Sophos Connect Client Troubleshooting

Wenn Sophos Connect nicht verbindet, beginnt die Diagnose am Endpoint: Fehlerzeit notieren, unter Events die Meldung zu diesem Versuch lesen und nur den betroffenen Pfad prüfen. Änderungen an Firewall-Regeln, VPN-Policy oder Zertifikaten auf Verdacht erschweren die Analyse. Dieses Runbook behandelt den Client unter Windows und macOS; die Installation erklären die Anleitungen für Windows und macOS.

Schnell eingrenzen

1. Ausgangslage festhalten: Uhrzeit mit Zeitzone, Benutzer, Betriebssystem, Sophos-Connect-Version, IPsec oder SSL VPN und Profilquelle (.scx, .ovpn oder .pro).
2. Lokales Netz prüfen: Der physische Adapter braucht eine gültige IP-Adresse. Ein öffentlicher Name muss ohne VPN auflösbar sein.
3. Event lesen: Unter Events den Eintrag mit dem Verbindungsversuch abgleichen. Wortlaut und Platzhalterwerte unverändert sichern.
4. Client oder Gegenstelle trennen: Startet GUI oder Dienst nicht, bleibt die Analyse am Endpoint. Erreicht der Client das Gateway, scheitert aber an Policy, Authentifizierung oder IKE, muss der Firewall-Admin korrelieren.
5. Ergebnis prüfen: Nach genau einer Massnahme erneut verbinden und einen neuen Zeitstempel notieren.
6. Eskalieren: Wiederholbare Fehler mit Event, VPN-Log und scvpntsr.zip übergeben; keine Zugangsdaten in das Ticket schreiben.

Ein Status Connected beweist nur den Tunnelaufbau. DNS, Routing und der Zugriff auf ein erlaubtes internes Ziel sind getrennte Tests.

Events richtig lesen

Die Meldung unter Events ist der beste erste Filter. Sie beschreibt jedoch nicht in jedem Fall die endgültige Ursache. Beispielsweise kann DNS resolution failed nur bestätigen, dass der Client den Gatewaynamen nicht auflösen konnte; warum der verwendete Resolver nicht antwortet, muss separat geklärt werden.

Netzwerk, DNS und Provisioning

• No network connection: Ethernet oder WLAN hat keine IP-Adresse. Zuerst lokale Konnektivität ohne VPN wiederherstellen.
• DNS resolution failed: Der Gatewayname lässt sich nicht auflösen. Prüfen, ob am physischen Interface ein DNS-Server zugewiesen ist, und unter Windows in Command Prompt beziehungsweise unter macOS in Terminal nslookup www.sophos.com ausführen. Erwartet wird mindestens eine IP-Adresse. Scheitert bereits dieser öffentliche Test, liegt der nächste Schritt beim lokalen Netz oder Provider, nicht bei der VPN-Policy.
• DNS resolution failed for gateway: <gateway name:port>: Hostname im Provisioning ist ungültig; bei importierter .ovpn muss der Firewall-Admin die SSL-VPN-Einstellungen prüfen.
• Cannot connect to policy gateway: <gateway name>: Für Provisioning auf Windows und auf macOS ab Sophos Connect 2.1. gateway und user_portal_port mit Gateway und HTTPS-Port des VPN Portals vergleichen. Auch ein blockierter ausgehender Port oder ein nicht erreichbares Policy-Gateway kommt infrage.
• Import file contains a duplicate connection: <connection name>: Für Provisioning auf Windows und auf macOS ab Sophos Connect 2.1. Doppelte display_name-Werte in der .pro-Datei eindeutig benennen.
• The connection data could not be added. Connection with name <connection name> already exists: Bereits importierte Verbindung prüfen und nur dann löschen, wenn die aktuelle Profilquelle für den erneuten Import verfügbar ist.

Anmeldung und Profilstand

• User authentication of <username entered> failed: Eingabe einmal sorgfältig wiederholen. Wiederholt sich der Fehler, muss der Firewall-Admin Kennwortstatus, Benutzer und VPN-Berechtigung prüfen. Mehrfaches Raten kann Sperrmechanismen auslösen.

