Sophos Firewall: file .ovpn assente o da 0 byte

Quando Sophos Firewall VPN Portal non fornisce un file .ovpn utilizzabile, occorre innanzitutto identificare il sintomo esatto. Tre casi possono sembrare simili, ma hanno cause diverse:

Il download non è presente: nella maggior parte dei casi, l’utente non è assegnato a una policy SSL VPN adeguata oppure non si applica l’appartenenza al gruppo prevista.
Il download è visibile, ma il file è di 0 byte o contiene solo un messaggio di errore: la generazione o la distribuzione del profilo non è riuscita. Diventano quindi rilevanti la generazione dei certificati, i log, la versione del firmware e, in caso di HA, il nodo attivo.
Il file non è vuoto, ma una connessione esistente non funziona più: normalmente non si tratta di un errore di download. Dopo modifiche a Protocol, SSL server certificate, Override hostname o Port, occorre importare un profilo aggiornato.

Questa distinzione evita interventi inutili. In particolare, non si deve rinnovare la Default CA sulla base di un sospetto né eseguire vecchi comandi di riparazione provenienti da articoli della Community.

Classificare il sintomo nel VPN Portal

Per il primo controllo, accedere al VPN Portal con l’utente interessato e aprire VPN > VPN configuration. Documentare quindi separatamente quattro risultati: portale raggiungibile, accesso riuscito, voce SSL VPN visibile e dimensione del file scaricato.

Il confronto con un utente di riferimento funzionante della stessa policy SSL VPN fornisce le informazioni più significative:

Annotare l’ora esatta del test e il nome dell’utente interessato.
Verificare se il download SSL VPN compare in VPN configuration.
Scaricare il file e controllarne la dimensione nel sistema operativo.
Ripetere la stessa procedura con un utente sicuramente funzionante.
Annotare se l’errore interessa un solo utente, un gruppo o tutti gli utenti.

Se l’utente di riferimento funziona, è più probabile che la causa riguardi l’assegnazione della policy, il gruppo, la User ID o la generazione del certificato per il singolo utente. Se il download non riesce per tutti, diventano più probabili il certificato SSL VPN condiviso, lo storage, i pattern, il firmware e, in caso di HA, il nodo attivo.

Un file .ovpn può contenere certificati e materiale delle chiavi. Il suo contenuto non deve essere incluso in screenshot, e-mail o ticket di supporto. Per la diagnosi sono sufficienti nome e dimensione del file, ora e messaggio di errore visibile.

Se già l’accesso al portale o il login non riesce, il problema si verifica prima della generazione del profilo. Occorre quindi verificare Administration > Device access, l’autenticazione del VPN Portal e vpnportal.log o access_server.log. Configurare SSL VPN Remote Access descrive la configurazione completa del firewall.

Quando il file .ovpn è completamente assente

Il firewall mostra le configurazioni SSL VPN solo agli utenti assegnati a una policy Remote Access SSL VPN. Un accesso riuscito al portale non dimostra da solo questa autorizzazione.

Verificare la policy e l’appartenenza al gruppo

Aprire Remote access VPN > SSL VPN.
Modificare la policy prevista.
In Policy members, verificare se è presente l’utente o il gruppo a cui appartiene effettivamente.
In Authentication > Users o Authentication > Groups, ricontrollare l’appartenenza al gruppo.
Accedere nuovamente al VPN Portal con l’utente interessato e riaprire VPN configuration.

Un utente può accedere correttamente grazie a un’altra autorizzazione del portale e non ricevere comunque alcuna configurazione SSL VPN. Gli utenti e i gruppi guest non sono Policy members validi per Remote Access SSL VPN. Quando gli stessi utenti o gruppi diretti vengono assegnati a più policy, Sophos Firewall li rimuove dalla policy precedente al salvataggio di quella più recente. È quindi necessario verificare i Policy members effettivamente rimasti ed eventuali sovrapposizioni nell’appartenenza ai gruppi.

Sono interessati solo utenti nuovi o specifici

Conviene controllare anche la User ID interna in Authentication > Users > Show additional properties. Sophos Firewall supporta ID di utenti e gruppi solo fino a 65535. Un ID superiore può impedire il download; Limite User ID di Sophos Firewall descrive la verifica e la pulizia in sicurezza.

Un accesso dimostrabilmente riuscito al VPN Portal indica che il limite User ID non è probabilmente la causa principale. Resta tuttavia determinante l’ID visibile dell’account interessato, non il numero di utenti nell’elenco.

È inoltre necessario verificare la presenza di caratteri speciali nel nome utente e nei campi Subject del certificato e della CA. Per questa procedura, Sophos raccomanda nomi utente ASCII e nessun carattere UTF-8 nei campi del certificato o della CA. Il nome utente viene utilizzato nel nome del file .ovpn e nel certificato generato per ciascun utente. Un utente di test funzionante con un semplice nome ASCII aiuta a circoscrivere il problema; a questo scopo non si devono rinominare spontaneamente le identità AD o Entra di produzione.

