Configurare Sophos SSL VPN con Sophos Connect su Windows
SSL VPN resta un percorso Remote Access importante su Sophos Firewall, soprattutto quando IPsec crea problemi in hotel, reti guest o reti esterne filtrate in modo rigido. Su Windows, oggi SSL VPN viene usata in molti ambienti tramite Sophos Connect.
L’articolo descrive l’installazione su Windows, l’importazione della configurazione .ovpn e i controlli principali dopo la connessione. Per la decisione di base tra Sophos Connect, SSL VPN, IPsec, client mobili e ZTNA, conviene partire da Sophos Connect o SSL VPN: quale soluzione Remote Access è adatta?.
Inquadramento
Questa guida vale per Sophos Firewall con SFOS. A seconda della piattaforma o della situazione di partenza, può essere più adatto un altro punto di ingresso:
- Configurare SSL VPN con Sophos Connect su Windows: questo articolo.
- Configurare SSL VPN su macOS: Configurare Sophos SSL VPN su macOS.
- Configurare SSL VPN su iOS: Configurare Sophos SSL VPN su iOS.
- Valutare Sophos Connect in generale: Sophos Connect o SSL VPN: quale soluzione Remote Access è adatta?.
- Gestire versioni client e profili Sophos Connect: Verificare la versione di Sophos Connect Client e aggiornarla in sicurezza.
Importante: Sophos Connect non supporta SSL VPN solo su Windows. Da Sophos Connect 2.0, Remote Access SSL VPN è possibile anche su macOS. Piattaforme mobili come iOS e Android non sono supportate direttamente da Sophos Connect per IPsec e SSL VPN; in questi casi si usano client compatibili con OpenVPN o funzioni del sistema operativo.
Requisiti
- Sophos Firewall con configurazione SSL VPN Remote Access già predisposta
- utente autorizzato per SSL VPN
- accesso al VPN Portal o file
.ovpnfornito amministrativamente - Sophos Connect in una versione aggiornata e adatta alla piattaforma Windows
- Windows 10 o Windows 11, con Sophos Connect 2.5 o più recente anche Windows ARM
- MFA/OTP configurato, se Remote Access è protetto in questo modo
- regole firewall per il traffico dalla zona
VPN - processo definito per distribuire nuovi file
.ovpndopo modifiche
Se la configurazione SSL VPN lato firewall non è ancora pronta, va prima completata Configurare Sophos Firewall SSL VPN Remote Access.
Prima di un upgrade a SFOS 22 MR1, va inoltre verificato se esistono ancora vecchie configurazioni Remote Access IPsec. SSL VPN non è direttamente interessata, ma molte organizzazioni rivalutano Remote Access proprio in questo momento. La procedura è descritta in Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.
Pianificare prima del download
Prima che gli utenti scarichino il client, deve essere chiaro come verrà gestita SSL VPN. Molti errori successivi non nascono durante l’installazione, ma da profili vecchi, autorizzazioni poco chiare o regole firewall troppo ampie.
Domande importanti di pianificazione:
- Utenti: quali utenti o gruppi sono autorizzati come Policy members per SSL VPN?
- Portal: il VPN Portal deve essere raggiungibile da Internet o il file
.ovpnviene distribuito amministrativamente? - Certificato: il certificato corrisponde al FQDN pubblico e il browser non genera avvisi?
- MFA: OTP/MFA viene richiesto per Remote Access e il rollout dei token è concluso?
- DNS: servono DNS server interni e domini di ricerca?
- Accesso: quali reti e servizi interni devono essere raggiungibili dalla zona
VPN? - Operatività: chi aggiorna Sophos Connect e distribuisce nuovi profili dopo modifiche?
Se il VPN Portal è raggiungibile pubblicamente, non va considerato una semplice pagina di download. È un servizio di login del firewall e fa parte della superficie di attacco. Device Access, certificato, MFA, logging ed eventuali limitazioni per origine o paese vanno quindi verificati consapevolmente.
1. Accedere al VPN Portal
Aprire il VPN Portal di Sophos Firewall nel browser e accedere con l’utente VPN.
Se il browser mostra un avviso sul certificato, va verificata la causa. Negli ambienti produttivi un certificato valido per il VPN Portal è più pulito di un’eccezione permanente nel browser. Per portali pubblici, certificato, MFA e Device Access non sono dettagli secondari, ma parte della sicurezza Remote Access. Per l’hardening è utile Device Access e Local Service ACL su Sophos Firewall.
Se dopo un login riuscito l’utente non vede alcuna configurazione SSL VPN, raramente è un problema Windows. Prima si dovrebbe controllare se l’utente o il suo gruppo è incluso come Policy members nella policy SSL VPN corretta e se viene raggiunto il portale giusto.
