Configurare l'accesso remoto SSL VPN su Sophos Firewall

L’accesso remoto SSL VPN si configura su Sophos Firewall in Remote access VPN > SSL VPN. Per garantire un accesso sicuro, devono essere coerenti sei componenti:

Assegnare utenti o gruppi a una policy SSL VPN.
Configurare a livello globale protocollo, certificato, gateway, intervallo di indirizzi e DNS.
Scegliere consapevolmente Split Tunnel o Use as default gateway.
Consentire il traffico dalla zona VPN con regole firewall restrittive.
Proteggere VPN Portal, autenticazione, MFA e Device Access.
Distribuire un profilo .ovpn aggiornato o, su Windows, un file di provisioning .pro, quindi verificare sia gli accessi consentiti sia quelli negati.

⚠️ SSL VPN è un punto di ingresso accessibile pubblicamente. MFA e password complesse non sostituiscono gruppi di utenti limitati, Local Service ACLs, regole firewall, profili aggiornati, log e revisioni periodiche.

Questo articolo tratta la configurazione del firewall. L’installazione è descritta separatamente per Windows, macOS, iPhone e iPad, Android e Linux. Per la scelta preliminare tra SSL VPN, IPsec e ZTNA, consultare Sophos Connect o SSL VPN.

Preparare i requisiti e gli oggetti

Prima della configurazione devono essere definiti l’accesso pubblico, gli utenti autorizzati e le destinazioni interne:

una versione SFOS attuale e un client Sophos Connect aggiornato;
un FQDN pubblico o un indirizzo IP pubblico;
certificati per il tunnel SSL VPN e VPN Portal;
utenti o gruppi e server di autenticazione;
un metodo MFA per il portale e il tunnel;
un intervallo di indirizzi SSL VPN che non si sovrapponga ad altre reti;
reti interne di destinazione, server DNS e dominio di ricerca;
la scelta tra Split Tunnel e Full Tunnel;
un processo per distribuire i profili e aggiornare i client.

Le destinazioni interne vengono prima create come host o oggetti di rete:

Hosts and services > IP host

L’esempio seguente utilizza:

LAN_Server: 10.10.10.0/24 per i server interni;
LAN_Client: 10.10.20.0/24, se gli utenti remoti necessitano effettivamente di questa rete client;
DNS_Internal: 10.10.10.10 per il DNS interno o il domain controller;
SSLVPN_Users: gruppo di utenti per Policy members.

Non si devono consentire intere reti interne quando sono sufficienti singoli server o sottoreti. Anche i server DNS richiedono un oggetto chiaramente definito, in modo che il routing e la regola firewall siano successivamente comprensibili.

Configurare le impostazioni globali SSL VPN

Le impostazioni globali si applicano a tutte le policy di accesso remoto SSL VPN e fanno parte della configurazione .ovpn:

Remote access VPN > SSL VPN > SSL VPN global settings

Questi valori vengono utilizzati anche per le connessioni SSL Site-to-Site tra due Sophos Firewall. Quando si modifica la porta, il protocollo, il certificato o Override hostname, occorre quindi verificare sia i profili Remote Access sia i tunnel SSL Site-to-Site esistenti e ridistribuirne le configurazioni.

Protocollo, certificati, gateway e porta

SSL VPN supporta TCP e UDP. In genere UDP è la scelta iniziale più efficiente; TCP può essere utilizzato come alternativa verificata quando reti esterne bloccano UDP. La scelta deve essere provata su reti reali di hotel, operatori mobili o ospiti.

La porta predefinita di SSL VPN è 8443, mentre VPN Portal utilizza per impostazione predefinita 443. Per ogni servizio accessibile pubblicamente, una combinazione univoca di IP WAN, porta e protocollo è la soluzione più chiara.

Sophos utilizza due certificati distinti:

SSL server certificate, nelle impostazioni globali SSL VPN, autentica il server del tunnel.
Il certificato HTTPS di VPN Portal viene selezionato in Administration > Admin and user settings.

