Configurare Sophos SSL VPN su Android

Sophos Connect non supporta direttamente Android per IPsec o SSL VPN. Pertanto, per collegare uno smartphone o un tablet Android tramite Sophos Firewall Remote Access è necessario un client compatibile con OpenVPN. In molti ambienti, OpenVPN Connect è la scelta più naturale, poiché Sophos Firewall fornisce una configurazione .ovpn per i client mobili.

L’articolo descrive la procedura pratica per configurare Sophos SSL VPN su Android: installare l’app, ottenere la configurazione .ovpn, importare il profilo, testare la connessione e individuare gli errori più comuni. Per scegliere innanzitutto tra Sophos Connect, SSL VPN, IPsec, client mobili e ZTNA, consultare Sophos Connect o SSL VPN: quale soluzione di accesso remoto è più adatta?.

Quando SSL VPN su Android è utile

SSL VPN su Android è utile quando gli utenti mobili devono accedere occasionalmente a sistemi interni e un profilo VPN classico è sufficiente.

Esempi tipici:

• Accesso ad applicazioni web interne
• Accesso amministrativo a pochi sistemi tramite tablet
• Accesso a strumenti interni tramite app definite
• Accesso temporaneo senza client notebook gestito
• Soluzione di transizione quando ZTNA o proxy app non sono ancora disponibili

Per l’accesso permanente a numerosi sistemi interni, un dispositivo mobile spesso non è la piattaforma più adatta. In questo caso conviene valutare un client Windows o macOS gestito con Sophos Connect, un accesso ZTNA più mirato o un’architettura di accesso remoto diversa.

Confronto con altri client

Questa guida si applica a Sophos Firewall con SFOS e dispositivi Android. A seconda della piattaforma o della situazione di partenza, potrebbe essere più adatto un altro approccio:

• Configurare SSL VPN su Android: Questo articolo
• Configurare SSL VPN con Sophos Connect su Windows: Configurare Sophos SSL VPN con Sophos Connect su Windows
• Configurare SSL VPN con Sophos Connect su macOS: Configurare Sophos SSL VPN con Sophos Connect su macOS
• Configurare SSL VPN su iPhone e iPad: Configurare Sophos SSL VPN su iPhone e iPad
• Installare Sophos Connect su Windows: Installare Sophos Connect Client su Windows
• Installare Sophos Connect su macOS: Installare Sophos Connect Client su macOS

È importante la distinzione: Sophos Connect non è il client SSL-VPN diretto per Android. Se si desidera supportare dispositivi mobili, dovrebbe essere chiaramente definito internamente quale client compatibile con OpenVPN utilizzare, da dove provengono i profili e chi supporta i cambi di dispositivo.

Prerequisiti

Prima della configurazione, dovrebbero essere chiariti questi punti:

• Sophos Firewall con accesso remoto SSL VPN configurato
• Utente con autorizzazione per SSL VPN
• Accesso al portale VPN o file .ovpn fornito amministrativamente
• Client compatibile con OpenVPN su Android
• MFA/OTP configurato, se l’accesso remoto è protetto con esso
• Certificato valido per il portale VPN e l’accesso al firewall, se possibile
• Regole firewall per il traffico dalla zona VPN
• Architettura Split Tunnel o Full Tunnel definita
• Processo di supporto per cambi di dispositivo, dispositivi persi e profili vecchi

Prima di un aggiornamento a SFOS 22.0 MR1 o successivo, dovrebbe essere verificato se sono ancora presenti configurazioni di accesso remoto IPsec vecchie. SSL VPN non è direttamente interessato, ma molti ambienti rivalutano l’accesso remoto in questo momento. Il processo è descritto in Migrare l’accesso remoto IPsec legacy prima di SFOS 22 MR1.

Preparare il firewall e il portale VPN

La configurazione su Android è solo l’ultimo passo. Prima, la configurazione del firewall deve essere corretta.

Su Sophos Firewall, dovrebbero essere verificati questi punti:

1. Aprire Remote access VPN.
2. Configurare SSL VPN per gli utenti o gruppi necessari.
3. Utilizzare un pool IP VPN senza sovrapposizioni con LAN, WLAN, VLAN, VPN site-to-site o reti domestiche tipiche.
4. Impostare server DNS e suffissi di dominio in modo appropriato se vengono utilizzati nomi interni.
5. Attivare MFA per l’accesso remoto e testarlo con un utente di prova.
6. Creare una regola firewall dalla zona VPN verso la zona di destinazione richiesta.
7. Attivare il logging per la fase di introduzione.
8. Concedere l’accesso al portale VPN tramite Administration > Device access solo quanto necessario.

Il processo completo lato firewall è descritto in Configurare l’accesso remoto SSL VPN su Sophos Firewall.