Quando il download è di 0 byte o non viene generato

Un file vuoto indica che il link di download esiste, ma la generazione o la distribuzione non ha prodotto una configurazione utilizzabile. Sophos indica come possibile causa configurazioni incomplete del certificato o della CA. Prima di rigenerare qualsiasi elemento, occorre salvare i log e lo stato del sistema.

Salvare i log all’ora esatta del test

In Diagnostics > Tools > Troubleshooting logs, è possibile scaricare i file rilevanti senza accedere all’Advanced Shell. A seconda della fase in cui si verifica l’errore, sono importanti:

vpnportal.log per la richiesta nel VPN Portal;
access_server.log per l’autenticazione normale;
oauth_sso_vpn.log con Microsoft Entra ID SSO;
peruser_cert_sslvpn.log per la generazione del certificato specifico dell’utente;
vpncertificate.log per certificati e Certificate Authorities;
sslvpn.log per il servizio SSL VPN.

I log vengono filtrati in base all’ora del test e al nome utente annotati in precedenza. Se il portale e l’autenticazione funzionano, ma peruser_cert_sslvpn.log mostra un errore alla stessa ora, il certificato e la CA rappresentano il successivo controllo utile. Se l’errore interessa tutti gli utenti solo da un upgrade o da un failover HA, occorre documentare anche la versione del firmware, il nodo attivo e l’ora del cambio di ruolo. Servizi e log di Sophos Firewall spiega come classificare altri file.

Verificare lo storage temporaneo

Anche una partizione temporanea piena può impedire la generazione del profilo. Dopo aver effettuato l’accesso SSH a Sophos Firewall, aprire 5 Device Management > 3 Advanced Shell e visualizzare lo spazio disponibile:

df -kh /tmp

I valori determinanti sono Avail e Use% per il file system in cui si trova /tmp. Se non rimane praticamente più spazio, non si devono eliminare manualmente file sconosciuti. Occorre invece salvare i log e lo stato del sistema e individuare il processo che utilizza lo storage. Sophos ha già corretto con NC-142397 un precedente problema in cui SSL VPN riempiva la partizione /tmp. L’ID del bug è quindi un’indicazione relativa alla versione, ma non una diagnosi automatica per le build attuali.

Verificare il certificato SSL VPN e la Signing CA

In Remote access VPN > SSL VPN > SSL VPN global settings, il campo SSL server certificate indica quale certificato utilizza il firewall per il tunnel SSL VPN. Questo certificato non deve essere confuso con il certificato HTTPS del VPN Portal in Administration > Admin and user settings.

Distinguere correttamente la durata dei certificati pubblici

La riduzione annunciata della durata dei certificati TLS pubblicamente attendibili fino a 47 giorni non riguarda automaticamente i certificati X.509 per utente incorporati nel file .ovpn. Per impostazione predefinita sono firmati dalla CA interna di SFOS e non fanno parte della Web PKI pubblica. Non sono quindi necessari download mensili del profilo né il passaggio a una CA pubblica.

Il certificato HTTPS del VPN Portal e l’SSL server certificate del tunnel mantengono ruoli distinti. Il certificato del portale deve essere rinnovato in tempo perché protegge un servizio accessibile dal browser; un certificato Let’s Encrypt con rinnovo automatico può essere adatto. Una modifica a Protocol, SSL server certificate, Override hostname o Port diventa comunque affidabile solo dopo aver scaricato e importato un nuovo file .ovpn. Questa distinzione evita di ricostruire inutilmente la PKI SSL VPN interna a causa di durate pubbliche più brevi.

Verificare quindi quanto segue in Certificates > Certificates e Certificates > Certificate authorities:

Il certificato server SSL selezionato è presente e ancora valido?
La CA emittente è presente e attendibile?
Per un certificato esterno, è stata importata l’intera catena di Intermediate CA e Root CA?
L’ora dell’errore coincide con una modifica del certificato, un restore o una migrazione?

Per impostazione predefinita, il firewall utilizza l’ApplianceCertificate integrato, firmato dalla Default CA. Questo spiega la normale dipendenza, ma non dimostra ancora quale oggetto certificato causi l’errore specifico. In particolare, un errore in peruser_cert_sslvpn.log non deve essere interpretato automaticamente come un ApplianceCertificate difettoso.

In caso di file da 0 byte, Sophos raccomanda di verificare la Signing CA effettivamente utilizzata e il certificato interessato che questa ha generato. La riparazione concreta varia tuttavia a seconda del certificato:

ApplianceCertificate: Sophos documenta l’azione Regenerate in Certificates > Certificates solo per questo certificato integrato. Deve essere utilizzata solo se ApplianceCertificate è selezionato come certificato server SSL e un messaggio di log o Sophos Support conferma che è interessato.
Certificato server SSL esterno: Verificare certificato, chiave privata, Intermediate CA e Root CA come una catena coerente e, in presenza di un messaggio di errore probante, reimportarli in modo controllato. In questo caso non esiste un passaggio Regenerate universale.
Certificato SSL VPN specifico dell’utente: Un errore in peruser_cert_sslvpn.log non riguarda automaticamente il certificato server SSL. Sophos non documenta attualmente una procedura generale nell’interfaccia per ripristinare questo certificato utente. I log salvati vengono quindi trasmessi a Sophos Support; le vecchie istruzioni per la shell o il database non vengono adottate.

