Legacy Remote Access IPsec voor SFOS 22 MR1 migreren

Met SFOS 22.0 MR1 heeft Sophos Legacy Remote Access IPsec VPN buiten gebruik gesteld. Alleen al een legacy-configuratie die op de firewall aanwezig is, blokkeert de upgrade naar SFOS 22.0 MR1 en latere versies. Deze moet voor de upgrade worden verwijderd, ook als niemand er momenteel nog verbinding mee maakt.

Dit artikel beschrijft hoe men de oude configuratie voor een firmware-upgrade herkent, zorgvuldig documenteert, door een actuele Remote-Access-oplossing vervangt en pas daarna verwijdert. Voor de algemene upgradecontrole is ook Sophos Firewall voor de SFOS 22-upgrade controleren relevant.

Waar Legacy Remote Access IPsec over gaat

Sophos heeft door de jaren heen meerdere Remote-Access-methoden ondersteund. Daardoor is in veel omgevingen niet meteen duidelijk of een actuele IPsec-configuratie, een oude legacy-entry, SSL VPN of Sophos Connect wordt bedoeld.

Voor de SFOS-22-MR1-upgrade is vooral belangrijk:

• Legacy Remote Access IPsec is het oude configuratietype dat de upgrade kan blokkeren.
• Actueel Remote Access IPsec is het doelpad wanneer IPsec verder gebruikt moet worden.
• SSL VPN kan een alternatief zijn wanneer IPsec in hotels, gastnetwerken of mobiele netwerken regelmatig wordt geblokkeerd.
• ZTNA kan zinvol zijn wanneer geen volledig client-VPN meer nodig is, maar toegang tot afzonderlijke applicaties.

Het verschil is operationeel belangrijk. Een groene VPN-status of een werkende Sophos Connect Client bewijst niet automatisch dat er geen legacy-configuratie meer op de firewall aanwezig is.

Ook de clientbestanden helpen bij de beoordeling:

• Bij een legacy-verbinding werd een .tgb-bestand uit een gedownload .tar-archief gehaald en in een VPN-client van derden geïmporteerd.
• De actuele Remote-Access-IPsec-configuratie kan een .scx-bestand voor Sophos Connect exporteren. Dit bevat naast de algemene instellingen ook de geavanceerde instellingen.
• Een huidig .tgb-bestand bewijst op zichzelf nog niet dat er een legacy-configuratie is, omdat de actuele IPsec-pagina dit bestand nog steeds voor clients van derden kan exporteren. Doorslaggevend is de vermelding onder Remote access VPN > IPsec (legacy).

Een belangrijke restore-situatie wordt makkelijk over het hoofd gezien: back-ups of geïmporteerde configuraties kunnen Legacy Remote Access IPsec bevatten. Sophos herstelt of importeert deze configuratie wel, maar migreert deze niet naar het actuele Remote-Access-IPsec-model. Na een restore, hardwarevervanging of configuratie-import moet de upgradeblokkade daarom opnieuw worden gecontroleerd.

Wanneer men moet migreren

De migratie moet voor de geplande SFOS-22-MR1-upgrade afgerond zijn. Deze overstap moet niet pas in het onderhoudsvenster voor de firmware-update worden uitgevoerd, omdat Remote Access vaak gebruikers, certificaten, MFA, DNS, firewallregels en clientconfiguraties raakt.

Typische aanleidingen:

• Sophos Firewall moet naar SFOS 22.0 MR1 of nieuwer worden bijgewerkt.
• De firmwarepagina of Sophos-documentatie wijst op Legacy Remote Access IPsec.
• In de omgeving bestaan oude Sophos Connect-profielen die al jaren niet meer zijn gecontroleerd.
• Gebruikers melden terugkerende Remote-Access-problemen na profiel- of clientwissels.
• Remote Access moet sowieso opnieuw worden beoordeeld met MFA, Entra ID SSO, SSL VPN of ZTNA.

Wanneer Remote Access bedrijfskritisch is, moet de migratie als een eigen wijzigingsproject worden behandeld. Een firmware-upgrade is dan alleen de aanleiding, niet de volledige omvang van de werkzaamheden.

