Sophos Connect op Sophos Firewall configureren

Sophos Connect voor IPsec Remote Access configureert u in SFOS 22 onder Remote access VPN > IPsec. Alleen de tunnel instellen is niet genoeg om toegang te verlenen: authenticatie, clientadressering, DNS, firewallregels en het uitgerolde profiel moeten samen correct werken.

Dit artikel behandelt bewust alleen de configuratie aan de firewallzijde. De installatie en het importeren van een profiel worden afzonderlijk beschreven voor Windows en macOS. Zie voor SSL VPN Sophos Firewall SSL VPN Remote Access instellen. Als de keuze voor een architectuur nog openstaat, helpt Sophos Connect of SSL VPN.

Vóór de eerste klik

Voor een beheerste implementatie hebt u het volgende nodig:

• beheerderstoegang tot WebAdmin en een bereikbaar WAN-adres;
• gebruikers of groepen in een door Sophos Connect ondersteunde bron, bijvoorbeeld lokaal, Active Directory, RADIUS of Microsoft Entra ID, plus een passend MFA-ontwerp;
• een vrije, private clientpool, de interne doelnetwerken en alleen de daadwerkelijk benodigde services;
• DNS-servers die de beoogde interne namen kunnen oplossen, en indien nodig een DNS-suffix;
• een IKEv1-IPsec-profiel en een Preshared Key of geschikte RSA-certificaten;
• een externe testverbinding, bijvoorbeeld via een mobiele hotspot. SFOS ondersteunt IPsec Remote Access vanuit de LAN-zone niet.

Controleer vóór een upgrade naar SFOS 22.0 MR1 of hoger eerst of Legacy Remote Access IPsec moet worden gemigreerd.

Eerst de authenticatieservices toewijzen

Onder Authentication > Services moeten de gewenste servers op de juiste plaatsen bij Selected authentication server staan:

• VPN portal authentication methods voor het VPN Portal en provisioning;
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods voor aanmelding bij de IPsec-tunnel.

Doorgaans selecteert u Local plus de directory-, RADIUS- of Entra ID-server die onder Authentication > Servers is ingesteld. Test deze toewijzing voordat u het profiel exporteert. Bij Microsoft Entra ID SSO moet de Entra ID-server hier al geselecteerd zijn voordat het configuratiebestand wordt gedownload; anders ontbreken de SSO-waarden in het .scx-bestand. De volledige procedure staat in Microsoft Entra ID SSO voor VPN; zie voor OTP Sophos Firewall MFA instellen.

Maak voor SSO onder Windows met Sophos Connect 2.4 of hoger onderscheid tussen firmware en provider: op SFOS 22 geldt de hierboven gelinkte Entra ID-procedure; SFOS 23 biedt OpenID Connect (OIDC) met een ondersteunde identityprovider (IdP). Entra ID blijft een geldige optie. De Google Workspace OIDC-configuratie beschrijft de andere hier behandelde provideroptie en de bijbehorende grenzen; dit garandeert geen ondersteuning voor willekeurige OIDC-providers, clientplatforms of firmwarebuilds.

Selecteer ook voor een rechtstreeks geïmporteerd profiel de bedoelde IdP-server onder Authentication > Services voordat u de configuratie downloadt. Bij rechtstreeks SSL VPN moeten VPN Portal en SSL VPN dezelfde server gebruiken. Bij rechtstreeks IPsec mag de tunnel dezelfde server als VPN Portal of een andere server gebruiken; providers zijn daardoor niet vrij uitwisselbaar. De OIDC-uitbreiding voor Windows verruimt de hieronder beschreven Entra ID SSO-ondersteuning op macOS niet.

Entra ID-vereisten op de firewall

Microsoft Entra ID SSO voor remote-access-VPN vereist SFOS 21.5 of nieuwer; op Macs is Sophos Connect 2.1 of nieuwer nodig. Alleen de client installeren en een klassieke IPsec-configuratie uitvoeren activeert SSO niet. Synchroniseer gebruikers van hetzelfde domein niet tegelijk via Active Directory en Microsoft Entra ID. Controleer bij bestaande AD-integraties de gebruikers- en groepstoewijzingen voordat u Entra configureert.

