Problemen met de Sophos Connect-client oplossen

Als Sophos Connect geen verbinding maakt, begint de diagnose op het eindpunt: noteer de fouttijd, lees het bericht over deze poging onder Gebeurtenissen en controleer alleen het getroffen pad. Wijzigingen in firewallregels, VPN-beleid of certificaten op basis van vermoedens maken analyse moeilijker. Dit runbook behandelt de client op Windows en macOS; In de instructies voor Windows en macOS wordt de installatie uitgelegd.

Beperk je snel

1. Beginsituatie vastleggen: Tijd met tijdzone, gebruiker, besturingssysteem, Sophos Connect-versie, IPsec of SSL VPN en profielbron (.scx, .ovpn of .pro).
2. Controleer lokaal netwerk: De fysieke adapter heeft een geldig IP-adres nodig. Een openbare naam moet oplosbaar zijn zonder een VPN.
3. Gebeurtenis lezen: Onder Gebeurtenissen vergelijkt u de invoer met de verbindingspoging. Bewaar bewoordingen en plaatsaanduidingswaarden ongewijzigd.
4. Maak onderscheid tussen client en externe zijde: Als de interface of service niet start, gaat de analyse verder op het endpoint. Bereikt de client de gateway maar mislukt de poging bij beleid, authenticatie of IKE, laat de firewallbeheerder de poging dan correleren.
5. Controleer resultaat: Maak opnieuw verbinding na precies één actie en noteer een nieuwe tijdstempel.
6. Escaleren: herhaalbare fouten doorgeven met gebeurtenis, VPN-logboek en scvpntsr.zip; schrijf geen toegangsgegevens in het ticket.

Een status Connected bewijst alleen dat de tunnel is aangelegd. DNS, routing en toegang tot een toegestane interne bestemming zijn afzonderlijke tests.

Lees gebeurtenissen correct

Het bericht onder Events is het beste eerste filter. Het beschrijft echter niet in alle gevallen de uiteindelijke oorzaak. DNS resolution failed kan bijvoorbeeld alleen bevestigen dat de client de gatewaynaam niet kon omzetten; Waarom de gebruikte oplosser niet reageert, moet afzonderlijk worden opgehelderd.

Netwerk, DNS en provisioning

• No network connection: Ethernet of WiFi hebben geen IP-adres. Herstel eerst de lokale connectiviteit zonder VPN.
• DNS resolution failed: De gatewaynaam kan niet worden omgezet. Controleer of er een DNS-server is toegewezen aan de fysieke interface en voer nslookup www.sophos.com uit in Opdrachtprompt op Windows of in Terminal op macOS. Er wordt minimaal één IP-adres verwacht. Als deze publieke test mislukt, ligt de volgende stap bij het lokale netwerk of de provider, en niet bij het VPN-beleid.
• DNS resolution failed for gateway: <gateway name:port>: Hostnaam in inrichting is ongeldig; voor geïmporteerde .ovpn moet de firewallbeheerder de SSL VPN-instellingen controleren.
• Cannot connect to policy gateway: <gateway name>: Voor provisioning op Windows en macOS vanaf Sophos Connect 2.1. Vergelijk gateway en user_portal_port met de gateway en HTTPS-poort van VPN Portal. Controleer ook op een geblokkeerde uitgaande poort of een niet-beschikbare policygateway.
• Import file contains a duplicate connection: <connection name>: Voor provisioning op Windows en macOS vanaf Sophos Connect 2.1. Geef elke dubbele display_name-waarde in het .pro-bestand een unieke naam.
• The connection data could not be added. Connection with name <connection name> already exists: Controleer de reeds geïmporteerde verbinding en verwijder deze alleen als de huidige profielbron beschikbaar is voor opnieuw importeren.

Registratie en profielstatus

• User authentication of <username entered> failed: Herhaal de invoer één keer zorgvuldig. Als de fout zich herhaalt, moet de firewallbeheerder de wachtwoordstatus, gebruikers- en VPN-autorisatie controleren. Meerdere gissingen kunnen vergrendelingsmechanismen activeren.

