Sophos Firewall SSL VPN Configura l'accesso remoto

SSL VPN rimane un importante percorso di accesso remoto, soprattutto quando gli utenti lavorano da hotel, WLAN ospiti, reti cellulari o reti restrittive di terze parti. Ma non è importante solo se il tunnel sarà costruito. Ciò che conta è se il firewall limita correttamente l’accesso, se il DNS funziona, se MFA funziona e se le regole del firewall consentono il traffico dalla zona VPN in modo controllato.

L’articolo descrive la configurazione lato firewall dell’accesso remoto SSL VPN su Sophos Firewall. Per l’installazione del client, Configura Sophos SSL VPN con Sophos Connect su Windows, Configura Sophos SSL VPN con Sophos Connect su macOS, Configura Sophos SSL VPN su iPhone e iPad e Configura Sophos SSL VPN su Android.

Per la decisione di base tra IPsec, SSL VPN, client mobili e ZTNA, Sophos Connect o SSL VPN: quale soluzione di accesso remoto è adatta? è la prima scelta.

Quale articolo SSL-VPN è adatto?

SSL VPN comprende la configurazione del firewall, il portale, il client, l’autenticazione e la successiva analisi degli errori. A seconda del compito, è appropriato un approccio diverso:

• Configura SSL VPN sul firewall: Questo articolo
• Fondamentalmente confronta Sophos Connect o SSL VPN: Sophos Connect o SSL VPN: quale soluzione di accesso remoto è giusta?
• Mantenere le versioni e i profili client di Sophos Connect: Verifica la versione del client Sophos Connect e aggiornalo in sicurezza
• Configura il client SSL-VPN su Windows: Configura Sophos SSL VPN con Sophos Connect su Windows
• Configura SSL VPN su macOS, iOS o Android: macOS, iPhone/iPad o Android
• Utilizza Microsoft Entra ID SSO o Entra-MFA: Configura l’SSO Microsoft Entra ID per Sophos Connect e VPN Portal
• VPN è connesso ma il traffico non funziona: Testare la regola firewall con Log Viewer, Policy Test e Packet Capture
• I trasferimenti di grandi dimensioni si bloccano o le singole applicazioni non vengono caricate Sophos Firewall Controllare MTU e MSS per problemi VPN

Questa separazione è importante: un problema utente in VPN Portal, un profilo .ovpn obsoleto, una regola firewall mancante e un problema DNS spesso sembrano uguali all’utente. Per l’analisi, questi livelli devono essere separati.

Immagine di destinazione

Una struttura SSL-VPN pulita è composta da diversi elementi costitutivi:

1. Gli utenti o i gruppi sono autorizzati nella policy SSL VPN corretta.
2. Le impostazioni globali SSL VPN definiscono gateway, porta, certificato, Lease-Bereich, DNS e crittografia.
3. VPN Portal è accessibile solo quanto necessario e protetto con MFA.
4. Le regole del firewall consentono il traffico dalla zona VPN solo alle destinazioni richieste.
5. Split Tunnel o Full Tunnel è deciso deliberatamente.
6. I client importano un profilo .ovpn corrente.
7. I registri, Packet Capture e i dati di supporto possono essere valutati in caso di errore.

Molti problemi SSL VPN sorgono perché viene documentato solo il download del client. In pratica, tuttavia, è necessario considerare insieme portale, autenticazione, policy SSL-VPN, regola firewall, DNS e NAT.> ⚠️ SSL VPN è un punto di ingresso accessibile al pubblico. MFA e password complesse sono importanti, ma non sostituiscono i limiti su Device access, gruppi di utenti ristretti, profili attuali, registrazione e revisioni regolari.

⚠️ Le modifiche a gateway, porta, certificato, DNS, Lease-Bereich o policy non finiscono automaticamente nei profili client già importati. Dopo modifiche rilevanti, il file .ovpn deve essere scaricato nuovamente, distribuito e sostituito sui client.

