Sophos Firewall SSL VPN voor externe toegang instellen

Remote Access SSL VPN wordt op Sophos Firewall ingesteld onder Remote access VPN > SSL VPN. Voor veilige toegang moeten zes onderdelen op elkaar aansluiten:

Gebruikers of groepen aan een SSL-VPN-beleid toewijzen.
Protocol, certificaat, gateway, leasebereik en DNS globaal configureren.
Bewust kiezen tussen Split Tunnel en Use as default gateway.
Verkeer uit de VPN-zone met strikte firewallregels toestaan.
VPN Portal, authenticatie, MFA en Device Access beveiligen.
Een actueel .ovpn-profiel of op Windows een .pro-provisioningbestand distribueren en de toegang positief en negatief testen.

⚠️ SSL VPN is een publiek bereikbaar toegangspunt. MFA en sterke wachtwoorden vervangen geen strikte gebruikersgroepen, Local Service ACLs, firewallregels, actuele profielen, logs en regelmatige controles.

Dit artikel behandelt de firewallzijde. De installatie wordt afzonderlijk beschreven voor Windows, macOS, iPhone en iPad, Android en Linux. Voor de voorafgaande keuze tussen SSL VPN, IPsec en ZTNA helpt Sophos Connect of SSL VPN.

Vereisten en objecten voorbereiden

Vóór de configuratie moeten de publieke toegang, de bevoegde gebruikers en de interne doelen vaststaan:

actuele SFOS-versie en actuele Sophos Connect-client;
publieke FQDN of publiek IP-adres;
certificaten voor de SSL-VPN-tunnel en VPN Portal;
gebruikers of groepen en authenticatieservers;
MFA-methode voor portal en tunnel;
niet-overlappend SSL-VPN-leasebereik;
interne doelnetwerken, DNS-servers en zoekdomein;
keuze voor Split Tunnel of Full Tunnel;
proces voor profieldistributie en clientupdates.

Interne doelen worden eerst als hosts of netwerkobjecten aangemaakt:

Hosts and services > IP host

In het volgende voorbeeld worden deze objecten gebruikt:

LAN_Server: 10.10.10.0/24 voor interne servers;
LAN_Client: 10.10.20.0/24, als externe gebruikers dit clientnetwerk echt nodig hebben;
DNS_Internal: 10.10.10.10 voor interne DNS of een domeincontroller;
SSLVPN_Users: gebruikersgroep voor de Policy members.

Geef geen volledige interne netwerken vrij als afzonderlijke servers of subnetten volstaan. Ook DNS-servers hebben een duidelijk object nodig, zodat de route en firewallregel later controleerbaar blijven.

Globale SSL-VPN-instellingen configureren

De globale instellingen gelden voor alle Remote Access SSL-VPN-policies en maken deel uit van de .ovpn-configuratie:

Remote access VPN > SSL VPN > SSL VPN global settings

Deze waarden worden ook gebruikt voor SSL Site-to-Site-verbindingen tussen twee Sophos Firewalls. Wie poort, protocol, certificaat of Override hostname wijzigt, moet daarom zowel de Remote Access-profielen als bestaande SSL Site-to-Site-tunnels controleren en de bijbehorende configuratie opnieuw distribueren.

Documenteer vóór wijzigingen aan globale profielwaarden Protocol, Port, Override hostname, SSL server certificate, lease- en DNS-waarden en de configuratie van de betrokken SSL Site-to-Site-peers. Neem ook eventuele bovenliggende NAT- of poortdoorsturingen op in het terugvalplan. Als de acceptatietest mislukt, herstelt u deze waarden en de eerdere Site-to-Site-configuratie en herhaalt u met het oude profiel de portal-, tunnel-, positieve en negatieve toegangstests.

Protocol, certificaten, gateway en poort

SSL VPN ondersteunt TCP en UDP. UDP is meestal de efficiëntere eerste keuze; TCP kan als geteste uitwijkmogelijkheid helpen wanneer externe netwerken UDP blokkeren. Test de keuze met echte hotel-, mobiele en gastnetwerken.

