Sophos Firewall: .ovpn ontbreekt of is 0 bytes

Als in Sophos Firewall VPN Portal geen bruikbaar .ovpn-bestand wordt geleverd, moet eerst het exacte foutbeeld worden vastgesteld. Drie situaties lijken op elkaar, maar hebben verschillende oorzaken:

De download ontbreekt volledig: Meestal is de gebruiker niet aan een geschikte SSL-VPN-policy toegewezen of wordt het verwachte groepslidmaatschap niet toegepast.
De download is zichtbaar, maar het bestand is 0 bytes of bevat alleen een foutmelding: Het profiel kon niet worden gegenereerd of geleverd. Dan zijn de certificaatgeneratie, logs, firmwareversie en bij HA de actieve node relevant.
Het bestand is niet leeg, maar een bestaande verbinding werkt niet meer: Dit is normaal gesproken geen downloadfout. Na wijzigingen aan Protocol, SSL server certificate, Override hostname of Port moet een actueel profiel worden geïmporteerd.

Dit onderscheid voorkomt onnodige ingrepen. Vernieuw vooral niet op goed geluk de Default CA en voer geen oude herstelcommando’s uit Community-bijdragen uit.

Het foutbeeld in VPN Portal bepalen

Meld voor de eerste controle aan bij VPN Portal met de getroffen gebruiker en open VPN > VPN configuration. Leg daarna vier resultaten afzonderlijk vast: portal bereikbaar, aanmelding geslaagd, SSL-VPN-vermelding zichtbaar en grootte van het gedownloade bestand.

Een vergelijking met een werkende referentiegebruiker uit dezelfde SSL-VPN-policy geeft de meeste informatie:

Noteer de exacte testtijd en de getroffen gebruikersnaam.
Controleer of de SSL-VPN-download onder VPN configuration verschijnt.
Download het bestand en controleer de grootte in het besturingssysteem.
Herhaal dezelfde procedure met een bekende werkende gebruiker.
Leg vast of de fout slechts één gebruiker, één groep of alle gebruikers treft.

Als de referentiegebruiker werkt, ligt de oorzaak eerder bij de policytoewijzing, groep, User ID of certificaatgeneratie voor de afzonderlijke gebruiker. Mislukt de download voor iedereen, dan worden het gezamenlijke SSL-VPN-certificaat, opslag, pattern, firmware en bij HA de actieve node waarschijnlijker.

Een .ovpn kan certificaat- en sleutelmateriaal bevatten. De inhoud hoort niet thuis in schermafbeeldingen, e-mails of supporttickets. Voor de diagnose zijn bestandsnaam, grootte, tijdstip en zichtbare foutmelding voldoende.

Als de toegang tot het portal of de aanmelding al mislukt, ligt de fout vóór de profielgeneratie. Controleer dan Administration > Device access, de VPN Portal-authenticatie en vpnportal.log of access_server.log. De volledige firewallconfiguratie wordt beschreven in SSL VPN Remote Access configureren.

Als het .ovpn-bestand volledig ontbreekt

De firewall toont SSL-VPN-configuraties alleen aan gebruikers die aan een Remote Access SSL VPN-policy zijn toegewezen. Alleen een geslaagde aanmelding bij het portal bewijst deze autorisatie nog niet.

Policy en groepslidmaatschap controleren

Open Remote access VPN > SSL VPN.
Bewerk de verwachte policy.
Controleer onder Policy members of de gebruiker of de daadwerkelijke groep is opgenomen.
Controleer het groepslidmaatschap onder Authentication > Users of Authentication > Groups.
Meld opnieuw aan bij VPN Portal met de getroffen gebruiker en open VPN configuration opnieuw.

Een gebruiker kan via een andere portalautorisatie succesvol aanmelden en toch geen SSL-VPN-configuratie ontvangen. Gastgebruikers en gastgroepen zijn geen geldige Policy members voor Remote Access SSL VPN. Bij identieke rechtstreekse gebruikers- of groepsleden verwijdert Sophos Firewall deze bij het opslaan van de nieuwere policy uit de eerdere policy. Controleer daarom de daadwerkelijk overgebleven Policy members en overlappende groepslidmaatschappen.