Registreer onder Microsoft Entra ID > App registrations een aparte single-tenant-app voor de firewall met platform Web. Microsoft Graph vereist onder API permissions de gedelegeerde machtigingen User.Read.All en Group.Read.All; voor groepsimport is ook de toepassingsmachtiging Group.Read.All nodig. Verleen beheerderstoestemming. Maak onder Certificates & secrets een clientsecret, kopieer de waarde onmiddellijk naar een veilige locatie en plan vernieuwing vóór de vervaldatum. Voer de client-ID, tenant-ID en het secret in bij de Microsoft Entra ID-server onder Authentication > Servers en voeg de daar gegenereerde redirect-URI’s toe aan de Entra-app.

Configureer MFA bij de identiteitsprovider; de OTP-authenticatie van Sophos Firewall wordt niet voor deze SSO-aanmelding gebruikt. Zet in de Properties van de bijbehorende Enterprise Application Assignment required? op Yes en wijs specifieke gebruikers toe om de toegestane gebruikerskring te beperken. Deze toewijzingsplicht geldt niet voor Global Administrators; test de beperking daarom met een gewone gebruiker. VPN-policies en firewallregels bepalen nog steeds de daadwerkelijke toegang. Doorloop vóór de uitrol de volledige Entra-procedure waarnaar hierboven wordt verwezen.

Adressen, doelen en terugvalscenario vastleggen

Voor een ontwerp zonder adresconflicten mag de VPN-pool niet overlappen met LAN, wifi, VLAN’s, site-to-site-VPN’s of veelgebruikte thuisnetwerken. SFOS vereist bovendien dat het bereik in een subnet van minimaal /24 ligt en niet tegelijk wordt gebruikt voor SSL VPN, L2TP of PPTP. Een voorbeeld is 10.250.10.10 tot en met 10.250.10.200 binnen 10.250.10.0/24.

Leg vóór een wijziging de huidige IPsec-configuratie, de geselecteerde certificaten en ID’s, de volgorde van de regels en de eerder uitgerolde .scx- en .pro-versies vast. Bewaar het oude profiel op een veilige plaats. Zo kunt u een mislukte wijziging gecontroleerd terugdraaien door de afzonderlijke waarden en regels te herstellen, zonder bestaande gebruikers, certificaten of andere VPN-configuraties te verwijderen. Reset onderaan de IPsec-pagina zet daarentegen de volledige Remote Access IPsec-configuratie terug naar de fabrieksinstellingen en is geen normale rollbackprocedure.

IPsec Remote Access volledig configureren

In oudere interfaces en op de bestaande schermafbeelding staat nog VPN > Sophos Connect Client. In SFOS 22 is het pad Remote access VPN > IPsec.

General settings

1. Schakel IPsec remote access in.
2. Selecteer onder Interface de WAN-poort die als tunneleindpunt dient. In deze Remote Access-configuratie biedt SFOS precies één WAN-interface; meerdere provisioninggateways veranderen niets aan deze tunnelkoppeling.
3. Selecteer onder IPsec profile een IKEv1-profiel. Het profiel wordt alleen weergegeven als Dead Peer Detection is uitgeschakeld of op Disconnect staat. De algoritmen voor fase 1 en fase 2, DH/PFS en de lifetimes moeten aansluiten bij het beveiligingsbeleid. Sterke algoritmen en PFS zijn aanbevolen werkwijzen; de genoemde voorwaarden voor IKEv1 en DPD zijn harde SFOS-vereisten.
4. Stel Authentication type in op Preshared key of Digital certificate.
5. Vul Local ID, Remote ID en Allowed users and groups in.

Een PSK wordt opgenomen in de geëxporteerde configuratie. Gebruik een willekeurige, goed afgeschermde sleutel en vervang deze bij een vermoeden van misbruik, samen met de betrokken profielen. MFA biedt extra bescherming bij de gebruikersaanmelding, maar vervangt deze tunnelsleutel niet.