Voor de migratie documenteren

Eerst wordt de actuele toestand gedocumenteerd. Deze stap is belangrijker dan hij lijkt, omdat veel VPN-configuraties niet alleen uit een tunnelprofiel bestaan. Vaak hangen gebruikersgroepen, IP-pools, DNS-instellingen, firewallregels, NAT-uitzonderingen en clientbestanden eraan vast.

Legacy-configuratie in WebAdmin controleren

Voor de doelplanning moet zorgvuldig worden vastgesteld of Legacy Remote Access IPsec werkelijk van toepassing is. De controle hoort niet alleen voor de firmware-upgrade plaats te vinden, maar ook na een restore, hardwarevervanging of configuratie-import.

Praktische werkwijze:

1. Remote access VPN > IPsec (legacy) openen op de nog ondersteunde uitgangsversie.
2. Controleren of daar een legacy-verbinding aanwezig is. Voor de upgradeblokkade is het niet relevant of deze momenteel actief wordt gebruikt.
3. Remote access VPN > IPsec openen en de actuele Remote-Access-IPsec-configuratie apart documenteren.
4. Authentication > Users en gebruikersgroepen controleren wanneer statische IP-adressen, lokale gebruikers of oude groepstoewijzingen werden gebruikt.
5. Rules and policies > Firewall rules doorzoeken op regels van de zone VPN naar LAN, DMZ of WAN.
6. Administration > Device access controleren om te zien of IPsec, VPN Portal, DNS of Ping vanuit de benodigde zones bereikbaar zijn.
7. De firmwarepagina opnieuw openen en controleren of er nog steeds een upgradeblokkade wordt getoond.

Wanneer het legacy-gedeelte niet meer zichtbaar is, maar de upgrade nog steeds wordt geblokkeerd, moet men niet op goed geluk objecten verwijderen. Dan zijn een screenshot van de melding, een actuele back-up en een navolgbare objectlijst belangrijker dan haastig opruimen in het onderhoudsvenster.

Minstens te documenteren:

• Gebruikers en groepen: Welke gebruikers mogen Remote Access gebruiken? Worden lokale gebruikers, AD, RADIUS of Entra ID gebruikt?
• Authenticatie: Wachtwoord, MFA, certificaat, Preshared Key of SSO-afhankelijkheden.
• IP-pool: Welke adressen krijgen VPN-clients? Zijn er conflicten met LAN, WLAN, VLAN of andere VPN’s?
• DNS: Welke DNS-servers en domeinen worden aan clients uitgedeeld?
• Toegang: Welke interne netwerken, servers en diensten moeten bereikbaar zijn?
• Firewallregels: Welke regels staan traffic van VPN naar LAN, DMZ of WAN toe?
• Clientdistributie: Waar bevinden zich oude .tgb-bestanden, actuele Sophos Connect-profielen (.scx of .pro) of SSL-VPN-configuraties?
• Beheer: Wie kan gebruikers informeren, profielen distribueren en fouten aannemen?

Wanneer er al problemen met routing of traffic door de tunnel zijn, moet men die niet ongecontroleerd naar de nieuwe configuratie meenemen. Voor de analyse helpt Sophos Firewall IPsec VPN Troubleshooting.

Doelpad kiezen

Er is niet één juiste vervanging voor Legacy Remote Access IPsec. De keuze hangt af van wat gebruikers werkelijk nodig hebben en hoe de omgeving wordt beheerd.

Actueel Remote Access IPsec

Actueel Remote Access IPsec ligt voor de hand wanneer Sophos Connect met IPsec verder gebruikt moet worden en de omgeving daarmee in principe goed werkt. IPsec is vaak performant, maar kan in restrictieve externe netwerken opvallen door geblokkeerde UDP-poorten of speciale NAT-situaties.

Deze route past goed wanneer:

• Sophos Connect al is uitgerold
• gebruikers met Windows 10/11 of macOS 13 en nieuwer werken
• IPsec in het eerdere gebruik stabiel was
• interne netwerken via klassieke firewallregels bereikbaar moeten zijn

Sophos Connect zelf ondersteunt actueel Remote Access IPsec op deze Windows- en macOS-versies. Voor Linux en andere mobiele platformen is een geschikte client van derden nodig; iOS kan een eigen IPsec-profiel vanuit het VPN Portal installeren. De bestaande handleiding Sophos Connect Client op de Sophos Firewall configureren beschrijft de volledige configuratie.

