Sophos Connect op Sophos Firewall configureren

Sophos Connect wordt op de firewall ingesteld onder Remote access VPN > IPsec. Voor een werkende verbinding moeten IPsec-profiel, authenticatie, gebruikersgroep, IP-pool, DNS, firewallregels en het verspreide clientprofiel op elkaar aansluiten. Dit artikel beschrijft de volledige configuratie aan firewallzijde voor IPsec Remote Access.

Voor SSL VPN geldt de aparte handleiding Sophos Firewall SSL VPN Remote Access instellen. Wie nog kiest tussen IPsec, SSL VPN, mobiele clients en ZTNA, begint met Sophos Connect of SSL VPN: welke Remote Access-oplossing past?.

Configuratie in het kort

1. Onder Remote access VPN > IPsec IPsec Remote Access inschakelen en de WAN-interface en een toegestaan IKEv1-profiel kiezen.
2. PSK of digitale certificaten configureren en Local/Remote ID vastleggen.
3. Geautoriseerde gebruikers of hun hoofdgroep selecteren en de groepsinstelling controleren.
4. Verbindingsnaam, IP-pool en interne DNS-servers invoeren.
5. Split of Full Tunnel en de overige Advanced Settings vastleggen.
6. Firewallregels en de benodigde instellingen onder Administration > Device access configureren.
7. .scx exporteren, met een testgebruiker importeren en de verbinding na een herstart van de client opnieuw controleren.

Vereisten en planning

Nodig zijn beheerderstoegang tot WebAdmin, een vrije VPN-adresreeks, interne DNS-servers voor interne namen, vastgelegde doelnetwerken en diensten en gebruikers of groepen met een MFA-concept. Vóór een upgrade naar SFOS 22.0 MR1 of nieuwer eerst Legacy Remote Access IPsec migreren, omdat deze oude configuratie de upgrade kan blokkeren.

Vóór de configuratie vastleggen:

• lokale gebruikers, AD-hoofdgroep, RADIUS of Microsoft Entra ID SSO;
• een eigen VPN-pool zonder overlap met LAN, WLAN, VLAN’s, Site-to-Site-VPN of veelgebruikte thuisnetwerken;
• interne DNS-servers en indien nodig een DNS-suffix;
• toegestane servers, netwerken en diensten in plaats van algemene LAN-toegang;
• Split of Full Tunnel;
• MFA, supportproces, profieldistributie en clientupdates;
• een gedocumenteerde terugvalroute als een nieuw profiel of een nieuwe clientversie problemen veroorzaakt.

Voor de MFA-configuratie helpt Sophos Firewall MFA instellen.

Profieltypen correct gebruiken

• .scx: Sophos Connect-profiel voor IPsec met algemene en geavanceerde instellingen.
• .tgb: IPsec-profiel voor oudere clients of clients van derden, alleen met algemene instellingen.
• .ovpn: SSL VPN-profiel uit de SSL VPN-configuratie of VPN Portal.
• .pro: provisioningbestand voor Windows 10 en 11 dat configuraties na aanmelding via VPN Portal ophaalt en latere configuratiewijzigingen automatisch overneemt. Op macOS wordt het IPsec-profiel als .scx geïmporteerd.

Voor nieuwe Sophos Connect IPsec-implementaties is .scx de juiste standaard. Na algemene IPsec-wijzigingen moeten .scx en .tgb opnieuw worden geëxporteerd; veranderen alleen de Advanced Settings, dan volstaat een nieuw .scx-bestand. Als een waarde in het .pro-bestand zelf verandert, bijvoorbeeld de VPN Portal-poort, moet ook dit bestand worden bijgewerkt.

Provisioning vereenvoudigt de distributie, maar maakt de client afhankelijk van VPN Portal. Als dit vanaf internet bereikbaar moet zijn, wordt de toegang onder Administration > Device access zo beperkt mogelijk vrijgegeven. Een permanent breed bereikbaar portaal vergroot het aanvalsoppervlak; de achtergrond wordt uitgelegd in Device Access en Local Service ACL op Sophos Firewall.

IPsec Remote Access configureren

In actuele SFOS-versies staat de configuratie onder Remote access VPN > IPsec. Oudere interfaces en de aanwezige schermafbeelding kunnen nog VPN > Sophos Connect Client tonen.

