Sophos Connect Client installeren op macOS

Sophos Connect 2.1 voor macOS ondersteunt IPsec en SSL VPN op Intel-Macs en Apple Silicon vanaf macOS 14. Op Apple Silicon draait deze versie native. Het installatieprogramma is beschikbaar in het VPN Portal van de eigen organisatie via VPN > Download for macOS; IT verstrekt het portaladres en het juiste verbindingsprofiel.

Na de installatie wordt een .scx voor IPsec of een .ovpn voor SSL VPN geïmporteerd. Vanaf 2.1 kan IT in plaats daarvan een .pro verstrekken waarmee profielen automatisch worden opgehaald. Dit artikel beschrijft downloaden, installeren, profielen importeren en de controles daarna. Voor de fundamentele keuze tussen Sophos Connect, SSL VPN, OpenVPN-clients en ZTNA, zie Sophos Connect of SSL VPN: welke Remote-Access-oplossing past?.

Welk artikel past?

Sophos Connect op macOS overlapt snel met andere Remote-Access-artikelen. Afhankelijk van de taak is een andere start beter:

• Sophos Connect op macOS installeren: Dit artikel.
• SSL VPN op macOS met .ovpn instellen: Sophos SSL VPN met Sophos Connect op macOS instellen.
• Sophos Connect op de firewall voorbereiden: Sophos Connect op Sophos Firewall configureren.
• Clientversies, updates en profielonderhoud plannen: De Sophos Connect Client-versie controleren en veilig bijwerken.
• Import-, aanmeld- of verbindingsfouten diagnosticeren: Problemen met Sophos Connect Client oplossen.
• VPN is verbonden, maar verkeer werkt niet: Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Deze scheiding is belangrijk omdat de clientinstallatie slechts een deel van de Remote-Access-operatie is. Firewallregels, DNS, MFA, certificaten, VPN-portal en profielverdeling blijven afzonderlijke controlepunten.

Vereisten

• Sophos Firewall met ingestelde Remote-Access-configuratie
• Sophos Connect Client in een versie die past bij de firewall en het platform
• Intel-Mac of Apple Silicon met een macOS-versie die past bij de clientversie; zie het overzicht hieronder
• Configuratiebestand voor IPsec (.scx) of SSL VPN (.ovpn), of vanaf client 2.1 een door IT verstrekte .pro
• Geen parallel geïnstalleerde oude Sophos SSL VPN Client
• Gebruikersaccount met VPN-rechten en, indien geactiveerd, werkende MFA
• Firewallregels voor verkeer uit de VPN-zone of de gebruikte Remote-Access-zone

Welke versie past bij de Mac?

Op 21 oktober 2026 vermelden de Sophos-release notes Sophos Connect 2.1 voor macOS van 6 oktober 2026 als actuele Mac-uitgave. Het hogere Windows-versienummer 2.5 MR1 is geen macOS-pakketversie.

• 2.1 vanaf macOS 14 Sonoma: Intel en Apple Silicon; Apple Silicon native met ARM. IPsec, SSL VPN, .pro-provisioning en Microsoft Entra ID SSO worden ondersteund. Voor SSO-aanmelding in de systeembrowser is daarnaast SFOS 22.0 MR3 of nieuwer vereist.
• 2.0-lijn vanaf macOS 13 Ventura: IPsec en SSL VPN met handmatige profielimport; Apple Silicon via Rosetta 2. De laatst vermelde onderhoudsversie is 2.0 MR1 van 21 mei 2026. Native ARM-uitvoering, .pro-provisioning en Entra ID SSO zijn hier niet beschikbaar.
• Vóór 2.0: De macOS-client ondersteunt alleen IPsec. Deze oude pakketten zijn niet geschikt voor SSL VPN.

Controleer vóór de installatie het versienummer van het daadwerkelijk verstrekte macOS-pakket. Een release-aankondiging bewijst niet dat de eigen firewall dit pakket al aanbiedt of dat de combinatie van client, macOS en VPN-profiel is goedgekeurd voor de eigen omgeving. Versiecontrole en de gecontroleerde terugweg worden beschreven in Sophos Connect veilig bijwerken.

Apple Silicon en macOS-upgrades

Rosetta is geen algemene vereiste voor de native 2.1-client. Bij een nog gebruikte 2.0-client blijft het wel een afhankelijkheid: de algemene beschikbaarheid van Rosetta betekent niet dat het specifieke installatieprogramma of VPN-gebruik op macOS 27 is goedgekeurd. Ook goedkeuring van Sophos Endpoint is geen bewijs voor Sophos Connect.