Voor Digital certificate gelden in SFOS 22 duidelijke beperkingen:

• IPsec gebruikt RSA-certificaten, geen ECDSA-certificaten;
• zowel Local Certificate als Remote Certificate heeft een Certificate ID nodig;
• External certificate mag niet zijn geselecteerd;
• Local Certificate en Remote Certificate moeten uit dezelfde vertrouwensketen komen. Gebruik lokaal gegenereerde certificaten of certificaten van dezelfde externe CA en upload de Signing CA daarvan naar de firewall.

Sophos adviseert één Local ID om de firewall te identificeren en een andere Remote ID voor de clients. Toegestane typen zijn DNS, IP Address, Email en, bij certificaten, DER ASN1 DN [X509]. Bij de laatste optie neemt de firewall de Distinguished Name van het certificaat over. De ID’s hoeven niet publiek resolveerbaar te zijn, maar de firewall en het geëxporteerde profiel moeten wel dezelfde waarden verwachten.

Gebruikers en groepen gericht toegang geven

Neem onder Allowed users and groups uitsluitend de bedoelde accounts op. Voor een directorygebruiker kijkt IPsec Remote Access naar de Main group. De toegestane AD-groep moet dus diens hoofdgroep zijn. Is dat niet het geval, geef dan de afzonderlijke gebruiker gericht toegang in plaats van een brede groep open te stellen.

Controleer onder Authentication > Groups de effectieve instelling IPsec remote access en de groepsvolgorde. Zolang Remote Access IPsec niet is geconfigureerd, is het standaard voor alle groepen uitgeschakeld. Na de configuratie blijven geïmporteerde AD-groepen en gemigreerde groepen standaard uitgeschakeld; nieuw aangemaakte lokale groepen zijn daarentegen standaard ingeschakeld. Bij meerdere groepen geldt de policy van de hoogst geplaatste groep. Individuele gebruikerspolicies hebben in principe voorrang: een gebruiker kan bijvoorbeeld expliciet worden ingeschakeld ondanks een uitgeschakelde groep. De doorslaggevende uitzondering: als IPsec Remote Access voor een groep expliciet is ingeschakeld, kan deze toegang niet worden geblokkeerd door een groepslid individueel uit te schakelen. Controleer bij offboarding daarom de effectieve Main-group-toewijzing, de groepsvolgorde en alle toegangsrechten op gebruikers- of groepsniveau en trek de effectieve toegangsrechten in, in plaats van op de gebruikersschakelaar te vertrouwen. Volgens Sophos beëindigt het uitschakelen van een groep de actieve sessies van die groep en voorkomt het opnieuw verbinden; individuele toegangsrechten moeten daarbij afzonderlijk worden gecontroleerd. Controleer met een gewone pilotgebruiker de effectieve authenticatie en de toegestane en geblokkeerde doelen. Controleer bij offboarding onder Current activities > IPsec connections de actieve sessies, gebruik indien nodig gericht Disconnect en bevestig vervolgens dat de gebruiker zich niet opnieuw kan authenticeren of toegang kan krijgen tot beschermde doelen. Deze controles zijn acceptatiestappen, geen hier aangetoond effect op het apparaat. Active Directory met Sophos Firewall verbinden.

Een AD-gebruiker moet zich vóór de eerste klassieke aanmelding met Sophos Connect doorgaans aanmelden via een andere Authentication Client, zoals het User Portal. Bij provisioning kan het account tijdens de eerste aanmelding worden aangemaakt en aan de hand van de servermapping worden toegewezen. Guest users en guest groups zijn niet toegestaan voor Remote Access.

Client information en Idle time

Stel onder Client information alle velden bewust in:

• Name: een korte, unieke weergavenaam, bijvoorbeeld remote-access-ipsec;
• Assign IP from: het begin- en eindadres van de geplande private pool;
• Allow leasing IP address from RADIUS server for L2TP, PPTP, and IPsec remote access: schakel dit alleen in als RADIUS adressen uitgeeft. Geeft RADIUS geen adres terug, dan gebruikt SFOS eerst een voor de gebruiker ingesteld statisch adres en anders een lease uit Assign IP from;
• DNS server 1 en DNS server 2: resolvers die verantwoordelijk zijn voor de benodigde zones of aanvragen correct naar die zones doorsturen.