• Server expected remote ID <expected ID value> but got <actual ID value>: Local-ID auf Firewall und Clientprofil stimmen nicht überein. Aktuelles Profil vom Firewall-Admin beziehen.

• Possible pre-shared key mismatch <connection name>: Nur IPsec. Preshared Key und exportiertes Profil sind nicht auf demselben Stand; den Schlüssel nicht im Ticket oder Chat übertragen.

• No SSL VPN policy is defined for this user: <username>: Die SSL-VPN-Remote-Access-Policy enthält keine passenden Mitglieder. Das ist eine firewallseitige Berechtigungsaufgabe.

• The Single sign-on (SSO) option is grayed out: Windows ab Sophos Connect 2.4; macOS ab 2.1. Die aktuelle Fehlerhilfe nennt für beide Plattformen fehlende sso_api_port- und sso_api_domain-Werte im .ovpn- oder .scx-Profil. Den Firewall-Admin eine aktualisierte Konfiguration bereitstellen lassen, diese importieren und erneut verbinden; das ist keine Aufforderung zur manuellen Bearbeitung der Profile. macOS-Client 2.0 erhält dadurch keine SSO-Unterstützung.

• SSO Authentication failed due to Webview2 setup error: WebView2 und den Windows-Update-Stand reparieren beziehungsweise aktualisieren; der Client konnte die Microsoft-Anmeldeseite nicht öffnen.

• Entra-SSO-Anmeldung scheitert im Browser oder kehrt nicht zum Client zurück (macOS, Sophos Connect ab 2.1): Den macOS-SSO-Browserablauf für Browserwahl, Fallback und Rückkehr zu Sophos Connect prüfen. Ist eine andere Browserwahl nötig, die IT eine freigegebene .pro gemäss dem Provisioning-Schema für sso_auth_browser_type bereitstellen lassen. Compliance-Anforderungen erfüllen oder die IT kontaktieren; Conditional Access, MFA und Zertifikatsprüfungen nicht abschwächen.

IPsec-Events

• UDP ports 500/4500 blocked: Lokale Firewall oder Router blockiert IKE/NAT-T. Wenn man den Router nicht verwaltet, mit einem mobilen Hotspot gegenprüfen. Funktioniert derselbe Client dort, ist das ein starker Hinweis auf den ursprünglichen Netzwerkpfad.
• No response from gateway: <gateway FQDN or IP specified in connection>: Das IPsec-Gateway antwortet nicht auf IKE. Erreichbarkeit und öffentliche WAN-Anbindung muss der Firewall-Admin prüfen.
• Received NO_PROPOSAL_CHOSEN notification from gateway: Sophos-Connect-Policy ist nicht aktiv oder Phase-1-Proposal und exportiertes Profil passen nicht zusammen. Keine Proposals blind lockern; Policy und Profil kontrolliert abgleichen.
• SA disabled or deleted by gateway: Das Gateway hat die SA gelöscht, etwa nach einer Policyänderung oder manuellen Trennung. Einmal neu verbinden; bei Wiederholung mit dem Firewall-Zeitstempel korrelieren.
• Failure to add route [network/mask] prevented phase 2 completion: Nur Windows. Nach aufgebauter Phase-2-SA konnte die Route nicht gesetzt werden. TAP-Adapter deaktivieren und wieder aktivieren. Bleibt der Fehler, Command Prompt als Administrator öffnen:

net stop scvpn
net start scvpn

Danach wird erwartet, dass der Dienst wieder läuft und ein neuer Verbindungsversuch die Route setzt. Das Stoppen unterbricht bestehende Sophos-Connect-Tunnel auf diesem Gerät.

• Failed to load connection info into strongSwan: Nur Windows; charon-svc.exe beziehungsweise der strongSwan-Dienst läuft nicht. In Command Prompt als Administrator starten:

net start strongswan

Wenn der Dienst nicht startet oder erneut ausfällt, nicht in einer Neustartschleife fortfahren, sondern Supportreport und Windows-Ereignisse sichern.

