Sophos Connect Client veilig controleren en bijwerken

De actuele Sophos-handleiding beschrijft een upgrade op Windows en macOS als het downloaden en installeren van het nieuwe pakket uit het VPN Portal of van de beheerder; voorafgaande verwijdering wordt niet als algemene eis gesteld. Dit bevestigt echter niet dat elk pakket over elke bestaande installatie kan worden geïnstalleerd. Deze handleiding behoudt de gecontroleerde werkwijze van verwijderen en opnieuw installeren voor een uitdrukkelijk goedgekeurde herinstallatie of rollback. Bepaal vóór de wijziging welke methode geschikt is voor de huidige versie en de doelversie en test die in een pilot; profielen, installatiepakketten en de terugweg moeten gereed zijn.

De geïnstalleerde versie staat in Sophos Connect onder drie punten > About. De handleidingen voor Windows en macOS behandelen de eerste installatie; hier gaat het om de versiekeuze en gecontroleerde overgang.

Als de keuze tussen IPsec, SSL VPN en andere methoden voor externe toegang nog openstaat, begin dan met de vergelijking van remote-accessoplossingen voordat u een doelclient kiest.

De doelversie kiezen

Rol niet automatisch het nieuwste pakket breed uit. Vergelijk eerst de hieronder toegelichte versiewijzigingen, ondersteunde besturingssystemen en werkelijk gebruikte VPN-functies met de eigen omgeving. De redactionele controle op 7 september 2026 leverde de volgende gedateerde momentopname op:

• Windows: Sophos Connect 2.5 MR1, uitgebracht op 18 juni 2026.
• macOS: Sophos Connect 2.0 MR1, uitgebracht op 21 mei 2026.

Bijgewerkt op 9 oktober 2026: De release notes vermelden Sophos Connect 2.1 voor macOS, uitgebracht op 6 oktober 2026, met native ARM-ondersteuning, .pro-provisioning en Microsoft Entra ID SSO voor IPsec en SSL VPN. De momentopname van 7 september blijft historisch. Een gedocumenteerde release bewijst niet welk pakket daadwerkelijk in het eigen portal beschikbaar is, noch dat een apparaattest is geslaagd; hieruit wordt geen aanvullende GA- of uitrolgoedkeuring afgeleid.

Deze versiegegevens zijn een momentopname, geen onbeperkte goedkeuring. Voor een nieuwe uitrol worden de versiematrix en de beschreven correcties vergeleken met de versie van het daadwerkelijk beschikbare pakket; de verantwoordelijke IT-afdeling bevestigt de actuele platformondersteuning ervan en de geschiktheid voor de benodigde VPN-functies. Een nieuwere versie gaat eerst naar de pilot; behoud een oudere alleen als die nog voor het bestaande platform wordt ondersteund en er een gedocumenteerde reden tegen de nieuwere versie is. Leid geen clientspecifieke einddatums af uit de algemene Sophos-productlifecyclepagina.

Sophos Connect is geen client voor iOS of Android. Valt een combinatie buiten deze grenzen, bepaal dan eerst een migratiepad in plaats van in productie te experimenteren.

Windows 2.5 MR1 verhelpt onder meer opstarten voor extra gebruikers (NCL-2570), een onjuiste SSO-status na internetuitval (NCL-2783), afwijkende OTP-vragen bij opnieuw verbinden (NCL-2992) en SSL VPN-provisioning met speciale tekens in certificaten (NCL-2795). macOS 2.0 MR1 bevat oplossingen voor SSL VPN-DNS en herstelt het bewaren van inloggegevens. Een opgeloste issue vervangt geen pilot met het eigen profiel.

Update en rollback voorbereiden

Leg vóór het onderhoudsvenster per platform en groep vast:

• client- en besturingssysteemversie;
• IPsec of SSL VPN en profielbron (.scx, .ovpn of .pro); een .tgb-bestand is daarentegen een export voor IPsec-clients van derden en geen Sophos Connect-profiel;
• lokale, AD-, RADIUS- of Entra ID SSO-authenticatie;
• MFA- en reconnectgedrag;
• afhankelijkheden zoals gateway, certificaat, DNS, VPN-pool en toegestane netwerken.

Bewaar in de softwaredistributie het doelpakket, het vorige intern goedgekeurde pakket en de oorspronkelijke profielbronnen. Een screenshot van de profielnaam is geen back-up: rollback vereist de werkelijk gebruikte export of een reproduceerbare provisioningbron. Sla profielen met certificaten of privésleutels uitsluitend beveiligd en voor de bedoelde gebruikersidentiteit op.

Admins downloaden de installer met Download client onder Remote access VPN > IPsec of Remote access VPN > SSL VPN; gebruikers kunnen hem uit het VPN Portal halen. Backup & Firmware > Pattern updates kan het downloadpakket op de firewall vernieuwen, maar werkt geïnstalleerde endpoints niet bij. Controleer bron, platform en versie en blokkeer of label oude pakketten duidelijk.