Alleen nieuwe of afzonderlijke gebruikers zijn getroffen

Controleer dan ook de interne User ID onder Authentication > Users > Show additional properties. Sophos Firewall ondersteunt gebruikers- en groeps-ID’s slechts tot 65535. Een hogere ID kan de download verhinderen; de veilige controle en opschoning staat in Sophos Firewall User-ID-limiet.

Een aantoonbaar geslaagde aanmelding bij VPN Portal spreekt tegen de User-ID-limiet als primaire oorzaak. Doorslaggevend blijft echter de zichtbare ID van het getroffen account, niet het aantal gebruikers in de lijst.

Controleer daarnaast de gebruikersnaam en de Subject-velden van certificaat en CA op speciale tekens. Sophos adviseert voor deze procedure ASCII-gebruikersnamen en geen UTF-8-tekens in certificaat- of CA-velden. De gebruikersnaam wordt verwerkt in de .ovpn-bestandsnaam en in het per gebruiker gegenereerde certificaat. Een werkende testgebruiker met een eenvoudige ASCII-naam helpt bij het afbakenen; productieve AD- of Entra-identiteiten worden hiervoor niet spontaan hernoemd.

Als de download 0 bytes is of niet wordt gegenereerd

Een leeg bestand betekent dat de downloadlink aanwezig is, maar de generatie of levering geen bruikbare configuratie heeft opgeleverd. Sophos noemt onvolledige certificaat- of CA-configuraties als mogelijke oorzaak. Voordat iets wordt geregenereerd, worden logs en systeemstatus veiliggesteld.

Logs direct op het testtijdstip veiligstellen

Onder Diagnostics > Tools > Troubleshooting logs kunnen de relevante bestanden zonder ingreep in de Advanced Shell worden gedownload. Afhankelijk van de foutfase zijn belangrijk:

vpnportal.log voor de aanvraag in VPN Portal;
access_server.log voor de normale authenticatie;
oauth_sso_vpn.log bij Microsoft Entra ID SSO;
peruser_cert_sslvpn.log voor de gebruikersspecifieke certificaatgeneratie;
vpncertificate.log voor certificaten en Certificate Authorities;
sslvpn.log voor de SSL-VPN-service.

Beperk de logs tot de eerder genoteerde testtijd en gebruikersnaam. Als portal en authenticatie succesvol zijn, maar peruser_cert_sslvpn.log op hetzelfde tijdstip een fout toont, zijn certificaat en CA het volgende zinvolle controlepunt. Als de fout pas sinds een upgrade of HA-failover alle gebruikers treft, leg dan ook firmwareversie, actieve node en tijdstip van de rolwissel vast. De indeling van andere bestanden wordt uitgelegd in Sophos Firewall-services en -logs.

Tijdelijke opslag controleren

Ook een volle tijdelijke partitie kan de profielgeneratie verhinderen. Open na de SSH-aanmelding bij Sophos Firewall 5 Device Management > 3 Advanced Shell en lees de vrije ruimte uit:

df -kh /tmp

Doorslaggevend zijn de kolommen Avail en Use% voor het bestandssysteem waarop /tmp staat. Als er vrijwel geen ruimte meer beschikbaar is, worden onbekende bestanden niet handmatig verwijderd. Stel in plaats daarvan logs en systeemstatus veilig en bepaal welk proces de opslag gebruikt. Sophos heeft met NC-142397 al een oudere fout verholpen waarbij SSL VPN de /tmp-partitie vulde; de bug-ID is daarom een versieaanwijzing, maar geen automatische diagnose voor actuele builds.

SSL-VPN-certificaat en Signing CA controleren

Onder Remote access VPN > SSL VPN > SSL VPN global settings toont het veld SSL server certificate welk certificaat de firewall voor de SSL-VPN-tunnel gebruikt. Verwar dit certificaat niet met het HTTPS-certificaat van VPN Portal onder Administration > Admin and user settings.

