Sophos Connect auf Sophos Firewall konfigurieren

Sophos Connect wird auf der Firewall unter Remote access VPN > IPsec eingerichtet. Für eine funktionierende Verbindung müssen IPsec-Profil, Authentifizierung, Benutzergruppe, IP-Pool, DNS, Firewall-Regeln und das verteilte Clientprofil zusammenpassen. Dieser Artikel beschreibt die komplette firewallseitige Konfiguration für IPsec Remote Access.

Für SSL VPN gilt die separate Anleitung Sophos Firewall SSL VPN Remote Access einrichten. Wer noch zwischen IPsec, SSL VPN, mobilen Clients und ZTNA entscheidet, beginnt mit Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?.

Konfiguration in Kürze

1. Unter Remote access VPN > IPsec IPsec Remote Access aktivieren und WAN-Interface sowie ein zulässiges IKEv1-Profil wählen.
2. PSK oder digitale Zertifikate konfigurieren und Local/Remote ID festlegen.
3. Berechtigte Benutzer beziehungsweise deren Hauptgruppe auswählen und den Gruppenschalter prüfen.
4. Verbindungsname, IP-Pool und interne DNS-Server eintragen.
5. Split oder Full Tunnel und die weiteren Advanced Settings festlegen.
6. Firewall-Regeln und die benötigten Einträge unter Administration > Device access konfigurieren.
7. .scx exportieren, mit einem Testbenutzer importieren und die Verbindung nach einem Client-Neustart erneut prüfen.

Voraussetzungen und Planung

Benötigt werden Adminzugriff auf WebAdmin, ein freier VPN-Adressbereich, interne DNS-Server für interne Namen, definierte Zielnetze und Dienste sowie Benutzer oder Gruppen mit MFA-Konzept. Bei einem Upgrade auf SFOS 22.0 MR1 oder neuer vorher Legacy Remote Access IPsec migrieren, da diese Altlast das Upgrade blockieren kann.

Vor der Konfiguration festlegen:

• lokale Benutzer, AD-Hauptgruppe, RADIUS oder Microsoft Entra ID SSO;
• eigener VPN-Pool ohne Überschneidung mit LAN, WLAN, VLANs, Site-to-Site-VPN oder häufigen Heimnetzen;
• interne DNS-Server und bei Bedarf ein DNS-Suffix;
• erlaubte Server, Netze und Dienste statt pauschalem LAN-Zugriff;
• Split oder Full Tunnel;
• MFA, Supportprozess, Profilverteilung und Client-Updates;
• dokumentierter Rückfallweg, falls ein neues Profil oder eine neue Clientversion Probleme verursacht.

Für die MFA-Konfiguration hilft Sophos Firewall MFA einrichten.

Profiltypen richtig einsetzen

• .scx: Sophos-Connect-Profil für IPsec mit allgemeinen und erweiterten Einstellungen.
• .tgb: IPsec-Profil für ältere oder Drittanbieter-Clients, nur mit allgemeinen Einstellungen.
• .ovpn: SSL-VPN-Profil aus der SSL-VPN-Konfiguration beziehungsweise dem VPN Portal.
• .pro: Provisioning-Datei für Windows 10 und 11, die Konfigurationen nach der Anmeldung über das VPN Portal lädt und spätere Konfigurationsänderungen automatisch übernimmt. Auf macOS wird das IPsec-Profil als .scx importiert.

Für neue Sophos-Connect-IPsec-Rollouts ist .scx der passende Standard. Nach allgemeinen IPsec-Änderungen müssen .scx und .tgb neu exportiert werden; ändern sich nur Advanced Settings, genügt ein neues .scx. Ändert sich ein Wert in der .pro-Datei selbst, etwa der VPN-Portal-Port, muss auch diese Datei aktualisiert werden.

Provisioning vereinfacht die Verteilung, macht den Client aber vom VPN Portal abhängig. Soll es aus dem Internet erreichbar sein, wird der Zugriff unter Administration > Device access so eng wie möglich freigegeben. Ein dauerhaft breit erreichbares Portal vergrössert die Angriffsfläche; die Hintergründe erklärt Device Access und Local Service ACL auf Sophos Firewall.