Requisiti

Prima della configurazione è opportuno chiarire questi punti:

• Sophos Firewall con la versione attuale SFOS.
• Accessibilità pubblica del firewall o port forwarding upstream.
• FQDN o indirizzo IP pubblico per l’accesso VPN.
• Certificato per VPN Portal e SSL VPN, che idealmente corrisponde all’FQDN.
• Utenti o gruppi per l’accesso remoto.
• Server di autenticazione: locale, Active Directory, RADIUS o Microsoft Entra ID.
• Concetto MFA/OTP per VPN Portal e accesso remoto.
• Reti di destinazione interne, server DNS e dominio di ricerca.
• Optare per Split Tunnel o Full Tunnel.
• Regole firewall per il traffico proveniente dalla zona VPN.
• Processo per l’aggiornamento del client e la ridistribuzione del file .ovpn.

Se si intende utilizzare Microsoft Entra ID SSO, l’autenticazione deve essere preparata correttamente prima di scaricare la configurazione VPN. Il processo è in Configurazione di Microsoft Entra ID SSO per Sophos Connect e VPN Portal.

1. Preparare gli oggetti locali

Innanzitutto, le reti di destinazione dovrebbero esistere come host o oggetti di rete:

Hosts and services > IP host

Oggetti tipici:

• LAN_Server: 10.10.10.0/24. server interni
• LAN_Client: 10.10.20.0/24. Rete cliente, se necessario
• DNS_Internal: 10.10.10.10. DNS interno o controller di dominio
• SSLVPN_Users: Gruppo utenti. Membri politici

Non si dovrebbero liberare semplicemente intere aree di rete interne se sono necessari solo singoli server o sottoreti. Quanto più rigorosamente vengono definiti gli oggetti, tanto più semplice risulterà in seguito la regola del firewall.

2. Controlla le impostazioni globali SSL-VPN

Le impostazioni globali si applicano a tutti i criteri SSL VPN di accesso remoto:

Remote access VPN > SSL VPN > SSL VPN global settings

Protocollo e porta

SSL VPN può utilizzare TCP o UDP a seconda della configurazione. UDP è spesso più efficiente, TCP può funzionare meglio in reti restrittive. La decisione dovrebbe essere testata sulle reti da cui effettivamente lavorano gli utenti.

Quando si tratta di porti, bisogna evitare sovrapposizioni:

• SSL VPN La porta predefinita è spesso 8443.
• VPN Portal utilizza 443 per impostazione predefinita nelle attuali versioni SFOS.
• Le regole WAF e SSL VPN non possono sovrapporsi sullo stesso IP WAN con la stessa porta e lo stesso protocollo.
• Se SSL VPN e VPN Portal utilizzano la stessa porta, le funzioni di sicurezza dell’accesso non possono funzionare come previsto.

Se WAF, VPN Portal, User Portal e SSL VPN vengono utilizzati sullo stesso IP WAN, è necessario documentare consapevolmente la porta, il protocollo e il certificato. Per le nozioni di base di WAF è adatto Sophos Firewall Configura WAF ed evita errori tipici.

Certificato e sovrascrivi il nome host

È necessario utilizzare un certificato che corrisponda all’FQDN pubblico in Certificato del server SSL. Un errore di certificato nel profilo VPN Portal o SSL VPN porterà successivamente a casi di supporto non necessari. In Override hostname si specifica quale nome host o indirizzo IP i client utilizzano nel profilo .ovpn. Ciò è particolarmente importante per:

• più indirizzi IP WAN,
• router a monte,
• NAT o port forwarding davanti al firewall,
• WAN-IP dinamico con DDNS,
• FQDN separati per WebAdmin, VPN Portal e SSL VPN.

Se il campo viene lasciato vuoto, nel profilo possono finire più indirizzi di interfaccia. Può funzionare, ma negli ambienti di produzione spesso è meno chiaro di un FQDN pulito.

Dopo aver modificato l’hostname di override, devi scaricare un nuovo profilo e verificare se il client ha davvero il nuovo FQDN o il nuovo indirizzo IP pubblico. Altrimenti potresti finire per testare la vecchia connessione anche se la configurazione del firewall è già corretta.