• Server expected remote ID <expected ID value> but got <actual ID value>: Lokale ID op firewall en clientprofiel komen niet overeen. Haal het huidige profiel op van de firewallbeheerder.

• Possible pre-shared key mismatch <connection name>: Alleen IPsec. Vooraf gedeelde sleutel en geëxporteerd profiel zijn niet hetzelfde; draag de sleutel niet over in het ticket of de chat.

• No SSL VPN policy is defined for this user: <username>: Het SSL VPN-beleid voor externe toegang bevat geen overeenkomende leden. Dit is een autorisatietaak aan de firewallzijde.

• The Single sign-on (SSO) option is grayed out: Windows vanaf Sophos Connect 2.4; macOS vanaf 2.1. De actuele foutdocumentatie noemt voor beide platforms ontbrekende waarden voor sso_api_port en sso_api_domain in het .ovpn- of .scx-profiel. Laat de firewallbeheerder een bijgewerkte configuratie aanleveren, importeer deze en maak opnieuw verbinding; dit is geen instructie om de profielen handmatig te bewerken. De macOS-client 2.0 krijgt hierdoor geen SSO-ondersteuning.

• SSO Authentication failed due to Webview2 setup error: Repareer of update WebView2 en de Windows-updatestatus; de client kan de Microsoft-inlogpagina niet openen.

• Entra SSO mislukt in de browser of keert niet terug naar de client (macOS, Sophos Connect 2.1 of hoger): Raadpleeg de macOS-SSO-browserprocedure voor browserkeuze, fallback en terugkeer naar Sophos Connect. Vraag de IT-afdeling bij een benodigde andere browsermodus om een goedgekeurd .pro-bestand volgens het provisioningschema voor sso_auth_browser_type. Voldoe aan de compliancevereisten of neem contact op met de IT-afdeling; verzwak Conditional Access, MFA of certificaatvalidatie niet.

IPsec-gebeurtenissen

• UDP ports 500/4500 blocked: Lokale firewall of router blokkeert IKE/NAT-T. Als u de router niet beheert, neem dan contact op met een mobiele hotspot. Als daar dezelfde client werkt, is dat een sterke indicatie van het oorspronkelijke netwerkpad.
• No response from gateway: <gateway FQDN or IP specified in connection>: De IPsec-gateway reageert niet op IKE. De firewallbeheerder moet de toegankelijkheid en de openbare WAN-verbinding controleren.
• Received NO_PROPOSAL_CHOSEN notification from gateway: Sophos Connect-beleid is niet actief of fase 1-voorstel en geëxporteerd profiel komen niet overeen. Laat voorstellen niet blindelings los; Vergelijk beleid en profielen op een gecontroleerde manier.
• SA disabled or deleted by gateway: De gateway heeft de SA verwijderd, bijvoorbeeld na een beleidswijziging of handmatige ontkoppeling. Maak één keer opnieuw verbinding; correleren met de tijdstempel van de firewall wanneer herhaald.
• Failure to add route [network/mask] prevented phase 2 completion: Alleen Windows. Nadat Phase 2 SA was opgezet, kon de route niet worden ingesteld. Deactiveer en reactiveer de TAP-adapter. Als de fout zich blijft voordoen, opent u Opdrachtprompt als beheerder:

net stop scvpn
net start scvpn

De service zal dan naar verwachting weer actief zijn en een nieuwe verbindingspoging zal de route bepalen. Als u stopt, worden bestaande Sophos Connect-tunnels op dit apparaat verbroken.

• Failed to load connection info into strongSwan: Alleen Windows; charon-svc.exe of de strongSwan-service is niet actief. Start in Opdrachtprompt als beheerder:

net start strongswan

Als de service niet start of opnieuw mislukt, ga dan niet verder in een herstartlus, maar maak een back-up van het ondersteuningsrapport en Windows-gebeurtenissen.

