Sophos Connect op Sophos Firewall configureren

Sophos Connect voor IPsec Remote Access configureert u in SFOS 22 onder Remote access VPN > IPsec. Alleen de tunnel instellen is niet genoeg om toegang te verlenen: authenticatie, clientadressering, DNS, firewallregels en het uitgerolde profiel moeten samen correct werken.

Dit artikel behandelt bewust alleen de configuratie aan de firewallzijde. De installatie en het importeren van een profiel worden afzonderlijk beschreven voor Windows en macOS. Zie voor SSL VPN Sophos Firewall SSL VPN Remote Access instellen. Als de keuze voor een architectuur nog openstaat, helpt Sophos Connect of SSL VPN.

Vóór de eerste klik

Voor een beheerste implementatie hebt u het volgende nodig:

• beheerderstoegang tot WebAdmin en een bereikbaar WAN-adres;
• gebruikers of groepen in een door Sophos Connect ondersteunde bron, bijvoorbeeld lokaal, Active Directory, RADIUS of Microsoft Entra ID, plus een passend MFA-ontwerp;
• een vrije, private clientpool, de interne doelnetwerken en alleen de daadwerkelijk benodigde services;
• DNS-servers die de beoogde interne namen kunnen oplossen, en indien nodig een DNS-suffix;
• een IKEv1-IPsec-profiel en een Preshared Key of geschikte RSA-certificaten;
• een externe testverbinding, bijvoorbeeld via een mobiele hotspot. SFOS ondersteunt IPsec Remote Access vanuit de LAN-zone niet.

Controleer vóór een upgrade naar SFOS 22.0 MR1 of hoger eerst of Legacy Remote Access IPsec moet worden gemigreerd.

Eerst de authenticatieservices toewijzen

Onder Authentication > Services moeten de gewenste servers op de juiste plaatsen bij Selected authentication server staan:

• VPN portal authentication methods voor het VPN Portal en provisioning;
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods voor aanmelding bij de IPsec-tunnel.

Doorgaans selecteert u Local plus de directory-, RADIUS- of Entra ID-server die onder Authentication > Servers is ingesteld. Test deze toewijzing voordat u het profiel exporteert. Bij Microsoft Entra ID SSO moet de Entra ID-server hier al geselecteerd zijn voordat het configuratiebestand wordt gedownload; anders ontbreken de SSO-waarden in het .scx-bestand. De volledige procedure staat in Microsoft Entra ID SSO voor VPN; zie voor OTP Sophos Firewall MFA instellen.

Maak voor SSO onder Windows met Sophos Connect 2.4 of hoger onderscheid tussen firmware en provider: op SFOS 22 geldt de hierboven gelinkte Entra ID-procedure; SFOS 23 biedt OpenID Connect (OIDC) met een ondersteunde identityprovider (IdP). Entra ID blijft een geldige optie. De Google Workspace OIDC-configuratie beschrijft de andere hier behandelde provideroptie en de bijbehorende grenzen; dit garandeert geen ondersteuning voor willekeurige OIDC-providers, clientplatforms of firmwarebuilds.

Selecteer ook voor een rechtstreeks geïmporteerd profiel de bedoelde IdP-server onder Authentication > Services voordat u de configuratie downloadt. Bij rechtstreeks SSL VPN moeten VPN Portal en SSL VPN dezelfde server gebruiken. Bij rechtstreeks IPsec mag de tunnel dezelfde server als VPN Portal of een andere server gebruiken; providers zijn daardoor niet vrij uitwisselbaar. De OIDC-uitbreiding voor Windows verruimt de hieronder beschreven Entra ID SSO-ondersteuning op macOS niet.

Adressen, doelen en terugvalscenario vastleggen

Voor een ontwerp zonder adresconflicten mag de VPN-pool niet overlappen met LAN, wifi, VLAN’s, site-to-site-VPN’s of veelgebruikte thuisnetwerken. SFOS vereist bovendien dat het bereik in een subnet van minimaal /24 ligt en niet tegelijk wordt gebruikt voor SSL VPN, L2TP of PPTP. Een voorbeeld is 10.250.10.10 tot en met 10.250.10.200 binnen 10.250.10.0/24.

Leg vóór een wijziging de huidige IPsec-configuratie, de geselecteerde certificaten en ID’s, de volgorde van de regels en de eerder uitgerolde .scx- en .pro-versies vast. Bewaar het oude profiel op een veilige plaats. Zo kunt u een mislukte wijziging gecontroleerd terugdraaien door de afzonderlijke waarden en regels te herstellen, zonder bestaande gebruikers, certificaten of andere VPN-configuraties te verwijderen. Reset onderaan de IPsec-pagina zet daarentegen de volledige Remote Access IPsec-configuratie terug naar de fabrieksinstellingen en is geen normale rollbackprocedure.

