Configurare il provisioning di Sophos Connect con .pro

Un file di provisioning di Sophos Connect con estensione .pro non è un profilo VPN completo. Indica al client Windows quale VPN Portal utilizzare per recuperare le configurazioni IPsec e SSL VPN. Dopo un accesso riuscito al portale, Sophos Connect importa il file .scx e, se l’utente è assegnato a una policy SSL VPN, anche il file .ovpn. La presenza di un profilo non implica che l’autenticazione del tunnel o l’accesso alle destinazioni interne siano consentiti.

Questo approccio è particolarmente utile quando i profili devono essere distribuiti centralmente e le modifiche successive devono essere recuperate automaticamente. Allo stesso tempo, VPN Portal diventa parte del percorso di accesso in produzione. Raggiungibilità, certificato, MFA, assegnazione degli utenti e protezione del portale sono quindi importanti quanto la sintassi JSON del file.

⚠️ Se gli utenti esterni devono eseguire il provisioning dalla WAN, VPN Portal deve essere raggiungibile dalla WAN. Ciò aumenta la superficie di attacco esposta pubblicamente. Prima del rollout servono un certificato attendibile, MFA, Local Service ACL il più possibile restrittive, blocchi degli accessi verificati e un percorso di ripristino con un profilo distribuito manualmente.

Provisioning in otto passaggi

1. Configurare completamente IPsec Remote Access o SSL VPN sul firewall e testarlo con un file importato manualmente.
2. Fornire il portale VPN attraverso un FQDN affidabile e un certificato.
3. In Administration > Device access, abilitare VPN Portal solo per le zone necessarie. Per limitare l’accesso a reti di origine specifiche, occorre anche una regola di eccezione Local Service ACL appropriata.
4. Creare un file .pro minimo con display_name, gateway e vpn_portal_port.
5. Aggiungere MFA, connessione automatica e ordine dei gateway solo quando il relativo flusso operativo è già stato definito.
6. Importare prima il file manualmente con un utente pilota e testare IPsec e SSL VPN separatamente.
7. Passare quindi il file .pro approvato alla distribuzione Windows gestita e iniziare con un piccolo gruppo pilota.
8. Verificare l’accesso al portale, i profili importati, il tunnel, le destinazioni interne, i log, gli aggiornamenti dei profili e il rollback.

Quando è adatto un file .pro

Il provisioning è adatto agli endpoint Windows gestiti che utilizzano Sophos Connect per IPsec, SSL VPN o entrambi. Dopo l’accesso al portale, il firewall fornisce il profilo IPsec a tutti gli utenti. Questo non significa che ogni utente possa autenticare il tunnel o accedere alle destinazioni interne. Una configurazione SSL VPN viene importata solo quando l’utente è membro di una policy SSL VPN corrispondente.

Durante il primo provisioning, SFOS può creare automaticamente un utente di directory non ancora presente localmente e assegnarlo a un gruppo in base al mapping del server di autenticazione. L’utente non deve quindi accedere prima a VPN Portal o User Portal. Questa creazione automatica non sostituisce la verifica dell’ordine dei gruppi e dell’effettiva autorizzazione VPN.

I file manuali .scx e .ovpn restano utili se il VPN Portal non deve essere raggiungibile pubblicamente, ci sono pochi client o il portale è una dipendenza aggiuntiva indesiderata. .pro recupera IPsec (.scx) e le configurazioni SSL VPN autorizzate per l’utente (.ovpn) dal VPN Portal, oltre alle modifiche successive; non è un profilo di tunnel. Sono supportati client Windows compatibili e Sophos Connect per macOS da 2.1, non il client macOS 2.0 o precedente. Il provisioning IPsec richiede Sophos Connect 2.1 o successivo. Sul client macOS 2.0 restano necessari import diretti e aggiornamenti manuali controllati.

