a SSO, gateway o porta del portale, è comunque necessario verificare se occorre distribuire un file .pro aggiornato.

Indizi tipici di un profilo obsoleto o errato:

• La connessione mostra ancora il vecchio nome della sede: di solito è ancora importato un vecchio profilo. Rimuovere la vecchia connessione e importare il file .ovpn attuale.
• Avviso relativo al certificato o al gateway: FQDN, certificato o Override Hostname potrebbero essere cambiati. Scaricare nuovamente il profilo dal VPN Portal attuale.
• Il DNS non funziona solo su alcuni client: verificare la presenza di vecchi valori DNS nel profilo o il comportamento DNS locale. Reimportare il profilo e controllare il DNS di Windows.
• L’utente non vede alcuna configurazione nel portale: verificare l’assegnazione della policy o il contesto utente. Controllare la policy SSL VPN e l’appartenenza al gruppo.

5. Stabilire la connessione VPN

Selezionare la connessione importata e fare clic su Connect. Accedere quindi con l’utente VPN. Se MFA o OTP è attivo, il secondo fattore deve essere confermato in base alla configurazione del firewall.

Dopo aver stabilito la connessione, non è sufficiente controllarne lo stato nel client. Occorre verificare se le destinazioni interne necessarie sono effettivamente raggiungibili.

Se viene utilizzato Microsoft Entra ID SSO, su Windows è necessario Sophos Connect 2.4 o una versione successiva. Sui dispositivi condivisi, l’utente precedente deve eseguire Force SSO re-login dal menu di Sophos Connect, affinché l’utente successivo debba autenticarsi con il proprio account Entra ID.

Controlli dopo l’installazione

Con un utente di test è opportuno verificare almeno i seguenti punti:

• Sophos Connect mostra la connessione come attiva.
• L’utente riceve un indirizzo IP dal pool SSL VPN previsto.
• I nomi DNS interni vengono risolti correttamente.
• I server e le applicazioni necessari sono raggiungibili.
• Il comportamento dell’accesso Internet corrisponde al progetto: Split Tunnel o Full Tunnel.
• Nel Log Viewer è visibile la regola firewall prevista per il traffico proveniente dalla zona VPN.
• MFA viene richiesto come previsto.
• Una destinazione volutamente non autorizzata rimane bloccata.
• L’interruzione della connessione e un nuovo login funzionano correttamente.

Se la connessione è attiva ma l’accesso non funziona, spesso la causa non risiede nel client, bensì nelle regole firewall, nel DNS, nel routing o nel NAT. Per l’analisi è utile Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Controllo rapido lato Windows

Sul client Windows, prima di modificare la configurazione del firewall, sono utili alcuni semplici controlli:

ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10

Lo scopo non è consentire ogni ping. È importante stabilire se il client ha ricevuto un indirizzo SSL VPN, se esiste una route verso la rete interna di destinazione e se il DNS risolve tramite il server previsto. Se l’accesso funziona tramite indirizzo IP ma non tramite nome, il DNS è una causa più probabile della regola firewall.

Gestione e sicurezza

SSL VPN è un servizio Remote Access accessibile pubblicamente. Per questo motivo non basta documentare l’installazione: occorre definire anche la gestione operativa.

• Aggiornare regolarmente Sophos Connect.
• Attivare e testare MFA per Remote Access.
• Verificare regolarmente i gruppi VPN.
• Limitare, per quanto possibile, l’accesso al portale tramite Device Access e Local Service ACL.
• Mantenere restrittive e sottoposte a logging le regole firewall per la zona VPN.
• Rimuovere i vecchi file .ovpn e i profili obsoleti.
• Prevedere Syslog o un’analisi centralizzata se è necessaria una conservazione dei log più lunga.

Per le nozioni di base su MFA è utile Attivare MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access. Per i file di log e i service log, consultare Sophos Firewall Troubleshooting: servizi e log.