SSL VPN

SSL VPN is zinvol wanneer Remote Access zo robuust mogelijk door verschillende externe netwerken moet werken. Afhankelijk van de omgeving kan SSL VPN eenvoudiger zijn, maar het brengt andere performance- en clientvragen mee. Voor Windows is er de handleiding Sophos Connect SSL VPN Client installeren.

Deze route past goed wanneer:

• gebruikers vaak in hotels, gast-WLAN’s of externe bedrijfsnetwerken werken
• IPsec-verbindingen herhaaldelijk op netwerkrestricties mislukken
• bestaande SSL-VPN-processen al zijn ingericht
• mobiele platformen of OpenVPN-clients van derden een rol spelen

ZTNA of Clientless Access

Wanneer gebruikers alleen afzonderlijke interne webapplicaties of gedefinieerde applicaties nodig hebben, moet men controleren of een klassiek full-tunnel-VPN nog de juiste oplossing is. ZTNA is geen directe vervanging voor elk VPN-scenario, maar kan in duidelijk afgebakende gebruikssituaties de betere architectuur zijn.

Voor deze keuze helpt eerst Wat is Zero Trust Network Access? Basisprincipes, voordelen en beperkingen. Als Sophos ZTNA moet worden gebruikt, beschrijft Sophos ZTNA Gateway Connector de concrete component. Clientless SSL VPN voor RDP en SSH is alleen een alternatief voor geschikte browsergebaseerde doelen en vervangt geen algemene netwerktoegang.

Nieuwe Remote-Access-configuratie opbouwen

De nieuwe configuratie moet parallel worden voorbereid voordat de oude wordt verwijderd. Het doel is niet om alle gebruikers tegelijk naar een ongeteste setup te verplaatsen.

Voor actueel Remote Access IPsec volstaat het niet om alleen een nieuwe profielnaam aan te maken. Tijdens de migratie moeten de bepalende instellingen bewust worden overgenomen of opnieuw worden vastgelegd:

1. Doelvariant vastleggen: actueel Remote Access IPsec, SSL VPN, ZTNA of een combinatie.
2. Onder Remote access VPN > IPsec Remote Access activeren en de externe Interface selecteren.
3. Een passend IPsec profile gebruiken. Remote Access accepteert IKEv1-profielen waarbij Dead Peer Detection is uitgeschakeld of op Disconnect staat.
4. Authentication type, lokale en externe ID en Allowed users and groups vastleggen.
5. Onder Assign IP from een privébereik uit minstens één /24-subnet kiezen. Dit mag niet overlappen met SSL VPN, L2TP, PPTP, LAN, WLAN of Site-to-Site-netwerken.
6. DNS server 1 en optioneel DNS server 2 en de benodigde interne resources vastleggen.
7. Bewust kiezen tussen Split Tunnel en Use as default gateway en Prompt users for 2FA token passend bij de MFA-methode configureren.
8. Onder Authentication > Groups controleren of Remote Access IPsec is toegestaan voor de gebruikersgroep die daadwerkelijk van toepassing is. Bij geïmporteerde AD-groepen en gemigreerde groepen is dit niet automatisch actief.
9. Onder Administration > Device access IPsec vanuit de WAN-zone toestaan. Het VPN Portal is alleen nodig als clients of provisioning daar toegang toe hebben; DNS en Ping worden alleen voor het concrete ontwerp vrijgegeven.
10. Afzonderlijke en duidelijk benoemde firewallregels voor inkomend en uitgaand VPN-traffic aanmaken en logging activeren.
11. Met Export connection een .scx-bestand voor Sophos Connect maken of een bestaande .pro-provisioning bijwerken.
12. Het testprofiel aan enkele pilotgebruikers distribueren, op minstens twee verschillende netwerkaansluitingen testen en pas daarna de rollout plannen.

MFA moet bij Remote Access niet als optioneel detail worden behandeld. Wanneer het VPN wereldwijd bereikbaar is, horen MFA, nette gebruikersgroepen, logging en een review van de Device-Access-instellingen bij elkaar. Het artikel Sophos Firewall MFA configureren behandelt de basis.