Aggiornamento dell’osservazione datata: le note di rilascio Sophos elencano Sophos Connect 2.1 per macOS, pubblicato il 6 ottobre 2026, con provisioning .pro, Entra ID SSO e supporto ARM nativo. L’osservazione del 24 settembre 2026 descrive la situazione di allora. Controllare la versione dell’installer realmente disponibile; la pubblicazione non dimostra che il proprio portale distribuisca già quel pacchetto o che sia stato testato su un dispositivo specifico.

La configurazione VPN vera e propria rimane nelle guide dedicate: Configurare Sophos Connect IPsec sul firewall e Configurare l’accesso remoto SSL VPN.

Prerequisiti e valori di esempio

L’esempio seguente utilizza il nome pubblico del portale vpn.example.com e l’host di verifica interno intranet.corp.example. Entrambi sono valori segnaposto:

• vpn.example.com va sostituito con il vero FQDN di VPN Portal, risolvibile correttamente sia pubblicamente sia internamente. Il certificato del portale deve essere valido per questo nome e attendibile per i client.
• intranet.corp.example va usato come auto_connect_host solo se l’host è raggiungibile in modo stabile e risponde esclusivamente dalla rete interna. Un host pubblico o inaffidabile falserebbe il rilevamento della rete.
• La porta 443 è la porta predefinita di VPN Portal. Se il firewall utilizza un’altra porta, in vpn_portal_port deve essere indicato lo stesso valore.

Prima di creare il file devono essere stati verificati con esito positivo almeno questi punti:

• Il profilo IPsec o SSL VPN previsto funziona con un’importazione manuale.
• VPN Portal è raggiungibile tramite il FQDN previsto e utilizza una catena di certificati completa.
• Utenti, gruppi principali, policy SSL VPN e metodi di autenticazione corrispondono.
• Nel provisioning SSO, VPN Portal, IPsec e SSL VPN utilizzano lo stesso server del provider di identità (IdP) configurato in Authentication > Services: Microsoft Entra ID nella documentazione SFOS 22, oppure un IdP OpenID Connect (OIDC) supportato in SFOS 23.
• gateway corrisponde al FQDN o all’indirizzo IP del firewall configurato nella sezione Redirect URI del server IdP. Inserire solo questo host, non l’URI di callback completo con schema, porta e percorso; impostare separatamente la porta del portale in vpn_portal_port.
• MFA e il test negativo con un utente non autorizzato funzionano.

Per pubblicare il portale, consultare Device Access e Local Service ACL. Protezione da attacchi brute force per VPN Portal tratta i tentativi di accesso ripetuti e la protezione di un portale raggiungibile dalla WAN.

Scegliere la versione SSO e il provider

Per Windows con Sophos Connect 2.4 o successivo, SFOS 22 descrive Entra ID SSO; SFOS 23 estende l’ambito agli IdP OIDC supportati. Ciò non implica supporto per qualsiasi provider OIDC né disponibilità comprovata in una specifica build del firmware. Utilizzare il ramo di versione corrispondente in Entra ID VPN SSO oppure la configurazione Google Workspace OIDC per SFOS 23. Google richiede un FQDN pubblico valido per i redirect, non un indirizzo IP. Queste guide trattano configurazione del provider, assegnazione dei servizi e diagnosi.

Per scaricare direttamente .scx o .ovpn senza .pro, selezionare prima l’IdP in Authentication > Services, quindi scaricare il profilo. SSL VPN deve utilizzare lo stesso IdP per portale e tunnel; IPsec diretto consente lo stesso IdP oppure uno diverso. Non applicare questa eccezione IPsec al provisioning.

Per macOS 2.1 o successivo, la guida del client indica Entra ID SSO, non supporto OIDC generale. I requisiti e la guida del client salvati differiscono nella copertura di macOS; confermare e collaudare separatamente la combinazione firmware/client/VPN prevista. Il campo browser macOS sotto resta specifico di Entra; GPO, automazione della cartella di importazione e script di accesso restano specifici di Windows.

Creare il file di provisioning

Un file .pro è in formato JSON. gateway è l’unico campo obbligatorio. È comunque opportuno impostare esplicitamente il nome visualizzato e la porta del portale, in modo che la configurazione possa essere verificata senza ambiguità. Creare il file con un editor di testo e salvarlo, ad esempio, come avanet-vpn.pro.