SSL-VPN-Events

• Policy mismatch error. Will download policy and retry connection.: Eine unter Windows mit .pro erstellte Verbindung lädt die geänderte Policy und verbindet automatisch neu. Bei TCP erkennt der Client die Änderung im verbundenen Tunnel; bei UDP muss unter Umständen zuerst der Inactivity-Timer ablaufen.
• Policy mismatch error. Import a new policy for this connection.: Eine manuell importierte .ovpn ist veraltet. Neue benutzerspezifische .ovpn aus dem VPN Portal beziehen und importieren.
• Compression mismatch error. Will retry connection.: Bei .ovpn manuell neu verbinden; eine provisionierte Verbindung versucht es automatisch.
• Server certificate cannot be verified: <gateway name>. Do you want to continue? Beim Provisioning präsentiert das VPN Portal ein Zertifikat, das der Endpoint nicht prüfen kann, meist das selbst signierte Firewall-Zertifikat. Nur fortfahren, nachdem Gateway und Zertifikat über einen vertrauenswürdigen Kanal bestätigt wurden. Dauerhaft sollte der Firewall-Admin ein öffentlich vertrauenswürdiges Zertifikat für Admin console and end-user interaction zuweisen oder die Sophos-Firewall-CA kontrolliert an die Trust Stores verwalteter Endpoints verteilen. Die Zertifikatsprüfung nicht abschalten.
• Could not connect to untrusted server: <gateway>: Die Zertifikatswarnung wurde abgebrochen. Erst Identität und Vertrauenskette klären, dann erneut versuchen.
• Timed out waiting for server response: Override Hostname oder DDNS löst nicht zur korrekten öffentlichen Adresse auf, oder beides fehlt und das WAN-Interface hat keine öffentliche Adresse. Bei einer Windows-Verbindung aus .pro nach der Korrektur Update policy verwenden; bei .ovpn eine neue Datei herunterladen und importieren.

GUI- und Dienstfehler beheben

Oberfläche öffnet nicht oder reagiert nicht

Unter Windows Task Manager > Details öffnen, scgui.exe auswählen, End task ausführen und Sophos Connect über die Desktopverknüpfung neu starten. Unter macOS in Activity Monitor den Prozess Sophos Connect öffnen, Force Quit wählen und die Anwendung aus Launchpad neu starten. Das beendet die festgefahrene Oberfläche, nicht automatisch die Ursache. Wiederholt sich der Fehler, Version und scgui.log sichern.

Service is unavailable

Unter Windows bedeutet das Event, dass scvpn nicht läuft. Command Prompt als Administrator öffnen:

net start scvpn

Bei Service Unavailable nach einem hängenden IPsec-Disconnect auf macOS zuerst die GUI in Activity Monitor beenden. Danach in Terminal mit Administratorrechten den dokumentierten Dienst neu laden:

sudo /bin/launchctl unload -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist
sudo /bin/launchctl load -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist

Sophos Connect erneut öffnen und prüfen, ob die Meldung verschwunden ist. Diese Befehle unterbrechen den Tunnel. Bei wiederkehrendem Fehler nicht wiederholt Dienste neu laden, sondern Logs und Report sichern.