SSL VPN-gebeurtenissen

• Policy mismatch error. Will download policy and retry connection.: Een Windows-verbinding die met .pro is gemaakt, downloadt het gewijzigde beleid en maakt automatisch opnieuw verbinding. Bij TCP detecteert de client de wijziging tijdens de verbinding; bij UDP moet mogelijk eerst de inactiviteitstimer aflopen.
• Policy mismatch error. Import a new policy for this connection.: Een handmatig geïmporteerde .ovpn is verouderd. Verkrijg en importeer nieuwe, gebruikersspecifieke .ovpn vanuit het VPN-portaal.
• Compression mismatch error. Will retry connection.: Voor .ovpn: handmatig opnieuw verbinden; een ingerichte verbinding probeert dit automatisch.
• Server certificate cannot be verified: <gateway name>. Do you want to continue? Tijdens provisioning presenteert VPN Portal een certificaat dat het endpoint niet kan verifiëren, meestal het zelfondertekende firewallcertificaat. Ga alleen verder nadat gateway en certificaat via een vertrouwd kanaal zijn bevestigd. De firewallbeheerder moet een publiek vertrouwd certificaat aan Admin console and end-user interaction toewijzen of de Sophos Firewall-CA gecontroleerd naar de truststores van beheerde endpoints distribueren. Schakel certificaatvalidatie niet uit.
• Could not connect to untrusted server: <gateway>: De certificaatwaarschuwing is geannuleerd. Verduidelijk eerst de identiteit en de vertrouwensketen en probeer het dan opnieuw.
• Timed out waiting for server response: Overschrijven van hostnaam, DDNS of openbaar WAN-adres van de SSL VPN-configuratie verwijst niet correct naar de firewall. Gebruik voor .pro Update policy; Voor .ovpn: verkrijg een nieuw bestand nadat de firewallbeheerder het externe station heeft gecorrigeerd.

GUI- en servicefouten oplossen

Interface opent niet en reageert niet

In Windows opent u Taakbeheer > Details, selecteert u scgui.exe, voert u Taak beëindigen uit en start u Sophos Connect opnieuw op via de snelkoppeling op het bureaublad. Op macOS opent u het Sophos Connect-proces in Activity Monitor, selecteert u Forceer stop en start u de toepassing opnieuw op vanuit Launchpad. Hiermee wordt het vastzittende oppervlak beëindigd, niet automatisch de oorzaak. Als de fout zich herhaalt, sla dan de versie en scgui.log op.

Service is unavailable

Op Windows betekent de gebeurtenis dat scvpn niet actief is. Open Opdrachtprompt als beheerder:

net start scvpn

Voor Service Unavailable na een hangende IPsec-verbinding op macOS, sluit u eerst de GUI in Activiteitsmonitor. Laad vervolgens de gedocumenteerde service opnieuw in Terminal met beheerdersrechten:

sudo /bin/launchctl unload -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist
sudo /bin/launchctl load -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist

Open Sophos Connect opnieuw en kijk of het bericht verdwenen is. Deze commando’s onderbreken de tunnel. Als een fout zich opnieuw voordoet, laad de services dan niet herhaaldelijk opnieuw, maar sla logs en rapporten op.

