Sophos Connect Client auf macOS installieren

Sophos Connect kann auf macOS für Remote Access mit Sophos Firewall verwendet werden. In aktuellen Versionen ist nicht mehr nur IPsec relevant: Seit Sophos Connect 2.0 ist auch Remote Access SSL VPN auf macOS möglich. Dadurch hat sich die Empfehlung für viele Umgebungen geändert.

Der Artikel beschreibt die Installation auf macOS, den Import der passenden Verbindung und die wichtigsten Kontrollen nach dem Verbindungsaufbau. Für die grundsätzliche Entscheidung zwischen Sophos Connect, SSL VPN, OpenVPN-Clients und ZTNA passt Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?.

Welcher Artikel passt?

Sophos Connect auf macOS überschneidet sich schnell mit anderen Remote-Access-Artikeln. Je nach Aufgabe ist ein anderer Einstieg besser:

• Sophos Connect auf macOS installieren: Dieser Artikel.
• SSL VPN auf macOS mit .ovpn einrichten: Sophos SSL VPN mit Sophos Connect auf macOS einrichten.
• Sophos Connect auf der Firewall vorbereiten: Sophos Connect auf Sophos Firewall konfigurieren.
• Clientversionen, Updates und Profilpflege planen: Sophos Connect Client Version prüfen und sicher aktualisieren.
• VPN ist verbunden, aber Traffic funktioniert nicht: Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Diese Trennung ist wichtig, weil die Clientinstallation nur ein Teil des Remote-Access-Betriebs ist. Firewall-Regeln, DNS, MFA, Zertifikate, VPN-Portal und Profilverteilung bleiben separate Prüfpunkte.

Voraussetzungen

• Sophos Firewall mit eingerichteter Remote-Access-Konfiguration
• Sophos Connect Client in einer zur Firewall und Plattform passenden Version
• Für Sophos Connect 2.0 oder neuer: macOS Ventura 13 oder neuer
• Mac mit Intel-Prozessor oder Apple Silicon über Rosetta 2
• Konfigurationsdatei für IPsec (.scx oder .tgb) oder SSL VPN (.ovpn)
• Benutzerkonto mit VPN-Berechtigung und, falls aktiviert, funktionierender MFA
• Firewall-Regeln für Traffic aus der VPN-Zone oder der verwendeten Remote-Access-Zone

Wenn SSL VPN auf macOS genutzt werden soll, muss Sophos Connect 2.0 oder neuer eingesetzt werden. Bei älteren internen Anleitungen sollte deshalb geprüft werden, ob sie noch von der früheren IPsec-only-Situation ausgehen. Für Versionsprüfung, Updateplanung und typische DNS-/Profilprobleme passt Sophos Connect Client Version prüfen und sicher aktualisieren.

Wichtig: Für macOS ist keine Provisioning-Datei-Unterstützung dokumentiert. Für macOS sollte deshalb mit einer importierten IPsec-Konfigurationsdatei oder einer .ovpn-Datei geplant werden. Wenn ein Rollout vollständig automatisiert werden soll, muss vorher geprüft werden, ob das eingesetzte MDM die Datei- und Benutzerprozesse sauber abbilden kann.

1. Sophos Connect Client herunterladen

Der Sophos Connect Client für macOS kann je nach Umgebung über die Firewall, das VPN Portal oder die Sophos Download Page bezogen werden. In verwalteten Umgebungen sollte definiert sein, welche Clientversion verteilt wird und wo Benutzer die passende Konfigurationsdatei erhalten.

Für IPsec wird typischerweise eine .scx- oder .tgb-Datei verwendet. Für SSL VPN wird eine .ovpn-Datei importiert. Welche Datei korrekt ist, hängt von der Remote-Access-Konfiguration auf der Firewall ab.

• IPsec Remote Access: .scx oder .tgb; mit Sophos Connect auf Intel und Apple Silicon nutzbar.
• SSL VPN: .ovpn; Sophos Connect 2.0 oder neuer erforderlich.
• Provisioning: .pro; für macOS nicht als Standard einplanen.

Bei einer klassischen Sophos-Connect-IPsec-Konfiguration wird die Verbindung im WebAdmin exportiert:

1. Auf der Sophos Firewall VPN > Sophos Connect Client öffnen.
2. Verbindung exportieren.
3. Datei sicher ablegen und nur berechtigten Benutzern bereitstellen.

Je nach Downloadquelle liegt der Installer in einer Zip-Datei. Nach dem Entpacken findet man typischerweise das Paket Sophos Connect.pkg für macOS.

Für verwaltete Macs sollte man den Installer nicht ohne Pilotgruppe breit verteilen. Zuerst sollte mindestens ein Intel-Mac und ein Apple-Silicon-Mac geprüft werden, wenn beide Plattformen im Unternehmen vorhanden sind.

2. Sophos Connect Client installieren

Die Installation wird mit einem Doppelklick auf Sophos Connect.pkg gestartet. Nach Abschluss des Installationsassistenten kann das Fenster mit Schliessen beendet werden.

