Sophos Connect Client auf Windows installieren

Sophos Connect ist der zentrale Sophos-Client für viele Remote-Access-Szenarien mit Sophos Firewall. Auf Windows kann der Client je nach Firewall-Konfiguration IPsec- und SSL-VPN-Verbindungen verwenden. Wichtig ist, dass Clientversion, Windows-Plattform, Konfigurationsdatei und Firewall-Setup zusammenpassen.

Diese Anleitung beschreibt die Installation auf Windows und die wichtigsten Kontrollen nach dem Import der Verbindung. Für die Entscheidung zwischen IPsec, SSL VPN, mobilen Clients und ZTNA passt zuerst der Vergleich Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?.

Welcher Artikel passt?

Sophos Connect auf Windows ist nur ein Teil des Remote-Access-Betriebs. Je nach Aufgabe passt ein anderer Einstieg:

• Sophos Connect auf Windows installieren: Dieser Artikel.
• SSL VPN auf Windows mit .ovpn einrichten: Sophos SSL VPN mit Sophos Connect auf Windows einrichten.
• Sophos Connect firewallseitig konfigurieren: Sophos Connect auf Sophos Firewall konfigurieren.
• Microsoft Entra ID SSO für Sophos Connect einrichten: Microsoft Entra ID SSO für Sophos Connect und VPN Portal einrichten.
• Clientversionen, Updates und Profile pflegen: Sophos Connect Client Version prüfen und sicher aktualisieren.
• VPN ist verbunden, aber Traffic funktioniert nicht: Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Diese Trennung verhindert typische Fehlersuche am falschen Ort. Ein installierter Client beweist noch nicht, dass VPN Portal, Authentifizierung, Profil, Firewall-Regeln, DNS und Rückweg korrekt sind.

Voraussetzungen

• Sophos Firewall mit eingerichteter Remote-Access-Konfiguration
• Sophos Connect Client in einer zur Firewall und Plattform passenden Version
• Windows 10 oder Windows 11, bei aktuellen Sophos-Connect-Versionen als 64-Bit oder Windows ARM
• Konfigurationsdatei für IPsec (.scx oder .tgb) oder SSL VPN (.ovpn oder Provisioning-Datei)
• Benutzerkonto mit VPN-Berechtigung und, falls aktiviert, funktionierender MFA
• Firewall-Regeln für Traffic aus der VPN-Zone oder der verwendeten Remote-Access-Zone

Wenn Sophos Connect mit Microsoft Entra ID SSO verwendet werden soll, braucht es auf Windows Sophos Connect 2.4 oder neuer und eine passende SSO-Konfiguration auf der Firewall. Der Ablauf steht in Microsoft Entra ID SSO für Sophos Connect und VPN Portal einrichten.

Für Windows ARM wird Sophos Connect ab Version 2.5 unterstützt. Wenn intern noch alte Softwarepakete verteilt werden, sollte vor dem Rollout geprüft werden, welche Version wirklich installiert wird. Für Rollout, Pilotgruppe und Updateprüfung passt Sophos Connect Client Version prüfen und sicher aktualisieren.

Wichtig ist ausserdem die Plattformgrenze: Aktuelle Sophos-Connect-Versionen sollten für neue Rollouts mit Windows 10 oder Windows 11 geplant werden. Alte 32-Bit-Installationen sollten nicht als neuer Standard weitergeführt werden, nur weil sie mit älteren Clientversionen früher möglich waren.

1. Sophos Connect Client herunterladen

Der Sophos Connect Client kann entweder über das VPN Portal der Sophos Firewall oder direkt von der Sophos Webseite heruntergeladen werden.

In verwalteten Umgebungen sollte der Client nicht zufällig von einzelnen Benutzern installiert werden. Sinnvoll ist ein klares Paket mit definierter Version, Rollout-Gruppe und Rückfallplan. Das ist besonders wichtig, wenn Windows ARM, SSL VPN über Sophos Connect oder Provisioning-Dateien genutzt werden.

Sophos Connect sollte regelmässig aktualisiert werden. Neue Versionen enthalten nicht nur Funktionsänderungen, sondern auch aktualisierte Komponenten wie OpenVPN, strongSwan oder OpenSSL.

Für grössere Umgebungen sollte die Installationsquelle eindeutig sein. Wenn gleichzeitig alte MSI-Dateien, ein VPN-Portal-Download und eine Softwareverteilung existieren, installiert der Helpdesk sonst schnell unterschiedliche Clientstände.

2. Sophos Connect Client installieren

Die Installation wird mit der Datei SophosConnect.msi gestartet. Nach Abschluss des Assistenten kann das Fenster mit Finish geschlossen werden.

Nach der Installation sollte die Version direkt im Client oder über die Softwareinventarisierung geprüft werden. Das ist vor allem bei Windows ARM, Entra SSO, Provisioning-Dateien und wiederkehrenden Service-Fehlern wichtig, weil dort kleine Versionsunterschiede das Fehlerbild verändern können.

3. Verbindungsdatei herunterladen

Beim ersten Start benötigt Sophos Connect eine Verbindungskonfiguration. Je nach Remote-Access-Design handelt es sich um eine IPsec-, SSL-VPN- oder Provisioning-Datei.