De standaardpoort voor SSL VPN is 8443; VPN Portal gebruikt standaard 443. Voor elke publiek bereikbare dienst is een unieke combinatie van WAN-IP, poort en protocol het duidelijkst.

Sophos gebruikt twee afzonderlijke certificaten:

Het SSL server certificate dat onder de globale SSL-VPN-instellingen is geselecteerd, wordt door de SSL-VPN-server gebruikt.
Het HTTPS-certificaat van VPN Portal wordt gekozen onder Administration > Admin and user settings.

Beide certificaten moeten passen bij de gebruikte publieke FQDN. Bij certificaten van een externe CA moet ook de vereiste certificaatketen aanwezig zijn.

Override hostname bepaalt de FQDN of het publieke IP-adres in het clientprofiel. Dit is vooral belangrijk bij upstream NAT, meerdere WAN-interfaces of DDNS. Als het veld leeg blijft, kunnen meerdere interfaceadressen in het profiel terechtkomen. Sophos Connect geeft voorrang aan DDNS-gateways en probeert andere vermeldingen in omgekeerde volgorde; één duidelijke FQDN is daarom eenvoudiger te testen en te beheren.

VPN Portal en SSL VPN mogen technisch dezelfde poort en hetzelfde protocol delen. De instellingen voor Login Security werken dan echter niet zoals bedoeld en VPN Portal wordt bereikbaar vanuit de zones waarin SSL VPN is geactiveerd. WAF moet van VPN Portal verschillen in WAN-IP of poort en van SSL VPN in WAN-IP, poort of protocol. Meer WAF-afhankelijkheden worden uitgelegd in Sophos Firewall WAF.

Leasebereik en DNS

Het IPv4-leasebereik moet privé zijn en mag niet overlappen met interne netwerken, site-to-site-VPN’s, statische routes, andere Remote Access-pools of gebruikelijke thuisnetwerken. Veelvoorkomende voorbeelden zijn 192.168.0.0/24, 192.168.1.0/24, 192.168.2.0/24, 10.0.0.0/24 en 10.0.1.0/24.

De SFOS 22-documentatie spreekt zichzelf tegen over het toegestane prefix voor kleinere IPv4-pools. De veldhulp noemt /24 als limiet en stelt dat /25 of kleinere subnetten niet kunnen worden geselecteerd, terwijl de actuele FAQ ook kleinere subnetten beschrijft die intern over meerdere OpenVPN-instanties worden verdeeld. De gebruikte SFOS-versie is daarom bepalend: controleer welk prefix de interface aanbiedt en verifieer vervolgens het werkelijke aantal beschikbare leases.

Volgens de Sophos-FAQ hangt het aantal gelijktijdige SSL VPN-instanties af van de CPU’s van het firewallmodel. Elke instantie maakt een tun0-interface en heeft een eigen subnet nodig voor routing en interne verdeling. SFOS verdeelt de ingestelde pool hiervoor; dit adresverbruik vindt plaats vóór clientleases worden toegewezen. Als illustratie noemt de FAQ 192.168.0.0/27 met acht gelijktijdige instanties en slechts één resterend toewijsbaar IP-adres. Dit is geen algemene capaciteit of aanbevolen voorbeeldnetwerk: controleer de werkelijke leases op doelbuild en model; het hierboven beschreven conflict tussen veldhulp en FAQ blijft bestaan.

SFOS 23: Het selecteerbare IPv4-bereik hangt af van het firewallmodel; grotere modellen ondersteunen subnetten met meer IP-adressen. De SFOS 23-hulp noemt /24 als het kleinste selecteerbare subnet. Dit is een modelafhankelijke selectielimiet, geen toezegging van een bepaald aantal clientleases. De CPU-afhankelijke interne verdeling verklaart het adresverbruik, maar niet de ondersteunde selectiebereiken. Dit lost het SFOS 22-conflict niet op en maakt de /27-illustratie niet tot een configuratieadvies.