Test vóór een macOS-upgrade op een pilotapparaat de installatie, het daadwerkelijk gebruikte IPsec- of SSL-VPN-profiel, MFA, interne DNS-resolutie en opnieuw verbinden. Stel de upgrade van VPN-afhankelijke apparaten uit totdat deze test slaagt. Plan voor macOS 28 geen gebruik van de Intel-client uit de 2.0-lijn, maar keur tijdig een native of andere ondersteunde VPN-oplossing goed.

1. Sophos Connect Client downloaden

Onder SFOS 22 downloadt een beheerder de Sophos Connect Client voor macOS in WebAdmin via Remote access VPN > IPsec > Download client of Remote access VPN > SSL VPN > Download client. Gebruikers openen in plaats daarvan het VPN Portal, standaard via https://<firewall-FQDN>:443, en kiezen VPN > Download for macOS. De actuele client staat in het VPN Portal; het WebAdmin-pakket is actueel wanneer Pattern updates automatisch worden bijgewerkt onder Backup & Firmware > Pattern updates.

De bestaande Sophos Download Page is de downloadpagina voor UTM. Gebruik voor een SFOS-installatie daarom WebAdmin of het VPN Portal als pakketbron. In beheerde omgevingen moet daarnaast worden vastgelegd welke clientversie is goedgekeurd en waar gebruikers het juiste configuratiebestand ontvangen.

Het bestand hangt af van de verbinding die op de firewall is ingesteld:

• IPsec: .scx rechtstreeks importeren.
• SSL VPN: het eigen .ovpn-bestand rechtstreeks importeren; Sophos Connect 2.0 of nieuwer vereist.
• Automatisch profielen ophalen vanaf macOS-client 2.1: IT verstrekt een .pro. Deze haalt de toegestane IPsec- en SSL-VPN-profielen via het VPN Portal op en verwerkt latere wijzigingen; het is zelf geen tunnelprofiel. macOS-client 2.0 vereist nog steeds rechtstreekse import en handmatige updates. De procedure staat in Sophos Connect-provisioning met .pro.

Onder SFOS 22 zijn de profielen op deze locaties beschikbaar:

1. IPsec: Open Remote access VPN > IPsec > Export connection. Het archief bevat .scx en .tgb; verspreid het .scx-bestand dat Sophos voor Sophos Connect aanbeveelt.
2. SSL VPN: Open in het VPN Portal VPN > VPN configuration > SSL VPN configuration en kies Download configuration for Windows, macOS, Linux. Gebruik voor Sophos Connect Use with Sophos Connect and OpenVPN Connect v2 clients; Use with OpenVPN Connect v3 clients is voor OpenVPN Connect 3, niet voor Sophos Connect. Download het .ovpn-bestand. Zonder passende SSL VPN-policy voor de gebruiker verschijnt deze download niet.
3. Sla het bestand veilig op en stel het alleen beschikbaar aan de bedoelde gebruiker.

De huidige pakketnaam volgt het patroon SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Een pakket met (IPsec) in de naam behoort tot de oudere macOS-lijn en bevat geen ondersteuning voor SSL VPN.

Voor beheerde Macs moet de installer niet zonder pilotgroep breed worden verspreid. Eerst moet ten minste één Intel-Mac en één Apple-Silicon-Mac worden getest als beide platforms in het bedrijf aanwezig zijn.

2. Sophos Connect Client installeren

Voor de installatie moet een aanwezige oude Sophos SSL VPN Client worden verwijderd. De installatiehandleiding sluit gelijktijdig gebruik met een andere VPN-client uit, terwijl de algemene probleemoplossingshandleiding nog een afwijkende installatievolgorde voor de oude SSL VPN Client beschrijft. Dit betekent niet dat gelijktijdig gebruik van meerdere clients algemeen is goedgekeurd; stem bij een noodzakelijk legacy-uitzonderingsgeval de concrete combinatie af met Sophos. De actuele upgradehandleiding noemt het downloaden en installeren van het nieuwe pakket, maar geen algemene verplichting om de bestaande versie vooraf te verwijderen. Gebruik de hier beschreven procedure voor verwijderen en opnieuw installeren alleen als een gecontroleerde onderhouds- of terugweg die voor de doelversie is goedgekeurd, niet als verplichte voorwaarde voor elke update.