IPsec Remote Access volledig configureren

In oudere interfaces en op de bestaande schermafbeelding staat nog VPN > Sophos Connect Client. In SFOS 22 is het pad Remote access VPN > IPsec.

General settings

1. Schakel IPsec remote access in.
2. Selecteer onder Interface de WAN-poort die als tunneleindpunt dient. In deze Remote Access-configuratie biedt SFOS precies één WAN-interface; meerdere provisioninggateways veranderen niets aan deze tunnelkoppeling.
3. Selecteer onder IPsec profile een IKEv1-profiel. Het profiel wordt alleen weergegeven als Dead Peer Detection is uitgeschakeld of op Disconnect staat. De algoritmen voor fase 1 en fase 2, DH/PFS en de lifetimes moeten aansluiten bij het beveiligingsbeleid. Sterke algoritmen en PFS zijn aanbevolen werkwijzen; de genoemde voorwaarden voor IKEv1 en DPD zijn harde SFOS-vereisten.
4. Stel Authentication type in op Preshared key of Digital certificate.
5. Vul Local ID, Remote ID en Allowed users and groups in.

Een PSK wordt opgenomen in de geëxporteerde configuratie. Gebruik een willekeurige, goed afgeschermde sleutel en vervang deze bij een vermoeden van misbruik, samen met de betrokken profielen. MFA biedt extra bescherming bij de gebruikersaanmelding, maar vervangt deze tunnelsleutel niet.

Voor Digital certificate gelden in SFOS 22 duidelijke beperkingen:

• IPsec gebruikt RSA-certificaten, geen ECDSA-certificaten;
• zowel Local Certificate als Remote Certificate heeft een Certificate ID nodig;
• External certificate mag niet zijn geselecteerd;
• Local Certificate en Remote Certificate moeten uit dezelfde vertrouwensketen komen. Gebruik lokaal gegenereerde certificaten of certificaten van dezelfde externe CA en upload de Signing CA daarvan naar de firewall.

Sophos adviseert één Local ID om de firewall te identificeren en een andere Remote ID voor de clients. Toegestane typen zijn DNS, IP Address, Email en, bij certificaten, DER ASN1 DN [X509]. Bij de laatste optie neemt de firewall de Distinguished Name van het certificaat over. De ID’s hoeven niet publiek resolveerbaar te zijn, maar de firewall en het geëxporteerde profiel moeten wel dezelfde waarden verwachten.

Gebruikers en groepen gericht toegang geven

Neem onder Allowed users and groups uitsluitend de bedoelde accounts op. Voor een directorygebruiker kijkt IPsec Remote Access naar de Main group. De toegestane AD-groep moet dus diens hoofdgroep zijn. Is dat niet het geval, geef dan de afzonderlijke gebruiker gericht toegang in plaats van een brede groep open te stellen.

Controleer onder Authentication > Groups de effectieve instelling IPsec remote access en de groepsvolgorde. Zolang Remote Access IPsec niet is geconfigureerd, is het standaard voor alle groepen uitgeschakeld. Na de configuratie blijven geïmporteerde AD-groepen en gemigreerde groepen standaard uitgeschakeld; nieuw aangemaakte lokale groepen zijn daarentegen standaard ingeschakeld. Bij meerdere groepen geldt de policy van de hoogst geplaatste groep.

Individuele gebruikerspolicies hebben in principe voorrang: een gebruiker kan bijvoorbeeld expliciet worden ingeschakeld ondanks een uitgeschakelde groep. De doorslaggevende uitzondering: als IPsec Remote Access voor een groep expliciet is ingeschakeld, kan deze toegang niet worden geblokkeerd door een groepslid individueel uit te schakelen. Controleer bij offboarding daarom de effectieve Main-group-toewijzing, de groepsvolgorde en alle toegangsrechten op gebruikers- of groepsniveau en trek de effectieve toegangsrechten in, in plaats van op de gebruikersschakelaar te vertrouwen. Volgens Sophos beëindigt het uitschakelen van een groep de actieve sessies van die groep en voorkomt het opnieuw verbinden; individuele toegangsrechten moeten daarbij afzonderlijk worden gecontroleerd. Controleer met een gewone pilotgebruiker de effectieve authenticatie en de toegestane en geblokkeerde doelen.