Co-existentie en terugvalroute plannen

De nieuwe Remote-Access-oplossing moet eerst naast de oude configuratie worden getest. Daardoor kan men gebruikers stapsgewijs migreren en bij fouten gericht teruggaan, zonder in hetzelfde onderhoudsvenster Remote Access, firewallregels, DNS, MFA en clientdistributie tegelijk te wijzigen.

Belangrijk is wel dat co-existentie zorgvuldig wordt gepland. De nieuwe configuratie mag niet dezelfde IP-pool, dezelfde onduidelijk benoemde firewallregels of dezelfde profielnamen gebruiken als de oude legacy-configuratie. Anders is later in de Log Viewer niet meer herkenbaar via welke toegang een gebruiker werkelijk verbinding heeft gemaakt.

Voor de pilot moeten deze punten vaststaan:

• Pilotgroep: enkele technisch bereikbare gebruikers met verschillende apparaten en netwerken.
• IP-pool: eigen bereik zonder overlapping met LAN, WLAN, Site-to-Site VPN of oude Remote Access.
• Firewallregels: eigen, duidelijk benoemde regels voor de nieuwe VPN-pool.
• Clientprofielen: nieuwe verbindingsnaam, zodat gebruikers de legacy- en doelverbinding van elkaar kunnen onderscheiden.
• Terugvalcriterium: vooraf definiëren wanneer naar de oude verbinding wordt teruggegaan.
• Supportvenster: helpdesk of admin moet tijdens de pilot bereikbaar zijn.

Een terugvalroute betekent niet dat de legacy-configuratie blijvend wordt doorgebruikt. Deze dient alleen om de pilot gecontroleerd af te breken als aanmelding, MFA, DNS, routing of centrale applicaties niet werken. Zodra de nieuwe oplossing stabiel is, moet de oude configuratie worden verwijderd en de upgradeblokkade opnieuw worden gecontroleerd.

Tests voor het verwijderen van de legacy-configuratie

De oude configuratie moet pas worden verwijderd wanneer de vervanging is getest. Anders is het upgradeprobleem wel opgelost, maar kan Remote Access in productie uitvallen.

Functionele test

Minstens controleren:

• aanmelding met testgebruiker werkt
• MFA of SSO wordt zoals verwacht gevraagd
• client krijgt een passend VPN-IP
• interne DNS-namen worden opgelost
• centrale servers zijn bereikbaar
• internetgedrag komt overeen met het ontwerp: Split Tunnel of Full Tunnel
• afmelding en opnieuw aanmelden werken

Firewall- en routingtest

In de Log Viewer controleren of traffic uit de VPN-zone de verwachte regels raakt. Wanneer traffic wordt verworpen, moet men niet alleen de VPN-configuratie controleren, maar ook firewallregel, NAT, Route Precedence en retourpad. Voor afzonderlijke verbindingen is het artikel Firewallregel testen met Log Viewer, Policy Test en Packet Capture nuttig.

Clienttest

Bij Sophos Connect mogen bestaande profielen niet stilzwijgend worden overschreven. Beter is een kleine pilot met duidelijke feedback:

• Importeert de client de nieuwe configuratie?
• Wordt de oude verbinding voor gebruikers begrijpelijk vervangen?
• Werkt de verbindingsopbouw na een herstart?
• Zijn DNS-suffixen, routes en opgeslagen verbindingen correct?
• Zijn er verschillen tussen Windows en macOS?

Bij distributie van een .scx-bestand moet een latere wijziging opnieuw worden geëxporteerd en geïmporteerd. Een al geconfigureerde .pro-provisioning kan latere wijzigingen automatisch ophalen, zolang het gatewayadres en de VPN-Portal-poort bereikbaar en ongewijzigd zijn.

Voor een brede rollout moet ook de gebruikte clientversie worden gecontroleerd. Daarvoor past Sophos Connect Client-versie controleren en veilig bijwerken.

Legacy-configuratie verwijderen

Wanneer de nieuwe oplossing productief is getest, kan de legacy-configuratie worden verwijderd. Vooraf moet nog een actuele back-up worden gemaakt. Dat is vooral belangrijk wanneer in dezelfde wijziging ook firewallregels, gebruikersgroepen of authenticatieservers worden aangepast.

