Sophos SSL VPN met Sophos Connect op Windows instellen

SSL VPN blijft op Sophos Firewall een belangrijke Remote Access-route, vooral wanneer IPsec in hotels, gastnetwerken of streng gefilterde externe netwerken problemen geeft. Op Windows wordt SSL VPN tegenwoordig in veel omgevingen via Sophos Connect gebruikt.

Dit artikel beschrijft de installatie op Windows, de import van de .ovpn-configuratie en de belangrijkste controles na het opbouwen van de verbinding. Voor de principiële keuze tussen Sophos Connect, SSL VPN, IPsec, mobiele clients en ZTNA past eerst Sophos Connect of SSL VPN: welke Remote Access-oplossing past?.

Plaatsing

Deze handleiding geldt voor Sophos Firewall met SFOS. Afhankelijk van platform of uitgangssituatie past een andere ingang:

SSL VPN met Sophos Connect op Windows instellen: Dit artikel.
SSL VPN op macOS instellen: Sophos SSL VPN op macOS instellen.
SSL VPN op iOS instellen: Sophos SSL VPN op iOS instellen.
Sophos Connect principieel beoordelen: Sophos Connect of SSL VPN: welke Remote Access-oplossing past?.
Sophos Connect Clientversies en profielen beheren: Sophos Connect Client-versie controleren en veilig bijwerken.

Belangrijk: Sophos Connect ondersteunt SSL VPN niet alleen op Windows. Sinds Sophos Connect 2.0 is Remote Access SSL VPN ook op macOS mogelijk. Mobiele platformen zoals iOS en Android worden door Sophos Connect niet direct ondersteund voor IPsec en SSL VPN; daar worden OpenVPN-compatibele clients of besturingssysteemfuncties gebruikt.

Vereisten

Sophos Firewall met ingerichte SSL-VPN-Remote-Access-configuratie
gebruiker met rechten voor SSL VPN
toegang tot het VPN Portal of een administratief beschikbaar gesteld .ovpn-bestand
Sophos Connect in een actuele versie die bij het Windows-platform past
Windows 10 of Windows 11, bij Sophos Connect 2.5 of nieuwer ook Windows ARM
MFA/OTP ingericht, als Remote Access daarmee wordt beschermd
firewallregels voor traffic uit de VPN-zone
duidelijk proces voor het verdelen van nieuwe .ovpn-bestanden na wijzigingen

Als de SSL-VPN-configuratie aan firewallzijde nog niet klaar is, moet eerst Sophos Firewall SSL VPN Remote Access instellen worden uitgevoerd.

Voor een upgrade naar SFOS 22 MR1 moet daarnaast worden gecontroleerd of er nog oude Remote Access IPsec-configuraties aanwezig zijn. SSL VPN wordt daar niet direct door geraakt, maar veel omgevingen beoordelen Remote Access op dat moment opnieuw. De werkwijze staat in Legacy Remote Access IPsec voor SFOS 22 MR1 migreren.

Voor de download plannen

Voordat gebruikers de client downloaden, moet duidelijk zijn hoe SSL VPN wordt gebruikt. Veel latere fouten ontstaan niet tijdens de installatie, maar door oude profielen, onduidelijke rechten of te brede firewallregels.

Belangrijke planningsvragen:

Gebruikers: Welke gebruikers of groepen zijn als Policy members voor SSL VPN gemachtigd?
Portal: Moet het VPN Portal vanaf internet bereikbaar zijn of wordt het .ovpn-bestand administratief verdeeld?
Certificaat: Past het certificaat bij de publieke FQDN en toont de browser geen waarschuwing?
MFA: Wordt OTP/MFA voor Remote Access gevraagd en is de tokenuitrol afgerond?
DNS: Zijn interne DNS-servers en zoekdomeinen nodig?
Toegang: Welke interne netwerken en diensten mogen vanuit de VPN-zone bereikbaar zijn?
Beheer: Wie werkt Sophos Connect bij en verdeelt nieuwe profielen na wijzigingen?

Als het VPN Portal publiek bereikbaar is, moet het niet alleen als downloadpagina worden gezien. Het is een logindienst van de firewall en hoort bij het aanvalsoppervlak. Device Access, certificaat, MFA, logging en mogelijke bron- of landenbeperking moeten daarom bewust worden gecontroleerd.