Lease-Bereich

Sophos Firewall assegna gli indirizzi client SSL VPN dallo Lease-Bereich configurato. Quest’area non deve entrare in collisione con reti interne, percorsi statici, VPN da sito a sito o aree tipiche della rete domestica.

Dovresti evitare sottoreti particolarmente comuni come:

• 192.168.0.0/24
• 192.168.1.0/24
• 192.168.2.0/24
• 10.0.0.0/24
• 10.0.1.0/24

Quando lo Lease-Bereich entra in collisione con la rete domestica di un utente, il tunnel a volte si connette correttamente, ma le destinazioni interne rimangono inaccessibili. Questo sembra quindi un problema di regole del firewall, ma è un problema di routing sull’endpoint.

Per le regole del firewall è necessario utilizzare gli host di sistema ##ALL_SSLVPN_RW e per IPv6 ##ALL_SSLVPN_RW6, non gli host ricreati manualmente con i vecchi Lease-Bereich.

Indirizzi IP SSL VPN statici e durata della chiave

Gli indirizzi IP statici SSL VPN possono essere utili in singoli casi, ad esempio per l’accesso amministrativo, l’accesso speciale rigorosamente registrato o le applicazioni legacy con approvazione basata su IP. Tuttavia, non sono adatti come standard per tutti gli utenti. Più le assegnazioni sono statiche, più difficile diventa il funzionamento, l’analisi degli errori e le successive migrazioni.

Un caso speciale specifico è documentato nell’elenco dei problemi noti: per SSL VPN con autenticazione locale e IP SSL VPN assegnato staticamente, la riautenticazione potrebbe non riuscire una volta scaduta la durata della chiave. Il firewall può trattare l’indirizzo lease già assegnato come un conflitto. Gli utenti devono quindi riconnettersi manualmente anche se il tunnel precedentemente funzionava. Un tipico valore di durata della chiave è 18000 secondi.

Se un utente deve accedere ripetutamente dopo diverse ore, non dovresti controllare solo MFA, versione del client e regola del firewall. Inoltre, questi punti appartengono all’analisi:

• Viene utilizzata l’autenticazione locale per SSL VPN?
• L’utente dispone di un indirizzo IP SSL VPN statico?
• Il problema si verifica all’incirca dopo la scadenza della durata della chiave?
• Lo stesso utente lavora in modo più stabile con l’assegnazione IP dinamica?
• È davvero necessario un IP statico o è sufficiente una regola relativa al gruppo utenti, all’host del sistema SSL-VPN e alla registrazione?

Sophos cita due contromisure pragmatiche: pianificare la durata della chiave in modo che copra la normale giornata lavorativa o utilizzare l’allocazione IP dinamica. In molti ambienti, l’allocazione dinamica è più pulita perché le regole del firewall dovrebbero già essere controllate nella zona VPN, nel gruppo utenti, negli oggetti di destinazione e negli host del sistema SSL VPN.

DNS e nome di dominio

Per la risoluzione interna dei nomi, i server DNS e facoltativamente un nome di dominio vengono impostati nelle impostazioni globali SSL-VPN. Negli ambienti Active Directory si tratta in genere di un server DNS interno o di un controller di dominio.

Inoltre, il DNS dalla zona VPN deve essere consentito in Administration > Device access se il firewall stesso viene utilizzato come risolutore DNS nel progetto VPN.

Se il DNS non funziona nel tunnel, dovresti testare separatamente:

• Il target è raggiungibile tramite indirizzo IP?
• Il server DNS interno è consentito dalla regola del firewall?
• Il cliente riceve il dominio di ricerca corretto?
• Il client utilizza davvero il profilo .ovpn corrente?
• Interviene il DNS locale o la configurazione DoH dell’endpoint?

Per Split Tunnel il DNS dovrebbe essere pianificato con particolare attenzione. Se attraverso il tunnel vengono instradate solo reti di destinazione interne, deve essere chiaro se i nomi interni vengono risolti tramite il server DNS interno e se i nomi pubblici vengono risolti localmente o tramite il firewall. In caso contrario si verificano errori in cui l’accesso IP funziona, ma i nomi host interni si risolvono solo su singoli client.

