Sophos Firewall SSL VPN voor externe toegang instellen

Remote Access SSL VPN wordt op Sophos Firewall ingesteld onder Remote access VPN > SSL VPN. Voor veilige toegang moeten zes onderdelen op elkaar aansluiten:

Gebruikers of groepen aan een SSL-VPN-beleid toewijzen.
Protocol, certificaat, gateway, leasebereik en DNS globaal configureren.
Bewust kiezen tussen Split Tunnel en Use as default gateway.
Verkeer uit de VPN-zone met strikte firewallregels toestaan.
VPN Portal, authenticatie, MFA en Device Access beveiligen.
Een actueel .ovpn-profiel of op Windows een .pro-provisioningbestand distribueren en de toegang positief en negatief testen.

⚠️ SSL VPN is een publiek bereikbaar toegangspunt. MFA en sterke wachtwoorden vervangen geen strikte gebruikersgroepen, Local Service ACLs, firewallregels, actuele profielen, logs en regelmatige controles.

Dit artikel behandelt de firewallzijde. De installatie wordt afzonderlijk beschreven voor Windows, macOS, iPhone en iPad, Android en Linux. Voor de voorafgaande keuze tussen SSL VPN, IPsec en ZTNA helpt Sophos Connect of SSL VPN.

Vereisten en objecten voorbereiden

Vóór de configuratie moeten de publieke toegang, de bevoegde gebruikers en de interne doelen vaststaan:

actuele SFOS-versie en actuele Sophos Connect-client;
publieke FQDN of publiek IP-adres;
certificaten voor de SSL-VPN-tunnel en VPN Portal;
gebruikers of groepen en authenticatieservers;
MFA-methode voor portal en tunnel;
niet-overlappend SSL-VPN-leasebereik;
interne doelnetwerken, DNS-servers en zoekdomein;
keuze voor Split Tunnel of Full Tunnel;
proces voor profieldistributie en clientupdates.

Interne doelen worden eerst als hosts of netwerkobjecten aangemaakt:

Hosts and services > IP host

In het volgende voorbeeld worden deze objecten gebruikt:

LAN_Server: 10.10.10.0/24 voor interne servers;
LAN_Client: 10.10.20.0/24, als externe gebruikers dit clientnetwerk echt nodig hebben;
DNS_Internal: 10.10.10.10 voor interne DNS of een domeincontroller;
SSLVPN_Users: gebruikersgroep voor de Policy members.

Geef geen volledige interne netwerken vrij als afzonderlijke servers of subnetten volstaan. Ook DNS-servers hebben een duidelijk object nodig, zodat de route en firewallregel later controleerbaar blijven.

Globale SSL-VPN-instellingen configureren

De globale instellingen gelden voor alle Remote Access SSL-VPN-policies en maken deel uit van de .ovpn-configuratie:

Remote access VPN > SSL VPN > SSL VPN global settings

Deze waarden worden ook gebruikt voor SSL Site-to-Site-verbindingen tussen twee Sophos Firewalls. Wie poort, protocol, certificaat of Override hostname wijzigt, moet daarom zowel de Remote Access-profielen als bestaande SSL Site-to-Site-tunnels controleren en de bijbehorende configuratie opnieuw distribueren.

Documenteer vóór wijzigingen aan globale profielwaarden Protocol, Port, Override hostname, SSL server certificate, lease- en DNS-waarden en de configuratie van de betrokken SSL Site-to-Site-peers. Neem ook eventuele bovenliggende NAT- of poortdoorsturingen op in het terugvalplan. Als de acceptatietest mislukt, herstelt u deze waarden en de eerdere Site-to-Site-configuratie en herhaalt u met het oude profiel de portal-, tunnel-, positieve en negatieve toegangstests.

Protocol, certificaten, gateway en poort

SSL VPN ondersteunt TCP en UDP. UDP is meestal de efficiëntere eerste keuze; TCP kan als geteste uitwijkmogelijkheid helpen wanneer externe netwerken UDP blokkeren. Test de keuze met echte hotel-, mobiele en gastnetwerken.