Troubleshooting

L’accesso al VPN Portal non funziona

Verificare utente, password, MFA, appartenenza ai gruppi e authentication server. Se sono coinvolti AD, RADIUS o Microsoft Entra ID SSO, l’autenticazione deve essere testata separatamente dalla VPN.

L’utente non vede configurazioni SSL VPN nel VPN Portal

Se l’accesso funziona ma non sono visibili file .ovpn o download SSL VPN, non occorre cercare il problema nel client Windows. Bisogna prima controllare la policy SSL VPN, Policy members, appartenenza al gruppo, accesso al portale e limite User ID. La procedura lato firewall è descritta in Configurare Sophos Firewall SSL VPN Remote Access.

Il file .ovpn non si importa

Verificare innanzitutto che il file appartenga effettivamente alla configurazione firewall corrente e che Sophos Connect sia sufficientemente aggiornato. In presenza di caratteri speciali nei certificati o nei dati utente, è necessario utilizzare una versione aggiornata del client.

Se il download del file .ovpn dal VPN Portal non riesce nonostante autenticazione e autorizzazione siano corrette, occorre verificare anche il limite User ID di Sophos Firewall.

La connessione è attiva, ma i sistemi interni non sono raggiungibili

Verificare DNS, regole firewall, routing, NAT e percorso di ritorno. Nel Log Viewer dovrebbe essere visibile il traffico proveniente dalla zona VPN. Se non compaiono log, probabilmente il traffico non raggiunge la regola prevista oppure il logging è disattivato.

Se gli accessi di piccole dimensioni funzionano, ma trasferimenti di file più grandi o determinate applicazioni si bloccano, occorre controllare anche MTU/MSS: Verificare MTU e MSS su Sophos Firewall in caso di problemi VPN.

Sophos Connect segnala Policy mismatch o Compression mismatch

• Policy mismatch con richiesta di una nuova importazione: per una connessione .ovpn importata manualmente, scaricare dal VPN Portal il file aggiornato e importarlo di nuovo. Per una connessione fornita tramite provisioning, Sophos Connect scarica automaticamente la nuova policy e ristabilisce il tunnel.
• Compression mismatch: per una connessione .ovpn, riconnettersi manualmente. Per una connessione .pro, Sophos Connect tenta automaticamente la riconnessione.

Con TCP, il client rileva una policy SSL VPN modificata durante una connessione esistente e interrompe o aggiorna la connessione di conseguenza. Con UDP, potrebbe essere necessario attendere prima la scadenza dell’Inactivity Timer. Occorre quindi documentare orario, protocollo e messaggio di evento esatto, invece di trattare tutte le segnalazioni di mismatch allo stesso modo.

Dopo il cambio di profilo, Sophos Connect continua a collegarsi alla vecchia destinazione

Spesso è ancora presente una vecchia voce di connessione oppure gli utenti selezionano nel client il nome del profilo errato. Rimuovere i vecchi profili, importare nuovamente il file .ovpn attuale e scegliere un nome che identifichi chiaramente sede, ambiente o scopo.

La connessione si interrompe nelle reti esterne

SSL VPN è spesso più tollerante di IPsec, ma non è immune da reti restrittive, Captive Portal, proxy obbligatori o reti Wi-Fi instabili. In questi casi, eseguire un test con una seconda rete e verificare se Split Tunnel, porta, protocollo o ZTNA siano più adatti.

Raccogliere i dati per il supporto

Se l’errore non è immediatamente visibile, menu con tre puntini > About > Generate technical support report genera il file scvpntsr.zip. Il report contiene eventi di connessione, configurazioni VPN e informazioni sull’endpoint. Prima di condividerlo, occorre controllare i dati sensibili, come nomi utente, hostname interni, indirizzi IP e FQDN del gateway.

Sul firewall sono utili, in parallelo, Log Viewer, sslvpn.log, openvpn-status*.log e la regola firewall corrispondente. L’associazione dei file di log è descritta in Sophos Firewall Troubleshooting: servizi e log.

FAQ