Installa Sophos Connect Client su Windows
Sophos Connect è il client Sophos centrale per molti scenari di accesso remoto con Sophos Firewall. Su Windows, il client può utilizzare connessioni IPsec e SSL VPN a seconda della configurazione del firewall. È importante che la versione del client, la piattaforma Windows, il file di configurazione e l’impostazione del firewall corrispondano.
Queste istruzioni descrivono l’installazione su Windows e le verifiche più importanti dopo l’importazione della connessione. Quando si decide tra IPsec, SSL VPN, client mobili e ZTNA, il primo confronto è Sophos Connect o SSL VPN: quale soluzione ha l’accesso remoto?.
Quale articolo è adatto?
Sophos Connect su Windows è solo una parte delle operazioni di accesso remoto. A seconda del compito, è appropriato un approccio diverso:
- Installa Sophos Connect su Windows: Questo articolo.
- Configura SSL VPN su Windows con
.ovpn: Configura Sophos SSL VPN con Sophos Connect su Windows. - Configurare Sophos Connect sul lato firewall: Configurare Sophos Connect su Sophos Firewall.
- Configurare l’SSO Microsoft Entra ID per Sophos Connect: Configurare l’ID SSO Microsoft Entra tramite Sophos Connect e il portale VPN.
- Mantenere versioni, aggiornamenti e profili del client: Controllare e coordinare in modo da garantire la versione di Sophos Connect Client.
- La VPN è connessa ma il traffico non funziona: Test di controllo del firewall con visualizzatore log, test policy e acquisizione pacchetti. Questa separazione impedisce la tipica risoluzione dei problemi nel posto sbagliato. Un client installato non dimostra ancora che il portale VPN, l’autenticazione, il profilo, le regole del firewall, il DNS e il percorso di ritorno siano corretti.
Requisiti
- Sophos Firewall con configurazione di accesso remoto impostata
- Sophos Connect Client in una versione che corrisponde al firewall e alla piattaforma
- Windows 10 o Windows 11, con le attuali versioni di Sophos Connect a 64 bit o Windows ARM
- File di configurazione per IPsec (
.scxo.tgb) o SSL VPN (.ovpno file di provisioning) - Account utente con autorizzazione VPN e, se abilitato, MFA funzionante
- Regole firewall per il traffico proveniente dalla zona
VPNo dalla zona di accesso remoto utilizzata
Se Sophos Connect deve essere utilizzato con Microsoft Entra ID SSO, è richiesto Sophos Connect 2.4 o versione successiva su Windows e una configurazione SSO adeguata sul firewall. Il processo è in Configurare l’ID SSO Microsoft Entra tramite Sophos Connect e portale VPN.
Sophos Connect è supportato per Windows ARM a partire dalla versione 2.5. Se i vecchi pacchetti software vengono ancora distribuiti internamente, dovreste verificare quale versione è effettivamente installata prima del rollout. Per l’implementazione, il gruppo pilota e il controllo degli aggiornamenti, Controlla e aggiorna in modo sicuro la versione di Sophos Connect Client si adatta.
Importante è anche il limite della piattaforma: le versioni attuali di Sophos Connect dovrebbero essere pianificate per nuove implementazioni con Windows 10 o Windows 11. Le vecchie installazioni a 32 bit non dovrebbero essere mantenute come nuovo standard solo perché prima erano possibili con versioni client precedenti.
1. Scarica Sophos Connect Client
Il Sophos Connect Client può essere scaricato tramite il portale VPN del Sophos Firewall o direttamente dal Sito Web Sophos.
Negli ambienti gestiti, il client non deve essere installato in modo casuale dai singoli utenti. Ha senso un pacchetto chiaro con una versione definita, un gruppo di implementazione e un piano di fallback. Ciò è particolarmente importante quando si utilizza Windows ARM, SSL VPN tramite Sophos Connect o il provisioning dei file.
Sophos Connect dovrebbe essere aggiornato regolarmente. Le nuove versioni non contengono solo modifiche funzionali, ma anche componenti aggiornati come OpenVPN, strongSwan o OpenSSL.
Per ambienti più grandi, la fonte di installazione dovrebbe essere chiara. Se sono presenti contemporaneamente vecchi file MSI, un download del portale VPN e una distribuzione del software, altrimenti l’helpdesk installerà rapidamente diverse versioni del client.
2. Installare Sophos Connect ClientL’installazione inizia con il file SophosConnect.msi. Dopo aver completato la procedura guidata, la finestra può essere chiusa con Finish.
Dopo l’installazione, la versione dovrebbe essere verificata direttamente nel client o tramite l’inventario del software. Ciò è particolarmente importante per Windows ARM, Entra SSO, provisioning dei file ed errori ricorrenti del servizio, poiché piccole differenze di versione possono modificare il modello di errore.