Meer lokale SSL VPN-servicefouten

• Management port is unavailable: Sophos Connect kan TCP-poort 25340 niet bezetten voor communicatie met OpenVPN. Controleer welke andere lokale applicatie de poort gebruikt en beëindig deze alleen als de functie ervan bekend is. Maak vervolgens opnieuw verbinding.
• OpenVPN service is unavailable: Controleer op Windows het opstarttype van de OpenVPN-service. Als dit op Disabled staat, documenteer dan de bestaande waarde, wijzig deze in Manual en start vervolgens de Sophos Connect-service opnieuw. Dit onderbreekt actieve tunnels. Controleer daarna de service en de verbinding; als de poging mislukt, herstel dan het vorige opstarttype en escaleer. Pas deze Windows-service-instelling niet toe op macOS.
• Failed to create temporary file: Apparaat opnieuw opstarten. De client kon het tijdelijke bestand niet maken om verbindingskenmerken door te geven.
• Failed to write to pipe of algemener SSL VPN error: Maak één keer opnieuw verbinding. Als de fout zich blijft voordoen, start u het apparaat opnieuw op; escaleer vervolgens met logboeken in plaats van voortdurend opnieuw op te starten.
• Sophos Connect can’t establish a tunnel nadat beide clients zijn geïnstalleerd: de foutdocumentatie beschrijft voor de oude Sophos SSL VPN Client het opnieuw installeren van beide clients in de volgorde oude SSL VPN Client, daarna Sophos Connect. De installatiehandleiding sluit gelijktijdig gebruik met andere VPN-clients echter uit. Deze tegenstrijdige aanwijzingen vormen geen algemene goedkeuring voor co-existentie. Is de oude client niet meer nodig, gebruik dan de goedgekeurde doelconfiguratie zonder die client; zijn beide absoluut noodzakelijk, stem dan eerst de concrete combinatie af met Sophos en plan een afzonderlijke pilot en een terugvalprocedure, in plaats van beide op basis van vermoedens te installeren.
• Handmatig geïmporteerde .ovpn- of .scx-profielen halen latere policywijzigingen niet automatisch op. Auto-connect en Update policy vereisen provisioning: op Windows met een passende client en op macOS vanaf 2.1, niet met 2.0. auto_connect_host activeert Auto-connect; Update policy is beschikbaar na de eerste geslaagde verbinding. Rename, Clear credentials en Delete blijven afzonderlijke acties; na Delete moeten handmatige profielen opnieuw worden geïmporteerd.
• Na een upgrade of verwijdering blijven oude processen actief op een Mac met Sophos Endpoint: Volgens de foutdocumentatie kan Tamper Protection verhinderen dat Sophos Connect-daemons worden ontladen. Bewaar de logs, start de Mac tijdens het onderhoudsvenster eenmaal opnieuw op en controleer daarna de status van de client en de processen. De actuele verwijderingshandleiding noemt geen algemene uitschakeling van de bescherming meer; dit betekent niet dat uitschakeling verplicht is, maar garandeert evenmin dat de bescherming nooit een rol speelt. Als de verwijdering geblokkeerd blijft, stem dan de concrete Endpoint-/clientcombinatie af met de IT-afdeling of Sophos. Voer alleen een uitdrukkelijk goedgekeurde tijdelijke wijziging van de bescherming uit en controleer daarna op het endpoint en in de beheeromgeving dat de bescherming weer is ingeschakeld en actief is, ook als de poging is mislukt. Profielbescherming en de terugvalprocedure staan in de macOS-verwijderingsprocedure; sluit daemons niet herhaaldelijk af.

Verbonden maar DNS of verkeer werkt niet

Trek eerst een duidelijke scheidslijn:

• Intern IP-adres toegankelijk, interne FQDN niet: Controleer DNS-server, zoekdomein en profielstatus. Als DNS verandert terwijl een IPsec-tunnel actief is, zal Sophos Connect pas de nieuwe waarden tonen na het verbreken en opnieuw verbinden.
• Na een losgekoppelde volledige tunnel werkt de webtoegang niet meer: Met name onder macOS kunnen interne DNS-servers op de fysieke adapter blijven staan. Verbreek de lokale Wi-Fi- of Ethernet-verbinding en sluit deze opnieuw aan. Als dit zich herhaalt, documenteer dan de versie, het profiel en het tijdstip; Overschrijf DNS niet permanent handmatig.
• Noch intern IP-adres, noch naam toegankelijk: Dit is geen bewijs van een clientfout. Controleer VPN IP, bestemmingsnetwerk, retourroute, NAT en firewallregel op de Sophos Firewall. Controleer firewallregels met Log Viewer, Policy Test en Packet Capture zorgt voor deze diagnose.
• Alleen IPsec-installatie of SA’s mislukken: Het runbook aan de firewallzijde is Sophos Firewall IPsec VPN-probleemoplossing.
• SSL VPN-beleid of gatewayconfiguratie is onjuist: De configuratie hoort thuis in SSL VPN Remote Access instellen, en niet in een oplossing voor de clientservice.
• Kleine toegangen werken, grote transfers hangen: Controleer MTU/MSS langs het pad. Dat is wat Controleer Sophos Firewall MTU en MSS op VPN-problemen.