Controleer bij offboarding onder Current activities > IPsec connections de actieve sessies, gebruik indien nodig gericht Disconnect en bevestig vervolgens dat de gebruiker zich niet opnieuw kan authenticeren of toegang kan krijgen tot beschermde doelen. Voer deze controles vóór goedkeuring op het beoogde pilotapparaat uit. Active Directory met Sophos Firewall verbinden.

Een AD-gebruiker moet zich vóór de eerste klassieke aanmelding met Sophos Connect doorgaans aanmelden via een andere Authentication Client, zoals het User Portal. Bij provisioning kan het account tijdens de eerste aanmelding worden aangemaakt en aan de hand van de servermapping worden toegewezen. Guest users en guest groups zijn niet toegestaan voor Remote Access.

Client information en Idle time

Stel onder Client information alle velden bewust in:

• Name: een korte, unieke weergavenaam, bijvoorbeeld remote-access-ipsec;
• Assign IP from: het begin- en eindadres van de geplande private pool;
• Allow leasing IP address from RADIUS server for L2TP, PPTP, and IPsec remote access: schakel dit alleen in als RADIUS adressen uitgeeft. Geeft RADIUS geen adres terug, dan gebruikt SFOS eerst een voor de gebruiker ingesteld statisch adres en anders een lease uit Assign IP from;
• DNS server 1 en DNS server 2: resolvers die verantwoordelijk zijn voor de benodigde zones of aanvragen correct naar die zones doorsturen.

Publieke resolvers zijn niet per definitie onjuist, maar kunnen private bedrijfszones doorgaans niet oplossen zonder dat die zones passend zijn gepubliceerd of doorgestuurd. Test voor interne resources daarom het DNS-pad dat daadwerkelijk autoritatief is of de juiste forwarding verzorgt.

Onder Idle time kunt u Disconnect when tunnel is idle inschakelen. Idle session time interval wordt opgegeven in seconden. De gekozen waarde is een operationele afweging: een korte time-out beperkt achtergebleven sessies, maar kan werkprocessen en nieuwe MFA-aanmeldingen verstoren. Na een verbreking wegens inactiviteit probeert Sophos Connect de verbinding op de achtergrond opnieuw op te bouwen. Lukt dat niet, kies dan in de client eerst Disconnect en daarna Connect.

Advanced settings

De volgende waarden worden opgenomen in .scx, maar niet in .tgb:

• Use as default gateway: ingeschakeld betekent Full Tunnel; uitgeschakeld betekent Split Tunnel. Deze keuze geldt voor alle gebruikers onder Allowed users and groups. Binnen één IPsec-configuratie kunt u gebruikers geen verschillende tunnelmodi geven.
• Permitted network resources (IPv4): de interne netwerken en hosts die via de Split Tunnel bereikbaar moeten zijn. Neem alleen resources op die gebruikers daadwerkelijk via de tunnel mogen bereiken.
• Send Security Heartbeat through tunnel: verstuur de Heartbeat van een aanwezige Sophos Endpoint via de tunnel.
• Allow users to save username and password: sta dit alleen toe als de beveiliging van het apparaat en de MFA-vereisten dit toelaten. Voor Connect tunnel automatically adviseert Sophos opgeslagen aanmeldgegevens.
• Prompt users for 2FA token: toon een afzonderlijk OTP-veld. De firewall verstuurt nog steeds passwordotp; challengegebaseerde MFA wordt niet ondersteund. SCCLI werkt niet met deze optie.
• Run AD logon script after connecting: voer na het opbouwen van de tunnel het AD-aanmeldscript uit.
• Connect tunnel automatically: bouw de verbinding automatisch op nadat de gebruiker zich bij het eindapparaat heeft aangemeld.
• Hostname or DNS suffix to monitor: voer een hostnaam of intern suffix in dat alleen intern kan worden omgezet. Sophos Connect gebruikt dit om te bepalen of automatisch verbinding moet worden gemaakt; de bewaakte host moet ICMP-probes kunnen beantwoorden.
• Assign client DNS suffix: voeg een suffix zoals firma.example toe aan de netwerkadapter van het eindapparaat, zodat korte hostnamen als FQDN worden omgezet.

Bij Split Tunnel maakt SFOS voor de toegestane subnetten afzonderlijke ESP-SA’s aan en verwijdert het bij inactiviteit alleen de betreffende Child SA. Bij Full Tunnel is er één ESP SA, die na het idle-interval zonder dataverkeer wordt verwijderd.