Praktische werkwijze:

1. Verse back-up maken.
2. Actieve gebruikers over het onderhoudsvenster informeren.
3. Nieuwe Remote-Access-configuratie actief laten.
4. Legacy Remote Access IPsec in WebAdmin verwijderen.
5. Niet meer benodigde oude profielen, IP-pools en regels op afhankelijkheden controleren.
6. Firmwarepagina opnieuw openen en controleren of de upgradeblokkade verdwenen is.
7. Resultaat documenteren.

Niet meteen alles verwijderen wat oud lijkt. Oude firewallregels, hosts of groepen kunnen ook voor Site-to-Site-VPN, SSL VPN of andere doeleinden worden gebruikt. Eerst afhankelijkheden controleren, daarna opschonen.

Na een restore of configuratie-import moet de controle worden herhaald. Een back-up kan oude legacy-objecten bevatten zonder dat daaruit automatisch een actuele Remote-Access-IPsec-configuratie ontstaat. Voor beheer en documentatie is daarom doorslaggevend of de productieve doelconfiguratie werkelijk opnieuw is opgebouwd, getest en uitgerold.

Troubleshooting

Upgrade blijft geblokkeerd

Wanneer de upgrade geblokkeerd blijft hoewel de zichtbare legacy-configuratie is verwijderd, eerst het firmwaregedeelte opnieuw openen en Remote access VPN > IPsec (legacy) nogmaals controleren. Niet op goed geluk hosts, groepen of actuele IPsec-profielen verwijderen. Wanneer onduidelijk blijft welke legacy-configuratie wordt herkend, moet een Sophos Support Case met screenshot van de upgrademelding, uitgangsversie en actuele back-up worden voorbereid.

Na restore komt de legacy-vraag terug

Na een restore, hardwarevervanging of import van een oude configuratie moet men Remote Access opnieuw controleren. Doorslaggevend is niet of de eerdere wijziging ooit was afgerond, maar wat in de actueel draaiende configuratie aanwezig is. Oude back-ups kunnen historische Remote-Access-objecten terugbrengen of een nieuwe controle van het upgradepad uitlokken.

Gebruikers kunnen zich niet aanmelden

Bij aanmeldproblemen eerst authenticatie, MFA, gebruikersgroep en VPN-policy controleren. Wanneer RADIUS, AD of Entra ID betrokken is, moet men de serververbinding los van het VPN testen. Een VPN-probleem is niet altijd een IPsec-probleem.

Verbinding staat, maar interne systemen zijn niet bereikbaar

Dan ligt de oorzaak vaak bij firewallregels, NAT, DNS of routing. Controleren of de client een passend VPN-IP krijgt, of interne namen correct worden opgelost en of de traffic in de Log Viewer de verwachte regel raakt.

Afzonderlijke netwerken werken, andere niet

In dit geval spelen vaak Split-Tunnel-netwerken, IPsec-routes, statische routes of ontbrekende retourroutes mee. Bij IPsec-scenario’s is IPsec Route op Sophos Firewall een zinvol vervolgartikel.

Checklist

Voor de rollout

• Legacy Remote Access IPsec geïdentificeerd
• gebruikers, groepen, IP-pool, DNS en firewallregels gedocumenteerd
• doelpad gekozen: actueel IPsec, SSL VPN, ZTNA of combinatie
• MFA en authenticatie gecontroleerd
• Device Access naar behoefte gecontroleerd: IPsec op WAN, VPN Portal voor distributie of provisioning, DNS en Ping alleen indien nodig
• co-existentie en terugvalcriterium gedefinieerd
• testgebruikers gedefinieerd
• back-up gemaakt

Tijdens de rollout

• nieuwe configuratie met pilotgebruikers getest
• clientprofielen verdeeld
• Log Viewer en betrokken firewallregels gecontroleerd
• terugvalroute gecommuniceerd
• gebruikersfeedback verzameld

Na de migratie

• legacy-configuratie verwijderd
• upgradeblokkade opnieuw gecontroleerd
• restore- en importscenario gedocumenteerd
• oude profielen en regels op afhankelijkheden gecontroleerd
• documentatie bijgewerkt
• firmware-upgrade pas daarna gepland

FAQ