Leg vóór een wijziging de SFOS-build, het model, het vorige bereik en de statische toewijzingen vast en bewaar de vorige waarden voor rollback. Selecteer in de interface alleen een bereik dat het doelmodel ondersteunt, houd statische gebruikersadressen binnen het resulterende statische bereik en controleer de werkelijk beschikbare leases. Verbind vervolgens een pilotgebruiker opnieuw en test de lease, DNS en toegestane en geblokkeerde bestemmingen. Herstel bij een mislukte acceptatie de vorige waarden en toewijzingen en test opnieuw. Als build, interface, hulp of FAQ elkaar tegenspreken, stop dan de daarvan afhankelijke capaciteitsuitrol totdat support duidelijkheid geeft; forceer geen masker.

SFOS 23 XML API – status 551: De ruwe statusrij voor Configure SSLVPN Tunnel Access verwijst naar de niet-opgeloste runtime-identificatie Message.SSLVPNInvalidLeaseIPv4Mask. Hieruit volgen geen bevestigde meldingstekst, vastgestelde afwijzingsreden of nieuw ondersteund maskerbereik. Als de API 551 retourneert, bewaart u het volledige antwoord en de vorige instellingen. Controleer vóór elke wijziging StartIP, SubnetMask en de poolselectie die de geïnstalleerde build en het model ondersteunen, aan de hand van de voor die omgeving goedgekeurde hulp of met Sophos Support; forceer geen masker.

Controleer na een ondersteunde correctie het API-antwoord, de daadwerkelijk opgeslagen instellingen op de doelfirewall en de lease van een opnieuw verbonden pilotgebruiker. Bewaar de vorige waarden en toewijzingen voor de hierboven beschreven rollback. Als de diagnose of meldingstekst van belang blijft voor goedkeuring en niet is opgehelderd, blijft de uitrol in afwachting.

Een kleine pool is geen toegangsbeveiliging; daarvoor dienen het beleid en de firewallregels. Gebruik in regels de systeemhosts ##ALL_SSLVPN_RW en voor IPv6 ##ALL_SSLVPN_RW6.

Onder IPv4 DNS worden de interne DNS-servers opgegeven. Domain name bevat het zoekdomein dat aan korte hostnamen wordt toegevoegd. Bij Split Tunnel moet de DNS-server of het netwerk ervan ook onder Permitted network resources staan en bereikbaar zijn via een firewallregel uit de VPN-zone. Bij Full Tunnel vervalt de Split-Tunnel-route, maar niet de firewallregel.

Als de firewall zelf als DNS-resolver fungeert, voert u het geschikte adres ervan in onder IPv4 DNS. Sta daarnaast DNS onder Administration > Device access toe voor de VPN-zone. Een afzonderlijke test via het IP-adres en via de hostnaam maakt onderscheid tussen routing- en DNS-problemen.

Statische IP-adressen, parallelle sessies en tijdswaarden

Statische SSL-VPN-IP-adressen zijn mogelijk voor onderbouwde uitzonderingen, zoals een IP-gebaseerde vrijgave voor een legacytoepassing, en moeten binnen de daarvoor ingestelde pool liggen. Een gebruiker met een statisch SSL-VPN-IP-adres kan echter geen parallelle Remote Access-sessies opbouwen.

Los daarvan beperkt Simultaneous logins onder Authentication > Services of rechtstreeks bij de lokale gebruiker het aantal parallelle aanmeldingen. De globale waarde geldt alleen voor gebruikers die daarna worden aangemaakt.

Key lifetime bepaalt het moment waarop nieuwe sleutels worden onderhandeld en is geen idle- of maximale sessietime-out. Inactieve verbindingen worden geregeld via de globale idle-instellingen en optioneel via Disconnect idle clients in het beleid. Bij onverwachte onderbrekingen moeten deze waarden, de statische IP-toewijzing, parallelle aanmeldingen en logs afzonderlijk worden gecontroleerd.

Disconnect dead peer after is een globale waarde in seconden en sluit verbindingen van clients die niet antwoorden. De standaardwaarden zijn 180 seconden voor TCP en 100 seconden voor UDP; voor UDP accepteert SFOS waarden van 60 tot 110. Disconnect idle peer after wordt daarentegen in minuten opgegeven en sluit werkelijk inactieve sessies. Bepaal vóór een verhoging aan de hand van sslvpn.log, het clientlog en pakketverlies welke timer daadwerkelijk wordt geactiveerd.

