Sophos Connect-provisioning met .pro instellen

Een Sophos Connect-provisioningbestand met de extensie .pro is geen volledig VPN-profiel. Het vertelt de Windows-client via welk VPN-portaal de IPsec- en SSL VPN-configuraties moeten worden opgehaald. Na een geslaagde portaalaanmelding importeert Sophos Connect het .scx-bestand en, als de gebruiker aan een SSL VPN-policy is toegewezen, ook het .ovpn-bestand. Een zichtbaar profiel betekent nog niet dat tunnelauthenticatie of toegang tot interne bestemmingen is toegestaan.

Dit is vooral handig wanneer profielen centraal moeten worden verdeeld en latere wijzigingen automatisch moeten worden opgehaald. Tegelijk wordt het VPN-portaal onderdeel van het productie-aanmeldpad. Bereikbaarheid, certificaat, MFA, gebruikerstoewijzing en portaalbeveiliging zijn daarom net zo belangrijk als de JSON-syntaxis van het bestand.

⚠️ Als externe gebruikers vanuit het WAN moeten provisioneren, moet het VPN-portaal vanaf het WAN bereikbaar zijn. Dit vergroot het publiek blootgestelde aanvalsoppervlak. Zorg vóór de uitrol voor een vertrouwd certificaat, MFA, zo strikt mogelijke Local Service ACL’s, geteste aanmeldblokkeringen en een terugvalroute met een handmatig gedistribueerd profiel.

Provisioning in acht stappen

1. Configureer IPsec Remote Access of SSL VPN volledig op de firewall en test de configuratie met een handmatig geïmporteerd bestand.
2. Zorg voor het VPN-portaal via een vertrouwd FQDN en certificaat.
3. Schakel onder Administration > Device access het VPN-portaal alleen in voor de vereiste zones. Om de toegang tot specifieke bronnetwerken te beperken, is ook een passende Local Service ACL-uitzonderingsregel vereist.
4. Maak een minimaal .pro-bestand met display_name, gateway en vpn_portal_port.
5. Voeg MFA, automatisch verbinden en gatewayvolgorde alleen toe wanneer het bijbehorende proces al is vastgelegd.
6. Importeer het bestand eerst handmatig met een pilootgebruiker en test IPsec en SSL VPN apart.
7. Draag daarna het goedgekeurde .pro-bestand over aan de beheerde Windows-uitrol en begin met een kleine pilotgroep.
8. Valideer de portaalaanmelding, geïmporteerde profielen, tunnel, interne bestemmingen, logboeken, profielupdates en rollback.

Wanneer een .pro-bestand past

Provisioning is geschikt voor beheerde Windows-eindpunten die Sophos Connect gebruiken voor IPsec, SSL VPN of beide. Na aanmelding bij het portaal biedt de firewall het IPsec-profiel aan alle gebruikers. Dit betekent niet dat elke gebruiker de tunnel kan authenticeren of interne bestemmingen kan benaderen. Een SSL VPN-configuratie wordt alleen geïmporteerd als de gebruiker onder een passende SSL VPN-policy valt.

Bij de eerste provisioning kan SFOS automatisch een directorygebruiker aanmaken die lokaal nog niet bestaat en deze op basis van de mapping van de authenticatieserver aan een groep toewijzen. De gebruiker hoeft zich dan niet vooraf bij het VPN-portaal of gebruikersportaal aan te melden. Deze automatische aanmaak vervangt de controle van de groepsvolgorde en de werkelijke VPN-toestemming niet.

Handmatige .scx- en .ovpn-bestanden blijven nuttig als het VPN Portal niet publiek bereikbaar mag zijn, er weinig clients zijn of het portal een ongewenste extra afhankelijkheid is. .pro haalt IPsec (.scx) en de voor de gebruiker toegestane SSL VPN-configuraties (.ovpn) via het VPN Portal op, inclusief latere wijzigingen; het is zelf geen tunnelprofiel. Compatibele Windows-clients en Sophos Connect voor macOS vanaf 2.1 worden ondersteund, niet macOS-client 2.0 of ouder. IPsec-provisioning vereist Sophos Connect 2.1 of hoger. Met macOS-client 2.0 blijven rechtstreekse import en gecontroleerde handmatige updates nodig.