Bei Apple-Silicon-Geräten kann Rosetta 2 erforderlich sein. Wenn macOS während der Installation eine entsprechende Meldung zeigt, sollte Rosetta 2 installiert und der Client danach erneut gestartet werden.

Nach der Installation sollte die Version direkt im Client geprüft werden. Das ist besonders wichtig, wenn mehrere Installationspakete intern im Umlauf waren oder wenn Benutzer den Client früher bereits installiert hatten.

3. Verbindungsdatei herunterladen

Beim ersten Start benötigt Sophos Connect eine Verbindungskonfiguration. Diese Datei sollte aus der aktuell gültigen Firewall-Konfiguration stammen und nicht aus einem alten Benutzerarchiv wiederverwendet werden.

Typische Verbindungsdateien:

• IPsec Remote Access: .scx oder .tgb; Export unter VPN > Sophos Connect Client.
• SSL VPN: .ovpn; VPN Portal oder administrativer Export.

Wenn vor einem SFOS-22-MR1-Upgrade noch alte Remote-Access-IPsec-Konfigurationen im Einsatz sind, sollte nicht einfach ein altes Profil weiterverteilt werden. In diesem Fall zuerst Legacy Remote Access IPsec vor SFOS 22 MR1 migrieren prüfen.

Profile sollten wie Zugangsdaten behandelt werden. Eine alte .ovpn-, .scx- oder .tgb-Datei kann weiterhin interne Netze, Gatewaynamen, Zertifikate oder Benutzerbezug enthalten. Wenn Gateway, Zertifikat, DNS, Benutzergruppe, IP-Pool oder Authentifizierung geändert wurden, sollte das Profil neu exportiert und neu importiert werden.

4. Sophos Connect Client einrichten

Die Einrichtung des Sophos Connect Clients ist in wenigen Schritten erledigt:

1. Sophos Connect öffnen.
2. Import Connection auswählen.
3. Passende Verbindungsdatei importieren.
4. Verbindung unter Connections prüfen.
5. Connect anklicken.
6. Mit dem VPN-Benutzer anmelden und MFA bestätigen, falls aktiviert.

Nach dem erfolgreichen Verbindungsaufbau sollte man zusätzlich prüfen, ob interne DNS-Namen aufgelöst werden und ob die benötigten Systeme erreichbar sind. Wenn die Verbindung steht, aber kein Traffic fliesst, helfen Log Viewer, Policy Test und Packet Capture. Die passende Anleitung ist Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Bei SSL VPN auf macOS ist der DNS-Test besonders wichtig. Sophos Connect 2.0 MR1 behebt ein Problem, bei dem DNS-Einstellungen für SSL-VPN-Verbindungen auf macOS nicht korrekt angewendet wurden. Wenn interne Namen nicht aufgelöst werden, sollte deshalb zuerst Version und Profilstand geprüft werden, bevor DNS-Regeln blind angepasst werden.

IPsec mit macOS Bordmitteln

Je nach Firewall-Konfiguration kann Remote Access IPsec auch mit macOS-Bordmitteln eingerichtet werden. Das ist ein separates Betriebsmodell und sollte nicht mit Sophos Connect verwechselt werden. Es kann sinnvoll sein, wenn keine zusätzliche Clientsoftware gewünscht ist, passt aber nicht in jede Umgebung.

Praktischer Ablauf, wenn diese Variante bewusst genutzt wird:

1. Am User Portal der Sophos Firewall anmelden.
2. Die passende IPsec-Konfiguration für Apple-Geräte herunterladen.
3. Profil auf dem Mac öffnen und installieren.
4. Verbindung in den macOS-Netzwerkeinstellungen prüfen.
5. Verbindung testen und interne Ziele validieren.

Wenn Sophos Connect und macOS-Bordmittel parallel genutzt werden, sollte das absichtlich dokumentiert werden. Sonst entstehen Supportfälle, bei denen Benutzer zwar “VPN” sagen, aber unterschiedliche Profile, Protokolle und DNS-Verhalten meinen.

Nach der Installation prüfen

Nach der Installation sollten diese Punkte kontrolliert werden:

• Sophos Connect Version passt zur eingesetzten macOS-Version.
• Bei Apple Silicon ist Rosetta 2 verfügbar, falls der Client es benötigt.
• Die importierte Datei entspricht dem gewünschten Protokoll: IPsec oder SSL VPN.
• Benutzer ist in der richtigen VPN-Gruppe berechtigt.
• MFA funktioniert und wird verständlich abgefragt.
• Client erhält eine passende VPN-IP.
• Interne DNS-Namen werden aufgelöst.
• Firewall-Regeln für die VPN-Zone erlauben nur die benötigten Ziele.

Abnahmetest für macOS

Ein grüner Verbindungsstatus reicht nicht als Abnahme. Für einen belastbaren Rollout sollte ein Testbenutzer diese Punkte durchspielen:

1. Clientversion prüfen: Version passt zu macOS, IPsec oder SSL VPN und interner Freigabe.
2. Apple Silicon prüfen: Rosetta 2 ist vorhanden und Sophos Connect startet zuverlässig.
3. Profil importieren: Richtige Datei für IPsec oder SSL VPN wird akzeptiert.
4. MFA testen: Anmeldung verlangt den erwarteten zweiten Faktor.
5. DNS testen: Interne FQDNs lösen korrekt auf.
6. Zugriff testen: Erlaubte Server funktionieren, nicht erlaubte Ziele bleiben blockiert.
7. Log Viewer prüfen: Traffic aus der VPN-Zone trifft die erwartete Firewall-Regel.
8. Reconnect testen: Trennen, Netzwerkwechsel und erneutes Verbinden funktionieren.