Bereikbaarheid vóór de firewall controleren

Staat Sophos Firewall achter een router of een ander NAT-apparaat, dan moet dat apparaat het publieke adres vertalen naar de geselecteerde WAN-interface van de firewall. Voor NAT-T moeten UDP 500 en UDP 4500 worden toegestaan en doorgestuurd. Als er geen NAT op het pad aanwezig is, gebruikt ESP IP-protocol 50; ook dat verkeer moet het voorliggende apparaat dan doorlaten. Zodra SFOS NAT detecteert, verpakt NAT-T de daaropvolgende IKE- en ESP-pakketten in UDP 4500.

Een normale TCP/UDP-poorttest bewijst daarom niet dat het volledige IPsec-pad werkt. Ook carrier-grade NAT, dubbele NAT of een streng afgeschermd gastnetwerk kan de tunnelopbouw verhinderen. Heeft SFOS zelf rechtstreeks een publiek adres, dan is er geen DNAT-regel op een voorliggend apparaat nodig.

Staat de firewall achter een router, bewaar dan eerst de geëxporteerde .scx veilig als bronprofiel. Wijzig volgens de Sophos-FAQ het gatewayadres in de .scx handmatig naar het WAN-IP-adres van de router. Distribueer en importeer het gecorrigeerde profiel gecontroleerd opnieuw en test daarna tunnel en toegestaan verkeer vanuit een extern netwerk. IKE/NAT-T-doorsturing blijft nodig. gateway in .pro verwijst daarentegen naar het VPN Portal en corrigeert niet automatisch het tunneleindpunt in .scx; hier wordt geen onbevestigde schemasleutel aangenomen.

Firewallregels en Device Access

Toegang tot interne doelen

Maak onder Rules and policies > Firewall rules een gerichte IPv4-regel:

• Rule name: een unieke naam, bijvoorbeeld VPN-SophosConnect-to-ERP;
• Rule position: boven een algemenere Drop-regel of een conflicterende Accept-regel;
• Action: Accept;
• Log firewall traffic: inschakelen voor de acceptatietest en het beheer;
• Source zones: VPN;
• Source networks and devices: de IPsec-clientpool of een passend IP-hostobject, niet onnodig Any;
• During scheduled time: All the time of een onderbouwd tijdvenster;
• Destination zones: alleen de werkelijk benodigde zone, bijvoorbeeld LAN of DMZ;
• Destination networks: uitsluitend de vrijgegeven servers of netwerken;
• Services: uitsluitend de benodigde protocollen en poorten;
• Match known users en Users or groups: desgewenst als aanvullende identiteitsvoorwaarde, als dit bij het authenticatieontwerp past.

SFOS verwerkt regels van boven naar beneden en stopt bij de eerste overeenkomst. Controleer na het opslaan daarom de uiteindelijke positie. Regels die automatisch of later bovenaan worden aangemaakt, kunnen de volgorde veranderen. Web-, Application Control-, IPS-, Heartbeat- en andere Security Policies zijn niet standaard verplicht voor VPN-verkeer in SFOS. Kies ze op basis van de vereiste bescherming en test ze met de gebruikte applicaties.

Full Tunnel naar internet

Als Use as default gateway is ingeschakeld, is daarnaast een firewallregel voor verkeer van VPN naar WAN nodig:

Gebruik ook in deze regel de clientpool als Source network en stel de passende services, logging en gewenste Web-, Application Control- of IPS-policies in. Daarnaast moet een geschikte SNAT-/masqueradingregel van toepassing zijn op de clientpool; een bestaande NAT-regel kan dit al afhandelen. U kunt een gekoppelde NAT-regel gebruiken, maar dat is niet verplicht. Ook NAT-regels worden in volgorde verwerkt, waardoor een eerdere regel met een bredere overeenkomst voorrang krijgt. Een Full Tunnel zonder correct afgestemde NAT- en Security Policies resulteert daarom vaak in een groene tunnel zonder internettoegang, of juist in onbedoeld ongefilterd verkeer.

Local Service ACL

Firewallregels regelen doorgestuurd verkeer, niet de lokale services van de firewall. Stel onder Administration > Device access het volgende in:

• sta IPsec toe vanuit de gebruikte WAN-zone;
• sta VPN portal alleen toe vanuit zones waar downloaden of provisioning nodig is; Sophos adviseert toegang vanaf WAN alleen tijdelijk in te schakelen;
• sta DNS vanuit VPN alleen toe als de firewall zelf als DNS-resolver wordt benaderd;
• sta Ping/Ping6 vanuit VPN alleen toe als de firewall zelf als testdoel moet dienen.

Als toegang voor een volledige zone te ruim is, kunt u die met een Local service ACL exception rule beperken tot bepaalde bronhosts of -netwerken. Zie Device Access en Local Service ACL voor meer informatie.