Actualisering van de gedateerde waarneming: de Sophos-release notes vermelden Sophos Connect 2.1 voor macOS, uitgebracht op 6 oktober 2026, met .pro-provisioning, Entra ID SSO en native ARM. De waarneming van 24 september 2026 beschrijft de situatie van toen. Controleer de versie van het werkelijk beschikbare installatiepakket; publicatie bewijst niet dat uw firewallportal dit pakket al aanbiedt of dat het op een specifiek apparaat is getest.

De eigenlijke VPN-configuratie blijft in de gerichte handleidingen: Sophos Connect IPsec op de firewall configureren en SSL VPN Remote Access instellen.

Vereisten en voorbeeldwaarden

Het volgende voorbeeld gebruikt de openbare portaalnaam vpn.example.com en de interne controlehost intranet.corp.example. Beide namen zijn plaatsaanduidingen:

• Vervang vpn.example.com door de echte VPN-portaal-FQDN die zowel extern als intern correct wordt opgelost. Het portaalcertificaat moet voor deze naam geldig zijn en door de clients worden vertrouwd.
• Gebruik intranet.corp.example alleen als auto_connect_host wanneer de host stabiel bereikbaar is en uitsluitend vanuit het interne netwerk antwoordt. Een openbare of onbetrouwbare host zou de netwerkherkenning vervalsen.
• Poort 443 is de standaardpoort van het VPN-portaal. Gebruikt de firewall een andere poort, dan moet dezelfde waarde in vpn_portal_port staan.

Voordat het bestand wordt gemaakt, moeten ten minste de volgende punten succesvol zijn getest:

• Het beoogde IPsec- of SSL VPN-profiel werkt met een handmatige import.
• Het VPN-portaal is via de geplande FQDN bereikbaar en gebruikt een volledige certificaatketen.
• Gebruikers, primaire groepen, SSL VPN-policy en authenticatiemethoden komen overeen.
• Bij SSO-provisioning gebruiken VPN-portaal, IPsec en SSL VPN dezelfde geconfigureerde identiteitsprovider (IdP) onder Authentication > Services: Microsoft Entra ID in de SFOS 22-documentatie, of een ondersteunde OpenID Connect-provider (OIDC) in SFOS 23.
• gateway komt overeen met de firewall-FQDN of het IP-adres in het onderdeel Redirect URI van de IdP-server. Voer alleen die host in, niet de volledige callback-URI met schema, poort en pad; stel de portaalpoort afzonderlijk in via vpn_portal_port.
• MFA en de negatieve test met een onbevoegde gebruiker werken.

Voor openbare portaaltoegang helpt Device Access en Local Service ACL. Brute-forcebeveiliging voor het VPN-portaal behandelt herhaalde mislukte aanmeldingen en de beveiliging van een WAN-bereikbaar portaal.

SSO-versie en provider kiezen

Voor Windows met Sophos Connect 2.4 of hoger beschrijft SFOS 22 Entra ID SSO; SFOS 23 breidt dit uit naar ondersteunde OIDC-providers. Dit betekent niet dat elke OIDC-provider wordt ondersteund of dat beschikbaarheid in een bepaalde firmwarebuild is bewezen. Gebruik de juiste versietak in Entra ID VPN SSO of de Google Workspace OIDC-configuratie voor SFOS 23. Google vereist een geldige openbare FQDN voor redirects, geen IP-adres. Deze handleidingen behandelen providerconfiguratie, servicetoewijzing en diagnose.

Selecteer voor directe .scx- of .ovpn-downloads zonder .pro eerst de IdP onder Authentication > Services en download daarna het profiel. SSL VPN moet dezelfde IdP gebruiken voor portaal en tunnel; direct IPsec kan dezelfde of een andere IdP gebruiken. Pas die IPsec-uitzondering niet toe op provisioning.

Voor macOS 2.1 of hoger noemt de clienthandleiding Entra ID SSO, geen algemene OIDC-ondersteuning. De opgeslagen vereisten en clienthandleiding verschillen in hun macOS-dekking; bevestig en test de beoogde firmware/client/VPN-combinatie afzonderlijk. Het macOS-browserveld hieronder blijft Entra-specifiek; GPO, importmapautomatisering en aanmeldscripts blijven Windows-specifiek.

Provisioningbestand maken

Een .pro-bestand is JSON. gateway is het enige verplichte veld. Stel de weergavenaam en portaalpoort toch expliciet in, zodat de configuratie ondubbelzinnig kan worden beoordeeld. Maak het bestand met een teksteditor en sla het bijvoorbeeld op als avanet-vpn.pro.

