Sophos Firewall IPsec VPN op iPhone instellen

Voor native Remote Access IPsec op de iPhone wordt het iOS-profiel rechtstreeks uit het VPN Portal van de Sophos Firewall gedownload en in de systeeminstellingen geïnstalleerd. Sophos Connect en OpenVPN Connect zijn hiervoor niet de importroute. Het .ovpn-bestand en de afzonderlijke handleiding voor SSL VPN op iPhone en iPad horen bij een ander protocol.

De snelle route is: controleer de iOS-versie en goedkeuring, meld je in Safari aan bij het VPN Portal, open VPN > VPN configuration > IPsec VPN profile > Download for iOS, controleer en installeer het profiel en controleer daarna de VPN-status en toegestane interne doelen. Alleen een geslaagde download betekent nog niet dat de verbinding werkt.

Vóór het downloaden: versie en rechten vaststellen

De beheerder moet Remote Access IPsec hebben geconfigureerd en de juiste policy aan de gebruiker hebben toegewezen. Zonder deze configuratie verschijnt de iOS-IPsec-download niet. Een zichtbare SSL-VPN-download bewijst niet dat de gebruiker IPsec-rechten heeft. De voorbereiding aan firewallzijde wordt uitgelegd in Sophos Connect op Sophos Firewall configureren; de desktopprofielen .scx en .pro uit die handleiding worden hier niet gebruikt.

Documenteer vóór de installatie:

de gebruikte SFOS-build en iOS-versie en de goedkeuring van deze combinatie door de beheerder;
het exacte portaladres, de gebruiker, de authenticatiemethode en de verwachte profielnaam;
de toegestane interne toepassing, interne DNS-namen en het beoogde Split Tunnel- of Full Tunnel-gedrag;
bestaande VPN-profielen en of de iPhone via MDM wordt beheerd;
waar de geïnstalleerde iOS-versie de profielinstallatie en VPN-verbindingsstatus toont en hoe precies deze tunnel weer kan worden verbroken.

De volgende Apple-menulabels worden in het Engels weergegeven; op een gelokaliseerd apparaat kunnen ze anders heten. Apple beschrijft geïnstalleerde profielen onder Settings > General > VPN & Device Management. De locatie van de VPN-schakelaar moet vooraf voor de daadwerkelijk gebruikte versie worden vastgesteld. Neem bij een geblokkeerde profielinstallatie op een beheerd apparaat contact op met de beheerder, in plaats van beheer- of beveiligingsfuncties te verwijderen.

De native client moet bij de beoogde authenticatiemethode passen. Een Windows-handleiding voor Sophos Connect met OIDC of Entra SSO garandeert geen ondersteuning voor native iOS-IPsec. MFA voor VPN Portal en Remote Access moet afzonderlijk voor het portal en de tunnel worden beoordeeld. Stop de uitrol en kies een goedgekeurd alternatief als de vereiste tweede factor niet veilig in de native procedure kan worden toegepast; schakel MFA niet uit om problemen op te lossen.

Profiel via Safari ophalen en installeren

Open in Safari het door de beheerder bevestigde VPN-portaladres. Voorbeeld: https://vpn.example.com:443. vpn.example.com is een tijdelijke aanduiding voor de eigen portal-FQDN; 443 is de standaardpoort. Gebruik een afwijkende poort alleen op aanwijzing van de beheerder. Los certificaatwaarschuwingen vóór het downloaden op en omzeil ze niet permanent.
Meld je aan met je eigen VPN-gebruiker en bevestig de vereiste tweede factor. Open VPN en tik vervolgens onder VPN configuration > IPsec VPN profile op Download for iOS. Dit is niet de mobiele SSL-VPN-download en ook geen Windows-clientpakket.
Bevestig de getoonde toestemming voor de download alleen voor het verwachte profiel. Open in Settings de vermelding Profile Downloaded. Stem de profielherkomst, organisatie, VPN-gateway en opgenomen instellingen af met de beheerder. Installeer onverwachte certificaten of aanvullende beheerinstellingen niet zonder controle.
Kies pas daarna Install en voer de getoonde bevestigingen uit, inclusief het invoeren van de toegangscode van het apparaat. Apple verwijdert een nog niet geïnstalleerde download na acht minuten; download het profiel opnieuw uit het bevestigde portal als het later ontbreekt. Er kan slechts één gedownload profiel tegelijk klaarstaan voor installatie. Als Stolen Device Protection de installatie verhindert, gebruik dan eerst een vertrouwde locatie en het goedgekeurde supportproces, in plaats van de beveiliging standaard uit te schakelen.
Identificeer het geïnstalleerde profiel in de systeeminstellingen. Sophos beschrijft in de SFOS-22/23-handleidingen dat de IPsec-verbinding na het downloaden automatisch wordt opgebouwd. Dit is geen garantie voor de huidige iOS-versie: de Apple-installatie en eventueel een aanmelding moeten zijn voltooid. Controleer de daadwerkelijke VPN-status; gebruik bij een niet-verbonden status de vooraf vastgestelde VPN-schakelaar voor dit profiel en voer de vereiste aanmeldgegevens of MFA-stappen uit. Improviseer niet als de schakelaar ontbreekt of er afwijkende vragen verschijnen, maar neem contact op met support.

Behandel het profiel als vertrouwelijk en geef het niet door aan andere gebruikers. Portal-SSO, profielinstallatie en tunnelaanmelding zijn drie verschillende handelingen; geen daarvan bewijst op zichzelf dat de andere zijn geslaagd.

