Sophos Connect-provisioning met .pro en GPO instellen

Een Sophos Connect-provisioningbestand met de extensie .pro is geen volledig VPN-profiel. Het vertelt de Windows-client via welk VPN-portaal de voor de gebruiker vrijgegeven IPsec- en SSL VPN-configuraties moeten worden opgehaald. Sophos Connect importeert het eigenlijke .scx- of .ovpn-bestand pas na een geslaagde aanmelding.

Dit is vooral handig wanneer profielen centraal moeten worden verdeeld en latere wijzigingen automatisch moeten worden opgehaald. Tegelijk wordt het VPN-portaal onderdeel van het productie-aanmeldpad. Bereikbaarheid, certificaat, MFA, gebruikerstoewijzing en portaalbeveiliging zijn daarom net zo belangrijk als de JSON-syntaxis van het bestand.

⚠️ Voor externe provisioning moet het VPN-portaal vanaf WAN bereikbaar zijn. Dit vergroot het publiek bereikbare aanvalsoppervlak. Voor de uitrol zijn een vertrouwd certificaat, MFA, beperkte Local Service ACL’s, geteste aanmeldblokkering en een terugvalroute met een handmatig verdeeld profiel nodig.

Provisioning in acht stappen

1. IPsec Remote Access of SSL VPN volledig op de firewall configureren en met een handmatig geïmporteerd bestand testen.
2. Het VPN-portaal met een vertrouwde FQDN en een vertrouwd certificaat beschikbaar stellen.
3. Onder Administration > Device access het VPN-portaal alleen voor de werkelijk benodigde bronzones of bronnetwerken vrijgeven.
4. Een minimaal .pro-bestand met display_name, gateway en vpn_portal_port maken.
5. MFA, automatisch verbinden en gatewayvolgorde alleen toevoegen als de bijbehorende werkwijze vaststaat.
6. Het bestand eerst handmatig met een testgebruiker importeren en IPsec en SSL VPN afzonderlijk controleren.
7. Sophos Connect en .pro daarna via een gecontroleerde GPO naar een kleine testgroep distribueren.
8. Portaal-login, geïmporteerde profielen, tunnel, interne doelen, logs, Update Policy en rollback controleren.

Wanneer een .pro-bestand past

Provisioning past goed bij beheerde Windows-endpoints waarop Sophos Connect voor IPsec, SSL VPN of beide wordt gebruikt. Na de portaal-login stelt de firewall het IPsec-profiel beschikbaar aan alle bevoegde gebruikers. Een SSL VPN-configuratie wordt alleen geïmporteerd wanneer de gebruiker lid is van een passende SSL VPN-policy.

Bij de eerste provisioning kan SFOS automatisch een directorygebruiker aanmaken die lokaal nog niet bestaat en deze op basis van de mapping van de authenticatieserver aan een groep toewijzen. De gebruiker hoeft zich dan niet vooraf bij het VPN-portaal of gebruikersportaal aan te melden. Deze automatische aanmaak vervangt de controle van de groepsvolgorde en de werkelijke VPN-toestemming niet.

Een handmatig verdeeld .scx- of .ovpn-bestand blijft zinvol wanneer het VPN-portaal niet op internet moet worden gepubliceerd, er maar weinig clients zijn of het portaal een ongewenste extra afhankelijkheid vormt. Sophos Connect ondersteunt geen .pro-provisioning op macOS; daar worden .scx en .ovpn rechtstreeks geïmporteerd. Voor IPsec-provisioning op Windows is Sophos Connect 2.1 of nieuwer vereist.

De eigenlijke VPN-configuratie blijft in de gerichte handleidingen: Sophos Connect IPsec op de firewall configureren en SSL VPN Remote Access instellen.

Vereisten en voorbeeldwaarden

Het volgende voorbeeld gebruikt de openbare portaalnaam vpn.example.com en de interne controlehost intranet.corp.example. Beide namen zijn plaatsaanduidingen:

• Vervang vpn.example.com door de echte VPN-portaal-FQDN die zowel extern als intern correct wordt opgelost. Het portaalcertificaat moet voor deze naam geldig zijn en door de clients worden vertrouwd.
• Gebruik intranet.corp.example alleen als auto_connect_host wanneer de host stabiel bereikbaar is en uitsluitend vanuit het interne netwerk antwoordt. Een openbare of onbetrouwbare host zou de netwerkherkenning vervalsen.
• Poort 443 is de standaardpoort van het VPN-portaal. Gebruikt de firewall een andere poort, dan moet dezelfde waarde in vpn_portal_port staan.