Minimaal profiel voor één gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name mag maximaal 60 tekens bevatten. Zonder weergavenaam toont Sophos Connect de waarde gateway. Met can_save_credentials op true kan de gebruiker gebruikersnaam en wachtwoord opslaan; deze instelling wordt niet voor SSO gebruikt. Het toestaan van opgeslagen aanmeldgegevens is een beveiligingsbeslissing, geen standaard gemakinstelling.

Velden die niet gespecificeerd zijn, gebruiken de leveranciersstandaarden. Het voorbeeld geeft ze allemaal bewust aan, zodat een herziening impliciete waarden niet over het hoofd ziet:

Met check_remote_availability voert de client een bereikbaarheidscontrole uit bij het starten van de verbinding. run_logon_script geldt alleen voor Sophos Connect voor Windows; toegestane waarden zijn true en false, met false als standaard. Het draait het logonscript dat door de domeincontroller wordt geleverd nadat de tunnel is ingesteld. Het logonscript blijft uitgeschakeld totdat een pilottest de noodzaak en het gedrag bevestigt.

De oudere syntaxis user_portal_port wordt nog geaccepteerd, maar verwijst tegenwoordig eveneens naar de poort van het VPN-portaal. vpn_portal_port is duidelijker voor nieuwe bestanden.

De Entra ID SSO-browser op macOS kiezen

Het optionele veld sso_auth_browser_type geldt uitsluitend voor Microsoft Entra ID SSO met Sophos Connect voor macOS versie 2.1 of hoger. Het is geen Windows-instelling en geen algemene browserinstelling voor andere identiteitsproviders. Gebruik deze letterlijke waarden:

• auto: de standaard; gebruikt de ingebouwde browser en kan indien nodig terugvallen op de systeembrowser.
• embedded: gebruikt de browser die in Sophos Connect is ingebouwd.
• system: gebruikt de standaardbrowser van het besturingssysteem.

Als het veld ontbreekt of een ongeldige waarde bevat, gebruikt Sophos Connect auto. Voor een passende macOS-Entra-configuratie kan deze optionele eigenschap aan het verbindingsobject in het .pro-bestand worden toegevoegd:

"sso_auth_browser_type": "auto"

Dit is alleen een JSON-fragment, geen volledig .pro-bestand. Plaats de eigenschap naast gateway in het bestaande object; scheid eigenschappen met komma’s, zonder komma na de laatste eigenschap. auto maakt de standaard expliciet voor de beoordeling; stel embedded of system alleen in voor een bewust gekozen browserworkflow die in een pilot is gecontroleerd. Sophos Connect op macOS behandelt import en interactief aanmelden; de veldsyntaxis blijft hier beschreven.

Automatisch verbinden goed plannen

auto_connect_host helpt Sophos Connect bepalen of de client zich al in het interne netwerk bevindt. Telkens wanneer een netwerkinterface een nieuw of gewijzigd IP-adres krijgt, controleert de client deze host. Is deze niet bereikbaar, dan wordt de verbinding geactiveerd. De tunnel wordt automatisch opgebouwd wanneer aanmeldgegevens zijn opgeslagen of de laatste aanmelding via SSO plaatsvond.

"auto_connect_host": "intranet.corp.example"

De controlehost is geen algemene internet-healthcheck. Hij moet intern stabiel en eenduidig oplosbaar zijn en mag extern niet bereikbaar zijn. Test dit vóór de uitrol zowel in het bedrijfsnetwerk als via een extern netwerk. Een lege tekenreeks "" schakelt automatisch verbinden uit.

Voor always-on-gebruik moeten opgeslagen aanmeldgegevens, SSO, MFA en het gedrag na netwerkwijzigingen op elkaar worden afgestemd. SSL VPN automatisch starten met automatische aanmelding legt de verschillen uit.

Meerdere gateways gebruiken

Meerdere portaalgateways worden als array ingevoerd. gateway_order bepaalt alleen hoe Sophos Connect het portaal voor het ophalen selecteert. De latere tunnel gebruikt de gateways uit de geïmporteerde .scx- of .ovpn-configuratie.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

De selectiemethoden hebben verschillende operationele gevolgen:

• in_order probeert de items in de opgegeven volgorde.
• latency selecteert de gateway op basis van de reactietijd van een TCP-verbindingspoging.
• distributed selecteert bij een verbindingspoging willekeurig een gateway.