1. Aanmelden bij het VPN Portal

Open het VPN Portal van de Sophos Firewall in de browser en meld aan met de VPN-gebruiker.

Sophos Firewall v20 VPN Portal Login Screen — Het VPN Portal is de gebruikelijke ingang voor gebruikers, maar moet met een geldig certificaat, MFA en bewust ingestelde Device Access worden gebruikt.

Als de browser voor het certificaat waarschuwt, moet de oorzaak worden gecontroleerd. In productieomgevingen is een geldig certificaat voor het VPN Portal netter dan een permanente browseruitzondering. Voor publieke portals zijn certificaat, MFA en Device Access geen bijzaak, maar onderdeel van de Remote Access-beveiliging. Voor hardening past Device Access en Local Service ACL op Sophos Firewall.

Als de gebruiker na succesvolle aanmelding geen SSL-VPN-configuratie ziet, is dat zelden een Windows-probleem. Controleer dan eerst of de gebruiker of groep in de passende SSL-VPN-policy als Policy members is opgenomen en of het juiste Portal wordt bereikt.

2. Sophos Connect en SSL-VPN-configuratie downloaden

Ga in het VPN Portal naar het gedeelte VPN. Daar worden de Sophos Connect Client en de SSL-VPN-configuratie beschikbaar gesteld. Voor SSL VPN is het .ovpn-bestand relevant.

Sophos Firewall VPN Portal - Client en Config Download — In het VPN Portal worden client en `.ovpn`-configuratie beschikbaar gesteld; het bestand moet bij de actuele firewallconfiguratie passen.

De Sophos Connect Client kan ook direct van de Sophos-website worden gedownload: Sophos Connect Client downloaden.

In beheerde omgevingen mag de client niet willekeurig worden geïnstalleerd. Beter is een gedefinieerd softwarepakket met duidelijke versie, testgroep en updateproces. De vrijgegeven versie moet worden afgeleid uit de officiële Release Notes, het VPN Portal of het interne softwarepakket, niet uit losse downloads op gebruikersapparaten. Actuele Sophos Connect-versies bevatten ook security- en componentupdates, bijvoorbeeld voor OpenVPN of OpenSSL.

Als op het Windows-apparaat nog een oude SSL-VPN-client of een andere OpenVPN-gebaseerde client voor dezelfde verbinding is geïnstalleerd, moet die situatie voor de rollout worden opgeruimd. Meerdere parallel beheerde VPN-clients leiden anders snel tot verkeerde adapters, oude profielen en onduidelijke supportcases.

3. Sophos Connect installeren

Voer de setup uit en volg de installatiestappen.

Sophos Connect SSL VPN Client installeren onder Windows — De installatie richt Sophos Connect en de benodigde VPN-adapter in; in beheerde omgevingen moet deze stap als pakket voorbereid zijn.

Als tijdens de installatie een netwerkadapter moet worden bevestigd, hoort dat bij de VPN-client. In beheerde Windows-omgevingen moet deze stap via softwaredistributie of lokale adminrechten netjes voorbereid zijn.

Na de installatie moet de Sophos Connect-versie worden gedocumenteerd. Dat helpt later bij supportcases, omdat clientfouten, profielfouten en firewallfouten anders snel door elkaar lopen. Voor de lopende operatie past Sophos Connect Client-versie controleren en veilig bijwerken.

4. SSL-VPN-configuratie importeren

Na de installatie verschijnt het Sophos Connect-pictogram in het systeemvak van de Windows-taakbalk. Open Sophos Connect en importeer het gedownloade .ovpn-bestand.

Sophos Connect Client SSL VPN-configuratie importeren — Na de installatie heeft Sophos Connect nog geen verbinding; pas de profielimport maakt de client bruikbaar.

Sophos Connect SSL VPN Client config importeren onder Windows — De SSL-VPN-configuratie wordt gericht geïmporteerd; oude of dubbele profielen moeten voor de rollout worden opgeschoond.

Onder Windows aanmelden bij de Sophos SSL VPN Client — Na de import moet de verbindingsnaam duidelijk zijn, zodat gebruikers en helpdesk het juiste profiel kiezen.

Bij meerdere profielen moet de verbindingsnaam eenduidig zijn. Oude of dubbele profielen leiden anders snel tot supportcases, omdat gebruikers het verkeerde doel kiezen.

