Sophos Firewall SSL VPN Externe toegang instellen

SSL VPN blijft een belangrijk toegangspad op afstand op Sophos Firewall, vooral wanneer gebruikers werken vanuit hotels, gast-WiFi, mobiele netwerken of beperkende netwerken van derden. Maar het is niet alleen of de tunnel wordt gebouwd, dat belangrijk is. Cruciaal is of de firewall de toegang goed beperkt, of DNS werkt, of MFA van toepassing is en of de firewallregels verkeer vanuit de VPN-zone gecontroleerd toelaten.

Het artikel beschrijft de configuratie aan de firewallzijde van SSL VPN Externe toegang op Sophos Firewall. Voor de clientinstallatie: Sophos SSL VPN instellen met Sophos Connect op Windows, Sophos SSL VPN instellen met Sophos Connect op macOS, Sophos SSL VPN op iPhone en iPad zijn geschikt instellen en Sophos SSL VPN instellen op Android.

Voor de basisbeslissing tussen IPsec, SSL VPN, mobiele clients en ZTNA, Sophos Connect of SSL VPN: Welke oplossing voor externe toegang past? past als eerste.

Welk SSL VPN-artikel past?

SSL VPN bestaat uit firewallconfiguratie, portal, client, authenticatie en latere foutanalyse. Afhankelijk van de taak is een andere aanpak geschikt:

• SSL VPN ingesteld op de firewall: Dit artikel.
• Sophos Connect of SSL VPN feitelijk vergelijken: Sophos Connect of SSL VPN: Welke oplossing voor toegang op afstand is geschikt?.
• Sophos Connect Clientversies en -profielen onderhouden: Sophos Connect Clientversie controleren en veilig bijwerken.
• SSL VPN-client instellen op Windows: Sophos SSL VPN instellen met Sophos Connect op Windows.
• SSL VPN instellen op macOS, iOS of Android: macOS, iPhone/iPad of Android.
• Microsoft Entra ID SSO of Entra-MFA gebruiken: Microsoft Entra ID SSO instellen voor Sophos Connect en VPN Portal.
• VPN is verbonden, maar het verkeer werkt niet: Test firewallregel met Log Viewer, Policy Test en Packet Capture.
• Grote overdrachten lopen vast of individuele applicaties worden niet geladen: Sophos Firewall Controleer MTU en MSS op VPN-problemen.

Deze scheiding is belangrijk: een gebruikersprobleem in VPN Portal, een verouderd .ovpn profiel, een ontbrekende firewallregel en een DNS-probleem zien er voor de gebruiker vaak hetzelfde uit. Voor analyse moeten deze niveaus worden gescheiden.

Doelafbeelding

Een schone SSL VPN-structuur bestaat uit verschillende bouwstenen:

1. Gebruikers of groepen zijn geautoriseerd in het juiste SSL VPN-beleid.
2. De algemene SSL VPN-instellingen definiëren gateway, poort, certificaat, leasebereik, DNS en cryptografie.
3. De VPN Portal is slechts zo breed toegankelijk als nodig is en wordt beschermd door MFA.
4. Firewallregels staan verkeer van de VPN-zone alleen toe naar de vereiste bestemmingen.
5. Een splittunnel of een volledige tunnel is een bewuste keuze.
6. Klanten importeren een actueel .ovpn profiel.
7. Logboeken, Packet Capture en ondersteuningsgegevens kunnen in geval van een fout worden geëvalueerd.

Veel SSL VPN-problemen ontstaan omdat alleen de clientdownload wordt gedocumenteerd. In de praktijk moet je echter de portal, authenticatie, SSL VPN-beleid, firewallregel, DNS en NAT samen beschouwen.

⚠️ SSL VPN is een publiek toegankelijk toegangspunt. MFA en sterke wachtwoorden zijn belangrijk, maar vervangen niet de beperkingen op apparaattoegang, beperkte gebruikersgroepen, huidige profielen, logboekregistratie en regelmatige beoordelingen.

⚠️ Wijzigingen aan gateway, poort, certificaat, DNS, leasebereik of beleid komen niet automatisch in reeds geïmporteerde klantprofielen terecht. Na relevante wijzigingen moet het .ovpn-bestand opnieuw worden gedownload, gedistribueerd en vervangen op de clients.

Vereisten

Vóór de configuratie moeten deze punten worden verduidelijkt:

• Sophos Firewall met huidige SFOS-versie.
• Publieke toegankelijkheid van de firewall of upstream port forwarding.
• FQDN of openbaar IP-adres voor VPN-toegang.
• Certificaat voor VPN Portal en SSL VPN, idealiter passend bij FQDN.
• Gebruikers of groepen voor externe toegang.
• Authenticatieserver voor VPN Portal en SSL VPN: lokaal, Active Directory, RADIUS of Microsoft Entra ID.
• MFA/OTP-concept voor VPN Portal en toegang op afstand.
• Interne doelnetwerken, DNS-servers en zoekdomein.
• Beslissing voor gesplitste tunnel of volledige tunnel.
• Firewallregels voor verkeer uit de zone VPN.
• Proces voor clientupdate en herdistributie van het .ovpn-bestand.