3. Crea policy SSL VPN

La politica è creata sotto:

Remote access VPN > SSL VPN

Processo:

1. Selezionare Add.
2. Utilizzare Configure manually.
3. Assegnare un nome, ad esempio SSLVPN-Remote-Users.
4. Selezionare gli utenti o i gruppi autorizzati in Membri della policy.
5. Impostare Split Tunnel o Full Tunnel.
6. Per Split Tunnel selezionare Risorse di rete consentite.
7. Configurare facoltativamente Disconnect idle clients.
8. Salvare e quindi verificare con un utente di prova.

Importante: se in una policy SSL-VPN più recente sono registrati utenti o gruppi già inclusi in una policy SSL-VPN precedente, Sophos Firewall rimuove questa associazione dalla policy precedente. Dovresti quindi evitare sovrapposizioni di policy e definire chiaramente quale policy si applica a ciascun gruppo di utenti.

Dopo le modifiche alla politica, un utente normale del gruppo target dovrebbe essere controllato in VPN Portal. Dovrebbe essere visibile esattamente la configurazione SSL-VPN prevista, non diversi vecchi profili o nessuna configurazione. Questo test del portale rivela gli errori di gruppo più rapidamente di un semplice test di amministrazione con diritti speciali.

4. Scegli Split Tunnel o Full Tunnel

Split Tunnel

Con Split Tunnel, solo il traffico verso le risorse interne consentite attraversa il tunnel VPN. Il traffico Internet dell’utente continua direttamente sulla rete locale dell’utente.

Split Tunnel spesso si adatta:

• Accesso ad alcune applicazioni interne,
• ridurre il carico del firewall,
• migliori prestazioni dell’utente,
• località remote più piccole e utenti mobili.

La sicurezza dipende quindi maggiormente dall’endpoint, dall’ambiente di rete locale e dalle risorse interne condivise.

Full Tunnel

Con Full Tunnel, tutto il traffico degli utenti remoti viene instradato attraverso il firewall. In Sophos Firewall ciò corrisponde all’opzione Utilizza come gateway predefinito.

Full Tunnel è più adatto se:

• Il traffico Internet dovrebbe essere controllato a livello centrale,
• Protezione Web, DNS Protection o registrazione dovrebbero applicarsi agli utenti VPN,
• Gli utenti lavorano da reti non sicure,
• La conformità richiede una valutazione centrale.

Per Full Tunnel, la policy SSL VPN da sola non è sufficiente. Sono inoltre necessarie regole firewall e NAT/SNAT per il traffico Internet dalla zona VPN. Dovresti anche testare in anticipo le prestazioni, la larghezza di banda, il filtro web e la registrazione. Full Tunnel non dovrebbe essere attivato solo perché i singoli bersagli Split-Tunnel sono difficili da mantenere. Quando tutto il traffico Internet passa attraverso il firewall, la capacità, il filtraggio web, il DNS, la registrazione, la protezione dei dati e il sovraccarico di supporto diventano parte del progetto.

5. Crea regole firewall per la zona VPN

La realizzazione di un tunnel non significa che il traffico sia consentito. Per accedere alle risorse interne è necessaria una regola firewall adeguata:

Rules and policies > Firewall rules

Regola consigliata per Split Tunnel:

• Nome della regola: VPN_SSLVPN_to_Internal_Servers
• Zona di origine: VPN
• Source networks and devices: ##ALL_SSLVPN_RW
• Destination zones: zone target interne, ad esempio LAN o DMZ
• Destination networks: sono consentiti solo server o sottoreti
• Services: solo servizi necessari
• Registra il traffico del firewall: attivare

Per Full Tunnel è necessaria anche una riga da VPN a WAN o Any, a seconda del modello. Le reti di origine dovrebbero essere ancora gli host del sistema SSL VPN. Occorre poi verificare se esiste una regola SNAT adeguata.

Se c’è una connessione ma l’accesso non funziona, dovresti prima controllare Log Viewer. Test della regola firewall con Log Viewer, Policy Test e Packet Capture è adatto alla metodologia.