Een pilot uitvoeren

Neem minstens één apparaat van elke productiecombinatie en één tot drie typische gebruikers op, niet alleen admins. Test waar aanwezig Windows x64, Windows ARM, macOS met IPsec, macOS met SSL VPN, Entra SSO en OTP/MFA-reconnect afzonderlijk. Op de Mac worden 2.0/Rosetta en 2.1/native ARM, de daadwerkelijk gebruikte macOS-versie en rechtstreekse profielen en provisioning afzonderlijk gecontroleerd. Voor Entra SSO vanaf 2.1 maken de browsermodus, de vereiste fallback en de terugkeer naar de client deel uit van de macOS-SSO-pilot. Een compliancefout wordt verholpen of naar de IT-afdeling geëscaleerd, niet omzeild door Conditional Access te verzwakken.

Documenteer vóór de upgrade een nulmeting: aanmelden, toegewezen VPN-adres, interne DNS, toegang tot een representatief doel, split- of full-tunnelgedrag en reconnect na een netwerkwissel. Herhaal exact dezelfde tests erna. Zo onderscheidt u een clientregressie van een bestaand firewall-, routing- of profielprobleem.

Begin pas gefaseerd breed uit te rollen als alle combinaties slagen en de helpdesk doelversie en rollback kent. Eén geslaagde Windows-test keurt macOS niet goed.

De client verwijderen en opnieuw installeren

Verbreek de actieve VPN. Is dit het enige externe beheerpad, plan dan lokaal onderhoud of een tweede beheerpad: de VPN is tijdens de procedure onderbroken.

Windows

1. Selecteer onder Control Panel > Programs > Uninstall a program Sophos Connect en kies Uninstall.
2. Wacht tot de verwijdering klaar is en stel een gevraagde herstart niet uit.
3. Installeer het goedgekeurde Windows-pakket met beheerdersrechten.
4. Controleer de versie onder drie punten > About.
5. Controleer het profiel of importeer het uit de bewaarde bron en herhaal de pilottest.

Zet Windows ARM niet terug naar een versie vóór 2.5. Werk 32-bits Windows niet bij naar 2.5; daarvoor is een platformmigratie nodig.

macOS

Als Sophos Endpoint is geïnstalleerd, schakelt u Tamper Protection niet standaard uit vóór verwijdering. De actuele verwijderingshandleiding noemt dit niet meer als voorwaarde; de probleemoplossingshandleiding beschrijft echter nog steeds Sophos Connect-processen die door Endpoint Tamper Protection worden geblokkeerd en adviseert een herstart. Bewaar bij dit foutbeeld de logs, start tijdens het onderhoudsvenster opnieuw op en controleer de toestand nogmaals. Blijft de verwijdering geblokkeerd, bespreek dan de specifieke combinatie van Endpoint en client met de IT-afdeling of Sophos. Wijzig de bescherming alleen tijdelijk na uitdrukkelijke goedkeuring voor dit geval; ook na een mislukte poging hoort het opnieuw inschakelen bij de afronding. Voer voor een goedgekeurde verwijdering in Terminal met beheerdersrechten uit:

sudo /Library/Sophos\ Connect/uninstall.sh

De verwachte bevestiging is Sophos Connect has been uninstalled. Daarna:

1. Start de Mac opnieuw als dat wordt gevraagd.
2. Installeer het goedgekeurde macOS-pakket en bevestig vereiste systeemmeldingen.
3. Controleer de versie onder drie punten > About.
4. Lever het profiel uit de bewaarde bron en herhaal de pilotcontroles.
5. Als Tamper Protection voor deze handeling uitdrukkelijk is uitgeschakeld, schakelt u deze weer in en controleert u de actieve status op het endpoint en in de beheeromgeving; doe dit ook als de herinstallatie is mislukt.

Een versie vóór 2.0 is geen geldige rollback voor SSL VPN op macOS. Importeer na de overstap naar 2.0 MR1 de configuratie opnieuw als gebruikers de herstelde optie voor opgeslagen inloggegevens nodig hebben. Een rollback naar macOS-client 2.0 behoudt noch native ARM-uitvoering, noch .pro-provisioning of Entra ID SSO. Als deze 2.1-functies vereist zijn, is 2.0 geen gelijkwaardige terugweg; keur vooraf een ondersteund alternatief goed en test het.

Profielwijzigingen apart behandelen

Een clientupgrade werkt niet elke VPN-configuratie automatisch bij. Exporteer en verspreid na wijzigingen in geavanceerde IPsec-instellingen een nieuw .scx-bestand als dit handmatig wordt verdeeld. Op Windows met een passende client en op macOS vanaf 2.1 haalt een geïmporteerd .pro-bestand configuraties via het VPN Portal op. Na wijziging van poort of protocol onder Remote access VPN > SSL VPN > SSL VPN global settings klikt de gebruiker op het tandwiel van het profiel en Update policy. Op macOS 2.0 blijven rechtstreekse import en handmatig profielbeheer vereist. De configuratie van het provisioningbestand staat in Sophos Connect-provisioning.

