Sophos Connect Provisioning mit .pro und GPO einrichten

Eine Sophos-Connect-Provisioning-Datei mit der Endung .pro ist kein fertiges VPN-Profil. Sie teilt dem Windows-Client mit, über welches VPN Portal er die für den Benutzer freigegebenen IPsec- und SSL-VPN-Konfigurationen abrufen soll. Erst nach erfolgreicher Anmeldung importiert Sophos Connect die eigentliche .scx- oder .ovpn-Datei.

Das ist besonders praktisch, wenn Profile zentral verteilt und spätere Änderungen automatisch nachgeführt werden sollen. Gleichzeitig wird das VPN Portal Teil des produktiven Anmeldewegs. Erreichbarkeit, Zertifikat, MFA, Benutzerzuordnung und Portal-Härtung sind deshalb genauso wichtig wie die JSON-Syntax der Datei.

⚠️ Für Remote Provisioning muss das VPN Portal aus dem WAN erreichbar sein. Das vergrössert die öffentlich erreichbare Angriffsfläche. Vor dem Rollout braucht es ein vertrauenswürdiges Zertifikat, MFA, enge Local Service ACLs, getestete Login-Sperren und einen Rückfallweg mit manuell verteiltem Profil.

Provisioning in acht Schritten

1. IPsec Remote Access oder SSL VPN auf der Firewall vollständig konfigurieren und mit einer manuell importierten Datei testen.
2. Das VPN Portal mit einem vertrauenswürdigen FQDN und Zertifikat bereitstellen.
3. Unter Administration > Device access nur die wirklich benötigten Quellzonen oder Quellnetze für das VPN Portal freigeben.
4. Eine minimale .pro-Datei mit display_name, gateway und vpn_portal_port erstellen.
5. MFA, Auto-Connect und Gateway-Reihenfolge nur ergänzen, wenn der jeweilige Ablauf bereits feststeht.
6. Die Datei zuerst manuell mit einem Pilotbenutzer importieren und IPsec sowie SSL VPN getrennt prüfen.
7. Sophos Connect und .pro anschliessend über eine kontrollierte GPO an eine kleine Pilotgruppe verteilen.
8. Portal-Login, importierte Profile, Tunnel, interne Ziele, Logs, Update Policy und Rollback abnehmen.

Wann eine .pro-Datei passt

Provisioning passt gut zu verwalteten Windows-Endgeräten, auf denen Sophos Connect für IPsec, SSL VPN oder beide Verfahren eingesetzt wird. Die Firewall stellt nach der Portal-Anmeldung das IPsec-Profil für alle berechtigten Benutzer bereit. Eine SSL-VPN-Konfiguration wird nur importiert, wenn der Benutzer Mitglied einer passenden SSL-VPN-Policy ist.

Beim ersten Provisioning kann SFOS einen noch nicht lokal vorhandenen Verzeichnisbenutzer automatisch erstellen und anhand des Authentifizierungsserver-Mappings einer Gruppe zuordnen. Der Benutzer muss sich dann nicht vorgängig am VPN Portal oder Benutzerportal anmelden. Diese automatische Erstellung ersetzt jedoch keine Prüfung der Gruppenreihenfolge und der tatsächlichen VPN-Berechtigung.

Eine manuell verteilte .scx- oder .ovpn-Datei bleibt sinnvoll, wenn das VPN Portal nicht aus dem Internet veröffentlicht werden soll, nur wenige Clients existieren oder das Portal als zusätzliche Abhängigkeit unerwünscht ist. Auf macOS unterstützt Sophos Connect keine .pro-Provisionierung; dort werden .scx und .ovpn direkt importiert. Für IPsec-Provisioning auf Windows ist Sophos Connect 2.1 oder neuer erforderlich.

Die eigentliche VPN-Konfiguration bleibt in den Fachartikeln: Sophos Connect IPsec auf der Firewall konfigurieren und SSL VPN Remote Access einrichten.

Voraussetzungen und Beispielwerte

Das folgende Beispiel verwendet den öffentlichen Portalnamen vpn.example.com und den internen Prüfhost intranet.corp.example. Beide Namen sind Platzhalter:

• vpn.example.com wird durch den echten, öffentlich und intern korrekt auflösbaren VPN-Portal-FQDN ersetzt. Das Portalzertifikat muss für diesen Namen gültig und auf den Clients vertrauenswürdig sein.
• intranet.corp.example wird nur dann als auto_connect_host verwendet, wenn der Host stabil erreichbar ist und ausschliesslich aus dem internen Netz antwortet. Ein öffentlicher oder unzuverlässiger Host würde die Netzerkennung verfälschen.
• Port 443 ist der Standardport des VPN Portals. Verwendet die Firewall einen anderen Port, muss derselbe Wert in vpn_portal_port stehen.

