Sophos Connect Client installeren op macOS

Sophos Connect kan op macOS worden gebruikt voor Remote Access met Sophos Firewall. In de huidige versies is niet alleen IPsec relevant: sinds Sophos Connect 2.0 is ook Remote Access SSL VPN op macOS mogelijk. Hierdoor is de aanbeveling voor veel omgevingen veranderd.

Dit artikel beschrijft de installatie op macOS, het importeren van de juiste verbinding en de belangrijkste controles na het tot stand brengen van de verbinding. Voor de fundamentele beslissing tussen Sophos Connect, SSL VPN, OpenVPN-clients en ZTNA, zie Sophos Connect of SSL VPN: Welke Remote-Access-oplossing past?.

Welk artikel past?

Sophos Connect op macOS overlapt snel met andere Remote-Access-artikelen. Afhankelijk van de taak is een andere start beter:

• Sophos Connect op macOS installeren: Dit artikel.
• SSL VPN op macOS met .ovpn instellen: Sophos SSL VPN met Sophos Connect op macOS instellen.
• Sophos Connect op de firewall voorbereiden: Sophos Connect op Sophos Firewall configureren.
• Clientversies, updates en profielbeheer plannen: Sophos Connect Client versie controleren en veilig updaten.
• VPN is verbonden, maar verkeer werkt niet: Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Deze scheiding is belangrijk omdat de clientinstallatie slechts een deel van de Remote-Access-operatie is. Firewallregels, DNS, MFA, certificaten, VPN-portal en profielverdeling blijven afzonderlijke controlepunten.

Vereisten

• Sophos Firewall met ingestelde Remote-Access-configuratie
• Sophos Connect Client in een versie die past bij de firewall en het platform
• Voor Sophos Connect 2.0 of nieuwer: macOS Ventura 13 of nieuwer
• Mac met Intel-processor of Apple Silicon via Rosetta 2
• Configuratiebestand voor IPsec (.scx of .tgb) of SSL VPN (.ovpn)
• Gebruikersaccount met VPN-rechten en, indien geactiveerd, werkende MFA
• Firewallregels voor verkeer uit de VPN-zone of de gebruikte Remote-Access-zone

Als SSL VPN op macOS gebruikt moet worden, moet Sophos Connect 2.0 of nieuwer worden ingezet. Bij oudere interne handleidingen moet daarom worden gecontroleerd of ze nog uitgaan van de eerdere IPsec-only situatie. Voor versiecontrole, updateplanning en typische DNS-/profielproblemen zie Sophos Connect Client versie controleren en veilig updaten.

Belangrijk: Voor macOS is geen ondersteuning voor provisioning-bestanden gedocumenteerd. Voor macOS moet daarom worden gepland met een geïmporteerd IPsec-configuratiebestand of een .ovpn-bestand. Als een uitrol volledig geautomatiseerd moet worden, moet eerst worden gecontroleerd of de gebruikte MDM de bestand- en gebruikersprocessen correct kan weergeven.

1. Sophos Connect Client downloaden

De Sophos Connect Client voor macOS kan afhankelijk van de omgeving via de firewall, het VPN Portal of de Sophos Download Page worden verkregen. In beheerde omgevingen moet worden bepaald welke clientversie wordt verspreid en waar gebruikers het juiste configuratiebestand ontvangen.

Voor IPsec wordt meestal een .scx- of .tgb-bestand gebruikt. Voor SSL VPN wordt een .ovpn-bestand geïmporteerd. Welk bestand correct is, hangt af van de Remote-Access-configuratie op de firewall.

• IPsec Remote Access: .scx of .tgb. bruikbaar met Sophos Connect op Intel en Apple Silicon.
• SSL VPN: .ovpn. Sophos Connect 2.0 of nieuwer vereist.
• Provisioning: .pro. niet als standaard voor macOS plannen.

Bij een klassieke Sophos-Connect-IPsec-configuratie wordt de verbinding in WebAdmin geëxporteerd:

1. Open VPN > Sophos Connect Client op de Sophos Firewall.
2. Exporteer de verbinding.
3. Sla het bestand veilig op en stel het alleen beschikbaar aan geautoriseerde gebruikers.

Afhankelijk van de downloadbron bevindt de installer zich in een zip-bestand. Na het uitpakken vindt men doorgaans het pakket Sophos Connect.pkg voor macOS.

Voor beheerde Macs moet de installer niet zonder pilotgroep breed worden verspreid. Eerst moet ten minste één Intel-Mac en één Apple-Silicon-Mac worden getest als beide platforms in het bedrijf aanwezig zijn.

2. Sophos Connect Client installeren

De installatie wordt gestart met een dubbelklik op Sophos Connect.pkg. Na voltooiing van de installatie-assistent kan het venster met Sluiten worden afgesloten.

