Sophos SSL VPN auf Android einrichten

Sophos Connect unterstützt Android nicht direkt für IPsec oder SSL VPN. Wenn ein Android-Smartphone oder Android-Tablet per Sophos Firewall Remote Access verbunden werden soll, braucht es deshalb einen OpenVPN-kompatiblen Client. In vielen Umgebungen ist OpenVPN Connect der naheliegende Standard, weil die Sophos Firewall eine .ovpn-Konfiguration für mobile Clients bereitstellt.

Der Artikel beschreibt den praktischen Ablauf für Sophos SSL VPN auf Android: App installieren, .ovpn-Konfiguration beziehen, Profil importieren, Verbindung testen und typische Fehler eingrenzen. Für die grundsätzliche Entscheidung zwischen Sophos Connect, SSL VPN, IPsec, mobilen Clients und ZTNA passt zuerst Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?.

Wann SSL VPN auf Android sinnvoll ist

SSL VPN auf Android ist sinnvoll, wenn mobile Benutzer gelegentlich auf interne Systeme zugreifen müssen und dafür ein klassisches VPN-Profil ausreicht.

Typische Beispiele:

• Zugriff auf interne Webanwendungen
• Adminzugriff auf wenige Systeme über ein Tablet
• Zugriff auf interne Tools über definierte Apps
• temporärer Zugriff ohne verwalteten Notebook-Client
• Übergangslösung, wenn ZTNA oder App-Proxy noch nicht verfügbar ist

Für dauerhaften Zugriff auf viele interne Systeme ist ein Mobilgerät oft nicht die beste Zielplattform. Dann sollte geprüft werden, ob ein verwalteter Windows- oder macOS-Client mit Sophos Connect, ein engerer ZTNA-Zugriff oder ein anderes Remote-Access-Design besser passt.

Einordnung zu anderen Clients

Diese Anleitung gilt für Sophos Firewall mit SFOS und Android-Geräte. Je nach Plattform oder Ausgangslage passt ein anderer Einstieg:

• SSL VPN auf Android einrichten: Dieser Artikel.
• SSL VPN mit Sophos Connect auf Windows einrichten: Sophos SSL VPN mit Sophos Connect auf Windows einrichten.
• SSL VPN mit Sophos Connect auf macOS einrichten: Sophos SSL VPN mit Sophos Connect auf macOS einrichten.
• SSL VPN auf iPhone und iPad einrichten: Sophos SSL VPN auf iPhone und iPad einrichten.
• Sophos Connect auf Windows installieren: Sophos Connect Client auf Windows installieren.
• Sophos Connect auf macOS installieren: Sophos Connect Client auf macOS installieren.

Wichtig ist die Abgrenzung: Sophos Connect ist für Android nicht der direkte SSL-VPN-Client. Wenn mobile Geräte unterstützt werden sollen, sollte intern klar definiert sein, welcher OpenVPN-kompatible Client verwendet wird, woher die Profile kommen und wer bei Gerätewechseln unterstützt.

Voraussetzungen

Vor der Einrichtung sollten diese Punkte geklärt sein:

• Sophos Firewall mit eingerichteter SSL-VPN-Remote-Access-Konfiguration
• Benutzer mit Berechtigung für SSL VPN
• Zugriff auf das VPN Portal oder administrativ bereitgestellte .ovpn-Datei
• OpenVPN-kompatibler Client auf Android
• MFA/OTP eingerichtet, falls Remote Access damit geschützt wird
• gültiges Zertifikat für VPN Portal und Firewall-Zugang, wenn möglich
• Firewall-Regeln für Traffic aus der VPN-Zone
• geklärtes Split-Tunnel- oder Full-Tunnel-Design
• Supportprozess für Gerätewechsel, verlorene Geräte und alte Profile

Vor einem Upgrade auf SFOS 22.0 MR1 oder neuer sollte zusätzlich geprüft werden, ob noch alte Remote-Access-IPsec-Konfigurationen vorhanden sind. SSL VPN ist davon nicht direkt betroffen, aber viele Umgebungen bewerten Remote Access in diesem Moment neu. Der Ablauf steht in Legacy Remote Access IPsec vor SFOS 22 MR1 migrieren.

Firewall und VPN Portal vorbereiten

Die Android-Einrichtung ist nur der letzte Schritt. Vorher muss die Firewall-Konfiguration stimmen.

