Risoluzione dei problemi del client Sophos Connect

Se Sophos Connect non stabilisce la connessione, avvia la diagnosi dall’endpoint: annota l’ora dell’errore, consulta in Events il messaggio relativo al tentativo e controlla soltanto il percorso interessato. Modificare regole firewall, policy VPN o certificati basandosi su semplici sospetti rende l’analisi più difficile. Questa procedura riguarda il client in Windows e macOS; le guide per Windows e macOS descrivono l’installazione.

Restringi rapidamente il campo

1. Registra la situazione iniziale: Ora con fuso orario, utente, sistema operativo, versione di Sophos Connect, IPsec o SSL VPN e origine del profilo (.scx, .ovpn o .pro).
2. Controlla la rete locale: l’adattatore fisico necessita di un indirizzo IP valido. Un nome pubblico deve essere risolvibile senza una VPN.
3. Leggi l’evento: in Events, associa la voce al tentativo di connessione. Conserva invariati il testo e i valori dei segnaposto.
4. Distingui il client dal lato remoto: se l’interfaccia o il servizio non si avviano, continua l’analisi sull’endpoint. Se il client raggiunge il gateway ma fallisce a livello di policy, autenticazione o IKE, l’amministratore del firewall deve correlare il tentativo.
5. Controlla il risultato: Riconnettiti dopo esattamente un’azione e annota un nuovo timestamp.
6. Esegui l’escalation: inoltra gli errori riproducibili con evento, log VPN e scvpntsr.zip; non inserire credenziali nel ticket.

Uno stato Connected dimostra soltanto che il tunnel è stato realizzato. DNS, routing e accesso a una destinazione interna consentita sono test separati.

Leggi correttamente gli eventi

Il messaggio sotto Eventi è il miglior primo filtro. Tuttavia, non descrive la causa ultima in ogni caso. Ad esempio, DNS resolution failed può solo confermare che il client non è riuscito a risolvere il nome del gateway; Il motivo per cui il risolutore utilizzato non reagisce deve essere chiarito separatamente.

Rete, DNS e provisioning

• No network connection: Ethernet o WiFi non hanno un indirizzo IP. Innanzitutto, ripristina la connettività locale senza VPN.
• DNS resolution failed: Impossibile risolvere il nome del gateway. Controlla se un server DNS è assegnato all’interfaccia fisica ed esegui nslookup www.sophos.com nel Prompt dei comandi su Windows o nel Terminale su macOS. È previsto almeno un indirizzo IP. Se questo test pubblico fallisce, il passo successivo spetta alla rete locale o al provider, non alla policy VPN.
• DNS resolution failed for gateway: <gateway name:port>: Il nome host nel provisioning non è valido; per .ovpn importato, l’amministratore del firewall deve verificare le impostazioni VPN SSL.
• Cannot connect to policy gateway: <gateway name>: Per provisioning su Windows e su macOS da Sophos Connect 2.1. Confronta gateway e user_portal_port con il gateway e la porta HTTPS di VPN Portal. Controlla anche se una porta in uscita è bloccata o se il policy gateway non è disponibile.
• Import file contains a duplicate connection: <connection name>: Per provisioning su Windows e su macOS da Sophos Connect 2.1. Assegna un nome univoco a ogni valore display_name duplicato nel file .pro.
• The connection data could not be added. Connection with name <connection name> already exists: Controlla la connessione già importata ed eliminala solo se l’origine del profilo corrente è disponibile per la reimportazione.

Registrazione e stato del profilo

• User authentication of <username entered> failed: Ripetere l’immissione con attenzione una volta. Se l’errore si ripete, l’amministratore del firewall deve verificare lo stato della password, l’utente e l’autorizzazione VPN. Più ipotesi possono attivare meccanismi di blocco.

• Server expected remote ID <expected ID value> but got <actual ID value>: L’ID locale sul firewall e il profilo client non corrispondono. Ottieni il profilo corrente dall’amministratore del firewall.

• Possible pre-shared key mismatch <connection name>: Solo IPsec. La chiave precondivisa e il profilo esportato non sono la stessa cosa; non trasferire la chiave nel ticket o nella chat.

• No SSL VPN policy is defined for this user: <username>: la policy di accesso remoto SSL VPN non contiene membri corrispondenti. Questa è un’attività di autorizzazione lato firewall.