De standaardpoort voor SSL VPN is 8443; VPN Portal gebruikt standaard 443. Voor elke publiek bereikbare dienst is een unieke combinatie van WAN-IP, poort en protocol het duidelijkst.

Sophos gebruikt twee afzonderlijke certificaten:

Het SSL server certificate dat onder de globale SSL-VPN-instellingen is geselecteerd, wordt door de SSL-VPN-server gebruikt.
Het HTTPS-certificaat van VPN Portal wordt gekozen onder Administration > Admin and user settings.

Beide certificaten moeten passen bij de gebruikte publieke FQDN. Bij certificaten van een externe CA moet ook de vereiste certificaatketen aanwezig zijn.

Override hostname bepaalt de FQDN of het publieke IP-adres in het clientprofiel. Dit is vooral belangrijk bij upstream NAT, meerdere WAN-interfaces of DDNS. Als het veld leeg blijft, kunnen meerdere interfaceadressen in het profiel terechtkomen. Sophos Connect geeft voorrang aan DDNS-gateways en probeert andere vermeldingen in omgekeerde volgorde; één duidelijke FQDN is daarom eenvoudiger te testen en te beheren.

VPN Portal en SSL VPN mogen technisch dezelfde poort en hetzelfde protocol delen. De instellingen voor Login Security werken dan echter niet zoals bedoeld en VPN Portal wordt bereikbaar vanuit de zones waarin SSL VPN is geactiveerd. WAF moet van VPN Portal verschillen in WAN-IP of poort en van SSL VPN in WAN-IP, poort of protocol. Meer WAF-afhankelijkheden worden uitgelegd in Sophos Firewall WAF.

Leasebereik en DNS

Het IPv4-leasebereik moet privé zijn en mag niet overlappen met interne netwerken, site-to-site-VPN’s, statische routes, andere Remote Access-pools of gebruikelijke thuisnetwerken. Veelvoorkomende voorbeelden zijn 192.168.0.0/24, 192.168.1.0/24, 192.168.2.0/24, 10.0.0.0/24 en 10.0.1.0/24.

De SFOS 22-documentatie spreekt zichzelf tegen over het toegestane prefix voor kleinere IPv4-pools. De veldhulp noemt /24 als limiet en stelt dat /25 of kleinere subnetten niet kunnen worden geselecteerd, terwijl de actuele FAQ ook kleinere subnetten beschrijft die intern over meerdere OpenVPN-instanties worden verdeeld. De gebruikte SFOS-versie is daarom bepalend: controleer welk prefix de interface aanbiedt en verifieer vervolgens het werkelijke aantal beschikbare leases.

Een kleine pool is geen toegangsbeveiliging; daarvoor dienen het beleid en de firewallregels. Gebruik in regels de systeemhosts ##ALL_SSLVPN_RW en voor IPv6 ##ALL_SSLVPN_RW6.

Onder IPv4 DNS worden de interne DNS-servers opgegeven. Domain name bevat het zoekdomein dat aan korte hostnamen wordt toegevoegd. Bij Split Tunnel moet de DNS-server of het netwerk ervan ook onder Permitted network resources staan en bereikbaar zijn via een firewallregel uit de VPN-zone. Bij Full Tunnel vervalt de Split-Tunnel-route, maar niet de firewallregel.

Als de firewall zelf als DNS-resolver fungeert, voert u het geschikte adres ervan in onder IPv4 DNS. Sta daarnaast DNS onder Administration > Device access toe voor de VPN-zone. Een afzonderlijke test via het IP-adres en via de hostnaam maakt onderscheid tussen routing- en DNS-problemen.

Statische IP-adressen, parallelle sessies en tijdswaarden

Statische SSL-VPN-IP-adressen zijn mogelijk voor onderbouwde uitzonderingen, zoals een IP-gebaseerde vrijgave voor een legacytoepassing, en moeten binnen de daarvoor ingestelde pool liggen. Een gebruiker met een statisch SSL-VPN-IP-adres kan echter geen parallelle Remote Access-sessies opbouwen.

