Configurare Sophos Firewall Remote Access su Linux

Per Sophos Firewall Remote Access su Linux, la soluzione più semplice è usare SSL VPN con il normale client OpenVPN. Sophos Connect non è disponibile per Linux. Il file .ovpn viene scaricato dal VPN Portal e usato dal terminale oppure tramite NetworkManager.

L’alternativa IPsec spesso citata in precedenza con NetworkManager-strongSwan non è adatta all’attuale configurazione di Sophos Firewall: in SFOS 22, Remote access VPN > IPsec accetta solo profili IKEv1, mentre il plugin NetworkManager-strongSwan supporta esclusivamente IKEv2.

⚠️ Non installare un «Sophos Connect per Linux» non ufficiale e non convertire il profilo Remote Access di SFOS a IKEv2 per seguire questa guida. Il seguente metodo OpenVPN è il percorso Linux documentato da Sophos.

Per altri dispositivi sono disponibili guide dedicate: Sophos Connect su Windows e Sophos Connect su macOS, oltre a SSL VPN su iPhone e iPad e SSL VPN su Android.

Prerequisiti

• Su Sophos Firewall è configurata una policy Remote Access SSL VPN.
• L’utente o il suo gruppo è assegnato a questa policy.
• Una regola firewall adatta consente il traffico necessario dalla zona VPN.
• L’utente può raggiungere il VPN Portal ed effettuare l’accesso.
• Sul sistema Linux sono disponibili diritti sudo locali per installare i pacchetti e avviare OpenVPN.
• Se l’MFA è attiva, l’accesso funziona includendo il codice di verifica.

La configurazione lato firewall è descritta in Configurare Sophos Firewall SSL VPN Remote Access. Se in seguito il file .ovpn non è disponibile nel VPN Portal, è di 0 byte o contiene solo un messaggio di errore, Sophos Firewall: file .ovpn assente o da 0 byte guida la verifica di policy, utente, certificato e sistema.

Configurare SSL VPN con OpenVPN

1. Installare OpenVPN

Su Debian e Ubuntu, il client OpenVPN si installa così:

sudo apt install openvpn

Anche altre distribuzioni forniscono il pacchetto tramite il proprio gestore di pacchetti. Per la gestione grafica in GNOME si può installare anche il plugin NetworkManager-OpenVPN:

sudo apt install network-manager-openvpn-gnome

Questo plugin non va confuso con network-manager-strongswan. Importa il file .ovpn e usa OpenVPN.

2. Scaricare la configurazione OpenVPN

1. Aprire nel browser il VPN Portal di Sophos Firewall.
2. Accedere con l’utente VPN.
3. In VPN > VPN configuration, fare clic su Download configuration for Windows, macOS, Linux.
4. Se sono disponibili più varianti OpenVPN, scegliere la configurazione adatta al client installato.
5. Scaricare il file .ovpn e conservarlo in modo sicuro.

Il file può contenere certificati e dati di connessione specifici dell’utente. Non deve essere distribuito tramite e-mail non cifrate o archivi pubblici.

3. Avviare la connessione dal terminale

Passare alla directory contenente il file e avviare OpenVPN. Esempio con il nome file sophos-vpn.ovpn:

chmod 600 sophos-vpn.ovpn
sudo openvpn --config sophos-vpn.ovpn

OpenVPN richiede nome utente e password e, se necessario, il codice MFA. La connessione viene eseguita in primo piano. Se il terminale viene chiuso o il processo viene terminato con Ctrl+C, anche il tunnel viene disconnesso.

4. Importare la connessione in NetworkManager

1. Aprire le impostazioni di rete.
2. Aggiungere una nuova connessione VPN e scegliere Import from file.
3. Selezionare il file .ovpn scaricato.
4. Salvare il nome utente, se appropriato per il modello operativo.
5. Avviare la connessione e inserire la password e, se necessario, il codice MFA.

Nell’uso quotidiano, NetworkManager è più pratico rispetto a un terminale sempre aperto. Tuttavia, con un accesso interattivo o l’MFA, un avvio automatico non presidiato non è possibile senza ulteriori accorgimenti. Le credenziali non devono essere salvate in un file non protetto solo per ottenere l’avvio automatico.