Auf der Sophos Firewall sollten diese Punkte geprüft werden:

1. Remote access VPN öffnen.
2. SSL VPN für die benötigten Benutzer oder Gruppen konfigurieren.
3. VPN-IP-Pool ohne Überschneidung mit LAN, WLAN, VLANs, Site-to-Site-VPNs oder typischen Heimnetzen verwenden.
4. DNS-Server und Domain-Suffixe passend setzen, wenn interne Namen genutzt werden.
5. MFA für Remote Access aktivieren und mit Testbenutzer prüfen.
6. Firewall-Regel von VPN in die benötigte Zielzone erstellen.
7. Logging für die Einführungsphase aktivieren.
8. VPN Portal über Administration > Device access nur so breit freigeben wie nötig.

Der vollständige firewallseitige Ablauf steht in Sophos Firewall SSL VPN Remote Access einrichten.

Das VPN Portal ist ein öffentlich erreichbarer Einstiegspunkt. Wenn es aus dem Internet erreichbar sein muss, sollten Zertifikat, MFA, Länder-/Quellbegrenzung und Logprüfung bewusst geplant werden. Für die Härtung passt Device Access und Local Service ACL auf Sophos Firewall.

1. OpenVPN Connect installieren

OpenVPN Connect aus Google Play installieren: OpenVPN Connect.

Wenn in der Umgebung ein anderer OpenVPN-kompatibler Client standardisiert ist, sollte diese Entscheidung dokumentiert werden. Problematisch wird es, wenn Benutzer parallel verschiedene VPN-Apps, alte Profile und unterschiedliche Anleitungen verwenden.

Für Support und Betrieb sollte festgelegt werden:

• welcher Client unterstützt wird
• welche App-Version mindestens erwartet wird
• ob Benutzer die App selbst installieren dürfen
• wie Profile verteilt und zurückgezogen werden
• wie verlorene oder ersetzte Geräte behandelt werden

2. VPN Portal öffnen

Auf dem Android-Gerät das VPN Portal der Sophos Firewall im Browser öffnen. Die Standardadresse lautet:

https://<Firewall-FQDN-oder-IP>:443

Wenn die Administration einen anderen VPN portal HTTPS port konfiguriert hat, muss dieser Port verwendet werden. In einem HA-Cluster nennt Sophos für den direkten Zugriff den FQDN oder die IP der ursprünglich primären Appliance; in produktiven Umgebungen sollte der dokumentierte gemeinsame Portal-FQDN verwendet werden.

Anschliessend mit dem VPN-Benutzer anmelden. Das VPN Portal und die SSL-VPN-Downloads erscheinen nur, wenn der Benutzer oder seine Gruppe einer Remote-Access-SSL-VPN-Policy zugewiesen ist. Fehlt der Download, sollte deshalb zuerst die Policy-Zuweisung geprüft werden und nicht die OpenVPN-App.

Wenn das VPN Portal mit einem ungültigen oder nicht vertrauenswürdigen Zertifikat geöffnet wird, sollte die Ursache behoben werden. Eine dauerhafte Browser-Ausnahme ist für produktiven Remote Access kein guter Betriebsstandard.

Bei Sophos-OTP muss ein neuer Benutzer den QR-Code zunächst im VPN Portal scannen und das Token in einer Authenticator-App registrieren. Danach den tatsächlichen Verbindungsablauf mit einem Testbenutzer prüfen: Je nach Client und MFA-Verfahren werden Passwort und OTP gemeinsam oder in getrennten Schritten verarbeitet. Challenge-basierte oder externe MFA sollte deshalb vor einem breiten Rollout mit genau dem vorgesehenen Android-Client getestet werden. Die Grundlagen stehen in MFA für Sophos Firewall WebAdmin, VPN Portal und Remote Access aktivieren.

3. OVPN-Konfiguration herunterladen

Im VPN Portal VPN > VPN configuration öffnen. Unter SSL VPN configuration auf Download for Android and iOS tippen. Die Sophos Firewall stellt damit die für mobile OpenVPN-Clients vorgesehene .ovpn-Datei bereit.

Die heruntergeladene Datei hat normalerweise die Endung .ovpn. Diese Datei ist benutzerbezogen und sollte nicht an andere Benutzer weitergegeben werden.