3. Scarica il file di connessione
Al primo avvio Sophos Connect richiede la configurazione della connessione. A seconda della progettazione dell’accesso remoto, si tratta di un file IPsec, SSL VPN o di provisioning.
File di connessione tipici:
- Accesso remoto IPsec:
.scxo.tgb; Esporta inVPN > Sophos Connect Client. - VPN SSL:
.ovpn; Portale VPN o esportazione amministrativa. - Importazione automatica tramite provisioning:
.pro; file di provisioning preparato centralmente. Con una configurazione IPsec classica, il file viene esportato in WebAdmin:
- Su Sophos Firewall, aprire
VPN>Sophos Connect Client. - Esporta connessione.
- Archivia il file in modo sicuro e distribuiscilo solo agli utenti autorizzati.
Con SSL VPN, la configurazione viene solitamente fornita dal portale VPN o dalla configurazione di accesso remoto. L’origine esatta dipende da come è stato configurato l’accesso remoto sul firewall. La procedura dettagliata per l’importazione di .ovpn, il portale VPN e i test SSL VPN è disponibile in Configurare Sophos SSL VPN con Sophos Connect su Windows.
I profili dovrebbero essere distribuiti in modo controllato. Se il gateway, il certificato, il DNS, il gruppo utenti, il pool IP, l’SSO o l’autenticazione sono stati modificati, non è necessario fare affidamento sui vecchi file nelle cartelle di download. Le connessioni interessate devono essere riesportate, reimportate o adeguatamente aggiornate tramite provisioning.
Per quanto riguarda i file di provisioning, è necessario controllare con particolare attenzione il gateway, la porta del portale VPN, i certificati, il riferimento SSO e il gruppo utenti. Un file di provisioning semplifica la distribuzione, ma non sostituisce l’approvazione tecnica della connessione.
4. Configurare Sophos Connect Client
La configurazione viene eseguita in pochi passaggi:
- Aprire Sophos Connect.
- Selezionare
Import Connection. - Importare il file di connessione appropriato.
- Controllare la connessione in Connessioni.
- Fare clic su
Connect. - Accedi con l’utente VPN e conferma MFA se abilitato.
Se l’accesso ha esito positivo, Sophos Connect dovrebbe mostrare la connessione come connessa. Quindi non dovresti solo controllare lo stato verde, ma anche testare DNS, target interni e regole del firewall. Se la connessione viene stabilita ma non scorre traffico, Testa le regole del firewall con Log Viewer, Policy Test e Packet Capture aiuta.
Con Entra ID SSO, dovresti anche verificare se il flusso SSO viene effettivamente eseguito tramite il server Microsoft Entra ID previsto e se l’accesso condizionale o MFA funziona come previsto. Un accesso locale riuscito non dimostra automaticamente che SSO, mappatura dei gruppi e autorizzazione VPN siano corretti.
Controllare dopo l’installazione
Dopo l’installazione, è necessario controllare questi punti:
- La versione di Sophos Connect è adatta alla piattaforma, in particolare con Windows ARM.
- Il file importato corrisponde al protocollo desiderato: IPsec o SSL VPN.
- L’utente è autorizzato nel gruppo VPN corretto.
- L’MFA funziona e non blocca la creazione della connessione.
- Il client riceve un IP VPN adatto.
- I nomi DNS interni sono stati risolti.
- Le regole del firewall per la zona
VPNconsentono solo i target richiesti. - I vecchi profili non sono stati riutilizzati accidentalmente.
Se esistono ancora vecchie configurazioni IPsec di accesso remoto prima di un aggiornamento di SFOS 22 MR1, Migrazione dell’IPsec di accesso remoto legacy prima di SFOS 22 MR1 deve essere controllato prima.
Test di accettazione per Windows
Lo status di cliente verde non è sufficiente come accettazione. Per un’implementazione efficace, un utente di prova dovrebbe verificare questi punti:
- Controlla la versione del client: La versione è adatta a Windows 10/11, Windows ARM e versione interna.
- Importa profilo:
.scx,.tgb,.ovpno.proviene riconosciuto correttamente. - Prova SSO: Entra SSO inizia solo dove è previsto.
- Prova l’AMF: OTP, RADIUS-MFA o Entra-MFA si comportano come documentato.
- Prova DNS: gli FQDN interni si risolvono correttamente.
- Prova l’accesso: I target consentiti funzionano, i target non autorizzati rimangono bloccati.
- Controllare Visualizzatore registro: Il traffico dalla zona VPN soddisfa la regola firewall prevista.
- Testare la riconnessione: Cambiamenti di rete, standby e riconnessioni sono tracciabili.
Per gli ambienti misti, è necessario testare almeno un dispositivo Windows 10/11 classico e un dispositivo Windows ARM se ARM viene utilizzato in produzione. Se vengono utilizzati anche client macOS, il comportamento dovrebbe essere documentato separatamente.