Profiel exporteren of via provisioning aanbieden

Export connection maakt een archief met .scx en .tgb. Voor Sophos Connect is .scx de standaard; dit bestand bevat zowel General Settings als Advanced Settings. .tgb is bedoeld voor compatibele clients van derden en bevat alleen General Settings. Na wijzigingen in General of Advanced Settings moet u de configuratie opnieuw uitrollen. Gaat het uitsluitend om Advanced Settings, dan hoeft alleen .scx opnieuw te worden verspreid.

Met een .pro-bestand kan Sophos Connect 2.1 of hoger onder Windows de IPsec- en toegestane SSL VPN-configuraties ophalen bij het VPN Portal en latere wijzigingen automatisch overnemen. De exacte JSON-structuur, meerdere portaalgateways, MFA-velden en uitrol via GPO worden beschreven in Sophos Connect-provisioning met .pro en GPO.

Neem bij Microsoft Entra ID SSO met Sophos Connect voor macOS vanaf 2.1 ook de aanmelding in de door de client geopende browser en de terugkeer naar de client mee in de acceptatietest. De macOS-aanmeldprocedure met browserkeuze en fallback beschrijft de stappen; controleer daarna de tunnelstatus, het VPN-IP-adres, DNS en de toegang, zonder Conditional Access, MFA of certificaatcontroles te verzwakken. Als hiervoor een aangepaste .pro nodig is, gebruik dan de letterlijke veldsyntaxis en de toegestane waarden van sso_auth_browser_type onder Sophos Connect Provisioning.

Belangrijk bij troubleshooting: gateway in .pro is het FQDN- of IPv4-adres van de firewall waarop de client het VPN Portal bereikt en configuraties ophaalt. Dit is niet automatisch de gateway van de IPsec-tunnel. De tunnel eindigt op de Interface die onder Remote access VPN > IPsec is geselecteerd en in het opgehaalde .scx-bestand is vastgelegd. Meerdere gateways in .pro bieden dus meerdere routes voor provisioning, maar geen Multi-WAN voor deze ene IPsec Remote Access-configuratie.

Als gateway of de VPN Portal-poort verandert, moet .pro worden aangepast en opnieuw worden verspreid. Als beide gelijk blijven, kan het geconfigureerde provisioningpad de VPN-configuratie en latere wijzigingen opnieuw ophalen. Bij een handmatig geïmporteerde .scx moet daarentegen na wijzigingen in General of Advanced Settings de actuele verbinding opnieuw via Export connection worden geëxporteerd, via een beveiligd kanaal worden verspreid en opnieuw in de client worden geïmporteerd. Update policy is geen vervanging voor deze handmatige verspreiding en herimport; het gedocumenteerde gebruik betreft het via provisioning ingestelde pad, met name een gewijzigde SSL-VPN-poort of een gewijzigd protocol.

Een update van de clientsoftware werkt de firewallpolicy of een verouderd profiel niet automatisch bij; bestaande profielen blijven na alleen een versie-update van Sophos Connect in principe bruikbaar. Bewaar het bekende werkende profiel en de bijbehorende firewallwaarden veilig voor een gecontroleerde rollback. Controleer vóór brede verspreiding met een gewone pilotgebruiker de profielversie en tunnelgateway, authenticatie/MFA, routes, DNS en de toegestane en geblokkeerde doelen. Herstel bij een mislukte acceptatie de bij elkaar horende oude firewallwaarden en het bekende werkende profiel en herhaal dezelfde controles.

Als provisioning oude waarden of helemaal geen configuratie laadt, controleert u achtereenvolgens de bereikbaarheid en het certificaat van het VPN Portal, de poort van het portal, gateway, de gebruikersaanmelding en MFA. Voor SSO-provisioning moeten VPN portal authentication methods, VPN (IPsec/dial-in/L2TP/PPTP) authentication methods en SSL VPN authentication methods onder Authentication > Services dezelfde geconfigureerde IdP-server gebruiken: Entra ID op SFOS 22, of een ondersteunde OIDC-IdP op SFOS 23 binnen het hierboven omschreven Windows-bereik. gateway moet overeenkomen met het FQDN- of IPv4-adres van de firewall in het gedeelte Redirect URI van die onder Authentication > Servers geconfigureerde server. Het gaat alleen om de host, niet om de volledige callback-URI met schema, poort en pad; voer de VPN Portal-poort afzonderlijk in bij vpn_portal_port. Providerspecifieke beperkingen blijven gelden: gebruik voor Google Workspace het geldige FQDN dat de detailhandleiding vereist, geen IP-adres. Vergelijk vóór verspreiding de servertoewijzingen, host en portaalpoort. Volg bij SSO-fouten de procedure voor de juiste firmware en provider in het hierboven gelinkte Entra- of Google-artikel; pas Entra-diagnoses niet zonder meer toe op andere OIDC-providers.