Wichtig:

• Die Datei sollte aus der aktuellen Firewall-Konfiguration stammen.
• Alte Dateien aus E-Mail-Archiven, Chatverläufen oder Download-Ordnern sollten nicht wiederverwendet werden.
• Wenn ein zuvor funktionierender Tunnel nach einer administrativen Änderung nicht mehr verbindet, sollte die Datei neu heruntergeladen und importiert werden. Besonders relevant sind Änderungen an SSL-VPN-Port, Protokoll, Gateway beziehungsweise Override Hostname und SSL-Serverzertifikat.
• Änderungen an Benutzer- oder Gruppenzuweisungen werden nicht durch einen Profilimport repariert. Diese müssen in der Remote-Access-Policy und am Authentifizierungsserver korrigiert werden.
• Wenn ein Benutzer das Unternehmen verlässt oder ein Gerät verloren geht, müssen Benutzerzugriff, Gruppenmitgliedschaft und Profilverteilung geprüft werden.

4. Profil in OpenVPN Connect importieren

Wenn Android den Import nicht automatisch anbietet, kann die .ovpn-Datei über die Teilen-Funktion an OpenVPN Connect übergeben werden. Alternativ in OpenVPN Connect Menu > My Profiles > Add > Upload File öffnen und die gespeicherte .ovpn-Datei auswählen. Den Import anschliessend bestätigen.

OpenVPN Connect fragt beim ersten Verbindungsaufbau nach der Android-Berechtigung zum Erstellen einer VPN-Verbindung. Diese Berechtigung muss bestätigt werden, damit die App einen Tunnel aufbauen kann.

Bei mehreren Profilen sollte der Name eindeutig sein, zum Beispiel mit Standort, Umgebung oder Firmenname. Mehrere fast gleich benannte Profile sind ein häufiger Supportgrund.

5. VPN-Verbindung aufbauen

Das importierte Profil aktivieren und mit dem VPN-Benutzer anmelden. Wenn MFA oder OTP aktiv ist, muss der zweite Faktor gemäss Firewall-Konfiguration bestätigt werden.

Nach erfolgreichem Aufbau sollte nicht nur die OpenVPN-App als verbunden angezeigt werden. Entscheidend ist, ob die geplanten internen Ziele erreichbar sind und ob der Traffic auf der Firewall die richtige Regel trifft.

Nach der Einrichtung prüfen

Mindestens diese Punkte sollten mit einem Testbenutzer geprüft werden:

• OpenVPN Connect zeigt die Verbindung als verbunden an.
• Android zeigt den VPN-Status in der Statusleiste oder in den Netzwerkeinstellungen.
• Benutzer erhält eine IP-Adresse aus dem erwarteten SSL-VPN-Pool.
• Interne DNS-Namen werden korrekt aufgelöst.
• Benötigte Server, Webanwendungen oder Dienste sind erreichbar.
• Internetverhalten entspricht dem Design: Split Tunnel oder Full Tunnel.
• Im Log Viewer ist die erwartete Firewall-Regel für Traffic aus der VPN-Zone sichtbar.
• MFA wird wie geplant abgefragt.
• Verbindung nach Flugmodus, WLAN-Wechsel oder Mobilfunkwechsel erneut testen.
• Alte Profile wurden entfernt oder klar als veraltet markiert.

Wenn die Verbindung steht, aber kein Zugriff funktioniert, liegt die Ursache oft nicht beim mobilen Client, sondern bei Firewall-Regeln, DNS, Routing oder NAT. Für die Analyse passt Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture.

Manuelle Verteilung oder MDM?

Bei wenigen Android-Geräten kann der manuelle Import über VPN Portal, Download-Ordner und OpenVPN Connect ausreichen. Sobald mehrere Benutzer, verwaltete Smartphones oder regelmässige Gerätewechsel beteiligt sind, sollte die Profilverteilung aber bewusst geplant werden. Sonst bleiben alte .ovpn-Dateien in Downloads, Chats, E-Mails oder privaten Cloudspeichern liegen und werden bei Supportfällen später wiederverwendet.