Start de installatie met een dubbelklik op SophosConnect_x.x_(IPsec_and_SSLVPN).pkg; x.x staat voor de goedgekeurde versie. Controleer de bestemming en vrije schijfruimte, klik op Install en rond de wizard af met Finish.

Op Apple Silicon heeft Sophos Connect 2.0 Rosetta 2 nodig; vanaf 2.1 wordt ARM native ondersteund. Rosetta is daarom geen algemene vereiste voor 2.1. Als macOS er bij het goedgekeurde 2.0-installatiepakket om vraagt, installeer Rosetta 2 en start de client opnieuw. Ga er bij macOS 27 niet van uit dat Rosetta, als het vóór de upgrade geïnstalleerd was, automatisch wordt hersteld of dat een specifiek installatiepakket ongewijzigd werkt. Test voor beide clientlijnen de installatie en VPN-verbinding in een pilot.

Na de installatie moet de versie direct in de client worden gecontroleerd. Dit is vooral belangrijk als er meerdere installatiepakketten intern in omloop waren of als gebruikers de client eerder al hadden geïnstalleerd.

3. Verbindingsbestand downloaden

Bij de eerste start heeft Sophos Connect een verbindingsconfiguratie nodig. Dit bestand moet afkomstig zijn uit de momenteel geldige firewallconfiguratie en niet uit een oud gebruikersarchief worden hergebruikt.

Typische verbindingsbestanden:

• IPsec Remote Access: .scx; export uit de actuele Remote-Access-IPsec-configuratie.
• SSL VPN: .ovpn; VPN Portal of administratieve export.
• Provisioning vanaf 2.1: .pro; door IT verstrekte methode om de toegestane profielen op te halen.

Als er voor een SFOS-22-MR1-upgrade nog oude Remote-Access-IPsec-configuraties in gebruik zijn, moet niet zomaar een oud profiel verder worden verspreid. In dit geval eerst Legacy Remote Access IPsec voor SFOS 22 MR1 migreren controleren.

Profielen moeten als toegangsgegevens worden behandeld. Een oud .ovpn- of .scx-bestand kan nog steeds interne netwerken, gatewaynamen, certificaten of gebruikersreferenties bevatten. Als gateway, certificaat, DNS, gebruikersgroep, IP-pool of authenticatie is gewijzigd, moet het profiel opnieuw worden geëxporteerd en geïmporteerd.

Bij SSL VPN is het .ovpn-bestand gebruikersspecifiek: het bevat een uniek gebruikerscertificaat met privésleutel en mag daarom niet als gedeeld teamprofiel worden verspreid. Een nog niet geïmporteerd .pro-bestand bevat daarentegen provisioningmetadata en is niet van zichzelf gebruikersspecifiek; het is niet hetzelfde als het SSL-VPN-profiel en de certificaten die tijdens het importeren worden gegenereerd. Deel ook deze gegenereerde profielen en privésleutels niet tussen gebruikers.

Voor SFOS 22 documenteert Sophos dat een geïmporteerd SSL-VPN-profiel is gebonden aan de gebruikersidentiteit, het domein en de authenticatiemethode. Bij een overstap van bijvoorbeeld lokale authenticatie naar Active Directory moet een afzonderlijke .ovpn-configuratie worden opgehaald en geïmporteerd, of moet via een afzonderlijke .pro-import het juiste SSL-profiel worden gegenereerd. Volgens deze SFOS-22-documentatie kan hergebruik van het geïmporteerde profiel met een andere methode of een ander domein Login failed. Wrong fingerprint of certificate. veroorzaken. Deze gedocumenteerde SSL-binding geldt niet voor IPsec-profielen in .scx-formaat.

Voor SFOS 23 blijft het runtimegedrag onduidelijk: de bijbehorende sectie ontbreekt in de Sophos-handleiding. Dat bevestigt noch soepeler hergebruik, noch een ongewijzigde binding. Blijf totdat er versiespecifieke bevestiging is afzonderlijke SSL-profielen ophalen en importeren voor de bedoelde identiteit, methode en het bedoelde domein. Dit is een voorzorgsmaatregel, geen geverifieerde SFOS-23-runtimeregel; omzeil certificaatvalidatie niet.

