Installeer Sophos Connect Client op Windows

Sophos Connect is de centrale Sophos-client voor veel scenario’s voor externe toegang met Sophos Firewall. Op Windows kan de client IPsec- en SSL VPN-verbindingen gebruiken, afhankelijk van de firewallconfiguratie. Het is belangrijk dat de clientversie, het Windows-platform, het configuratiebestand en de firewall-instellingen overeenkomen.

Deze instructies beschrijven de installatie op Windows en de belangrijkste controles na het importeren van de verbinding. Bij de keuze tussen IPsec, SSL VPN, mobiele clients en ZTNA is de eerste vergelijking Sophos Connect of SSL VPN: welke oplossing voor externe toegang is de juiste?.

Welk artikel past?

Sophos Connect op Windows is slechts een onderdeel van de externe toegang. Afhankelijk van de taak is een andere aanpak geschikt:

• Installeer Sophos Connect op Windows: Dit artikel.
• Stel SSL VPN in op Windows met .ovpn: Stel Sophos SSL VPN in met Sophos Connect op Windows.
• Configureer Sophos Connect aan de firewallzijde: Sophos Connect configureren met Sophos Firewall.
• Microsoft Entra ID SSO instellen voor Sophos Connect: Stel Microsoft Entra ID SSO in voor Sophos Connect en VPN Portal.
• Klantversies, updates en profielen onderhouden: Beheer en update van Sophos Connect Client-versie beschikbaar.
• VPN is verbonden, maar het verkeer werkt niet: Test firewallregels met Log Viewer, Policy Test en Packet Capture. Deze scheiding voorkomt dat typische problemen op de verkeerde plaats worden opgelost. Een geïnstalleerde client bewijst nog niet dat de VPN-portal, authenticatie, profiel, firewallregels, DNS en retourpad correct zijn.

Vereisten

• Sophos firewall met configuratie voor externe toegang ingesteld
• Sophos Connect Client in een versie die aansluit bij de firewall en het platform
• Windows 10 of Windows 11, met huidige Sophos Connect-versies als 64-bit of Windows ARM
• Configuratiebestand voor IPsec (.scx of .tgb) of SSL VPN (.ovpn of inrichtingsbestand)
• Gebruikersaccount met VPN-toestemming en, indien ingeschakeld, werkende MFA
• Firewallregels voor verkeer uit de gebruikte zone VPN of de gebruikte RAS-zone

Als Sophos Connect gebruikt moet worden met Microsoft Entra ID SSO, is Sophos Connect 2.4 of nieuwer vereist op Windows en een geschikte SSO-configuratie op de firewall. Het proces bevindt zich in Stel Microsoft Entra ID SSO in voor Sophos Connect en VPN Portal.

Sophos Connect wordt ondersteund voor Windows ARM vanaf versie 2.5. Als er nog oude softwarepakketten intern worden gedistribueerd, controleer dan vóór de uitrol welke versie daadwerkelijk is geïnstalleerd. Controleer en update de Sophos Connect Client-versie veilig is geschikt voor uitrol, pilotgroep en updatecontrole.

Ook de platformlimiet is belangrijk: de huidige Sophos Connect-versies moeten worden gepland voor nieuwe uitrol met Windows 10 of Windows 11. Oude 32-bits installaties mogen niet als de nieuwe standaard worden voortgezet alleen omdat ze voorheen mogelijk waren met oudere clientversies.

1. Download Sophos Connect-client

De Sophos Connect Client kan worden gedownload via de Sophos Firewall VPN-portal of rechtstreeks vanaf de Sophos-website.

In beheerde omgevingen mag de client niet willekeurig door individuele gebruikers worden geïnstalleerd. Een helder pakket met een gedefinieerde versie, uitrolgroep en uitwijkplan is zinvol. Dit is vooral belangrijk bij het gebruik van Windows ARM, SSL VPN via Sophos Connect of het inrichten van bestanden.

Sophos Connect moet regelmatig worden bijgewerkt. Nieuwe versies bevatten niet alleen functionele wijzigingen, maar ook bijgewerkte componenten zoals OpenVPN, strongSwan of OpenSSL.

Voor grotere omgevingen moet de installatiebron duidelijk zijn. Als er tegelijkertijd oude MSI-bestanden, een VPN-portaldownload en een softwaredistributie bestaan, zal de helpdesk anders snel verschillende clientversies installeren.

2. Installeer Sophos Connect Client

De installatie begint met het bestand SophosConnect.msi. Na voltooiing van de wizard kan het venster worden gesloten met Finish.Na de installatie moet de versie rechtstreeks in de client of via de software-inventaris worden gecontroleerd. Dit is vooral belangrijk voor Windows ARM, Entra SSO, inrichtingsbestanden en terugkerende servicefouten, omdat kleine versieverschillen het foutpatroon kunnen veranderen.

3. Download verbindingsbestand

Wanneer u Sophos Connect voor het eerst start, is verbindingsconfiguratie vereist. Afhankelijk van het ontwerp voor externe toegang is dit een IPsec-, SSL VPN- of provisioningbestand.

