Sophos Connect Client installeren op macOS

Sophos Connect kan op macOS worden gebruikt voor Remote Access met Sophos Firewall. In de huidige versies is niet alleen IPsec relevant: sinds Sophos Connect 2.0 is ook Remote Access SSL VPN op macOS mogelijk. Hierdoor is de aanbeveling voor veel omgevingen veranderd.

Dit artikel beschrijft de installatie op macOS, het importeren van de juiste verbinding en de belangrijkste controles na het tot stand brengen van de verbinding. Voor de fundamentele beslissing tussen Sophos Connect, SSL VPN, OpenVPN-clients en ZTNA, zie Sophos Connect of SSL VPN: Welke Remote-Access-oplossing past?.

Welk artikel past?

Sophos Connect op macOS overlapt snel met andere Remote-Access-artikelen. Afhankelijk van de taak is een andere start beter:

• Sophos Connect op macOS installeren: Dit artikel.
• SSL VPN op macOS met .ovpn instellen: Sophos SSL VPN met Sophos Connect op macOS instellen.
• Sophos Connect op de firewall voorbereiden: Sophos Connect op Sophos Firewall configureren.
• Clientversies, updates en profielbeheer plannen: Sophos Connect Client versie controleren en veilig updaten.
• VPN is verbonden, maar verkeer werkt niet: Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Deze scheiding is belangrijk omdat de clientinstallatie slechts een deel van de Remote-Access-operatie is. Firewallregels, DNS, MFA, certificaten, VPN-portal en profielverdeling blijven afzonderlijke controlepunten.

Vereisten

• Sophos Firewall met ingestelde Remote-Access-configuratie
• Sophos Connect Client in een versie die past bij de firewall en het platform
• Voor Sophos Connect 2.0 of nieuwer: macOS Ventura 13 of nieuwer
• Mac met Intel-processor of Apple Silicon via Rosetta 2
• Configuratiebestand voor IPsec (.scx) of SSL VPN (.ovpn)
• Geen parallel geïnstalleerde oude Sophos SSL VPN Client
• Gebruikersaccount met VPN-rechten en, indien geactiveerd, werkende MFA
• Firewallregels voor verkeer uit de VPN-zone of de gebruikte Remote-Access-zone

Als SSL VPN op macOS gebruikt moet worden, moet Sophos Connect 2.0 of nieuwer worden ingezet. Bij oudere interne handleidingen moet daarom worden gecontroleerd of ze nog uitgaan van de eerdere IPsec-only situatie. Voor versiecontrole, updateplanning en typische DNS-/profielproblemen zie Sophos Connect Client versie controleren en veilig updaten.

Belangrijk: automatische provisioning met .pro-bestanden is voor Sophos Connect momenteel alleen voor Windows gedocumenteerd. Op macOS wordt daarom een .scx-bestand voor IPsec of een .ovpn-bestand voor SSL VPN geïmporteerd. Wijzigingen op de firewall worden niet automatisch in deze profielen overgenomen; na relevante wijzigingen moet het actuele bestand opnieuw worden verspreid en geïmporteerd.

1. Sophos Connect Client downloaden

De Sophos Connect Client voor macOS kan afhankelijk van de omgeving via de firewall, het VPN Portal of de Sophos Download Page worden verkregen. In beheerde omgevingen moet worden bepaald welke clientversie wordt verspreid en waar gebruikers het juiste configuratiebestand ontvangen.

Voor IPsec op macOS wordt een .scx-bestand gebruikt. Voor SSL VPN wordt een .ovpn-bestand geïmporteerd. Welk bestand correct is, hangt af van de Remote-Access-configuratie op de firewall.

• IPsec Remote Access: .scx; bruikbaar met Sophos Connect op Intel en Apple Silicon.
• SSL VPN: .ovpn; Sophos Connect 2.0 of nieuwer vereist.
• Provisioning: .pro; momenteel niet ondersteund op macOS, alleen op Windows.