Bij een migratie vanaf een client van derden kunnen bestaande compatibele configuratiebestanden in Sophos Connect worden geïmporteerd. Bereid voor IPsec eerst de geavanceerde instellingen op de firewall voor en verspreid een actuele .scx of, vanaf macOS-client 2.1, een passende .pro: zo worden ook instellingen geleverd die clients van derden niet ondersteunen. Alleen een update van de clientversie maakt bestaande bestanden niet automatisch ongeldig; wijzigingen op de firewall moeten afzonderlijk worden behandeld.

4. Sophos Connect Client instellen

Het instellen van de Sophos Connect Client is in een paar stappen gedaan:

1. Open Sophos Connect.
2. Selecteer Import connection.
3. Importeer het juiste verbindingsbestand.
4. Controleer de verbinding onder Connections.
5. Klik op Connect.
6. Meld aan met de VPN-gebruiker en bevestig MFA indien geactiveerd.

Na het succesvol tot stand brengen van de verbinding moet ook worden gecontroleerd of interne DNS-namen worden opgelost en of de benodigde systemen bereikbaar zijn. Als de verbinding tot stand is gebracht maar er geen verkeer plaatsvindt, helpen Log Viewer, Policy Test en Packet Capture. De juiste handleiding is Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Bij SSL VPN op macOS is de DNS-test bijzonder belangrijk. Sophos Connect 2.0 MR1 lost een probleem op waarbij DNS-instellingen voor SSL-VPN-verbindingen op macOS niet correct werden toegepast. Als interne namen niet worden opgelost, moet daarom eerst de versie en profielstatus worden gecontroleerd voordat DNS-regels blind worden aangepast.

Bij SSL VPN met meerdere gateways in het .ovpn-bestand probeert Sophos Connect de vermeldingen in omgekeerde prioriteitsvolgorde; Dynamic DNS-gateways hebben voorrang op WAN-IP-gateways. Als een poging mislukt, volgt de volgende beschikbare gateway in die volgorde. Vergelijk bij een onverwachte gatewaykeuze het actuele bestand met de daadwerkelijk geprobeerde doelen in de clientgebeurtenissen, in plaats van aan te nemen dat de eerste vermelding de voorkeur heeft.

Microsoft Entra ID SSO op macOS (Sophos Connect 2.1): browser en terugkeer naar de client

Voor IPsec, SSL VPN en provisioning is Entra ID SSO gedocumenteerd vanaf Sophos Connect 2.1 voor macOS; macOS 2.0 ondersteunt deze clientprocedure niet. Controleer vóór het starten de passende Entra ID-configuratie op de firewall, authenticatiemethoden en Redirect URI. Gebruik op macOS 14+ de goedgekeurde 2.1-pakketversie. De browserkeuze hangt af van de verbindings- of provisioningconfiguratie, niet alleen van het besturingssysteem. Authenticatie in de systeembrowser en de automatische overstap daarnaartoe vereisen SFOS 22.0 MR3 of nieuwer. Stem vóór zo’n procedure de firewallversie af met IT; een oudere versie voldoet niet aan deze vereiste.

Controleer vóór Entra ID SSO dat VPN Portal, de SSL VPN-policy en de Microsoft Entra ID-configuratie de vereiste authenticatieserver gebruiken.

1. Selecteer in Sophos Connect de juiste verbinding, gebruik de SSO-aanmelding en start Connect. Voltooi de aanmelding in de door Sophos Connect geopende browser, inclusief de vereiste MFA- of compliancecontrole. Een afzonderlijk geopende portalaanmelding vervangt deze clientprocedure niet.
2. Als sso_auth_browser_type ontbreekt of de waarde auto heeft, begint Sophos Connect in de ingebouwde browser. Als de aanmelding daar vanwege Conditional Access-vereisten niet kan worden voltooid, schakelt de client automatisch over naar de standaard systeembrowser en probeert de aanmelding opnieuw. Meld u daar volledig aan en keer daarna terug naar Sophos Connect.
3. Bij embedded wordt alleen de ingebouwde browser gebruikt: geen automatische fallback. Als de aanmelding door Conditional Access mislukt, laat de IT-afdeling dan een goedgekeurd provisioningbestand met system verstrekken en probeer het opnieuw. Bij system wordt uitsluitend de systeembrowser gebruikt; keer na de aanmelding terug naar Sophos Connect.
4. Rechtstreeks geïmporteerde .ovpn- of .scx-profielen gedragen zich als auto: eerst de ingebouwde browser, daarna bij de betreffende Conditional Access-vereisten automatisch de systeembrowser. Als de noodzakelijke browserwissel uitblijft en de fout blijft bestaan, laat de IT-afdeling dan een goedgekeurd .pro-bestand verstrekken met sso_auth_browser_type ingesteld op system. Het provisioningschema en de toegestane waarden staan in Sophos Connect-provisioning; verzin geen handmatige wijzigingen aan .ovpn of .scx als browserconfiguratie.