Entrambi i certificati devono corrispondere al rispettivo FQDN pubblico utilizzato. Per i certificati emessi da una CA esterna deve essere disponibile anche la catena di certificati necessaria.

Override hostname determina il FQDN o l’indirizzo IP pubblico nel profilo client. È particolarmente importante in presenza di NAT a monte, più interfacce WAN o DDNS. Se il campo rimane vuoto, il profilo può contenere più indirizzi di interfaccia. Sophos Connect assegna la priorità ai gateway DDNS e prova le altre voci in ordine inverso; un FQDN univoco è quindi più semplice da verificare e gestire.

VPN Portal e SSL VPN possono tecnicamente condividere la stessa porta e lo stesso protocollo. In questo caso, tuttavia, le impostazioni di Login Security non funzionano come previsto e VPN Portal diventa accessibile dalle zone abilitate per SSL VPN. WAF deve differire da VPN Portal per IP WAN o porta e da SSL VPN per IP WAN, porta o protocollo. Sophos Firewall WAF descrive ulteriori dipendenze WAF.

Intervallo di indirizzi e DNS

L’intervallo di indirizzi IPv4 deve essere privato e non deve sovrapporsi a reti interne, VPN site-to-site, route statiche, altri pool di accesso remoto o reti domestiche comuni. Sono particolarmente frequenti 192.168.0.0/24, 192.168.1.0/24, 192.168.2.0/24, 10.0.0.0/24 e 10.0.1.0/24.

Per IPv4, SFOS consente qui al massimo una rete /24; non è possibile selezionare reti più piccole come /25. L’accesso non viene limitato mediante un pool artificialmente piccolo, ma tramite la policy e le regole firewall. Nelle regole si utilizzano gli host di sistema ##ALL_SSLVPN_RW e, per IPv6, ##ALL_SSLVPN_RW6.

I server DNS interni vengono inseriti in IPv4 DNS. Domain name contiene il dominio di ricerca che viene aggiunto ai nomi host brevi. Con Split Tunnel, il server DNS o la sua rete deve inoltre essere incluso in Permitted network resources e risultare raggiungibile tramite una regola firewall dalla zona VPN. Con Full Tunnel non serve la route specifica di Split Tunnel, ma la regola firewall rimane necessaria.

Se il firewall stesso funge da resolver DNS, il servizio DNS viene invece consentito per la zona VPN in Administration > Device access. Un test mediante indirizzo IP e uno separato mediante nome host permettono di distinguere un problema di routing da un problema DNS.

IP statici, sessioni simultanee e tempi

Gli indirizzi IP SSL VPN statici sono possibili per casi speciali giustificati, come un’autorizzazione legacy basata su IP, e devono rientrare nel pool configurato. Un utente con un indirizzo IP SSL VPN statico non può tuttavia stabilire più sessioni di accesso remoto simultanee.

Indipendentemente da ciò, Simultaneous logins, in Authentication > Services o direttamente nell’utente locale, limita gli accessi simultanei. Il valore globale si applica solo agli utenti creati successivamente.

Key lifetime controlla il momento del rekey e non rappresenta un timeout di inattività o una durata massima della sessione. Le connessioni inattive vengono gestite tramite le impostazioni globali di inattività e, facoltativamente, mediante Disconnect idle clients nella policy. In caso di disconnessioni impreviste, questi valori, l’assegnazione di IP statici, gli accessi simultanei e i log devono essere verificati separatamente.

Creare la policy SSL VPN

La policy viene creata manualmente o tramite l’assistente:

Remote access VPN > SSL VPN

L’assistente mostra le impostazioni globali solo per la verifica e non consente di modificarle. Crea la policy, imposta l’autenticazione selezionata e Device Access per VPN Portal e SSL VPN, quindi genera la regola firewall. Negli ambienti esistenti, Configure manually è spesso più trasparente:

Selezionare Add > Configure manually.
Inserire, ad esempio, SSLVPN-Remote-Users in Name.
Selezionare il gruppo SSLVPN_Users in Policy members.
Definire Split Tunnel o Use as default gateway.
Con Split Tunnel, selezionare LAN_Server e DNS_Internal come Permitted network resources.
Configurare facoltativamente Disconnect idle clients e Override global timeout.
Salvare e verificare la configurazione con un normale membro del gruppo di destinazione.

