Configurare Sophos Firewall IPsec VPN su iPhone

Per l’accesso remoto IPsec nativo su iPhone, il profilo iOS viene scaricato direttamente dal VPN Portal di Sophos Firewall e installato nelle impostazioni di sistema. Sophos Connect e OpenVPN Connect non sono il metodo di importazione per questo profilo. Il file .ovpn e la guida separata per SSL VPN su iPhone e iPad riguardano un protocollo diverso.

La procedura rapida è: verificare la versione di iOS e l’approvazione della configurazione, accedere al VPN Portal in Safari, aprire VPN > VPN configuration > IPsec VPN profile > Download for iOS, controllare e installare il profilo, quindi verificare lo stato VPN e le destinazioni interne consentite. Il solo download riuscito non equivale a una connessione funzionante.

Prima del download: chiarire versione e autorizzazione

L’amministratore deve aver configurato l’accesso remoto IPsec e assegnato all’utente la policy corretta. Senza questa configurazione, il download IPsec per iOS non compare. La presenza di un download SSL VPN non dimostra che l’utente sia autorizzato per IPsec. La preparazione lato firewall è descritta in Configurare Sophos Connect su Sophos Firewall; i profili desktop .scx e .pro di quella guida non vengono utilizzati qui.

Prima dell’installazione, documentare:

build SFOS e versione di iOS in uso, nonché approvazione di questa combinazione da parte dell’amministratore;
indirizzo esatto del portale, utente, metodo di autenticazione e nome del profilo previsto;
applicazione interna consentita, nomi DNS interni e comportamento Split Tunnel o Full Tunnel previsto;
profili VPN già presenti e presenza di una gestione MDM sull’iPhone;
dove la versione di iOS installata mostra l’installazione dei profili e lo stato della connessione VPN, e come disconnettere esattamente questo tunnel.

Le seguenti etichette dei menu Apple sono riportate in inglese; su un dispositivo localizzato possono essere diverse. Apple indica i profili installati in Settings > General > VPN & Device Management. La posizione dell’interruttore VPN deve essere chiarita in anticipo per la versione effettivamente in uso. Se l’installazione dei profili è bloccata su un dispositivo gestito, contattare l’amministratore anziché rimuovere la gestione o le funzioni di sicurezza.

Il client nativo deve essere compatibile con il metodo di autenticazione previsto. Una guida Windows per Sophos Connect con OIDC o Entra SSO non costituisce una garanzia per IPsec nativo su iOS. MFA per VPN Portal e accesso remoto deve essere valutata separatamente per il portale e per il tunnel. Se non è possibile applicare in modo sicuro il secondo fattore richiesto nel flusso nativo, arrestare il rollout e scegliere un’alternativa approvata; non disattivare MFA per risolvere i problemi.

Scaricare e installare il profilo in Safari

In Safari, aprire l’indirizzo del VPN Portal confermato dall’amministratore. Esempio: https://vpn.example.com:443. vpn.example.com è un segnaposto per l’FQDN del proprio portale; 443 è la porta predefinita. Utilizzare una porta diversa solo su indicazione dell’amministratore. Risolvere gli avvisi relativi al certificato prima del download, senza aggirarli in modo permanente.
Accedere con il proprio utente VPN e confermare il secondo fattore previsto. Aprire VPN, quindi in VPN configuration > IPsec VPN profile toccare Download for iOS. Non si tratta né del download SSL VPN per dispositivi mobili né di un pacchetto client Windows.
Confermare l’autorizzazione al download visualizzata solo per il profilo previsto. In Settings, aprire Profile Downloaded. Verificare con l’amministratore l’origine del profilo, l’organizzazione, il gateway VPN e le impostazioni incluse. Non installare certificati inattesi o impostazioni di gestione aggiuntive senza averli controllati.
Solo dopo questi controlli, scegliere Install e completare le conferme visualizzate, compreso l’inserimento del codice del dispositivo. Apple elimina dopo otto minuti un profilo scaricato ma non ancora installato; se in seguito non è più disponibile, scaricarlo nuovamente dal portale confermato. Può esserci un solo profilo scaricato in attesa di installazione alla volta. Se Stolen Device Protection impedisce l’installazione, utilizzare prima un luogo conosciuto e la procedura di supporto approvata, anziché disattivare abitualmente la protezione.
Identificare il profilo installato nelle impostazioni di sistema. Nelle guide SFOS 22/23, Sophos descrive una connessione IPsec automatica dopo il download. Questo non è una garanzia per la versione attuale di iOS: l’installazione Apple e l’eventuale autenticazione devono essere completate. Verificare lo stato VPN effettivo; se la connessione non è attiva, utilizzare l’interruttore VPN individuato in anticipo per questo profilo ed eseguire i passaggi previsti per credenziali o MFA. Se l’interruttore manca o compaiono richieste diverse, non improvvisare: contattare il supporto.

Trattare il profilo come riservato e non condividerlo con altri utenti. SSO del portale, installazione del profilo e autenticazione del tunnel sono tre operazioni distinte; nessuna, da sola, dimostra il successo delle altre.

Verificare la connessione con un utente pilota

I controlli seguenti sono passaggi di collaudo, non test su dispositivo già eseguiti. Eseguire il primo test al di fuori della WLAN interna, su una rete esterna approvata, affinché l’accesso diretto alla LAN non falsi il risultato.