Typische Varianten:

• Manueller Import: Sinnvoll bei wenigen Geräten, einer Pilotgruppe oder gelegentlicher Nutzung. Wichtig sind klare Anleitung, aktuelles Profil, MFA-Test und Entfernung alter Profile.
• Verteilung über MDM oder Endpoint-Management: Sinnvoll bei verwalteten Android-Geräten, vielen Benutzern oder wiederkehrenden Änderungen. Wichtig sind App-Bereitstellung, Profilversion, Geräteverlust, Rücknahme alter Profile und Supportprozess.

Wichtig ist die Rücknahme. Wenn ein Android-Gerät ersetzt wird, ein Benutzer austritt oder eine SSL-VPN-Policy geändert wird, reicht es nicht, ein neues Profil bereitzustellen. Alte Profile, Gruppenmitgliedschaften, gespeicherte Zugangsdaten und eventuell vorhandene Dateikopien müssen ebenfalls geprüft werden.

Betrieb und Sicherheit

Mobile VPN-Profile brauchen klare Betriebsregeln. Android-Geräte wechseln häufig zwischen WLAN, Mobilfunk, Hotspots und Captive Portals. Zusätzlich gehen Mobilgeräte leichter verloren oder werden schneller ersetzt als klassische Firmen-Notebooks.

Gute Praxis:

• OpenVPN Connect regelmässig aktualisieren.
• MFA für Remote Access aktivieren und testen.
• VPN-Gruppen regelmässig prüfen.
• VPN Portal über Device Access und Local Service ACL begrenzen, soweit möglich.
• Firewall-Regeln für die VPN-Zone eng halten und loggen.
• Alte .ovpn-Dateien und veraltete Profile entfernen.
• Gerätewechsel und verlorene Geräte im Supportprozess berücksichtigen.
• Bei längerer Log-Aufbewahrung Syslog oder zentrale Auswertung einplanen.

Für Logdateien und Service-Logs ist Sophos Firewall Troubleshooting: Services und Logs hilfreich.

Battery Saver, Always-on VPN und Captive Portals

OpenVPN Connect bietet auf Android mehrere Optionen, die den Verbindungsaufbau stark beeinflussen. Diese sollten nur bewusst aktiviert werden:

• Battery Saver unter Menu > Settings pausiert den VPN-Tunnel, sobald das Display ausgeschaltet wird. Das spart Energie, ist aber ungeeignet, wenn Hintergrund-Apps dauerhaft auf interne Ressourcen zugreifen müssen.
• Captive Portal Detection hilft bei Hotel-, Gäste- oder Flughafen-WLANs, in denen zuerst eine Anmeldeseite bestätigt werden muss. Falls der Tunnel beim Netzwechsel nicht verbindet, sollte diese Option zusammen mit dem Browser-Login geprüft werden.
• Always-on VPN wird in den Android-Systemeinstellungen bei OpenVPN Connect aktiviert. Mit Block connections without VPN entsteht ein Kill-Switch-Verhalten. Das schützt vor ungetunneltem Traffic, kann bei abgelaufenem Profil, nicht erreichbarer Firewall oder notwendigem Captive-Portal-Login aber den gesamten Netzwerkzugriff blockieren.

Für gelegentlichen manuellen Zugriff sind diese Optionen nicht zwingend. In einem verwalteten Always-on-Szenario braucht es dagegen einen getesteten Rückfall- und Supportprozess. Androids Akkuoptimierung sollte für OpenVPN Connect deaktiviert werden, wenn das Betriebssystem den gewünschten dauerhaften Tunnel sonst beendet.

Typische Fehler

OVPN-Datei lässt sich nicht öffnen

Zuerst prüfen, ob OpenVPN Connect installiert ist und ob die Datei wirklich als .ovpn vorliegt. Danach die Datei erneut aus dem VPN Portal herunterladen oder über die Teilen-Funktion an OpenVPN Connect übergeben.

Wenn die Datei über MDM, E-Mail oder Dateifreigabe verteilt wird, sollte geprüft werden, ob sie unterwegs verändert, umbenannt oder blockiert wurde. OpenVPN Connect erwartet für den Dateiimport ein ASCII- oder UTF-8-Profil mit weniger als 256 KB. Verweist ein manuell bearbeitetes Profil auf externe Zertifikats- oder Schlüsseldateien, müssen diese beim Import ebenfalls verfügbar sein. Die von Sophos erzeugte .ovpn-Datei sollte deshalb möglichst unverändert verwendet werden.