IPsec Remote Access konfigurieren

In aktuellen SFOS-Versionen liegt die Konfiguration unter Remote access VPN > IPsec. Ältere Oberflächen und der vorhandene Screenshot können noch VPN > Sophos Connect Client zeigen.

WAN-Interface und IPsec-Profil

IPsec remote access aktivieren und das WAN-Interface wählen, über das die Clients die Firewall erreichen. Öffentliche IP oder DynDNS/FQDN, vorgeschaltete Router, Portfreigaben und das Verhalten bei WAN-Failover müssen dazu passen.

Für IPsec Remote Access lässt SFOS nur IKEv1-Profile zu, bei denen Dead Peer Detection deaktiviert oder auf Disconnect gesetzt ist. Das Profil bestimmt die IKE- und IPsec-Parameter und muss zum Sicherheitskonzept sowie zu allen ausgerollten Clients passen.

Authentifizierung und IDs

Als Authentifizierung kommen üblicherweise Preshared key oder Digital certificate zum Einsatz. Ein PSK ist schnell eingerichtet, muss aber stark geschützt und bei Verdacht in allen betroffenen Profilen ersetzt werden. MFA schützt zusätzlich die Benutzeranmeldung, ersetzt PSK oder Zertifikat jedoch nicht.

Für digitale Zertifikate gelten in SFOS 22.0 konkrete Bedingungen:

• IPsec unterstützt RSA-, aber keine ECDSA-Zertifikate.
• Local und Remote Certificate benötigen eine Certificate ID.
• External certificate darf für diese Verbindung nicht ausgewählt werden.
• Lokal signierte und Drittanbieterzertifikate dürfen nicht beliebig kombiniert werden. Für beide Seiten auf der Firewall erzeugte Zertifikate oder Zertifikate derselben Drittanbieter-CA verwenden und deren Signing CA auf die Firewall laden.

Sophos empfiehlt eine Local ID für die Firewall und eine davon abweichende Remote ID für die Clients. Möglich sind DNS-Name, IP-Adresse, E-Mail und bei Zertifikaten DER ASN1 DN [X509]. Die IDs sind keine frei austauschbaren Anzeigenamen: Profil und Firewall müssen dieselben erwarteten Werte verwenden.

Vor dem Rollout zusätzlich Laufzeit, private Schlüssel, Erneuerungsprozess und Verteilung der Zertifikate prüfen. Ein späterer Zertifikatswechsel betrifft nicht nur die Firewall, sondern auch exportierte Profile und die Abnahme auf den Clients.

Benutzer und Gruppen

Unter Allowed users and groups nur berechtigte Benutzer oder Gruppen eintragen. Bei Verzeichnisbenutzern zählt für IPsec Remote Access die Hauptgruppe. Für gruppenbasierten Zugriff muss eine dedizierte VPN-Gruppe deshalb als Hauptgruppe verwendet werden. Ist das nicht möglich, einzelne Benutzer freigeben; eine breite Hauptgruppe nicht nur wegen einer VPN-Nebengruppe zulassen.

Zusätzlich unter Authentication > Groups bei der Hauptgruppe prüfen, ob IPsec remote access aktiviert ist. Bei importierten AD-Gruppen und migrierten Gruppen ist der Schalter standardmässig aus, bei neu erstellten lokalen Gruppen an. Gehört ein Benutzer mehreren Gruppen an, gilt die Policy der obersten Gruppe; individuelle Benutzer-Policies haben Vorrang. Die Gruppenreihenfolge wird in Active Directory mit Sophos Firewall verbinden ausführlicher erklärt.

Wird IPsec Remote Access für eine Gruppe deaktiviert, trennt die Firewall deren aktive Benutzer und verhindert die erneute Anmeldung. Ein AD-Benutzer muss sich vor dem ersten klassischen Sophos-Connect-Login normalerweise an einem anderen Authentication Client wie dem Benutzerportal anmelden. Bei .pro-Provisioning kann die Firewall den Benutzer beim ersten Login automatisch erstellen und zuordnen. Guest users werden für Remote Access nicht unterstützt.