Los daarvan beperkt Simultaneous logins onder Authentication > Services of rechtstreeks bij de lokale gebruiker het aantal parallelle aanmeldingen. De globale waarde geldt alleen voor gebruikers die daarna worden aangemaakt.

Key lifetime bepaalt het moment waarop nieuwe sleutels worden onderhandeld en is geen idle- of maximale sessietime-out. Inactieve verbindingen worden geregeld via de globale idle-instellingen en optioneel via Disconnect idle clients in het beleid. Bij onverwachte onderbrekingen moeten deze waarden, de statische IP-toewijzing, parallelle aanmeldingen en logs afzonderlijk worden gecontroleerd.

Disconnect dead peer after is een globale waarde in seconden en sluit verbindingen van clients die niet antwoorden. De standaardwaarden zijn 180 seconden voor TCP en 100 seconden voor UDP; voor UDP accepteert SFOS waarden van 60 tot 110. Disconnect idle peer after wordt daarentegen in minuten opgegeven en sluit werkelijk inactieve sessies. Bepaal vóór een verhoging aan de hand van sslvpn.log, het clientlog en pakketverlies welke timer daadwerkelijk wordt geactiveerd.

Een Override global timeout in een policy kan de globale idle-waarde alleen verkorten. Als de policywaarde hoger is, blijft de globale waarde gelden. Een oudere Sophos-pagina voor probleemoplossing adviseert voor afzonderlijke gebruikers een hogere policywaarde, maar de actuele SFOS 22-veldhulp spreekt dit uitdrukkelijk tegen. Verhoog de policywaarde daarom niet zonder effect om langere sessies toe te staan; pas de globale waarde na een effectbeoordeling aan en test opnieuw met dezelfde gebruikersgroep.

SSL-VPN-beleid aanmaken

Het beleid wordt handmatig of met de wizard aangemaakt:

Remote access VPN > SSL VPN

Sophos beveelt de wizard vooral aan voor het eerste SSL-VPN-beleid. De wizard toont de globale instellingen alleen ter controle en kan ze niet wijzigen. De wizard past de geselecteerde authenticatieservers en -methoden toe, configureert Device Access voor VPN Portal en SSL VPN en maakt het beleid en de firewallregel aan. Bij het eerste gebruik maakt de wizard de regelgroep Automatic VPN rules bovenaan de regeltabel aan en activeert de nieuwe regel. Latere wizardregels worden onderaan deze groep geplaatst. Controleer na elke uitvoering de positie en de Rule ID die daadwerkelijk overeenkomt. In bestaande omgevingen is Configure manually vaak transparanter:

Selecteer Add > Configure manually.
Voer als Name bijvoorbeeld SSLVPN-Remote-Users in.
Selecteer onder Policy members de groep SSLVPN_Users.
Kies Split Tunnel of Use as default gateway.
Selecteer bij Split Tunnel LAN_Server en DNS_Internal als Permitted network resources. Gebruik hier netwerk- of hostobjecten, geen interfaces: het selecteren van een interface garandeert geen toegang tot het subnet ervan.
Stel optioneel Disconnect idle clients en Override global timeout in.
Sla op en test met een normaal lid van de doelgroep.

Gastgebruikers en gastgroepen kunnen niet als Policy members worden gebruikt. Als een gebruiker of groep al in een ouder SSL-VPN-beleid staat, verwijdert SFOS de toewijzing uit het eerdere beleid. Controleer daarom vóór het opslaan of er overlappingen bestaan.

Een beleidsspecifieke Override global timeout werkt alleen als deze lager is dan de globale idle-waarde. Een hogere waarde heft de globale limiet niet op.

Split Tunnel of Full Tunnel

Bij Split Tunnel worden alleen de onder Permitted network resources geselecteerde IPv4- en IPv6-netwerken en ondersteunde FQDN-doelen via het VPN gerouteerd. FQDN-doelen worden alleen voor IPv4 ondersteund. Het overige internetverkeer blijft lokaal. Dit verlaagt de firewallbelasting en latentie, maar vereist een nauwkeurige planning van resources en DNS.

