Sophos Firewall Remote Access unter Linux einrichten

Für Sophos Firewall Remote Access unter Linux verwendet man am einfachsten SSL VPN mit dem normalen OpenVPN-Client. Sophos Connect gibt es für Linux nicht. Die .ovpn-Datei wird im VPN Portal heruntergeladen und entweder im Terminal oder über NetworkManager verwendet.

Die bisher oft genannte IPsec-Alternative mit NetworkManager-strongSwan passt nicht zur aktuellen Sophos-Firewall-Konfiguration: Remote access VPN > IPsec akzeptiert unter SFOS 22 nur IKEv1-Profile, das NetworkManager-strongSwan-Plugin unterstützt aber ausschliesslich IKEv2.

⚠️ Kein inoffizielles „Sophos Connect für Linux“ installieren und das SFOS-Remote-Access-Profil nicht für diese Anleitung auf IKEv2 umstellen. Der folgende OpenVPN-Weg ist der von Sophos dokumentierte Linux-Pfad.

Für andere Endgeräte gibt es eigene Anleitungen: Sophos Connect unter Windows und Sophos Connect unter macOS sowie SSL VPN auf iPhone und iPad und SSL VPN auf Android.

Voraussetzungen

• Auf der Sophos Firewall ist eine Remote-Access-SSL-VPN-Policy eingerichtet.
• Der Benutzer oder seine Gruppe ist dieser Policy zugewiesen.
• Eine passende Firewall-Regel erlaubt den benötigten Traffic aus der Zone VPN.
• Der Benutzer erreicht das VPN Portal und kann sich anmelden.
• Auf dem Linux-System bestehen lokale sudo-Rechte für die Paketinstallation und den OpenVPN-Start.
• Falls MFA aktiv ist, funktioniert die Anmeldung inklusive Verifizierungscode.

Die Firewall-seitige Konfiguration beschreibt Sophos Firewall SSL VPN Remote Access einrichten. Fehlt im VPN Portal später die .ovpn, hat sie 0 Byte oder enthält sie nur eine Fehlermeldung, führt Sophos Firewall: .ovpn fehlt oder hat 0 Byte durch Policy-, Benutzer-, Zertifikats- und Systemprüfung.

SSL VPN mit OpenVPN einrichten

1. OpenVPN installieren

Unter Debian und Ubuntu installiert man den OpenVPN-Client so:

sudo apt install openvpn

Andere Distributionen stellen das Paket ebenfalls über ihren Paketmanager bereit. Für eine grafische Verwaltung unter GNOME kann zusätzlich das NetworkManager-OpenVPN-Plugin installiert werden:

sudo apt install network-manager-openvpn-gnome

Dieses Plugin ist nicht mit network-manager-strongswan zu verwechseln. Es importiert die .ovpn-Datei und verwendet OpenVPN.

2. OpenVPN-Konfiguration herunterladen

1. Das VPN Portal der Sophos Firewall im Browser öffnen.
2. Mit dem VPN-Benutzer anmelden.
3. Unter VPN > VPN configuration auf Download configuration for Windows, macOS, Linux klicken.
4. Falls mehrere OpenVPN-Varianten erscheinen, die zum installierten Client passende Konfiguration wählen.
5. Die .ovpn-Datei herunterladen und sicher ablegen.

Die Datei kann Zertifikate und benutzerspezifische Verbindungsdaten enthalten. Sie sollte nicht per unverschlüsselter E-Mail oder über öffentliche Ablagen verteilt werden.

3. Verbindung im Terminal starten

In das Verzeichnis mit der Datei wechseln und OpenVPN starten. Beispiel mit dem Dateinamen sophos-vpn.ovpn:

chmod 600 sophos-vpn.ovpn
sudo openvpn --config sophos-vpn.ovpn

OpenVPN fragt nach Benutzername und Passwort sowie gegebenenfalls nach dem MFA-Code. Die Verbindung läuft im Vordergrund. Wird das Terminal geschlossen oder der Prozess mit Ctrl+C beendet, wird auch der Tunnel getrennt.

4. Verbindung in NetworkManager importieren

1. Netzwerkeinstellungen öffnen.
2. Eine neue VPN-Verbindung hinzufügen und Import from file wählen.
3. Die heruntergeladene .ovpn-Datei auswählen.
4. Benutzername speichern, falls dies zum Betriebsmodell passt.
5. Verbindung starten und Passwort sowie gegebenenfalls MFA-Code eingeben.

NetworkManager ist im Alltag komfortabler als ein dauerhaft geöffnetes Terminal. Ein unbeaufsichtigter Autostart ist bei interaktiver Anmeldung oder MFA jedoch nicht automatisch möglich. Zugangsdaten sollten nicht nur für einen Autostart in einer ungeschützten Datei hinterlegt werden.