Geldigheidsduur van publieke certificaten juist beoordelen

De aangekondigde verkorting van publiek vertrouwde TLS-certificaten tot 47 dagen raakt niet automatisch de per gebruiker in het .ovpn-bestand opgenomen X.509-certificaten. Standaard ondertekent de interne SFOS-CA deze certificaten en maken ze geen deel uit van de publieke Web PKI. Maandelijkse profieldownloads of een overstap naar een publieke CA zijn daarom niet nodig.

Het HTTPS-certificaat van VPN Portal en het SSL server certificate van de tunnel houden verschillende rollen. Het portalcertificaat moet als browserdienst tijdig worden vernieuwd; een automatisch vernieuwd Let’s Encrypt-certificaat kan daarvoor geschikt zijn. Een wijziging aan Protocol, SSL server certificate, Override hostname of Port wordt echter pas betrouwbaar actief na het opnieuw downloaden en importeren van het .ovpn-bestand. Dit onderscheid voorkomt een onnodige herbouw van de interne SSL-VPN-PKI vanwege kortere publieke looptijden.

Controleer daarna onder Certificates > Certificates en Certificates > Certificate authorities:

Is het geselecteerde SSL-servercertificaat aanwezig en nog geldig?
Is de uitgevende CA aanwezig en vertrouwd?
Is bij een extern certificaat de volledige keten van Intermediate- en Root-CA geïmporteerd?
Komt het fouttijdstip overeen met een certificaatwijziging, restore of migratie?

Standaard gebruikt de firewall het ingebouwde ApplianceCertificate, dat door de Default CA wordt ondertekend. Dit verklaart de normale afhankelijkheid, maar bewijst nog niet welk certificaatobject de concrete fout veroorzaakt. Een fout in peruser_cert_sslvpn.log mag in het bijzonder niet automatisch als een defect ApplianceCertificate worden geïnterpreteerd.

Sophos adviseert bij een bestand van 0 bytes de werkelijk gebruikte Signing CA en het getroffen, daardoor gegenereerde certificaat te controleren. De concrete reparatie verschilt echter per certificaat:

ApplianceCertificate: Alleen voor dit ingebouwde certificaat documenteert Sophos de actie Regenerate onder Certificates > Certificates. Gebruik deze alleen als ApplianceCertificate als SSL-servercertificaat is geselecteerd en door een logmelding of Sophos Support als getroffen is bevestigd.
Extern SSL-servercertificaat: Controleer certificaat, privésleutel, Intermediate-CA en Root-CA als samenhangende keten en importeer deze gecontroleerd opnieuw als een betrouwbare foutmelding daartoe aanleiding geeft. Hiervoor bestaat geen algemene stap Regenerate.
Gebruikersspecifiek SSL-VPN-certificaat: Een fout in peruser_cert_sslvpn.log betreft niet automatisch het SSL-servercertificaat. Sophos beschrijft momenteel geen algemene UI-procedure om dit gebruikerscertificaat te resetten. Geef daarom de veiliggestelde logs door aan Sophos Support; oude Shell- of database-instructies worden niet overgenomen.

Als het getroffen object eenduidig is vastgesteld, wordt de reparatie gecontroleerd uitgevoerd:

Maak een actuele firewallback-up.
Documenteer het geselecteerde SSL-servercertificaat, de uitgevende CA, de concrete logmelding en de services die het gebruiken.
Voer de passende actie uit de drie situaties in een onderhoudsvenster uit; escaleer naar Sophos Support als de situatie niet eenduidig is.
Download met een pilotgebruiker een nieuw .ovpn-bestand, importeer het en test de tunnel.
Distribueer pas na een geslaagde pilottest nieuwe profielen aan alle getroffen gebruikers en controleer andere getroffen services.

⚠️ Bewerk niet in plaats daarvan op goed geluk de Default CA. Bij het opslaan wordt deze CA opnieuw gegenereerd. Dit kan aanzienlijk meer certificaten en vertrouwensrelaties treffen dan alleen het afzonderlijke SSL-VPN-servercertificaat. De Sophos Firewall Default CA gecontroleerd vernieuwen legt inventarisatie, onderhoudsvenster, profielmigratie en herstel uit.