Gli utenti e i gruppi guest non possono essere utilizzati come Policy members. Se un utente o un gruppo è già incluso in una policy SSL VPN precedente, SFOS rimuove tale assegnazione dalla policy precedente. Le sovrapposizioni devono quindi essere controllate prima del salvataggio.

Un Override global timeout specifico della policy si applica solo se è inferiore al valore globale di inattività. Un valore superiore non sostituisce il limite globale.

Split Tunnel o Full Tunnel

Con Split Tunnel vengono instradate tramite la VPN solo le reti IPv4 e IPv6 e le destinazioni FQDN supportate selezionate in Permitted network resources. Le destinazioni FQDN sono supportate solo per IPv4. Il restante traffico Internet rimane locale. Ciò riduce il carico del firewall e la latenza, ma richiede una pianificazione precisa delle risorse e del DNS.

Quando cambia l’indirizzo IP di una destinazione FQDN consentita, i tunnel esistenti non vengono aggiornati automaticamente. Gli utenti interessati devono disconnettersi e riconnettersi.

Con Full Tunnel si attiva Use as default gateway. Tutto il traffico dell’utente passa quindi attraverso il firewall. Permitted network resources non viene applicato come limite di accesso. Le destinazioni e i servizi interni devono essere limitati mediante regole firewall; l’accesso IPv4 a Internet richiede inoltre una regola SNAT/MASQ adeguata.

Full Tunnel consente un controllo centralizzato di web, DNS e log, ma aumenta il consumo di banda, il carico del firewall e l’impegno per privacy e supporto. Deve quindi essere testato con applicazioni reali e utenti simultanei.

Regole firewall, Device Access e autenticazione

Regole firewall e DNS

La creazione del tunnel non consente ancora l’accesso alle risorse interne. A tale scopo viene creata una regola:

Rules and policies > Firewall rules

Esempio per Split Tunnel:

Rule name: VPN_SSLVPN_to_Internal_Servers
Action: Accept
Source zone: VPN
Source networks and devices: ##ALL_SSLVPN_RW
Destination zones: LAN
Destination networks: LAN_Server, DNS_Internal
Services: solo i servizi applicativi necessari e DNS
Log firewall traffic: attivato

La regola deve trovarsi al di sopra di regole VPN più ampie. Un test negativo verso una destinazione non consentita mostra se una regola generale posizionata più in basso concede involontariamente l’accesso.

Per IPv4 Full Tunnel si aggiungono una regola da VPN a WAN e una regola SNAT/MASQ adeguata. IPv6 richiede invece un routing IPv6 pianificato e regole firewall IPv6 dedicate. In caso di accesso mancante sono utili Log Viewer, Rule ID e la guida per testare le regole firewall.

VPN Portal, Device Access e MFA

Il portale, i servizi locali e l’autenticazione vengono verificati in sezioni distinte:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Sono necessari almeno:

SSL VPN nelle zone dalle quali deve essere possibile stabilire il tunnel;
VPN Portal solo nelle zone effettivamente necessarie;
DNS nella zona VPN solo se il firewall funge da resolver;
i VPN portal authentication methods appropriati;
i SSL VPN authentication methods appropriati;
MFA per il portale e il tunnel.

Le normali regole firewall non controllano questi servizi locali. Reti di origine più ristrette, singoli indirizzi IP o paesi vengono configurati mediante Local Service ACL Exception Rules. Il processo di protezione completo è descritto in Device Access e Local Service ACL.

I Third-party Threat Feeds possono bloccare anche l’accesso diretto al sistema e ai servizi VPN. In questo modo è possibile bloccare ulteriormente fonti indesiderate note; Threat Feeds su Sophos Firewall ne descrive configurazione e limiti.