Als Microsoft Entra ID SSO moet worden gebruikt, moet de authenticatie correct worden voorbereid voordat de VPN-configuratie wordt gedownload. De stroom bevindt zich in Microsoft Entra ID SSO instellen voor Sophos Connect en VPN Portal.

1. Bereid lokale objecten voor

Ten eerste moeten de doelnetwerken bestaan als hosts of netwerkobjecten:

Hosts and services > IP host

Typische objecten:

• LAN_Server: 10.10.10.0/24 voor interne servers.
• LAN_Client: 10.10.20.0/24 voor een clientnetwerk als dit echt nodig is.
• DNS_Internal: 10.10.10.10 voor interne DNS of domeincontroller.
• SSLVPN_Users: Gebruikersgroep voor de beleidsleden.

U moet niet zomaar hele interne netwerkgebieden vrijgeven als er alleen individuele servers of subnetten nodig zijn. Hoe nauwkeuriger de objecten zijn gedefinieerd, hoe eenvoudiger de firewallregel later zal zijn.

Als DNS-servers in de tunnel worden gebruikt, moeten deze niet alleen in de algemene SSL VPN-instellingen staan, maar ook als doelobjecten bestaan. Vooral bij volledige tunnels of strikt beperkte middelen is de tunnel verder verbonden, maar de naamresolutie blijft verbroken.

2. Controleer de algemene SSL VPN-instellingen

De algemene instellingen zijn van toepassing op al het SSL VPN-beleid voor externe toegang:

Remote access VPN > SSL VPN > SSL VPN global settings

Protocol en poort

SSL VPN kan afhankelijk van de configuratie TCP of UDP gebruiken. UDP is vaak efficiënter, TCP kan beter werken in restrictieve netwerken. De beslissing moet worden getest op de netwerken waar gebruikers daadwerkelijk werken.

Als het om poorten gaat, moet je overlappingen vermijden:

• SSL VPN Standaardpoort is vaak 8443.
• VPN Portal gebruikt standaard 443 in de huidige SFOS-versies.
• WAF-regels en SSL VPN kunnen elkaar niet overlappen op hetzelfde WAN IP met dezelfde poort en hetzelfde protocol.
• Als SSL VPN en VPN Portal dezelfde poort gebruiken, kunnen de beveiligingsfuncties voor inloggen niet werken zoals verwacht.

Als WAF, VPN Portal, User Portal en SSL VPN op hetzelfde WAN IP worden gebruikt, moet u bewust de poort, het protocol en het certificaat documenteren. Voor WAF-basisprincipes is Sophos Firewall WAF instellen en typische fouten vermijden geschikt.

Certificaat en overschrijf hostnaam

Onder SSL-servercertificaat moet een certificaat worden gebruikt dat overeenkomt met het openbare FQDN. Een certificaatfout in VPN Portal of in het SSL VPN-profiel zal later leiden tot onnodige ondersteuningsaanvragen.

Onder Hostnaam overschrijven specificeert u welke hostnaam of welk IP-adres clients gebruiken in het .ovpn profiel. Dit is vooral belangrijk voor:

• meerdere WAN IP-adressen,
• stroomopwaartse router,
• NAT of port forwarding vóór de firewall,
• dynamische WAN IP met DDNS,
• aparte FQDN’s voor WebAdmin, VPN Portal en SSL VPN.

Als het veld leeg wordt gelaten, kunnen er meerdere interface-adressen in het profiel terechtkomen. Dit kan werken, maar in productieve omgevingen is het vaak minder duidelijk dan een schone FQDN. Sophos Connect probeert niet eenvoudigweg de gateways uit het .ovpn-bestand in de zichtbare volgorde; Dynamische DNS-gateways en de volgorde van meerdere vermeldingen kunnen in de praktijk daardoor anders werken dan verwacht. Voor productieve instellingen is een unieke override-hostnaam eenvoudiger te testen en te ondersteunen.

Nadat u de override hostnaam hebt gewijzigd, moet u een nieuw profiel downloaden en controleren of de client echt het nieuwe FQDN of het nieuwe openbare IP-adres heeft. Anders moet u mogelijk de oude verbinding testen, ook al is de firewallconfiguratie al correct.

Huurgebied

Sophos Firewall wijst SSL VPN-clientadressen toe uit het geconfigureerde leasebereik. Dit gebied mag geen interferentie veroorzaken met interne netwerken, statische routes, site-to-site VPN’s, andere externe toegangspools of typische thuisnetwerkgebieden.

U moet bijzonder veel voorkomende subnetten vermijden, zoals:

• 192.168.0.0/24
• 192.168.1.0/24
• 192.168.2.0/24
• 10.0.0.0/24
• 10.0.1.0/24

Wanneer het huurgebied botst met het thuisnetwerk van een gebruiker, maakt de tunnel soms wel verbinding, maar blijven interne bestemmingen onbereikbaar. Dit lijkt dan op een probleem met de firewallregel, maar is een routeringsprobleem op het eindpunt.

Voor IPv4 accepteert Sophos Firewall alleen subnetten tot /24 in de algemene SSL VPN-instellingen. Kleinere netwerken zoals /25 kunnen daar niet worden geselecteerd. Als er slechts een paar gebruikers worden verwacht, moet u toch een schoon, niet-conflicterend VPN-netwerk plannen en de toegang beperken via firewallregels, en niet via een kunstmatig klein leasebereik.