Received connection reset from gateway: <gateway name> verschijnt in scvpn.log voor SSL VPN wanneer de firewallinstellingen veranderen, een beheerder de gebruiker verbreekt of Sophos Firewall opnieuw opstart. Importeer een actuele configuratie en maak opnieuw verbinding. Alleen de clientlogboeken tonen niet welke actie aan de firewallzijde plaatsvond.

Maak een back-up van logboeken en technische ondersteuningsrapporten

Om aan de slag te gaan, opent u Events of selecteert u Open VPN log in het menu met drie stippen. Maak indien mogelijk een back-up van de huidige foutsituatie voordat u opnieuw opstart: elk logbestand wordt slechts één keer gerouleerd. Nadat u het eindpunt of de client opnieuw hebt opgestart, bevindt de vorige sessie zich bijvoorbeeld in openvpn.log.old en de nieuwe sessie in openvpn.log. Er is geen gedocumenteerde maximale groottelimiet voor de logboeken; .txt-bestanden worden niet geroteerd.

Voor Received connection reset from gateway vermeldt Sophos scvpn.log in de installatiemap, maar publiceert het geen Windows- of macOS-logpad dat tussen versies stabiel blijft. Verzin of codeer daarom geen vast pad: gebruik Open VPN log of het supportrapport. De bovenstaande macOS-servicecommando’s gebruiken bewust het gedocumenteerde absolute pad /Library/LaunchDaemons/com.sophos.connect.scvpn.plist.

Sophos Connect genereert scvpntsr.zip via menu met drie stippen > About > Generate technical support report. Het rapport bevat VPN-configuraties, verbindingsgebeurtenissen, provisioningdetails, SSO-authenticatiegegevens, browserdetails en endpointinformatie. Hieronder vallen de volgende diagnosebestanden:

• openvpn.log: SSL VPN-verbindingspogingen, status, virtuele interface, pakketstroom en fouten.
• charon.log: strongSwan, IKE, ESP, beveiligingsgebeurtenissen, configuratiewijzigingen en pakketstroom.
• scvpn.log: inloggen, verbinding maken, verbreken en andere VPN-gebeurtenissen.
• scgui.log: versies van Sophos Connect en OpenVPN, WebView2-versiegegevens alleen op Windows en SSO-logins. Leid hieruit geen WebView2-afhankelijkheid voor macOS af.
• configs.txt: details van geïmporteerde .pro-, .ovpn- en .scx-verbindingen; Sophos beschrijft dat dit bestand geen persoonlijke informatie bevat.
• route.txt: Eindpuntrouteringstabellen.
• ipconfig.txt: IP-configuratie van het eindpunt.
• systeminfo.txt: eindpuntsysteeminformatie.

De uitspraak dat er geen persoonsgegevens aanwezig zijn, heeft alleen betrekking op configs.txt, niet op het volledige archief, en betekent niet dat alle opgenomen configuratiegegevens onschadelijk zijn. Bewaar het rapport als vertrouwelijk ondersteuningsmateriaal volgens de interne richtlijnen en stel het alleen via het goedgekeurde overdrachtskanaal ter beschikking aan bevoegde partijen. Kopieer wachtwoorden, OTP’s of privésleutels nooit naar de tickettekst of een openbaar logfragment.