Weitere lokale SSL-VPN-Dienstfehler

• Management port is unavailable: Sophos Connect konnte TCP-Port 25340 für die Kommunikation mit OpenVPN nicht belegen. Prüfen, welche andere lokale Anwendung den Port verwendet, und diese nur beenden, wenn ihre Funktion bekannt ist. Danach erneut verbinden.
• OpenVPN service is unavailable: Unter Windows den Starttyp des OpenVPN-Dienstes prüfen. Ist er auf Disabled gesetzt, den bisherigen Wert dokumentieren, auf Manual ändern und anschliessend den Sophos-Connect-Dienst neu starten. Das unterbricht aktive Tunnel. Danach Dienst und Verbindung prüfen; scheitert der Versuch, den vorherigen Starttyp wiederherstellen und eskalieren. Diese Windows-Diensteinstellung nicht auf macOS übertragen.
• Failed to create temporary file: Gerät neu starten. Der Client konnte die temporäre Datei zur Übergabe der Verbindungsattribute nicht erstellen.
• Failed to write to pipe oder allgemeiner SSL VPN error: Einmal neu verbinden. Bleibt der Fehler, Gerät neu starten; danach mit Logs eskalieren statt fortlaufend neu zu starten.
• Sophos Connect can’t establish a tunnel nach paralleler Clientinstallation: Die Fehlerhilfe beschreibt für den alten Sophos SSL VPN Client eine Neuinstallation beider Clients in der Reihenfolge alter SSL VPN Client, dann Sophos Connect. Die Installationsanleitung schliesst den Parallelbetrieb mit anderen VPN-Clients jedoch aus. Diese widersprüchlichen Angaben sind keine allgemeine Freigabe für Koexistenz. Wird der alte Client nicht mehr benötigt, bleibt man beim freigegebenen Zielsetup ohne ihn; sind beide zwingend nötig, zuerst die konkrete Kombination mit Sophos klären und einen getrennten Pilot sowie Rückweg planen, statt auf Verdacht beide zu installieren.
• Manuell importierte .ovpn- oder .scx-Profile rufen spätere Richtlinienänderungen nicht automatisch ab. Auto-connect und Update policy benötigen Provisioning: auf Windows mit einem passenden Client, auf macOS ab 2.1, nicht mit 2.0. auto_connect_host aktiviert Auto-connect; Update policy steht nach der ersten erfolgreichen Verbindung bereit. Rename, Clear credentials und Delete bleiben separate Verbindungsaktionen; nach Delete ist für manuelle Profile ein erneuter Import nötig.
• Nach Upgrade oder Deinstallation laufen auf einem Mac mit Sophos Endpoint alte Prozesse weiter: Tamper Protection kann laut Fehlerhilfe das Entladen der Sophos-Connect-Daemons verhindern. Logs sichern, den Mac im Wartungsfenster einmal neu starten und danach Client- und Prozesszustand prüfen. Die aktuelle Deinstallationsanleitung nennt keine pauschale Schutzdeaktivierung mehr; daraus folgt weder eine solche Pflicht noch die Zusicherung, dass der Schutz nie beteiligt ist. Bleibt die Entfernung blockiert, die konkrete Endpoint-/Clientkombination mit der IT oder Sophos klären. Nur eine ausdrücklich freigegebene vorübergehende Schutzänderung vornehmen und den aktiven Schutz anschliessend am Endpoint und in der Verwaltung prüfen, auch bei einem gescheiterten Versuch. Profilschutz und Rückweg stehen im macOS-Deinstallationsablauf; Daemons nicht wiederholt beenden.

Verbunden, aber DNS oder Traffic funktioniert nicht

Zuerst eine klare Trennlinie ziehen:

• Interne IP-Adresse erreichbar, interner FQDN nicht: DNS-Server, Suchdomain und Profilstand prüfen. Bei einer DNS-Änderung während eines aktiven IPsec-Tunnels zeigt Sophos Connect die neuen Werte erst nach Trennen und erneutem Verbinden.
• Nach einem getrennten Full Tunnel funktioniert Webzugriff nicht mehr: Besonders unter macOS können interne DNS-Server am physischen Adapter verbleiben. Lokale WLAN- oder Ethernet-Verbindung trennen und wieder verbinden. Wiederholt sich das, Version, Profil und Zeitpunkt dokumentieren; DNS nicht dauerhaft manuell überschreiben.
• Weder interne IP noch Name erreichbar: Das ist kein Beweis für einen Clientfehler. VPN-IP, Zielnetz, Rückroute, NAT und Firewall-Regel auf der Sophos Firewall prüfen. Firewall-Regeln mit Log Viewer, Policy Test und Packet Capture prüfen übernimmt diese Diagnose.
• Nur IPsec-Aufbau oder SAs scheitern: Das firewallseitige Runbook ist Sophos Firewall IPsec VPN Troubleshooting.
• SSL-VPN-Policy oder Gatewaykonfiguration ist falsch: Die Konfiguration gehört in SSL VPN Remote Access einrichten, nicht in einen Client-Service-Workaround.
• Kleine Zugriffe funktionieren, grosse Transfers hängen: MTU/MSS entlang des Pfads prüfen. Dafür gibt es Sophos Firewall MTU und MSS bei VPN-Problemen prüfen.

