Risolvere il timeout IPsec Remote Access dopo 4 ore

Se Sophos Connect con IPsec Remote Access e OTP si disconnette dopo circa quattro ore, la causa può essere il rekeying IKEv1 documentato del profilo predefinito. Durante il rekey della fase 1, il firewall richiede nuovamente un OTP e il tunnel esistente viene interrotto. Sophos indica per il profilo predefinito un intervallo di circa quattro ore.

L’articolo spiega come classificare questo comportamento, quali log sono pertinenti e come modificare correttamente il valore tramite un profilo IPsec personalizzato. Per la configurazione di base di Sophos Connect, consultare prima Configurare Sophos Connect su Sophos Firewall. Per scegliere tra IPsec, SSL VPN, client mobili e ZTNA, Sophos Connect o SSL VPN: quale soluzione Remote Access scegliere? è il punto di partenza più indicato.

⚠️ Importante: questa causa riguarda Remote Access IPsec con IKEv1 e OTP. Una disconnessione SSL VPN, un Idle Timeout configurato o una connessione Internet instabile non si risolvono aumentando la durata IKE.

Circoscrivere innanzitutto la causa

Il problema di rekey è probabile quando coincidono diversi indizi:

• Sophos Connect si disconnette regolarmente dopo circa quattro ore.
• Dopo la disconnessione, gli utenti devono confermare nuovamente OTP o MFA.
• Prima della disconnessione, la connessione è stabile e torna a funzionare dopo un nuovo accesso.
• Altri profili VPN o connessioni SSL VPN non mostrano questo comportamento.
• Gli orari coincidono con il rekey della fase 1 del profilo IPsec assegnato.
• Nel log VPN compaiono messaggi IKE, di autenticazione o di rekey corrispondenti alla disconnessione.

Verificare innanzitutto in Remote access VPN > IPsec quale IPsec profile è selezionato e se Disconnect when tunnel is idle è attivato. Un Idle Timeout termina soltanto le connessioni inattive dopo l’Idle session time interval configurato. Si tratta di un comportamento diverso da una disconnessione OTP ricorrente durante l’utilizzo attivo.

Se la connessione si interrompe in modo casuale, non funziona soltanto in determinate reti o non trasporta traffico subito dopo essere stata stabilita, è necessario un troubleshooting IPsec VPN più generale.

Escludere innanzitutto Legacy Remote Access IPsec

Soprattutto negli ambienti meno recenti, occorre innanzitutto stabilire quale variante di IPsec Remote Access sia effettivamente in uso. Questo articolo riguarda l’attuale configurazione Remote Access IPsec con Sophos Connect e profili IPsec. Non è il punto di partenza corretto se è ancora presente Legacy Remote Access IPsec o se viene bloccato un aggiornamento a SFOS 22.0 MR1.

Indicazioni pratiche:

• La connessione si interrompe dopo un tempo simile e successivamente si ristabilisce: questo articolo è il passo successivo corretto.
• L’aggiornamento a SFOS 22.0 MR1 o versioni successive viene bloccato a causa di Legacy IPsec: consultare prima Migrare Legacy Remote Access IPsec prima di SFOS 22 MR1.
• Il tunnel è connesso, ma le destinazioni interne non sono raggiungibili: proseguire con Troubleshooting IPsec VPN di Sophos Firewall.
• Gli utenti devono passare da IPsec a SSL VPN, ZTNA o un altro modello: consultare Sophos Connect o SSL VPN: quale soluzione Remote Access scegliere?.

Questa distinzione è importante perché la regolazione della Key life non sostituisce un piano di migrazione. Se sul firewall è ancora presente una vecchia configurazione legacy, deve essere documentata, sostituita e rimossa correttamente prima di un aggiornamento firmware importante.

Perché il rekeying IKEv1 con OTP interrompe il tunnel

Sophos Connect utilizza un profilo IKEv1 per Remote Access IPsec. In molti ambienti è assegnato DefaultRemoteAccess. Questo profilo determina, tra l’altro, la durata della Security Association della fase 1 e il momento in cui inizia la rinegoziazione.

Per la tempistica sono rilevanti tre campi:

• Key life: durata massima della SA della fase 1 in secondi.
• Re-key margin: intervallo prima della scadenza della Key life nel quale inizia la rinegoziazione.
• Randomize re-keying margin by: variazione percentuale del momento del rekey, per evitare che tutti i tunnel rinegozino contemporaneamente.