Typische verbindingsbestanden:

• IPsec-toegang op afstand: .scx of .tgb; Exporteren naar VPN > Sophos Connect Client.
• SSL-VPN: .ovpn; VPN-portaal of administratieve export.
• Automatisch importeren via provisioning: .pro; centraal voorbereid inrichtingsbestand. Bij een klassieke IPsec-configuratie wordt het bestand geëxporteerd in WebAdmin:

1. Open op de Sophos Firewall VPN > Sophos Connect Client.
2. Exportverbinding.
3. Bewaar het bestand veilig en verspreid het alleen onder geautoriseerde gebruikers.

Bij SSL VPN wordt de configuratie doorgaans verzorgd vanuit het VPN-portaal of vanuit de configuratie voor externe toegang. De exacte bron hangt af van hoe Remote Access op de firewall is ingesteld. De gedetailleerde procedure voor .ovpn-import, VPN-portal en SSL VPN-tests is beschikbaar in Stel Sophos SSL VPN in met Sophos Connect on Windows.

Profielen moeten op een gecontroleerde manier worden verspreid. Als de gateway, het certificaat, DNS, gebruikersgroep, IP-pool, SSO of authenticatie zijn gewijzigd, mag er niet meer worden vertrouwd op oude bestanden in downloadmappen. De getroffen verbindingen moeten opnieuw worden geëxporteerd, opnieuw geïmporteerd of op de juiste manier worden bijgewerkt via provisioning.

Voor inrichtingsbestanden moeten de gateway, de VPN-portaalpoort, de certificaten, de SSO-referentie en de gebruikersgroep bijzonder zorgvuldig worden gecontroleerd. Een inrichtingsbestand maakt de distributie eenvoudiger, maar vervangt de technische goedkeuring van de verbinding niet.

4. Stel Sophos Connect Client in

De installatie is in slechts enkele stappen voltooid:

1. Open Sophos Connect.
2. Selecteer Import Connection.
3. Importeer het juiste verbindingsbestand.
4. Controleer de verbinding onder Verbindingen.
5. Klik op Connect.
6. Log in met de VPN-gebruiker en bevestig MFA indien ingeschakeld.

Als het inloggen succesvol is, moet Sophos Connect de verbinding als verbonden weergeven. Dan moet u niet alleen de groene status controleren, maar ook DNS, interne doelen en firewallregels testen. Als de verbinding tot stand is gebracht maar er geen verkeer stroomt, kan Test firewallregels met Log Viewer, Policy Test en Packet Capture helpen.

Bij Entra ID SSO moet u ook controleren of de SSO-stroom echt via de verwachte Microsoft Entra ID-server loopt en of voorwaardelijke toegang of MFA werkt zoals gepland. Een succesvolle lokale login bewijst niet automatisch dat SSO, groepstoewijzing en VPN-toestemming correct zijn.

Controleer na installatie

Na installatie moeten deze punten worden gecontroleerd:

• De Sophos Connect-versie past bij het platform, vooral met Windows ARM.
• Geïmporteerd bestand komt overeen met het gewenste protocol: IPsec of SSL VPN.
• Gebruiker is geautoriseerd in de juiste VPN-groep.
• MFA werkt en blokkeert het tot stand brengen van de verbinding niet.
• Klant ontvangt een geschikt VPN IP.
• Interne DNS-namen zijn opgelost.
• Firewallregels voor de zone VPN staan ​​alleen de vereiste doelen toe.
• Oude profielen werden niet per ongeluk hergebruikt.

Als er nog oude IPsec-configuraties voor externe toegang bestaan ​​vóór een SFOS 22 MR1-upgrade, moet eerst Migreer of IPsec voor externe toegang tot SFOS 22 MR1 worden gecontroleerd.

Acceptatietest voor Windows

Een groene klantstatus is niet voldoende als acceptatie. Voor een robuuste uitrol moet een testgebruiker deze punten controleren:

1. Controleer clientversie: Versie past op Windows 10/11, Windows ARM en interne release.
2. Profiel importeren: .scx, .tgb, .ovpn of .pro worden correct herkend.
3. SSO testen: Entra SSO start alleen daar waar het gepland is.
4. MFA testen: OTP, RADIUS-MFA of Entra-MFA gedraagt ​​zich zoals gedocumenteerd.
5. DNS testen: interne FQDN’s worden correct omgezet.
6. Toegang testen: Toegestane doelen werken, ongeautoriseerde doelen blijven geblokkeerd.
7. Controleer Logviewer: Verkeer uit de VPN-zone stuit op de verwachte firewallregel.
8. Test opnieuw verbinden: Netwerkwijzigingen, stand-by en herverbindingen zijn traceerbaar.

Voor gemengde omgevingen moet ten minste één klassiek Windows 10/11-apparaat en één Windows ARM-apparaat worden getest als ARM in de productie wordt gebruikt. Als er ook macOS-clients worden gebruikt, moet het gedrag afzonderlijk worden gedocumenteerd.