Received connection reset from gateway: <gateway name> steht bei SSL VPN in scvpn.log, wenn die Firewall SSL-VPN-Einstellungen geändert hat, den Benutzer trennt oder neu startet. Eine aktuelle Konfiguration importieren und erneut verbinden. Clientlogs allein können die konkrete firewallseitige Aktion nicht beweisen.

Logs und Technical Support Report sichern

Für den Einstieg Events öffnen oder über das Drei-Punkte-Menü Open VPN log wählen. Vor einem Neustart möglichst die aktuelle Fehlersituation sichern: Jede Logdatei wird nur einmal rotiert. Nach einem Neustart von Endpoint oder Client liegt die vorherige Sitzung beispielsweise in openvpn.log.old, die neue in openvpn.log. Für die Logs ist kein maximales Grössenlimit dokumentiert; .txt-Dateien werden nicht rotiert.

Für Received connection reset from gateway nennt Sophos scvpn.log im Installationsordner, veröffentlicht jedoch keinen versionsübergreifend stabilen Windows- oder macOS-Pfad zum Logordner. Deshalb keinen Pfad erraten oder fest eintragen, sondern Open VPN log oder den Supportreport verwenden. Die macOS-Dienstbefehle oben nutzen bewusst den dokumentierten absoluten Pfad /Library/LaunchDaemons/com.sophos.connect.scvpn.plist.

Über Drei-Punkte-Menü > About > Generate technical support report erzeugt Sophos Connect scvpntsr.zip. Der Report umfasst VPN-Konfigurationen, Verbindungsereignisse, Provisioning-Details, SSO-Authentifizierungsinformationen, Browserdetails und Endpoint-Informationen. Dazu gehören die folgenden Diagnosedateien:

• openvpn.log: SSL-VPN-Verbindungsversuche, Status, virtuelles Interface, Paketfluss und Fehler.
• charon.log: strongSwan, IKE, ESP, Sicherheitsereignisse, Konfigurationsänderungen und Paketfluss.
• scvpn.log: Anmeldung, Verbindung, Trennung und weitere VPN-Events.
• scgui.log: Versionen von Sophos Connect und OpenVPN, WebView2-Versionsangaben nur unter Windows sowie SSO-Anmeldungen. Daraus keine WebView2-Abhängigkeit für macOS ableiten.
• configs.txt: Details importierter .pro-, .ovpn- und .scx-Verbindungen; Sophos beschreibt diese Datei als ohne personenbezogene Daten.
• route.txt: Routingtabellen des Endpoints.
• ipconfig.txt: IP-Konfiguration des Endpoints.
• systeminfo.txt: Systeminformationen des Endpoints.

Die Aussage zu fehlenden personenbezogenen Daten bezieht sich nur auf configs.txt, nicht auf das gesamte Archiv und nicht auf die Unbedenklichkeit aller enthaltenen Konfigurationsdaten. Den Report wie vertrauliches Supportmaterial nach interner Richtlinie ablegen und nur über den freigegebenen Übertragungsweg berechtigten Stellen zur Verfügung stellen. Kennwörter, OTPs oder private Schlüssel nie in den Tickettext oder einen öffentlichen Logauszug kopieren.