WAN-interface en IPsec-profiel

IPsec remote access inschakelen en de WAN-interface kiezen waarlangs de clients de firewall bereiken. Openbaar IP-adres of DynDNS/FQDN, voorliggende routers, port forwarding en het gedrag bij WAN-failover moeten hierbij aansluiten.

Voor IPsec Remote Access staat SFOS alleen IKEv1-profielen toe waarbij Dead Peer Detection uitgeschakeld is of op Disconnect staat. Het profiel bepaalt de IKE- en IPsec-parameters en moet passen bij het beveiligingsconcept en alle uitgerolde clients.

Authenticatie en ID’s

Voor authenticatie worden meestal Preshared key of Digital certificate gebruikt. Een PSK is snel ingesteld, maar moet goed worden beschermd en bij een vermoeden in alle betrokken profielen worden vervangen. MFA beveiligt daarnaast de gebruikersaanmelding, maar vervangt de PSK of het certificaat niet.

Voor digitale certificaten gelden in SFOS 22.0 concrete voorwaarden:

• IPsec ondersteunt RSA-certificaten, maar geen ECDSA-certificaten.
• Local en Remote Certificate hebben een Certificate ID nodig.
• External certificate mag voor deze verbinding niet worden geselecteerd.
• Lokaal ondertekende certificaten en certificaten van derden mogen niet willekeurig worden gecombineerd. Gebruik aan beide zijden certificaten die op de firewall zijn gegenereerd of certificaten die door dezelfde externe CA zijn ondertekend en laad de bijbehorende Signing CA op de firewall.

Sophos adviseert een Local ID voor de firewall en een daarvan afwijkende Remote ID voor de clients. Mogelijk zijn DNS-naam, IP-adres, e-mail en bij certificaten DER ASN1 DN [X509]. De ID’s zijn geen vrij verwisselbare weergavenamen: profiel en firewall moeten dezelfde verwachte waarden gebruiken.

Controleer vóór de uitrol ook geldigheid, private sleutels, verlengingsproces en distributie van de certificaten. Een latere certificaatwissel raakt niet alleen de firewall, maar ook geëxporteerde profielen en de acceptatietest op de clients.

Gebruikers en groepen

Voeg onder Allowed users and groups alleen geautoriseerde gebruikers of groepen toe. Voor directorygebruikers telt bij IPsec Remote Access de hoofdgroep. Voor groepsgebaseerde toegang moet een aparte VPN-groep daarom als hoofdgroep worden gebruikt. Als dat niet mogelijk is, moeten afzonderlijke gebruikers worden vrijgegeven; geef een brede hoofdgroep niet alleen vanwege een secundaire VPN-groep toegang.

Controleer daarnaast onder Authentication > Groups bij de hoofdgroep of IPsec remote access is ingeschakeld. Bij geïmporteerde AD-groepen en gemigreerde groepen staat deze optie standaard uit, bij nieuw aangemaakte lokale groepen aan. Als een gebruiker lid is van meerdere groepen, geldt de policy van de bovenste groep; individuele gebruikerspolicy’s hebben voorrang. De groepsvolgorde wordt uitgebreider uitgelegd in Active Directory met Sophos Firewall verbinden.

Als IPsec Remote Access voor een groep wordt uitgeschakeld, verbreekt de firewall de verbinding van de actieve gebruikers in die groep en voorkomt een nieuwe aanmelding. Een AD-gebruiker moet zich vóór de eerste klassieke Sophos Connect-aanmelding normaal gesproken aanmelden bij een andere Authentication Client, zoals het gebruikersportaal. Bij .pro-provisioning kan de firewall de gebruiker bij de eerste aanmelding automatisch aanmaken en toewijzen. Guest users worden niet ondersteund voor Remote Access.

Verbindingsnaam, IP-pool en DNS

Kies een naam die voor gebruikers en support duidelijk is, zoals homeoffice of remote-access-ipsec. De IPsec-leasereeks moet binnen een subnet van minimaal /24 liggen, bijvoorbeeld 10.250.10.10 tot 10.250.10.200 in 10.250.10.0/24. De reeks mag niet tegelijkertijd voor SSL VPN, L2TP of PPTP worden gebruikt en mag niet overlappen met interne netwerken, Site-to-Site-netwerken of veelgebruikte thuisnetwerken zoals 192.168.0.0/24 en 192.168.1.0/24.