Il portale VPN è un punto di ingresso accessibile pubblicamente. Se deve essere accessibile da Internet, certificato, MFA, limitazione di paese/origine e controllo dei log devono essere pianificati consapevolmente. Per il rafforzamento, consultare Accesso al dispositivo e ACL del servizio locale su Sophos Firewall.

1. Installare OpenVPN Connect

Installare OpenVPN Connect da Google Play: OpenVPN Connect.

Se in un ambiente è standardizzato un altro client compatibile con OpenVPN, questa decisione dovrebbe essere documentata. Diventa problematico se gli utenti utilizzano parallelamente diverse app VPN, profili vecchi e istruzioni diverse.

Per supporto e operatività, dovrebbe essere stabilito:

• quale client è supportato
• quale versione dell’app è almeno richiesta
• se gli utenti possono installare l’app autonomamente
• come vengono distribuiti e ritirati i profili
• come vengono gestiti i dispositivi persi o sostituiti

2. Aprire il portale VPN

Sul dispositivo Android, aprire nel browser il portale VPN di Sophos Firewall. L’indirizzo predefinito è:

https://<Firewall-FQDN-oder-IP>:443

Se l’amministrazione ha configurato una porta VPN portal HTTPS port diversa, è necessario utilizzare quella porta. Per l’accesso diretto a un cluster HA, Sophos indica il nome FQDN o l’indirizzo IP dell’appliance originariamente primaria; negli ambienti di produzione è opportuno utilizzare il nome FQDN comune del portale documentato.

Accedere quindi con l’utente VPN. Il portale VPN e i download SSL VPN vengono visualizzati solo se l’utente o il relativo gruppo è assegnato a una policy SSL VPN per l’accesso remoto. Se il download non è disponibile, occorre quindi controllare prima l’assegnazione della policy e non l’app OpenVPN.

Se il portale VPN viene aperto con un certificato non valido o non attendibile, la causa dovrebbe essere risolta. Un’eccezione permanente del browser non è un buon standard operativo per l’accesso remoto in produzione.

Con Sophos OTP, un nuovo utente deve prima scansionare il codice QR nel portale VPN e registrare il token in un’app di autenticazione. Successivamente, testare il flusso di connessione effettivo con un utente di prova: a seconda del client e del metodo MFA, la password e l’OTP vengono elaborati insieme o in passaggi separati. Prima di un rollout esteso, l’MFA basata su challenge o esterna deve quindi essere testata esattamente con il client Android previsto. Le basi sono descritte in Attivare MFA per Sophos Firewall WebAdmin, portale VPN e accesso remoto.

3. Scaricare la configurazione OVPN

Nel portale VPN, aprire VPN > VPN configuration. In SSL VPN configuration, toccare Download for Android and iOS. Sophos Firewall fornisce così il file .ovpn destinato ai client OpenVPN mobili.

Il file scaricato ha normalmente l’estensione .ovpn. Questo file è specifico per l’utente e non dovrebbe essere condiviso con altri utenti.

Importante:

• Il file dovrebbe provenire dalla configurazione attuale del firewall.
• I file vecchi da archivi email, cronologie chat o cartelle di download non dovrebbero essere riutilizzati.
• Se un tunnel che prima funzionava non si connette più dopo una modifica amministrativa, scaricare e importare nuovamente il file. Questo vale in particolare per le modifiche alla porta SSL VPN, al protocollo, al gateway o Override Hostname e al certificato server SSL.
• Le modifiche alle assegnazioni di utenti o gruppi non vengono corrette importando nuovamente il profilo. Devono essere sistemate nella policy di accesso remoto e nel server di autenticazione.
• Se un utente lascia l’azienda o un dispositivo viene perso, accesso utente, appartenenza al gruppo e distribuzione del profilo devono essere verificati.

4. Importare il profilo in OpenVPN Connect

Se Android non propone automaticamente l’importazione, il file .ovpn può essere condiviso con OpenVPN Connect tramite la funzione di condivisione. In alternativa, in OpenVPN Connect aprire Menu > My Profiles > Add > Upload File, selezionare il file .ovpn salvato e confermare l’importazione.

Al primo tentativo di connessione, OpenVPN Connect richiede l’autorizzazione Android per creare una connessione VPN. L’autorizzazione deve essere confermata affinché l’app possa stabilire il tunnel.

Con più profili, il nome dovrebbe essere chiaro, ad esempio con la posizione, l’ambiente o il nome dell’azienda. Profili con nomi quasi identici sono una causa comune di richieste di assistenza.

5. Stabilire la connessione VPN

Attivare il profilo importato e accedere con l’utente VPN. Se MFA o OTP è attivo, il secondo fattore deve essere confermato secondo la configurazione del firewall.

Dopo aver stabilito la connessione, non basta che l’app OpenVPN indichi lo stato connesso. È fondamentale verificare che le risorse interne previste siano raggiungibili e che il traffico sul firewall corrisponda alla regola corretta.