Import funktioniert, Verbindung aber nicht

Dann ist häufig die Android-Berechtigung für die VPN-Konfiguration nicht sauber erteilt oder das Profil passt nicht zur aktuellen Firewall-Konfiguration. Profil löschen, aktuelle .ovpn-Datei neu beziehen und erneut importieren.

Wenn mehrere fast gleich benannte Profile vorhanden sind, zuerst prüfen, welches tatsächlich aktiviert wird. OpenVPN Connect ergänzt bei wiederholtem Import gleicher Profilnamen Zusätze wie (1) oder (2). Alte Varianten sollten nach erfolgreichem Test entfernt werden.

Anmeldung schlägt fehl

Benutzer, Passwort, MFA, Gruppenmitgliedschaft und Authentifizierungsserver prüfen. Wenn AD, RADIUS oder Microsoft Entra ID SSO beteiligt ist, sollte die Authentifizierung getrennt vom VPN getestet werden. Ein Loginproblem ist nicht automatisch ein OpenVPN-Problem.

Verbindung steht, aber interne Systeme sind nicht erreichbar

DNS, Firewall-Regeln, Routing, NAT und Rückweg prüfen. Im Log Viewer sollte Traffic aus der VPN-Zone sichtbar sein. Wenn keine Logs erscheinen, erreicht der Traffic die erwartete Regel wahrscheinlich nicht oder Logging ist deaktiviert.

Bei einzelnen internen Systemen ist oft nicht das VPN selbst defekt, sondern eine fehlende Firewall-Regel, ein falscher DNS-Name oder eine Rückroute im Zielnetz.

Wenn kleine Zugriffe funktionieren, grössere Dateiübertragungen oder bestimmte Anwendungen aber hängen, sollte zusätzlich MTU/MSS geprüft werden: Sophos Firewall MTU und MSS bei VPN-Problemen prüfen.

Interne Namen werden nicht aufgelöst

DNS-Server und Suchdomain in der SSL-VPN-Konfiguration prüfen. Danach testen, ob interne Systeme per IP-Adresse erreichbar sind. Wenn IP funktioniert, Name aber nicht, liegt die Ursache wahrscheinlich bei DNS, nicht bei der VPN-Verbindung selbst.

Verbindung bricht beim Netzwechsel ab

Bei mobilen Geräten sind WLAN-Wechsel, Mobilfunkwechsel, Captive Portals und Energiesparmechanismen typische Ursachen. Mit einem zweiten Netzwerk testen und prüfen, ob das Verhalten reproduzierbar ist.

In OpenVPN Connect zusätzlich Captive Portal Detection, Battery Saver und die Launch- beziehungsweise Reconnect-Einstellungen prüfen. Bei Always-on VPN muss Android die App im Hintergrund ausführen dürfen. Wenn Benutzer häufig zwischen Netzen wechseln, sollte ausserdem geprüft werden, ob die Anwendung mit kurzen VPN-Unterbrüchen umgehen kann oder ob ein anderes Zugriffsmodell besser passt.

Checkliste

Vor dem Rollout

• Unterstützter OpenVPN-Client definiert.
• SSL-VPN-Benutzergruppe geprüft.
• MFA für Remote Access getestet.
• VPN Portal mit gültigem Zertifikat erreichbar.
• Device Access und Zugriff aus dem Internet bewusst begrenzt.
• Firewall-Regeln für VPN-Zone erstellt und geloggt.
• Split Tunnel oder Full Tunnel dokumentiert.
• Profilverteilung und Gerätewechselprozess geklärt.

Nach dem Import

• Profil in OpenVPN Connect sichtbar.
• Android-VPN-Berechtigung bestätigt.
• Verbindung mit Testbenutzer aufgebaut.
• DNS, interne Ziele und Firewall-Regel-Match geprüft.
• WLAN, Mobilfunk und Netzwechsel getestet.
• Alte Profile entfernt.

Im Betrieb

• OpenVPN-App und Android aktuell halten.
• Benutzergruppen regelmässig prüfen.
• Alte Profile bei Austritt oder Geräteverlust entfernen.
• VPN-Logs bei Supportfällen früh prüfen.
• Bei wiederkehrenden mobilen Problemen ZTNA oder appbasierten Zugriff prüfen.

FAQ