Als het IP-adres van een toegestaan FQDN-doel verandert, worden bestaande tunnels niet automatisch bijgewerkt. De betrokken gebruikers moeten de verbinding verbreken en opnieuw opbouwen.

Bij Full Tunnel wordt Use as default gateway geactiveerd. Al het gebruikersverkeer loopt dan via de firewall. Permitted network resources worden daarbij niet als toegangsbeperking afgedwongen. Interne doelen en services moeten met firewallregels worden beperkt; IPv4-internettoegang vereist bovendien een passende SNAT-/MASQ-regel.

Full Tunnel maakt centrale controle van webverkeer, DNS en logs mogelijk, maar verhoogt de behoefte aan bandbreedte, de firewallbelasting en de inspanning voor privacy en support. Test deze modus daarom met echte toepassingen en gelijktijdige gebruikers.

Firewallregels, Device Access en authenticatie

Firewallregels en DNS

Een opgebouwde tunnel verleent nog geen toegang tot interne resources. Daarvoor wordt een regel aangemaakt:

Rules and policies > Firewall rules

Voorbeeld voor Split Tunnel:

Rule name: VPN_SSLVPN_to_Internal_Servers
Action: Accept
Source zone: VPN
Source networks and devices: ##ALL_SSLVPN_RW
Destination zones: LAN
Destination networks: LAN_Server, DNS_Internal
Services: alleen de vereiste applicatieservices en DNS
Log firewall traffic: geactiveerd

De regel moet boven bredere VPN-regels staan. Een negatieve test naar een niet-toegestaan doel laat zien of een algemene regel verder naar beneden onbedoeld toch toegang verleent.

Voor IPv4 Full Tunnel komt er een regel van VPN naar WAN en een passende SNAT-/MASQ-regel bij. IPv6 vereist in plaats daarvan bewuste IPv6-routing en afzonderlijke IPv6-firewallregels. Bij ontbrekende toegang helpen Log Viewer, Rule ID en de handleiding voor het testen van firewallregels.

VPN Portal, Device Access en MFA

Portal, lokale diensten en authenticatie worden op afzonderlijke plaatsen gecontroleerd:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Minimaal vereist zijn:

SSL VPN in de zones vanwaar de tunnel mag worden opgebouwd;
VPN Portal alleen in de daadwerkelijk vereiste zones;
DNS in de VPN-zone alleen als de firewall als resolver fungeert;
passende VPN portal authentication methods;
passende SSL VPN authentication methods;
MFA voor portal en tunnel.

Wanneer een authenticatiemethode meerdere servers bevat, bevraagt SFOS ze in de weergegeven volgorde. Per methode kunnen maximaal 20 servers worden geselecteerd. Controleer bij identieke gebruikersnamen of terugvalgedrag welke server de aanvraag daadwerkelijk verwerkt.

Normale firewallregels regelen deze lokale diensten niet. Striktere bronnetwerken, afzonderlijke IP-adressen of landen worden met Local Service ACL Exception Rules ingesteld. De volledige beveiligingsprocedure staat in Device Access en Local Service ACL.

De webproxy van de firewall is een bijzonder geval: HTTP- en HTTPS-aanvragen die erdoor lopen, gelden voor lokale diensten als intern. Gebruikers met proxytoegang kunnen VPN Portal daardoor bereiken, ook als het niet voor hun bronzone is geactiveerd. Test deze bereikbaarheid bij gebruik van de proxy afzonderlijk en vertrouw niet alleen op de zonematrix onder Device Access.

Third-party Threat Feeds kunnen ook systeemgericht verkeer naar VPN-diensten blokkeren. Daarmee kunnen bekende ongewenste bronnen aanvullend worden geweerd; de configuratie en beperkingen worden uitgelegd in Threat Feeds op Sophos Firewall.

VPN portal authentication methods regelen de aanmelding bij het portal en het downloaden van profielen; SSL VPN authentication methods regelen de daadwerkelijke tunnelaanmelding. WebAdmin is een afzonderlijke beheerinterface en hoeft voor SSL VPN niet vanuit de WAN-zone beschikbaar te zijn.