VPN portal authentication methods controlla l’accesso al portale e il download del profilo, mentre SSL VPN authentication methods controlla l’accesso al tunnel. WebAdmin è un’interfaccia di amministrazione separata e non deve essere abilitata dalla zona WAN per utilizzare SSL VPN.

Con Microsoft Entra ID deve essere selezionato lo stesso server Entra per VPN Portal e SSL VPN. La configurazione completa è descritta in Microsoft Entra ID SSO per Sophos Connect.

VPN Portal non supporta l’autenticazione RADIUS con Challenge MFA. Anche Sophos Connect non supporta un challenge OTP, ma invia insieme password e OTP; sono supportati i metodi Call e Push. Il metodo scelto deve essere testato con un normale utente pilota. Per ulteriori informazioni, consultare MFA per Sophos Firewall.

Distribuire e aggiornare il profilo client

Quando un file .ovpn viene importato manualmente, le modifiche globali rilevanti per il profilo devono essere scaricate e importate nuovamente. Tra queste rientrano in particolare protocollo, porta, interfaccia, certificato del server e altri valori della configurazione globale SSL VPN. Un aggiornamento di Sophos Connect non sostituisce un profilo obsoleto.

Dopo una modifica di Override hostname o della porta, occorre verificare nel client che il profilo appena importato utilizzi effettivamente il nuovo nome del gateway e la nuova porta.

Dopo modifiche a Policy members, Permitted network resources o all’indirizzo IP di una destinazione FQDN, normalmente è invece sufficiente disconnettersi e riconnettersi. Queste modifiche non richiedono un nuovo download del file .ovpn.

Un file di provisioning .pro è supportato solo su Windows 10 e 11. Scarica automaticamente le configurazioni IPsec e SSL VPN disponibili per l’utente e le modifiche successive. Se cambiano il gateway di provisioning o la porta di VPN Portal, anche il file .pro deve essere adattato e ridistribuito. Durante il primo provisioning, l’accesso può essere richiesto due volte: prima per scaricare i profili e poi per stabilire il tunnel.

Se il file .pro fornisce solo una connessione IPsec o nessuna configurazione SSL VPN, occorre controllare innanzitutto Policy members, l’appartenenza al gruppo, la raggiungibilità di VPN Portal e l’autenticazione.

Dopo l’attivazione o la modifica di Microsoft Entra ID SSO, il client deve utilizzare una configurazione aggiornata. Entra SSO in Sophos Connect è uno scenario Windows a partire dalla versione 2.4 del client.

I nomi dei profili devono essere univoci, le vecchie voci di connessione devono essere rimosse dopo un cambio di gateway o utente e la distribuzione deve essere verificata con un normale utente di destinazione. Per informazioni sulle versioni del client, consultare Aggiornare Sophos Connect in sicurezza.

Testare la configurazione e isolare gli errori

Test di accettazione

Un test completo utilizza un normale utente pilota e una destinazione interna concreta:

L’utente vede esattamente la configurazione SSL VPN prevista in VPN Portal.
Verificare MFA con un fattore corretto e uno errato.
Importare .ovpn o .pro e controllare l’indirizzo assegnato.
Con Split Tunnel, verificare la route verso LAN_Server e DNS_Internal.
Testare la destinazione interna prima tramite indirizzo IP e poi tramite nome host.
Richiamare il servizio consentito e controllare Firewall Rule ID in Log Viewer.
Generare un accesso non consentito e confermare il drop.
Con Full Tunnel, verificare inoltre l’accesso pubblico a Internet, DNS, Web Policy e IPv4-SNAT.
Dopo una modifica della policy o di un FQDN, disconnettersi, riconnettersi e ripetere lo stesso test.

Ogni test deve riportare ora, utente e gruppo, piattaforma e versione del client, rete di origine, destinazione e servizio. Se il test viene eseguito solo con un amministratore, gli errori relativi a gruppi, MFA e policy possono passare facilmente inosservati.

