Sophos Firewall IPsec VPN auf iPhone einrichten

Für natives Remote-Access-IPsec auf dem iPhone wird das iOS-Profil direkt aus dem VPN Portal der Sophos Firewall geladen und in den Systemeinstellungen installiert. Sophos Connect und OpenVPN Connect sind dafür nicht der Importweg. Die .ovpn-Datei und die separate Anleitung für SSL VPN auf iPhone und iPad gehören zu einem anderen Protokoll.

Der Schnellweg lautet: iOS-Version und Freigabe prüfen, in Safari am VPN Portal anmelden, VPN > VPN configuration > IPsec VPN profile > Download for iOS öffnen, das Profil prüfen und installieren, danach VPN-Status und erlaubte interne Ziele kontrollieren. Ein erfolgreicher Download allein ist noch keine funktionierende Verbindung.

Vor dem Download: Version und Berechtigung klären

Die Administration muss Remote-Access-IPsec eingerichtet und dem Benutzer die passende Policy zugewiesen haben. Ohne diese Konfiguration erscheint der iOS-IPsec-Download nicht. Ein sichtbarer SSL-VPN-Download beweist keine IPsec-Berechtigung. Die firewallseitige Vorbereitung erklärt Sophos Connect auf der Sophos Firewall konfigurieren; dessen Desktop-Profile .scx und .pro werden hier nicht verwendet.

Vor der Installation dokumentiert man:

eingesetzten SFOS-Build und iOS-Version sowie Freigabe dieser Kombination durch die Administration;
genaue Portaladresse, Benutzer, Authentifizierungsverfahren und erwarteten Profilnamen;
erlaubte interne Anwendung, interne DNS-Namen und vorgesehenes Split- oder Full-Tunnel-Verhalten;
vorhandene VPN-Profile und ob das iPhone über MDM verwaltet ist;
wo die installierte iOS-Version Profilinstallation und VPN-Verbindungsstatus anzeigt und wie sich genau dieser Tunnel wieder trennen lässt.

Die folgenden Apple-Menübezeichnungen sind englisch angegeben; auf einem lokalisierten Gerät können sie anders heissen. Apple beschreibt installierte Profile unter Settings > General > VPN & Device Management. Die Position des VPN-Schalters muss für die tatsächlich eingesetzte Version vorab geklärt sein. Bei gesperrter Profilinstallation auf einem verwalteten Gerät die Administration kontaktieren, statt Verwaltung oder Sicherheitsfunktionen zu entfernen.

Der native Client muss zum vorgesehenen Authentifizierungsverfahren passen. Eine Windows-Anleitung für Sophos Connect mit OIDC oder Entra SSO ist keine Zusage für natives iOS-IPsec. MFA für VPN Portal und Remote Access muss getrennt für Portal und Tunnel bewertet werden. Lässt sich der verlangte zweite Faktor im nativen Ablauf nicht sicher umsetzen, den Rollout stoppen und eine freigegebene Alternative wählen; MFA nicht zur Fehlerbehebung abschalten.

Profil in Safari beziehen und installieren

In Safari die von der Administration bestätigte VPN-Portaladresse öffnen. Beispiel: https://vpn.example.com:443. vpn.example.com ist ein Platzhalter für den eigenen Portal-FQDN; 443 ist der Standardport. Einen abweichenden Port nur nach administrativer Vorgabe verwenden. Zertifikatswarnungen vor dem Download klären, nicht dauerhaft umgehen.
Mit dem eigenen VPN-Benutzer anmelden und den vorgesehenen zweiten Faktor bestätigen. VPN öffnen, dann unter VPN configuration > IPsec VPN profile auf Download for iOS tippen. Das ist weder der mobile SSL-VPN-Download noch ein Windows-Clientpaket.
Die angezeigte Downloadfreigabe nur für das erwartete Profil bestätigen. In Settings den Eintrag Profile Downloaded öffnen. Profilherkunft, Organisation, VPN-Gateway und enthaltene Einstellungen mit der Administration abgleichen. Unerwartete Zertifikate oder zusätzliche Management-Einstellungen nicht ungeprüft installieren.
Erst danach Install wählen und die angezeigten Bestätigungen einschliesslich Gerätecode durchführen. Apple entfernt einen noch nicht installierten Download nach acht Minuten; fehlt er später, erneut aus dem bestätigten Portal laden. Nur ein heruntergeladenes Profil kann gleichzeitig auf die Installation warten. Verhindert Stolen Device Protection die Installation, zunächst einen vertrauten Ort und den freigegebenen Supportprozess nutzen, statt den Schutz routinemässig zu deaktivieren.
Das installierte Profil in den Systemeinstellungen identifizieren. Sophos beschreibt in den SFOS-22/23-Anleitungen einen automatischen IPsec-Verbindungsaufbau nach dem Download. Das ist keine Garantie für die aktuelle iOS-Version: Die Apple-Installation und gegebenenfalls eine Anmeldung müssen abgeschlossen sein. Den tatsächlichen VPN-Status prüfen; falls nicht verbunden, den vorab geklärten VPN-Schalter für dieses Profil verwenden und die vorgesehenen Zugangsdaten beziehungsweise MFA-Schritte ausführen. Bei fehlendem Schalter oder abweichenden Abfragen nicht improvisieren, sondern den Support kontaktieren.

Das Profil vertraulich behandeln und nicht an andere Benutzer weitergeben. Portal-SSO, Profilinstallation und Tunnelanmeldung sind drei unterschiedliche Vorgänge; keiner beweist allein den Erfolg der anderen.

Verbindung mit einem Pilotbenutzer prüfen

Die folgenden Kontrollen sind Abnahmeschritte, keine bereits ausgeführten Gerätetests. Den ersten Test ausserhalb des internen WLANs in einem freigegebenen externen Netz durchführen, damit direkter LAN-Zugriff das Ergebnis nicht verfälscht.