Bij Microsoft Entra ID moet voor VPN Portal en SSL VPN dezelfde Entra-server worden geselecteerd. De volledige configuratie staat in Microsoft Entra ID SSO voor Sophos Connect.

Selecteer voor de ingebouwde OTP van SFOS de doelgebruikers of -groepen onder Authentication > Multi-factor authentication en activeer onder Require MFA for zowel VPN portal als SSL VPN remote access. Bij Generate OTP token with next sign-in moet de gebruiker eerst de QR-code in VPN Portal scannen; pas daarna kan de tunneltest beginnen.

VPN Portal ondersteunt geen RADIUS-authenticatie met Challenge-MFA. Sophos Connect ondersteunt evenmin een OTP-challenge, maar verzendt wachtwoord en OTP samen; call- en pushmethoden worden ondersteund. Test de gekozen methode met een normale pilotgebruiker. Meer basisinformatie staat in MFA voor Sophos Firewall.

Clientprofiel distribueren en bijwerken

Bij een handmatig geïmporteerd .ovpn-bestand moeten profielrelevante globale wijzigingen op de client worden bijgewerkt. Dit geldt met name voor protocol, poort, interface, servercertificaat en Override hostname. Voer eerst Update policy uit in Sophos Connect. Als deze functie niet beschikbaar is of mislukt, downloadt u de actuele .ovpn opnieuw vanuit VPN Portal en importeert u deze. Een software-update van Sophos Connect vervangt geen verouderd profiel.

Controleer na een wijziging van Override hostname of de poort of het opnieuw geïmporteerde profiel daadwerkelijk de nieuwe gatewaynaam en poort gebruikt.

Na wijzigingen aan Policy members, Permitted network resources of het IP-adres van een FQDN-doel is normaal gesproken alleen een disconnect en reconnect nodig. Toegestane netwerken worden niet statisch in het .ovpn-bestand opgeslagen; SFOS voegt de gebruikersspecifieke resources toe wanneer de tunnel wordt opgebouwd. Voor deze wijzigingen hoeft dus geen nieuw .ovpn-bestand te worden gedownload.

Een .pro-provisioningbestand wordt alleen ondersteund op Windows 10 en 11. Het downloadt de voor de gebruiker beschikbare IPsec- en SSL-VPN-configuraties en latere wijzigingen automatisch.

Als de provisioning-gateway of vpn_portal_port verandert, moet ook het .pro-bestand worden aangepast en opnieuw gedistribueerd. Het oudere veld user_portal_port wordt alleen voor compatibiliteit geaccepteerd. Bij de eerste uitrol met OTP of een andere MFA-methode kan de aanmelding twee keer verschijnen: eerst voor het downloaden van het profiel en daarna voor het opbouwen van de tunnel.

Als .pro alleen een IPsec-verbinding of geen SSL-VPN-configuratie levert, controleer dan eerst Policy members, groepslidmaatschap, bereikbaarheid van VPN Portal en authenticatie.

Sophos Connect-provisioning met .pro en GPO beschrijft de volledige JSON-structuur, MFA-velden, gatewayselectie en GPO-distributie.

Na activering of wijziging van Microsoft Entra ID SSO moet de client een actuele configuratie gebruiken. Entra SSO in Sophos Connect is een Windows-scenario vanaf clientversie 2.4.

Profielnamen moeten uniek zijn. Verwijder oude verbindingsvermeldingen na een wijziging van gateway of gebruiker en test de distributie met een normale doelgebruiker. Informatie over clientversies staat in Sophos Connect veilig bijwerken.

Sophos Connect ondersteunt SSL VPN op Windows 10/11 en macOS 13 of nieuwer. Op Linux, iOS en Android wordt hiervoor een compatibele OpenVPN-client gebruikt.

Onder Current activities > Remote users kunnen aangemelde externe gebruikers worden gefilterd op Connection date, Username, Source IP address en Leased IP address. De kolom Mode onderscheidt drie toestanden:

SSL VPN (remote access): opgebouwde remote-access-tunnel
User portal (clientless access): portalaanmelding van een lid van een clientless SSL VPN-policy
User portal: portalaanmelding zonder dat lidmaatschap

Een portalvermelding bewijst dus nog geen SSL-VPN-tunnel. Disconnect beëindigt de geselecteerde sessie. Documenteer gebruiker, adressen, modus en tijdstip vóór een support- of acceptatietest.