Voor firewallregels moet u de systeemhosts ##ALL_SSLVPN_RW en voor IPv6 ##ALL_SSLVPN_RW6 gebruiken, niet handmatig opnieuw aangemaakte hosts met oude huurgebieden.

Statische SSL VPN IP-adressen en sleutellevensduur

Statische SSL VPN IP-adressen kunnen in individuele gevallen nuttig zijn, bijvoorbeeld voor beheerderstoegang, strikt geregistreerde speciale toegang of oudere toepassingen met IP-gebaseerde goedkeuring. Ze zijn echter niet standaard geschikt voor alle gebruikers. Hoe meer statische opdrachten er zijn, hoe moeilijker de bediening, foutanalyse en daaropvolgende migraties worden.

Bovendien ondersteunt Sophos Firewall geen gelijktijdige aanmeldingen voor externe toegang voor gebruikers met statisch toegewezen SSL VPN IP-adressen. Dit is belangrijk voor gedeelde accounts, parallelle apparaten of testgevallen waarbij een gebruiker tegelijkertijd verbonden moet zijn met de notebook en het tweede apparaat. Dergelijke ontwerpen mogen niet via statische IP’s worden opgelost.

Een specifiek speciaal geval is gedocumenteerd in de lijst met bekende problemen: Voor SSL VPN met lokale authenticatie en statisch toegewezen SSL VPN IP kan herauthenticatie mislukken nadat de levensduur van de sleutel is verstreken. De firewall kan het reeds toegewezen leaseadres als een conflict behandelen. Gebruikers moeten vervolgens handmatig opnieuw verbinding maken, ook al werkte de tunnel voorheen. Een typische sleutellevensduurwaarde is 18000 seconden.

Als een gebruiker na enkele uren herhaaldelijk moet inloggen, moet u niet alleen MFA, clientversie en firewallregel controleren. Bovendien horen deze punten thuis in de analyse:

• Wordt er lokale authenticatie gebruikt voor SSL VPN?
• Heeft de gebruiker een statisch SSL VPN IP-adres?
• Treedt het probleem ongeveer op nadat de levensduur van de sleutel is verstreken?
• Werkt dezelfde gebruiker stabieler met dynamische IP-toewijzing?
• Is een statisch IP-adres echt nodig of is een regel over gebruikersgroepen, SSL VPN-systeemhost en loggen voldoende?

Sophos noemt twee pragmatische tegenmaatregelen: plan de levensduur van de sleutel zo dat deze de normale werkdag bestrijkt, of gebruik dynamische IP-toewijzing. In veel omgevingen is dynamische toewijzing schoner omdat firewallregels hoe dan ook moeten worden beheerd over de VPN-zone, gebruikersgroep, doelobjecten en de SSL VPN-systeemhosts.

DNS en domeinnaam

Voor interne naamresolutie worden DNS-servers en optioneel een domeinnaam ingesteld in de algemene SSL VPN-instellingen. In Active Directory-omgevingen is dit meestal een interne DNS-server of domeincontroller.

Bovendien moet onder Administration > Device access DNS uit de zone VPN worden toegestaan als de firewall zelf wordt gebruikt als DNS-resolver in het VPN-ontwerp.

Als een interne DNS-server rechtstreeks bereikbaar moet zijn, heeft de VPN-gebruiker ook toegang tot deze DNS-server nodig. Dit betekent: De DNS-server behoort tot de toegestane bronnen of is via een geschikte firewallregel toegestaan ​​vanuit de VPN-zone. Met Full Tunnel moet u DNS niet beschouwen als een bijwerking van de internetregel, maar deze bewust testen.

Als DNS niet werkt in de tunnel, moet u afzonderlijk testen:

• Is het doel bereikbaar via IP-adres?
• Wordt de interne DNS-server toegestaan door de firewallregel?
• Ontvangt de klant het juiste zoekdomein?
• Maakt de cliënt daadwerkelijk gebruik van het huidige .ovpn profiel?
• Komt de lokale DNS- of DoH-configuratie van het eindpunt tussenbeide?

Voor gesplitste tunnels moet DNS bijzonder zorgvuldig worden gepland. Als alleen interne doelnetwerken door de tunnel worden geleid, moet duidelijk zijn of interne namen via de interne DNS-server worden omgezet en of openbare namen lokaal of via de firewall worden omgezet. Anders ontstaan ​​er fouten waarbij IP-toegang werkt, maar interne hostnamen worden alleen op individuele clients omgezet.

3. Maak een SSL VPN-beleid

Het beleid is gemaakt onder:

Remote access VPN > SSL VPN

Sophos biedt de SSL VPN-wizard of handmatige configuratie. De wizard kan in één stroom beleid, VPN Portal, authenticatieserver, firewallregel en Device Access aanmaken. Dit is handig voor nieuwe instellingen. In bestaande omgevingen is Handmatig configureren vaak beter omdat regelpositie, doelobjecten, loggen en portaltoegang bewust kunnen worden gecontroleerd.