Na wijzigingen aan de SSL-VPN-policy, het certificaat, gateway, DNS, de gebruikersgroep of de provisioninglogica moet de verbinding opnieuw worden geïmporteerd. Een clientupdate vervangt niet automatisch een oud .ovpn-profiel. Als Sophos Connect een policy- of compressieafwijking meldt, is vaak precies deze profielstand het probleem.

Typische aanwijzingen voor een verouderd of verkeerd profiel:

Verbinding toont oude locatienaam: meestal is nog een oud profiel geïmporteerd. Oude verbinding verwijderen en actueel .ovpn opnieuw importeren.
Certificaat- of gatewaywaarschuwing: FQDN, certificaat of Override Hostname is mogelijk gewijzigd. Profiel uit het actuele VPN Portal opnieuw downloaden.
DNS werkt alleen bij afzonderlijke clients niet: oude DNS-waarden in het profiel of lokaal DNS-gedrag controleren. Profiel opnieuw importeren en Windows-DNS controleren.
Gebruiker ziet in het Portal geen configuratie: policy-toewijzing of gebruikerscontext controleren. SSL-VPN-policy en groepslidmaatschap controleren.

5. VPN-verbinding opbouwen

Selecteer de geïmporteerde verbinding en klik op Connect. Meld daarna aan met de VPN-gebruiker. Als MFA of OTP actief is, moet de tweede factor volgens de firewallconfiguratie worden bevestigd.

Na het opbouwen van de verbinding moet niet alleen de status in de client worden gecontroleerd. Beslissend is of de benodigde interne doelen bereikbaar zijn.

Na de installatie controleren

Minstens deze punten moeten met een testgebruiker worden gecontroleerd:

Sophos Connect toont de verbinding als verbonden.
De gebruiker krijgt een IP-adres uit de verwachte SSL-VPN-pool.
Interne DNS-namen worden correct opgelost.
Benodigde servers en toepassingen zijn bereikbaar.
Internetgedrag komt overeen met het ontwerp: Split Tunnel of Full Tunnel.
In Log Viewer is de verwachte firewallregel voor traffic uit de VPN-zone zichtbaar.
MFA wordt zoals gepland gevraagd.
Een bewust niet toegestaan doel blijft geblokkeerd.
Verbindingsonderbreking en opnieuw aanmelden werken.

Als de verbinding staat maar toegang niet werkt, ligt de oorzaak vaak niet bij de client, maar bij firewallregels, DNS, routing of NAT. Voor de analyse past Firewallregel testen met Log Viewer, Policy Test en Packet Capture.

Windows-side snelle controle

Op de Windows-client helpen eenvoudige controles voordat men de firewallconfiguratie wijzigt:

ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10

Het doel is niet om elke ping toe te staan. Doorslaggevend is of de client een SSL-VPN-adres heeft gekregen, of er een route naar het interne doelnet bestaat en of DNS via de verwachte server oplost. Als toegang per IP-adres werkt, maar per naam niet, is DNS waarschijnlijker dan de firewallregel.

Beheer en beveiliging

SSL VPN is een publiek bereikbare Remote Access-dienst. Daarom moet niet alleen de installatie worden gedocumenteerd, maar ook het beheer:

Sophos Connect regelmatig bijwerken.
MFA voor Remote Access activeren en testen.
VPN-groepen regelmatig controleren.
Portaltoegang via Device Access en Local Service ACL beperken waar mogelijk.
Firewallregels voor de VPN-zone strak houden en loggen.
Oude .ovpn-bestanden en verouderde profielen verwijderen.
Bij langere logbewaring Syslog of centrale analyse plannen.

Voor MFA-basisprincipes past MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren. Voor logbestanden en servicelogs is Sophos Firewall Troubleshooting: services en logs nuttig.

Troubleshooting

Aanmelden bij het VPN Portal werkt niet

Controleer gebruiker, wachtwoord, MFA, groepslidmaatschap en authenticatieserver. Als AD, RADIUS of Microsoft Entra ID SSO betrokken is, moet de authenticatie los van VPN worden getest.