Verbindungsname, IP-Pool und DNS

Einen für Benutzer und Support verständlichen Namen wie homeoffice oder remote-access-ipsec vergeben. Der IPsec-Lease-Bereich muss innerhalb eines mindestens /24 grossen Subnetzes liegen, beispielsweise 10.250.10.10 bis 10.250.10.200 in 10.250.10.0/24. Er darf nicht gleichzeitig für SSL VPN, L2TP oder PPTP verwendet werden und sich nicht mit internen Netzen, Site-to-Site-Netzen oder häufigen Heimnetzen wie 192.168.0.0/24 und 192.168.1.0/24 überschneiden.

Die Grösse richtet sich nach der maximalen Zahl gleichzeitiger Benutzer. Pool, reservierte Adressen und zugehörige Firewall-Regeln in IPAM oder der Netzwerkdokumentation festhalten, damit spätere Änderungen nicht unbemerkt zu Überschneidungen führen.

Für interne FQDNs die internen DNS-Server und bei Bedarf ein DNS-Suffix verteilen. Externe Resolver wie 1.1.1.1, 8.8.8.8, 9.9.9.9 oder 208.67.222.222 lösen interne Zonen nicht auf. Ein Tunnel kann deshalb grün sein, obwohl Anwendungen wegen falscher DNS-Antworten nicht funktionieren.

Idle Time und Advanced Settings

Disconnect when tunnel is idle und das Zeitintervall so wählen, dass ungenutzte Verbindungen beendet werden, ohne normale Arbeitssitzungen unnötig zu unterbrechen. Kann Sophos Connect nach einem Idle Disconnect nicht automatisch neu verbinden, im Client zuerst Disconnect und danach Connect wählen.

Kurze Timeouts passen eher zu sporadischen Adminzugriffen, längere zu stabilen Arbeitssitzungen. Bei OTP/MFA muss der Reconnect mit dem gewählten Wert getestet und dem Helpdesk bekannt sein.

Die Advanced Settings werden nur in .scx, nicht in .tgb, übernommen:

• Use as default gateway: Full Tunnel für sämtlichen Traffic oder Split Tunnel nur zu internen Ressourcen.
• Permitted network resources: Netze, die über den Split Tunnel erreichbar sind.
• Send Security Heartbeat through tunnel: Heartbeat von Sophos Endpoint über den VPN-Tunnel senden.
• Allow users to save username and password: nur aktivieren, wenn dies zum MFA- und Sicherheitskonzept passt.
• Prompt users for 2FA token: separates OTP-Feld anzeigen.
• Run AD logon script after connecting: nur benötigte Skripte wie Laufwerkszuordnungen aktivieren und mit einem Testbenutzer prüfen.
• Connect tunnel automatically: Tunnel beim Benutzerlogin automatisch aufbauen.

Bei aktiviertem Prompt users for 2FA token funktioniert das Kommandozeilenwerkzeug SCCLI nicht. Sophos Connect unterstützt zudem keine challenge-basierte OTP-Abfrage; Passwort und OTP werden technisch im Format passwordotp an den Authentifizierungsserver übermittelt.

Nach dem Speichern über Export connection die Konfiguration exportieren und geschützt verteilen. Profile enthalten sicherheitsrelevante Verbindungsdaten und gehören nicht in offene Ablagen.

Firewall-Regeln und Device Access

Sophos Connect baut nur den Tunnel auf. Der produktive Zugriff benötigt weiterhin Firewall-Regeln. Für interne Ziele eine möglichst enge Regel von VPN in die benötigte Zielzone erstellen und Logging zumindest während der Einführung aktivieren.

• Source Zone: VPN
• Destination Zone: LAN oder die tatsächlich benötigte interne Zone

Bei Full Tunnel über Use as default gateway braucht es zusätzlich eine Regel von VPN nach WAN und ein passendes NAT- sowie Security-Policy-Design.