Handmatig configuratieproces:

1. Add selecteren.
2. Gebruik Configure manually.
3. Wijs een naam toe, bijvoorbeeld SSLVPN-Remote-Users.
4. Selecteer de geautoriseerde gebruikers of groepen onder Beleidsleden.
5. Stel een gespleten tunnel of een volledige tunnel in.
6. Voor Split Tunnel selecteert u Toegestane netwerkbronnen; Bij een volledige tunnel bereidt u de latere doelobjecten primair voor op firewallregels.
7. Configureer eventueel Disconnect idle clients.
8. Opslaan en vervolgens controleren bij een testgebruiker.

Met Split Tunnel beperken de Toegestane netwerkbronnen de interne bestemmingen die externe gebruikers moeten bereiken. Met Gebruik als standaardgateway is dit punt anders: Sophos Firewall dwingt dan de Toegestane bronnen niet af als toegangslimiet. Al het verkeer gaat door de firewall en de daadwerkelijke beperking moet gebeuren via firewallregels, zones, doelen, services en loggen.

Voor volledige tunnels moet u interne doelnetwerken nog steeds netjes als objecten modelleren, maar vertrouw niet alleen op het SSL VPN-beleid om deze te beperken. Interfaces zijn hiervoor geen goede vervanging omdat een interface niet automatisch beschrijft welke subnetten erachter technisch toegestaan ​​zijn.

Als FQDN-objecten worden gebruikt als toegestane bronnen in Split Tunnel, moet de bewerking bewust worden gepland. De SSL VPN-logboeken tonen de opgeloste IP-adressen en dynamische FQDN-wijzigingen komen niet automatisch in reeds bestaande tunnels terecht. Getroffen gebruikers moeten de verbinding verbreken en opnieuw verbinden voordat de gewijzigde bestemmingsadressen van kracht worden.

Belangrijk: Als gebruikers of groepen zijn ingeschreven in een nieuwer SSL VPN-beleid die al zijn opgenomen in een ouder SSL VPN-beleid, verwijdert Sophos Firewall deze koppeling uit het eerdere beleid. Vermijd daarom beleidsoverlappingen en definieer duidelijk welk beleid voor elke gebruikersgroep geldt.

Na beleidswijzigingen moet een normale gebruiker uit de doelgroep worden aangevinkt in VPN Portal. Precies de verwachte SSL VPN-configuratie zou zichtbaar moeten zijn, niet meerdere oude profielen of helemaal geen configuratie. Deze portaaltest brengt groepsfouten sneller aan het licht dan een pure admin-test met speciale rechten.

4. Kies voor een gesplitste tunnel of een volledige tunnel

Gesplitste tunnels

Bij gesplitste tunnels loopt alleen verkeer naar de toegestane interne bronnen door de VPN-tunnel. Het internetverkeer van de gebruiker loopt rechtstreeks via het lokale netwerk van de gebruiker.

Splittunnel past vaak:

• Toegang tot enkele interne applicaties,
• lagere firewallbelasting,
• betere gebruikersprestaties,
• kleinere afgelegen locaties en mobiele gebruikers.

Beveiliging hangt dan meer af van het endpoint, de lokale netwerkomgeving en de gedeelde interne bronnen.

Volledige tunnel

Met Full Tunnel wordt al het verkeer van de externe gebruiker door de firewall geleid. In Sophos Firewall komt dit overeen met de optie Gebruik als standaardgateway.

Volledige tunnel is geschikter als:

• Het internetverkeer moet centraal worden beheerd,
• Webbescherming, DNS Protection of loggen moeten van kracht worden voor VPN-gebruikers,
• Gebruikers werken vanuit onveilige netwerken,
• Naleving vereist centrale evaluatie.

Met Full Tunnel is het SSL VPN-beleid alleen niet voldoende. Ook voor internetverkeer vanuit de VPN zone heb je firewallregels en NAT/SNAT nodig. U moet ook vooraf de prestaties, bandbreedte, webfiltering en logboekregistratie testen.

Volledige tunnel mag niet worden ingeschakeld alleen omdat individuele gesplitste tunneldoelen moeilijk te handhaven zijn. Wanneer al het internetverkeer door de firewall gaat, worden capaciteit, webfiltering, DNS, logging, gegevensbescherming en ondersteunende overhead onderdeel van het ontwerp.

Zelfs met Full Tunnel moeten interne doelnetwerken en DNS-servers duidelijk worden gemodelleerd als firewalldoelen. Anders werkt het standaardgatewaypad, maar zijn interne applicaties of naamomzetting afhankelijk van een internetregel die te breed is.

5. Maak firewallregels voor de VPN-zone

Het aanleggen van een tunnel betekent niet dat er verkeer is toegestaan. Om toegang te krijgen tot interne bronnen heeft u een geschikte firewallregel nodig:

Rules and policies > Firewall rules

Aanbevolen regel voor gesplitste tunnels:

• Regelnaam: VPN_SSLVPN_to_Internal_Servers
• Bronzone: VPN
• Bronnetwerken en apparaten: ##ALL_SSLVPN_RW
• Bestemmingszones: interne bestemmingszones, bijvoorbeeld LAN of DMZ
• Bestemmingsnetwerken: alleen toegestane servers of subnetten
• Services: alleen vereiste services
• Schakel Firewallverkeer loggen in:

Voor Volledige Tunnel heeft u ook een regel nodig van VPN tot WAN of Any, afhankelijk van het ontwerp. De bronnetwerken moeten nog steeds de SSL VPN-systeemhosts zijn. Vervolgens moet worden gecontroleerd of er een geschikte SNAT-regel bestaat.