Publieke resolvers zijn niet per definitie onjuist, maar kunnen private bedrijfszones doorgaans niet oplossen zonder dat die zones passend zijn gepubliceerd of doorgestuurd. Test voor interne resources daarom het DNS-pad dat daadwerkelijk autoritatief is of de juiste forwarding verzorgt.

Onder Idle time kunt u Disconnect when tunnel is idle inschakelen. Idle session time interval wordt opgegeven in seconden. De gekozen waarde is een operationele afweging: een korte time-out beperkt achtergebleven sessies, maar kan werkprocessen en nieuwe MFA-aanmeldingen verstoren. Na een verbreking wegens inactiviteit probeert Sophos Connect de verbinding op de achtergrond opnieuw op te bouwen. Lukt dat niet, kies dan in de client eerst Disconnect en daarna Connect.

Advanced settings

De volgende waarden worden opgenomen in .scx, maar niet in .tgb:

• Use as default gateway: ingeschakeld betekent Full Tunnel; uitgeschakeld betekent Split Tunnel. Deze keuze geldt voor alle gebruikers onder Allowed users and groups. Binnen één IPsec-configuratie kunt u gebruikers geen verschillende tunnelmodi geven.
• Permitted network resources (IPv4): de interne netwerken en hosts die via de Split Tunnel bereikbaar moeten zijn. Neem alleen resources op die gebruikers daadwerkelijk via de tunnel mogen bereiken.
• Send Security Heartbeat through tunnel: verstuur de Heartbeat van een aanwezige Sophos Endpoint via de tunnel.
• Allow users to save username and password: sta dit alleen toe als de beveiliging van het apparaat en de MFA-vereisten dit toelaten. Voor Connect tunnel automatically adviseert Sophos opgeslagen aanmeldgegevens.
• Prompt users for 2FA token: toon een afzonderlijk OTP-veld. De firewall verstuurt nog steeds passwordotp; challengegebaseerde MFA wordt niet ondersteund. SCCLI werkt niet met deze optie.
• Run AD logon script after connecting: voer na het opbouwen van de tunnel het AD-aanmeldscript uit.
• Connect tunnel automatically: bouw de verbinding automatisch op nadat de gebruiker zich bij het eindapparaat heeft aangemeld.
• Hostname or DNS suffix to monitor: voer een hostnaam of intern suffix in dat alleen intern kan worden omgezet. Sophos Connect gebruikt dit om te bepalen of automatisch verbinding moet worden gemaakt; de bewaakte host moet ICMP-probes kunnen beantwoorden.
• Assign client DNS suffix: voeg een suffix zoals firma.example toe aan de netwerkadapter van het eindapparaat, zodat korte hostnamen als FQDN worden omgezet.

Bij Split Tunnel maakt SFOS voor de toegestane subnetten afzonderlijke ESP-SA’s aan en verwijdert het bij inactiviteit alleen de betreffende Child SA. Bij Full Tunnel is er één ESP SA, die na het idle-interval zonder dataverkeer wordt verwijderd.

Bereikbaarheid vóór de firewall controleren

Staat Sophos Firewall achter een router of een ander NAT-apparaat, dan moet dat apparaat het publieke adres vertalen naar de geselecteerde WAN-interface van de firewall. Voor NAT-T moeten UDP 500 en UDP 4500 worden toegestaan en doorgestuurd. Als er geen NAT op het pad aanwezig is, gebruikt ESP IP-protocol 50; ook dat verkeer moet het voorliggende apparaat dan doorlaten. Zodra SFOS NAT detecteert, verpakt NAT-T de daaropvolgende IKE- en ESP-pakketten in UDP 4500.

Een normale TCP/UDP-poorttest bewijst daarom niet dat het volledige IPsec-pad werkt. Ook carrier-grade NAT, dubbele NAT of een streng afgeschermd gastnetwerk kan de tunnelopbouw verhinderen. Heeft SFOS zelf rechtstreeks een publiek adres, dan is er geen DNAT-regel op een voorliggend apparaat nodig.