Log per fase dell’errore

Occorre innanzitutto stabilire se l’errore si verifica durante l’accesso al portale, l’autenticazione, la creazione del tunnel o soltanto durante l’accesso alla destinazione:

VPN Portal: vpnportal.log
Autenticazione normale: access_server.log
Microsoft Entra SSO: oauth_sso_vpn.log
Certificati SSL VPN specifici dell’utente: peruser_cert_sslvpn.log
Servizio SSL VPN: sslvpn.log
Connessioni attive: openvpn-status*.log
Traffico verso la destinazione: log del firewall, Rule ID e, se necessario, Packet Capture

In Packet Capture, Incoming dimostra soltanto che il firewall ha ricevuto il pacchetto. Se compare Forwarded ma non arriva alcuna risposta, occorre controllare la route di ritorno, NAT, il sistema di destinazione e il relativo firewall locale.

L’associazione di altri processi e file è descritta in Servizi e log di Sophos Firewall.

Problemi tipici

File .ovpn assente o vuoto nel VPN Portal: Risolvere un download OVPN assente o vuoto distingue gli errori di policy, User ID, certificato, storage, firmware e HA. Gli account guest non sono consentiti. Sophos Connect supporta solo nomi utente ASCII; nome utente e dominio non possono superare complessivamente 51 caratteri.
L’accesso non riesce: confrontare access_server.log, vpnportal.log o oauth_sso_vpn.log con l’ora del test. Con Entra, verificare lo stesso server per il portale e SSL VPN e la catena di certificati completa.
Il tunnel è attivo, ma le destinazioni interne non sono raggiungibili: controllare la route sull’endpoint, Permitted Resources con Split Tunnel, la regola firewall, la route di ritorno, il firewall di destinazione e un’eventuale sovrapposizione con la rete domestica locale.
L’indirizzo IP funziona, il nome host no: controllare server DNS, dominio di ricerca, route Split Tunnel, regola firewall DNS, DoH locale o DNS dell’endpoint e, se necessario, Device Access per DNS.
Sono interessati solo alcuni utenti: confrontare appartenenza al gruppo, assegnazione della policy, MFA, IP statico, Simultaneous logins e profilo caricato.
Sono interessati solo i client meno recenti: importare un file .ovpn aggiornato dopo modifiche globali. Se sono cambiati solo la policy o un FQDN, riconnettersi prima e controllare il routing caricato.
Full Tunnel senza Internet: controllare la regola da VPN a WAN, IPv4-SNAT, DNS e le Web/Security Policies applicate.
I trasferimenti di grandi dimensioni si bloccano: se gli accessi di piccole dimensioni funzionano, controllare MTU e MSS lungo il percorso effettivo. Per la procedura, consultare MTU e MSS per problemi VPN.
La connessione termina dopo un periodo prolungato: confrontare l’ora di inizio e di interruzione con Idle Timeout, Disconnect idle clients e Key Lifetime. Controllare IP statico e Simultaneous logins; se necessario, assegnare dinamicamente un indirizzo a un utente pilota e analizzare sslvpn.log e openvpn-status*.log all’ora del test.
Nessun utente riesce a stabilire il tunnel: oltre a Device Access e all’apertura della porta, cercare una regola DNAT ampia con Original destination: Any e Services: Any, oppure con la porta SSL VPN, che intercetta in precedenza l’avvio della connessione.
WAF, il portale o SSL VPN sono in conflitto: confrontare IP WAN, porta e protocollo di tutti i servizi locali e delle regole WAF. Le combinazioni condivise possono causare un’ulteriore esposizione del portale o impedire il funzionamento di Login Security.

Durante il funzionamento devono essere verificati regolarmente gruppi, MFA, assegnazioni di IP statici, scadenza dei certificati, intervallo di indirizzi, Device Access, regole firewall, distribuzione dei profili e log. Le nuove versioni di SFOS e Sophos Connect devono essere prima collaudate con un utente pilota e con test positivi e negativi verso le destinazioni.