• The Single sign-on (SSO) option is grayed out: Windows da Sophos Connect 2.4; macOS da 2.1. La guida attuale agli errori indica per entrambe le piattaforme l’assenza dei valori sso_api_port e sso_api_domain nel profilo .ovpn o .scx. Chiedi all’amministratore del firewall di fornire una configurazione aggiornata, importala e riconnettiti; questa indicazione non invita a modificare manualmente i profili. Il client macOS 2.0 non acquisisce così il supporto SSO.

• SSO Authentication failed due to Webview2 setup error: Ripara o aggiorna WebView2 e lo stato degli aggiornamenti di Windows; il client non è riuscito ad aprire la pagina di accesso di Microsoft.

• L’accesso Entra SSO fallisce nel browser o non torna al client (macOS, Sophos Connect 2.1 o successivo): Consulta la procedura SSO nel browser su macOS per verificare la scelta del browser, il fallback e il ritorno a Sophos Connect. Se serve un’altra modalità del browser, chiedi all’IT un file .pro approvato conforme allo schema di provisioning per sso_auth_browser_type. Soddisfa i requisiti di conformità o contatta l’IT; non allentare Conditional Access, MFA o la convalida dei certificati.

Eventi IPsec

• UDP ports 500/4500 blocked: Il firewall o il router locale blocca IKE/NAT-T. Se non gestisci il router, verifica con un hotspot mobile. Se lì lavora lo stesso client, ciò è un forte indicatore del percorso di rete originale.
• No response from gateway: <gateway FQDN or IP specified in connection>: il gateway IPsec non risponde a IKE. L’amministratore del firewall deve verificare l’accessibilità e la connessione WAN pubblica.
• Received NO_PROPOSAL_CHOSEN notification from gateway: La policy di Sophos Connect non è attiva oppure la proposta di fase 1 e il profilo esportato non corrispondono. Non allentare ciecamente le proposte; Confronta politiche e profili in modo controllato.
• SA disabled or deleted by gateway: Il gateway ha eliminato la SA, ad esempio dopo una modifica della policy o una disconnessione manuale. Riconnettiti una volta; correlare con il timestamp del firewall quando ripetuto.
• Failure to add route [network/mask] prevented phase 2 completion: Solo Windows. Dopo l’impostazione della Fase 2 SA, non è stato possibile impostare il percorso. Disattivare e riattivare l’adattatore TAP. Se l’errore persiste, apri il Prompt dei comandi come amministratore:

net stop scvpn
net start scvpn

Si prevede quindi che il servizio venga nuovamente eseguito e un nuovo tentativo di connessione imposterà il percorso. L’arresto interrompe i tunnel Sophos Connect esistenti su questo dispositivo.

• Failed to load connection info into strongSwan: Solo Windows; charon-svc.exe o il servizio strongSwan non sono in esecuzione. Inizia dal Prompt dei comandi come amministratore:

net start strongswan

Se il servizio non si avvia o fallisce nuovamente, non continuare con un ciclo di riavvio, ma eseguire il backup del rapporto di supporto e degli eventi di Windows.

Eventi VPN SSL

• Policy mismatch error. Will download policy and retry connection.: Una connessione Windows creata da un file .pro scarica la policy modificata e si riconnette automaticamente. Con TCP il client rileva la modifica mentre è connesso; con UDP potrebbe essere necessario attendere la scadenza del timer di inattività.
• Policy mismatch error. Import a new policy for this connection.: Uno .ovpn importato manualmente è deprecato. Ottieni e importa nuovi .ovpn specifici per l’utente dal portale VPN.
• Compression mismatch error. Will retry connection.: Per .ovpn, ricollegarsi manualmente; una connessione fornita lo tenta automaticamente.
• Server certificate cannot be verified: <gateway name>. Do you want to continue? Durante il provisioning, VPN Portal presenta un certificato che l’endpoint non può verificare, in genere il certificato autofirmato del firewall. Prosegui solo dopo aver confermato gateway e certificato tramite un canale attendibile. L’amministratore deve assegnare un certificato pubblicamente attendibile ad Admin console and end-user interaction oppure distribuire in modo controllato la CA di Sophos Firewall nei trust store degli endpoint gestiti. Non disattivare la convalida del certificato.
• Could not connect to untrusted server: <gateway>: L’avviso relativo al certificato è stato annullato. Prima chiarire l’identità e la catena di fiducia, quindi riprovare.
• Timed out waiting for server response: L’override del nome host, del DDNS o dell’indirizzo WAN pubblico della configurazione SSL VPN non punta correttamente al firewall. Per .pro utilizzare Update policy; Per .ovpn, ottenere un nuovo file dopo che l’amministratore del firewall ha corretto la stazione remota.