De grootte hangt af van het maximale aantal gelijktijdige gebruikers. Leg de pool, gereserveerde adressen en bijbehorende firewallregels vast in IPAM of de netwerkdocumentatie, zodat latere wijzigingen niet ongemerkt tot overlap leiden.

Verspreid voor interne FQDN’s de interne DNS-servers en indien nodig een DNS-suffix. Externe resolvers zoals 1.1.1.1, 8.8.8.8, 9.9.9.9 of 208.67.222.222 lossen interne zones niet op. Een tunnel kan daardoor groen zijn terwijl applicaties door onjuiste DNS-antwoorden niet werken.

Idle Time en Advanced Settings

Stel Disconnect when tunnel is idle en het tijdsinterval zo in dat ongebruikte verbindingen worden beëindigd zonder normale werksessies onnodig te onderbreken. Als Sophos Connect na een Idle Disconnect niet automatisch opnieuw verbinding kan maken, kiest u in de client eerst Disconnect en daarna Connect.

Korte time-outs passen beter bij incidentele beheerderstoegang, langere bij stabiele werksessies. Bij OTP/MFA moet de nieuwe verbinding met de gekozen waarde worden getest en bij de helpdesk bekend zijn.

De Advanced Settings worden alleen in .scx opgenomen, niet in .tgb:

• Use as default gateway: Full Tunnel voor al het verkeer of Split Tunnel alleen naar interne resources.
• Permitted network resources: netwerken die via de Split Tunnel bereikbaar zijn.
• Send Security Heartbeat through tunnel: de heartbeat van Sophos Endpoint via de VPN-tunnel verzenden.
• Allow users to save username and password: alleen inschakelen als dit bij het MFA- en beveiligingsconcept past.
• Prompt users for 2FA token: een apart OTP-veld weergeven.
• Run AD logon script after connecting: alleen benodigde scripts, zoals stationskoppelingen, inschakelen en met een testgebruiker controleren.
• Connect tunnel automatically: de tunnel automatisch bij de gebruikersaanmelding opbouwen.

Als Prompt users for 2FA token is ingeschakeld, werkt het opdrachtregelprogramma SCCLI niet. Sophos Connect ondersteunt bovendien geen challengegebaseerde OTP-aanvraag; wachtwoord en OTP worden technisch in de indeling passwordotp aan de authenticatieserver doorgegeven.

Exporteer na het opslaan de configuratie via Export connection en verspreid deze op een beveiligde manier. Profielen bevatten beveiligingsrelevante verbindingsgegevens en horen niet in openbaar toegankelijke opslaglocaties.

Firewallregels en Device Access

Sophos Connect bouwt alleen de tunnel op. Voor productieve toegang zijn nog steeds firewallregels nodig. Maak voor interne doelen een zo beperkt mogelijke regel van VPN naar de benodigde doelzone en schakel logging minstens tijdens de introductie in.

• Source Zone: VPN
• Destination Zone: LAN of de werkelijk benodigde interne zone

Bij Full Tunnel via Use as default gateway is bovendien een regel van VPN naar WAN en een passend NAT- en Security Policy-ontwerp nodig.

• Source Zone: VPN
• Destination Zone: WAN

Sta onder Administration > Device access IPsec toe vanuit de benodigde WAN-zone. Geef VPN Portal alleen voor downloads of provisioning vrij vanuit de werkelijk benodigde zones. Als de firewall zelf als DNS-resolver of pingdoel wordt gebruikt, moeten ook DNS of Ping vanuit de zone VPN worden toegestaan.

Voor regelanalyse helpt Een firewallregel testen met Log Viewer, Policy Test en Packet Capture. Bepaal na de introductie bewust welke Remote Access-regels permanent worden gelogd en welke gebeurtenissen ook naar Sophos Central of Syslog worden verzonden. Bij Full Tunnel gelden Web Protection, Application Control en andere beveiligingspolicy’s net als voor andere clientnetwerken.

Verbinding testen en beheren

Installeer Sophos Connect vervolgens op Windows of macOS en controleer met een testgebruiker:

• het profiel kan zonder fouten worden geïmporteerd en aanmelden met MFA werkt;
• de client ontvangt een adres uit de bedoelde pool;
• interne FQDN’s en centrale systemen zijn bereikbaar;
• Log Viewer toont treffers op de verwachte regel;
• Split Tunnel blokkeert niet-toegestane doelen of Full Tunnel leidt internetverkeer zoals gepland via firewall en NAT;
• opnieuw verbinden werkt na een netwerkwissel en na een herstart van de client of het endpoint;
• de testclient gebruikt de gedocumenteerde profielversie en provisioning neemt wijzigingen aantoonbaar over.