Lo screenshot disponibile mostra per DefaultRemoteAccess una Key life di 18000 secondi. Da questo valore, tuttavia, non si può ricavare una formula universale delle quattro ore: Re-key margin, randomizzazione, comportamento del client e autenticazione influenzano il momento in cui l’interruzione diventa visibile. Fanno fede i valori del profilo effettivamente assegnato e i timestamp del caso concreto.

La decisione tecnica è importante: un valore maggiore riduce le ri-autenticazioni, ma prolunga anche la durata della IKE-SA. È una decisione operativa e di sicurezza, non un semplice interruttore per migliorare la comodità.

Correlare i log con la durata della connessione

Nel Log viewer, aprire l’area VPN e confrontare l’avvio della connessione con la successiva disconnessione dello stesso utente. Annotare l’ora di inizio, l’utente, l’indirizzo IP pubblico del client e il momento della nuova richiesta OTP. Registrare inoltre lo stato del client Sophos Connect nello stesso momento.

Messaggi come invalid SPI possono comparire dopo la scadenza o la sostituzione delle Security Association. Da soli, tuttavia, non dimostrano questo problema. È più significativa la combinazione di durata regolare, profilo IKEv1, richiesta OTP e rekey della fase 1 temporalmente corrispondente. In caso di problemi VPN ricorrenti sono inoltre utili Salvare i log di Sophos Firewall per il supporto e l’analisi e Troubleshooting di Sophos Firewall: servizi e log.

Modificare il profilo IPsec tramite la GUI

Il metodo più corretto consiste nel non intervenire direttamente sul profilo predefinito, ma nel clonarlo e utilizzare intenzionalmente il nuovo valore per Remote Access.

Il percorso di menu attuale è:

Profiles > IPsec profiles

Procedura:

1. Fare clic su Clone per DefaultRemoteAccess.
2. Assegnare al nuovo profilo un nome univoco, ad esempio RemoteAccess_OTP_12h.
3. Lasciare Key exchange impostato su IKEv1 e mantenere Re-key connection attivato.
4. In Phase 1, verificare i valori Key life, Re-key margin e Randomize re-keying margin by.
5. Inserire la Key life desiderata. Per questa soluzione alternativa, Sophos documenta un massimo di 24 ore, ossia non più di 86400 secondi.
6. In Phase 2, verificare che la Key life sia inferiore al valore della fase 1.
7. In Dead peer detection, utilizzare un’impostazione selezionabile per Remote Access: disattivata oppure When peer unreachable: Disconnect.
8. Salvare il profilo.
9. In Remote access VPN > IPsec, selezionare il nuovo IPsec profile e salvare la configurazione.
10. Distribuire la configurazione aggiornata di Sophos Connect e testarla innanzitutto con un utente pilota.

Dopo la modifica, non basta salvare il firewall. Se i file .scx vengono distribuiti manualmente, è necessario esportare un file aggiornato tramite Export connection in Remote access VPN > IPsec e importarlo nuovamente sui client. Se si utilizza già un file di provisioning .pro con Sophos Connect 2.1 o versioni successive, il client recupera automaticamente le successive modifiche alla configurazione dal VPN Portal. A tal fine, l’indirizzo del gateway e la porta del VPN Portal non devono essere stati modificati nel frattempo.

Per il funzionamento e le versioni del client, consultare Verificare la versione del client Sophos Connect e aggiornarla in sicurezza. Per le installazioni Windows, consultare Installare il client Sophos Connect su Windows, per macOS Installare il client Sophos Connect su macOS.

Definire una durata adeguata

Non esiste una formula affidabile che consenta di calcolare direttamente un singolo valore ikekeylife partendo dall’intervallo OTP desiderato. Key life è la durata massima della SA; il rekey inizia già all’interno del Re-key margin e può essere inoltre randomizzato.

Ad esempio, 43200 secondi corrispondono a dodici ore di Key life. La rinegoziazione inizia prima, a seconda di Re-key margin e randomizzazione. Il valore non deve quindi essere descritto come una sessione utente garantita di dodici ore. Sophos indica 24 ore come limite massimo per questa soluzione alternativa.