De volgorde vervangt geen getest WAN-, DNS- of HA-ontwerp. Elke vermelde portaalnaam vereist een geldig certificaat, de juiste bereikbaarheid en dezelfde verwachte provisioninginhoud.

Dit moet worden onderscheiden van meerdere verbindingen. Twee afzonderlijke objecten in de buitenste JSON-array maken twee vermeldingen in Sophos Connect, bijvoorbeeld één voor medewerkers en één voor beheerders. Eén object met meerdere waarden in het veld gateway blijft daarentegen één verbinding met alternatieve provisioninggateways. Leg namen, doelgroepen en terugvalpaden vast voordat beide varianten worden gecombineerd.

MFA-velden bewust instellen

Met otp: true toont Sophos Connect een derde invoerveld. 2fa bepaalt hoe de inhoud naar de authenticatieserver wordt verzonden:

• 2fa: 1 gebruikt de Sophos Firewall-configuratie. Wachtwoord en OTP worden samengevoegd als passwordotp.
• 2fa: 2 gebruikt een externe dienst zoals Duo. Wachtwoord en code worden door een komma gescheiden; afhankelijk van de Duo-configuratie zijn ook push, phone, sms of een tokencode mogelijk.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Bij de eerste keer ophalen kan het aanmeldvenster tweemaal verschijnen: eenmaal voor het downloaden van de configuratie en daarna voor het opbouwen van de tunnel. Dit is niet automatisch een fout. De helpdesk moet dit gedrag vóór een brede uitrol kennen. De MFA-configuratie op de firewall staat in Sophos Firewall MFA instellen.

De onderstaande GPO- en importmapstappen gelden voor Windows. Importeer op macOS vanaf 2.1 de goedgekeurde .pro rechtstreeks in de client en test pakket, portaltoegang, profielophaling en VPN-verbinding afzonderlijk in een pilot; neem geen Windows-paden of GPO-stappen over op Mac.

Op Windows importeren en aan beheerde uitrol overdragen

Het bestand kan via een beveiligde download worden aangeboden en handmatig worden geïmporteerd. Gebruikers kiezen Import connection of dubbelklikken op het .pro-bestand. E-mail is alleen geschikt wanneer transport en ontvangers worden beheerst; gebruikerswachtwoorden, OTP’s en tokens horen nooit in het bestand.

Sophos Connect bewaakt deze importmap:

C:\Program Files (x86)\Sophos\Connect\import\

Een .pro-bestand dat hier wordt geplaatst, wordt automatisch geïmporteerd en daarna verwijderd. Dit is normaal en bewijst niet dat de portaalauthenticatie of tunnel al werkt. Deze mapoverdracht is de koppeling met beheerde distributie.

GPO-opstartscripts, clientpakket, SCCLI, exitcodes en de volledige rollback staan in Sophos Connect beheerd op Windows distribueren. Die workflow levert het goedgekeurde .pro als afzonderlijk, geversioneerd artefact aan de reeds geïnstalleerde client, zodat pakketuitrol en profielprovisioning apart kunnen worden gecontroleerd.

Leg voor de pilot de versie of hash van het goedgekeurde bronbestand vast, draag het over aan de importmap en controleer welke verbinding verschijnt. De bron mag alleen leesbaar zijn voor de bedoelde apparaten, moet een vertrouwd certificaat gebruiken en mag geen aanmeldgegevens in een URL of script bevatten. Sophos Connect op Windows installeren behandelt installatie en ondersteunde platforms.

Een .pro-bestand bevat normaal geen gebruikerswachtwoorden. Het blijft wel een gecontroleerd configuratieobject: portaaladressen, gedrag, MFA- en auto-connectinstellingen mogen alleen uit een geautoriseerde bron komen.

Herbruikbare .pro-metadata en SSL-identiteit

Het oorspronkelijke .pro-bestand bevat herbruikbare provisioningmetadata, niet het SSL VPN-certificaat of de privésleutel van een gebruiker. De clientdocumentatie voor SFOS 22 onderscheidt dit van het SSL-profiel dat bij import wordt gegenereerd: dat profiel en de certificaten zijn gekoppeld aan de gebruikersidentiteit, authenticatiemethode en het domein waarmee is geïmporteerd. Importeer voor een andere methode of een ander domein een afzonderlijke .pro of de eigen .ovpn van de gebruiker; hergebruik van het geïmporteerde SSL-profiel kan Login failed. Wrong fingerprint of certificate. veroorzaken. Deze gedocumenteerde beperking geldt niet voor IPsec-profielen in .scx-formaat.