Als er wel verbinding is, maar de toegang werkt niet, controleer dan eerst Log Viewer. Test firewallregel met Log Viewer, Policy Test en Packet Capture past bij de methodologie.

Regels voor SSL VPN moeten in een duidelijk benoemde groep staan, bijvoorbeeld VPN Remote Access. Een brede regel als VPN_to_LAN_Any is handig, maar maakt de daaropvolgende foutanalyse moeilijk en biedt vaak meer toegang dan technisch noodzakelijk is. Aparte regels per doelgebied of serviceklasse met actieve logging zijn beter.

6. Beveilig VPN Portal en Device Access

Gebruikers laden Sophos Connect en het .ovpn bestand doorgaans via VPN Portal:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Controleer in ieder geval:

• VPN Portal Poort en certificaat.
• VPN Portal Authenticatiemethoden.
• SSL VPN Authenticatiemethoden.
• MFA voor VPN Portal en toegang op afstand.
• Device Access voor VPN Portal alleen in verplichte zones.
• Device Access voor SSL VPN op de WAN-zone alleen indien extern vereist.
• Geen permanent open User Portal op WAN wanneer niet in gebruik.

Om lokale firewallservices te versterken, komt Device Access en Local Service ACL overeen met Sophos Firewall. Voor de basisprincipes van MFA past MFA op Sophos Firewall, WebAdmin, VPN Portal en schakelt u externe toegang in.

De VPN Portal heeft alleen zin voor gebruikers als zij of hun groepen zijn opgenomen in een passend beleid voor externe toegang. Als de beleidstoewijzing ontbreekt, ziet de gebruiker de vereiste configuratiedownloads niet.

Onder Authentication > Services moeten VPN Portal en SSL VPN afzonderlijk worden aangevinkt. De VPN Portal regelt de registratie voor download en profieltoegang, SSL VPN authenticatiemethoden regelt de daadwerkelijke tunnelregistratie. Beide gebieden kunnen gebruik maken van dezelfde server, maar hoeven niet automatisch een juiste match te zijn. Voor RADIUS is het ook belangrijk: Op uitdagingen gebaseerde MFA voor VPN Portal wordt niet ondersteund; Dergelijke ontwerpen moeten vóór de uitrol worden getest met een echte testgebruiker.

Als VPN Portal of SSL VPN moet worden toegestaan op de WAN-zone, moet dit bewust worden gedocumenteerd. In veel omgevingen is het niet voldoende om de dienst wereldwijd te openen en te vertrouwen op MFA. Waar mogelijk moeten vaste bronnetwerken, landbeperkingen, bedreigingsfeeds, logcontrole of een upstream ontwerp voor externe toegang worden onderzocht.

Het is belangrijk om WebAdmin en VPN Portal te scheiden. WebAdmin is de beheerinterface van de firewall. De VPN Portal is de gebruikerstoegang voor downloads en VPN-profielen. Beide services mogen niet worden gegroepeerd omdat ze verschillende risico’s, poorten, machtigingen en doelgroepen hebben.

7. Klantprofiel verspreiden

Na de beleids- en portalconfiguratie wordt het .ovpn-bestand gedistribueerd. Dit kan gebeuren via VPN Portal of gecontroleerd worden door het admin-proces.

Belangrijk:

• Na wijzigingen aan de gateway, poort, certificaat, DNS, leasebereik, beleid of authenticatie moet het profiel opnieuw worden geladen.
• Een Sophos Connect-update vervangt geen oud .ovpn-profiel.
• Profielnamen moeten uniek zijn.
• Oude profielen moeten worden verwijderd bij het wijzigen van locatie, gateway of gebruiker.
• Windows, macOS, iOS, Android en Linux gebruiken soms verschillende clientpaden.
• Sophos Connect-provisiebestanden (.pro) kunnen automatisch IPsec- en SSL VPN-configuraties importeren, maar zijn een Sophos Connect-besturingssysteem en geen vervanging voor een schoon SSL VPN-beleid.

Voor Sophos Connect moet u actief de platformlimieten controleren: huidige clients ondersteunen Windows 10 en 11, macOS 13 of nieuwer, en Windows ARM vanaf Sophos Connect 2.5. Microsoft Entra ID SSO in de Sophos Connect-client is een Windows-scenario met Sophos Connect 2.4 of nieuwer. Mobiele platforms zoals iOS en Android gebruiken geen Sophos Connect voor SSL VPN, maar eerder OpenVPN-compatibele apps of andere clientpaden.

Typische profielveranderingen tijdens bedrijf:

• Nieuwe FQDN of nieuw openbaar IP: Download .ovpn opnieuw en vervang het oude profiel.
• Poort of protocol gewijzigd: Profiel opnieuw importeren en oude verbindingsinvoer verwijderen.
• Certificaat vernieuwd of gewijzigd: Profiel opnieuw distribueren en certificaatwaarschuwingen actief controleren.
• DNS-server of domeinnaam gewijzigd: Nieuw profiel importeren en naamresolutie testen.
• Leasegebied gewijzigd: Profiel opnieuw importeren en route- of klantadres controleren.
• Gebruikersgroep of beleid gewijzigd: Testportaldownload met normale doelgebruiker.