Bij Apple-Silicon-apparaten kan Rosetta 2 vereist zijn. Als macOS tijdens de installatie een overeenkomstige melding toont, moet Rosetta 2 worden geïnstalleerd en de client daarna opnieuw worden gestart.

Na de installatie moet de versie direct in de client worden gecontroleerd. Dit is vooral belangrijk als er meerdere installatiepakketten intern in omloop waren of als gebruikers de client eerder al hadden geïnstalleerd.

3. Verbindingsbestand downloaden

Bij de eerste start heeft Sophos Connect een verbindingsconfiguratie nodig. Dit bestand moet afkomstig zijn uit de momenteel geldige firewallconfiguratie en niet uit een oud gebruikersarchief worden hergebruikt.

Typische verbindingsbestanden:

• IPsec Remote Access: .scx of .tgb. Export onder VPN > Sophos Connect Client.
• SSL VPN: .ovpn. VPN Portal of administratieve export.

Als er voor een SFOS-22-MR1-upgrade nog oude Remote-Access-IPsec-configuraties in gebruik zijn, moet niet zomaar een oud profiel verder worden verspreid. In dit geval eerst Legacy Remote Access IPsec voor SFOS 22 MR1 migreren controleren.

Profielen moeten als toegangsgegevens worden behandeld. Een oud .ovpn-, .scx- of .tgb-bestand kan nog steeds interne netwerken, gatewaynamen, certificaten of gebruikersreferenties bevatten. Als gateway, certificaat, DNS, gebruikersgroep, IP-pool of authenticatie is gewijzigd, moet het profiel opnieuw worden geëxporteerd en geïmporteerd.

4. Sophos Connect Client instellen

Het instellen van de Sophos Connect Client is in een paar stappen gedaan:

1. Open Sophos Connect.
2. Selecteer Import Connection.
3. Importeer het juiste verbindingsbestand.
4. Controleer de verbinding onder Connections.
5. Klik op Connect.
6. Meld je aan met de VPN-gebruiker en bevestig MFA, indien geactiveerd.

Na het succesvol tot stand brengen van de verbinding moet je ook controleren of interne DNS-namen worden opgelost en of de benodigde systemen bereikbaar zijn. Als de verbinding tot stand is gebracht maar er geen verkeer plaatsvindt, helpen Log Viewer, Policy Test en Packet Capture. De juiste handleiding is Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Bij SSL VPN op macOS is de DNS-test bijzonder belangrijk. Sophos Connect 2.0 MR1 lost een probleem op waarbij DNS-instellingen voor SSL-VPN-verbindingen op macOS niet correct werden toegepast. Als interne namen niet worden opgelost, moet daarom eerst de versie en profielstatus worden gecontroleerd voordat DNS-regels blind worden aangepast.

IPsec met macOS-hulpmiddelen

Afhankelijk van de firewallconfiguratie kan Remote Access IPsec ook met macOS-hulpmiddelen worden ingesteld. Dit is een apart bedrijfsmodel en moet niet worden verward met Sophos Connect. Het kan nuttig zijn als er geen extra clientsoftware gewenst is, maar past niet in elke omgeving.

Praktische uitvoering als deze variant bewust wordt gebruikt:

1. Meld je aan bij het User Portal van de Sophos Firewall.
2. Download de juiste IPsec-configuratie voor Apple-apparaten.
3. Open en installeer het profiel op de Mac.
4. Controleer de verbinding in de macOS-netwerkinstellingen.
5. Test de verbinding en valideer interne doelen.

Als Sophos Connect en macOS-hulpmiddelen parallel worden gebruikt, moet dit bewust worden gedocumenteerd. Anders ontstaan er supportgevallen waarbij gebruikers wel “VPN” zeggen, maar verschillende profielen, protocollen en DNS-gedrag bedoelen.

Na de installatie controleren

Na de installatie moeten deze punten worden gecontroleerd:

• Sophos Connect versie past bij de gebruikte macOS-versie.
• Bij Apple Silicon is Rosetta 2 beschikbaar, indien de client dit nodig heeft.
• Het geïmporteerde bestand komt overeen met het gewenste protocol: IPsec of SSL VPN.
• Gebruiker is in de juiste VPN-groep geautoriseerd.
• MFA werkt en wordt begrijpelijk gevraagd.
• Client ontvangt een passende VPN-IP.
• Interne DNS-namen worden opgelost.
• Firewallregels voor de VPN-zone staan alleen de benodigde doelen toe.