Le regole per SSL VPN dovrebbero trovarsi in un gruppo dal nome chiaro, ad esempio VPN Remote Access. Una regola ampia come VPN_to_LAN_Any è conveniente, ma rende difficile la successiva analisi degli errori e spesso consente un accesso maggiore di quanto tecnicamente necessario. Sono migliori regole separate per area target o classe di servizio con registrazione attiva.

6. Proteggi VPN Portal e Device Access

Gli utenti in genere caricano Sophos Connect e il file .ovpn da VPN Portal:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Almeno controlla:

• Porta e certificato VPN Portal.
• Metodi di autenticazione VPN Portal.
• MFA per VPN Portal e accesso remoto.
• Device Access per VPN Portal solo nelle zone richieste.
• Device Access per SSL VPN su zona WAN solo se richiesto esternamente.
• User Portal non aperto permanentemente su WAN quando non in uso.

Per rafforzare i servizi firewall locali, Device Access e Local Service ACL si adattano a Sophos Firewall. Per i prodotti di base MFA si adatta a MFA per Sophos Firewall WebAdmin, VPN Portal e Abilita accesso remoto.

Lo VPN Portal appare utile per gli utenti solo se loro o i loro gruppi sono inclusi in una politica di accesso remoto appropriata. Se manca l’assegnazione dei criteri, l’utente non vedrà i download della configurazione richiesti.

Se VPN Portal o SSL VPN devono essere consentiti nella zona WAN, ciò deve essere deliberatamente documentato. In molti ambienti non è sufficiente aprire il servizio in tutto il mondo e affidarsi a MFA. Ove possibile, dovrebbero essere esaminate le reti fisse, le restrizioni nazionali, i feed delle minacce, il controllo dei registri o una progettazione di accesso remoto a monte.

È importante separare WebAdmin e VPN Portal. WebAdmin è l’interfaccia di amministrazione del firewall. VPN Portal è l’accesso utente per download e profili VPN. Entrambi i servizi non devono essere raggruppati perché presentano rischi, porte, autorizzazioni e destinatari diversi.

7. Distribuisci il profilo del cliente

Dopo la configurazione della policy e del portale, viene distribuito il file .ovpn. Ciò può avvenire tramite VPN Portal o controllato dal processo di amministrazione.

Importante:- Dopo le modifiche a gateway, porta, certificato, DNS, Lease-Bereich, policy o autenticazione, il profilo deve essere ricaricato.

• Un aggiornamento di Sophos Connect non sostituisce un vecchio profilo .ovpn.
• I nomi dei profili devono essere univoci.
• I vecchi profili devono essere rimossi quando si cambia posizione, gateway o utente.
• Windows, macOS, iOS, Android e Linux a volte utilizzano percorsi client diversi.

Modifiche tipiche del profilo durante il funzionamento:

• Nuovo FQDN o nuovo IP pubblico: Scarica nuovamente .ovpn e sostituisci il vecchio profilo
• Porta o protocollo modificati: Reimportare il profilo e rimuovere la vecchia voce di connessione
• Certificato rinnovato o modificato: Ridistribuire il profilo e controllare attivamente gli avvisi sui certificati
• Server DNS o nome di dominio modificato: Importa un nuovo profilo e verifica la risoluzione dei nomi
• Lease-Bereich cambiato: Reimportare il profilo e controllare il percorso/l’indirizzo del cliente
• Gruppo utenti o policy modificati: Prova il download del portale con un utente di destinazione normale

Per gli aggiornamenti del client e la manutenzione della versione, Verificare la versione del client Sophos Connect e aggiornarla in modo sicuro.

Test dopo la configurazione

Con un utente di prova non dovresti solo verificare se Sophos Connect mostra Connected.

Elenco delle prove:

• L’utente vede il download di Sophos Connect e la configurazione SSL VPN in VPN Portal.
• È possibile importare il file .ovpn.
• MFA viene interrogato come previsto.
• Il cliente riceve un indirizzo da SSL-VPN-Lease-Bereich.
• Sull’endpoint viene visualizzato il percorso verso le reti interne consentite.
• I nomi DNS interni sono stati risolti.
• L’accesso ai server consentiti funziona.
• Le reti non autorizzate rimangono bloccate.
• Log Viewer mostra la regola firewall corretta.
• Un test deliberatamente negativo verrà rifiutato e registrato.
• Packet Capture mostra il traffico tramite un’interfaccia tun, se necessario.
• L’accesso a Internet e SNAT funzionano anche con Full Tunnel.

