Configurare il provisioning di Sophos Connect con .pro e GPO

Un file di provisioning di Sophos Connect con estensione .pro non è un profilo VPN completo. Indica al client Windows quale VPN Portal utilizzare per recuperare le configurazioni IPsec e SSL VPN abilitate per l’utente. Sophos Connect importa il file .scx o .ovpn effettivo solo dopo un’autenticazione riuscita.

Questo approccio è particolarmente utile quando i profili devono essere distribuiti centralmente e le modifiche successive devono essere recuperate automaticamente. Allo stesso tempo, VPN Portal diventa parte del percorso di accesso in produzione. Raggiungibilità, certificato, MFA, assegnazione degli utenti e protezione del portale sono quindi importanti quanto la sintassi JSON del file.

⚠️ Il provisioning remoto richiede che VPN Portal sia raggiungibile dalla WAN. Ciò aumenta la superficie di attacco esposta pubblicamente. Prima del rollout servono un certificato attendibile, MFA, Local Service ACL restrittive, blocchi di accesso verificati e un percorso di ripristino con un profilo distribuito manualmente.

Provisioning in otto passaggi

1. Configurare completamente l’accesso remoto IPsec o SSL VPN sul firewall e verificarlo con un file importato manualmente.
2. Pubblicare VPN Portal con un FQDN e un certificato attendibili.
3. In Administration > Device access, consentire VPN Portal solo dalle zone o reti di origine effettivamente necessarie.
4. Creare un file .pro minimo con display_name, gateway e vpn_portal_port.
5. Aggiungere MFA, connessione automatica e ordine dei gateway solo quando il relativo processo è già definito.
6. Importare prima il file manualmente con un utente pilota e verificare separatamente IPsec e SSL VPN.
7. Distribuire poi Sophos Connect e il file .pro a un piccolo gruppo pilota tramite una GPO controllata.
8. Verificare accesso al portale, profili importati, tunnel, destinazioni interne, log, Update Policy e rollback.

Quando è adatto un file .pro

Il provisioning è adatto agli endpoint Windows gestiti che utilizzano Sophos Connect per IPsec, SSL VPN o entrambi. Dopo l’accesso al portale, il firewall fornisce il profilo IPsec a tutti gli utenti autorizzati. Una configurazione SSL VPN viene importata solo se l’utente appartiene a una policy SSL VPN corrispondente.

Durante il primo provisioning, SFOS può creare automaticamente un utente di directory non ancora presente localmente e assegnarlo a un gruppo in base al mapping del server di autenticazione. L’utente non deve quindi accedere prima a VPN Portal o User Portal. Questa creazione automatica non sostituisce la verifica dell’ordine dei gruppi e dell’effettiva autorizzazione VPN.

Un file .scx o .ovpn distribuito manualmente rimane utile quando VPN Portal non deve essere pubblicato su Internet, esistono pochi client o il portale rappresenta una dipendenza aggiuntiva indesiderata. Sophos Connect non supporta il provisioning .pro su macOS; in questo sistema .scx e .ovpn vengono importati direttamente. Il provisioning IPsec su Windows richiede Sophos Connect 2.1 o successivo.

La configurazione VPN vera e propria rimane nelle guide dedicate: Configurare Sophos Connect IPsec sul firewall e Configurare l’accesso remoto SSL VPN.

Prerequisiti e valori di esempio

L’esempio seguente utilizza il nome pubblico del portale vpn.example.com e l’host di verifica interno intranet.corp.example. Entrambi sono valori segnaposto:

• vpn.example.com va sostituito con il vero FQDN di VPN Portal, risolvibile correttamente sia pubblicamente sia internamente. Il certificato del portale deve essere valido per questo nome e attendibile per i client.
• intranet.corp.example va usato come auto_connect_host solo se l’host è raggiungibile in modo stabile e risponde esclusivamente dalla rete interna. Un host pubblico o inaffidabile falserebbe il rilevamento della rete.
• La porta 443 è la porta predefinita di VPN Portal. Se il firewall utilizza un’altra porta, in vpn_portal_port deve essere indicato lo stesso valore.