Configuratie testen en fouten lokaliseren

Acceptatietest

Een volledige test gebruikt een normale pilotgebruiker en één concreet intern doel:

De gebruiker ziet in VPN Portal precies de verwachte SSL-VPN-configuratie.
Test MFA met een juiste en een onjuiste factor.
Importeer .ovpn of .pro en controleer het toegewezen leaseadres.
Controleer bij Split Tunnel de route naar LAN_Server en DNS_Internal.
Test het interne doel eerst via het IP-adres en daarna via de hostnaam.
Open de toegestane service en controleer de Firewall Rule ID in Log Viewer.
Probeer een niet-toegestane verbinding en bevestig de drop.
Controleer bij Full Tunnel ook publieke internettoegang, DNS, Web Policy en IPv4-SNAT.
Verbreek na een beleids- of FQDN-wijziging de verbinding, bouw deze opnieuw op en herhaal dezelfde test.

Leg bij elke test het tijdstip, de gebruiker en groep, het clientplatform en de clientversie, het bronnetwerk, het doel en de service vast. Als alleen een beheerder test, blijven fouten in groepen, MFA en beleid gemakkelijk onopgemerkt.

Logs per foutfase

Bepaal eerst of de fout optreedt bij portaltoegang, authenticatie, tunnelopbouw of pas bij de toegang tot het doel:

VPN Portal: vpnportal.log
Normale authenticatie: access_server.log
Microsoft Entra SSO: oauth_sso_vpn.log
Gebruikersspecifieke SSL-VPN-certificaten: peruser_cert_sslvpn.log
SSL-VPN-dienst: sslvpn.log
Actieve verbindingen: openvpn-status*.log
Doelverkeer: firewalllog, Rule ID en indien nodig Packet Capture

In Packet Capture bewijst Incoming alleen dat de firewall het pakket heeft ontvangen. Bij Forwarded zonder antwoord moeten de retourroute, NAT, het doelsysteem en de lokale firewall daarvan worden gecontroleerd.

Bij TUN-verkeer vermelden SFOS-logs soms het TUN-interfaceadres als bron en het geleasete clientadres als doel. Dat betekent niet dat de adressen zijn verwisseld. Beoordeel de vermelding aan de hand van gebruiker, lease, verkeersrichting, Rule ID en testtijd.

De toewijzing van andere processen en bestanden staat in Sophos Firewall Services en logs.

Geen enkele gebruiker kan een tunnel opzetten: service en floodlimieten

Als alle gebruikers getroffen zijn, voert u eerst alleen-lezencontroles uit voordat u beleidsregels, floodlimieten of services wijzigt. Noteer het testtijdstip, het geconfigureerde SSL VPN-protocol en de poort, de huidige DoS-instellingen en of er ten minste één SSL VPN-beleidsregel bestaat.