Gebruiker ziet geen SSL-VPN-configuratie in het VPN Portal

Als de aanmelding werkt, maar geen .ovpn-bestand of SSL-VPN-download zichtbaar is, moet men niet op de Windows-client zoeken. Eerst horen SSL-VPN-policy, Policy members, groepslidmaatschap, Portal-toegang en User-ID-limiet te worden gecontroleerd. De firewall-side procedure staat in Sophos Firewall SSL VPN Remote Access instellen.

`.ovpn`-bestand kan niet worden geïmporteerd

Controleer eerst of het bestand echt bij de actuele firewallconfiguratie hoort en of Sophos Connect actueel genoeg is. Bij speciale tekens in certificaten of gebruikersgegevens moet een actuele clientversie worden gebruikt.

Als het downloaden van het .ovpn-bestand in het VPN Portal zelf mislukt terwijl aanmelding en rechten kloppen, moet aanvullend de Sophos Firewall User-ID-limiet worden gecontroleerd.

Verbinding staat, maar interne systemen zijn niet bereikbaar

Controleer DNS, firewallregels, routing, NAT en retourpad. In Log Viewer moet traffic uit de VPN-zone zichtbaar zijn. Als er geen logs verschijnen, bereikt de traffic de verwachte regel waarschijnlijk niet of is logging gedeactiveerd.

Als kleine toegangen werken, maar grotere bestandsoverdrachten of bepaalde toepassingen blijven hangen, moet ook MTU/MSS worden gecontroleerd: Sophos Firewall MTU en MSS bij VPN-problemen controleren.

Sophos Connect meldt Policy mismatch of Compression mismatch

Dergelijke meldingen wijzen er vaak op dat de firewallconfiguratie is gewijzigd, maar de client nog een oud SSL-VPN-profiel gebruikt. In dat geval moet het actuele .ovpn-bestand opnieuw uit het VPN Portal worden geladen of administratief opnieuw worden verdeeld en daarna opnieuw worden geïmporteerd.

Na profielwissel verbindt Sophos Connect nog steeds naar het oude doel

Dan is vaak nog een oude verbinding aanwezig of kiezen gebruikers in de client de verkeerde profielnaam. Oude profielen verwijderen, het actuele .ovpn opnieuw importeren en de profielnaam zo kiezen dat locatie, omgeving of doel duidelijk herkenbaar zijn.

Verbinding valt weg in externe netwerken

SSL VPN is vaak toleranter dan IPsec, maar niet immuun voor restrictieve netwerken, Captive Portals, verplichte proxy’s of instabiele wifi. Test in zulke gevallen met een tweede netwerk en controleer of Split Tunnel, poort, protocol of ZTNA beter past.

Supportdata verzamelen

Als de fout niet direct zichtbaar is, kan Sophos Connect een technisch supportrapport maken. Dit bevat verbindingsgebeurtenissen, VPN-configuraties en informatie over het endpoint. Voor doorsturen moeten gevoelige gegevens zoals gebruikersnamen, interne hostnamen, IP-adressen en gateway-FQDN’s worden gecontroleerd.

Aan firewallzijde helpen parallel Log Viewer, sslvpn.log, openvpn-status*.log en de passende firewallregel. De toewijzing van logbestanden staat in Sophos Firewall Troubleshooting: services en logs.

FAQ

Met welke besturingssystemen is de Sophos Connect Client compatibel?

Actuele Sophos Connect-versies ondersteunen Windows 10 en 11 als 64-bit-systemen. Windows ARM wordt vanaf Sophos Connect 2.5 ondersteund.

Wordt macOS voor SSL VPN ondersteund?

Ja. Sinds Sophos Connect 2.0 kan de Sophos Connect Client op macOS ook Remote Access SSL VPN gebruiken.

Kan de Sophos Connect Client op mobiele platformen worden gebruikt?

Nee. Sophos Connect ondersteunt Android en iOS niet direct voor IPsec en SSL VPN. Voor mobiele platformen worden afhankelijk van het protocol OpenVPN-compatibele clients of besturingssysteemfuncties gebruikt.

Ondersteunt de Sophos Connect Client Windows ARM?

Ja. Windows ARM wordt vanaf Sophos Connect 2.5 ondersteund.

Is SSL VPN beter dan IPsec?

Niet algemeen. SSL VPN werkt vaak beter in restrictieve externe netwerken. IPsec kan performanter zijn. Doorslaggevend zijn gebruikersapparaten, netwerkomgevingen, beveiligingseisen en beheerprocessen.