Controllare e aggiornare Sophos Connect Client in modo sicuro

La guida attuale di Sophos descrive l’upgrade su Windows e macOS come il download e l’installazione del nuovo pacchetto ottenuto dal VPN Portal o dall’amministratore; non impone in generale una disinstallazione preventiva. Questo, tuttavia, non conferma che ogni pacchetto possa aggiornare qualsiasi installazione esistente. Questa guida mantiene la procedura controllata di rimozione e reinstallazione per una reinstallazione espressamente approvata o per un rollback. Prima della modifica, chiarisci quale metodo sia adatto alle versioni di partenza e target e verificalo nel pilota; profili, pacchetti di installazione e percorso di rollback devono essere pronti.

La versione installata è visibile in Sophos Connect in tre punti > About. Le guide per Windows e macOS trattano la prima installazione; questa guida riguarda la scelta della versione e il passaggio controllato.

Se devi ancora scegliere tra IPsec, SSL VPN e altri metodi di accesso remoto, consulta prima il confronto delle soluzioni di accesso remoto e poi definisci il client target.

Scegliere la versione target

Non distribuire automaticamente il pacchetto più recente su larga scala. Confronta prima le modifiche alle versioni spiegate di seguito, i sistemi operativi supportati e le funzioni VPN realmente usate con il tuo ambiente. L’ultima verifica redazionale, del 7 settembre 2026, ha rilevato la seguente istantanea datata:

• Windows: Sophos Connect 2.5 MR1, pubblicato il 18 giugno 2026.
• macOS: Sophos Connect 2.0 MR1, pubblicato il 21 maggio 2026.

Aggiornamento del 9 ottobre 2026: le release notes riportano Sophos Connect 2.1 per macOS, pubblicato il 6 ottobre 2026, con supporto ARM nativo, provisioning .pro e Microsoft Entra ID SSO per IPsec e SSL VPN. L’istantanea del 7 settembre resta storica. Una release documentata non dimostra né la disponibilità effettiva del pacchetto nel proprio portale né il superamento di un test sul dispositivo; non se ne deduce alcuna ulteriore approvazione GA o di rollout.

Questi dati sulle versioni sono un’istantanea, non un’approvazione senza scadenza. Prima di un nuovo rollout, la matrice delle versioni e le correzioni descritte vengono confrontate con la versione del pacchetto effettivamente disponibile; il reparto IT responsabile ne conferma il supporto attuale per le piattaforme e l’idoneità alle funzioni VPN necessarie. Una versione più recente entra prima nel pilota; mantieni una versione precedente come obiettivo solo se è ancora supportata per la piattaforma esistente e c’è un motivo documentato per non usare quella più recente. Non dedurre date di fine vita specifiche del client dalla pagina generale del ciclo di vita dei prodotti Sophos.

Sophos Connect non è un client per iOS o Android. Se una combinazione è fuori da questi limiti, definisci prima una migrazione anziché sperimentare in produzione.

Windows 2.5 MR1 corregge, tra l’altro, l’avvio per utenti aggiuntivi (NCL-2570), uno stato SSO errato dopo un’interruzione Internet (NCL-2783), richieste OTP incoerenti alla riconnessione (NCL-2992) e il provisioning SSL VPN con caratteri speciali nei certificati (NCL-2795). macOS 2.0 MR1 corregge problemi DNS con SSL VPN e ripristina il salvataggio delle credenziali. Un problema risolto non sostituisce un pilota con il proprio profilo.

Preparare aggiornamento e rollback

Prima della finestra di manutenzione registra per piattaforma e gruppo:

• versione del client e del sistema operativo;
• IPsec o SSL VPN e origine del profilo (.scx, .ovpn o .pro); un file .tgb, invece, è un’esportazione per client IPsec di terze parti, non un profilo Sophos Connect;
• autenticazione locale, AD, RADIUS o Entra ID SSO;
• comportamento MFA e riconnessione;
• dipendenze come gateway, certificato, DNS, pool VPN e reti consentite.

Conserva nella distribuzione software il pacchetto target, il precedente pacchetto approvato internamente e le fonti originali dei profili. Uno screenshot del nome non è un backup: per il rollback serve l’export realmente usato o una fonte di provisioning riproducibile. Conserva i profili contenenti certificati o chiavi private solo in modo protetto e per l’identità utente prevista.

L’amministratore scarica l’installer con Download client in Remote access VPN > IPsec o Remote access VPN > SSL VPN; l’utente può ottenerlo dal VPN Portal. Backup & Firmware > Pattern updates può aggiornare il pacchetto sul firewall, ma non aggiorna gli endpoint installati. Verifica origine, piattaforma e versione e blocca o contrassegna chiaramente i pacchetti vecchi.