Meld u aan bij de CLI, kies 5. Device management en vervolgens 3. Advanced shell, en controleer de servicestatus met de door Sophos gedocumenteerde opdracht:
```
service -S | grep sslvpn
```
De service moet Running weergeven. UNREGISTERED betekent dat er geen SSL VPN-beleidsregel is geregistreerd; controleer of er ten minste één bestaat. Als er wel een beleidsregel bestaat maar de service nog steeds geen Running weergeeft, correleert u sslvpn.log met het testtijdstip en onderzoekt u die afwijking in plaats van services zonder gedocumenteerde procedure opnieuw te starten.
Controleer onder Intrusion prevention > DoS & spoof protection > DoS settings de ingeschakelde opties en limieten voor UDP-, TCP- en ICMP/ICMPv6-floods. Gebruik voor tunnelverkeer het geconfigureerde SSL VPN-protocol. SFOS laat SSL VPN-verkeer en pingaanvragen vallen wanneer de bijbehorende floodlimiet wordt overschreden; alleen een mislukte ping bewijst dat niet. Correleer de verbindingspoging met bewijs van de drop voordat u een uitzondering maakt.
Leg alleen bij een bevestigde floodlimietmatch de bestaande configuratie vast en maak onder DoS bypass rules een zo beperkt mogelijke tijdelijke inbound-regel. Het Sophos-voorbeeld gebruikt het relevante bron-IP-adres/netmask (of alleen als het onvermijdelijk is *), het adres van de toegestane netwerkresource als bestemming, het werkelijke protocol TCP of UDP, bronpoort Any en de geconfigureerde SSL VPN-doelpoort (standaard 8443). Beperk bron en bestemming verder als de test dit toestaat; schakel floodbeveiliging niet globaal uit.
Herhaal exact dezelfde getimede verbindings- en toegestane-resourcetests. Verwijder de bypassregel onmiddellijk als die de drop niet verklaart. Verwijder de tijdelijke regel na de diagnose of laat de beperkte uitzondering formeel goedkeuren en documenteer deze. Zet afzonderlijk gewijzigde floodlimieten terug op de genoteerde waarden en herhaal daarna de positieve en geblokkeerde toegangstests.

De aanvraag bereikt de server, maar het antwoord ontbreekt

Als aantoonbaar is dat de aanvraag van de SSL VPN-client de toegestane interne resource bereikt, maar het antwoord niet bij de client aankomt, wordt het retourpad in twee delen gecontroleerd: eerst van de resource naar de firewall en daarna van de firewall naar het toegewezen SSL VPN-adres. Een groene tunnelstatus bakent deze fout niet af.

Controleer op de interne resource of de router daarvan of het retourpad naar het SSL VPN-adresbereik via Sophos Firewall loopt. Een specifieke retourroute is transparanter dan SNAT. Gebruik SNAT alleen gericht wanneer de retourroute niet kan worden ingericht en de daaruit voortvloeiende wijziging van het bronadres aanvaardbaar is.
Bevestig met Packet Capture dat het antwoord de firewall bereikt. Bronadres, toegewezen doeladres, service en testtijd moeten bij de oorspronkelijke toegangspoging passen.
Controleer onder Routing > SD-WAN routes de huidige Route Precedence en brede SD-WAN-routes. SSL VPN behoort tot de categorie static. Als sdwan_policyroute ervoor staat, kan een route met de interne resource of Any als bron en Any als doel en service het antwoord van de tunnel wegleiden.
Beperk bij voorkeur de betreffende SD-WAN-route zodat het SSL VPN-adresbereik niet meer als doel overeenkomt. Sophos noemt als alternatief een service-uitzondering voor de SSL VPN-poort en het protocol; deze variant moet bij het werkelijke regel- en verkeersontwerp passen.
Wijzig de globale Route Precedence alleen na een effectbeoordeling. De wijziging raakt meer dan deze verbinding. Bereid de oorspronkelijke volgorde, beheertoegang en rollback voor zoals beschreven in Route Precedence op Sophos Firewall.
Voer de toegang opnieuw uit en controleer in de capture dat het antwoord vanaf de resource binnenkomt en naar het toegewezen adres wordt doorgestuurd. Maak daarna opnieuw verbinding en test nogmaals met dezelfde toepassing.

⚠️ Een brede Any-regel, een algemene SNAT-regel of een globale wijziging van de Route Precedence kan het zichtbare probleem verplaatsen en andere VPN-, WAN- of beheerpaden verstoren. Stop als het retourpad naar de firewall of de daadwerkelijk overeenkomende SD-WAN-route niet is aangetoond.

Het thuisnetwerk en het interne doelnetwerk overlappen

Als de externe client bijvoorbeeld 192.168.1.0/24 gebruikt en de toegestane interne resource zich eveneens in 192.168.1.0/24 bevindt, beschouwt het besturingssysteem het doel meestal als lokaal. Het pakket bereikt de SSL VPN-tunnel dan helemaal niet. De nette permanente oplossing is om een van beide netwerken te hernummeren.