Correggi gli errori della GUI e del servizio

L’interfaccia non si apre o non risponde

Su Windows, aprire Task Manager > Dettagli, selezionare scgui.exe, eseguire Termina attività e riavviare Sophos Connect dal collegamento sul desktop. Su macOS, aprire il processo Sophos Connect in Monitoraggio attività, selezionare Uscita forzata e riavviare l’applicazione da Launchpad. Ciò pone fine alla superficie bloccata, non automaticamente la causa. Se l’errore si ripete, salva la versione e scgui.log.

Service is unavailable

Su Windows, l’evento significa che scvpn non è in esecuzione. Apri Prompt dei comandi come amministratore:

net start scvpn

Per Service Unavailable dopo una disconnessione IPsec sospesa su macOS, chiudere innanzitutto la GUI in Monitoraggio attività. Quindi ricaricare il servizio documentato nel Terminale con diritti di amministratore:

sudo /bin/launchctl unload -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist
sudo /bin/launchctl load -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist

Riapri Sophos Connect e verifica se il messaggio è scomparso. Questi comandi interrompono il tunnel. Se un errore si ripresenta, non ricaricare ripetutamente i servizi, ma salvare registri e report.

Altri errori del servizio SSL VPN locale

• Management port is unavailable: Sophos Connect non è riuscito a occupare la porta TCP 25340 per la comunicazione con OpenVPN. Controllare quale altra applicazione locale sta utilizzando la porta e terminarla solo se la sua funzione è nota. Quindi riconnettersi.
• OpenVPN service is unavailable: Su Windows, controlla il tipo di avvio del servizio OpenVPN. Se è impostato su Disabled, documenta il valore precedente, impostalo su Manual e quindi riavvia il servizio Sophos Connect. Questo interrompe i tunnel attivi. Controlla poi il servizio e la connessione; se il tentativo fallisce, ripristina il tipo di avvio precedente ed esegui l’escalation. Non applicare questa impostazione dei servizi Windows a macOS.
• Failed to create temporary file: Riavviare il dispositivo. Il client non è riuscito a creare il file temporaneo per passare gli attributi di connessione.
• Failed to write to pipe o più in generale SSL VPN error: Riconnettiti una volta. Se l’errore persiste riavviare il dispositivo; quindi intensificare con i log invece di riavviare continuamente.
• Sophos Connect can’t establish a tunnel dopo l’installazione di entrambi i client: per il vecchio Sophos SSL VPN Client, la guida agli errori descrive la reinstallazione di entrambi i client nell’ordine: prima il vecchio SSL VPN Client, poi Sophos Connect. La guida all’installazione esclude però l’uso in parallelo con altri client VPN. Queste indicazioni contraddittorie non costituiscono un’approvazione generale della coesistenza. Se il vecchio client non serve più, mantieni la configurazione di destinazione approvata senza di esso; se entrambi sono indispensabili, chiarisci prima con Sophos la compatibilità della combinazione specifica e pianifica un progetto pilota separato e una procedura di ripristino, anziché installarli entrambi per tentativi.
• I profili .ovpn o .scx importati manualmente non recuperano automaticamente le modifiche successive. Auto-connect e Update policy richiedono provisioning: su Windows con un client compatibile, su macOS da 2.1, non con 2.0. auto_connect_host abilita Auto-connect; Update policy è disponibile dopo la prima connessione riuscita. Rename, Clear credentials e Delete restano azioni separate; dopo Delete i profili manuali vanno reimportati.
• Dopo un aggiornamento o una disinstallazione restano attivi vecchi processi su un Mac con Sophos Endpoint: Secondo la guida agli errori, Tamper Protection può impedire lo scaricamento dei daemon di Sophos Connect. Salva i log, riavvia il Mac una sola volta durante una finestra di manutenzione e controlla poi lo stato del client e dei processi. La guida attuale alla disinstallazione non indica più una disattivazione generalizzata della protezione; ciò non implica né l’obbligo di disattivarla né la garanzia che la protezione non sia mai coinvolta. Se la rimozione resta bloccata, chiarisci con l’IT o con Sophos la situazione della combinazione specifica di Endpoint e client. Apporta soltanto modifiche temporanee alla protezione espressamente approvate e verifica successivamente che la protezione sia nuovamente attiva sia sull’endpoint sia nella console di gestione, anche se il tentativo è fallito. La procedura di disinstallazione macOS descrive la salvaguardia dei profili e la procedura di ripristino; non terminare ripetutamente i daemon.