Een compliancefout is geen verzoek om beveiligingsregels te verzwakken. Voer de vereiste compliancemaatregelen uit of neem contact op met de IT-afdeling. Schakel Conditional Access, MFA en certificaatcontroles niet uit om de aanmelding af te dwingen. Controleer pas na terugkeer naar de client de tunnelstatus, het VPN-IP, DNS en de toegang. De Windows-procedure en Windows-GPO-distributie zijn geen bewijs voor macOS.

Handmatig geïmporteerde .ovpn- of .scx-profielen halen latere policywijzigingen niet automatisch op. Auto-connect en Update policy vereisen provisioning: op Windows met een passende client en op macOS vanaf 2.1, niet met 2.0. auto_connect_host activeert Auto-connect; Update policy is beschikbaar na de eerste geslaagde verbinding. Rename, Clear credentials en Delete blijven afzonderlijke acties; na Delete moeten handmatige profielen opnieuw worden geïmporteerd.

Verbreek op gedeelde Macs eerst de tunnel. Open daarna rechtsboven het Sophos Connect-menu, kies Force SSO re-login en bevestig met OK. Dit verwijdert de cookies van de ingebouwde browser, niet die van de systeembrowser. Gebruikt die nog steeds de vorige identiteit, verwijder dan gericht de cookies voor de betreffende Microsoft Entra ID- of VPN-gatewaydomeinen. Daarmee kunnen ook andere sessies op die domeinen worden afgemeld; verwijder niet zomaar alle browsergegevens.

Controleer in de pilot dat de volgende gebruiker de tunnel pas kan opzetten na aanmelding met de eigen Microsoft Entra ID-identiteit. Een bestaande SSO-aanmelding of alleen het verbreken van de tunnel bewijst geen veilige gebruikerswissel. Na het verwijderen van cookies wordt de sessie hersteld door opnieuw aan te melden, niet door cookies van een andere gebruiker terug te zetten.

Start een opgeslagen wachtwoord een automatische aanmelding en ontbreekt de SSO-keuze, gebruik dan Edit connection > Clear credentials. De aanmeldopties verschijnen weer bij de volgende Connect. Dit verwijdert opgeslagen aanmeldgegevens, niet de VPN-autorisatie, en verschilt van Force SSO re-login. Wijzig de VPN Portal-poort in de client alleen wanneer de beheerder een nieuwe waarde opgeeft: SSO gebruikt deze poort ook.

Na de installatie controleren

Na de installatie moeten deze punten worden gecontroleerd:

• Sophos Connect versie past bij de gebruikte macOS-versie.
• Op Apple Silicon start Sophos Connect daadwerkelijk en doorstaat het de volledige VPN-pilot; controleer voor 2.0 Rosetta, voor 2.1 native ARM-uitvoering en de daadwerkelijk getoonde installatiedialogen.
• Het geïmporteerde bestand komt overeen met het gewenste protocol: IPsec of SSL VPN.
• Gebruiker is in de juiste VPN-groep geautoriseerd.
• MFA werkt en wordt begrijpelijk gevraagd.
• Client ontvangt een passende VPN-IP.
• Interne DNS-namen worden opgelost.
• Firewallregels voor de VPN-zone staan alleen de benodigde doelen toe.

Acceptatietest voor macOS

Een groene verbindingsstatus is niet voldoende als acceptatie. Voor een betrouwbare uitrol moet een testgebruiker deze punten doorlopen:

1. Clientversie controleren: De versie past bij macOS, IPsec of SSL VPN en de interne goedkeuring.
2. Apple Silicon controleren: Sophos Connect start op de daadwerkelijk gebruikte macOS-versie. Controleer bij 2.0 de Rosetta-vereisten en bij 2.1 de native ARM-uitvoering; alleen succesvol starten vervangt de verbindingstest niet.
3. Profiel importeren: Het juiste bestand voor IPsec of SSL VPN wordt geaccepteerd.
4. MFA testen: De aanmelding vraagt om de verwachte tweede factor.
5. DNS testen: Interne FQDN’s worden correct omgezet.
6. Toegang testen: Toegestane servers werken en niet-toegestane doelen blijven geblokkeerd.
7. Log Viewer controleren: Verkeer uit de VPN-zone treft de verwachte firewallregel.
8. Reconnect testen: De verbinding verbreken, van netwerk wisselen en opnieuw verbinding maken werken zoals verwacht.
9. Entra SSO vanaf 2.1 testen: Documenteer de gebruikte browsermodus, de vereiste fallback, de volledige browseraanmelding en de terugkeer naar Sophos Connect. Een niet-conform apparaat blijft geblokkeerd; herstel de compliance of neem contact op met de IT-afdeling, verzwak Conditional Access niet.

Bij gemengde omgevingen moet ten minste één Intel-Mac en één Apple-Silicon-Mac worden getest. Als er ook Windows-clients in gebruik zijn, moet het gedrag niet stilzwijgend gelijk worden gesteld. Platform, profieltype en clientversie kunnen verschillen.

Uitroltips voor beheerde Macs

Bij weinig gebruikers volstaat vaak een handmatige installatie met gecontroleerde profielimport. In grotere omgevingen moet Sophos Connect worden behandeld als andere beveiligingsrelevante clientsoftware.

Voor een brede uitrol verduidelijken:

• Welke Sophos-Connect-versie is vrijgegeven?
• Welke macOS-versies zijn in gebruik?
• Zijn er Intel-Macs, Apple-Silicon-Macs of beide?
• Wordt IPsec, SSL VPN of beide gebruikt?
• Waar halen gebruikers het actuele profiel vandaan?
• Wie informeert gebruikers als profielen opnieuw moeten worden geïmporteerd?
• Welke updateprocedure is goedgekeurd voor de huidige versie en de doelversie, en hoe verloopt een eventueel vereiste verwijdering met aansluitende herinstallatie?
• Microsoft Entra ID SSO is gedocumenteerd voor Windows vanaf Sophos Connect 2.4 en macOS vanaf 2.1, niet voor macOS-client 2.0. Een passende SFOS-inrichting en actuele clientconfiguratie zijn vereist. Controleer authenticatiemethoden en Redirect URI; MFA blijft een afzonderlijk controlepunt. Dit betekent niet dat de browserstroom identiek is of dat Windows-GPO-uitrol op macOS kan worden toegepast.
• Hoe herkent de helpdesk verouderde profielen?
• Worden VPN-portal, MFA en certificaten apart gemonitord?

Oude installatiepakketten en profielen moeten uit interne downloadlocaties worden verwijderd of duidelijk als verouderd worden gemarkeerd. Vooral bij externe toegang leidt een willekeurig oud profiel uit de downloadmap snel tot onnodig foutzoeken. Voor het macOS-pakket is geen algemene MDM-uitrol beschreven. Neem daarom geen Windows-procedures of leveranciersspecifieke MDM-parameters over zonder documentatie en tests voor uw platform.

Sophos Connect veilig verwijderen of terugzetten

Verbreek vóór de verwijdering de VPN-verbinding en bewaar het profiel dat voor herstel nodig is onder gecontroleerde toegang. Een .ovpn-bestand bevat een gebruikersspecifiek certificaat en de privésleutel en hoort daarom op een beveiligde opslaglocatie. Plan de procedure tijdens een onderhoudsvenster met lokale of tweede beheerderstoegang.

Als Sophos Endpoint met actieve manipulatiebeveiliging is geïnstalleerd, schakel deze dan niet uit voorzorg uit. Voer bij een goedgekeurde verwijdering het gedocumenteerde script met beheerdersrechten uit in Terminal op macOS:

sudo /Library/Sophos\ Connect/uninstall.sh

De succesmelding luidt Sophos Connect has been uninstalled. Controleer daarna dat Sophos Connect niet meer start.

Als de verwijdering geblokkeerd is

Sophos Connect-processen die niet worden ontladen, kunnen verband houden met de manipulatiebeveiliging van Endpoint. Bewaar bij dit foutbeeld de logs, start tijdens het onderhoudsvenster opnieuw op en controleer daarna nogmaals; blijft de verwijdering geblokkeerd, stem dan de concrete Endpoint-/clientcombinatie af met de IT-afdeling of Sophos.