Verificare dopo la configurazione

Almeno questi punti dovrebbero essere verificati con un utente di prova:

• OpenVPN Connect mostra la connessione come connessa.
• Android mostra lo stato VPN nella barra di stato o nelle impostazioni di rete.
• L’utente riceve un indirizzo IP dal pool SSL-VPN previsto.
• I nomi DNS interni vengono risolti correttamente.
• I server, le applicazioni web o i servizi necessari sono raggiungibili.
• Il comportamento di Internet corrisponde all’architettura prevista: Split Tunnel o Full Tunnel.
• Nel Log Viewer è visibile la regola firewall prevista per il traffico dalla zona VPN.
• MFA viene richiesto come pianificato.
• Testare nuovamente la connessione dopo modalità aereo, cambio WLAN o cambio rete mobile.
• I profili vecchi sono stati rimossi o chiaramente contrassegnati come obsoleti.

Se la connessione è stabilita ma non funziona alcun accesso, la causa spesso non è nel client mobile, ma nelle regole firewall, DNS, routing o NAT. Per l’analisi, consultare Testare la regola firewall con Log Viewer, Policy Test e Packet Capture.

Distribuzione manuale o MDM?

Con pochi dispositivi Android, l’importazione manuale tramite portale VPN, cartella di download e OpenVPN Connect può essere sufficiente. Non appena sono coinvolti più utenti, smartphone gestiti o cambi di dispositivo regolari, la distribuzione del profilo dovrebbe essere pianificata consapevolmente. Altrimenti, i vecchi file .ovpn rimangono nei download, nelle chat, nelle email o nei cloud privati e vengono riutilizzati nei casi di supporto successivi.

Varianti tipiche:

• Importazione manuale: indicata per pochi dispositivi, un gruppo pilota o un utilizzo occasionale. Sono importanti istruzioni chiare, un profilo aggiornato, il test dell’MFA e la rimozione dei profili precedenti.
• Distribuzione tramite MDM o gestione endpoint: indicata per dispositivi Android gestiti, molti utenti o modifiche ricorrenti. Sono importanti la distribuzione dell’app, la versione del profilo, la gestione dello smarrimento dei dispositivi, la revoca dei profili precedenti e il processo di supporto.

È importante il ritiro. Quando un dispositivo Android viene sostituito, un utente lascia o una policy SSL-VPN viene modificata, non basta fornire un nuovo profilo. Devono essere verificati anche i profili vecchi, le appartenenze ai gruppi, le credenziali memorizzate e le eventuali copie di file presenti.

Operatività e sicurezza

I profili VPN mobili necessitano di regole operative chiare. I dispositivi Android cambiano frequentemente tra WLAN, rete mobile, hotspot e portali captive. Inoltre, i dispositivi mobili si perdono più facilmente o vengono sostituiti più rapidamente rispetto ai notebook aziendali classici.

Buone pratiche:

• Aggiornare regolarmente OpenVPN Connect.
• Attivare e testare MFA per l’accesso remoto.
• Verificare regolarmente i gruppi VPN.
• Limitare il portale VPN tramite Device Access e Local Service ACL, per quanto possibile.
• Limitare rigorosamente le regole firewall per la zona VPN e abilitarne il logging.
• Rimuovere i file .ovpn vecchi e i profili obsoleti.
• Considerare i cambi di dispositivo e i dispositivi persi nel processo di supporto.
• Pianificare Syslog o valutazione centrale per una conservazione dei log più lunga.

Per i file di log e i log di servizio, Risoluzione dei problemi di Sophos Firewall: Servizi e Log è utile.

Battery Saver, Always-on VPN e Captive Portal

OpenVPN Connect offre su Android diverse opzioni che possono influire notevolmente sulla creazione della connessione. Devono essere attivate solo in modo consapevole:

• Battery Saver in Menu > Settings mette in pausa il tunnel VPN quando lo schermo viene spento. Riduce il consumo energetico, ma non è adatto quando le app in background devono accedere in modo permanente a risorse interne.
• Captive Portal Detection è utile nelle reti WLAN di hotel, ospiti o aeroporti in cui occorre prima confermare una pagina di accesso. Se il tunnel non si connette dopo un cambio di rete, verificare questa opzione insieme all’accesso tramite browser.
• Always-on VPN si attiva nelle impostazioni di sistema Android per OpenVPN Connect. Con Block connections without VPN si ottiene un comportamento simile a un kill switch. Questo impedisce il traffico non instradato nel tunnel, ma può bloccare completamente l’accesso alla rete se il profilo è scaduto, il firewall non è raggiungibile o è necessario accedere a un Captive Portal.