Acceptatietest voor macOS

Een groene verbindingsstatus is niet voldoende als acceptatie. Voor een betrouwbare uitrol moet een testgebruiker deze punten doorlopen:

• Clientversie controleren: Versie past bij macOS, IPsec of SSL VPN en interne vrijgave.
• Apple Silicon controleren: Rosetta 2 is aanwezig en Sophos Connect start betrouwbaar.
• Profiel importeren: juiste bestand voor IPsec of SSL VPN wordt geaccepteerd.
• MFA testen: Aanmelding vereist de verwachte tweede factor.
• DNS testen: interne FQDN’s lossen correct op.
• Toegang testen: toegestane servers werken, niet-toegestane doelen blijven geblokkeerd.
• Log Viewer controleren: Verkeer uit de VPN-zone raakt de verwachte firewallregel.
• Reconnect testen: Verbinding verbreken, netwerk wisselen en opnieuw verbinden werken.

Bij gemengde omgevingen moet ten minste één Intel-Mac en één Apple-Silicon-Mac worden getest. Als er ook Windows-clients in gebruik zijn, moet het gedrag niet stilzwijgend gelijk worden gesteld. Platform, profieltype en clientversie kunnen verschillen.

Uitroltips voor beheerde Macs

Bij weinig gebruikers volstaat vaak een handmatige installatie met gecontroleerde profielimport. In grotere omgevingen moet Sophos Connect worden behandeld als andere beveiligingsrelevante clientsoftware.

Voor een brede uitrol verduidelijken:

• Welke Sophos-Connect-versie is vrijgegeven?
• Welke macOS-versies zijn in gebruik?
• Zijn er Intel-Macs, Apple-Silicon-Macs of beide?
• Wordt IPsec, SSL VPN of beide gebruikt?
• Waar halen gebruikers het actuele profiel vandaan?
• Wie informeert gebruikers als profielen opnieuw moeten worden geïmporteerd?
• Hoe herkent de helpdesk verouderde profielen?
• Worden VPN-portal, MFA en certificaten apart gemonitord?

Oude installatiepakketten en oude profielen moeten uit interne downloadlocaties worden verwijderd of duidelijk als verouderd worden gemarkeerd. Vooral bij Remote Access leidt een “een of ander oud profiel uit de downloadmap” snel tot onnodig foutzoeken.

Problemen oplossen

Verbinding wordt geïmporteerd, maar niet tot stand gebracht

Controleer eerst of het bestand bij het juiste protocol hoort en of de Sophos-Connect-versie daarvoor geschikt is. SSL VPN op macOS vereist Sophos Connect 2.0 of nieuwer. Controleer daarna gebruikersrechten, MFA, certificaat, gateway, tijd van de firewall en bereikbare VPN-portal- of gateway-FQDN.

Interne namen worden niet opgelost

Bij SSL VPN op macOS moet de gebruikte Sophos-Connect-versie worden gecontroleerd, omdat er in dit gebied specifieke foutoplossingen zijn geweest. Controleer daarna DNS-servers, zoekdomeinen, geïmporteerd profiel en firewallregels.

Als IP-adressen werken, maar namen niet, is DNS waarschijnlijk de oorzaak. Als ook IP-adressen niet werken, zijn routing, firewallregels, NAT of retourpad waarschijnlijker.

Verbinding staat, maar geen toegang werkt

Dan ligt de oorzaak vaak bij firewallregels, routing, NAT of retourpad. In de Log Viewer moet zichtbaar zijn of verkeer uit de VPN-zone de verwachte regel raakt. Voor IPsec-speciale gevallen zie Sophos Firewall IPsec VPN Troubleshooting.

Na profielwijziging werkt de verbinding niet meer

Na wijzigingen aan gateway, certificaat, poort, DNS, IP-pool, gebruikersgroep of authenticatie moet het profiel opnieuw worden geëxporteerd en geïmporteerd. Een clientupdate vervangt niet automatisch een oud profiel.

Opslaan van inloggegevens is niet zichtbaar

Sophos heeft deze optie voor SSL VPN op macOS in Sophos Connect 2.0 MR1 opnieuw geactiveerd. Na een update moet het configuratiebestand opnieuw worden geïmporteerd om de optie te kunnen gebruiken. In omgevingen met MFA moet ook worden gecontroleerd of het opslaan van inloggegevens past bij het beveiligingsconcept.

Verbinding staat, maar grote overdrachten hangen

Als inloggen, DNS en kleine toegang werken, maar grotere bestandsoverdrachten of bepaalde toepassingen hangen, moet ook MTU/MSS worden gecontroleerd. Het foutbeeld past vaak bij fragmentatie, PPPoE, getunnelde verbindingen of een asymmetrisch pad. De procedure staat in Sophos Firewall MTU en MSS bij VPN-problemen controleren.

Supportgegevens verzamelen

Als de fout niet direct zichtbaar is, moet men tijdstip, gebruiker, macOS-versie, Sophos-Connect-versie, profieltype, bronnetwerk en doelsysteem documenteren. Op de firewall helpen Log Viewer, sslvpn.log, IPsec-logs, Packet Capture en de betrokken firewallregel. De toewijzing van de logbestanden staat in Sophos Firewall Troubleshooting: Services en Logs.

FAQ