Connesso ma il DNS o il traffico non funzionano

Per prima cosa traccia una linea di demarcazione chiara:

• Indirizzo IP interno accessibile, FQDN interno no: Controlla il server DNS, cerca il dominio e lo stato del profilo. Se il DNS cambia mentre è attivo un tunnel IPsec, Sophos Connect mostrerà i nuovi valori solo dopo la disconnessione e la riconnessione.
• Dopo la disconnessione completa del tunnel l’accesso al web non funziona più: Soprattutto in macOS i server DNS interni possono rimanere sull’adattatore fisico. Disconnettersi e riconnettersi alla connessione Wi-Fi o Ethernet locale. Se ciò si ripete, documentare la versione, il profilo e l’ora; Non sovrascrivere permanentemente il DNS manualmente.
• Né IP interno né nome accessibile: Questa non è prova di un errore del client. Controlla l’IP della VPN, la rete di destinazione, il percorso di ritorno, il NAT e la regola del firewall su Sophos Firewall. Controlla le regole del firewall con Log Viewer, Policy Test e Packet Capture si occupa di questa diagnosi.
• Solo la configurazione IPsec o le SA non riescono: Il runbook lato firewall è Risoluzione dei problemi VPN IPsec di Sophos Firewall.
• Il criterio VPN SSL o la configurazione del gateway non sono corretti: La configurazione appartiene a Configurazione dell’accesso remoto VPN SSL, non a una soluzione alternativa del servizio client.
• Gli accessi piccoli funzionano, i trasferimenti grandi si bloccano: Controlla MTU/MSS lungo il percorso. Ecco cosa Controllare MTU e MSS di Sophos Firewall per eventuali problemi VPN.

Received connection reset from gateway: <gateway name> appare in scvpn.log per SSL VPN quando cambiano le impostazioni del firewall, un amministratore disconnette l’utente o Sophos Firewall si riavvia. Importare una configurazione aggiornata e riconnettersi. I log del client da soli non identificano l’azione precisa lato firewall.

Eseguire il backup di registri e rapporti di supporto tecnico

Per iniziare, apri Events o seleziona Open VPN log dal menu con tre punti. Conserva lo stato dell’errore prima del riavvio: ogni log viene ruotato una sola volta. Dopo il riavvio dell’endpoint o del client, ad esempio, la sessione precedente si trova in openvpn.log.old e quella attuale in openvpn.log. Non è documentata una dimensione massima per i log; i file .txt non vengono ruotati.

Per Received connection reset from gateway, Sophos indica scvpn.log nella cartella di installazione, ma non pubblica un percorso dei log stabile tra le versioni di Windows e macOS. Non inventare né codificare un percorso fisso: usa Open VPN log o il report di supporto. I comandi del servizio macOS riportati sopra usano volutamente il percorso assoluto documentato /Library/LaunchDaemons/com.sophos.connect.scvpn.plist.

Sophos Connect genera scvpntsr.zip tramite menu con tre punti > About > Generate technical support report. Il report comprende configurazioni VPN, eventi di connessione, dettagli del provisioning, informazioni sull’autenticazione SSO, dettagli del browser e informazioni sull’endpoint. Include i seguenti file diagnostici:

• openvpn.log: tentativi di connessione SSL VPN, stato, interfaccia virtuale, flusso di pacchetti ed errori.
• charon.log: strongSwan, IKE, ESP, eventi di sicurezza, modifiche alla configurazione e flusso di pacchetti.
• scvpn.log: accesso, connessione, disconnessione e altri eventi VPN.
• scgui.log: versioni di Sophos Connect e OpenVPN, informazioni sulla versione di WebView2 solo su Windows e accessi SSO. Non dedurne una dipendenza da WebView2 per macOS.
• configs.txt: Dettagli delle connessioni .pro, .ovpn e .scx importate; Sophos descrive questo file come non contenente informazioni personali.
• route.txt: tabelle di routing degli endpoint.
• ipconfig.txt: configurazione IP dell’endpoint.
• systeminfo.txt: informazioni sul sistema endpoint.