Voordat het bestand wordt gemaakt, moeten ten minste de volgende punten succesvol zijn getest:

• Het beoogde IPsec- of SSL VPN-profiel werkt met een handmatige import.
• Het VPN-portaal is via de geplande FQDN bereikbaar en gebruikt een volledige certificaatketen.
• Gebruikers, primaire groepen, SSL VPN-policy en authenticatiemethoden komen overeen.
• Bij Microsoft Entra ID SSO gebruiken VPN-portaal, IPsec en SSL VPN in het provisioningproces dezelfde Entra ID-server onder Authentication > Services.
• Bij Entra ID SSO komt de waarde gateway overeen met de Redirect URI van de firewall.
• MFA en de negatieve test met een onbevoegde gebruiker werken.

Voor openbare portaaltoegang helpt Device Access en Local Service ACL. Brute-forcebeveiliging voor het VPN-portaal behandelt herhaalde mislukte aanmeldingen en de beveiliging van een WAN-bereikbaar portaal.

Provisioningbestand maken

Een .pro-bestand is JSON. gateway is het enige verplichte veld, maar voor een traceerbare werking moeten ook de weergavenaam en de portaalpoort expliciet worden ingesteld. Maak het bestand met een teksteditor en sla het bijvoorbeeld op als avanet-vpn.pro.

Minimaal profiel voor één gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name mag maximaal 60 tekens bevatten. Zonder weergavenaam toont Sophos Connect de waarde gateway. Met can_save_credentials op true kan de gebruiker gebruikersnaam en wachtwoord opslaan; deze instelling wordt niet voor SSO gebruikt. Het toestaan van opgeslagen aanmeldgegevens is een beveiligingsbeslissing, geen standaard gemakinstelling.

Bij het starten van de verbinding controleert check_remote_availability de bereikbaarheid. run_logon_script voert het door de domeincontroller geleverde aanmeldscript uit nadat de tunnel is opgebouwd. Activeer een optie pas wanneer de test bevestigt dat dit gedrag werkelijk nodig is.

De oudere syntaxis user_portal_port wordt nog geaccepteerd, maar verwijst tegenwoordig eveneens naar de poort van het VPN-portaal. vpn_portal_port is duidelijker voor nieuwe bestanden.

Automatisch verbinden goed plannen

auto_connect_host helpt Sophos Connect bepalen of de client zich al in het interne netwerk bevindt. Telkens wanneer een netwerkinterface een nieuw of gewijzigd IP-adres krijgt, controleert de client deze host. Is deze niet bereikbaar, dan wordt de verbinding geactiveerd. De tunnel wordt automatisch opgebouwd wanneer aanmeldgegevens zijn opgeslagen of de laatste aanmelding via SSO plaatsvond.

"auto_connect_host": "intranet.corp.example"

De controlehost is geen algemene internet-healthcheck. Hij moet intern stabiel en eenduidig oplosbaar zijn en mag extern niet bereikbaar zijn. Test dit vóór de uitrol zowel in het bedrijfsnetwerk als via een extern netwerk. Een lege tekenreeks "" schakelt automatisch verbinden uit.

Voor een volledig always-on-ontwerp gelden extra grenzen. Opgeslagen aanmeldgegevens, SSO, MFA en het gedrag na netwerkwijzigingen moeten op elkaar aansluiten. SSL VPN automatisch starten met auto-login legt de verschillen uit.

Meerdere gateways gebruiken

Meerdere portaalgateways worden als array ingevoerd. gateway_order bepaalt alleen hoe Sophos Connect het portaal voor het ophalen selecteert. De latere tunnel gebruikt de gateways uit de geïmporteerde .scx- of .ovpn-configuratie.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

De selectiemethoden hebben verschillende operationele gevolgen:

• in_order probeert de items in de opgegeven volgorde.
• latency selecteert de gateway op basis van de reactietijd van een TCP-verbindingspoging.
• distributed selecteert bij een verbindingspoging willekeurig een gateway.

De volgorde vervangt geen getest WAN-, DNS- of HA-ontwerp. Elke opgegeven portaalnaam heeft een geldig certificaat, passende bereikbaarheid en dezelfde verwachte provisioninginhoud nodig.