Verbinding met een pilotgebruiker controleren

De volgende controles zijn acceptatiestappen, geen reeds uitgevoerde apparaattests. Voer de eerste test buiten het interne wifi-netwerk uit, op een goedgekeurd extern netwerk, zodat directe LAN-toegang het resultaat niet vertekent.

Controleer in de iOS-VPN-instellingen of het verwachte profiel verbonden is. De beheerder controleert de gebruiker en sessie op de firewall.
Open een toegestane interne toepassing via de gedocumenteerde DNS-naam. Zo staat https://intranet.example.com voor de eigen goedgekeurde toepassing; vervang de tijdelijke aanduiding door de daadwerkelijke interne naam. Controleer DNS-resolutie en toepassingstoegang afzonderlijk.
Een met de beheerder afgesproken, niet-toegestaan doel moet geblokkeerd blijven. Verruim firewallregels niet om een schijnbaar geslaagd resultaat te verkrijgen.
De beheerder controleert in Log Viewer of het verkeer uit de VPN-zone de verwachte, nauw afgebakende regel treft; logging moet hiervoor ingeschakeld zijn. De procedure staat in Firewallregels controleren met Log Viewer en Packet Capture.
Controleer of de tweede factor wordt toegepast waar het beveiligingsbeleid dit vereist. Een MFA-vraag in het portal bewijst niet dat MFA op de IPsec-tunnel wordt toegepast. Ook opnieuw verbinden en een gecontroleerde wissel tussen wifi en het mobiele netwerk horen bij de acceptatie. Internetverkeer moet overeenkomen met het afgesproken Split Tunnel- of Full Tunnel-ontwerp.

Onderzoek eerst policy, regel, retourroute en DNS als de tunnel actief is maar toegang tot toepassingen ontbreekt. Controleer bij een ontbrekende tunnel het profiel, de gebruikersrechten, de authenticatie en het IPsec-netwerkpad. IPsec-problemen oplossen helpt de beheerder het probleem af te bakenen; het uitschakelen van certificaatcontrole of MFA is geen diagnosestap.

Verbinding verbreken en profielen gecontroleerd vervangen

Sophos noemt Settings > General > VPN > Status om de betreffende verbinding te verbreken. Dit pad uit de bron is geen universeel actueel iOS-klikpad. Open het VPN-gedeelte dat bij de voorafgaande controle is vastgesteld, selecteer precies je eigen verbinding en zet de status op niet verbonden. Controleer daarna of de tunnel niet meer verbonden is en of een nieuwe aanvraag aan de testtoepassing die uitsluitend via VPN bereikbaar is, niet meer werkt. Vertrouw hiervoor niet op browserpagina’s die al geladen zijn. Schakel de MDM-verantwoordelijke in als een beheerbeleid het verbreken verhindert of de verbinding opnieuw opbouwt, in plaats van andere profielen te verwijderen.

Na beheerwijzigingen opnieuw installeren

Als een eerder werkende tunnel na een configuratiewijziging niet meer verbindt, schrijft Sophos voor om de configuratie opnieuw te installeren. Native iOS-IPsec gebruikt hier geen automatische Sophos Connect-provisioning.

Documenteer vóór de wissel de profielnaam, versie, reden voor de wijziging en de door de beheerder goedgekeurde terugvalroute. Spreek een tijdvenster af, omdat de vervanging de toegang onderbreekt. Reset niet zonder onderscheid alle netwerkprofielen of apparaatinstellingen.
Verbreek de tunnel en download het actuele iOS-IPsec-profiel opnieuw in Safari uit het VPN Portal. De beheerder stelt vast of het bestaande profiel wordt vervangen of dat eerst precies dat oude profiel moet worden verwijderd. Bij een MDM-profiel verloopt de wissel via het betreffende beheerproces.
Controleer en installeer het nieuwe profiel zoals hierboven beschreven. Controleer vervolgens opnieuw de verbinding, MFA-vereisten, DNS en toegestane en geblokkeerde doelen. Laat niet ongecontroleerd meerdere profielen met dezelfde naam naast elkaar bestaan.
Verbreek bij een mislukte acceptatie de nieuwe tunnel en stop de invoering. Gebruik een oud profiel alleen opnieuw als de beheerder bevestigt dat gateway, sleutels of certificaten en rechten nog geldig zijn. Na beveiligingswijzigingen is dit geen betrouwbare terugvalroute. Verwijder oude downloads en verouderde profielen pas gericht na een geslaagde acceptatie.

Apparaat vervangen of verliezen, of toegang intrekken

Controleer vóór het verwijderen onder Settings > General > VPN & Device Management het betreffende profiel en de inhoud ervan. Bevestig de aangeboden profielverwijdering alleen voor het ondubbelzinnig geïdentificeerde VPN-profiel en na goedkeuring. Apple wijst erop dat met een profiel ook bijbehorende instellingen, apps en gegevens kunnen worden verwijderd. Verwijder daarom geen gedeeld beheerprofiel in de veronderstelling dat je alleen VPN opruimt. Als verwijderen geblokkeerd is, moet de beheerorganisatie de intrekking uitvoeren.

Controleer na de intrekking of het profiel ontbreekt en er geen nieuwe verbinding meer mogelijk is. Trek bij apparaatverlies of vertrek van een gebruiker daarnaast aan serverzijde de gebruikers- of groepsrechten in, beëindig bestaande VPN-sessies en laat de beheerder bepalen hoe met mogelijk blootgestelde sleutels of certificaten moet worden omgegaan. Alleen het lokale bestand verwijderen trekt geen VPN-rechten in. Profielkopieën in downloads en back-ups horen eveneens bij het intrekkingsproces.