Voor clientupdates en versieonderhoud is Sophos Connect Clientversie controleren en veilig bijwerken geschikt.

Voor Sophos Connect laadt een inrichtingsbestand de .ovpn-configuratie alleen voor gebruikers die zijn gekoppeld aan een SSL VPN-beleid. Als een gebruiker alleen IPsec of helemaal geen SSL VPN-verbinding ontvangt via het .pro-bestand, wordt het voorzieningenbestand niet automatisch verbroken. Controleer eerst de beleidsleden, de toegankelijkheid van het VPN Portal, de authenticatiemethoden en de gebruikersgroep.

Test na configuratie

Bij een testgebruiker moet u niet alleen controleren of Sophos Connect Connected weergeeft.

Testlijst:

• Gebruiker ziet de download van Sophos Connect en de SSL VPN-configuratie in VPN Portal.
• .ovpn-bestand kan worden geïmporteerd.
• MFA wordt opgevraagd zoals verwacht.
• Klant ontvangt een adres uit het SSL VPN-leasebereik.
• Route naar de toegestane interne netwerken verschijnt op het eindpunt.
• Met Full Tunnel is het duidelijk dat interne toegang wordt beperkt door firewallregels, en niet alleen door toegestane bronnen.
• Een test voor opnieuw verbinden na een DNS-wijziging werkt voor FQDN-bronnen.
• Interne DNS-namen zijn opgelost.
• Toegang tot toegestane servers werkt.
• Ongeautoriseerde netwerken blijven geblokkeerd.
• Log Viewer toont de juiste Firewall Rule.
• Een opzettelijk negatieve test wordt afgewezen en geregistreerd.
• Packet Capture toont indien nodig verkeer via een tun-interface.
• Internettoegang en SNAT werken ook met Full Tunnel.

Als de test slechts met één beheerder wordt uitgevoerd, worden groeps- en beleidsfouten gemakkelijk over het hoofd gezien. Een normale pilotgebruiker uit de doelgroep is beter.

Bij een goede acceptatietest hoort altijd een geblokkeerde toegang. Alleen zo wordt duidelijk of de firewallregels echt begrenzen of dat een te brede regel verderop in de regelset alsnog toegang toestaat.

Acceptatietest per scenario

Vóór een brede uitrol moeten in ieder geval deze testgevallen duidelijk worden gedocumenteerd:

• Nieuwe gebruiker: Testregistratie bij VPN Portal en profielimport. De gebruiker ziet de juiste SSL-VPN-configuratie en kan het profiel importeren.
• MFA actief: Testaanmelding met correcte en onjuiste OTP. De juiste factor geeft toegang, de verkeerde factor wordt afgewezen en gelogd.
• Gesplitste tunnel: Test toegang tot toegestane en niet toegestane interne bestemming. Toegestane doelen werken, andere netwerken blijven geblokkeerd.
• Volledige tunnel: Internettoegang testen via VPN. Firewallregel, SNAT, DNS en web-/beveiligingsbeleid werken zoals gepland.
• DNS: Test de toegang op naam en op IP-adres. Dit helpt DNS-fouten te scheiden van routerings- of regelproblemen.
• Profielwijziging: Nieuw .ovpn-profiel importeren. Gewijzigde FQDN, poort, DNS of certificaat moeten zichtbaar zijn in het clientprofiel.
• Foutgeval: Log Viewer en Packet Capture controleren. Firewall Rule-eigenschappen en pakketstroom passen bij elkaar.

Voor productieomgevingen moet elke test een tijd, gebruiker, clientplatform en specifiek doel bevatten. Uitspraken als “VPN werkt” of “VPN werkt niet” zijn te onnauwkeurig voor latere ondersteuningsaanvragen.

Verzamel logboeken en bewijsmateriaal

Bij SSL-VPN-problemen moet eerst duidelijk zijn of de fout bij login, tunnelconfiguratie of toegang tot interne doelen ligt. Deze scheiding bespaart tijd, omdat anders authenticatie, clientprofiel, routing en firewallregels door elkaar worden gecontroleerd.

Voor een reproduceerbaar testgeval moet deze informatie worden genoteerd:

• Gebruikersnaam en groep: geeft aan welk SSL VPN-beleid en authenticatie van toepassing moeten zijn.
• Clientplatform en Sophos Connect-versie: scheidt clientfouten van firewallconfiguratie.
• Tijd van test: maakt Log Viewer, sslvpn.log en authenticatielogboeken vergelijkbaar.
• Bronnetwerk van gebruiker: helpt bij hotel-WiFi, mobiel netwerk, CGNAT, beperkende firewalls of poortproblemen.
• Doelsysteem en service: voorkomt te brede uitspraken zoals “VPN werkt niet”.
• Resultaat per IP-adres en per DNS-naam: scheidt routing- en DNS-problemen.

