Sostituire il vecchio Sophos SSL VPN Client e il suo avvio

Il vecchio Sophos SSL VPN Client for Windows non deve più essere installato né utilizzato. È End of Life dal 31 gennaio 2022, tutte le versioni sono interessate da CVE-2021-36809 e Sophos non fornisce alcuna correzione. Da SFOS 20.0 MR1, inoltre, il client legacy non stabilisce più tunnel SSL VPN di accesso remoto.

La soluzione sicura consiste nel migrare a Sophos Connect: preparare un profilo e un programma di installazione aggiornati, disinstallare il vecchio client, importare e verificare la connessione e solo dopo rimuovere completamente l’avvio automatico, i file in chiaro e i vecchi profili. Per scegliere il modello di accesso remoto più adatto, consultare Sophos Connect o SSL VPN: quale soluzione scegliere?.

⚠️ Se il dispositivo interessato costituisce l’unico accesso amministrativo remoto, prima della disinstallazione è necessario predisporre un accesso alternativo o una finestra di manutenzione con accesso locale. Il client EOL non è un metodo di ripristino sicuro.

Migrare a Sophos Connect

1. Preparare il programma di installazione corrente di Sophos Connect e un nuovo file .ovpn dal VPN Portal. I percorsi completi sono descritti in Configurare Sophos SSL VPN con Sophos Connect su Windows.
2. Se il VPN Portal non è raggiungibile, copiare soltanto il file .ovpn esistente dalla cartella di configurazione legacy a una cartella temporanea protetta. Non copiare alcun file password.txt.
3. Se la copia del profilo contiene auth-user-pass password.txt, rimuovere il nome del file dalla copia in modo che rimanga solo auth-user-pass.
4. Disconnettere la VPN e disinstallare normalmente il vecchio Sophos SSL VPN Client da Impostazioni > App > App installate. Non eliminare manualmente driver o servizi sconosciuti.
5. Riavviare Windows, installare Sophos Connect e importare il file .ovpn corrente o la copia ripulita del profilo tramite Import connection.
6. Stabilire la connessione con l’utente previsto e, se configurati, MFA o SSO. Gli artefatti legacy rimanenti vengono rimossi solo dopo un test riuscito.

In seguito, Sophos Connect e i profili devono essere gestiti mediante un processo di aggiornamento definito. Per questo, consultare Controllare la versione di Sophos Connect Client e aggiornarla in sicurezza.

Identificare l’avvio legacy e le credenziali in chiaro

Controllare l’avvio automatico e il valore Run

In Gestione attività, aprire App di avvio, cercare SSL VPN Client for Windows e disattivare la voce.

Per l’utente corrente può inoltre essere presente un valore di avvio personalizzato:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Un valore legacy è riconoscibile da openvpn-gui.exe, --config_dir e --connect. Il modello seguente serve solo a identificarlo e non deve essere creato:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profile-name>.ovpn

Rimuovere solo il valore che appartiene chiaramente al vecchio client Sophos. Non eliminare mai l’intera chiave Run o voci sconosciute. Nelle installazioni meno recenti, controllare anche la cartella Esecuzione automatica classica di Windows. Negli ambienti gestiti, verificare inoltre se un GPO o la distribuzione software ricrea il valore.

Controllare il profilo OVPN e password.txt

I profili legacy si trovano spesso in uno di questi percorsi:

• Windows a 64 bit: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• vecchie installazioni a 32 bit: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

Il valore Run effettivamente presente e l’installazione locale sono più affidabili di un percorso predefinito presunto.

Un riferimento problematico a un file si presenta così:

auth-user-pass password.txt

Il file indicato contiene nome utente e password in chiaro. Non deve essere aperto, visualizzato o allegato ai dati di supporto. Per la migrazione, in una copia del profilo viene mantenuta soltanto la normale autenticazione interattiva:

auth-user-pass

Dopo aver verificato correttamente Sophos Connect, eliminare il file delle password indicato, le altre copie e i profili legacy non più necessari. Modificare quindi la password dell’account interessato nel sistema di gestione delle identità competente e controllare nei log VPN la presenza di accessi inattesi. La sola eliminazione del file non è sufficiente.

Connessione automatica senza password.txt

Un file di provisioning di Sophos Connect (.pro) può importare e aggiornare automaticamente i profili. Con auto_connect_host, il client controlla un host raggiungibile solo dalla rete interna. Se l’host non è raggiungibile, Sophos Connect attiva la connessione; il tunnel viene stabilito automaticamente solo con credenziali salvate o dopo un precedente accesso SSO.

[
  {
    "display_name": "Company VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Con can_save_credentials: false, il client non salva la password dell’utente. Senza SSO, l’utente deve comunque autenticarsi. Se SSO è stato l’ultimo metodo di accesso, Sophos Connect può stabilire automaticamente il tunnel tramite SSO. L’esempio è volutamente minimale; il classico OTP di Sophos Firewall richiede i campi aggiuntivi otp e 2fa. Per la procedura di provisioning completa, consultare Configurare Sophos Connect sul firewall; per l’autenticazione, vedere MFA su Sophos Firewall o Microsoft Entra ID SSO per Sophos Connect.

Il provisioning richiede un VPN Portal raggiungibile. Se viene pubblicato dalla WAN, sono necessari un certificato attendibile, MFA, monitoraggio e una configurazione di Device Access e Local Service ACL quanto più restrittiva possibile.

Verificare la migrazione e isolare gli errori

Dopo il passaggio, controllare separatamente la connessione e la rimozione degli elementi legacy:

• Il vecchio client, la relativa voce di avvio in Gestione attività e lo specifico valore HKCU Run sono stati rimossi.
• Nel vecchio percorso del profilo e nella distribuzione software non è rimasto alcun file password.txt.
• Un profilo migrato non contiene riferimenti a file dopo auth-user-pass.
• Sophos Connect utilizza la connessione corrente e la versione del client previste.
• Autenticazione, MFA o SSO funzionano.
• Il client riceve un indirizzo dal pool VPN previsto.
• I nomi DNS interni e le destinazioni consentite funzionano, mentre le reti esplicitamente bloccate rimangono inaccessibili.
• Log Viewer mostra l’utente previsto e la regola di accesso remoto corretta.

Impossibile installare Sophos Connect

Controllare se il vecchio Sophos SSL VPN Client è ancora installato. Disinstallarlo normalmente, riavviare Windows e ripetere l’installazione. In caso di conflitti con altri client VPN, non rimuovere driver o servizi senza averne prima identificato la causa.

Il profilo è importato, ma il tunnel non si avvia

Importare nuovamente un file .ovpn corrente dal VPN Portal e controllare l’assegnazione della policy, l’account utente, MFA e gli eventi di Sophos Connect. Sul firewall possono essere utili, a seconda dell’errore, sslvpn.log, openvpn-status*.log e, per i problemi di autenticazione, access_server.log.

Il tunnel è connesso, ma le destinazioni interne non funzionano

In questo caso, il problema riguarda in genere la policy, la regola firewall, DNS, il routing o la MTU. Per circoscriverlo, consultare Verificare una regola firewall con Log Viewer, Policy Test e Packet Capture, Servizi e log di Sophos Firewall e, per le applicazioni che si bloccano, MTU e MSS per i problemi VPN.

FAQ