Bij een klassieke Sophos-Connect-IPsec-configuratie wordt de verbinding in WebAdmin geëxporteerd:

1. Open VPN > Sophos Connect Client op de Sophos Firewall.
2. Exporteer de verbinding.
3. Sla het bestand veilig op en stel het alleen beschikbaar aan geautoriseerde gebruikers.

Afhankelijk van de downloadbron bevindt de installer zich in een zip-bestand. Na het uitpakken vindt men doorgaans het pakket Sophos Connect.pkg voor macOS.

Voor beheerde Macs moet de installer niet zonder pilotgroep breed worden verspreid. Eerst moet ten minste één Intel-Mac en één Apple-Silicon-Mac worden getest als beide platforms in het bedrijf aanwezig zijn.

2. Sophos Connect Client installeren

Voor de installatie moet een aanwezige oude Sophos SSL VPN Client worden verwijderd. Sophos geeft aan dat Sophos Connect niet parallel met een andere aanwezige VPN-client kan worden gebruikt. Ook bij een upgrade van Sophos Connect geldt: verwijder de bestaande versie en installeer daarna de actuele versie.

De installatie wordt gestart met een dubbelklik op Sophos Connect.pkg. Controleer het installatiedoel, klik op Install en rond de wizard af met Finish.

Bij Apple-Silicon-apparaten kan Rosetta 2 vereist zijn. Als macOS tijdens de installatie een overeenkomstige melding toont, moet Rosetta 2 worden geïnstalleerd en de client daarna opnieuw worden gestart.

Na de installatie moet de versie direct in de client worden gecontroleerd. Dit is vooral belangrijk als er meerdere installatiepakketten intern in omloop waren of als gebruikers de client eerder al hadden geïnstalleerd.

3. Verbindingsbestand downloaden

Bij de eerste start heeft Sophos Connect een verbindingsconfiguratie nodig. Dit bestand moet afkomstig zijn uit de momenteel geldige firewallconfiguratie en niet uit een oud gebruikersarchief worden hergebruikt.

Typische verbindingsbestanden:

• IPsec Remote Access: .scx; export uit de actuele Remote-Access-IPsec-configuratie.
• SSL VPN: .ovpn; VPN Portal of administratieve export.

Als er voor een SFOS-22-MR1-upgrade nog oude Remote-Access-IPsec-configuraties in gebruik zijn, moet niet zomaar een oud profiel verder worden verspreid. In dit geval eerst Legacy Remote Access IPsec voor SFOS 22 MR1 migreren controleren.

Profielen moeten als toegangsgegevens worden behandeld. Een oud .ovpn- of .scx-bestand kan nog steeds interne netwerken, gatewaynamen, certificaten of gebruikersreferenties bevatten. Als gateway, certificaat, DNS, gebruikersgroep, IP-pool of authenticatie is gewijzigd, moet het profiel opnieuw worden geëxporteerd en geïmporteerd.

4. Sophos Connect Client instellen

Het instellen van de Sophos Connect Client is in een paar stappen gedaan:

1. Open Sophos Connect.
2. Selecteer Import Connection.
3. Importeer het juiste verbindingsbestand.
4. Controleer de verbinding onder Connections.
5. Klik op Connect.
6. Meld je aan met de VPN-gebruiker en bevestig MFA, indien geactiveerd.

Na het succesvol tot stand brengen van de verbinding moet je ook controleren of interne DNS-namen worden opgelost en of de benodigde systemen bereikbaar zijn. Als de verbinding tot stand is gebracht maar er geen verkeer plaatsvindt, helpen Log Viewer, Policy Test en Packet Capture. De juiste handleiding is Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Bij SSL VPN op macOS is de DNS-test bijzonder belangrijk. Sophos Connect 2.0 MR1 lost een probleem op waarbij DNS-instellingen voor SSL-VPN-verbindingen op macOS niet correct werden toegepast. Als interne namen niet worden opgelost, moet daarom eerst de versie en profielstatus worden gecontroleerd voordat DNS-regels blind worden aangepast.