Typische Verbindungsdateien:

• IPsec Remote Access: .scx oder .tgb; Export unter VPN > Sophos Connect Client.
• SSL VPN: .ovpn; VPN Portal oder administrativer Export.
• Automatischer Import über Provisioning: .pro; zentral vorbereitete Provisioning-Datei.

Bei einer klassischen IPsec-Konfiguration wird die Datei im WebAdmin exportiert:

1. Auf der Sophos Firewall VPN > Sophos Connect Client öffnen.
2. Verbindung exportieren.
3. Datei sicher ablegen und nur an berechtigte Benutzer verteilen.

Bei SSL VPN wird die Konfiguration üblicherweise aus dem VPN Portal oder aus der Remote-Access-Konfiguration bereitgestellt. Die genaue Quelle hängt davon ab, wie Remote Access auf der Firewall eingerichtet wurde. Der detaillierte Ablauf für .ovpn-Import, VPN Portal und SSL-VPN-Tests steht in Sophos SSL VPN mit Sophos Connect auf Windows einrichten.

Profile sollten kontrolliert verteilt werden. Wenn Gateway, Zertifikat, DNS, Benutzergruppe, IP-Pool, SSO oder Authentifizierung geändert wurden, sollte man nicht auf alte Dateien in Downloadordnern vertrauen. Die betroffenen Verbindungen müssen neu exportiert, neu importiert oder über Provisioning sauber aktualisiert werden.

Bei Provisioning-Dateien sollten Gateway, VPN-Portal-Port, Zertifikate, SSO-Bezug und Benutzergruppe besonders sauber geprüft werden. Eine Provisioning-Datei macht die Verteilung einfacher, ersetzt aber keine fachliche Abnahme der Verbindung.

4. Sophos Connect Client einrichten

Die Einrichtung ist in wenigen Schritten erledigt:

1. Sophos Connect öffnen.
2. Import Connection auswählen.
3. Passende Verbindungsdatei importieren.
4. Verbindung unter Connections prüfen.
5. Connect anklicken.
6. Mit dem VPN-Benutzer anmelden und MFA bestätigen, falls aktiviert.

Wenn die Anmeldung erfolgreich ist, sollte Sophos Connect die Verbindung als verbunden anzeigen. Danach sollte man nicht nur den grünen Status prüfen, sondern auch DNS, interne Ziele und Firewall-Regeln testen. Wenn die Verbindung steht, aber kein Traffic fliesst, hilft Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Bei Entra ID SSO sollte zusätzlich geprüft werden, ob der SSO-Flow wirklich über den erwarteten Microsoft-Entra-ID-Server läuft und ob Conditional Access oder MFA wie geplant greifen. Ein erfolgreicher lokaler Login beweist nicht automatisch, dass SSO, Gruppen-Mapping und VPN-Berechtigung korrekt sind.

Nach der Installation prüfen

Nach der Installation sollten diese Punkte kontrolliert werden:

• Sophos Connect Version passt zur Plattform, besonders bei Windows ARM.
• Importierte Datei entspricht dem gewünschten Protokoll: IPsec oder SSL VPN.
• Benutzer ist in der richtigen VPN-Gruppe berechtigt.
• MFA funktioniert und blockiert den Verbindungsaufbau nicht.
• Client erhält eine passende VPN-IP.
• Interne DNS-Namen werden aufgelöst.
• Firewall-Regeln für die VPN-Zone erlauben nur die benötigten Ziele.
• Alte Profile wurden nicht versehentlich weiterverwendet.

Wenn vor einem SFOS-22-MR1-Upgrade noch alte Remote-Access-IPsec-Konfigurationen vorhanden sind, sollte zuerst Legacy Remote Access IPsec vor SFOS 22 MR1 migrieren geprüft werden.

Abnahmetest für Windows

Ein grüner Clientstatus reicht nicht als Abnahme. Für einen belastbaren Rollout sollte ein Testbenutzer diese Punkte prüfen:

1. Clientversion prüfen: Version passt zu Windows 10/11, Windows ARM und interner Freigabe.
2. Profil importieren: .scx, .tgb, .ovpn oder .pro wird korrekt erkannt.
3. SSO testen: Entra SSO startet nur dort, wo es geplant ist.
4. MFA testen: OTP, RADIUS-MFA oder Entra-MFA verhält sich wie dokumentiert.
5. DNS testen: Interne FQDNs lösen korrekt auf.
6. Zugriff testen: Erlaubte Ziele funktionieren, nicht erlaubte Ziele bleiben blockiert.
7. Log Viewer prüfen: Traffic aus der VPN-Zone trifft die erwartete Firewall-Regel.
8. Reconnect testen: Netzwerkwechsel, Standby und erneutes Verbinden sind nachvollziehbar.

Bei gemischten Umgebungen sollte mindestens ein klassisches Windows-10/11-Gerät und ein Windows-ARM-Gerät getestet werden, wenn ARM produktiv vorkommt. Wenn zusätzlich macOS-Clients im Einsatz sind, sollte das Verhalten getrennt dokumentiert werden.