• Source Zone: VPN
• Destination Zone: WAN

Unter Administration > Device access IPsec aus der benötigten WAN-Zone erlauben. Das VPN Portal nur für Download oder Provisioning aus den wirklich erforderlichen Zonen freigeben. Wird die Firewall selbst als DNS-Resolver oder Ping-Ziel genutzt, müssen auch DNS beziehungsweise Ping aus der VPN-Zone erlaubt werden.

Für die Regelanalyse hilft Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture. Nach der Einführung bewusst festlegen, welche Remote-Access-Regeln dauerhaft geloggt und welche Ereignisse zusätzlich an Sophos Central oder Syslog gesendet werden. Bei Full Tunnel gelten Web Protection, Application Control und weitere Sicherheitsrichtlinien wie für andere Client-Netze.

Verbindung abnehmen und betreiben

Sophos Connect danach auf Windows oder macOS installieren und mit einem Testbenutzer prüfen:

• Profil lässt sich fehlerfrei importieren und Anmeldung mit MFA funktioniert.
• Client erhält eine Adresse aus dem vorgesehenen Pool.
• Interne FQDNs und zentrale Systeme sind erreichbar.
• Log Viewer zeigt Treffer auf der erwarteten Regel.
• Split Tunnel blockiert nicht erlaubte Ziele oder Full Tunnel führt Internettraffic wie geplant über Firewall und NAT.
• Reconnect nach Netzwerkwechsel sowie nach Client- oder Endpoint-Neustart funktioniert.
• Der Testclient verwendet die dokumentierte Profilversion; Provisioning übernimmt Änderungen nachvollziehbar.

Für den Betrieb danach festhalten:

• verantwortliche VPN-Gruppe und Austrittsprozess;
• MFA-Reset sowie Sperren und Entsperren von Benutzern;
• aktuelle Profilversion oder Änderungsdatum;
• bekannte Log- und Supportpfade für den Helpdesk;
• erneute Prüfung von Legacy Remote Access IPsec und Clientprofilen vor SFOS-Upgrades.

Für Änderungen an Pool, DNS, Gateway, Zertifikaten, Gruppen oder Advanced Settings einen Verantwortlichen, Änderungsdatum, Rückfallweg und erneuten Abnahmetest festlegen.

Troubleshooting

Failed to validate certificate nach einem Neustart

Wenn die erste Verbindung funktioniert, nach einem Neustart von Endpoint oder Sophos Connect aber Failed to validate certificate erscheint, sind Local und Remote Certificate häufig nicht von derselben CA signiert.

Local und Remote Certificate auf konsistente CA-Zuordnung und Certificate IDs prüfen. Entweder auf der Firewall erzeugte beziehungsweise von derselben Drittanbieter-CA signierte Zertifikate verwenden, die Signing CA des Drittanbieters auf die Firewall laden oder auf PSK wechseln. Danach das Profil neu exportieren, importieren und die Verbindung nach einem weiteren Neustart erneut testen.

Remote Access IPsec fällt nach einem HA-Failover aus

Hat Remote Access IPsec vor einem Rollenwechsel im HA-Cluster funktioniert und kann danach keine neue Verbindung mehr aufgebaut werden, passt das Fehlerbild nur dann zu NC-175860, wenn zuvor auch das Appliance Certificate neu erzeugt wurde. Fehlt einer dieser Punkte, sollte man die Verbindung mit dem normalen IPsec-Troubleshooting untersuchen.

Sophos hat diesen Fehler in SFOS 22.0 MR2 Build 546 vom 14. Juli 2026 behoben. Sophos gibt nicht an, ab welcher Version der Fehler auftritt, und nennt weder einen offiziellen Workaround noch eine eindeutige Logmeldung.

Vor Änderungen auf beiden HA-Geräten Firmwareversion und Build, HA-Modus, aktuelle Rollen und Last status change festhalten. Zusätzlich gehören der genaue Failover-Zeitpunkt, Authentication Type, ausgewählte Local und Remote Certificates samt Certificate IDs, die verteilte Clientprofil-Version und die zeitlich passenden Einträge aus strongswan.log in die Diagnose. HA-Logs werden nicht zwischen den Geräten synchronisiert; deshalb die Logs des HA-Geräts prüfen, das den fehlgeschlagenen Verbindungsversuch verarbeitet hat.