Se il test viene eseguito solo con un utente amministratore, è facile non notare errori di gruppo e policy. Un normale utente pilota del gruppo target è migliore.

Un buon test di accettazione prevede sempre l’accesso bloccato. Questo è l’unico modo per vedere se le regole del firewall sono davvero limitanti o se una regola troppo ampia più in basso nell’insieme delle regole consente comunque l’accesso.

Test di accettazione per scenario

Prima di un’implementazione su vasta scala, almeno questi casi di test dovrebbero essere chiaramente documentati:

• Nuovo utente: Registrazione su VPN Portal e importazione del profilo. L’utente vede solo la configurazione SSL-VPN corrispondente e può importare il profilo
• MFA attivo: Accedi con OTP corretto e errato. Il fattore corretto consente l’accesso, il fattore errato viene rifiutato e registrato
• Split Tunnel: Accesso al target interno consentito e non consentito. Le destinazioni consentite funzionano, le altre reti rimangono bloccate
• Full Tunnel: Accesso a Internet tramite VPN. Le regole del firewall, SNAT, DNS e i criteri web/di sicurezza funzionano come previsto
• DNS: Accesso per nome e per indirizzo IP. Gli errori DNS possono essere separati dai problemi di routing o di regole
• Modifica profilo: Importa nuovo profilo .ovpn. FQDN, porta, DNS o certificato modificati sono visibili nel profilo client
• Caso di errore: Controllare Log Viewer e Packet Capture. L’effettiva regola firewall corrispondente e il flusso dei pacchetti sono tracciabili

Per gli ambienti di produzione, ogni test deve contenere un’ora, un utente, una piattaforma client e un obiettivo specifico. Affermazioni come “VPN funziona” o “VPN non funziona” sono troppo imprecise per i casi di supporto successivi.

Raccogli registri e prove

Se riscontri problemi con SSL-VPN, dovresti prima chiarire se l’errore riguarda il login, la configurazione del tunnel o l’accesso alle destinazioni interne. Questa separazione fa risparmiare tempo perché altrimenti l’autenticazione, il profilo client, il routing e le regole del firewall vengono controllati insieme.

Per un caso di test riproducibile, è necessario annotare queste informazioni:

• Nome utente e gruppo: mostra quale policy e autenticazione SSL-VPN devono applicare
• Piattaforma client e versione di Sophos Connect: separa gli errori del client dalla configurazione del firewall
• Orario della prova: rende comparabili Log Viewer, sslvpn.log e i log di autenticazione
• Rete di origine dell’utente: aiuta con hotel-WLAN, cellulare, CGNAT, firewall restrittivi o problemi con le porte
• Sistema target e servizio: impedisce affermazioni troppo generiche come “VPN non funziona”
• Risultato per indirizzo IP e per nome DNS: separa i problemi di routing e DNS

Dovresti quindi eseguire il test in questo ordine:

1. Verifica autenticazione: Controlla in Log Viewer e, se necessario, nei registri di autenticazione se l’utente, MFA, il gruppo e il server di autenticazione hanno avuto esito positivo. Per Microsoft Entra ID SSO, è rilevante anche oauth_sso_vpn.log.
2. Controlla lo stato del tunnel: controlla la connessione SSL VPN, l’indirizzo lease e lo stato OpenVPN. sslvpn.log e openvpn-status*.log aiutano dal lato firewall.
3. Controlla la regola del firewall: cerca il traffico dalla zona VPN nella Log Viewer e controlla quale regola corrisponde realmente. La regola dovrebbe avere Registra traffico firewall attivo.
4. Controlla il flusso dei pacchetti: Se Log Viewer non è sufficiente, filtra per origine, destinazione e servizio con Packet Capture. Ciò che conta è se i pacchetti sono solo Incoming o diventano anche Forwarded.
5. Controlla la pagina di destinazione: Se il traffico lascia il firewall ma non ritorna alcuna risposta, il percorso di ritorno, il firewall del server, il firewall dell’host locale o il conflitto di rete sono più probabili rispetto alla policy SSL VPN.