Wijzig de manipulatiebeveiliging alleen gericht in Sophos Fusion als een tijdelijke beveiligingswijziging hiervoor uitdrukkelijk is goedgekeurd. Schakel daarna de beveiliging weer in en controleer de actieve status op het endpoint en in de beheeromgeving, ook als de verwijdering mislukt.

Terugkeren naar de vorige clientversie

Bewaar voor een veilige rollback het eerder goedgekeurde macOS-pakket onder gecontroleerde toegang totdat de pilot is afgerond. Als de nieuwe versie niet werkt, verwijder Sophos Connect met het ondersteunde script, installeer het eerder goedgekeurde pakket, importeer het bijbehorende profiel opnieuw en herhaal de volledige acceptatietest. Een rollback naar een versie ouder dan 2.0 is niet geschikt voor SSL VPN, omdat die macOS-versies alleen IPsec ondersteunen. Bewaar vóór de rollback de versie, het tijdstip en het supportrapport van fouten die mogelijk moeten worden geëscaleerd. De Sophos Connect Client-versie controleren en veilig bijwerken licht de versiekeuze en de procedure voor verwijderen en opnieuw installeren verder toe. Een rollback naar macOS-client 2.0 behoudt noch native ARM-uitvoering, noch .pro-provisioning of Entra ID SSO. Als deze 2.1-functies vereist zijn, is 2.0 geen gelijkwaardige terugweg; keur vooraf een ondersteund alternatief goed en test het.

Problemen diagnosticeren en escaleren

Open voor de eerste diagnose Events in de client of kies Open VPN log in het menu met drie punten. Controleer of profieltype, gebruikersidentiteit, macOS-versie en Sophos Connect-versie passen bij de test. Als alleen interne namen niet werken, controleer dan eerst DNS en de profielversie; als ook toegang via IP-adressen mislukt, zijn firewallregel, routing, NAT en retourpad de volgende controlepunten.

De uitgebreide procedure per symptoom staat in Problemen met Sophos Connect Client oplossen. Daar worden onder meer import- en aanmeldfouten, DNS na Full-Tunnel-verbindingen, een vastgelopen interface, MTU/MSS en de logs aan client- en firewallzijde samengebracht. Omzeil certificaatvalidatie of andere beveiligingscontroles niet om tijdelijk verbinding te maken.

Verbinding wordt geïmporteerd, maar niet tot stand gebracht

Controleer eerst of het bestand bij het juiste protocol hoort en of de Sophos-Connect-versie daarvoor geschikt is. SSL VPN op macOS vereist Sophos Connect 2.0 of nieuwer. Controleer daarna gebruikersrechten, MFA, certificaat, gateway, tijd van de firewall en bereikbare VPN-portal- of gateway-FQDN.

Open voor de eerste diagnose Events in de client of kies Open VPN log in het menu met drie punten. Volgens de SFOS-22-documentatie wijst bij SSL VPN Login failed. Wrong fingerprint of certificate. erop dat het geïmporteerde profiel mogelijk niet past bij de gebruikte identiteit, het domein of de authenticatiemethode. Omzeil de certificaatcontrole niet, maar verkrijg en importeer een nieuw .ovpn-bestand met dezelfde authenticatiemethode als voor de latere verbinding. Behandel die koppeling voor SFOS 23 niet als een bevestigde diagnose: documenteer firewall- en clientversie en de profielidentiteit, en vraag de IT-afdeling of Sophos om versiespecifieke opheldering; omzeil certificaatvalidatie niet.

Interne namen worden niet opgelost

Controleer bij SSL VPN op macOS eerst de Sophos Connect-versie en de profielversie, daarna DNS-servers, zoekdomeinen en firewallregels.

Als IP-adressen werken, maar namen niet, is DNS waarschijnlijk de oorzaak. Als ook IP-adressen niet werken, zijn routing, firewallregels, NAT of retourpad waarschijnlijker.

Verbinding staat, maar geen toegang werkt

Dan ligt de oorzaak vaak bij firewallregels, routing, NAT of retourpad. In de Log Viewer moet zichtbaar zijn of verkeer uit de VPN-zone de verwachte regel raakt. Voor IPsec-speciale gevallen zie Sophos Firewall IPsec VPN Troubleshooting.

Na profielwijziging werkt de verbinding niet meer

Handmatig geïmporteerde profielen: Na wijzigingen aan gateway, certificaat, poort, DNS, IP-pool, gebruikersgroep of authenticatie moet het profiel opnieuw worden geëxporteerd en geïmporteerd. Een clientupdate vervangt niet automatisch een oud profiel, maar maakt een ongewijzigde configuratie ook niet automatisch ongeldig.