Prima di creare il file devono essere stati verificati con esito positivo almeno questi punti:

• Il profilo IPsec o SSL VPN previsto funziona con un’importazione manuale.
• VPN Portal è raggiungibile tramite il FQDN previsto e utilizza una catena di certificati completa.
• Utenti, gruppi principali, policy SSL VPN e metodi di autenticazione corrispondono.
• Con Microsoft Entra ID SSO, VPN Portal, IPsec e SSL VPN utilizzano lo stesso server Entra ID in Authentication > Services nel processo di provisioning.
• Con Entra ID SSO, il valore gateway corrisponde alla Redirect URI del firewall.
• MFA e il test negativo con un utente non autorizzato funzionano.

Per pubblicare il portale, consultare Device Access e Local Service ACL. Protezione da attacchi brute force per VPN Portal tratta i tentativi di accesso ripetuti e la protezione di un portale raggiungibile dalla WAN.

Creare il file di provisioning

Un file .pro utilizza JSON. gateway è l’unico campo obbligatorio, ma per una gestione tracciabile è opportuno impostare esplicitamente anche il nome visualizzato e la porta del portale. Il file viene creato con un editor di testo e salvato, ad esempio, come avanet-vpn.pro.

Profilo minimo per un gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name può contenere al massimo 60 caratteri. Senza un nome visualizzato, Sophos Connect mostra il valore gateway. Impostando can_save_credentials su true, l’utente può salvare nome utente e password; questa opzione non viene utilizzata per SSO. Consentire il salvataggio delle credenziali è una decisione di sicurezza, non un’impostazione predefinita di comodità.

All’avvio della connessione, check_remote_availability verifica la raggiungibilità. run_logon_script esegue lo script di accesso fornito dal domain controller dopo la creazione del tunnel. Ogni opzione va attivata solo se il test pilota conferma che il relativo comportamento è davvero necessario.

La sintassi precedente user_portal_port continua a essere accettata, ma oggi identifica comunque la porta di VPN Portal. vpn_portal_port è più chiara per i nuovi file.

Pianificare correttamente la connessione automatica

auto_connect_host aiuta Sophos Connect a stabilire se il client si trova già nella rete interna. Quando un’interfaccia di rete riceve un indirizzo IP nuovo o modificato, il client verifica questo host. Se non è raggiungibile, la connessione viene attivata. Il tunnel viene stabilito automaticamente se le credenziali sono salvate o se l’ultimo accesso è avvenuto tramite SSO.

"auto_connect_host": "intranet.corp.example"

L’host di verifica non è un controllo generico dello stato di Internet. Deve essere stabile, risolvibile internamente e non raggiungibile dall’esterno. Prima del rollout, il test viene eseguito sia dalla rete aziendale sia da una rete esterna. Una stringa vuota "" disattiva la connessione automatica.

Un progetto always-on completo presenta ulteriori limiti. Credenziali salvate, SSO, MFA e comportamento dopo i cambi di rete devono essere coerenti. Avviare automaticamente SSL VPN con accesso automatico spiega le differenze.

Utilizzare più gateway

Più gateway del portale vengono inseriti come array. gateway_order determina solo il modo in cui Sophos Connect seleziona il portale per il download. Il tunnel successivo utilizza i gateway presenti nella configurazione .scx o .ovpn importata.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Le modalità di selezione producono effetti operativi diversi:

• in_order prova le voci nell’ordine definito.
• latency seleziona il gateway in base al tempo di risposta di un tentativo di connessione TCP.
• distributed seleziona un gateway casuale durante un tentativo di connessione.

L’ordine non sostituisce un progetto WAN, DNS o HA verificato. Ogni nome del portale indicato richiede un certificato valido, una raggiungibilità adeguata e lo stesso contenuto di provisioning previsto.

