Alten Sophos SSL VPN Client ersetzen und Autostart migrieren

Der alte Sophos SSL VPN Client for Windows sollte nicht mehr eingerichtet oder weiterbetrieben werden. Er ist seit dem 31. Januar 2022 End of Life, alle Versionen sind von CVE-2021-36809 betroffen und Sophos stellt keinen Fix bereit. Seit SFOS 20.0 MR1 baut der Legacy-Client zudem keine Remote-Access-SSL-VPN-Tunnel mehr auf.

Die sichere Lösung ist die Migration zu Sophos Connect: aktuelles Profil und Installer vorbereiten, alten Client deinstallieren, Verbindung importieren, testen und erst danach Autostart, Klartextdateien und alte Profile vollständig bereinigen. Für die grundsätzliche Wahl des Remote-Access-Modells hilft Sophos Connect oder SSL VPN: Welche Lösung passt?.

⚠️ Ist das betroffene Gerät der einzige Remote-Adminzugang, muss vor der Deinstallation ein alternativer Zugang oder ein Wartungsfenster mit lokalem Zugriff stehen. Der EOL-Client ist kein sicherer Rückfallweg.

Zu Sophos Connect migrieren

1. Aktuellen Sophos-Connect-Installer und eine frische .ovpn-Datei aus dem VPN Portal vorbereiten. Die vollständigen Klickpfade stehen in Sophos SSL VPN mit Sophos Connect auf Windows einrichten.
2. Falls das VPN Portal nicht erreichbar ist, nur die vorhandene .ovpn aus dem Legacy-Konfigurationsordner in einen geschützten temporären Ordner kopieren. Eine password.txt darf nicht mitkopiert werden.
3. Enthält die Profilkopie auth-user-pass password.txt, den Dateinamen aus der Kopie entfernen, sodass nur auth-user-pass bleibt.
4. VPN trennen und den alten Sophos SSL VPN Client unter Settings > Apps > Installed apps regulär deinstallieren. Unbekannte Treiber oder Dienste nicht manuell löschen.
5. Windows neu starten, Sophos Connect installieren und die aktuelle .ovpn beziehungsweise die bereinigte Profilkopie über Import connection importieren.
6. Verbindung mit dem vorgesehenen Benutzer und, falls konfiguriert, MFA oder SSO aufbauen. Erst nach einem erfolgreichen Test werden die verbliebenen Legacy-Artefakte entfernt.

Sophos Connect und Profile sollten anschliessend über einen definierten Updateprozess gepflegt werden. Dafür passt Sophos Connect Client Version prüfen und sicher aktualisieren.

Legacy-Autostart und Klartextzugang erkennen

Autostart und Run-Wert prüfen

Im Task Manager unter Startup apps beziehungsweise Autostart nach SSL VPN Client for Windows suchen und den Eintrag deaktivieren.

Zusätzlich kann unter dem aktuellen Benutzer ein eigener Startwert liegen:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Ein Legacy-Wert kann an openvpn-gui.exe, --config_dir und --connect erkennbar sein. Das folgende Muster dient nur zur Identifikation und darf nicht neu angelegt werden:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profilname>.ovpn

Nur den eindeutig zum alten Sophos-Client gehörenden Wert entfernen, niemals den gesamten Run-Schlüssel oder unbekannte Einträge. Bei älteren Installationen zusätzlich den klassischen Windows-Autostartordner prüfen. In verwalteten Umgebungen ist zudem zu klären, ob GPO oder Softwareverteilung den Wert erneut erstellt.

OVPN-Profil und password.txt prüfen

Legacy-Profile liegen häufig unter einem dieser Pfade:

• 64-Bit-Windows: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• ältere 32-Bit-Installationen: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

Der tatsächlich vorhandene Run-Wert und die lokale Installation sind verlässlicher als ein angenommener Standardpfad.