Verwendet der Cluster noch eine ältere Version, zuerst den freigegebenen Upgradepfad zu SFOS 22.0 MR2 Build 546 oder einer neueren unterstützten Version prüfen. Danach in einem Wartungsfenster bei einem Active-passive-Cluster einen kontrollierten Rollenwechsel durchführen. Ein echter Remote-Client aus einem externen Netz muss sich anschliessend neu verbinden können; danach interne Erreichbarkeit, erwartete Firewall-Regel und IPsec-Logs kontrollieren.

⚠️ Das Appliance Certificate nicht auf Verdacht erneut erzeugen oder austauschen und keine Profile ohne dokumentierten Grund neu verteilen. Sophos beschreibt diese Massnahmen nicht als Workaround für NC-175860.

Benutzer kann sich nicht anmelden

Zuerst prüfen, ob die Hauptgruppe unter Allowed users and groups eingetragen und IPsec remote access unter Authentication > Groups aktiviert ist. Danach Authentifizierungsserver, MFA, Passwortstatus, gesperrten Benutzer und den erforderlichen Erstlogin kontrollieren. AD, RADIUS oder Entra ID zunächst getrennt vom VPN testen. Bei Microsoft Entra ID SSO müssen die Methoden unter Authentication > Services bereits vor dem Profil-Export korrekt zugeordnet sein.

Erscheint no IKE config found, zusätzlich IPsec-Profil, Local ID und Remote ID zwischen Firewall und Clientprofil vergleichen. Sind nur einzelne Verzeichnisbenutzer betroffen, auch Hauptgruppe, UPN, E-Mail-Adresse und Gruppen-Mapping prüfen. Sophos Connect unterstützt in Benutzernamen nur ASCII-Zeichen; Namen mit Umlauten oder anderen UTF-8-/UTF-16-Zeichen können deshalb trotz korrektem Passwort scheitern.

Verbindung ist grün, aber Traffic oder Internet fehlen

Im Log Viewer prüfen, ob Traffic aus der VPN-Zone die erwartete Regel trifft. Fehlen Treffer, Client-Routen, Permitted network resources, Quell- und Zielnetze sowie Packet Capture prüfen; bei Treffern zusätzlich Routing, Rückweg, DNS und NAT eingrenzen. Device Access ist hier nur relevant, wenn die Firewall selbst das Ziel ist, etwa für DNS oder Ping. Bei Full Tunnel müssen VPN nach WAN und SNAT passen. Für tiefere Tunnelanalyse folgt Sophos Firewall IPsec VPN Troubleshooting.

Client oder Provisioning nutzt alte Werte

Nach allgemeinen Änderungen manuell verteilte .scx- und .tgb-Dateien neu exportieren; bei reinen Advanced-Settings-Änderungen nur .scx ersetzen. Alte Versionen aus dem Umlauf nehmen. Bei .pro zuerst Erreichbarkeit des VPN Portals, Portal-Port, gateway, Zertifikat, Benutzeranmeldung und MFA prüfen. Bei Entra SSO muss gateway zur Redirect URI passen.

Verbindung bricht ungefähr alle vier Stunden ab

Bei IKEv1-Rekeying kann eine erneute OTP-Anforderung den Tunnel trennen. Ursache, längeres Rekey-Intervall und Sicherheitsabwägung erklärt IPsec Remote Access Timeout nach vier Stunden beheben.

Grosse Transfers hängen oder IPsec fällt nur in Fremdnetzen aus

Funktionieren Login, DNS und kleine Zugriffe, grössere Übertragungen aber nicht, MTU und MSS prüfen. Fällt IPsec nur in Hotels, Gast-WLANs, Mobilfunk- oder streng gefilterten Firmennetzen aus, kann das Netz IPsec blockieren. Dann ist zu prüfen, ob SSL VPN oder ein anderes Remote-Access-Design für diese Benutzer besser passt.

FAQ