L’affermazione sull’assenza di dati personali riguarda soltanto configs.txt, non l’intero archivio, e non implica che tutti i dati di configurazione contenuti siano privi di rischi. Conserva il report come materiale di supporto riservato secondo le linee guida interne e rendilo disponibile soltanto ai destinatari autorizzati tramite il canale di trasferimento approvato. Non copiare mai password, OTP o chiavi private nel testo del ticket o in un estratto di log pubblico.

Controlli aggiuntivi con SCCLI su macOS

Il percorso predefinito documentato dello strumento SCCLI è /Library/Sophos\ Connect/. Su un Mac pilota, verifica prima se il pacchetto effettivamente installato contiene sccli in quel percorso e quali opzioni sono indicate nella sua guida locale. I seguenti esempi di sola lettura mostrano la versione e le connessioni; non attestano un test di esecuzione su macOS svolto nell’ambito di questa guida e non dimostrano né la distribuzione tramite MDM né la trasferibilità degli script Windows:

/Library/Sophos\ Connect/sccli show --version
echo $?
/Library/Sophos\ Connect/sccli list -d
echo $?

Controlla lo stato con echo $? immediatamente dopo ciascun comando SCCLI, prima che un altro comando lo sovrascriva. Su Windows, Command Prompt usa invece echo %ERRORLEVEL%; questa non è sintassi macOS. La shell restituisce lo stato del processo, non necessariamente il codice diagnostico numerico inalterato di un messaggio interno del client. Se il binario manca o non si avvia, controlla il pacchetto e lo stato dell’installazione; non interpretare lo stato restituito come un test del tunnel.

La documentazione di riferimento degli errori indica -1 per opzioni non valide o credenziali vuote, 1 per input non validi o non analizzabili, 2 per un file mancante o una password/un certificato vuoti, 5 per file non leggibili, 14 per una risposta non analizzabile, 101 per una richiesta fallita e 120 per dati del server mancanti. 1016 richiede le credenziali, 1024 significa «connessione non trovata», 1101 indica un accesso fallito e 9009 un comando non trovato o non avviabile. Questi codici sono indicazioni diagnostiche della documentazione di riferimento, non una garanzia che ciascuno compaia esattamente così come stato della shell su macOS. Registra insieme il messaggio esatto, lo stato rilevato immediatamente e la versione del client; per errori di file o di connessione, controlla l’origine e i nomi; per errori di accesso, chiarisci con l’IT le autorizzazioni e l’autenticazione, anziché tentare ripetutamente di indovinare le password.

SCCLI offre inoltre add, remove, update, enable, disable, get e show; ciò non implica un insieme di comandi appena introdotto o verificato per ogni versione Mac. Le azioni che modificano lo stato non fanno parte di questo esempio diagnostico: remove può prima interrompere una connessione attiva e non può rimuovere una connessione gestita; le policy possono limitare add, remove o disable. Auto-connect tramite add -a è contrassegnato come TBD nella fonte e qui non viene descritto come una modalità di distribuzione funzionante. Non inserire mai password o OTP come argomenti dei comandi, in script, nella cronologia della shell o nei log. Se una procedura di accesso approvata separatamente usa SCCLI, utilizza la sua richiesta interattiva, non gli argomenti per le password documentati. Per altre opzioni, consulta la guida dello strumento installato; apporta modifiche soltanto dopo aver messo al sicuro l’origine del profilo e predisposto una procedura di ripristino approvata, ed esegui poi un test VPN.

Effettua l’escalation in modo pulito

Un caso perseguibile contiene sistema operativo e build, versione di Sophos Connect, tipo e origine del profilo, ora dell’errore con fuso orario, testo esatto dell’evento, destinazione prevista, risultato per IP e nome e scvpntsr.zip. Se c’è un sospetto sul lato firewall, vengono aggiunti il ​​corrispondente estratto del visualizzatore di log e i relativi log IPsec o SSL VPN; Servizi e log di Sophos Firewall li classifica.

Effettuare l’escalation se un servizio fallisce nuovamente dopo un singolo avvio controllato, lo stesso errore è riproducibile in un profilo condiviso, l’identità del certificato rimane poco chiara o i timestamp del client e del firewall sono in conflitto. È possibile inviare un caso di supporto in modo strutturato utilizzando Prepara e apri ticket di supporto Sophos.

Domande frequenti