Impostare consapevolmente i campi MFA

Con otp: true, Sophos Connect mostra un terzo campo di immissione. 2fa determina come il relativo contenuto viene inviato al server di autenticazione:

• 2fa: 1 utilizza la configurazione di Sophos Firewall. Password e OTP vengono concatenati come passwordotp.
• 2fa: 2 utilizza un servizio esterno come Duo. Password e codice vengono separati da una virgola; a seconda della configurazione Duo, sono possibili anche push, phone, sms o un codice token.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Durante il primo recupero, la schermata di accesso può comparire due volte: una per scaricare la configurazione e una per stabilire il tunnel. Ciò non indica automaticamente un errore. L’help desk deve conoscere questo comportamento prima di una distribuzione estesa. La configurazione MFA sul firewall è descritta in Configurare MFA su Sophos Firewall.

Distribuire Sophos Connect e .pro tramite GPO

Il file può essere importato manualmente dopo la consegna via e-mail o download sicuro. Gli utenti selezionano Import connection oppure aprono il file .pro con un doppio clic. In un dominio Windows gestito, una GPO è più tracciabile se origine, gruppo di destinazione e rollback sono documentati.

Sophos Connect monitora questa cartella di importazione:

C:\Program Files (x86)\Sophos\Connect\import\

Un file .pro collocato in questa cartella viene importato automaticamente e poi eliminato. L’eliminazione è un comportamento normale e non dimostra che l’autenticazione al portale o il tunnel funzionino già.

Per la distribuzione, si aggiunge uno script di avvio in Group Policy Management > Computer Configuration > Policies > Windows Settings > Scripts > Startup. Il modello documentato da Sophos attende il servizio scvpn, scarica il file da una posizione HTTPS centrale e lo copia nella cartella di importazione. L’origine del download dovrebbe essere leggibile solo dai computer necessari, utilizzare un certificato attendibile e non contenere password utente o token nell’URL o nello script.

Lo script di avvio viene prima verificato su un computer pilota. La policy può quindi essere aggiornata con questo comando:

gpupdate /force

Sophos documenta anche uno script di avvio del computer con msiexec.exe per installare il client. In una distribuzione software in produzione vanno però utilizzati gli standard esistenti di packaging, firma, versione e rollback. Installare Sophos Connect su Windows descrive l’installazione e le piattaforme Windows supportate.

Un file .pro normalmente non contiene password utente. Rimane comunque un artefatto di configurazione controllato: indirizzi del portale, comportamento, MFA e impostazioni di connessione automatica devono provenire solo da un’origine autorizzata.

Modifiche e aggiornamenti dei profili

Dopo un’importazione riuscita, Sophos Connect recupera automaticamente i profili .scx e .ovpn disponibili. Recupera anche molte modifiche successive alla configurazione. La gestione deve comunque distinguere tra il file di provisioning e il profilo VPN effettivo:

• Se cambiano gateway o vpn_portal_port, il file .pro deve essere aggiornato e ridistribuito.
• Se cambiano la porta o il protocollo in SSL VPN global settings, nel client si selezionano l’icona a forma di ingranaggio e Update policy.
• Le modifiche a gateway, certificato, porta o protocollo SSL VPN possono richiedere un nuovo accesso.
• Dopo il ripristino o l’importazione di una configurazione del firewall, i profili IPsec e SSL VPN vengono nuovamente verificati con un client pilota.
• Una nuova versione del client non aggiorna automaticamente un file .pro obsoleto.

I file di provisioning vecchi e nuovi non devono essere distribuiti in parallelo tramite GPO, download ed e-mail differenti. Per ogni rollout vanno documentati nome file, versione o data di modifica, gruppo di destinazione e percorso di ripristino.

Verificare provisioning e tunnel

Il test viene eseguito con un utente autorizzato e uno non autorizzato da una vera rete esterna. Un’autenticazione riuscita al portale non equivale da sola a un test VPN riuscito.