Vergelijk na een firewallherstel of configuratie-import gericht de betrokken instellingen:

• IPsec: Importeer het actuele configuratiebestand opnieuw als de interface, authenticatiemethode of 2FA is gewijzigd.
• SSL VPN: Als poort, protocol, interface of servercertificaat in de globale SSL VPN-instellingen is gewijzigd, download dan de .ovpn opnieuw uit het VPN Portal en importeer deze.

Provisioning vanaf macOS-client 2.1: Een reeds geïmporteerde .pro haalt automatisch de passende IPsec- en SSL VPN-configuraties voor de gebruiker op zolang het gatewayadres (gateway) en de VPN Portal-poort (user_portal_port) ongewijzigd blijven. Werk bij wijziging van deze waarden het provisioningbestand bij en verspreid het opnieuw; neem niet aan dat de oude ophaalroute nog werkt. Controleer daarna opnieuw verbinding, MFA, DNS en toegestane toegang. macOS-client 2.0 vereist nog steeds handmatige import.

Opslaan van inloggegevens is niet zichtbaar

Sophos heeft deze optie voor SSL VPN op macOS in Sophos Connect 2.0 MR1 opnieuw geactiveerd. Na een update moet het configuratiebestand opnieuw worden geïmporteerd om de optie te kunnen gebruiken. In omgevingen met MFA moet ook worden gecontroleerd of het opslaan van inloggegevens past bij het beveiligingsconcept.

Sophos Connect opent niet of reageert niet

Als de interface niet opent of niet reageert op het pictogram in de macOS-menubalk, kan het GUI-proces zijn vastgelopen. Selecteer in Activity Monitor het proces Sophos Connect, sluit het af met Force Quit en start de toepassing daarna opnieuw vanuit Launchpad. Hiermee wordt alleen de vastgelopen interface afgesloten; als het probleem terugkeert, moeten de clientversie en het supportreport worden gecontroleerd.

Na het verbreken werkt webtoegang niet meer

Na het verbreken van een Full-Tunnel-verbinding kan macOS de interne DNS-servers van de VPN-verbinding blijven gebruiken. Websites en naamomzetting buiten de tunnel werken dan niet meer. Verbreek kort de wifi- of ethernetverbinding en maak opnieuw verbinding. Als dit probleem terugkeert, documenteer dan de clientversie, het profiel en het DNS-gedrag in plaats van DNS-servers permanent handmatig te overschrijven.

Verbinding staat, maar grote overdrachten hangen

Als inloggen, DNS en kleine toegang werken, maar grotere bestandsoverdrachten of bepaalde toepassingen hangen, moet ook MTU/MSS worden gecontroleerd. Het foutbeeld past vaak bij fragmentatie, PPPoE, getunnelde verbindingen of een asymmetrisch pad. De procedure staat in Sophos Firewall MTU en MSS bij VPN-problemen controleren.

Supportgegevens verzamelen

Documenteer voor een escalatie tijdstip, gebruiker, macOS-versie, Sophos-Connect-versie, profieltype, bronnetwerk en doelsysteem. In de Sophos Connect Client maakt menu met drie punten > About > Generate technical support report het bestand scvpntsr.zip aan. Dit bestand bevat VPN-configuraties, verbindingsgebeurtenissen, provisioningdetails, SSO-authenticatiegegevens, browserdetails en endpointinformatie. Het kan gevoelige gegevens bevatten en mag alleen via de goedgekeurde overdrachtsroute aan bevoegde partijen worden verstrekt; kopieer nooit wachtwoorden, OTP’s of privésleutels naar de tickettekst. WebView2-gegevens in scgui.log hebben alleen betrekking op Windows, niet op de macOS-browser.

Op de firewall helpen daarnaast Log Viewer, sslvpn.log, IPsec-logs, Packet Capture en de betrokken firewallregel. De koppeling tussen de logbestanden staat in Sophos Firewall Troubleshooting: Services en Logs.

Voor een aanvullende SCCLI-controle op een pilot-Mac die uitsluitend gegevens uitleest, is de beknopte macOS-CLI-referentie beschikbaar. Deze vervangt noch de clientinterface, noch een geslaagde VPN-test en biedt geen grondslag voor automatische MDM-distributie.

FAQ