Microsoft Entra ID SSO in de Sophos Connect Client is momenteel alleen voor Windows vanaf Sophos Connect 2.4 gedocumenteerd. Voor een macOS-uitrol mag er daarom niet van worden uitgegaan dat de Windows-SSO-handleiding of .pro-provisioning identiek werkt. MFA via de op de firewall geconfigureerde methode staat hier los van.

Na de installatie controleren

Na de installatie moeten deze punten worden gecontroleerd:

• Sophos Connect versie past bij de gebruikte macOS-versie.
• Bij Apple Silicon is Rosetta 2 beschikbaar, indien de client dit nodig heeft.
• Het geïmporteerde bestand komt overeen met het gewenste protocol: IPsec of SSL VPN.
• Gebruiker is in de juiste VPN-groep geautoriseerd.
• MFA werkt en wordt begrijpelijk gevraagd.
• Client ontvangt een passende VPN-IP.
• Interne DNS-namen worden opgelost.
• Firewallregels voor de VPN-zone staan alleen de benodigde doelen toe.

Acceptatietest voor macOS

Een groene verbindingsstatus is niet voldoende als acceptatie. Voor een betrouwbare uitrol moet een testgebruiker deze punten doorlopen:

1. Clientversie controleren: De versie past bij macOS, IPsec of SSL VPN en de interne goedkeuring.
2. Apple Silicon controleren: Rosetta 2 is aanwezig en Sophos Connect start betrouwbaar.
3. Profiel importeren: Het juiste bestand voor IPsec of SSL VPN wordt geaccepteerd.
4. MFA testen: De aanmelding vraagt om de verwachte tweede factor.
5. DNS testen: Interne FQDN’s worden correct omgezet.
6. Toegang testen: Toegestane servers werken en niet-toegestane doelen blijven geblokkeerd.
7. Log Viewer controleren: Verkeer uit de VPN-zone treft de verwachte firewallregel.
8. Reconnect testen: De verbinding verbreken, van netwerk wisselen en opnieuw verbinding maken werken zoals verwacht.

Bij gemengde omgevingen moet ten minste één Intel-Mac en één Apple-Silicon-Mac worden getest. Als er ook Windows-clients in gebruik zijn, moet het gedrag niet stilzwijgend gelijk worden gesteld. Platform, profieltype en clientversie kunnen verschillen.

Uitroltips voor beheerde Macs

Bij weinig gebruikers volstaat vaak een handmatige installatie met gecontroleerde profielimport. In grotere omgevingen moet Sophos Connect worden behandeld als andere beveiligingsrelevante clientsoftware.

Voor een brede uitrol verduidelijken:

• Welke Sophos-Connect-versie is vrijgegeven?
• Welke macOS-versies zijn in gebruik?
• Zijn er Intel-Macs, Apple-Silicon-Macs of beide?
• Wordt IPsec, SSL VPN of beide gebruikt?
• Waar halen gebruikers het actuele profiel vandaan?
• Wie informeert gebruikers als profielen opnieuw moeten worden geïmporteerd?
• Hoe wordt Sophos Connect voor een upgrade verwijderd en daarna opnieuw geïnstalleerd?
• Is gedocumenteerd dat Entra ID SSO en .pro-provisioning op macOS niet dezelfde functionaliteit bieden als op Windows?
• Hoe herkent de helpdesk verouderde profielen?
• Worden VPN-portal, MFA en certificaten apart gemonitord?

Oude installatiepakketten en oude profielen moeten uit interne downloadlocaties worden verwijderd of duidelijk als verouderd worden gemarkeerd. Vooral bij Remote Access leidt een “een of ander oud profiel uit de downloadmap” snel tot onnodig foutzoeken.

Problemen oplossen

Verbinding wordt geïmporteerd, maar niet tot stand gebracht

Controleer eerst of het bestand bij het juiste protocol hoort en of de Sophos-Connect-versie daarvoor geschikt is. SSL VPN op macOS vereist Sophos Connect 2.0 of nieuwer. Controleer daarna gebruikersrechten, MFA, certificaat, gateway, tijd van de firewall en bereikbare VPN-portal- of gateway-FQDN.