Profielen bevatten beveiligingsgevoelige gegevens en moeten via een beveiligd distributiekanaal worden verspreid. Geef oude en nieuwe versies eenduidige namen en voorkom dat de helpdesk of gebruikers per ongeluk naar een oude versie teruggaan.

Het uitrollen van een nieuwe firewallpolicy staat los van het bijwerken van de clientsoftware. Versiekeuze, vrijgave aan pilotgroepen en een terugvalplan worden behandeld in Sophos Connect veilig bijwerken.

Leg in de operationele documentatie de verantwoordelijke VPN-groep en het proces voor het intrekken van toegang bij uitdiensttreding vast, evenals het resetten van MFA en het blokkeren en deblokkeren van gebruikers. Documenteer ook de profielversie, wijzigingsdatum en verantwoordelijke, de vereisten voor permanente logging, inclusief Sophos Fusion (voorheen Sophos Central) of Syslog, en een nieuwe controle van de profielen vóór SFOS-upgrades.

Acceptatietest met een echte externe client

Test het geïmporteerde profiel met een gewone doelgebruiker vanaf een extern netwerk:

1. Aanmelding en MFA werken en de client ontvangt het verwachte adres uit de pool of van RADIUS.
2. Onder Current activities > IPsec connections wordt de sessie weergegeven. U kunt de lijst onder meer filteren op Connection name, Username, Local subnet en Remote host/subnet. Met Refresh vernieuwt u de weergave; met Disconnect beëindigt u gericht één verbinding.
3. Interne FQDN’s en, indien ingesteld, korte namen via het DNS-suffix worden correct opgelost.
4. Toegestane doelen zijn bereikbaar en niet-toegestane doelen blijven geblokkeerd.
5. De Log Viewer toont treffers op de bedoelde firewallregel.
6. Bij Split Tunnel blijft overig internetverkeer lokaal. Bij Full Tunnel loopt dit verkeer via de firewall, wordt de bedoelde SNAT-/masqueradingregel toegepast en gelden de ingestelde Security Policies.
7. Opnieuw verbinden werkt na een idle-time-out, een netwerkwissel en een herstart van het eindapparaat.
8. In de Sophos Connect-client toont Events het tijdsverloop van de import, aanmelding en tunnelopbouw. Maak bij een reproduceerbare fout een Support report in de client en bewaar dit samen met het tijdstip, de gebruiker, de clientversie en de profielversie voordat u profielen of certificaten wijzigt.

Voor regelanalyse kunt u Een firewallregel testen met Log Viewer, Policy Test en Packet Capture gebruiken. Ga voor diepgaandere tunnelanalyse verder met Sophos Firewall IPsec VPN Troubleshooting.

Gericht problemen oplossen

Aanmelding mislukt

Controleer eerst Authentication > Services, de status van het wachtwoord en MFA, eventuele blokkades en de authenticatieserver onafhankelijk van de VPN-verbinding. Vergelijk daarna de Main group, Allowed users and groups en de groepsschakelaar IPsec remote access. Sophos Connect ondersteunt alleen ASCII-tekens in gebruikersnamen; diakritische tekens en andere UTF-8- of UTF-16-tekens kunnen de aanmelding verhinderen.

Baseer de diagnose niet op één IKE-tekstmelding waarvan de betekenis niet eenduidig is gedocumenteerd, maar deel het proces op: bereikt de poging de gebruikersauthenticatie, komen Interface, IPsec-profiel, certificaat of PSK en Local/Remote ID overeen, en is de gebruiker daadwerkelijk via de Main group toegestaan? De events op de client en gelijktijdige firewalllogs vormen hiervoor een betrouwbaarder spoor.

Failed to validate certificate na een herstart

Als de eerste verbinding lukt maar na een herstart Failed to validate certificate verschijnt, zijn Local Certificate en Remote Certificate vaak niet door dezelfde CA ondertekend. Controleer de Certificate ID’s en de vertrouwensketen. Gebruik lokaal gegenereerde certificaten of certificaten van dezelfde externe CA en upload de bijbehorende Signing CA, of schakel bewust over op PSK. Exporteer en importeer .scx daarna opnieuw en voer na een herstart nogmaals een test uit.