SCCLI op macOS aanvullend controleren

De gedocumenteerde standaardlocatie van het SCCLI-hulpprogramma is /Library/Sophos\ Connect/. Controleer eerst op een pilot-Mac of het daadwerkelijk geïnstalleerde pakket daar sccli bevat en welke opties de lokale help vermeldt. De volgende voorbeelden lezen alleen gegevens uit en tonen de versie en verbindingen; ze melden geen hier uitgevoerde macOS-runtimetest en vormen geen bewijs voor MDM-distributie of de overdraagbaarheid van Windows-scripts:

/Library/Sophos\ Connect/sccli show --version
echo $?
/Library/Sophos\ Connect/sccli list -d
echo $?

Vraag de status met echo $? onmiddellijk na elke SCCLI-opdracht op, voordat een andere opdracht deze overschrijft. Windows Command Prompt gebruikt in plaats daarvan echo %ERRORLEVEL%; dat is geen macOS-syntaxis. De shell geeft de processtatus terug, niet noodzakelijk de ongewijzigde numerieke diagnosecode van een interne clientmelding. Als het uitvoerbare bestand ontbreekt of niet start, controleer dan het pakket en de installatiestatus; beschouw de status niet als een tunneltest.

De foutreferentie noemt -1 voor ongeldige opties of lege aanmeldgegevens, 1 voor ongeldige of niet-parseerbare invoer, 2 voor een ontbrekend bestand of een leeg wachtwoord/certificaat, 5 voor onleesbare bestanden, 14 voor een niet-parseerbaar antwoord, 101 voor een mislukte aanvraag en 120 voor ontbrekende servergegevens. 1016 vraagt om aanmeldgegevens, 1024 betekent ‘Verbinding niet gevonden’, 1101 duidt op een mislukte aanmelding en 9009 op een opdracht die niet is gevonden of niet kan worden gestart. Deze codes zijn diagnoseaanwijzingen uit de referentie, geen garantie dat elke code op macOS precies zo als shellstatus verschijnt. Leg de exacte melding, de onmiddellijk opgevraagde status en de clientversie samen vast; controleer bij bestands- of verbindingsfouten de bron en de namen, en stem bij aanmeldfouten de autorisatie en authenticatie af met de IT-afdeling in plaats van herhaaldelijk wachtwoorden te raden.

SCCLI biedt daarnaast add, remove, update, enable, disable, get en show; dit betekent niet dat deze opdrachtenset nieuw is ingevoerd of voor elke Mac-versie is getest. Acties die de toestand wijzigen, vallen buiten dit diagnosevoorbeeld: remove kan eerst een actieve verbinding verbreken en kan geen beheerde verbinding verwijderen; beleidsregels kunnen add, remove of disable beperken. Auto-connect via add -a is in de bron gemarkeerd als TBD en wordt hier niet beschreven als een werkende uitrolmethode. Schrijf wachtwoorden of OTP’s nooit als opdrachtargumenten, in scripts, in de shellgeschiedenis of in logs. Als een afzonderlijk goedgekeurde aanmeldprocedure SCCLI gebruikt, gebruik dan de interactieve invoer daarvan, niet de gedocumenteerde wachtwoordargumenten. Lees voor verdere opties de help van het geïnstalleerde hulpprogramma; voer wijzigingen alleen uit met een veiliggestelde profielbron, een goedgekeurde terugvalprocedure en een aansluitende VPN-test.

Escaleer netjes

Een bruikbare case bevat het besturingssysteem en de build, de Sophos Connect-versie, het profieltype en de bron, de fouttijd met tijdzone, de exacte gebeurtenistekst, de verwachte bestemming, het resultaat op IP en op naam, en scvpntsr.zip. Als er sprake is van verdenking aan de kant van de firewall, worden het bijbehorende logviewerfragment en de relevante IPsec- of SSL VPN-logboeken toegevoegd; Sophos Firewall Services and Logs classificeert ze.

Escaleer als een service na een enkele gecontroleerde start opnieuw faalt, dezelfde fout reproduceerbaar is in een gedeeld profiel, de identiteit van het certificaat onduidelijk blijft of tijdstempels van client en firewall conflicteren. Een supportaanvraag kan op een gestructureerde manier worden ingediend met behulp van Sophos support ticket voorbereiden en openen.

Veelgestelde vragen