Vor dem Schreiben der Datei müssen mindestens diese Punkte positiv getestet sein:

• Das gewünschte IPsec- oder SSL-VPN-Profil funktioniert mit einem manuellen Import.
• Das VPN Portal ist über den vorgesehenen FQDN erreichbar und verwendet eine vollständige Zertifikatskette.
• Benutzer, Hauptgruppen, SSL-VPN-Policy und Authentifizierungsmethoden stimmen.
• Bei Microsoft Entra ID SSO verwenden VPN Portal, IPsec und SSL VPN im Provisioning-Ablauf denselben Entra-ID-Server unter Authentication > Services.
• Der Wert von gateway entspricht bei Entra ID SSO der Redirect URI der Firewall.
• MFA und der negative Test mit einem nicht berechtigten Benutzer funktionieren.

Für die öffentliche Portal-Freigabe hilft Device Access und Local Service ACL. Wiederholte Fehlanmeldungen und die Absicherung eines WAN-erreichbaren Portals behandelt Brute-Force-Schutz für das VPN Portal.

Provisioning-Datei erstellen

Eine .pro-Datei ist JSON. gateway ist das einzige Pflichtfeld; für einen nachvollziehbaren Betrieb sollten trotzdem Anzeigename und Portal-Port ausdrücklich gesetzt werden. Die Datei wird mit einem Texteditor erstellt und beispielsweise als avanet-vpn.pro gespeichert.

Minimales Profil für ein Gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name darf höchstens 60 Zeichen enthalten. Ohne Anzeigename zeigt Sophos Connect den gateway-Wert an. can_save_credentials blendet bei true die Möglichkeit zum Speichern von Benutzername und Passwort ein; für SSO wird diese Einstellung nicht verwendet. Ob gespeicherte Zugangsdaten erlaubt sind, ist eine Sicherheitsentscheidung und kein Komfort-Default.

Mit check_remote_availability prüft der Client beim Verbindungsstart die Erreichbarkeit. run_logon_script startet nach aufgebautem Tunnel das vom Domain Controller bereitgestellte Anmeldeskript. Beides wird erst aktiviert, wenn der Pilot zeigt, dass der betreffende Pfad tatsächlich gebraucht wird.

Die ältere Schreibweise user_portal_port wird weiterhin akzeptiert. Sie bezeichnet heute trotzdem den Port des VPN Portals. Für neue Dateien ist vpn_portal_port eindeutiger.

Auto-Connect richtig planen

auto_connect_host hilft Sophos Connect zu erkennen, ob der Client bereits im internen Netz steht. Sobald eine Netzwerkschnittstelle eine neue oder geänderte IP-Adresse erhält, prüft der Client diesen Host. Ist er nicht erreichbar, wird die Verbindung aktiviert. Der Tunnel wird automatisch aufgebaut, wenn Zugangsdaten gespeichert sind oder die letzte Anmeldung über SSO erfolgte.

"auto_connect_host": "intranet.corp.example"

Der Prüfhost ist kein allgemeiner Internet-Health-Check. Er muss intern stabil, eindeutig auflösbar und von aussen nicht erreichbar sein. Vor dem Rollout wird der Test sowohl im Firmennetz als auch über ein externes Netz durchgeführt. Eine leere Zeichenfolge "" deaktiviert Auto-Connect.

Für ein vollständiges Always-on-Konzept gelten zusätzliche Grenzen. Gespeicherte Zugangsdaten, SSO, MFA und das Verhalten nach Netzwerkwechseln müssen zusammenpassen. Die Unterschiede erklärt Sophos SSL VPN im Autostart mit Auto-Login.

Mehrere Gateways verwenden

Mehrere Portal-Gateways werden als Array eingetragen. gateway_order bestimmt nur, wie Sophos Connect das Portal für den Abruf auswählt. Der spätere Tunnel verwendet die Gateways aus der importierten .scx- oder .ovpn-Konfiguration.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Die Auswahlmöglichkeiten haben unterschiedliche Betriebsfolgen:

• in_order versucht die Einträge in der definierten Reihenfolge.
• latency wählt den Gateway anhand der Antwortzeit auf einen TCP-Verbindungsaufbau.
• distributed wählt bei einem Verbindungsversuch zufällig einen Gateway.

Die Reihenfolge wird nicht als Ersatz für ein getestetes WAN-, DNS- oder HA-Design verwendet. Jeder eingetragene Portalname braucht ein gültiges Zertifikat, passende Erreichbarkeit und denselben erwarteten Provisioning-Inhalt.