Tunnel is verbonden, maar er is geen verkeer

Controleer eerst het leaseadres en de routes op de client. Controleer daarna Permitted network resources, de regelpositie, Source/Destination networks, Services, de retourroute en DNS. Controleer bij Full Tunnel bovendien de regel van VPN naar WAN en welke SNAT-/masqueradingregel daadwerkelijk wordt toegepast. Device access speelt alleen een rol als de firewall zelf het doel is, bijvoorbeeld voor DNS of ping.

Verbinding wordt ongeveer elke vier uur verbroken

Bij IKEv1-rekeying kan een nieuwe OTP-aanvraag de tunnel verbreken. Voor het standaard-IPsec-profiel noemt Sophos een rekey-interval van ongeveer vier uur; met een aangepast profiel is maximaal 24 uur mogelijk. IPsec Remote Access-time-out na vier uur oplossen behandelt de beveiligingsafweging en de uitvoering.

Grote overdrachten lopen vast of alleen bepaalde externe netwerken werken niet

Als aanmelden, DNS en kleine gegevensoverdrachten werken, maar grotere overdrachten vastlopen, controleer dan MTU en MSS. Als IPsec alleen in hotels, gastwifi’s of streng gefilterde bedrijfsnetwerken niet werkt, blokkeert het externe netwerk mogelijk UDP 500/4500 of ESP. Voor deze gebruikers kan SSL VPN of een ander Remote Access-ontwerp robuuster zijn.

Remote Access IPsec na een HA-failover

De in de release notes van SFOS 22 beschreven fout NC-175860 treft Remote Access IPsec na een HA-failover als het Appliance Certificate eerder opnieuw is gegenereerd. Het probleem is opgelost in SFOS 22.0 MR2 Build 546 van 14 juli 2026. Sophos vermeldt hiervoor geen specifieke logmelding en geen officiële workaround.

Leg vóór een ingreep de firmware en build, de HA-modus, de rollen en Last status change van beide apparaten, het tijdstip van de failover, Authentication Type, Local Certificate en Remote Certificate met hun Certificate IDs en de profielversie vast. Genereer het Appliance Certificate niet bij wijze van proef opnieuw. Controleer bij een oudere getroffen versie het ondersteunde upgradepad naar MR2 Build 546 of hoger. Test daarna binnen een onderhoudsvenster een gecontroleerde failover en bouw de verbinding opnieuw op vanaf een extern netwerk. De topologie wordt toegelicht in Sophos Firewall HA-clustervarianten; het upgradeproces staat in SFOS-firmware-update.

Aanvullende controles voor uitrol en migratie

Certificaten, ID’s en Advanced settings

Ontbreekt het vereiste RSA-certificaat, kies dan Generate locally-signed certificate onder Certificates > Certificates > Add, of upload een bestaand certificaat met Upload certificate. Vul de certificaatgegevens en Subject Name in; voeg onder Subject Alternative Names de bedoelde DNS-naam of het IP-adres toe met +. Controleer daarna de Certificate IDs en de gezamenlijke vertrouwensketen zoals hierboven beschreven. Remote ID mag niet identiek zijn aan Local ID. Sla General en Advanced settings op met Apply voordat je Export connection gebruikt.

Volgens Sophos worden opgeslagen aanmeldgegevens beschermd met de sleutelhangerservices van het endpoint; dit vervangt noch endpointbeveiliging noch toestemming binnen jullie beveiligingsbeleid. Prompt users for 2FA token vereist daadwerkelijk geconfigureerde MFA voor Remote Access IPsec onder Authentication > Multi-factor authentication of bij de OTP-provider. Is het afzonderlijke veld uitgeschakeld, voeg de OTP dan direct achter het wachtwoord toe: passwordotp. Hebben verschillende gebruikers verschillende Split/Full Tunnel-modi nodig, gebruik dan afzonderlijke SSL VPN Remote Access-policies in plaats van tegenstrijdige IPsec-profielen uit te delen.

De client uitrollen en aanmeldopties herstellen

Beheerders downloaden de client onder Remote access VPN > IPsec of SSL VPN > Download client. Gebruikers vinden Download for Windows en Download for macOS onder VPN portal > VPN > Sophos Connect client. Werk de door de firewall aangeboden clientversie bij onder Backup & Firmware > Pattern updates; werk geïnstalleerde endpoints afzonderlijk bij volgens het gekoppelde update-runbook. Logs op de IPsec-pagina opent de logboeken; IPsec profiles leidt naar de IKE-parameters.