SCCLI auf macOS ergänzend prüfen

Die dokumentierte Standardposition des SCCLI-Werkzeugs ist /Library/Sophos\ Connect/. Auf einem Pilot-Mac zuerst prüfen, ob das tatsächlich installierte Paket dort sccli enthält und welche Optionen dessen lokale Hilfe ausweist. Die folgenden lesenden Beispiele zeigen Version und Verbindungen; sie melden keinen hier durchgeführten macOS-Laufzeittest und belegen weder MDM-Verteilung noch eine Übertragbarkeit von Windows-Skripten:

/Library/Sophos\ Connect/sccli show --version
echo $?
/Library/Sophos\ Connect/sccli list -d
echo $?

Den Status mit echo $? unmittelbar nach dem jeweiligen SCCLI-Befehl abfragen, bevor ein anderer Befehl ihn überschreibt. Windows Command Prompt verwendet stattdessen echo %ERRORLEVEL%; das ist keine macOS-Syntax. Die Shell liefert den Prozessstatus, nicht zwingend den unveränderten numerischen Diagnosecode einer internen Clientmeldung. Fehlt das Binary oder startet es nicht, Paket und Installationszustand prüfen, nicht den Status als Tunneltest werten.

Die Fehlerreferenz nennt -1 für ungültige Optionen oder leere Anmeldedaten, 1 für ungültige beziehungsweise nicht parsebare Eingaben, 2 für eine fehlende Datei oder ein leeres Kennwort/Zertifikat, 5 für nicht lesbare Dateien, 14 für eine nicht parsebare Antwort, 101 für eine fehlgeschlagene Anfrage und 120 für fehlende Serverdaten. 1016 fordert Anmeldedaten an, 1024 bedeutet «Verbindung nicht gefunden», 1101 bezeichnet eine fehlgeschlagene Anmeldung und 9009 einen nicht gefundenen oder nicht startbaren Befehl. Diese Codes sind Diagnosehinweise der Referenz, keine Zusicherung, dass jeder davon auf macOS genau so als Shellstatus erscheint. Exakte Meldung, unmittelbaren Status und Clientversion gemeinsam erfassen; bei Datei- oder Verbindungsfehlern Quelle und Namen prüfen, bei Anmeldefehlern Berechtigung und Authentifizierung mit der IT klären, statt Kennwörter wiederholt zu raten.

SCCLI bietet ausserdem add, remove, update, enable, disable, get und show; daraus folgt kein neu eingeführter oder für jede Mac-Version geprüfter Befehlssatz. Zustandsändernde Aktionen gehören nicht zu diesem Diagnosebeispiel: remove kann eine aktive Verbindung zuerst trennen und keine verwaltete Verbindung entfernen; Policies können add, remove oder disable beschränken. Auto-connect durch add -a ist in der Quelle als TBD gekennzeichnet und wird hier nicht als funktionierender Rolloutweg beschrieben. Kennwörter oder OTPs niemals als Befehlsargumente, in Skripte, Shell-History oder Logs schreiben. Falls ein separat freigegebener Anmeldeablauf SCCLI nutzt, dessen interaktive Abfrage verwenden, nicht die dokumentierten Kennwortargumente. Für weitere Optionen die Hilfe des installierten Werkzeugs lesen; Änderungen nur mit gesicherter Profilquelle, freigegebenem Rückweg und anschliessendem VPN-Test vornehmen.

Sauber eskalieren

Ein verwertbarer Fall enthält Betriebssystem und Build, Sophos-Connect-Version, Profiltyp und -quelle, Fehlerzeit mit Zeitzone, exakten Eventtext, erwartetes Ziel, Ergebnis per IP und per Name sowie scvpntsr.zip. Bei firewallseitigem Verdacht kommen der korrespondierende Log-Viewer-Ausschnitt und die zuständigen IPsec- oder SSL-VPN-Logs hinzu; Sophos Firewall Services und Logs ordnet sie ein.

Eskalieren, wenn ein Dienst nach einmaligem kontrolliertem Start erneut ausfällt, derselbe Fehler in einem freigegebenen Profil reproduzierbar ist, Zertifikatsidentität unklar bleibt oder Client- und Firewallzeitstempel einander widersprechen. Ein Supportfall lässt sich mit Sophos Supportticket vorbereiten und eröffnen strukturiert übergeben.

FAQ