Pattern, firmware en HA controleren

Onder Backup & firmware > Pattern updates moeten de automatisch geïnstalleerde componenten een actueel tijdstempel en Success tonen. Een enkele handmatige aanvraag met Update pattern now is zinvol als een pattern-fout zichtbaar is; herhaald klikken vervangt geen diagnose. De volledige procedure staat in Pattern-updates configureren en controleren.

Ook de exacte firmwarebuild hoort bij de beoordeling. Sophos vermeldt NC-149642 – gebruikers konden de SSL-VPN-configuratie niet vanuit VPN Portal downloaden – bij de opgeloste problemen van SFOS 21.0 MR2 Build 349 en SFOS 22.0 GA Build 411. Andere oudere fixes betroffen downloads na upgrades of HA-failover. Een historische bug-ID bewijst de actuele oorzaak niet, maar laat zien waarom een verouderde build vóór diepere reparaties met de Release Notes moet worden vergeleken. Een update wordt gepland en niet tijdens het lopende onderzoek geïmproviseerd; gebruik daarvoor Sophos Firewall SFOS-firmware bijwerken.

Noteer in een HA-cluster de rol, actieve node en het tijdstip van de laatste failover. Als de fout pas na een rolwissel optreedt, stel dan de VPN- en HA-logs van de getroffen node veilig. Interne mappen, databasevermeldingen of symlinks onder /content/sslvpn worden niet handmatig gerepareerd. Dergelijke ingrepen horen samen met het veiliggestelde foutbeeld bij Sophos Support.

Als het bestand aanwezig maar verouderd is

Een niet-leeg .ovpn-bestand kan correct zijn gegenereerd en toch niet meer bij de actuele firewallstatus passen. Na wijzigingen aan Protocol, SSL server certificate, Override hostname of Port moet het bestand opnieuw worden gedownload en in de client opnieuw worden geïmporteerd. Als Override hostname leeg is, kunnen de vrijgegeven interface-adressen in het profiel staan; ook dan moet een gewijzigd profiel opnieuw worden opgehaald.

Wijzigingen aan Policy members of Permitted network resources vereisen daarentegen normaal gesproken alleen een nieuwe verbinding. Een .pro-provisioningbestand laadt de beschikbare configuratie automatisch; bij de diagnose moet desondanks afzonderlijk worden gecontroleerd of de handmatige .ovpn-download werkt.

Bij Microsoft Entra ID SSO wordt onder Authentication > Services dezelfde Entra ID-server geselecteerd voor VPN portal authentication methods en SSL VPN authentication methods. Daarna moet het .ovpn-bestand opnieuw worden gedownload. Als een .pro ook IPsec provisiont, wordt ook VPN (IPsec/dial-in/L2TP/PPTP) authentication methods met dezelfde server gecontroleerd. De volledige afhankelijkheid staat in Microsoft Entra ID SSO voor Sophos Connect en VPN Portal.

Resultaat controleren en correct escaleren

De fout geldt pas als verholpen wanneer dezelfde procedure met een normale pilotgebruiker volledig werkt:

De aanmelding bij VPN Portal is succesvol.
De verwachte SSL-VPN-vermelding is onder VPN configuration zichtbaar.
Het gedownloade .ovpn-bestand is niet leeg en bevat geen foutmelding.
Het nieuwe profiel kan in de beoogde client worden geïmporteerd.
De tunnel wordt opgebouwd en krijgt een adres uit de verwachte SSL-VPN-pool.
Een toegestaan intern doel werkt via IP-adres en hostnaam.
Een bewust niet-toegestaan doel blijft geblokkeerd.

Als de generatie op een actuele firmwareversie blijft mislukken, moet het supportpakket ten minste model, firmwarebuild, HA-rol, fouttijdstip, gebruiker en groep, getroffen policy, bestandsgrootte, zichtbare foutmelding, laatste wijzigingen en de genoemde logs bevatten. Het eigenlijke .ovpn-bestand wordt niet meegestuurd. Voor een reproduceerbare situatie is dit bewijs waardevoller dan riskante wijzigingen aan interne bestanden.