Sophos Connect oder SSL VPN: Welche Remote-Access-Lösung passt?

Sophos Connect und SSL VPN sind keine direkten Alternativen: Sophos Connect ist die Clientsoftware; IPsec und SSL VPN sind die Tunnelarten, die dieser Client auf unterstützten Windows- und macOS-Geräten aufbauen kann. Unter Linux und auf Mobilgeräten gibt es keinen Sophos-Connect-Client. Dort verwendet man für SSL VPN einen OpenVPN-kompatiblen Client und prüft für IPsec separat einen passenden Betriebssystem- oder Drittanbieter-Client.

Für die meisten verwalteten Windows- und macOS-Geräte ist Sophos Connect die sinnvolle Standardsoftware. Danach entscheidet man zwischen IPsec und SSL VPN. Der Stand dieses Artikels ist mit SFOS 22.0 MR2 sowie den am 8. September 2026 aktuellen Clientlinien Sophos Connect 2.5 MR1 für Windows und 2.0 MR1 für macOS abgeglichen.

⚠️ PPTP nicht für neue Zugänge einsetzen. SFOS 22 kann PPTP noch konfigurieren, doch das Protokoll definiert selbst weder Verschlüsselung noch Authentisierung. PAP, CHAP oder MS-CHAPv2 machen daraus keine zeitgemässe Zielarchitektur. Bestehende Abhängigkeiten werden inventarisiert und auf aktuelles IPsec, SSL VPN oder einen anwendungsbezogenen Zugriff migriert.

Die Entscheidung in einer Minute

• Verwaltete Windows- oder macOS-Geräte, IPsec im Pilot stabil: Sophos Connect mit aktuellem Remote Access IPsec ist meist die erste Wahl.
• IPsec scheitert in Hotels, Gastnetzen oder streng gefilterten Fremdnetzen: Sophos Connect mit SSL VPN testen. Dass SSL VPN häufiger durchkommt, ist eine Praxistendenz und keine Garantie für jedes Netz.
• Linux, iOS, iPadOS oder Android: Für SSL VPN einen freigegebenen OpenVPN-Client verwenden. OpenVPN ist kein IPsec-Client; eine IPsec-Lösung muss separat zur Plattform und zum SFOS-Profil passen.
• Nur einzelne feste Anwendungen oder RDP-/SSH-Ziele: Clientless SSL VPN oder Sophos ZTNA prüfen, statt pauschal Netzwerkzugriff zu geben.
• Legacy Remote Access IPsec vorhanden: Vor einem Upgrade auf SFOS 22.0 MR1 oder neuer migrieren und löschen.

Die endgültige Wahl fällt erst nach einem Pilot mit der tatsächlichen Plattform, Authentifizierung, MFA, Netzumgebung und den benötigten internen Zielen. Ein grüner Tunnelstatus allein ist noch kein erfolgreicher Zugriffstest.

ZTNA ist die engere Lösung, wenn Benutzer nur definierte Anwendungen sowie identitäts- und gerätebezogenen Zugriff statt Netzwerkreichweite benötigen. Für jedes Administrationstool, jedes Protokoll und komplexe Netzwerkpfade ersetzt es ein VPN jedoch nicht.

Client, Protokoll und Plattform sauber trennen

Für die Clientwahl gelten folgende Planungsgrenzen. Da Versionsstand, Plattformfreigaben und Known Issues veränderlich sind, führt Sophos Connect Client Version prüfen und sicher aktualisieren vor Rollout oder Update durch Versionswahl, Pilot, Abnahme und Rückfallplanung:

Für neue Windows-Rollouts gilt die 2.5-Linie: 64-Bit Windows 10 und 11 sowie Windows on ARM werden unterstützt. Windows 11 Enterprise Multi-session einschliesslich Azure Virtual Desktop wird nicht unterstützt. Alte 32-Bit-Windows-Systeme enden bei Sophos Connect 2.4 und gehören in einen Betriebssystem-Migrationsplan, nicht in eine neue VPN-Zielarchitektur.