Leg voor het verdere beheer vast:

• verantwoordelijke VPN-groep en uitdienstproces;
• MFA-reset en het blokkeren of deblokkeren van gebruikers;
• actuele profielversie of wijzigingsdatum;
• bij de helpdesk bekende log- en supportroutes;
• een nieuwe controle van Legacy Remote Access IPsec en clientprofielen vóór SFOS-upgrades.

Leg voor wijzigingen aan pool, DNS, gateway, certificaten, groepen of Advanced Settings een verantwoordelijke, wijzigingsdatum, terugvalroute en nieuwe acceptatietest vast.

Troubleshooting

Failed to validate certificate na een herstart

Als de eerste verbinding werkt, maar na een herstart van het endpoint of Sophos Connect Failed to validate certificate verschijnt, zijn Local en Remote Certificate vaak niet door dezelfde CA ondertekend.

Controleer Local en Remote Certificate op een consistente CA-toewijzing en Certificate ID’s. Gebruik certificaten die op de firewall zijn gegenereerd of door dezelfde externe CA zijn ondertekend, laad de Signing CA van de externe partij op de firewall of stap over op PSK. Exporteer en importeer daarna het profiel opnieuw en test de verbinding na een nieuwe herstart.

Gebruiker kan zich niet aanmelden

Controleer eerst of de hoofdgroep onder Allowed users and groups staat en IPsec remote access onder Authentication > Groups is ingeschakeld. Controleer daarna de authenticatieserver, MFA, wachtwoordstatus, geblokkeerde gebruiker en de vereiste eerste aanmelding. Test AD, RADIUS of Entra ID eerst afzonderlijk van de VPN. Bij Microsoft Entra ID SSO moeten de methoden onder Authentication > Services al vóór de profielexport correct zijn toegewezen.

Als no IKE config found verschijnt, vergelijkt u ook IPsec-profiel, Local ID en Remote ID tussen firewall en clientprofiel. Als slechts enkele directorygebruikers getroffen zijn, controleert u ook hoofdgroep, UPN, e-mailadres en groepstoewijzing. Sophos Connect ondersteunt in gebruikersnamen alleen ASCII-tekens; namen met diakritische tekens of andere UTF-8-/UTF-16-tekens kunnen daardoor ondanks een correct wachtwoord mislukken.

Verbinding is groen, maar verkeer of internet ontbreekt

Controleer in Log Viewer of verkeer uit de zone VPN de verwachte regel bereikt. Als er geen treffers zijn, controleert u clientroutes, Permitted network resources, bron- en doelnetwerken en Packet Capture; bij treffers onderzoekt u routing, retourpad, DNS en NAT verder. Device Access is hier alleen relevant als de firewall zelf het doel is, bijvoorbeeld voor DNS of Ping. Bij Full Tunnel moeten VPN naar WAN en SNAT kloppen. Voor diepere tunnelanalyse volgt Sophos Firewall IPsec VPN troubleshooting.

Client of provisioning gebruikt oude waarden

Exporteer na algemene wijzigingen handmatig verspreide .scx- en .tgb-bestanden opnieuw; vervang bij uitsluitend wijzigingen aan Advanced Settings alleen .scx. Haal oude versies uit omloop. Controleer bij .pro eerst de bereikbaarheid van VPN Portal, de portalpoort, gateway, het certificaat, de gebruikersaanmelding en MFA. Bij Entra SSO moet gateway overeenkomen met de Redirect URI.

Verbinding wordt ongeveer elke vier uur verbroken

Bij IKEv1-rekeying kan een nieuwe OTP-aanvraag de tunnel verbreken. De oorzaak, een langer rekey-interval en de beveiligingsafweging worden uitgelegd in IPsec Remote Access-time-out na vier uur oplossen.

Grote overdrachten lopen vast of IPsec valt alleen in externe netwerken uit

Als aanmelden, DNS en kleine overdrachten werken, maar grotere niet, controleer dan MTU en MSS. Als IPsec alleen in hotels, gastwifi, mobiele netwerken of streng gefilterde bedrijfsnetwerken uitvalt, kan het netwerk IPsec blokkeren. Controleer dan of SSL VPN of een ander Remote Access-ontwerp beter bij deze gebruikers past.

FAQ