Beperkingen van de XML-API voor SFOS 22/23: De legacy-API-documentatie voor Configure SSLVPN Tunnel Access noemt voor DisconnectDeadPeerAfter de standaardwaarde 300 seconden, het bereik 60 tot 1800 en in het voorbeeld 180, zonder koppeling aan een specifiek protocol. Dit bevestigt noch een TCP-/UDP-standaardwaarde tijdens runtime, noch een nieuwe GUI-standaardwaarde. Overschrijf de hierboven beschreven TCP-/UDP-waarden daarom niet op basis van deze API-tabel; controleer de daadwerkelijk opgeslagen timer onder Remote access VPN > SSL VPN > SSL VPN global settings op de geïnstalleerde build.

Ook de voorwaardelijke vereisten van het leaseschema blijven onduidelijk: LeaseMode staat IPv4 toe, hoewel IPv6Lease en IPv6Prefix als verplichte velden worden vermeld en in het voorbeeld leeg blijven; voor het prefix noemt de tabel 64 tot 112. Hieruit volgt noch toestemming om lege IPv6-velden te verzenden, noch dat dual-stack-ondersteuning ontbreekt. EndIP en CompressSSLVPNTraffic komen alleen in het voorbeeld voor en bieden geen gevalideerd contract voor schrijfbewerkingen of compressieadvies. Vóór automatisering die hiervan afhankelijk is, moet Sophos Support of de voor de doelbuild goedgekeurde documentatie duidelijkheid geven over de voorwaardelijk verplichte velden en de te schrijven waarden; voer tot die tijd geen hiervan afgeleide XML-wijziging uit. Leg vóór ondersteunde wijzigingen de daadwerkelijke globale timer-, lease- en DNS-waarden en de configuraties van betrokken SSL Site-to-Site-peers vast; controleer daarna het antwoord, de opgeslagen waarden en de lease van een opnieuw verbonden pilotgebruiker. Herstel bij een mislukte acceptatie exact de genoteerde uitgangswaarden en bijbehorende peerconfiguraties en herhaal dezelfde toegangstests.

Een Override global timeout in een policy kan de globale idle-waarde alleen verkorten. Als de policywaarde hoger is, blijft de globale waarde gelden. Een oudere Sophos-pagina voor probleemoplossing adviseert voor afzonderlijke gebruikers een hogere policywaarde, maar de actuele SFOS 22-veldhulp spreekt dit uitdrukkelijk tegen. Verhoog de policywaarde daarom niet zonder effect om langere sessies toe te staan; pas de globale waarde na een effectbeoordeling aan en test opnieuw met dezelfde gebruikersgroep.

SSL-VPN-beleid aanmaken

Het beleid wordt handmatig of met de wizard aangemaakt:

Remote access VPN > SSL VPN

Sophos beveelt de wizard vooral aan voor het eerste SSL-VPN-beleid. De wizard toont de globale instellingen alleen ter controle en kan ze niet wijzigen. De wizard past de geselecteerde authenticatieservers en -methoden toe, configureert Device Access voor VPN Portal en SSL VPN en maakt het beleid en de firewallregel aan. Bij het eerste gebruik maakt de wizard de regelgroep Automatic VPN rules bovenaan de regeltabel aan en activeert de nieuwe regel. Latere wizardregels worden onderaan deze groep geplaatst. Controleer na elke uitvoering de positie en de Rule ID die daadwerkelijk overeenkomt. In bestaande omgevingen is Configure manually vaak transparanter:

Selecteer Add > Configure manually.
Voer als Name bijvoorbeeld SSLVPN-Remote-Users in.
Selecteer onder Policy members de groep SSLVPN_Users.
Kies Split Tunnel of Use as default gateway.
Selecteer bij Split Tunnel LAN_Server en DNS_Internal als Permitted network resources. Gebruik hier netwerk- of hostobjecten, geen interfaces: het selecteren van een interface garandeert geen toegang tot het subnet ervan.
Stel optioneel Disconnect idle clients en Override global timeout in.
Sla op en test met een normaal lid van de doelgroep.