2. Scaricare Sophos Connect e la configurazione SSL VPN
Nel VPN Portal passare alla sezione VPN. Qui vengono messi a disposizione il client Sophos Connect e la configurazione SSL VPN. Per SSL VPN è rilevante il file .ovpn.
.ovpn; il file deve corrispondere alla configurazione firewall attuale.Il client Sophos Connect può essere scaricato anche direttamente dal sito Sophos: Scaricare Sophos Connect Client.
Negli ambienti gestiti, il client non dovrebbe essere installato casualmente. È meglio usare un pacchetto software definito, con versione chiara, gruppo di test e processo di aggiornamento. La versione approvata dovrebbe derivare dalle Release Notes ufficiali, dal VPN Portal o dal pacchetto software interno, non da download isolati sui dispositivi utente. Le versioni attuali di Sophos Connect includono anche aggiornamenti di sicurezza e dei componenti, per esempio per OpenVPN o OpenSSL.
Se sul dispositivo Windows è ancora installato un vecchio client SSL VPN o un altro client basato su OpenVPN per la stessa connessione, questa situazione va ripulita prima del rollout. Più client VPN mantenuti in parallelo portano rapidamente ad adattatori errati, profili vecchi e casi di supporto poco chiari.
3. Installare Sophos Connect
Eseguire il setup e seguire i passaggi di installazione.
Se durante l’installazione deve essere confermato un adattatore di rete, fa parte del client VPN. Negli ambienti Windows gestiti, questo passaggio dovrebbe essere preparato correttamente tramite distribuzione software o diritti di amministratore locali.
Dopo l’installazione si dovrebbe documentare la versione di Sophos Connect. Questo aiuta più tardi nei casi di supporto, perché altrimenti errori client, errori profilo ed errori firewall si mescolano rapidamente. Per l’operatività continua è utile Verificare la versione di Sophos Connect Client e aggiornarla in sicurezza.
4. Importare la configurazione SSL VPN
Dopo l’installazione, l’icona Sophos Connect compare nell’area di notifica della barra delle applicazioni di Windows. Aprire Sophos Connect e importare il file .ovpn scaricato.
Con più profili, il nome della connessione deve essere univoco. Profili vecchi o duplicati causano rapidamente casi di supporto, perché gli utenti selezionano la destinazione sbagliata.
Dopo modifiche alla policy SSL VPN, al certificato, al gateway, al DNS, al gruppo utenti o alla logica di provisioning, la connessione va importata di nuovo. Un aggiornamento del client non sostituisce automaticamente un vecchio profilo .ovpn. Se Sophos Connect segnala una differenza di policy o di compressione, spesso il problema è proprio lo stato del profilo.
Indizi tipici di un profilo vecchio o sbagliato:
- La connessione mostra il vecchio nome sede: di solito è ancora importato un vecchio profilo. Rimuovere la vecchia connessione e importare il
.ovpnattuale. - Avviso certificato o gateway: FQDN, certificato o Override Hostname potrebbero essere cambiati. Scaricare di nuovo il profilo dal VPN Portal attuale.
- DNS non funziona solo su alcuni client: controllare vecchi valori DNS nel profilo o comportamento DNS locale. Reimportare il profilo e controllare il DNS Windows.
- L’utente non vede una configurazione nel portale: controllare assegnazione policy o contesto utente. Verificare SSL-VPN-Policy e appartenenza al gruppo.
5. Stabilire la connessione VPN
Selezionare la connessione importata e fare clic su Connect. Accedere quindi con l’utente VPN. Se MFA o OTP è attivo, il secondo fattore deve essere confermato secondo la configurazione del firewall.
Dopo la connessione non va controllato solo lo stato nel client. È decisivo verificare se le destinazioni interne necessarie sono raggiungibili.
Controlli dopo l’installazione
Almeno questi punti dovrebbero essere verificati con un utente di test:
- Sophos Connect mostra la connessione come connessa.
- L’utente riceve un indirizzo IP dal pool SSL VPN previsto.
- I nomi DNS interni vengono risolti correttamente.
- I server e le applicazioni necessari sono raggiungibili.
- Il comportamento Internet corrisponde al design: Split Tunnel o Full Tunnel.
- Nel Log Viewer è visibile la regola firewall attesa per il traffico dalla zona
VPN. - MFA viene richiesto come previsto.
- Interruzione della connessione e nuovo login funzionano.
- Una destinazione volutamente non consentita resta bloccata.