Eseguire un pilota

Includi almeno un dispositivo per ogni combinazione produttiva e da uno a tre utenti tipici, non solo amministratori. Se presenti, prova separatamente Windows x64, Windows ARM, macOS con IPsec, macOS con SSL VPN, Entra SSO e riconnessione OTP/MFA. Sul Mac verifica separatamente 2.0/Rosetta e 2.1/ARM nativo, la versione di macOS effettivamente utilizzata, nonché i profili diretti e il provisioning. Per Entra SSO dalla versione 2.1, modalità browser, fallback necessario e ritorno al client fanno parte del pilota SSO su macOS. Un errore di conformità va risolto o segnalato all’IT, non aggirato allentando Conditional Access.

Prima dell’upgrade documenta un test di riferimento: accesso, IP VPN assegnato, DNS interno, accesso a una destinazione rappresentativa, split o full tunnel e riconnessione dopo un cambio di rete. Ripeti esattamente gli stessi test dopo. In questo modo distingui una regressione del client da un problema preesistente di firewall, routing o profilo.

Avvia il rollout graduale solo dopo il successo di tutte le combinazioni e dopo aver informato l’helpdesk su target e rollback. Un singolo test Windows non approva macOS.

Disinstallare e reinstallare il client

Disconnetti la VPN attiva. Se è l’unico accesso amministrativo remoto al dispositivo, predisponi una finestra locale o un secondo accesso: la VPN viene interrotta durante la procedura.

Windows

1. In Control Panel > Programs > Uninstall a program, seleziona Sophos Connect e Uninstall.
2. Attendi il completamento e non rimandare un riavvio richiesto.
3. Installa con diritti amministrativi il pacchetto Windows approvato.
4. Verifica la versione in tre punti > About.
5. Controlla il profilo esistente o reimportalo dalla fonte conservata e ripeti il pilota.

Non riportare Windows ARM a una versione precedente alla 2.5. Non aggiornare Windows a 32 bit alla 2.5: serve un piano di migrazione della piattaforma.

macOS

Se è installato Sophos Endpoint, non disattivare sistematicamente Tamper Protection prima della rimozione. La guida attuale alla disinstallazione non la indica più come prerequisito; la guida alla risoluzione dei problemi descrive però ancora casi in cui Tamper Protection di Endpoint blocca i processi di Sophos Connect e raccomanda un riavvio. Se si presenta questo problema, conserva i log, riavvia durante la finestra di manutenzione e verifica nuovamente lo stato. Se la rimozione resta bloccata, chiarisci con l’IT o Sophos il caso relativo alla specifica combinazione di Endpoint e client. Modifica temporaneamente la protezione solo dopo un’approvazione esplicita per questo caso; la riattivazione deve far parte delle operazioni conclusive anche se il tentativo fallisce. Per una rimozione approvata, esegui in Terminale con privilegi amministrativi:

sudo /Library/Sophos\ Connect/uninstall.sh

La conferma attesa è Sophos Connect has been uninstalled. Quindi:

1. Riavvia il Mac se richiesto.
2. Installa il pacchetto macOS approvato e conferma le richieste di sistema.
3. Verifica la versione in tre punti > About.
4. Fornisci il profilo dalla fonte conservata e ripeti i controlli pilota.
5. Se Tamper Protection è stata espressamente disattivata per questa operazione, riattivala e verifica che risulti attiva sia sull’endpoint sia nella console di gestione; esegui questi controlli anche se la reinstallazione fallisce.

Una versione precedente alla 2.0 non è un rollback valido per SSL VPN su macOS. Dopo il passaggio alla 2.0 MR1, reimporta la configurazione se serve l’opzione ripristinata per salvare le credenziali. Un rollback al client macOS 2.0 non mantiene l’esecuzione ARM nativa, il provisioning .pro o Entra ID SSO. Se queste funzioni della versione 2.1 sono necessarie, la versione 2.0 non è un’alternativa equivalente per il rollback; approvare e testare preventivamente una soluzione alternativa supportata.