Rollout-Hinweise für verwaltete Windows-Clients

Bei wenigen Benutzern kann eine manuelle Installation reichen. In grösseren Umgebungen sollte Sophos Connect über die normale Softwareverteilung oder Endpoint-Verwaltung gesteuert werden.

Vor einem breiten Rollout klären:

• Welche Sophos-Connect-Version ist freigegeben?
• Welche Windows-Versionen und CPU-Architekturen sind im Einsatz?
• Wird IPsec, SSL VPN, Entra SSO oder Provisioning verwendet?
• Gibt es Benutzer mit OTP, RADIUS-MFA oder Entra-MFA?
• Wie werden neue Profile verteilt?
• Wie werden alte Profile entfernt oder als veraltet markiert?
• Wer prüft nach Clientupdates DNS, Firewall-Regeln und Reconnect-Verhalten?
• Welche Logs und Screenshots braucht der Helpdesk für Supportfälle?

Bei gemeinsam genutzten Windows-Geräten sollte besonders geprüft werden, ob Sophos Connect für alle betroffenen Benutzer zuverlässig startet. Sophos Connect 2.5 MR1 enthält eine Korrektur für einen Fall, in dem der Client für zusätzliche Windows-Benutzer nicht automatisch startete, wenn er durch einen anderen Benutzer installiert wurde.

Troubleshooting

Sophos Connect startet nicht oder zeigt Service-Fehler

Zuerst prüfen, ob der Sophos-Connect-Dienst läuft und ob eine aktuelle Clientversion installiert ist. Bei älteren Installationspaketen lohnt sich meist eine saubere Neuinstallation mit der freigegebenen Version. Wenn mehrere Windows-Benutzer dasselbe Gerät verwenden, sollte zusätzlich geprüft werden, ob der Client im Benutzerkontext korrekt automatisch startet.

Verbindung wird importiert, aber nicht aufgebaut

Dann sind meistens Benutzerberechtigung, MFA, Zertifikat, Preshared Key, Firewallversion oder ein falscher Dateityp beteiligt. IPsec- und SSL-VPN-Profile sollten nicht vermischt werden. Bei Provisioning-Dateien zusätzlich Gateway, VPN-Portal-Port, Zertifikat, SSO-Konfiguration und erreichbare Microsoft-Endpunkte prüfen, falls Entra SSO beteiligt ist.

SSO-Status ist nach Internetunterbruch unklar

Bei Entra-SSO-Umgebungen kann ein Internetunterbruch zu irritierenden Statusanzeigen führen. Sophos Connect 2.5 MR1 enthält dazu eine Korrektur für SSO-Benutzer. Trotzdem sollte man zusätzlich prüfen, ob der Tunnel wirklich getrennt ist, ob der Client neu verbindet und ob die Firewall unter Authentication > Services den erwarteten Microsoft-Entra-ID-Server verwendet.

OTP wird beim Reconnect anders abgefragt

Wenn klassische OTP- oder MFA-Benutzer IPsec und SSL VPN parallel verwenden, sollte das Reconnect-Verhalten getestet werden. Sophos Connect 2.5 MR1 behebt einen Unterschied bei der Login-Verifikation zwischen IPsec und SSL VPN für Credential-Benutzer mit OTP.

Verbindung steht, aber interne Systeme sind nicht erreichbar

In diesem Fall liegt die Ursache häufig nicht beim Client, sondern bei Firewall-Regeln, Routing, DNS oder NAT. Im Log Viewer sollte sichtbar sein, ob Traffic aus der VPN-Zone die erwartete Regel trifft. Für IPsec-Sonderfälle hilft Sophos Firewall IPsec VPN Troubleshooting.

Verbindung funktioniert nach Profiländerung nicht mehr

Nach Änderungen an Gateway, Zertifikat, VPN-Portal-Port, DNS, IP-Pool, Benutzergruppe, Entra SSO oder Authentifizierung sollte das Profil neu verteilt oder neu importiert werden. Ein Clientupdate ersetzt kein altes Profil automatisch.

Verbindung steht, aber grosse Transfers hängen

Wenn Login, DNS und kleine Zugriffe funktionieren, grössere Dateiübertragungen oder bestimmte Anwendungen aber hängen, sollte zusätzlich MTU/MSS geprüft werden. Das Fehlerbild passt oft zu Fragmentierung, PPPoE, getunnelten Verbindungen oder einem asymmetrischen Pfad. Der Ablauf steht in Sophos Firewall MTU und MSS bei VPN-Problemen prüfen.

Supportdaten sammeln

Wenn der Fehler nicht direkt sichtbar ist, sollte man Zeitpunkt, Benutzer, Windows-Version, CPU-Architektur, Sophos-Connect-Version, Profiltyp, Quellnetz und Zielsystem dokumentieren. Auf der Firewall helfen Log Viewer, sslvpn.log, IPsec-Logs, Packet Capture und die betroffene Firewall-Regel. Die Zuordnung der Logdateien steht in Sophos Firewall Troubleshooting: Services und Logs.

FAQ