Een .ovpn bevat gebruikersspecifieke certificaten en privésleutels: deel dit bestand nooit tussen gebruikers. Hergebruik van goedgekeurde oorspronkelijke .pro-metadata betekent niet dat een gegenereerd SSL-profiel mag worden gedeeld of dat sleutels van een andere gebruiker mogen worden geëxporteerd. Importeren en aanmelden op Windows en op macOS beschrijven de clientstappen; pas deze versiebeperking toe op de SSL-bindings- en fingerprintadviezen.

De opgeslagen clientdocumentatie voor SFOS 23 laat het SFOS 22-onderdeel over identiteitsbinding weg zonder een wijziging in het runtimegedrag te verklaren. Dat bewijst noch vrijer profielhergebruik, noch ongewijzigde binding in elke versie. Houd SSL-imports uit voorzorg gescheiden naar identiteit, methode en domein totdat gezaghebbende versiespecifieke duidelijkheid beschikbaar is; presenteer deze voorzorg niet als een geverifieerde SFOS 23-runtimeregel.

Wijzigingen en profielupdates

Na een geslaagde import haalt Sophos Connect de beschikbare .scx- en .ovpn-profielen en latere wijzigingen automatisch op. Maak wel onderscheid tussen het ophaalpad in .pro en het opgehaalde VPN-profiel:

• Als gateway of vpn_portal_port verandert, wordt het .pro-bestand bijgewerkt en opnieuw gedistribueerd.
• Als de poort of het protocol onder SSL VPN global settings verandert, moeten gebruikers in de client op het tandwiel van de verbinding klikken en Update policy kiezen.
• De client haalt andere wijzigingen aan het aangeboden VPN-profiel automatisch op. Wijzigingen aan de SSL VPN-gateway, het servercertificaat, de poort of het protocol kunnen vereisen dat gebruikers zich opnieuw aanmelden.
• Als gateway en de VPN-portaalpoort na herstel of configuratie-import ongewijzigd blijven, haalt het bestand de getroffen IPsec- en SSL VPN-configuraties automatisch opnieuw op.
• Als dit pad is gewijzigd, distribueer en importeer het .pro-bestand opnieuw.
• Zonder werkend .pro worden getroffen IPsec-configuraties opnieuw geïmporteerd; na wijzigingen aan SSL VPN-poort, protocol, interface of servercertificaat wordt .ovpn opnieuw gedownload en geïmporteerd.
• Een client update is geen substituut voor gecontroleerde herverdeling van een gewijzigd .pro bestand.

Verdeel oude en nieuwe provisioningbestanden niet parallel via verschillende GPO’s, downloads en e-mails. Leg per uitrol bestandsnaam, versie of wijzigingsdatum, doelgroep en terugvalroute vast.

Provisioning en tunnel controleren

De test wordt met een bevoegde en een onbevoegde gebruiker vanuit een echt extern netwerk uitgevoerd. Een succesvolle portaal-login alleen is nog geen geslaagde VPN-test.

1. Controleer de Sophos Connect-versie en het Windows-platform.
2. Importeer het .pro-bestand handmatig of via de pilot-GPO.
3. Controleer welke .scx- en .ovpn-verbindingen daadwerkelijk verschijnen.
4. Voltooi de MFA-workflow, inclusief een mogelijke tweede aanmelding.
5. Verbind IPsec en SSL VPN afzonderlijk als beide worden aangeboden.
6. Controleer het leaseadres, de interne DNS-resolutie, de bestemmingsserver, de firewallregel en het retourpad.
7. Maak voor de onbevoegde gebruiker onderscheid tussen profielimport en toegang: een IPsec-profiel kan verschijnen, maar de tunnel of interne toegang moet in de beoogde authenticatie- of beleidsfase worden geweigerd. Een SSL VPN-.ovpn-bestand mag niet worden geïmporteerd zonder een passende policy.
8. Test beide updatepaden: een normale profielwijziging moet via het geïmporteerde .pro automatisch aankomen; kies na een wijziging van de SSL VPN-poort of het protocol Update policy in de client.
9. Test een clientherstart, netwerkwijziging en nieuwe overdracht via de gekozen methode.
10. Test de handmatige terugval naar een goedgekeurd .scx- of .ovpn-profiel.