Staat de firewall achter een router, bewaar dan eerst de geëxporteerde .scx veilig als bronprofiel. Wijzig volgens de Sophos-FAQ het gatewayadres in de .scx handmatig naar het WAN-IP-adres van de router. Distribueer en importeer het gecorrigeerde profiel gecontroleerd opnieuw en test daarna tunnel en toegestaan verkeer vanuit een extern netwerk. IKE/NAT-T-doorsturing blijft nodig. gateway in .pro verwijst daarentegen naar het VPN Portal en corrigeert niet automatisch het tunneleindpunt in .scx; hier wordt geen onbevestigde schemasleutel aangenomen.

Firewallregels en Device Access

Toegang tot interne doelen

Maak onder Rules and policies > Firewall rules een gerichte IPv4-regel:

• Rule name: een unieke naam, bijvoorbeeld VPN-SophosConnect-to-ERP;
• Rule position: boven een algemenere Drop-regel of een conflicterende Accept-regel;
• Action: Accept;
• Log firewall traffic: inschakelen voor de acceptatietest en het beheer;
• Source zones: VPN;
• Source networks and devices: de IPsec-clientpool of een passend IP-hostobject, niet onnodig Any;
• During scheduled time: All the time of een onderbouwd tijdvenster;
• Destination zones: alleen de werkelijk benodigde zone, bijvoorbeeld LAN of DMZ;
• Destination networks: uitsluitend de vrijgegeven servers of netwerken;
• Services: uitsluitend de benodigde protocollen en poorten;
• Match known users en Users or groups: desgewenst als aanvullende identiteitsvoorwaarde, als dit bij het authenticatieontwerp past.

SFOS verwerkt regels van boven naar beneden en stopt bij de eerste overeenkomst. Controleer na het opslaan daarom de uiteindelijke positie. Regels die automatisch of later bovenaan worden aangemaakt, kunnen de volgorde veranderen. Web-, Application Control-, IPS-, Heartbeat- en andere Security Policies zijn niet standaard verplicht voor VPN-verkeer in SFOS. Kies ze op basis van de vereiste bescherming en test ze met de gebruikte applicaties.

Full Tunnel naar internet

Als Use as default gateway is ingeschakeld, is daarnaast een firewallregel voor verkeer van VPN naar WAN nodig:

Gebruik ook in deze regel de clientpool als Source network en stel de passende services, logging en gewenste Web-, Application Control- of IPS-policies in. Daarnaast moet een geschikte SNAT-/masqueradingregel van toepassing zijn op de clientpool; een bestaande NAT-regel kan dit al afhandelen. U kunt een gekoppelde NAT-regel gebruiken, maar dat is niet verplicht. Ook NAT-regels worden in volgorde verwerkt, waardoor een eerdere regel met een bredere overeenkomst voorrang krijgt. Een Full Tunnel zonder correct afgestemde NAT- en Security Policies resulteert daarom vaak in een groene tunnel zonder internettoegang, of juist in onbedoeld ongefilterd verkeer.

Local Service ACL

Firewallregels regelen doorgestuurd verkeer, niet de lokale services van de firewall. Stel onder Administration > Device access het volgende in:

• sta IPsec toe vanuit de gebruikte WAN-zone;
• sta VPN portal alleen toe vanuit zones waar downloaden of provisioning nodig is; Sophos adviseert toegang vanaf WAN alleen tijdelijk in te schakelen;
• sta DNS vanuit VPN alleen toe als de firewall zelf als DNS-resolver wordt benaderd;
• sta Ping/Ping6 vanuit VPN alleen toe als de firewall zelf als testdoel moet dienen.

Als toegang voor een volledige zone te ruim is, kunt u die met een Local service ACL exception rule beperken tot bepaalde bronhosts of -netwerken. Zie Device Access en Local Service ACL voor meer informatie.