Per l’accesso manuale occasionale, queste opzioni non sono indispensabili. Uno scenario Always-on gestito richiede invece una procedura di ripristino e supporto collaudata. Se il sistema operativo interrompe il tunnel permanente desiderato, occorre disattivare l’ottimizzazione della batteria di Android per OpenVPN Connect.

Errori comuni

Il file OVPN non si apre

Verificare innanzitutto se OpenVPN Connect è installato e se il file è effettivamente in formato .ovpn. Quindi scaricare nuovamente il file dal portale VPN o passarlo a OpenVPN Connect tramite la funzione di condivisione.

Se il file viene distribuito tramite MDM, email o condivisione file, verificare se è stato modificato, rinominato o bloccato durante il trasferimento. Per l’importazione di file, OpenVPN Connect richiede un profilo ASCII o UTF-8 di dimensioni inferiori a 256 KB. Se un profilo modificato manualmente fa riferimento a file esterni contenenti certificati o chiavi, anche questi devono essere disponibili durante l’importazione. È quindi opportuno utilizzare il file .ovpn generato da Sophos senza modificarlo.

L’importazione funziona, ma la connessione no

Spesso l’autorizzazione Android per la configurazione VPN non è stata concessa correttamente o il profilo non corrisponde alla configurazione attuale del firewall. Eliminare il profilo, ottenere nuovamente il file .ovpn attuale e importarlo di nuovo.

Se sono presenti più profili con nomi quasi identici, verificare prima quale viene effettivamente attivato. Quando si importa ripetutamente lo stesso nome di profilo, OpenVPN Connect aggiunge suffissi come (1) o (2). Dopo un test riuscito, le versioni precedenti devono essere eliminate.

L’autenticazione non riesce

Verificare utente, password, MFA, appartenenza al gruppo e server di autenticazione. Se sono coinvolti AD, RADIUS o Microsoft Entra ID SSO, l’autenticazione dovrebbe essere testata separatamente dal VPN. Un problema di accesso non è automaticamente un problema di OpenVPN.

La connessione è stabilita, ma i sistemi interni non sono raggiungibili

Verificare DNS, regole firewall, routing, NAT e percorso di ritorno. Nel Log Viewer, il traffico dalla zona VPN dovrebbe essere visibile. Se non appaiono log, il traffico probabilmente non raggiunge la regola prevista o il logging è disattivato.

Quando il problema riguarda solo singoli sistemi interni, spesso non dipende dalla VPN stessa, ma da una regola firewall mancante, un nome DNS errato o una rotta di ritorno nella rete di destinazione.

Se piccoli accessi funzionano, ma trasferimenti di file più grandi o applicazioni specifiche si bloccano, dovrebbe essere verificato anche MTU/MSS: Verificare MTU e MSS di Sophos Firewall in caso di problemi VPN.

I nomi interni non vengono risolti

Verificare server DNS e dominio di ricerca nella configurazione SSL-VPN. Quindi testare se i sistemi interni sono raggiungibili tramite indirizzo IP. Se l’IP funziona, ma il nome no, la causa è probabilmente nel DNS, non nella connessione VPN stessa.

La connessione si interrompe al cambio di rete

Nei dispositivi mobili, cambi WLAN, cambi rete mobile, Captive Portal e meccanismi di risparmio energetico sono cause tipiche. Testare con una seconda rete e verificare se il comportamento è riproducibile.

In OpenVPN Connect, verificare inoltre Captive Portal Detection, Battery Saver e le impostazioni di avvio e riconnessione. Con Always-on VPN, Android deve poter eseguire l’app in background. Se gli utenti cambiano frequentemente rete, verificare anche se l’applicazione può gestire brevi interruzioni VPN o se un altro modello di accesso è più adatto.

Lista di controllo

Prima del rollout

• Definito il client OpenVPN supportato.
• Verificato il gruppo utenti SSL-VPN.
• Testato MFA per l’accesso remoto.
• Portale VPN accessibile con certificato valido.
• Accesso al dispositivo e accesso da Internet limitato consapevolmente.
• Create e registrate le regole firewall per la zona VPN.
• Architettura Split Tunnel o Full Tunnel documentata.
• Chiarito processo di distribuzione del profilo e cambio dispositivo.

Dopo l’importazione

• Profilo visibile in OpenVPN Connect.
• Autorizzazione VPN Android confermata.
• Connessione stabilita con utente di prova.
• Verificati DNS, risorse interne e corrispondenza con la regola firewall.
• Testati WLAN, rete mobile e cambio rete.
• Rimossi i profili vecchi.

In operatività

• Mantenere aggiornati l’app OpenVPN e Android.
• Verificare regolarmente i gruppi di utenti.
• Rimuovere i profili vecchi in caso di uscita o perdita del dispositivo.
• Verificare i log VPN nei casi di supporto.
• In caso di problemi mobili ricorrenti, valutare ZTNA o accesso basato su app.

FAQ