MFA-velden bewust instellen

Met otp: true toont Sophos Connect een derde invoerveld. 2fa bepaalt hoe de inhoud naar de authenticatieserver wordt verzonden:

• 2fa: 1 gebruikt de Sophos Firewall-configuratie. Wachtwoord en OTP worden samengevoegd als passwordotp.
• 2fa: 2 gebruikt een externe dienst zoals Duo. Wachtwoord en code worden door een komma gescheiden; afhankelijk van de Duo-configuratie zijn ook push, phone, sms of een tokencode mogelijk.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Bij de eerste keer ophalen kan het aanmeldvenster tweemaal verschijnen: eenmaal voor het downloaden van de configuratie en daarna voor het opbouwen van de tunnel. Dit is niet automatisch een fout. De helpdesk moet dit gedrag vóór een brede uitrol kennen. De MFA-configuratie op de firewall staat in Sophos Firewall MFA instellen.

Sophos Connect en .pro via GPO distribueren

Het bestand kan na levering via e-mail of een beveiligde download handmatig worden geïmporteerd. Gebruikers kiezen Import connection of dubbelklikken op het .pro-bestand. In een beheerd Windows-domein is een GPO beter traceerbaar wanneer bron, doelgroep en rollback zijn gedocumenteerd.

Sophos Connect bewaakt deze importmap:

C:\Program Files (x86)\Sophos\Connect\import\

Een .pro-bestand dat hier wordt geplaatst, wordt automatisch geïmporteerd en daarna uit de map verwijderd. Dit verwijderen is normaal gedrag en bewijst niet dat de portaalauthenticatie of de tunnel al werkt.

Voor de distributie wordt onder Group Policy Management > Computer Configuration > Policies > Windows Settings > Scripts > Startup een opstartscript toegevoegd. Het door Sophos gedocumenteerde patroon wacht op de dienst scvpn, downloadt het bestand vanaf een centrale HTTPS-locatie en kopieert het naar de importmap. De downloadbron moet alleen leesbaar zijn voor de benodigde computers, een vertrouwd certificaat gebruiken en geen gebruikerswachtwoorden of tokens in de URL of het script bevatten.

Test het opstartscript eerst op een pilotcomputer. Daarna kan het beleid met deze opdracht worden vernieuwd:

gpupdate /force

Sophos documenteert ook een computeropstartscript met msiexec.exe voor de installatie van de client zelf. In een productieve softwaredistributie moeten echter de bestaande normen voor packaging, handtekeningen, versies en rollback worden gebruikt. Sophos Connect op Windows installeren behandelt de installatie en ondersteunde Windows-platforms.

Een .pro-bestand bevat normaal geen gebruikerswachtwoorden. Het blijft wel een gecontroleerd configuratieobject: portaaladressen, gedrag, MFA- en auto-connectinstellingen mogen alleen uit een geautoriseerde bron komen.

Wijzigingen en profielupdates

Na een geslaagde import haalt Sophos Connect de beschikbare .scx- en .ovpn-profielen automatisch op. Ook veel latere configuratiewijzigingen worden opgehaald. In het beheer moet toch onderscheid worden gemaakt tussen het provisioningbestand en het eigenlijke VPN-profiel:

• Als gateway of vpn_portal_port verandert, moet het .pro-bestand worden aangepast en opnieuw verdeeld.
• Als poort of protocol onder SSL VPN global settings verandert, wordt in de client via het tandwiel Update policy uitgevoerd.
• Wijzigingen aan SSL VPN-gateway, certificaat, poort of protocol kunnen een nieuwe aanmelding vereisen.
• Na herstel of import van een firewallconfiguratie worden de IPsec- en SSL VPN-profielen opnieuw met een pilotclient getest.
• Een nieuwe clientversie werkt een verouderd .pro-bestand niet automatisch bij.

Verdeel oude en nieuwe provisioningbestanden niet parallel via verschillende GPO’s, downloads en e-mails. Leg per uitrol bestandsnaam, versie of wijzigingsdatum, doelgroep en terugvalroute vast.

Provisioning en tunnel controleren

De test wordt met een bevoegde en een onbevoegde gebruiker vanuit een echt extern netwerk uitgevoerd. Een succesvolle portaal-login alleen is nog geen geslaagde VPN-test.