Gedocumenteerd voor SFOS 22: een geïmporteerd SSL VPN-profiel is gekoppeld aan de gebruikersidentiteit, het domein en de authenticatiemethode die bij de import zijn gebruikt. Bij bijvoorbeeld een overstap van AD naar Entra ID SSO of tussen domeinen moet een aparte .pro- of .ovpn-configuratie worden geïmporteerd; hergebruik van hetzelfde geïmporteerde profiel kan leiden tot Login failed. Wrong fingerprint of certificate. Een .ovpn-bestand bevat gebruikersspecifieke certificaten en privésleutels. Een .pro-bestand is daarentegen niet op zichzelf gebruikersspecifiek: pas bij de import worden de SSL VPN-configuratie en certificaten gegenereerd en gekoppeld aan de gebruikte identiteit en authenticatiemethode. Deze voor SFOS 22 gedocumenteerde beperking geldt voor SSL VPN, niet voor IPsec-profielen met .scx.

Dit gedrag is niet geverifieerd voor SFOS 23. De bijbehorende handleiding bevat niet het gedeelte over de profielbinding en deze foutmelding. Dit bewijst niet dat de binding is vervallen, maar ook niet dat deze ongewijzigd blijft gelden. Bij een wijziging van domein of authenticatiemethode wordt daarom uit voorzorg een aparte SSL-profielimport uit een door IT bevestigde, vertrouwde bron aanbevolen; dit is geen bevestigde SFOS 23-eis. Stem vooraf de bedoelde gebruikersidentiteit, het domein, de authenticatiemethode en de doelserver af met IT en haal indien nodig een actueel .ovpn-bestand uit het bevestigde VPN Portal of gebruik de goedgekeurde .pro-bron. Test vervolgens de combinatie van client en profiel in een pilot. Verschijnt de fingerprintmelding, stop dan de uitrol en leg voor IT of Sophos de client- en SFOS-versies, de bedoelde identiteit, het domein, de authenticatiemethode en de vermelding onder Events vast. De melding alleen bewijst niet dat een certificaat is verlopen of dat er een fout in de handtekening of vertrouwensketen is. Omzeil certificaatcontroles niet.

Voer firewallwijzigingen uit met de handleidingen voor Sophos Connect met IPsec, SSL VPN remote access of Entra ID SSO. Keer daarna hier terug en test de bijgewerkte combinatie van client en profiel in de pilot.

De uitrol valideren en goedkeuren

De juiste versie en een groene status zijn niet genoeg. Leg per combinatie vast:

• juiste doelversie onder About;
• aanmelden en MFA of SSO zoals verwacht;
• juist VPN-adres;
• interne DNS en representatief doel werken;
• passende regel van zone VPN zichtbaar in Log Viewer;
• split of full tunnel volgens ontwerp;
• reconnect na netwerkwissel, afmelden en opnieuw aanmelden werken.

Stop bij een mislukte test de uitrol voor die combinatie. Controleer versie, OS-grens en geladen profiel en noteer daarna tijdstip, melding en passende invoer onder Events. Problemen met Sophos Connect Client oplossen biedt de systematische diagnose van verbindings-, DNS-, authenticatie-, policy- en servicefouten; deze updatehandleiding dupliceert die catalogus niet.

Terugrollen en escaleren

Rollback herstelt de dienst tijdelijk en is geen permanente oplossing voor een verouderde of kwetsbare client.

1. Stop de brede uitrol en identificeer de getroffen combinatie.
2. Verwijder de mislukte client via dezelfde procedure.
3. Installeer alleen het vorige goedgekeurde, passende pakket.
4. Importeer de bewaarde profielbron opnieuw.
5. Test versie, aanmelding, VPN-adres, DNS, intern doel, Log Viewer en reconnect opnieuw.
6. Documenteer het resultaat en start pas na oorzaakanalyse een nieuwe pilot.

Mislukt ook de rollback, open dan drie punten > About > Generate Technical Support Report. Het rapport bevat VPN-configuraties, verbindingsgebeurtenissen, provisioningdetails, SSO-authenticatiegegevens, browserdetails en endpointinformatie. Deel het volgens de interne privacyregels uitsluitend via een gecontroleerd overdrachtskanaal met bevoegde ontvangers. Vermeld voor de escalatie de doelversie en oorspronkelijke versie, het besturingssysteem, profieltype, tijdstip, de zichtbare foutmelding en het rollbackresultaat; zet nooit wachtwoorden, OTPs of privésleutels in de tickettekst.