Sophos Firewall Risoluzione dei problemi: Services e registri è adatto per assegnare i file di registro più importanti. Per l’analisi delle regole con Log Viewer, Policy Test e Packet Capture, Verifica regola firewall con Log Viewer, Policy Test e Packet Capture.

Risoluzione dei problemi

L’utente non vede la configurazione SSL VPN in VPN Portal

Di solito manca l’assegnazione della policy. Controlla se l’utente o il suo gruppo è incluso nella policy SSL VPN in Membri della policy. Inoltre, è necessario verificare l’autenticazione e l’accessibilità dei portali MFA e VPN.

Se l’accesso e l’assegnazione dei criteri funzionano correttamente, ma il download del file .ovpn continua a mancare o non riesce, è necessario controllare anche il Limite ID utente Sophos Firewall. Ciò è particolarmente rilevante se più utenti utilizzano il portale, ma solo i singoli download falliscono inaspettatamente.

Il tunnel si connette, ma i sistemi interni non possono essere raggiunti

Controllare innanzitutto se sull’endpoint esiste un percorso verso la rete di destinazione interna. Quindi cerca nello Log Viewer il traffico proveniente dalla zona VPN. Se non è visibile alcun traffico, il client non raggiunge il firewall come previsto oppure il profilo non è aggiornato.

Se il traffico è visibile ma si applica la regola sbagliata, è necessario correggere l’ordine delle regole o la definizione del servizio/destinazione. Se non viene ricevuta alcuna risposta, è probabile che si tratti di routing, firewall di destinazione, firewall del server locale o conflitto di rete.

Dopo una modifica, solo alcuni client funzionano

Se i nuovi utenti funzionano ma i vecchi client no, il problema è solitamente la distribuzione dei profili. Controllare se i client interessati hanno realmente importato il profilo .ovpn attuale e se le vecchie voci di connessione sono state rimosse.

Soprattutto dopo modifiche a FQDN, porta, certificato, DNS, Lease-Bereich, policy o autenticazione, non dovresti solo salvare il firewall, ma anche testare attivamente il download del profilo con un utente normale. È quindi possibile verificare sull’endpoint se il gateway, il DNS e i percorsi corrispondono alla struttura attuale.

Il DNS non funziona

Controlla se l’accesso tramite indirizzo IP funziona. Se è così, probabilmente l’errore riguarda il DNS. Quindi controlla il server DNS nelle impostazioni SSL VPN globali, il nome di dominio, Device Access per il DNS dalla zona VPN e il comportamento DNS dell’endpoint.

L’accesso funziona solo per alcuni utenti

Quindi l’appartenenza a gruppi, la mappatura dei criteri, gli indirizzi IP statici SSL VPN, lo stato MFA o i profili obsoleti sono più probabili di un errore del firewall globale. Dovresti anche verificare la presenza di assegnazioni di policy duplicate.

L’utente deve riconnettersi dopo diverse ore

Se SSL VPN funziona inizialmente, ma dopo diverse ore è necessario un nuovo accesso o una ricostruzione manuale, è necessario prima controllare lo schema temporale, l’autenticazione e il modello di lease. Ciò è particolarmente rilevante per l’autenticazione locale con un IP SSL VPN assegnato staticamente.

Processo pratico:

1. Annotare l’ora in cui la connessione è stata stabilita e interrotta.
2. Confrontare il tempo con la durata della chiave configurata.
3. Controlla se l’utente ha un indirizzo IP SSL VPN statico.
4. Testare l’assegnazione IP dinamica per un utente pilota se operativamente possibile.
5. Controllare sslvpn.log, openvpn-status*.log e Log Viewer per l’autenticazione, l’indirizzo di lease e ripetere l’accesso.
6. Se si sceglie una durata della chiave più lunga, documentare la modifica e non considerarla come una sostituzione di MFA o del controllo della sessione pulita.