1. Verificare la versione di Sophos Connect e la piattaforma Windows.
2. Importare il file .pro manualmente o tramite la GPO pilota.
3. Controllare quali connessioni .scx e .ovpn compaiono effettivamente.
4. Completare l’intero processo MFA, incluso un eventuale secondo accesso.
5. Connettere separatamente IPsec e SSL VPN se vengono offerti entrambi.
6. Verificare indirizzo assegnato, risoluzione DNS interna, server di destinazione, regola firewall e percorso di ritorno.
7. Un utente non autorizzato non deve ricevere un profilo utilizzabile né accedere a destinazioni interne.
8. Verificare una modifica innocua della policy con Update policy o il recupero automatico.
9. Verificare un riavvio del client, un cambio di rete e la riapplicazione della GPO.
10. Verificare il ripristino manuale con un profilo .scx o .ovpn approvato.

Con Microsoft Entra ID SSO si verificano inoltre Redirect URI, Conditional Access e il nuovo accesso forzato sugli endpoint condivisi. Microsoft Entra ID SSO per Sophos Connect e VPN Portal spiega il mapping completo.

Delimitare sistematicamente gli errori

Non viene importata alcuna connessione

Verificare innanzitutto che il file contenga JSON valido, termini con .pro e sia stato importato dal client. Controllare poi gateway, vpn_portal_port, DNS, catena dei certificati e raggiungibilità di VPN Portal. La scomparsa di un file dalla cartella di importazione indica che è stato elaborato, ma non dimostra un’autenticazione riuscita.

Se il client raggiunge il portale ma non riceve alcun profilo, verificare la connessione IPsec configurata, la policy SSL VPN, l’appartenenza ai gruppi e i metodi di autenticazione. IPsec viene fornito a tutti gli utenti debitamente autorizzati; SSL VPN solo ai membri di una policy corrispondente.

Errori di certificato o Entra SSO

Il nome pubblico in gateway deve corrispondere al certificato. Con Entra ID SSO, lo stesso valore deve anche corrispondere alla Redirect URI e VPN Portal, IPsec e SSL VPN devono utilizzare lo stesso server Entra ID durante il provisioning. Anche un nome host o una porta differente può interrompere il processo.

L’accesso Microsoft Entra viene controllato in Entra sign-in log. Sul firewall, vpnportal.log, access_server.log e oauth_sso_vpn.log aiutano nelle rispettive fasi. Test connection sul server di autenticazione non sostituisce l’autenticazione del portale o del tunnel.

MFA compare due volte o non funziona

Durante il primo recupero possono essere previsti due accessi. Se l’autenticazione non riesce, confrontare otp, 2fa, il metodo MFA Sophos o esterno configurato e il formato di immissione previsto. passwordotp e il metodo esterno separato da virgola non sono intercambiabili.

Il profilo esiste, ma il traffico non funziona

In questo caso, il provisioning ha già superato il punto effettivo dell’errore. Verificare separatamente intervallo di lease, route del client, DNS, regola firewall, NAT, percorso di ritorno e packet capture. Per IPsec, continuare con Troubleshooting VPN IPsec su Sophos Firewall.

La GPO non importa il file

Verificare che la GPO si applichi realmente all’account computer, che lo script di avvio sia raggiungibile, che il servizio scvpn sia in esecuzione e che l’origine del download sia raggiungibile dal contesto di sistema. Controllare quindi le autorizzazioni del file e il percorso di importazione esatto. Copie ripetute senza individuare la causa possono ridistribuire impostazioni obsolete e non devono diventare una soluzione permanente nello script di avvio.

Eseguire un rollback sicuro

Per prima cosa, interrompere la distribuzione al gruppo di destinazione della GPO interessato. Rimuovere quindi la distribuzione automatica del file .pro, fornire il file manuale .scx o .ovpn precedentemente approvato e verificarlo con un utente pilota. Le modifiche a VPN Portal, Device Access o autenticazione vengono annullate solo quando nessun provisioning produttivo dipende più da esse.

Rimuovere e reimportare in modo controllato la connessione Sophos Connect esistente sui client di test. Ripetere quindi accesso al portale, tunnel, DNS, destinazioni interne e test negativo. Rimuovere il file .pro difettoso dai repository centrali e dalla distribuzione software solo quando il percorso di ripristino funziona.

FAQ