Voer de test vervolgens in deze volgorde uit:

1. Controleer authenticatie: Controleer in Log Viewer en indien nodig in de authenticatielogboeken of gebruiker, MFA, groep en authenticatieserver succesvol zijn. Voor Microsoft Entra ID SSO is oauth_sso_vpn.log ook relevant.
2. Controleer de tunnelstatus: Controleer de SSL VPN-verbinding, het leaseadres en de OpenVPN-status. Aan de kant van de firewall helpen sslvpn.log en openvpn-status*.log.
3. Controleer firewallregel: Zoek naar verkeer uit de VPN zone in Log Viewer en controleer welke regel echt overeenkomt. Voor de regel moet Firewallverkeer loggen actief zijn.
4. Controleer de pakketstroom: Als Log Viewer niet voldoende is, filter dan op bron, bestemming en dienst met Packet Capture. Wat belangrijk is, is of pakketten alleen Incoming zijn of ook Forwarded worden.
5. Controleer de bestemmingspagina: Als verkeer de firewall verlaat maar geen reactie terugkomt, zijn de retourroute, de serverfirewall, de lokale hostfirewall of netwerkconflicten waarschijnlijker dan het SSL VPN-beleid.

Sophos Firewall Problemen oplossen: services en logs is geschikt voor het toewijzen van de belangrijkste logbestanden. Voor regelanalyse met Log Viewer, Policy Test en Packet Capture is Test firewallregel met Log Viewer, Policy Test en Packet Capture geschikt.

Problemen oplossen

Gebruiker ziet SSL VPN-configuratie niet in VPN Portal

Meestal ontbreekt de beleidstoewijzing. Controleer of de gebruiker of zijn groep is opgenomen in het SSL VPN-beleid onder Beleidsleden. Bovendien moeten authenticatie, MFA en de toegankelijkheid van het VPN Portal worden gecontroleerd.

Als de registratie en de beleidstoewijzing correct werken, maar het downloaden van het .ovpn-bestand nog steeds ontbreekt of mislukt, moet ook de Sophos Firewall Gebruikers-ID-limiet worden gecontroleerd. Dit is vooral relevant als meerdere gebruikers de portal gebruiken, maar alleen individuele downloads onverwacht mislukken.

Tunnel maakt verbinding, maar interne systemen zijn niet bereikbaar

Controleer eerst of er op het eindpunt een route naar het interne doelnetwerk bestaat. Zoek vervolgens in Log Viewer naar verkeer uit de zone VPN. Als er geen verkeer zichtbaar is, bereikt de client de firewall niet zoals verwacht of is het profiel verouderd.

Als er verkeer zichtbaar is maar de verkeerde regel van toepassing is, moet de regelvolgorde of de service-/doeldefinitie worden gecorrigeerd. Als er helemaal geen reactie is, is de kans groot dat er sprake is van routering, bestemmingsfirewall, lokale serverfirewall of een netwerkconflict.

Na een verandering werken slechts enkele clients

Als nieuwe gebruikers werken, maar oude clients niet, is profieldistributie meestal het probleem. U controleert of de getroffen clients het huidige .ovpn-profiel daadwerkelijk hebben geïmporteerd en of oude verbindingsgegevens zijn verwijderd.

Vooral na wijzigingen aan FQDN, poort, certificaat, DNS, leasegebied, beleid of authenticatie moet u niet alleen de firewall opslaan, maar ook een profieldownload actief testen bij een normale gebruiker. Vervolgens kunt u op het eindpunt controleren of de gateway, DNS en routes overeenkomen met het huidige ontwerp.

DNS werkt niet

Je controleert of toegang via IP-adres werkt. Als dat zo is, zit de fout waarschijnlijk in DNS. Controleer vervolgens de DNS-server in de algemene SSL VPN-instellingen, domeinnaam, Device Access voor DNS uit de VPN zone en het DNS-gedrag van het eindpunt.

Als de interne DNS-server zelf ontbreekt als toegestane bron of niet kan worden bereikt vanuit de VPN-zone via een firewallregel, zal zelfs een correct .ovpn-profiel niet helpen. Daarom moet DNS altijd worden getest voor de DNS-service met een specifieke DNS-server, een specifieke interne naam en een Log Viewerfilter.

Toegang werkt alleen voor sommige gebruikers

Dan zijn groepslidmaatschap, beleidstoewijzing, statische IP-adressen van SSL VPN, MFA-status of verouderde profielen waarschijnlijker dan een wereldwijde firewallfout. Controleer ook op dubbele beleidstoewijzingen.

Als een gebruiker meerdere apparaten parallel of een gedeeld account gebruikt, controleer dan vooral de statische SSL VPN IP-adressen. Sophos ondersteunt geen gelijktijdige aanmelding op afstand voor dezelfde gebruiker wanneer het SSL VPN IP statisch is toegewezen.

De gebruiker moet na enkele uren opnieuw verbinding maken

Als SSL VPN in eerste instantie werkt, maar na enkele uren een nieuwe login of handmatig opnieuw opbouwen nodig is, moet u eerst het tijdpatroon, de authenticatie en het leasemodel controleren. Dit is met name relevant voor lokale authenticatie met een statisch toegewezen SSL VPN IP.

Praktisch proces:

1. Noteer het tijdstip waarop de verbinding tot stand is gebracht en afgebroken.
2. Vergelijk de tijd met de geconfigureerde levensduur van de sleutel.
3. Controleer of de gebruiker een statisch SSL VPN IP-adres heeft.
4. Test dynamische IP-toewijzing voor een pilotgebruiker, indien operationeel mogelijk.
5. Controleer sslvpn.log, openvpn-status*.log en Log Viewer voor authenticatie, leaseadres en opnieuw inloggen.
6. Als er voor een langere levensduur van de sleutel wordt gekozen, documenteer dan de wijziging en beschouw deze niet als vervanging voor MFA of schone sessiecontrole.