Bij Microsoft Entra ID SSO worden ook Redirect URI, Conditional Access en gedwongen opnieuw aanmelden op gedeelde endpoints gecontroleerd. Microsoft Entra ID SSO voor Sophos Connect en het VPN-portaal legt de volledige mapping uit.

Leg voor de SSO-pilot firmwareversie, clientversie en IdP vast. Gebruik de hierboven gekozen versietak, controleer dezelfde IdP-toewijzing voor de provisioningservices en test portaalophaling en tunnel afzonderlijk met bevoegde en onbevoegde gebruikers. De SSL-identiteitsadviezen blijven versiegebonden; een geslaagde pilot lost het openstaande conflict in de SFOS 23-brondocumentatie niet algemeen op.

Problemen systematisch afbakenen

Er wordt geen verbinding geïmporteerd

Controleer eerst of het bestand geldige JSON bevat, op .pro eindigt en door de client is geïmporteerd. Controleer daarna gateway, vpn_portal_port, DNS, certificaatketen en bereikbaarheid van het VPN-portaal. Een bestand dat uit de importmap verdwijnt, is verwerkt, maar dit bewijst geen geslaagde authenticatie.

Als de client het portaal bereikt maar geen profiel ontvangt, controleer dan de geconfigureerde IPsec-verbinding, SSL VPN-policy, groepslidmaatschap en authenticatiemethoden. Het IPsec .scx-bestand wordt aan alle gebruikers verstrekt; een SSL VPN .ovpn-bestand alleen aan leden van een passende policy.

Certificaat- of SSO-fouten

De openbare naam in gateway moet overeenkomen met het certificaat en de firewallhost in het onderdeel Redirect URI van de ingestelde IdP. Controleer vpn_portal_port afzonderlijk. Bij SSO-provisioning moeten VPN-portaal, IPsec en SSL VPN dezelfde IdP gebruiken. Test portaalophaling en tunnelauthenticatie afzonderlijk voor de gekozen SFOS/client/provider-tak; een zichtbaar profiel of geslaagde Test connection bewijst geen van beide.

Koppel voor Entra de poging aan Entra sign-in log, inclusief MFA en Conditional Access. Volg de versiespecifieke diagnose in Entra ID VPN SSO: de oudere SSO-lognamen gelden voor SFOS 22, niet voor elke OIDC-implementatie. Volg voor Google op SFOS 23 de Google Workspace OIDC-diagnose. Neem providerspecifieke log- of herstartinstructies niet over naar andere versies.

MFA verschijnt tweemaal of mislukt

Bij het eerste ophalen kunnen twee aanmeldingen worden verwacht. Als authenticatie mislukt, vergelijk dan otp, 2fa, de geconfigureerde Sophos- of externe MFA-methode en het verwachte invoerformaat. passwordotp en de door komma’s gescheiden externe methode zijn niet uitwisselbaar.

Het profiel bestaat, maar verkeer werkt niet

Provisioning is dan al voorbij het werkelijke foutpunt. Controleer leasebereik, clientroutes, DNS, firewallregel, NAT, retourpad en packet capture afzonderlijk. Ga voor IPsec verder met Sophos Firewall IPsec VPN-probleemoplossing.

De beheerde overdracht importeert het bestand niet

Test eerst de handmatige import van hetzelfde goedgekeurde bestand. Werkt die, dan zit de fout in de overdracht en niet in het .pro-schema. Controleer servicestatus, systeemcontext, brontoegang, rechten en het exacte pad. Ga voor pakket-, GPO- en SCCLI-fouten verder met beheerde Windows-distributie. Blind opnieuw distribueren vervangt geen foutanalyse.

Veilig terugrollen

Stop voor een rollback eerst de distributie naar de getroffen doelgroep, zodat geen nieuwe import plaatsvindt. Het stoppen van de overdracht verwijdert reeds geïmporteerde verbindingen niet. Verwijder of vervang deze op pilotapparaten gecontroleerd voordat het eerder goedgekeurde handmatige .scx- of .ovpn-bestand wordt geïmporteerd en getest. Draai wijzigingen aan het VPN-portaal, Device Access of de authenticatie pas terug wanneer geen productieprovisioning er meer van afhankelijk is.

Verwijder en importeer de bestaande Sophos Connect-verbinding op testclients gecontroleerd opnieuw. Herhaal daarna portaal-login, tunnel, DNS, interne doelen en negatieve test. Verwijder het foutieve .pro-bestand pas uit centrale opslag en softwaredistributie nadat het terugvalpad werkt.

FAQ