Profilo minimo per un gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name può contenere al massimo 60 caratteri. Senza un nome visualizzato, Sophos Connect mostra il valore gateway. Impostando can_save_credentials su true, l’utente può salvare nome utente e password; questa opzione non viene utilizzata per SSO. Consentire il salvataggio delle credenziali è una decisione di sicurezza, non un’impostazione predefinita di comodità.

I campi non specificati utilizzano i valori predefiniti del produttore. Nell’esempio sono tutti impostati esplicitamente affinché durante la revisione non vengano trascurati valori impliciti:

Con check_remote_availability, il client esegue un controllo di raggiungibilità all’avvio della connessione. run_logon_script si applica solo a Sophos Connect per Windows; i valori ammessi sono true e false, con false come valore predefinito. Esegue lo script di accesso fornito dal controller di dominio dopo che il tunnel è stato stabilito. Lo script rimane disattivato finché un test pilota non ne conferma la necessità e il comportamento.

La sintassi precedente user_portal_port continua a essere accettata, ma oggi identifica comunque la porta di VPN Portal. vpn_portal_port è più chiara per i nuovi file.

Scegliere il browser Entra ID SSO su macOS

Il campo facoltativo sso_auth_browser_type si applica esclusivamente a Microsoft Entra ID SSO con Sophos Connect per macOS 2.1 o successivo. Non è un’impostazione Windows né un’opzione generale del browser per altri provider di identità. I valori ammessi vanno scritti letteralmente:

• auto: valore predefinito; utilizza il browser integrato e può passare al browser di sistema se necessario.
• embedded: utilizza il browser integrato in Sophos Connect.
• system: utilizza il browser predefinito del sistema operativo.

Se il campo viene omesso o contiene un valore non valido, Sophos Connect utilizza auto. Per una configurazione Entra appropriata su macOS, è possibile aggiungere questa proprietà facoltativa all’oggetto di connessione del file .pro:

"sso_auth_browser_type": "auto"

È solo un frammento JSON, non un file .pro completo. La proprietà va inserita accanto a gateway nell’oggetto esistente; le proprietà devono essere separate da virgole, senza virgola dopo l’ultima. auto rende esplicito il valore predefinito per la revisione; embedded o system vengono impostati solo per un flusso del browser scelto consapevolmente e verificato in un pilota. Sophos Connect su macOS descrive l’importazione e l’accesso interattivo; la sintassi del campo rimane descritta qui.

Pianificare correttamente la connessione automatica

auto_connect_host aiuta Sophos Connect a stabilire se il client si trova già nella rete interna. Quando un’interfaccia di rete riceve un indirizzo IP nuovo o modificato, il client verifica questo host. Se non è raggiungibile, la connessione viene attivata. Il tunnel viene stabilito automaticamente se le credenziali sono salvate o se l’ultimo accesso è avvenuto tramite SSO.

"auto_connect_host": "intranet.corp.example"

L’host di verifica non è un controllo generico dello stato di Internet. Deve essere stabile, risolvibile internamente e non raggiungibile dall’esterno. Prima del rollout, il test viene eseguito sia dalla rete aziendale sia da una rete esterna. Una stringa vuota "" disattiva la connessione automatica.

Per il funzionamento always-on, è necessario coordinare credenziali salvate, SSO, MFA e comportamento dopo i cambi di rete. Avviare automaticamente SSL VPN con l’accesso automatico spiega le differenze.

Utilizzare più gateway

Più gateway del portale vengono inseriti come array. gateway_order determina solo il modo in cui Sophos Connect seleziona il portale per il download. Il tunnel successivo utilizza i gateway presenti nella configurazione .scx o .ovpn importata.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Le modalità di selezione producono effetti operativi diversi:

• in_order prova le voci nell’ordine definito.
• latency seleziona il gateway in base al tempo di risposta di un tentativo di connessione TCP.
• distributed seleziona un gateway casuale durante un tentativo di connessione.