Profiel exporteren of via provisioning aanbieden

Export connection maakt een archief met .scx en .tgb. Voor Sophos Connect is .scx de standaard; dit bestand bevat zowel General Settings als Advanced Settings. .tgb is bedoeld voor compatibele clients van derden en bevat alleen General Settings. Na wijzigingen in General of Advanced Settings moet u de configuratie opnieuw uitrollen. Gaat het uitsluitend om Advanced Settings, dan hoeft alleen .scx opnieuw te worden verspreid.

Met een .pro-bestand kan Sophos Connect 2.1 of hoger onder Windows de IPsec- en toegestane SSL VPN-configuraties ophalen bij het VPN Portal en latere wijzigingen automatisch overnemen. De exacte JSON-structuur, meerdere portaalgateways, MFA-velden en uitrol via GPO worden beschreven in Sophos Connect-provisioning met .pro en GPO.

Neem bij Microsoft Entra ID SSO met Sophos Connect voor macOS vanaf 2.1 ook de aanmelding in de door de client geopende browser en de terugkeer naar de client mee in de acceptatietest. De macOS-aanmeldprocedure met browserkeuze en fallback beschrijft de stappen; controleer daarna de tunnelstatus, het VPN-IP-adres, DNS en de toegang, zonder Conditional Access, MFA of certificaatcontroles te verzwakken. Als hiervoor een aangepaste .pro nodig is, gebruik dan de letterlijke veldsyntaxis en de toegestane waarden van sso_auth_browser_type onder Sophos Connect Provisioning.

Voor Sophos Connect 2.1 voor macOS en nieuwere macOS-clientversies zijn de toegestane waarden voor sso_auth_browser_type auto, embedded en system. auto gebruikt eerst de ingebouwde browser en kan terugvallen op de systeembrowser. Voor Entra ID SSO moet VPN Portal via de benodigde WAN-zone bereikbaar zijn onder Administration > Device access; de hierboven beschreven beperkingen via Local Service ACL blijven belangrijk. Als portaltoegang alleen tijdelijk wordt toegestaan en daarna wordt geblokkeerd, is deze externe SSO-aanmeldroute daarna niet meer beschikbaar. vpn_portal_port is de werkelijke VPN Portal-poort, niet de SSL-VPN-tunnelpoort.

Belangrijk bij troubleshooting: gateway in .pro is het FQDN- of IPv4-adres van de firewall waarop de client het VPN Portal bereikt en configuraties ophaalt. Dit is niet automatisch de gateway van de IPsec-tunnel. De tunnel eindigt op de Interface die onder Remote access VPN > IPsec is geselecteerd en in het opgehaalde .scx-bestand is vastgelegd. Meerdere gateways in .pro bieden dus meerdere routes voor provisioning, maar geen Multi-WAN voor deze ene IPsec Remote Access-configuratie.

Als gateway of de VPN Portal-poort verandert, moet .pro worden aangepast en opnieuw worden verspreid. Als beide gelijk blijven, kan het geconfigureerde provisioningpad de VPN-configuratie en latere wijzigingen opnieuw ophalen. Bij een handmatig geïmporteerde .scx moet daarentegen na wijzigingen in General of Advanced Settings de actuele verbinding opnieuw via Export connection worden geëxporteerd, via een beveiligd kanaal worden verspreid en opnieuw in de client worden geïmporteerd. Update policy is geen vervanging voor deze handmatige verspreiding en herimport; het gedocumenteerde gebruik betreft het via provisioning ingestelde pad, met name een gewijzigde SSL-VPN-poort of een gewijzigd protocol. Een update van de clientsoftware werkt de firewallpolicy of een verouderd profiel niet automatisch bij; bestaande profielen blijven na alleen een versie-update van Sophos Connect in principe bruikbaar. Bewaar het bekende werkende profiel en de bijbehorende firewallwaarden veilig voor een gecontroleerde rollback. Controleer vóór brede verspreiding met een gewone pilotgebruiker de profielversie en tunnelgateway, authenticatie/MFA, routes, DNS en de toegestane en geblokkeerde doelen. Herstel bij een mislukte acceptatie de bij elkaar horende oude firewallwaarden en het bekende werkende profiel en herhaal dezelfde controles.