Prima della modifica occorre chiarire:

• Quale durata massima della chiave IKE e quale intervallo di rekey sono accettabili dal punto di vista della sicurezza?
• Il valore è compatibile con gli orari di lavoro, i turni e il processo di helpdesk?
• Viene utilizzato OTP, RADIUS-MFA, Entra ID SSO o un altro metodo di autenticazione?
• Esistono requisiti di conformità per la ri-autenticazione?
• Il rekey o la riconnessione funzionano in modo affidabile con l’attuale client Sophos Connect?

Per le nozioni di base sull’MFA nel firewall, consultare Attivare l’MFA per Sophos Firewall WebAdmin, VPN Portal e Remote Access. Se è in uso Microsoft Entra ID SSO, occorre inoltre considerare Configurare Microsoft Entra ID SSO per Sophos Connect e VPN Portal.

Perché non è consigliata una modifica diretta del database

Alcuni runbook meno recenti contengono modifiche dirette nella Advanced Shell o comandi SQL sul database del firewall. Questa procedura non è consigliata per il normale funzionamento.

Motivi:

• L’intervento aggira la normale convalida di WebAdmin.
• Valori errati possono compromettere i profili VPN o Remote Access.
• Le modifiche sono più difficili da tracciare.
• Nei casi di supporto, una modifica corretta tramite GUI è più facile da spiegare.
• Dopo gli aggiornamenti, il comportamento interno può cambiare.

Il valore deve pertanto essere impostato tramite un profilo IPsec personalizzato in WebAdmin. Le modifiche dirette al database devono essere effettuate al massimo in un chiaro contesto di supporto Sophos e non in una normale guida per amministratori.

Testare la modifica durante la finestra di rekey

Dopo la modifica, è opportuno eseguire un test limitato con utenti pilota.

Punti di controllo:

1. Il nuovo profilo è selezionato in Remote Access IPsec.
2. Il nuovo file .scx è stato importato oppure il provisioning .pro ha recuperato la modifica.
3. La connessione viene stabilita correttamente.
4. Le destinazioni interne sono raggiungibili.
5. DNS, routing e regole firewall funzionano.
6. La connessione rimane attiva fino alla finestra di rekey prevista.
7. Durante il rekey non si verificano interruzioni impreviste o cicli OTP poco chiari.
8. I log VPN mostrano la rinegoziazione prevista senza nuovi errori.

Se la connessione viene stabilita ma il traffico non passa, il problema riguarda più probabilmente route, regole firewall, NAT o DNS. In tal caso è utile Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Errori tipici

Problemi frequenti:

• Profilo predefinito modificato direttamente: altri scenari Remote Access possono essere interessati involontariamente. È preferibile utilizzare un profilo clonato e assegnato in modo mirato.
• Profilo client non aggiornato: con la distribuzione manuale dei file .scx, gli utenti continuano a utilizzare le vecchie impostazioni. Con un provisioning .pro funzionante, le modifiche successive vengono invece recuperate automaticamente.
• Valore Key life troppo elevato: un minor numero di ri-autenticazioni comporta una durata maggiore della IKE-SA. I requisiti operativi e di sicurezza devono essere valutati congiuntamente.
• È stato reinstallato soltanto il client: il profilo del firewall rimane invariato. Il profilo del firewall e la configurazione del client devono essere verificati insieme.
• invalid SPI utilizzato come unica prova: il messaggio può anche essere una conseguenza di SA già sostituite. Durata della connessione, rekey IKE e richiesta OTP devono coincidere temporalmente.
• Database modificato direttamente: ciò aumenta il rischio di problemi di supporto e configurazione. Per il normale funzionamento si deve utilizzare il profilo GUI.

Checklist operativa

• Registrare gli utenti interessati e gli orari.
• Verificare se viene utilizzato IPsec Remote Access con Sophos Connect.
• Controllare i log VPN per indicazioni relative a IKE, SPI e rekeying.
• Identificare il profilo IPsec utilizzato.
• Clonare DefaultRemoteAccess anziché modificarlo direttamente.
• Registrare i valori della fase 1 per Key life, Re-key margin e randomizzazione.
• Definire tecnicamente un valore obiettivo non superiore a 24 ore.
• Assegnare il nuovo profilo in Remote Access IPsec.
• Ridistribuire la configurazione del client.
• Eseguire il test con utenti pilota e informare l’helpdesk.
• Dopo alcuni giorni, verificare se i casi di riconnessione OTP si sono ridotti.

FAQ