L’ordine non sostituisce un progetto WAN, DNS o HA verificato. Ogni nome di portale indicato deve avere un certificato valido, la raggiungibilità prevista e lo stesso contenuto di provisioning atteso.

Occorre distinguere questo caso da quello di più connessioni. Due oggetti distinti nell’array JSON esterno creano due voci in Sophos Connect, ad esempio una per i dipendenti e una per gli amministratori. Un singolo oggetto con più valori nel campo gateway rimane invece una sola connessione con gateway di provisioning alternativi. Prima di combinare le due varianti, definire nomi, gruppi di destinazione e percorsi di ripristino.

Impostare consapevolmente i campi MFA

Con otp: true, Sophos Connect mostra un terzo campo di immissione. 2fa determina come il relativo contenuto viene inviato al server di autenticazione:

• 2fa: 1 utilizza la configurazione di Sophos Firewall. Password e OTP vengono concatenati come passwordotp.
• 2fa: 2 utilizza un servizio esterno come Duo. Password e codice vengono separati da una virgola; a seconda della configurazione Duo, sono possibili anche push, phone, sms o un codice token.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Durante il primo recupero, la schermata di accesso può comparire due volte: una per scaricare la configurazione e una per stabilire il tunnel. Ciò non indica automaticamente un errore. L’help desk deve conoscere questo comportamento prima di una distribuzione estesa. La configurazione MFA sul firewall è descritta in Configurare MFA su Sophos Firewall.

I passaggi GPO e cartella di import seguenti valgono per Windows. Su macOS da 2.1 importare la .pro approvata direttamente nel client e testare separatamente pacchetto, accesso al portale, recupero del profilo e connessione VPN; non trasferire percorsi Windows o passaggi GPO al Mac.

Importare in Windows e passare alla distribuzione gestita

Il file può essere fornito tramite download protetto e importato manualmente. Gli utenti selezionano Import connection oppure aprono il file .pro con un doppio clic. L’e-mail è adatta solo se trasporto e destinatari sono controllati; password, OTP e token utente non devono mai essere inseriti nel file.

Sophos Connect monitora questa cartella di importazione:

C:\Program Files (x86)\Sophos\Connect\import\

Un file .pro collocato in questa cartella viene importato automaticamente e poi eliminato. L’eliminazione è normale e non dimostra che l’autenticazione al portale o il tunnel funzionino già. Questo passaggio tramite cartella è l’interfaccia verso la distribuzione gestita.

Script di avvio GPO, pacchetto client, SCCLI, codici di uscita e rollback completo sono descritti in Distribuire Sophos Connect su endpoint Windows gestiti. In quel flusso il file .pro approvato viene consegnato al client già installato come artefatto distinto e versionato, separando la verifica del pacchetto da quella del provisioning.

Per il test pilota, documentare versione o hash approvato del file, consegnarlo alla cartella di importazione e verificare quale connessione compare nel client. L’origine deve essere leggibile solo dai dispositivi previsti, usare un certificato attendibile e non contenere credenziali in URL o script. Installare Sophos Connect su Windows descrive installazione e piattaforme supportate.

Un file .pro normalmente non contiene password utente. Rimane comunque un artefatto di configurazione controllato: indirizzi del portale, comportamento, MFA e impostazioni di connessione automatica devono provenire solo da un’origine autorizzata.

Metadati .pro riutilizzabili e identità SSL

Il file .pro originale contiene metadati di provisioning riutilizzabili, non il certificato SSL VPN o la chiave privata di un utente. La documentazione del client SFOS 22 lo distingue dal profilo SSL generato durante l’importazione: tale profilo e i suoi certificati sono associati all’identità, al metodo di autenticazione e al dominio utilizzati per l’importazione. Per un altro metodo o dominio, importare un .pro separato o il .ovpn personale dell’utente; riutilizzare il profilo SSL importato può causare Login failed. Wrong fingerprint of certificate. Questa restrizione documentata non riguarda i profili IPsec .scx.