Als provisioning oude waarden of helemaal geen configuratie laadt, controleert u achtereenvolgens de bereikbaarheid en het certificaat van het VPN Portal, de poort van het portal, gateway, de gebruikersaanmelding en MFA. Voor SSO-provisioning moeten VPN portal authentication methods, VPN (IPsec/dial-in/L2TP/PPTP) authentication methods en SSL VPN authentication methods onder Authentication > Services dezelfde geconfigureerde IdP-server gebruiken: Entra ID op SFOS 22, of een ondersteunde OIDC-IdP op SFOS 23 binnen het hierboven omschreven Windows-bereik. gateway moet overeenkomen met het FQDN- of IPv4-adres van de firewall in het gedeelte Redirect URI van die onder Authentication > Servers geconfigureerde server. Het gaat alleen om de host, niet om de volledige callback-URI met schema, poort en pad; voer de VPN Portal-poort afzonderlijk in bij vpn_portal_port. Providerspecifieke beperkingen blijven gelden: gebruik voor Google Workspace het geldige FQDN dat de detailhandleiding vereist, geen IP-adres. Vergelijk vóór verspreiding de servertoewijzingen, host en portaalpoort. Volg bij SSO-fouten de procedure voor de juiste firmware en provider in het hierboven gelinkte Entra- of Google-artikel; pas Entra-diagnoses niet zonder meer toe op andere OIDC-providers.

Profielen bevatten beveiligingsgevoelige gegevens en moeten via een beveiligd distributiekanaal worden verspreid. Geef oude en nieuwe versies eenduidige namen en voorkom dat de helpdesk of gebruikers per ongeluk naar een oude versie teruggaan.

Het uitrollen van een nieuwe firewallpolicy staat los van het bijwerken van de clientsoftware. Versiekeuze, vrijgave aan pilotgroepen en een terugvalplan worden behandeld in Sophos Connect veilig bijwerken.

Leg in de operationele documentatie de verantwoordelijke VPN-groep en het proces voor het intrekken van toegang bij uitdiensttreding vast, evenals het resetten van MFA en het blokkeren en deblokkeren van gebruikers. Documenteer ook de profielversie, wijzigingsdatum en verantwoordelijke, de vereisten voor permanente logging, inclusief Sophos Fusion (voorheen Sophos Central) of Syslog, en een nieuwe controle van de profielen vóór SFOS-upgrades.

Acceptatietest met een echte externe client

Test het geïmporteerde profiel met een gewone doelgebruiker vanaf een extern netwerk:

1. Aanmelding en MFA werken en de client ontvangt het verwachte adres uit de pool of van RADIUS.
2. Onder Current activities > IPsec connections wordt de sessie weergegeven. U kunt de lijst onder meer filteren op Connection name, Username, Local subnet en Remote host/subnet. Met Refresh vernieuwt u de weergave; met Disconnect beëindigt u gericht één verbinding.
3. Interne FQDN’s en, indien ingesteld, korte namen via het DNS-suffix worden correct opgelost.
4. Toegestane doelen zijn bereikbaar en niet-toegestane doelen blijven geblokkeerd.
5. De Log Viewer toont treffers op de bedoelde firewallregel.
6. Bij Split Tunnel blijft overig internetverkeer lokaal. Bij Full Tunnel loopt dit verkeer via de firewall, wordt de bedoelde SNAT-/masqueradingregel toegepast en gelden de ingestelde Security Policies.
7. Opnieuw verbinden werkt na een idle-time-out, een netwerkwissel en een herstart van het eindapparaat.
8. In de Sophos Connect-client toont Events het tijdsverloop van de import, aanmelding en tunnelopbouw. Maak bij een reproduceerbare fout een Support report in de client en bewaar dit samen met het tijdstip, de gebruiker, de clientversie en de profielversie voordat u profielen of certificaten wijzigt.

Voor regelanalyse kunt u Een firewallregel testen met Log Viewer, Policy Test en Packet Capture gebruiken. Ga voor diepgaandere tunnelanalyse verder met Sophos Firewall IPsec VPN Troubleshooting.