Se gli IP statici vengono utilizzati solo per semplificare le regole del firewall, il design dovrebbe essere rielaborato. Nella maggior parte dei casi, gruppi, target chiaramente denominati, servizi ristretti e logging costituiscono una base migliore rispetto agli indirizzi IP dei singoli utenti.

Full Tunnel non ha accesso a Internet

Con Utilizza come gateway predefinito, è necessaria una regola firewall per il traffico dalla zona VPN verso Internet e una regola SNAT adeguata. Inoltre, è necessario pianificare le policy web, DNS e di sicurezza in modo che non blocchino inaspettatamente gli utenti VPN.

La connessione è stata stabilita, ma i trasferimenti di grandi dimensioni sono bloccati

Se il login, il DNS e gli accessi piccoli funzionano, ma RDP, i trasferimenti di file, le applicazioni web o i download di grandi dimensioni si bloccano, dovresti controllare MTU e MSS. Il modello di errore spesso corrisponde a frammentazione, PPPoE, connessioni con tunnel o un percorso asimmetrico, non solo allo SSL VPN stesso.

Per l’analisi sistematica, Sophos Firewall Controlla MTU e MSS per problemi VPN è adatto.

WAF o portale entra in collisione con SSL VPN

Se WAF, VPN Portal, User Portal e SSL VPN sono in esecuzione sullo stesso IP WAN, la porta e il protocollo devono essere separati in modo netto. Le combinazioni condivise di WAN-IP, porta e TCP sono particolarmente critiche. Se le gocce non sono chiare, controlla Log Viewer e Packet Capture.

Il profilo non è aggiornato dopo la modifica

Dopo qualsiasi modifica alla policy SSL-VPN, al gateway, al DNS, al certificato, alla porta o all’autenticazione, il file .ovpn deve essere scaricato nuovamente e importato. Molti problemi evidenti dei clienti sono profili obsoleti.

Lista di controllo operativa

Prima del lancio produttivo

• FQDN e certificato controllati per VPN Portal e SSL VPN.
• SSL-VPN-Lease-Bereich non è in conflitto con le reti domestiche interne o tipiche.
• La policy SSL-VPN contiene gli utenti o i gruppi corretti.
• Split Tunnel o Full Tunnel sono scelti deliberatamente.
• Le risorse di rete consentite sono definite in modo restrittivo in Split Tunnel.
• Il server DNS e il nome di dominio sono impostati correttamente.
• La regola del firewall da VPN alle destinazioni interne esiste e viene registrata.
• Full Tunnel ha regole Internet e SNAT.
• Device Access per SSL VPN e VPN Portal è impostato deliberatamente.
• MFA è testato per l’accesso remoto.
• L’utente del test può scaricare, importare il profilo e raggiungere obiettivi interni.

Per le operazioni in corso

• MFA per VPN Portal e forza l’accesso remoto.
• Controllare regolarmente i gruppi VPN.
• Mantieni rigide le regole del firewall per VPN e accedi.
• Controllare Lease-Bereich prima delle modifiche alla rete.
• Utilizzare specificatamente solo indirizzi IP SSL VPN statici e controllarli regolarmente.
• Documenta DNS e cerca dominio.
• Rinnovare il portale e i certificati SSL VPN prima della scadenza.
• Tieni traccia delle versioni di Sophos Connect.
• Pianificare la ridistribuzione del profilo dopo le modifiche.
• Valutare i registri a lungo termine utilizzando Syslog o Sophos Central se la tracciabilità è importante.

Risoluzione dei problemi Sophos Firewall: Services e registri è adatto per file di registro e servizi.

Controlla regolarmente i casi speciali

• Gli indirizzi IP statici SSL VPN sono giustificati e documentati.
• Key Lifetime si adatta al modello operativo ed è stato testato con Reconnect.
• Il vecchio profilo .ovpn verrà ridistribuito dopo le modifiche.
• VPN Portal, User Portal, WAF e SSL VPN non entrano in collisione sullo stesso IP WAN con porta e protocollo.
• Gli utenti con diritti speciali o accesso amministratore vengono controllati separatamente.

Domande frequenti