Sophos Connect 2.0 oder neuer unterstützt auf macOS 13 und neuer sowohl IPsec als auch SSL VPN. Auf Apple Silicon läuft der Client laut Release Notes über Rosetta 2. Provisioning-Dateien mit .pro sind nur für Windows dokumentiert. Microsoft Entra ID SSO ist ebenfalls ein Windows-Szenario und benötigt Sophos Connect 2.4 oder neuer sowie eine passende SFOS-Version; die Abhängigkeiten erklärt Entra ID SSO für Sophos Connect und VPN Portal.

IPsec oder SSL VPN wählen

Sophos Connect mit IPsec

IPsec passt gut zu verwalteten Firmenclients, wenn es über die typischen Netze der Benutzer zuverlässig funktioniert. Es liefert in vielen Umgebungen eine gute Performance. Entscheidend ist aber der eigene Last- und Pfadtest; eine pauschale Geschwindigkeitsgarantie gibt es nicht.

Grenzen sind blockiertes oder ungünstig behandeltes IPsec in Fremdnetzen sowie die kontrollierte Verteilung der Profile. Aktuelles Remote access VPN > IPsec darf nicht mit IPsec (legacy) verwechselt werden. Die Firewall-Konfiguration beschreibt Sophos Connect auf der Sophos Firewall konfigurieren.

Sophos Connect mit SSL VPN

SSL VPN passt, wenn OpenVPN-basierte Prozesse bereits etabliert sind, Linux oder Mobilgeräte einbezogen werden oder IPsec im Pilot wiederholt an fremden Netzen scheitert. Windows und macOS können dafür Sophos Connect verwenden; Linux und Mobilgeräte verwenden einen OpenVPN-kompatiblen Client.

Performance und Skalierung hängen von Appliance, Verschlüsselung, Last und Zugriffsmuster ab. Die Firewallseite steht in Sophos Firewall SSL VPN Remote Access einrichten. Für Clients gibt es getrennte Anleitungen für Windows, macOS, Linux, iPhone und iPad sowie Android.

Vom alten Sophos SSL VPN Client migrieren

Der alte Sophos SSL VPN Client und Sophos Connect mit SSL VPN verwenden zwar beide eine OpenVPN-Konfiguration, sind aber nicht dieselbe Clientgeneration. Die aktuelle Sophos-Connect-Installationshilfe verlangt, einen vorhandenen SSL-VPN-Client vor der Installation zu deinstallieren; ein Parallelbetrieb ist daher kein sinnvoller Migrationsweg.

Ein kontrollierter Wechsel sieht so aus:

1. Benutzer, Betriebssysteme, aktuelle .ovpn-Profile, MFA und benötigte Ziele inventarisieren.
2. Aktuelle SSL-VPN-Policy, Zertifikat, Gateway und Firewall-Regeln zuerst mit einem Pilotbenutzer prüfen.
3. Die freigegebene Sophos-Connect-Version und eine frisch aus dem VPN Portal geladene .ovpn-Datei bereithalten. Auf Windows kann alternativ eine getestete .pro-Provisionierung verwendet werden.
4. Aktive Verbindung trennen, den alten SSL-VPN-Client auf dem Pilotgerät deinstallieren und Sophos Connect installieren.
5. Das aktuelle Profil importieren und Anmeldung, MFA, VPN-IP, DNS, erlaubte Ziele und Regel-Treffer testen.
6. Erst nach erfolgreichem Pilot ausrollen; alte Installer und Profile danach kontrolliert aus Verteilungen entfernen.

Der Rückfallweg wird vor dem Pilot festgelegt: Den freigegebenen alten Installer und das Profil bis zur Abnahme geschützt aufbewahren. Scheitert der Pilot, wird Sophos Connect zuerst deinstalliert und erst danach der alte Client mit seinem Profil wiederhergestellt; beide Clients werden nicht parallel installiert. Dieser Rückfall ist nur eine kurzfristige Rückkehr zum dokumentierten Ausgangszustand, während man die Migration korrigiert.

Auch bei einem Sophos-Connect-Upgrade gilt: vorhandene Version deinstallieren, neue Version installieren. Version, Known Issues, Pilot und Rückfallweg behandelt Sophos Connect Client Version prüfen und sicher aktualisieren.