Una volta identificato chiaramente l’oggetto interessato, eseguire la riparazione in modo controllato:

Creare un backup del firewall aggiornato.
Documentare il certificato server SSL selezionato, la CA emittente, il messaggio di log specifico e i servizi che lo utilizzano.
Eseguire l’azione appropriata tra i tre casi durante una finestra di manutenzione; se il caso non è chiaro, inoltrarlo a Sophos Support.
Scaricare un nuovo .ovpn per un utente pilota, importarlo e testare il tunnel.
Solo dopo un test pilota riuscito, distribuire i nuovi profili a tutti gli utenti interessati e verificare gli altri servizi coinvolti.

⚠️ Non modificare invece la Default CA sulla base di un semplice sospetto. Il salvataggio rigenera questa CA. Ciò può influire su un numero di certificati e relazioni di trust molto maggiore rispetto al singolo certificato server SSL VPN. Rinnovare in modo controllato la Default CA di Sophos Firewall spiega inventario, finestra di manutenzione, migrazione dei profili e ripristino.

Verificare pattern, firmware e HA

In Backup & firmware > Pattern updates, i componenti installati automaticamente devono mostrare un timestamp aggiornato e Success. Un singolo download manuale mediante Update pattern now è utile se è visibile un errore di pattern; i clic ripetuti non sostituiscono la diagnosi. Configurare e verificare i Pattern Updates descrive la procedura completa.

Anche la build esatta del firmware rientra nella valutazione. Sophos elenca NC-149642 — gli utenti non potevano scaricare la configurazione SSL VPN dal VPN Portal — tra i problemi risolti in SFOS 21.0 MR2 Build 349 e SFOS 22.0 GA Build 411. Altre correzioni precedenti riguardavano i download dopo upgrade o failover HA. L’ID di un bug storico non dimostra la causa attuale, ma evidenzia perché una build obsoleta debba essere confrontata con le release notes prima di interventi più profondi. Un update deve essere pianificato e non improvvisato durante il troubleshooting in corso; vedere Aggiornare il firmware SFOS di Sophos Firewall.

In un cluster HA, annotare il ruolo, il nodo attivo e l’ora dell’ultimo failover. Se l’errore è comparso solo dopo un cambio di ruolo, salvare i log VPN e HA del nodo interessato. Non riparare manualmente directory interne, voci del database o link simbolici in /content/sslvpn. Tali interventi devono essere inoltrati a Sophos Support insieme al problema documentato.

Quando il file esiste ma non è aggiornato

Un file .ovpn non vuoto può essere stato generato correttamente, ma non corrispondere più allo stato attuale del firewall. Dopo modifiche a Protocol, SSL server certificate, Override hostname o Port, occorre scaricare nuovamente il file e importarlo nel client. Se Override hostname è vuoto, nel profilo possono comparire gli indirizzi delle interfacce abilitate; anche in questo caso è necessario scaricare nuovamente un profilo modificato.

Le modifiche a Policy members o Permitted network resources, invece, richiedono normalmente solo una nuova connessione. Un file di provisioning .pro scarica automaticamente la configurazione disponibile; durante la diagnosi, occorre comunque verificare separatamente se il download manuale del file .ovpn funziona.

Con Microsoft Entra ID SSO, in Authentication > Services si seleziona lo stesso server Entra ID per VPN portal authentication methods e SSL VPN authentication methods. Successivamente occorre scaricare di nuovo il file .ovpn. Se un file .pro effettua anche il provisioning IPsec, bisogna verificare anche VPN (IPsec/dial-in/L2TP/PPTP) authentication methods con lo stesso server. Microsoft Entra ID SSO per Sophos Connect e VPN Portal descrive la dipendenza completa.

Verificare il risultato e inoltrare correttamente il caso

L’errore si considera risolto solo quando la stessa procedura funziona completamente con un normale utente pilota:

L’accesso al VPN Portal riesce.
La voce SSL VPN prevista è visibile in VPN configuration.
Il file .ovpn scaricato non è vuoto e non contiene messaggi di errore.
Il nuovo profilo può essere importato nel client previsto.
Il tunnel viene stabilito e riceve un indirizzo dal pool SSL VPN previsto.
Una destinazione interna consentita funziona tramite indirizzo IP e nome host.
Una destinazione intenzionalmente non consentita rimane bloccata.

Se la generazione continua a non funzionare con una versione firmware aggiornata, il pacchetto di supporto deve includere almeno modello, build del firmware, ruolo HA, ora dell’errore, utente e gruppo, policy interessata, dimensione del file, messaggio di errore visibile, modifiche recenti e i log indicati. Il file .ovpn vero e proprio non deve essere allegato. Per un caso riproducibile, queste evidenze sono più utili di modifiche rischiose ai file interni.