Se la connessione è attiva ma l’accesso non funziona, spesso la causa non è il client, ma regole firewall, DNS, routing o NAT. Per l’analisi è adatto Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.
Controllo rapido lato Windows
Sul client Windows aiutano semplici verifiche prima di modificare la configurazione firewall:
ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10
Non si tratta di consentire ogni ping. È decisivo capire se il client ha ricevuto un indirizzo SSL VPN, se esiste una rotta verso la rete interna e se DNS risolve tramite il server atteso. Se l’accesso via indirizzo IP funziona, ma via nome no, DNS è più probabile della regola firewall.
Operatività e sicurezza
SSL VPN è un servizio Remote Access raggiungibile pubblicamente. Per questo non va documentata solo l’installazione, ma anche l’operatività:
- aggiornare regolarmente Sophos Connect.
- attivare e testare MFA per Remote Access.
- verificare regolarmente i gruppi VPN.
- limitare gli accessi al portale tramite Device Access e Local Service ACL, per quanto possibile.
- mantenere strette e loggate le regole firewall per la zona
VPN. - rimuovere vecchi file
.ovpne profili obsoleti. - pianificare Syslog o valutazione centralizzata se serve una conservazione dei log più lunga.
Per le basi MFA è adatto Attivare MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access. Per file di log e service logs è utile Sophos Firewall Troubleshooting: servizi e log.
Troubleshooting
L’accesso al VPN Portal non funziona
Verificare utente, password, MFA, appartenenza ai gruppi e authentication server. Se sono coinvolti AD, RADIUS o Microsoft Entra ID SSO, l’autenticazione va testata separatamente dalla VPN.
L’utente non vede configurazioni SSL VPN nel VPN Portal
Se il login funziona, ma non è visibile alcun file .ovpn o download SSL VPN, non si dovrebbe cercare sul client Windows. Prima vanno controllati SSL-VPN-Policy, Policy members, appartenenza al gruppo, accesso al portale e User-ID-Limit. Il processo lato firewall è descritto in Configurare Sophos Firewall SSL VPN Remote Access.
Il file .ovpn non si importa
Prima verificare che il file appartenga davvero alla configurazione firewall attuale e che Sophos Connect sia abbastanza aggiornato. In presenza di caratteri speciali in certificati o dati utente, va usato un client aggiornato.
Se il download del file .ovpn nel VPN Portal fallisce anche se login e autorizzazione sono corretti, va inoltre verificato il limite User-ID di Sophos Firewall.
La connessione è attiva, ma i sistemi interni non sono raggiungibili
Verificare DNS, regole firewall, routing, NAT e percorso di ritorno. Nel Log Viewer dovrebbe essere visibile traffico dalla zona VPN. Se non compaiono log, probabilmente il traffico non raggiunge la regola attesa o il logging è disattivato.
Se piccoli accessi funzionano ma trasferimenti file più grandi o determinate applicazioni restano bloccati, va verificato anche MTU/MSS: Verificare MTU e MSS su Sophos Firewall in caso di problemi VPN.
Sophos Connect segnala Policy mismatch o Compression mismatch
Messaggi di questo tipo indicano spesso che la configurazione firewall è stata modificata, mentre il client usa ancora un vecchio profilo SSL VPN. In questo caso il file .ovpn attuale va scaricato di nuovo dal VPN Portal oppure ridistribuito amministrativamente e poi importato nuovamente.
Dopo il cambio profilo Sophos Connect continua a collegarsi alla vecchia destinazione
Spesso esiste ancora una vecchia voce di connessione o gli utenti selezionano nel client il nome profilo sbagliato. Rimuovere i vecchi profili, importare nuovamente il .ovpn attuale e scegliere un nome profilo che renda chiari sede, ambiente o scopo.
La connessione si interrompe in reti esterne
SSL VPN è spesso più tollerante di IPsec, ma non è immune da reti restrittive, Captive Portals, proxy obbligatori o WLAN instabili. In questi casi conviene testare con una seconda rete e verificare se Split Tunnel, porta, protocollo o ZTNA siano più adatti.
Raccogliere dati di supporto
Se l’errore non è direttamente visibile, Sophos Connect può generare un report tecnico di supporto. Contiene eventi di connessione, configurazioni VPN e informazioni sull’endpoint. Prima di condividerlo, vanno verificati i dati sensibili come nomi utente, hostname interni, indirizzi IP e FQDN del gateway.
Sul lato firewall aiutano in parallelo Log Viewer, sslvpn.log, openvpn-status*.log e la regola firewall corrispondente. L’assegnazione dei file di log è descritta in Sophos Firewall Troubleshooting: servizi e log.