Provisioning met .pro is ook gedocumenteerd op macOS met Sophos Connect 2.1 of hoger; SSL VPN met een rechtstreeks geïmporteerde .ovpn is beschikbaar vanaf macOS-client 2.0. GPO-distributie blijft een Windows-procedure. Bij migratie van een externe client kunnen bestaande configuraties importeerbaar zijn; gebruik voor IPsec bij voorkeur een vers geëxporteerde .scx of een actuele .pro, zodat Advanced settings worden meegenomen. Volg de macOS-procedure.

Leidt Remember username and password tot automatisch aanmelden met een wachtwoord en verdwijnt de SSO-keuze, selecteer dan Edit connection > Clear credentials in de client. Bij de volgende aanmelding verschijnen de opties weer; dit verandert geen firewallautorisatie.

SSO en vertraagde verbreking onderzoeken

Een grijze SSO-keuze in Windows-client 2.4+ of macOS-client 2.1+ kan ontstaan doordat sso_api_port en sso_api_domain ontbreken in .scx of .ovpn. Wijs voor Entra ID eerst de server toe onder Authentication > Services, exporteer of download daarna een nieuwe configuratie en gebruik de juiste importprocedure. Raad de waarden niet en kopieer ze niet uit een andere tenant; pas deze Entra-diagnose niet zonder verificatie toe op Google Workspace.

Mislukt Entra Conditional Access in de ingebouwde browser op macOS 2.1+, voltooi de authenticatie dan in de systeembrowser die Sophos Connect opent en keer terug naar de client. Meldt de client dat het apparaat niet compliant is, voer dan de vereiste complianceacties uit of neem contact op met IT. Een profiel opnieuw importeren lost ontbrekende compliance niet op; omzeil Conditional Access niet.

Na het uitschakelen van de bijbehorende WAN-interface kunnen Remote Access IPsec-sessies pas na de inactiviteits- of DPD-timeout als verbroken verschijnen. Een tunnel die nog wordt weergegeven bewijst dus geen bereikbaarheid. Controleer interfacestatus en logboeken samen met de sessiestatus; gebruik Disconnect om een bepaalde sessie te beëindigen en neem niet aan dat het uitschakelen van de interface gebruikers onmiddellijk afmeldt.

Grenzen voor SSL VPN en mobiele apparaten

Met .pro wordt .scx opgehaald als gedeelde IPsec-configuratie, terwijl .ovpn overeenkomt met de SSL VPN-policies waarvoor de gebruiker toestemming heeft; het downloaden van een profiel verleent geen tunnelautorisatie. SSL-profielen zijn beschikbaar onder VPN portal > VPN > VPN configuration > SSL VPN configuration. Wijzigingen aan SSL VPN-poort, gateway, servercertificaat of protocol kunnen een nieuwe clientaanmelding vereisen; gebruik daarnaast Update policy voor poort-/protocolwijzigingen in de provisioningprocedure. Houd bij controle van een lege .ovpn rekening met de standaard: SSL VPN gebruikt ApplianceCertificate met Default CA.

Een parallelle SSL VPN-uitrol kent andere fouten: vanaf SFOS 20.0 MR1 werkt de vroegere legacy SSL VPN-client niet meer; migreer naar Sophos Connect of een gepland IPsec-ontwerp. Bij migratie van 18.5.x of ouder naar 19.5 of hoger wordt het oude SSL-leasebereik omgezet naar een subnet. Een handmatig beheerd IP-hostobject kan dan niet meer overeenkomen. Gebruik de dynamische systeemhosts ##ALL_SSLVPN_RW en ##ALL_SSLVPN_RW6 in de betreffende regels. Een .ovpn van 0 bytes vereist controle van certificaat en Signing CA; vernieuw pas na bevestiging van de oorzaak het betreffende certificaat onder wijzigingsbeheer en download/importeer .ovpn opnieuw. Importeer bij Login failed. Wrong fingerprint of certificate. na wijziging van aanmeldmethode of domein een afzonderlijke .pro of .ovpn in plaats van certificaatvalidatie uit te schakelen. Details staan in het SSL VPN-runbook.

iOS kan het IPsec-profiel downloaden onder VPN portal > VPN > VPN configuration > IPsec VPN profile. Dit is geen Sophos Connect-desktopprofiel voor mobiele apparaten. De clientmatrix van de fabrikant bevat een tegenstrijdige OpenVPN-toewijzing in de IPsec-rij; daaruit volgt geen veilige IPsec-procedure met OpenVPN Connect. Gebruik voor mobiele SSL VPN .ovpn met OpenVPN Connect; verifieer voor mobiele IPsec vóór uitrol de uitdrukkelijk compatibele client en het profieltype.

FAQ