Nelle impostazioni VPN di iOS, verificare che il profilo previsto sia connesso. L’amministratore controlla utente e sessione sul firewall.
Aprire un’applicazione interna consentita utilizzando il suo nome DNS documentato. Ad esempio, https://intranet.example.com rappresenta la propria applicazione approvata; sostituire il segnaposto con il nome interno effettivo. Verificare separatamente la risoluzione DNS e l’accesso all’applicazione.
Una destinazione non autorizzata, concordata con l’amministratore, deve restare bloccata. Non ampliare le regole firewall per ottenere un successo apparente.
L’amministratore verifica nel Log Viewer che il traffico dalla zona VPN corrisponda alla regola prevista, con autorizzazioni strettamente limitate; a questo scopo il logging deve essere attivo. La procedura è descritta in Verificare le regole firewall con Log Viewer e Packet Capture.
Verificare che il secondo fattore intervenga dove richiesto dalla policy di sicurezza. Una richiesta MFA nel portale non dimostra la presenza di MFA sul tunnel IPsec. Il collaudo comprende anche una nuova connessione e un passaggio controllato tra WLAN e rete mobile. Il traffico Internet deve rispettare l’architettura Split Tunnel o Full Tunnel concordata.

Se il tunnel è attivo ma l’accesso all’applicazione non funziona, esaminare prima policy, regola, percorso di ritorno e DNS. Se il tunnel non è attivo, verificare profilo, autorizzazione utente, autenticazione e percorso di rete IPsec. La guida alla risoluzione dei problemi IPsec aiuta l’amministratore a individuare la causa; disattivare la verifica dei certificati o MFA non è un passaggio diagnostico.

Disconnettere la connessione e sostituire i profili in modo controllato

Per disconnettere la connessione, Sophos indica Settings > General > VPN > Status per la connessione interessata. Questo percorso riportato nelle fonti non è un percorso universale per le versioni attuali di iOS. Aprire la sezione VPN identificata nella verifica preliminare, selezionare esattamente la propria connessione e impostarne lo stato su disconnesso. Controllare poi che il tunnel non sia più connesso e che una nuova richiesta all’applicazione di test raggiungibile esclusivamente tramite VPN non funzioni più. Non basarsi su pagine del browser già caricate. Se una configurazione gestita impedisce la disconnessione o ristabilisce la connessione, coinvolgere il responsabile MDM anziché eliminare altri profili.

Reinstallare dopo modifiche amministrative

Se un tunnel precedentemente funzionante non si connette più dopo una modifica della configurazione, Sophos richiede di reinstallare la configurazione. IPsec nativo su iOS non utilizza qui il provisioning automatico di Sophos Connect.

Prima della sostituzione, documentare nome del profilo, versione, motivo della modifica e procedura di ripristino approvata dall’amministratore. Concordare una finestra temporale, perché la sostituzione interrompe l’accesso. Non ripristinare indiscriminatamente tutti i profili di rete o le impostazioni del dispositivo.
Disconnettere il tunnel e scaricare nuovamente in Safari il profilo IPsec per iOS aggiornato dal VPN Portal. L’amministratore chiarisce se sostituisce il profilo esistente o se occorre prima rimuovere esattamente il vecchio profilo. Per un profilo MDM, la sostituzione avviene tramite la procedura di gestione competente.
Controllare e installare il nuovo profilo come descritto sopra. Verificare poi nuovamente connessione, requisiti MFA, DNS e destinazioni consentite e bloccate. Non mantenere in parallelo più profili con lo stesso nome senza controllo.
Se il collaudo non riesce, disconnettere il nuovo tunnel e arrestare l’introduzione. Riutilizzare un vecchio profilo solo se l’amministratore conferma che gateway, chiavi o certificati e autorizzazioni sono ancora validi. Dopo modifiche di sicurezza, non costituisce una procedura di ripristino affidabile. Solo dopo un collaudo riuscito, rimuovere in modo mirato i vecchi download e i profili obsoleti.

Sostituire o perdere il dispositivo, oppure revocare l’accesso

Prima della rimozione, controllare il profilo interessato e il suo contenuto in Settings > General > VPN & Device Management. Confermare l’opzione di rimozione proposta solo per il profilo VPN identificato senza ambiguità e dopo l’approvazione. Apple avverte che la rimozione di un profilo può eliminare anche le impostazioni, le app e i dati associati. Non eliminare quindi un profilo di gestione condiviso pensando di effettuare una semplice pulizia della VPN. Se la rimozione è bloccata, la revoca deve essere eseguita tramite la gestione del dispositivo.

Dopo la revoca, verificare che il profilo non sia più presente e che non sia possibile stabilire una nuova connessione. In caso di perdita del dispositivo o uscita dell’utente dall’organizzazione, revocare anche lato server le autorizzazioni dell’utente o del gruppo, terminare le sessioni VPN esistenti e chiarire con l’amministratore come gestire eventuali chiavi o certificati esposti. Eliminare soltanto il file locale non revoca alcuna autorizzazione VPN. Anche le copie del profilo nei download e nei backup devono rientrare nella procedura di revoca.