Eine problematische Dateireferenz sieht so aus:

auth-user-pass password.txt

Die referenzierte Datei enthält Benutzername und Passwort im Klartext. Diese Datei nicht öffnen, ausgeben oder an Supportdaten anhängen. Für die Migration wird in einer Kopie des Profils nur die normale interaktive Anmeldung belassen:

auth-user-pass

Nach erfolgreichem Sophos-Connect-Test werden die referenzierte Passwortdatei, weitere Kopien und nicht mehr benötigte Legacy-Profile gelöscht. Anschliessend das Passwort des betroffenen Kontos über das zuständige Identitätssystem ändern und die VPN-Logs auf unerwartete Anmeldungen prüfen. Nur die Datei zu löschen reicht nicht.

Auto-Connect ohne password.txt

Eine Sophos-Connect-Provisioning-Datei (.pro) kann Profile automatisch importieren und aktualisieren. Mit auto_connect_host prüft der Client einen Host, der nur im internen Netz erreichbar ist. Ist dieser nicht erreichbar, aktiviert Sophos Connect die Verbindung; der Tunnel wird nur mit gespeicherten Zugangsdaten oder nach einer vorherigen SSO-Anmeldung automatisch aufgebaut.

[
  {
    "display_name": "Firmen-VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Mit can_save_credentials: false speichert der Client kein Benutzerpasswort. Ohne SSO muss sich der Benutzer weiterhin anmelden. War SSO die letzte Anmeldemethode, kann Sophos Connect den Tunnel automatisch über SSO aufbauen. Das Beispiel ist bewusst minimal; klassisches Sophos-Firewall-OTP benötigt zusätzliche otp- und 2fa-Felder. Für den vollständigen Provisioning-Ablauf passt Sophos Connect auf der Firewall konfigurieren; für die Authentifizierung MFA auf Sophos Firewall oder Microsoft Entra ID SSO für Sophos Connect.

Provisioning benötigt ein erreichbares VPN Portal. Wird es aus dem WAN freigegeben, gehören ein vertrauenswürdiges Zertifikat, MFA, Monitoring und eine möglichst enge Device-Access- und Local-Service-ACL-Konfiguration dazu.

Migration prüfen und Fehler eingrenzen

Nach dem Wechsel müssen Verbindung und Bereinigung getrennt geprüft werden:

• Der alte Client, sein Task-Manager-Autostart und der konkrete HKCU-Run-Wert sind entfernt.
• Im alten Profilpfad und in der Softwareverteilung liegt keine password.txt mehr.
• Ein migriertes Profil enthält keine Dateireferenz hinter auth-user-pass.
• Sophos Connect verwendet die vorgesehene aktuelle Verbindung und Clientversion.
• Anmeldung, MFA oder SSO funktionieren.
• Der Client erhält eine Adresse aus dem erwarteten VPN-Pool.
• Interne DNS-Namen und erlaubte Ziele funktionieren; ausdrücklich gesperrte Netze bleiben gesperrt.
• Log Viewer zeigt den erwarteten Benutzer und die passende Remote-Access-Regel.

Sophos Connect lässt sich nicht installieren

Prüfen, ob der alte Sophos SSL VPN Client noch installiert ist. Diesen regulär deinstallieren, Windows neu starten und die Installation wiederholen. Bei Konflikten mit anderen VPN-Clients keine Treiber oder Dienste auf Verdacht entfernen.

Profil ist importiert, aber der Tunnel startet nicht

Ein aktuelles .ovpn aus dem VPN Portal erneut importieren und Policy-Zuordnung, Benutzerkonto, MFA sowie die Sophos-Connect-Ereignisse prüfen. Auf der Firewall helfen je nach Fehlerbild sslvpn.log, openvpn-status*.log und bei Authentifizierungsproblemen access_server.log.

Tunnel steht, aber interne Ziele funktionieren nicht

Dann liegt das Problem meist bei Policy, Firewall-Regel, DNS, Routing oder MTU. Für die Eingrenzung helfen Firewall-Regel testen mit Log Viewer, Policy Test und Packet Capture, Sophos Firewall Services und Logs und bei hängenden Anwendungen MTU und MSS bei VPN-Problemen.

FAQ