Uitrolopmerkingen voor beheerde Windows-clients

Als er weinig gebruikers zijn, kan een handmatige installatie voldoende zijn. In grotere omgevingen moet Sophos Connect worden beheerd via normale softwaredistributie of eindpuntbeheer.

Verduidelijk vóór een brede uitrol:

• Welke Sophos Connect-versie is uitgebracht?
• Welke Windows-versies en CPU-architecturen worden er gebruikt?
• Wordt er gebruik gemaakt van IPsec, SSL VPN, Entra SSO of provisioning?
• Zijn er gebruikers met OTP, RADIUS-MFA of Entra-MFA?
• Hoe worden nieuwe profielen verspreid?
• Hoe oude profielen verwijderen of als verouderd markeren?
• Wie controleert DNS, firewallregels en herverbindingsgedrag na clientupdates?
• Welke logs en screenshots heeft de helpdesk nodig bij supportgevallen?

Voor gedeelde Windows-apparaten moet bijzondere aandacht worden besteed aan de vraag of Sophos Connect betrouwbaar opstart voor alle betrokken gebruikers. Sophos Connect 2.5 MR1 bevat een oplossing voor het geval waarbij de client voor extra Windows-gebruikers niet automatisch startte wanneer deze door een andere gebruiker werd geïnstalleerd.

Problemen oplossen

Sophos Connect start niet of vertoont servicefouten

Controleer eerst of de Sophos Connect-service actief is en of er een actuele clientversie is geïnstalleerd. Voor oudere installatiepakketten is het meestal de moeite waard om een ​​schone herinstallatie uit te voeren met de uitgebrachte versie. Als meerdere Windows-gebruikers hetzelfde apparaat gebruiken, moet u ook controleren of de client automatisch correct opstart in de gebruikerscontext.

Verbinding is geïmporteerd maar niet tot stand gebracht

Dan is er meestal sprake van gebruikerstoestemming, MFA, certificaat, vooraf gedeelde sleutel, firewallversie of een onjuist bestandstype. IPsec- en SSL VPN-profielen mogen niet gemengd worden. Controleer voor inrichtingsbestanden ook de gateway, VPN-portalpoort, certificaat, SSO-configuratie en toegankelijke Microsoft-eindpunten als Entra SSO erbij betrokken is.

SSO-status is onduidelijk na internetonderbreking

In Entra SSO-omgevingen kan een internetstoring resulteren in irritante statusweergaven. Sophos Connect 2.5 MR1 bevat een oplossing voor SSO-gebruikers. Niettemin moet u ook controleren of de tunnel werkelijk is verbroken, of de client opnieuw verbinding maakt en of de firewall onder Authenticatie > Services de verwachte Microsoft Entra ID-server gebruikt.

OTP wordt anders opgevraagd bij opnieuw verbinden

Als klassieke OTP- of MFA-gebruikers IPsec en SSL VPN parallel gebruiken, moet het gedrag voor opnieuw verbinden worden getest. Sophos Connect 2.5 MR1 repareert een verschil in inlogverificatie tussen IPsec en SSL VPN voor Credential-gebruikers met OTP.

De verbinding is tot stand gebracht, maar interne systemen zijn niet bereikbaar

In dit geval ligt de oorzaak vaak niet bij de client, maar bij firewallregels, routing, DNS of NAT. In de logviewer moet zichtbaar zijn of het verkeer uit de zone VPN aan de verwachte regel voldoet. Voor speciale IPsec-gevallen helpt Sophos Firewall IPsec VPN-probleemoplossing.

Verbinding werkt niet meer na profielwijziging

Na wijzigingen aan de gateway, het certificaat, de VPN-portalpoort, DNS, IP-pool, gebruikersgroep, Entra SSO of authenticatie moet het profiel opnieuw worden gedistribueerd of opnieuw worden geïmporteerd. Een clientupdate vervangt niet automatisch een oud profiel.### De verbinding is tot stand gebracht, maar grote overdrachten blijven hangen

Als inloggen, DNS en kleine toegangen werken, maar grotere bestandsoverdrachten of bepaalde applicaties vastlopen, moet ook MTU/MSS worden gecontroleerd. Het foutpatroon komt vaak overeen met fragmentatie, PPPoE, getunnelde verbindingen of een asymmetrisch pad. Het proces bevindt zich in Controleer Sophos Firewall MTU en MSS op VPN-problemen.

Verzamel ondersteuningsgegevens

Als de fout niet onmiddellijk zichtbaar is, moet u de tijd, gebruiker, Windows-versie, CPU-architectuur, Sophos Connect-versie, profieltype, bronnetwerk en doelsysteem documenteren. Log Viewer, sslvpn.log, IPsec-logboeken, pakketopname en de betreffende firewallregel helpen op de firewall. De toewijzing van de logbestanden vindt u in Sophos Firewall-probleemoplossing: services en logboeken.

Veelgestelde vragen