MFA-Felder bewusst setzen

Mit otp: true zeigt Sophos Connect ein drittes Eingabefeld an. 2fa legt fest, wie dessen Inhalt an den Authentifizierungsserver gesendet wird:

• 2fa: 1 verwendet die Sophos-Firewall-Konfiguration. Passwort und OTP werden als passwordotp zusammengesetzt.
• 2fa: 2 verwendet einen externen Dienst wie Duo. Passwort und Code werden durch ein Komma getrennt; bei Duo sind je nach Konfiguration auch push, phone, sms oder ein Token-Passcode möglich.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Beim ersten Abruf kann die Anmeldung zweimal erscheinen: einmal für den Download der Konfiguration und danach für den eigentlichen Tunnelaufbau. Das ist nicht automatisch ein Fehler. Der Helpdesk sollte diesen Ablauf kennen, bevor die Datei breit verteilt wird. Die Firewallseite der MFA-Konfiguration steht in Sophos Firewall MFA einrichten.

Sophos Connect und .pro mit GPO verteilen

Die Datei kann per E-Mail oder sicherem Download manuell importiert werden. Benutzer wählen dazu Import connection oder öffnen die .pro per Doppelklick. In einer verwalteten Windows-Domäne ist eine GPO besser nachvollziehbar, wenn Quelle, Zielgruppe und Rollback sauber dokumentiert sind.

Sophos Connect überwacht diesen Importordner:

C:\Program Files (x86)\Sophos\Connect\import\

Eine dort abgelegte .pro wird automatisch importiert und danach aus dem Ordner gelöscht. Das Löschen ist normales Verhalten und kein Beweis, dass Portal-Anmeldung oder Tunnel bereits funktionieren.

Für die Verteilung wird unter Group Policy Management > Computer Configuration > Policies > Windows Settings > Scripts > Startup ein Startskript hinterlegt. Das von Sophos dokumentierte Muster wartet auf den Dienst scvpn, lädt die Datei von einer zentralen HTTPS-Quelle und kopiert sie in den Importordner. Die Downloadquelle sollte nur für die benötigten Computer lesbar sein, ein vertrauenswürdiges Zertifikat verwenden und keine Benutzerpasswörter oder Tokens in URL oder Skript enthalten.

Das Startskript wird zuerst auf einem Pilotcomputer geprüft. Anschliessend kann die Richtlinie mit folgendem Befehl aktualisiert werden:

gpupdate /force

Für die Installation des Clients selbst dokumentiert Sophos ebenfalls ein Computer-Startskript mit msiexec.exe. In einer produktiven Softwareverteilung sollten jedoch die vorhandenen Paketierungs-, Signatur-, Versions- und Rollback-Standards verwendet werden. Die Installation und unterstützten Windows-Plattformen beschreibt Sophos Connect auf Windows installieren.

Die .pro enthält normalerweise keine Benutzerpasswörter. Sie bleibt dennoch ein kontrolliertes Konfigurationsartefakt: Portaladressen, Verhalten, MFA- und Auto-Connect-Vorgaben sollen nur aus einer autorisierten Quelle stammen.

Änderungen und Profilupdates

Nach erfolgreichem Import ruft Sophos Connect die verfügbaren .scx- und .ovpn-Profile automatisch ab. Viele spätere Konfigurationsänderungen werden ebenfalls nachgeführt. Der Betrieb muss trotzdem zwischen Provisioning-Datei und eigentlichem VPN-Profil unterscheiden:

• Ändern sich gateway oder vpn_portal_port, muss die .pro angepasst und neu verteilt werden.
• Ändern sich Port oder Protokoll unter SSL VPN global settings, wird im Client über das Zahnrad Update policy ausgeführt.
• Änderungen an SSL-VPN-Gateway, Zertifikat, Port oder Protokoll können eine erneute Anmeldung verlangen.
• Nach Restore oder Import einer Firewallkonfiguration werden IPsec- und SSL-VPN-Profile mit einem Pilotclient erneut geprüft.
• Eine neue Clientversion aktualisiert nicht automatisch eine veraltete .pro-Datei.

Alte und neue Provisioning-Dateien sollten nicht parallel über verschiedene GPOs, Downloads und E-Mails verteilt werden. Pro Rollout gehören Dateiname, Version oder Änderungsdatum, Zielgruppe und Rückfallweg in die Betriebsdokumentation.

Provisioning und Tunnel abnehmen

Der Test wird mit einem berechtigten und einem nicht berechtigten Benutzer aus einem echten externen Netz durchgeführt. Eine erfolgreiche Portal-Anmeldung allein ist noch kein erfolgreicher VPN-Test.