In den iOS-VPN-Einstellungen prüfen, ob das erwartete Profil verbunden ist. Die Administration kontrolliert Benutzer und Sitzung auf der Firewall.
Eine erlaubte interne Anwendung über ihren dokumentierten DNS-Namen öffnen. Beispielsweise steht https://intranet.example.com für die eigene freigegebene Anwendung; den Platzhalter durch den tatsächlichen internen Namen ersetzen. DNS-Auflösung und Anwendungszugriff getrennt prüfen.
Ein mit der Administration vereinbartes, nicht freigegebenes Ziel muss gesperrt bleiben. Nicht durch breitere Firewall-Regeln einen vermeintlichen Erfolg herstellen.
Die Administration prüft im Log Viewer, ob der Traffic aus der VPN-Zone die erwartete, eng begrenzte Regel trifft; Logging muss dafür eingeschaltet sein. Der Ablauf steht in Firewall-Regeln mit Log Viewer und Packet Capture prüfen.
Prüfen, ob der zweite Faktor dort greift, wo die Sicherheitsvorgabe ihn verlangt. Eine MFA-Abfrage im Portal beweist kein MFA am IPsec-Tunnel. Auch eine erneute Verbindung und ein kontrollierter WLAN-/Mobilfunkwechsel gehören zur Abnahme. Internetverkehr muss dem vereinbarten Split- oder Full-Tunnel-Design entsprechen.

Steht der Tunnel ohne Anwendungszugriff, zuerst Policy, Regel, Rückweg und DNS untersuchen. Bei fehlendem Tunnel Profil, Benutzerberechtigung, Authentifizierung und den IPsec-Netzwerkpfad prüfen. IPsec-Troubleshooting hilft der Administration bei der Eingrenzung; das Abschalten der Zertifikatsprüfung oder von MFA ist kein Diagnoseschritt.

Verbindung trennen und Profile kontrolliert ersetzen

Sophos nennt zum Trennen Settings > General > VPN > Status für die betreffende Verbindung. Diese Quellenbezeichnung ist kein universeller aktueller iOS-Klickpfad. Den in der Vorprüfung identifizierten VPN-Bereich öffnen, genau die eigene Verbindung wählen und deren Status auf getrennt setzen. Danach kontrollieren, dass der Tunnel nicht mehr verbunden ist und eine neue Anfrage an die ausschliesslich über VPN erreichbare Testanwendung nicht mehr funktioniert. Auf bereits geladene Browserseiten darf man sich dafür nicht verlassen. Verhindert eine verwaltete Vorgabe das Trennen oder baut die Verbindung erneut auf, den MDM-Verantwortlichen einbeziehen, statt fremde Profile zu löschen.

Nach administrativen Änderungen erneut installieren

Wenn ein früher funktionierender Tunnel nach einer Konfigurationsänderung nicht mehr verbindet, verlangt Sophos eine erneute Installation der Konfiguration. Natives iOS-IPsec nutzt hier kein automatisches Sophos-Connect-Provisioning.

Vor dem Wechsel Profilname, Version, Änderungsgrund und den administrativ freigegebenen Rückweg dokumentieren. Ein Zeitfenster vereinbaren, weil der Austausch den Zugriff unterbricht. Nicht pauschal alle Netzwerkprofile oder Geräteeinstellungen zurücksetzen.
Den Tunnel trennen und das aktuelle iOS-IPsec-Profil erneut in Safari aus dem VPN Portal laden. Die Administration klärt, ob es das vorhandene Profil ersetzt oder zuerst genau dieses alte Profil entfernt werden muss. Bei einem MDM-Profil erfolgt der Wechsel über den zuständigen Verwaltungsprozess.
Das neue Profil wie oben prüfen und installieren. Anschliessend Verbindung, MFA-Vorgabe, DNS, erlaubte und gesperrte Ziele erneut kontrollieren. Nicht mehrere gleich benannte Profile unkontrolliert parallel behalten.
Scheitert die Abnahme, den neuen Tunnel trennen und die Einführung stoppen. Ein altes Profil nur wieder einsetzen, wenn die Administration bestätigt, dass Gateway, Schlüssel beziehungsweise Zertifikate und Berechtigungen weiterhin gültig sind. Nach Sicherheitsänderungen ist es kein verlässlicher Rückweg. Erst nach erfolgreicher Abnahme alte Downloads und veraltete Profile gezielt entfernen.

Gerät ersetzen, verlieren oder Zugriff zurückziehen

Vor dem Entfernen unter Settings > General > VPN & Device Management das betreffende Profil und dessen Inhalt prüfen. Die angebotene Profilentfernung nur für das eindeutig identifizierte VPN-Profil und nach Freigabe bestätigen. Apple weist darauf hin, dass mit einem Profil auch zugehörige Einstellungen, Apps und Daten entfernt werden können. Ein gemeinsames Management-Profil deshalb nicht als vermeintliches VPN-Aufräumen löschen. Ist die Entfernung gesperrt, muss die Verwaltung die Rücknahme durchführen.

Nach der Rücknahme prüfen, dass das Profil fehlt und keine neue Verbindung mehr möglich ist. Bei Geräteverlust oder Austritt zusätzlich serverseitig Benutzer-/Gruppenberechtigung entziehen, bestehende VPN-Sitzungen beenden und den Umgang mit eventuell offengelegten Schlüsseln oder Zertifikaten durch die Administration klären. Nur die lokale Datei zu löschen widerruft keine VPN-Berechtigung. Profilkopien in Downloads und Backups gehören ebenfalls in den Rücknahmeprozess.