Als dat niet onmiddellijk mogelijk is, documenteert Sophos een nauw begrensde DNAT-uitwijkmogelijkheid. Kies een vrij virtueel doeladres dat met geen enkel lokaal, intern, VPN-, statisch of SD-WAN-netwerk overlapt. Bij Split Tunnel moet dit adres als Permitted network resource bij de client aankomen, waarna opnieuw verbinden nodig is. De DNAT-regel gebruikt het SSL VPN-leasebereik als Original source, Original als Translated source, het virtuele adres als Original destination en de echte interne host als Translated destination. Beperk de services en de bijbehorende firewallregel van VPN naar de doelzone tot de werkelijk benodigde toegang.

De gebruiker benadert vervolgens het virtuele adres of een daarvoor bestemde DNS-naam die ernaar verwijst. Log Viewer moet de verwachte Firewall Rule ID en NAT Rule ID tonen; een Packet Capture bevestigt de vertaling en de retourroute. Maak geen volledig vervangend bereik aan als slechts één host nodig is. Stop als niet ondubbelzinnig vaststaat dat het virtuele adres vrij is of als een brede NAT-regel nodig zou zijn.

Veelvoorkomende foutbeelden

Geen of lege .ovpn in VPN Portal: Een ontbrekende of lege OVPN-download oplossen onderscheidt fouten in policy, User ID, certificaat, opslag, firmware en HA. Gastaccounts zijn niet toegestaan. Sophos Connect ondersteunt alleen ASCII-gebruikersnamen; gebruikersnaam en domein mogen samen maximaal 51 tekens lang zijn.
Aanmelden mislukt: vergelijk access_server.log, vpnportal.log of oauth_sso_vpn.log met het testtijdstip. Controleer bij Entra dezelfde server voor portal en SSL VPN en de volledige certificaatketen.
Tunnel staat, maar interne doelen ontbreken: controleer de route op het endpoint, Permitted Resources bij Split Tunnel, firewallregel, retourroute, doelfirewall en overlap met het lokale thuisnetwerk.
IP-adres werkt, hostnaam niet: controleer DNS-server, zoekdomein, Split-Tunnel-route, DNS-firewallregel, lokale DoH of endpoint-DNS en indien nodig Device Access voor DNS.
Alleen afzonderlijke gebruikers zijn getroffen: vergelijk groepslidmaatschap, beleidstoewijzing, MFA, statisch IP-adres, Simultaneous logins en het geladen profiel.
Alleen oude clients zijn getroffen: importeer na globale wijzigingen een actueel .ovpn-bestand. Maak na uitsluitend beleids- of FQDN-wijzigingen eerst opnieuw verbinding en controleer de geladen routing.
Full Tunnel zonder internet: controleer de regel van VPN naar WAN, IPv4-SNAT, DNS en toegepaste web- en beveiligingspolicies.
Grote overdrachten blijven hangen: als kleine verbindingen wel werken, controleer dan MTU en MSS over het werkelijke pad. Gebruik daarvoor MTU en MSS bij VPN-problemen.
Verbinding eindigt na langere tijd: vergelijk begin- en eindtijd met Idle Timeout, Disconnect idle clients en Key lifetime. Controleer statisch IP-adres en Simultaneous logins, adresseer indien nodig een pilotgebruiker dynamisch en analyseer sslvpn.log en openvpn-status*.log rond het testtijdstip.
Bij geen enkele gebruiker wordt een tunnel opgebouwd: zoek naast Device Access en de poortvrijgave naar een brede DNAT-regel met Original destination: Any en Services: Any of de SSL-VPN-poort die de verbindingsopbouw eerder onderschept.
WAF, portal of SSL VPN overlappen: vergelijk WAN-IP, poort en protocol van alle lokale diensten en WAF-regels. Gedeelde combinaties kunnen extra blootstelling van het portal of ontbrekende Login Security veroorzaken.

Controleer in het dagelijks beheer regelmatig groepen, MFA, statische IP-toewijzingen, certificaatverloop, leasebereik, Device Access, firewallregels, profieldistributie en logs. Nieuwe SFOS- en Sophos Connect-versies worden eerst gevalideerd met een pilotgebruiker en een positieve en negatieve doeltest.