Gestire separatamente le modifiche al profilo

L’upgrade del client non aggiorna automaticamente ogni configurazione VPN. Dopo modifiche alle impostazioni IPsec avanzate, esporta e distribuisci un nuovo .scx se la distribuzione è manuale. In Windows con un client compatibile e su macOS dalla versione 2.1, un file .pro importato recupera le configurazioni tramite VPN Portal. Dopo aver cambiato porta o protocollo in Remote access VPN > SSL VPN > SSL VPN global settings, l’utente seleziona l’ingranaggio del profilo e Update policy. Su macOS 2.0 restano necessarie le importazioni dirette e la gestione manuale dei profili. La configurazione del file di provisioning è descritta in Provisioning di Sophos Connect.

Documentato per SFOS 22: un profilo SSL VPN importato è legato all’identità utente, al dominio e al metodo di autenticazione utilizzati durante l’importazione. Passando, per esempio, da AD a Entra ID SSO o da un dominio a un altro, è necessario importare una configurazione .pro o .ovpn separata; riutilizzare lo stesso profilo importato può causare Login failed. Wrong fingerprint of certificate. Un file .ovpn contiene certificati e chiavi private specifici dell’utente. Un file .pro, invece, non è di per sé specifico dell’utente: la configurazione SSL VPN e i certificati vengono generati solo durante l’importazione e associati all’identità e al metodo di autenticazione utilizzati. Questa restrizione documentata per SFOS 22 riguarda SSL VPN, non i profili IPsec .scx.

Questo comportamento non è stato verificato per SFOS 23. La guida corrispondente non contiene la sezione sul legame del profilo e su questo messaggio di errore. Ciò non dimostra né che il legame sia stato eliminato né che continui a valere senza modifiche. Quando si cambia dominio o metodo di autenticazione, si consiglia quindi, a titolo precauzionale, di importare un profilo SSL separato da una fonte attendibile confermata dall’IT; non si tratta di un requisito confermato di SFOS 23. Prima, verifica con l’IT l’identità utente, il dominio, il metodo di autenticazione e il server di destinazione previsti e, se necessario, ottieni un file .ovpn aggiornato dal VPN Portal confermato oppure usa la fonte .pro approvata. Poi verifica la coppia client/profilo nel pilota. Se compare il messaggio di fingerprint, interrompi la distribuzione e registra per l’IT o Sophos le versioni del client e di SFOS, l’identità prevista, il dominio, il metodo di autenticazione e la voce in Events. Il messaggio da solo non dimostra né la scadenza di un certificato né un errore di firma o della catena di fiducia. Non aggirare le verifiche dei certificati.

Esegui le modifiche sul firewall seguendo le guide per Sophos Connect con IPsec, accesso remoto SSL VPN o Entra ID SSO. Torna quindi qui e verifica nel pilota la coppia client/profilo aggiornata.

Convalidare e approvare il rollout

La versione corretta e uno stato verde non bastano. Registra per ogni combinazione:

• versione target corretta in About;
• accesso e MFA o SSO conformi alle attese;
• IP VPN corretto;
• DNS interno e destinazione rappresentativa funzionanti;
• regola corrispondente della zona VPN visibile in Log Viewer;
• split o full tunnel conforme al progetto;
• riconnessione dopo cambio rete, disconnessione e nuovo accesso funzionanti.

Se un test fallisce, interrompi quella combinazione. Controlla versione, limite del sistema operativo e profilo caricato; poi registra ora, messaggio e voce corrispondente in Events. Risoluzione dei problemi di Sophos Connect Client descrive la diagnosi di errori di connessione, DNS, autenticazione, policy e servizi; questa guida non duplica quel catalogo.

Eseguire il rollback ed effettuare l’escalation

Il rollback ripristina temporaneamente il servizio; non è una soluzione permanente per un client obsoleto o vulnerabile.

1. Interrompi il rollout e identifica la combinazione interessata.
2. Disinstalla il client non riuscito con la stessa procedura.
3. Installa solo il pacchetto precedente approvato e compatibile.
4. Reimporta la fonte del profilo conservata.
5. Ripeti versione, accesso, IP VPN, DNS, destinazione interna, Log Viewer e riconnessione.
6. Documenta il risultato e avvia un nuovo pilota solo dopo aver compreso la causa.

Se fallisce anche il rollback, apri tre punti > About > Generate Technical Support Report. Il report contiene configurazioni VPN, eventi di connessione, dettagli sul provisioning, informazioni sull’autenticazione SSO, dettagli sul browser e informazioni sull’endpoint. Nel rispetto delle regole interne sulla privacy, trasmettilo solo tramite un canale controllato a destinatari autorizzati. Per l’escalation, raccogli versione target e di partenza, sistema operativo, tipo di profilo, data e ora, messaggio di errore visibile e risultato del rollback; non inserire mai password, OTP o chiavi private nel testo del ticket.