Als statische IP’s alleen worden gebruikt om firewallregels er eenvoudiger uit te laten zien, moet het ontwerp worden herwerkt. In de meeste gevallen zijn groepen, duidelijk benoemde doelen, beperkte services en logboekregistratie een betere basis dan individuele gebruikers-IP-adressen.

Full Tunnel heeft geen internettoegang

Met Gebruik als standaardgateway is een firewallregel vereist voor verkeer van de VPN-zone naar internet en een geschikte SNAT-regel. Bovendien moet het web-, DNS- en beveiligingsbeleid zo worden gepland dat ze VPN-gebruikers niet onverwachts blokkeren.

De verbinding is tot stand gebracht, maar grote overdrachten blijven hangen

Als login, DNS en kleine toegangen werken, maar RDP, bestandsoverdrachten, webapplicaties of grote downloads vastlopen, moet u MTU en MSS controleren. Het foutpatroon komt vaak overeen met fragmentatie, PPPoE, getunnelde verbindingen of een asymmetrisch pad, en niet alleen met SSL VPN zelf.

Voor de systematische analyse is Sophos Firewall Controleer MTU en MSS op VPN-problemen geschikt.

WAF of portaal botst met SSL VPN

Als WAF, VPN Portal, User Portal en SSL VPN op hetzelfde WAN IP draaien, moeten poort en protocol duidelijk gescheiden zijn. Gedeelde combinaties van WAN IP, poort en TCP zijn bijzonder cruciaal. Als de druppels onduidelijk zijn, controleer dan Log Viewer en Packet Capture.

Profiel is verouderd na wijziging

Na wijzigingen aan SSL VPN-beleid, gateway, DNS, certificaat, poort of authenticatie moet het .ovpn bestand opnieuw worden gedownload en geïmporteerd. Veel schijnbare klantproblemen zijn verouderde profielen.

Als Sophos Connect wordt gebruikt met een .pro-inrichtingsbestand, controleer dan ook of de client het profiel daadwerkelijk heeft bijgewerkt of dat er nog een oude verbindingsinvoer wordt gebruikt. Voor gedeelde Windows-apparaten met Entra-ID SSO moet een nieuwe SSO-aanmelding worden geforceerd na gebruikerswijzigingen, zodat de vorige gebruikerscontext niet van toepassing blijft.

Operationele checklist

Vóór productieve uitrol

• FQDN en certificaat voor VPN Portal en SSL VPN gecontroleerd.
• SSL VPN-leasebereik conflicteert niet met interne of typische thuisnetwerken.
• IPv4-leasegebied is gepland als een /24 of groter selecteerbaar netwerk, niet als een kleiner /25-ontwerp.
• SSL VPN-beleid bevat de juiste gebruikers of groepen.
• Splittunnel of volledige tunnel is een bewuste keuze.
• Bij gesplitste tunnels zijn de toegestane netwerkbronnen nauw gedefinieerd.
• Met Full Tunnel beperken firewallregels interne doelen en services.
• DNS-server en domeinnaam zijn correct ingesteld.
• Interne DNS-servers kunnen worden bereikt als een toegestane bron of via een geschikte regel.
• Firewallregel van VPN naar interne doelen bestaat en logt.
• Bij Full Tunnel zijn er internetregels en SNAT.
• Device Access voor SSL VPN en VPN Portal is bewust ingesteld.
• MFA is getest op toegang op afstand.
• Testgebruiker kan profiel downloaden, importeren en interne doelen bereiken.

Voor lopende activiteiten

• MFA voor VPN Portal en forceer toegang op afstand.
• Controleer regelmatig VPN-groepen.
• Houd de firewallregels strak voor VPN en log.
• Controleer het huurgebied voordat het netwerk verandert.
• Gebruik uitsluitend statische SSL VPN IP-adressen specifiek en controleer deze regelmatig.
• Document DNS en zoekdomein.
• Verleng portal- en SSL VPN-certificaten voordat deze verlopen.
• Sophos Connect Trackversies.
• Plan herverdeling van profielen na wijzigingen.
• Evalueer logs op de lange termijn via Syslog of Sophos Central als traceerbaarheid belangrijk is.

Voor logbestanden en services is Sophos Firewall Problemen oplossen: Services en logs geschikt.

Controleer speciale gevallen regelmatig

• Statische SSL VPN IP-adressen zijn gerechtvaardigd en gedocumenteerd.
• Statische SSL VPN IP-adressen zijn niet vereist voor gebruikers die parallelle aanmeldingen voor externe toegang nodig hebben.
• Key Lifetime past bij het bedieningsmodel en is getest met Reconnect.
• Het oude .ovpn profiel wordt na wijzigingen opnieuw gedistribueerd.
• FQDN-bronnen worden getest met herverbindingsgedrag.
• VPN Portal, User Portal, WAF en SSL VPN komen niet in botsing op hetzelfde WAN IP met poort en protocol.
• Gebruikers met speciale rechten of beheerderstoegang worden afzonderlijk gecontroleerd.

Veelgestelde vragen