Note di implementazione per i client Windows gestiti
Se gli utenti sono pochi, potrebbe essere sufficiente un’installazione manuale. Negli ambienti più grandi, Sophos Connect dovrebbe essere controllato tramite la normale distribuzione del software o la gestione degli endpoint.
Chiarire prima di un’ampia implementazione:
- Quale versione di Sophos Connect viene rilasciata?
- Quali versioni di Windows e architetture di CPU sono in uso?
- Viene utilizzato IPsec, SSL VPN, Entra SSO o il provisioning?
- Ci sono utenti con OTP, RADIUS-MFA o Entra-MFA?
- Come vengono distribuiti i nuovi profili?
- Come rimuovere i vecchi profili o contrassegnarli come obsoleti?
- Chi controlla il DNS, le regole del firewall e il comportamento di riconnessione dopo gli aggiornamenti del client?
- Di quali registri e screenshot ha bisogno l’helpdesk per i casi di supporto?
Per i dispositivi Windows condivisi, occorre prestare particolare attenzione al fatto che Sophos Connect si avvii in modo affidabile per tutti gli utenti interessati. Sophos Connect 2.5 MR1 include una correzione per un caso in cui il client per utenti Windows aggiuntivi non si avviava automaticamente quando veniva installato da un altro utente.
Risoluzione dei problemi
Sophos Connect non si avvia o mostra errori di servizio
Verificare innanzitutto se il servizio Sophos Connect è in esecuzione e se è installata una versione client corrente. Per i pacchetti di installazione più vecchi, di solito vale la pena eseguire una reinstallazione pulita con la versione rilasciata. Se più utenti Windows utilizzano lo stesso dispositivo, è necessario verificare anche se il client si avvia automaticamente correttamente nel contesto utente.
La connessione è importata ma non stabilita
Di solito sono coinvolti l’autorizzazione dell’utente, l’MFA, il certificato, la chiave precondivisa, la versione del firewall o un tipo di file errato. I profili IPsec e SSL VPN non devono essere mischiati. Per i file di provisioning, controlla anche il gateway, la porta del portale VPN, il certificato, la configurazione SSO e gli endpoint Microsoft accessibili se è coinvolto Entra SSO.
Lo stato SSO non è chiaro dopo l’interruzione di Internet
Negli ambienti Entra SSO, un’interruzione di Internet può provocare fastidiose visualizzazioni di stato. Sophos Connect 2.5 MR1 include una correzione per gli utenti SSO. Tuttavia è necessario verificare anche se il tunnel è realmente disconnesso, se il client si riconnette e se il firewall in Autenticazione > Servizi utilizza il server Microsoft Entra ID previsto.
L’OTP viene interrogata in modo diverso durante la riconnessione
Se gli utenti OTP o MFA classici utilizzano IPsec e SSL VPN in parallelo, è necessario testare il comportamento di riconnessione. Sophos Connect 2.5 MR1 risolve una differenza nella verifica dell’accesso tra IPsec e SSL VPN per gli utenti con credenziali con OTP.
La connessione è stata stabilita, ma non è possibile raggiungere i sistemi interni
In questo caso la causa spesso non è il client, ma piuttosto le regole del firewall, il routing, il DNS o il NAT. Dovrebbe essere visibile nel visualizzatore registro se il traffico dalla zona VPN soddisfa la regola prevista. Per i casi speciali di IPsec, Risoluzione del problema VPN IPsec in Sophos Firewall aiuta.
La connessione non funziona più dopo la modifica del profilo
Dopo le modifiche al gateway, al certificato, alla porta del portale VPN, al DNS, al pool IP, al gruppo utenti, all’SSO Entra o all’autenticazione, il profilo deve essere ridistribuito o reimportato. Un aggiornamento del client non sostituisce automaticamente un vecchio profilo.### La connessione è stata stabilita, ma i trasferimenti di grandi dimensioni sono bloccati
Se il login, il DNS e gli accessi piccoli funzionano, ma i trasferimenti di file più grandi o alcune applicazioni si bloccano, è necessario controllare anche MTU/MSS. Il modello di errore spesso corrisponde a frammentazione, PPPoE, connessioni tunnel o un percorso asimmetrico. Il processo è in Controllare Sophos Firewall MTU e MSS tramite VPN potenzialmente problematica.
Raccogli i dati di supporto
Se l’errore non è immediatamente visibile, è necessario documentare l’ora, l’utente, la versione di Windows, l’architettura della CPU, la versione di Sophos Connect, il tipo di profilo, la rete di origine e il sistema di destinazione. Visualizzatore log, sslvpn.log, log IPsec, acquisizione pacchetti e regola firewall interessata aiutano sul firewall. L’assegnazione dei file di log è reperibile in Risoluzione dei problemi di Sophos Firewall: servizio e log.