Profile und Updates betreiben

Die Dateiendung bezeichnet den Bereitstellungsweg, nicht die Qualität des Tunnels:

• .scx ist das bevorzugte Sophos-Connect-Profil für aktuelles IPsec und enthält auch erweiterte Einstellungen.
• .tgb ist ein IPsec-Export für kompatible Drittanbieter-Clients und enthält die erweiterten Sophos-Connect-Einstellungen nicht.
• .ovpn ist die benutzerspezifische SSL-VPN-Konfiguration.
• .pro ist eine Windows-Provisioning-Datei. Sie holt .scx und berechtigte .ovpn-Konfigurationen über das VPN Portal; sie ist selbst kein Tunnelprofil.

Freigegebene Clientversionen werden zentral erfasst, Profile eindeutig benannt und .scx, .tgb, .ovpn sowie .pro nicht ohne dokumentierten Zweck parallel verteilt. Für Mobilgeräte legt man freigegebene App, Profilquelle, MFA-Ablauf und Supportzuständigkeit fest, statt diese Entscheidungen jedem Benutzer zu überlassen.

Sophos empfiehlt für unterstützte Windows-Szenarien Provisioning, weil Profiländerungen damit weitgehend automatisch ankommen. Dafür muss das VPN Portal erreichbar sein. Eine WAN-Freigabe vergrössert die Angriffsfläche und braucht ein vertrauenswürdiges Zertifikat, MFA, passende Local Service ACLs und Schutz vor wiederholten Anmeldeversuchen. Details stehen in Sophos Connect Provisioning mit .pro.

Bei manuell verteilten Profilen müssen Änderungen kontrolliert neu exportiert und importiert werden. Bei Provisioning ruft der Client die meisten Änderungen ab; nach einer Änderung von SSL-VPN-Port oder -Protokoll müssen Benutzer beim Profil Zahnrad > Update policy ausführen. Gateway-, Zertifikats-, Port- oder Protokolländerungen können eine erneute Anmeldung verlangen. Windows, macOS und mobile OpenVPN-Clients werden getrennt getestet.

Sicherheit und Abnahme

Unabhängig vom Tunneltyp gelten dieselben Mindestanforderungen:

• MFA mit dem tatsächlich verwendeten Client und Reconnect-Ablauf testen.
• Bei .pro-Provisioning muss MFA schon vor dem Download der Konfiguration erfolgreich sein. Ist ein OTP oder Bestätigungscode erforderlich, kann die erste Verbindung die Anmeldung zweimal zeigen: einmal für den Konfigurationsdownload und einmal für den Tunnelaufbau.
• Benutzer und Gruppen auf den benötigten Personenkreis begrenzen.
• Nur erforderliche Netze und Dienste über Regeln aus der Zone VPN erlauben und loggen.
• VPN Portal und andere WAN-erreichbare Dienste unter Device Access und Local Service ACL prüfen.
• Profile bei Austritt, Geräteverlust oder Authentifizierungswechsel erneuern beziehungsweise entziehen.

Ein Pilot ist erst erfolgreich, wenn der Client die erwartete VPN-IP erhält, interne Namen auflöst, erlaubte Ziele erreicht, verbotene Ziele nicht erreicht und der Traffic im Log Viewer die vorgesehene Firewall-Regel trifft. Zusätzlich Split- oder Full-Tunnel-Verhalten, MFA und Reconnect nach einem Netzwerkwechsel prüfen. Für MFA hilft Sophos Firewall MFA einrichten; bei verbundenem Tunnel ohne Traffic folgen IPsec VPN Troubleshooting, MTU und MSS prüfen und Firewall-Regeln testen.

SFOS 22: Legacy IPsec ist ein Upgradeblocker

SFOS 22.0 MR1 und neuer unterstützen Legacy Remote Access IPsec nicht. Schon eine vorhandene Legacy-Konfiguration blockiert das Upgrade. Auch ein Restore oder Konfigurationsimport kann sie zurückbringen; Sophos migriert sie dabei nicht automatisch.

Vor dem Upgrade deshalb Remote access VPN > IPsec (legacy) prüfen, einen getesteten Ersatz bereitstellen, die Legacy-Konfiguration löschen und anschliessend kontrollieren, ob der Upgradeblocker verschwunden ist. Der vollständige Ablauf steht in Legacy Remote Access IPsec vor SFOS 22 MR1 migrieren. L2TP mit einem Betriebssystem-Client wird separat in L2TP Remote Access einrichten behandelt; Site-to-Site-IPsec gehört in Site-to-Site IPsec VPN einrichten.

FAQ