1. Sophos Connect-versie en Windows-platform controleren.
2. Het .pro-bestand handmatig of via de pilot-GPO importeren.
3. Controleren welke .scx- en .ovpn-verbindingen daadwerkelijk verschijnen.
4. De volledige MFA-procedure doorlopen, inclusief een mogelijke tweede aanmelding.
5. IPsec en SSL VPN afzonderlijk verbinden als beide worden aangeboden.
6. Lease-adres, interne DNS-resolutie, doelserver, firewallregel en retourpad controleren.
7. Een onbevoegde gebruiker mag geen bruikbaar profiel ontvangen en geen interne doelen bereiken.
8. Een onschuldige policywijziging met Update policy of automatisch ophalen testen.
9. Een clientherstart, netwerkwijziging en nieuwe GPO-toepassing testen.
10. De handmatige terugval naar een goedgekeurd .scx- of .ovpn-profiel testen.

Bij Microsoft Entra ID SSO worden ook Redirect URI, Conditional Access en gedwongen opnieuw aanmelden op gedeelde endpoints gecontroleerd. Microsoft Entra ID SSO voor Sophos Connect en het VPN-portaal legt de volledige mapping uit.

Problemen systematisch afbakenen

Er wordt geen verbinding geïmporteerd

Controleer eerst of het bestand geldige JSON bevat, op .pro eindigt en door de client is geïmporteerd. Controleer daarna gateway, vpn_portal_port, DNS, certificaatketen en bereikbaarheid van het VPN-portaal. Een bestand dat uit de importmap verdwijnt, is verwerkt, maar dit bewijst geen geslaagde authenticatie.

Als de client het portaal bereikt maar geen profiel ontvangt, controleer dan de geconfigureerde IPsec-verbinding, SSL VPN-policy, groepslidmaatschap en authenticatiemethoden. IPsec wordt aan alle passend bevoegde gebruikers verstrekt; SSL VPN alleen aan leden van een passende policy.

Certificaat- of Entra SSO-fouten

De openbare naam in gateway moet bij het certificaat passen. Bij Entra ID SSO moet dezelfde waarde ook bij de Redirect URI passen en moeten VPN-portaal, IPsec en SSL VPN in het provisioningproces dezelfde Entra ID-server gebruiken. Zelfs een andere hostnaam of poort kan het proces onderbreken.

Controleer de Microsoft Entra-aanmelding in Entra sign-in log. Op de firewall helpen vpnportal.log, access_server.log en oauth_sso_vpn.log in de bijbehorende fasen. Test connection bij de authenticatieserver vervangt de portaal- of tunnelauthenticatie niet.

MFA verschijnt tweemaal of mislukt

Bij het eerste ophalen kunnen twee aanmeldingen worden verwacht. Als authenticatie mislukt, vergelijk dan otp, 2fa, de geconfigureerde Sophos- of externe MFA-methode en het verwachte invoerformaat. passwordotp en de door komma’s gescheiden externe methode zijn niet uitwisselbaar.

Het profiel bestaat, maar verkeer werkt niet

Provisioning is dan al voorbij het werkelijke foutpunt. Controleer leasebereik, clientroutes, DNS, firewallregel, NAT, retourpad en packet capture afzonderlijk. Ga voor IPsec verder met Sophos Firewall IPsec VPN-probleemoplossing.

GPO importeert het bestand niet

Controleer of de GPO werkelijk op het computeraccount van toepassing is, het opstartscript bereikbaar is, de dienst scvpn draait en de downloadbron vanuit de systeemcontext bereikbaar is. Controleer daarna bestandsrechten en het exacte importpad. Herhaald kopiëren zonder de oorzaak te vinden kan verouderde instellingen opnieuw verspreiden en hoort geen permanente oplossing in het opstartscript te worden.

Veilig terugrollen

Stop eerst de distributie naar de getroffen GPO-doelgroep. Verwijder daarna de automatische .pro-distributie, stel het eerder goedgekeurde handmatige .scx- of .ovpn-bestand beschikbaar en test dit met een pilotgebruiker. Wijzigingen aan VPN-portaal, Device Access of authenticatie worden pas teruggedraaid wanneer geen productieve provisioning er meer van afhankelijk is.

Verwijder en importeer de bestaande Sophos Connect-verbinding op testclients gecontroleerd opnieuw. Herhaal daarna portaal-login, tunnel, DNS, interne doelen en negatieve test. Verwijder het foutieve .pro-bestand pas uit centrale opslag en softwaredistributie nadat het terugvalpad werkt.

FAQ