Gericht problemen oplossen

Aanmelding mislukt

Controleer eerst Authentication > Services, de status van het wachtwoord en MFA, eventuele blokkades en de authenticatieserver onafhankelijk van de VPN-verbinding. Vergelijk daarna de Main group, Allowed users and groups en de groepsschakelaar IPsec remote access. Sophos Connect ondersteunt alleen ASCII-tekens in gebruikersnamen; diakritische tekens en andere UTF-8- of UTF-16-tekens kunnen de aanmelding verhinderen.

Baseer de diagnose niet op één IKE-tekstmelding waarvan de betekenis niet eenduidig is gedocumenteerd, maar deel het proces op: bereikt de poging de gebruikersauthenticatie, komen Interface, IPsec-profiel, certificaat of PSK en Local/Remote ID overeen, en is de gebruiker daadwerkelijk via de Main group toegestaan? De events op de client en gelijktijdige firewalllogs vormen hiervoor een betrouwbaarder spoor.

Failed to validate certificate na een herstart

Als de eerste verbinding lukt maar na een herstart Failed to validate certificate verschijnt, zijn Local Certificate en Remote Certificate vaak niet door dezelfde CA ondertekend. Controleer de Certificate ID’s en de vertrouwensketen. Gebruik lokaal gegenereerde certificaten of certificaten van dezelfde externe CA en upload de bijbehorende Signing CA, of schakel bewust over op PSK. Exporteer en importeer .scx daarna opnieuw en voer na een herstart nogmaals een test uit.

Tunnel is verbonden, maar er is geen verkeer

Controleer eerst het leaseadres en de routes op de client. Controleer daarna Permitted network resources, de regelpositie, Source/Destination networks, Services, de retourroute en DNS. Controleer bij Full Tunnel bovendien de regel van VPN naar WAN en welke SNAT-/masqueradingregel daadwerkelijk wordt toegepast. Device access speelt alleen een rol als de firewall zelf het doel is, bijvoorbeeld voor DNS of ping.

Verbinding wordt ongeveer elke vier uur verbroken

Bij IKEv1-rekeying kan een nieuwe OTP-aanvraag de tunnel verbreken. Voor het standaard-IPsec-profiel noemt Sophos een rekey-interval van ongeveer vier uur; met een aangepast profiel is maximaal 24 uur mogelijk. IPsec Remote Access-time-out na vier uur oplossen behandelt de beveiligingsafweging en de uitvoering.

Grote overdrachten lopen vast of alleen bepaalde externe netwerken werken niet

Als aanmelden, DNS en kleine gegevensoverdrachten werken, maar grotere overdrachten vastlopen, controleer dan MTU en MSS. Als IPsec alleen in hotels, gastwifi’s of streng gefilterde bedrijfsnetwerken niet werkt, blokkeert het externe netwerk mogelijk UDP 500/4500 of ESP. Voor deze gebruikers kan SSL VPN of een ander Remote Access-ontwerp robuuster zijn.

Remote Access IPsec na een HA-failover

De in de release notes van SFOS 22 beschreven fout NC-175860 treft Remote Access IPsec na een HA-failover als het Appliance Certificate eerder opnieuw is gegenereerd. Het probleem is opgelost in SFOS 22.0 MR2 Build 546 van 14 juli 2026. Sophos vermeldt hiervoor geen specifieke logmelding en geen officiële workaround.

Leg vóór een ingreep de firmware en build, de HA-modus, de rollen en Last status change van beide apparaten, het tijdstip van de failover, Authentication Type, Local Certificate en Remote Certificate met hun Certificate IDs en de profielversie vast. Genereer het Appliance Certificate niet bij wijze van proef opnieuw. Controleer bij een oudere getroffen versie het ondersteunde upgradepad naar MR2 Build 546 of hoger. Test daarna binnen een onderhoudsvenster een gecontroleerde failover en bouw de verbinding opnieuw op vanaf een extern netwerk. De topologie wordt toegelicht in Sophos Firewall HA-clustervarianten; het upgradeproces staat in SFOS-firmware-update.

FAQ