Interne namen worden niet opgelost

Bij SSL VPN op macOS moet de gebruikte Sophos-Connect-versie worden gecontroleerd, omdat er in dit gebied specifieke foutoplossingen zijn geweest. Controleer daarna DNS-servers, zoekdomeinen, geïmporteerd profiel en firewallregels.

Als IP-adressen werken, maar namen niet, is DNS waarschijnlijk de oorzaak. Als ook IP-adressen niet werken, zijn routing, firewallregels, NAT of retourpad waarschijnlijker.

Verbinding staat, maar geen toegang werkt

Dan ligt de oorzaak vaak bij firewallregels, routing, NAT of retourpad. In de Log Viewer moet zichtbaar zijn of verkeer uit de VPN-zone de verwachte regel raakt. Voor IPsec-speciale gevallen zie Sophos Firewall IPsec VPN Troubleshooting.

Na profielwijziging werkt de verbinding niet meer

Na wijzigingen aan gateway, certificaat, poort, DNS, IP-pool, gebruikersgroep of authenticatie moet het profiel opnieuw worden geëxporteerd en geïmporteerd. Een clientupdate vervangt niet automatisch een oud profiel.

Opslaan van inloggegevens is niet zichtbaar

Sophos heeft deze optie voor SSL VPN op macOS in Sophos Connect 2.0 MR1 opnieuw geactiveerd. Na een update moet het configuratiebestand opnieuw worden geïmporteerd om de optie te kunnen gebruiken. In omgevingen met MFA moet ook worden gecontroleerd of het opslaan van inloggegevens past bij het beveiligingsconcept.

Sophos Connect opent niet of reageert niet

Als de interface niet opent of niet reageert op het pictogram in de macOS-menubalk, kan het GUI-proces zijn vastgelopen. Selecteer in Activity Monitor het proces Sophos Connect, sluit het af met Force Quit en start de toepassing daarna opnieuw vanuit Launchpad. Hiermee wordt alleen de vastgelopen interface afgesloten; als het probleem terugkeert, moeten de clientversie en het supportreport worden gecontroleerd.

Na het verbreken werkt webtoegang niet meer

Na het verbreken van een Full-Tunnel-verbinding kan macOS de interne DNS-servers van de VPN-verbinding blijven gebruiken. Websites en naamomzetting buiten de tunnel werken dan niet meer. Verbreek kort de wifi- of ethernetverbinding en maak opnieuw verbinding. Als dit probleem terugkeert, documenteer dan de clientversie, het profiel en het DNS-gedrag in plaats van DNS-servers permanent handmatig te overschrijven.

Verbinding staat, maar grote overdrachten hangen

Als inloggen, DNS en kleine toegang werken, maar grotere bestandsoverdrachten of bepaalde toepassingen hangen, moet ook MTU/MSS worden gecontroleerd. Het foutbeeld past vaak bij fragmentatie, PPPoE, getunnelde verbindingen of een asymmetrisch pad. De procedure staat in Sophos Firewall MTU en MSS bij VPN-problemen controleren.

Supportgegevens verzamelen

Als de fout niet direct zichtbaar is, documenteer dan tijdstip, gebruiker, macOS-versie, Sophos-Connect-versie, profieltype, bronnetwerk en doelsysteem. In de Sophos Connect Client maakt menu met drie punten > About > Generate technical support report het bestand scvpntsr.zip aan. Dit bestand bevat VPN-configuraties, verbindingsgebeurtenissen en endpointinformatie en mag alleen gecontroleerd aan bevoegde partijen worden verstrekt.

Op de firewall helpen daarnaast Log Viewer, sslvpn.log, IPsec-logs, Packet Capture en de betrokken firewallregel. De koppeling tussen de logbestanden staat in Sophos Firewall Troubleshooting: Services en Logs.

FAQ