Warum NetworkManager-strongSwan hier nicht passt

Sophos erlaubt für Remote access VPN > IPsec unter SFOS 22 nur IKEv1-Profile, bei denen Dead Peer Detection deaktiviert oder auf Disconnect gesetzt ist. Das NetworkManager-strongSwan-Plugin baut dagegen nur IKEv2-Verbindungen auf. Die beiden Enden können mit dem bisher beschriebenen Ablauf deshalb keinen Tunnel aushandeln.

Die strongSwan-Software selbst besitzt zwar weiterhin IKEv1-Funktionen, das ist aber nicht derselbe GUI-Pfad wie das NetworkManager-Plugin. Eine manuelle IKEv1-Konfiguration benötigt passende Parameter, Authentifizierung, Traffic Selector und einen getesteten Clientaufbau. Ohne belastbare Zielkonfiguration sollte man dafür kein generisches Beispiel aus dem Internet übernehmen.

Sophos nennt für Linux-IPsec einen kompatiblen Drittanbieter-Client als Möglichkeit. Die exportierte .tgb-Datei enthält jedoch nicht alle erweiterten Einstellungen der Sophos-Connect-Konfiguration und lässt sich nicht einfach als IKEv2-Profil in NetworkManager importieren. Wenn IPsec zwingend ist, muss der gewählte Client den IKEv1-Aufbau der Firewall ausdrücklich unterstützen und in der eigenen Umgebung getestet werden. Für die grundsätzliche Auswahl hilft Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?.

Verbindung prüfen

Nach dem Verbindungsaufbau sollte nicht nur der Clientstatus geprüft werden. Entscheidend ist, ob Route, DNS und Firewall-Regel zum gewünschten Ziel passen.

Diese Linux-Befehle sind lesend. Im Beispiel muss 10.20.30.40 durch ein erlaubtes internes Ziel ersetzt werden:

ip addr show
ip route get 10.20.30.40
getent hosts intranet.example.net

Erwartete Ergebnisse:

• OpenVPN meldet eine erfolgreiche Verbindung und ein Tunnel-Interface ist vorhanden.
• Der Route-Check zeigt für das interne Ziel den VPN-Pfad statt des normalen Internet-Gateways.
• Der DNS-Check liefert die interne Adresse, sofern die VPN-Policy interne DNS-Server verteilt.
• Ein erlaubter interner Dienst ist erreichbar; ein absichtlich nicht erlaubtes Ziel bleibt blockiert.
• Im Log Viewer der Firewall erscheint der Testtraffic aus der Zone VPN mit der erwarteten Regel.
• Nach einer neuen Anmeldung wird der MFA-Code erneut wie vorgesehen abgefragt.

Wenn der Tunnel steht, aber kein Traffic fliesst, hilft Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Typische Fehler

• Keine Linux-Konfiguration im VPN Portal: Benutzer oder Gruppe ist keiner Remote-Access-SSL-VPN-Policy zugewiesen. Policy und Portal-Anmeldung prüfen.
• OpenVPN meldet einen Authentifizierungsfehler: Benutzername, Passwort, MFA-Ablauf, Gruppenmitgliedschaft und ausgewählte Authentifizierungsmethode prüfen.
• Tunnel steht, interne Ziele bleiben unerreichbar: Erlaubte Netzwerke der SSL-VPN-Policy, Firewall-Regel von VPN zur Zielzone und Route zum internen Netz prüfen.
• IP-Adressen funktionieren, interne Namen nicht: Verteilte DNS-Server, Suchdomain und Erreichbarkeit des internen DNS-Servers kontrollieren.
• Terminal geschlossen und Verbindung verloren: Das ist beim direkten openvpn --config-Aufruf normal. Für die grafische Verwaltung die .ovpn in NetworkManager importieren.
• NetworkManager bietet keinen Dateiimport an: Das NetworkManager-OpenVPN-Plugin fehlt oder der NetworkManager-Dienst hat das neu installierte Plugin noch nicht geladen.
• Alte .ovpn-Datei funktioniert nicht mehr: Nach Änderungen an SSL-VPN-Protokoll, SSL-Serverzertifikat beziehungsweise CA, Override hostname oder SSL-VPN-Port die Datei erneut herunterladen.
• NetworkManager-strongSwan verbindet nicht: Nicht auf IKEv2 umstellen. Das Plugin ist mit dem IKEv1-Remote-Access-Profil der Sophos Firewall nicht kompatibel.
• Angeblicher Sophos-Connect-Client für Linux gefunden: Nicht ungeprüft installieren. Sophos stellt keinen offiziellen Linux-Client bereit.

FAQ