Bei gemischten Umgebungen sollte mindestens ein Intel-Mac und ein Apple-Silicon-Mac getestet werden. Wenn zusätzlich Windows-Clients im Einsatz sind, sollte das Verhalten nicht stillschweigend gleichgesetzt werden. Plattform, Profiltyp und Clientversion können sich unterscheiden.

Rollout-Hinweise für verwaltete Macs

Bei wenigen Benutzern reicht oft eine manuelle Installation mit kontrolliertem Profilimport. In grösseren Umgebungen sollte Sophos Connect wie andere sicherheitsrelevante Clientsoftware behandelt werden.

Vor einem breiten Rollout klären:

• Welche Sophos-Connect-Version ist freigegeben?
• Welche macOS-Versionen sind im Einsatz?
• Gibt es Intel-Macs, Apple-Silicon-Macs oder beides?
• Wird IPsec, SSL VPN oder beides genutzt?
• Woher erhalten Benutzer das aktuelle Profil?
• Wer informiert Benutzer, wenn Profile neu importiert werden müssen?
• Wie erkennt der Helpdesk veraltete Profile?
• Werden VPN-Portal, MFA und Zertifikate separat überwacht?

Alte Installationspakete und alte Profile sollten aus internen Downloadablagen entfernt oder klar als veraltet markiert werden. Gerade bei Remote Access führt ein “irgendein altes Profil aus dem Downloadordner” schnell zu unnötiger Fehlersuche.

Troubleshooting

Verbindung wird importiert, aber nicht aufgebaut

Zuerst prüfen, ob die Datei zum richtigen Protokoll gehört und ob die Sophos-Connect-Version dafür geeignet ist. SSL VPN auf macOS setzt Sophos Connect 2.0 oder neuer voraus. Danach Benutzerberechtigung, MFA, Zertifikat, Gateway, Uhrzeit der Firewall und erreichbaren VPN-Portal- beziehungsweise Gateway-FQDN prüfen.

Interne Namen werden nicht aufgelöst

Bei SSL VPN auf macOS sollte die eingesetzte Sophos-Connect-Version geprüft werden, weil es in diesem Bereich konkrete Fehlerbehebungen gab. Danach DNS-Server, Suchdomains, importiertes Profil und Firewall-Regeln prüfen.

Wenn IP-Adressen funktionieren, Namen aber nicht, ist DNS wahrscheinlich. Wenn auch IP-Adressen nicht funktionieren, sind Routing, Firewall-Regeln, NAT oder Rückweg wahrscheinlicher.

Verbindung steht, aber kein Zugriff funktioniert

Dann liegt die Ursache häufig bei Firewall-Regeln, Routing, NAT oder Rückweg. Im Log Viewer sollte sichtbar sein, ob Traffic aus der VPN-Zone die erwartete Regel trifft. Für IPsec-Sonderfälle passt Sophos Firewall IPsec VPN Troubleshooting.

Nach Profiländerung funktioniert die Verbindung nicht mehr

Nach Änderungen an Gateway, Zertifikat, Port, DNS, IP-Pool, Benutzergruppe oder Authentifizierung sollte das Profil neu exportiert und neu importiert werden. Ein Clientupdate ersetzt kein altes Profil automatisch.

Speichern von Zugangsdaten ist nicht sichtbar

Sophos hat diese Option für SSL VPN auf macOS in Sophos Connect 2.0 MR1 wieder aktiviert. Nach einem Update muss die Konfigurationsdatei neu importiert werden, damit die Option genutzt werden kann. In Umgebungen mit MFA sollte zusätzlich geprüft werden, ob das Speichern von Zugangsdaten zum Sicherheitskonzept passt.

Verbindung steht, aber grosse Transfers hängen

Wenn Login, DNS und kleine Zugriffe funktionieren, grössere Dateiübertragungen oder bestimmte Anwendungen aber hängen, sollte zusätzlich MTU/MSS geprüft werden. Das Fehlerbild passt oft zu Fragmentierung, PPPoE, getunnelten Verbindungen oder einem asymmetrischen Pfad. Der Ablauf steht in Sophos Firewall MTU und MSS bei VPN-Problemen prüfen.

Supportdaten sammeln

Wenn der Fehler nicht direkt sichtbar ist, sollte man Zeitpunkt, Benutzer, macOS-Version, Sophos-Connect-Version, Profiltyp, Quellnetz und Zielsystem dokumentieren. Auf der Firewall helfen Log Viewer, sslvpn.log, IPsec-Logs, Packet Capture und die betroffene Firewall-Regel. Die Zuordnung der Logdateien steht in Sophos Firewall Troubleshooting: Services und Logs.

FAQ