1. Sophos-Connect-Version und Windows-Plattform prüfen.
2. .pro manuell oder über die Pilot-GPO importieren.
3. Kontrollieren, welche .scx- und .ovpn-Verbindungen tatsächlich erscheinen.
4. MFA-Ablauf inklusive möglicher doppelter Anmeldung vollständig durchlaufen.
5. IPsec und SSL VPN, sofern beide angeboten werden, einzeln verbinden.
6. Lease-Adresse, interne DNS-Auflösung, Zielserver, Firewall-Regel und Rückweg prüfen.
7. Eine nicht berechtigte Person darf kein nutzbares Profil oder keinen Zugriff auf interne Ziele erhalten.
8. Eine harmlose Policy-Änderung mit Update policy beziehungsweise automatischem Abruf testen.
9. Clientneustart, Netzwerkwechsel und GPO-Neuanwendung prüfen.
10. Den manuellen Rückfall auf ein freigegebenes .scx- oder .ovpn-Profil testen.

Bei Microsoft Entra ID SSO werden zusätzlich Redirect URI, Conditional Access und der erzwungene erneute Login auf gemeinsam genutzten Endgeräten geprüft. Die vollständige Zuordnung erklärt Microsoft Entra ID SSO für Sophos Connect und VPN Portal.

Fehler systematisch eingrenzen

Keine Verbindung wird importiert

Zuerst prüfen, ob die Datei gültiges JSON enthält, mit .pro endet und vom Client importiert wurde. Danach gateway, vpn_portal_port, DNS, Zertifikatskette und VPN-Portal-Erreichbarkeit kontrollieren. Eine aus dem Importordner verschwundene Datei wurde verarbeitet, beweist aber keine erfolgreiche Authentifizierung.

Wenn der Client das Portal erreicht, aber kein Profil erhält, die konfigurierte IPsec-Verbindung, SSL-VPN-Policy, Gruppenmitgliedschaft und Authentifizierungsmethoden prüfen. IPsec wird für alle entsprechend berechtigten Benutzer bereitgestellt; SSL VPN nur für Mitglieder einer passenden Policy.

Zertifikats- oder Entra-SSO-Fehler

Der öffentliche Name in gateway muss zum Zertifikat passen. Bei Entra ID SSO muss derselbe Wert ausserdem zur Redirect URI gehören, und im Provisioning-Ablauf müssen VPN Portal, IPsec und SSL VPN denselben Entra-ID-Server verwenden. Schon ein anderer Hostname oder Port kann den Ablauf unterbrechen.

Die Microsoft-Entra-Anmeldung im Entra Sign-in Log prüfen. Auf der Firewall helfen je nach Stufe vpnportal.log, access_server.log und oauth_sso_vpn.log. Ein Test connection beim Authentifizierungsserver ersetzt weder die Portal- noch die Tunnelanmeldung.

MFA erscheint zweimal oder schlägt fehl

Die doppelte Anmeldung kann beim ersten Abruf erwartet sein. Schlägt sie fehl, otp, 2fa, die konfigurierte Sophos- oder externe MFA-Methode und das erwartete Eingabeformat vergleichen. passwordotp und die kommagetrennte externe Methode sind nicht austauschbar.

Profil ist vorhanden, aber Traffic funktioniert nicht

Dann ist Provisioning bereits weiter als die eigentliche Fehlerstelle. Lease-Bereich, Clientrouten, DNS, Firewall-Regel, NAT, Rückweg und Packet Capture getrennt prüfen. Für IPsec folgt die tiefere Diagnose in Sophos Firewall IPsec VPN Troubleshooting.

GPO importiert die Datei nicht

Prüfen, ob die GPO wirklich für das Computerkonto gilt, das Startskript erreichbar ist, der Dienst scvpn läuft und die Downloadquelle aus dem Systemkontext erreichbar ist. Danach Dateirechte und den exakten Importpfad kontrollieren. Ein wiederholtes Kopieren ohne Ursachenklärung kann veraltete Einstellungen erneut verteilen und gehört nicht als Dauerlösung in das Startskript.

Sicher zurückrollen

Beim Rollback wird zuerst die betroffene GPO-Zielgruppe gestoppt. Danach die automatische Bereitstellung der .pro entfernen, die bisher freigegebene manuelle .scx- oder .ovpn-Datei bereitstellen und mit einem Pilotbenutzer testen. Änderungen an VPN Portal, Device Access oder Authentifizierung werden erst zurückgenommen, wenn keine produktive Provisionierung mehr davon abhängt.

Die bestehende Sophos-Connect-Verbindung auf Testclients kontrolliert entfernen und neu importieren. Danach Portal-Login, Tunnel, DNS, interne Ziele und Negativtest wiederholen. Erst wenn der Rückfallpfad funktioniert, die fehlerhafte .pro aus zentralen Ablagen und Softwareverteilungen entfernen.

FAQ