Perché NetworkManager-strongSwan non è adatto

In SFOS 22, Sophos consente per Remote access VPN > IPsec solo profili IKEv1 nei quali Dead Peer Detection è disattivato o impostato su Disconnect. Il plugin NetworkManager-strongSwan stabilisce invece solo connessioni IKEv2. Per questo motivo i due endpoint non possono negoziare un tunnel con la procedura descritta in precedenza.

Il software strongSwan continua ad avere funzionalità IKEv1, ma non si tratta dello stesso percorso grafico del plugin NetworkManager. Una configurazione IKEv1 manuale richiede parametri, autenticazione, Traffic Selector e una configurazione client testata adeguati. Senza una configurazione di destinazione affidabile, non si dovrebbe adottare un esempio generico trovato su Internet.

Sophos indica come possibilità per IPsec su Linux un client di terze parti compatibile. Il file .tgb esportato, tuttavia, non contiene tutte le impostazioni avanzate della configurazione Sophos Connect e non può essere importato semplicemente come profilo IKEv2 in NetworkManager. Se IPsec è indispensabile, il client scelto deve supportare esplicitamente la connessione IKEv1 del firewall ed essere testato nel proprio ambiente. Per la scelta di base è utile Sophos Connect o SSL VPN: quale soluzione Remote Access è adatta?.

Verificare la connessione

Dopo aver stabilito la connessione, non basta controllare lo stato del client. È essenziale verificare che route, DNS e regola firewall siano adatti alla destinazione desiderata.

Questi comandi Linux sono di sola lettura. Nell’esempio, 10.20.30.40 deve essere sostituito con una destinazione interna consentita:

ip addr show
ip route get 10.20.30.40
getent hosts intranet.example.net

Risultati attesi:

• OpenVPN segnala una connessione riuscita ed è presente un’interfaccia tunnel.
• Il controllo della route mostra per la destinazione interna il percorso VPN invece del normale gateway Internet.
• Il controllo DNS restituisce l’indirizzo interno, se la policy VPN distribuisce server DNS interni.
• Un servizio interno consentito è raggiungibile; una destinazione intenzionalmente non consentita rimane bloccata.
• Nel Log Viewer del firewall compare il traffico di test proveniente dalla zona VPN con la regola prevista.
• Dopo un nuovo accesso, il codice MFA viene richiesto nuovamente come previsto.

Se il tunnel è attivo ma il traffico non passa, è utile Testare una regola firewall con Log Viewer, Policy Test e Packet Capture.

Errori comuni

• Nessuna configurazione Linux nel VPN Portal: l’utente o il gruppo non è assegnato a una policy Remote Access SSL VPN. Verificare la policy e l’accesso al portale.
• OpenVPN segnala un errore di autenticazione: verificare nome utente, password, procedura MFA, appartenenza al gruppo e metodo di autenticazione selezionato.
• Il tunnel è attivo, ma le destinazioni interne restano irraggiungibili: verificare le reti consentite dalla policy SSL VPN, la regola firewall da VPN alla zona di destinazione e la route verso la rete interna.
• Gli indirizzi IP funzionano, ma i nomi interni no: controllare i server DNS distribuiti, il dominio di ricerca e la raggiungibilità del server DNS interno.
• Terminale chiuso e connessione persa: è normale con l’esecuzione diretta di openvpn --config. Per la gestione grafica, importare il file .ovpn in NetworkManager.
• NetworkManager non offre l’importazione di file: manca il plugin NetworkManager-OpenVPN oppure il servizio NetworkManager non ha ancora caricato il plugin appena installato.
• Il vecchio file .ovpn non funziona più: scaricare nuovamente il file dopo modifiche al protocollo SSL VPN, al certificato server SSL o alla CA, a Override hostname oppure alla porta SSL VPN.
• NetworkManager-strongSwan non si connette: non passare a IKEv2. Il plugin non è compatibile con il profilo Remote Access IKEv1 di Sophos Firewall.
• È stato trovato un presunto client Sophos Connect per Linux: non installarlo senza verifica. Sophos non fornisce un client Linux ufficiale.

FAQ