Un .ovpn contiene certificati e chiavi private specifici dell’utente: non condividerlo mai tra utenti. Riutilizzare metadati .pro originali approvati non significa condividere un profilo SSL generato né esportare le chiavi di un altro utente. Importazione e accesso in Windows e in macOS descrivono i passaggi del client; applicare questa precisazione di versione alle indicazioni sul vincolo SSL e sull’impronta del certificato.

La documentazione del client SFOS 23 salvata omette la sezione SFOS 22 sul vincolo all’identità senza spiegare un cambiamento del comportamento in esecuzione. Questa omissione non dimostra né un riutilizzo più permissivo né un vincolo invariato in tutte le versioni. Finché non è disponibile un chiarimento autorevole per la versione specifica, separare per precauzione le importazioni SSL per identità, metodo e dominio; tale precauzione non è una regola di esecuzione SFOS 23 verificata.

Modifiche e aggiornamenti dei profili

Dopo un’importazione riuscita, Sophos Connect recupera automaticamente i profili .scx e .ovpn disponibili e le modifiche successive. Occorre comunque distinguere il percorso di recupero nel file .pro dal profilo VPN recuperato:

• Se cambiano gateway o vpn_portal_port, aggiornare e ridistribuire il file .pro.
• Se cambiano la porta o il protocollo in SSL VPN global settings, gli utenti devono fare clic sull’icona a forma di ingranaggio della connessione nel client e selezionare Update policy.
• Il client recupera automaticamente le altre modifiche al profilo VPN fornito. Le modifiche al gateway, al certificato server, alla porta o al protocollo SSL VPN possono richiedere un nuovo accesso.
• Se, dopo un ripristino o un’importazione, gateway e la porta di VPN Portal rimangono invariati, il file recupera automaticamente le configurazioni IPsec e SSL VPN interessate.
• Se questo percorso è cambiato, ridistribuire e reimportare il file .pro.
• Senza un file .pro funzionante, reimportare le configurazioni IPsec interessate; dopo modifiche a porta, protocollo, interfaccia o certificato server SSL VPN, scaricare di nuovo il file .ovpn da VPN Portal e reimportarlo.
• Un aggiornamento client non è un sostituto per la ridistribuzione controllata di un file .pro modificato.

I file di provisioning vecchi e nuovi non devono essere distribuiti in parallelo tramite GPO, download ed e-mail differenti. Per ogni rollout vanno documentati nome file, versione o data di modifica, gruppo di destinazione e percorso di ripristino.

Verificare provisioning e tunnel

Il test viene eseguito con un utente autorizzato e uno non autorizzato da una vera rete esterna. Un’autenticazione riuscita al portale non equivale da sola a un test VPN riuscito.

1. Controllare la versione Sophos Connect e la piattaforma Windows.
2. Importare il file .pro manualmente o tramite il pilota GPO.
3. Verificare quali connessioni .scx e .ovpn effettivamente appaiono.
4. Completare il flusso MFA, compreso un eventuale secondo accesso.
5. Collegare IPsec e SSL VPN separatamente se entrambi sono disponibili.
6. Controllare l’indirizzo assegnato, la risoluzione DNS interna, il server di destinazione, la regola firewall e il percorso di ritorno.
7. Per l’utente non autorizzato, distinguere tra importazione del profilo e accesso: può apparire un profilo IPsec, ma il tunnel o l’accesso interno devono essere negati nella fase prevista di autenticazione o applicazione della policy. Un file SSL VPN .ovpn non deve essere importato senza una policy corrispondente.
8. Verificare entrambi i percorsi di aggiornamento: una normale modifica del profilo deve arrivare automaticamente tramite il file .pro importato; dopo una modifica alla porta o al protocollo SSL VPN, selezionare Update policy nel client.
9. Verificare il riavvio del client, il cambio di rete e una nuova consegna con il metodo scelto.
10. Verificare il ripristino manuale di un profilo .scx o .ovpn approvato.

Con Microsoft Entra ID SSO si verificano inoltre Redirect URI, Conditional Access e il nuovo accesso forzato sugli endpoint condivisi. Microsoft Entra ID SSO per Sophos Connect e VPN Portal spiega il mapping completo.

Per il test pilota SSO, registrare versione del firmware, versione del client e IdP. Utilizzare il ramo di versione scelto sopra, verificare l’assegnazione dello stesso IdP ai servizi di provisioning e provare separatamente recupero dal portale e tunnel con utenti autorizzati e non autorizzati. Le indicazioni sull’identità SSL restano delimitate per versione; un test pilota riuscito non risolve in generale il conflitto ancora aperto nella documentazione sorgente SFOS 23.

Delimitare sistematicamente gli errori

Non viene importata alcuna connessione

Verificare innanzitutto che il file contenga JSON valido, termini con .pro e sia stato importato dal client. Controllare poi gateway, vpn_portal_port, DNS, catena dei certificati e raggiungibilità di VPN Portal. La scomparsa di un file dalla cartella di importazione indica che è stato elaborato, ma non dimostra un’autenticazione riuscita.

Se il client raggiunge il portale ma non riceve alcun profilo, verificare la connessione IPsec configurata, la policy SSL VPN, l’appartenenza ai gruppi e i metodi di autenticazione. Il file IPsec .scx viene fornito a tutti gli utenti; un file SSL VPN .ovpn solo ai membri di una policy corrispondente.

Errori di certificato o SSO

Il nome pubblico in gateway deve corrispondere al certificato e all’host del firewall nella sezione Redirect URI dell’IdP configurato. Verificare separatamente vpn_portal_port. Nel provisioning SSO, VPN Portal, IPsec e SSL VPN devono utilizzare lo stesso IdP. Verificare separatamente il recupero dal portale e l’autenticazione del tunnel per il ramo SFOS/client/provider scelto; un profilo visibile o un Test connection riuscito non dimostra nessuno dei due.

Per Entra, correlare il tentativo con Entra sign-in log, inclusi MFA e Conditional Access. Seguire la diagnosi specifica della versione in Entra ID VPN SSO: i nomi dei log SSO precedenti riguardano SFOS 22, non qualsiasi distribuzione OIDC. Per Google in SFOS 23, seguire la diagnosi Google Workspace OIDC. Non trasferire tra versioni istruzioni di log o riavvio specifiche del provider.

MFA compare due volte o non funziona

Durante il primo recupero possono essere previsti due accessi. Se l’autenticazione non riesce, confrontare otp, 2fa, il metodo MFA Sophos o esterno configurato e il formato di immissione previsto. passwordotp e il metodo esterno separato da virgola non sono intercambiabili.

Il profilo esiste, ma il traffico non funziona

In questo caso, il provisioning ha già superato il punto effettivo dell’errore. Verificare separatamente intervallo di lease, route del client, DNS, regola firewall, NAT, percorso di ritorno e packet capture. Per IPsec, continuare con Troubleshooting VPN IPsec su Sophos Firewall.

La consegna gestita non importa il file

Provare prima l’importazione manuale dello stesso file approvato. Se funziona, l’errore è nella consegna e non nello schema .pro. Controllare quindi stato del servizio, contesto di sistema, accesso all’origine, permessi e percorso esatto. Proseguire la diagnosi di pacchetto, GPO e SCCLI nella distribuzione Windows gestita. Una ridistribuzione indiscriminata non sostituisce l’analisi.

Eseguire un rollback sicuro

Per il rollback, interrompere innanzitutto la distribuzione al gruppo interessato per evitare ulteriori importazioni. L’interruzione della consegna non elimina le connessioni già importate. Sui dispositivi pilota, rimuoverle o sostituirle in modo controllato prima di importare e verificare il file manuale .scx o .ovpn precedentemente approvato. Ripristinare le modifiche a VPN Portal, Device Access o autenticazione solo quando nessun provisioning di produzione ne dipende più.

Rimuovere e reimportare in modo controllato la connessione Sophos Connect esistente sui client di test. Ripetere quindi accesso al portale, tunnel, DNS, destinazioni interne e test negativo. Rimuovere il file .pro difettoso dai repository centrali e dalla distribuzione software solo quando il percorso di ripristino funziona.

FAQ