Gastgebruikers en gastgroepen kunnen niet als Policy members worden gebruikt. Als een gebruiker of groep al in een ouder SSL-VPN-beleid staat, verwijdert SFOS de toewijzing uit het eerdere beleid. Controleer daarom vóór het opslaan of er overlappingen bestaan.

Een beleidsspecifieke Override global timeout werkt alleen als deze lager is dan de globale idle-waarde. Een hogere waarde heft de globale limiet niet op.

Beperkingen van de XML-API voor de policy: De Add/Edit-voorbeelden voor SFOS 22/23 scheiden binnen SSLVPNPolicy de takken TunnelPolicy en ClientlessPolicy, elk met een eigen Name en PolicyMembers/Member. Tunneltoegang tot netwerkresources en clientless-publicatie zijn verschillende taken met afzonderlijke policynamen en lidmaatschapstoewijzingen. WebAccessibleResources bevat BookmarkGroups en Bookmarks, geen IP-resources voor de tunnel. Behandel een wijziging niet als een gezamenlijke wijziging van beide deelpolicies; interpreteer bookmarkvrijgaven niet als tunnelresources.

De tabel noemt bovendien het verplichte veld Web Access met de waarden 1 en 6, zonder overeenkomstig veld in het voorbeeld of bevestigde koppeling aan GUI-modi. Voor UseAsDefaultGateway wordt SplitTunnel als standaardwaarde vermeld en voor DisconnectIdleClients UseGlobalSettings, hoewel beide alleen Off en On als toegestane waarden noemen. Leid hieruit geen numerieke moduskoppeling, verzendbare standaardwaarde, effect van weggelaten velden of serialisatie van leden af. Stel de hiervan afhankelijke API-wijziging uit totdat dit voor de doelbuild is opgehelderd; de hierboven beschreven GUI-configuratie blijft de veilige werkwijze. Full Tunnel vereist nog steeds nauw begrensde firewallregels, en de idle-waarde van de policy kan de globale limiet alleen verkorten.

Split Tunnel of Full Tunnel

Bij Split Tunnel worden alleen de onder Permitted network resources geselecteerde IPv4- en IPv6-netwerken en ondersteunde FQDN-doelen via het VPN gerouteerd. FQDN-doelen worden alleen voor IPv4 ondersteund. Het overige internetverkeer blijft lokaal. Dit verlaagt de firewallbelasting en latentie, maar vereist een nauwkeurige planning van resources en DNS.

Als het IP-adres van een toegestaan FQDN-doel verandert, worden bestaande tunnels niet automatisch bijgewerkt. De betrokken gebruikers moeten de verbinding verbreken en opnieuw opbouwen.

Bij Full Tunnel wordt Use as default gateway geactiveerd. Al het gebruikersverkeer loopt dan via de firewall. Permitted network resources worden daarbij niet als toegangsbeperking afgedwongen. Interne doelen en services moeten met firewallregels worden beperkt; IPv4-internettoegang vereist bovendien een passende SNAT-/MASQ-regel.

Full Tunnel maakt centrale controle van webverkeer, DNS en logs mogelijk, maar verhoogt de behoefte aan bandbreedte, de firewallbelasting en de inspanning voor privacy en support. Test deze modus daarom met echte toepassingen en gelijktijdige gebruikers.

Een SSL-VPN-beleid veilig buiten gebruik stellen

Verwijder een beleid dat niet meer nodig is gericht; een sessie verbreken is geen vervanging. Bepaal vóór het verwijderen welke toegang moet vervallen en welke rechten nog nodig zijn.

Selecteer de exact opgeslagen Name en de bedoelde beleidstak: TunnelPolicy voor tunneltoegang of ClientlessPolicy voor clientless toegang. Ga niet alleen af op een vergelijkbare weergavenaam.
Controleer Policy members, de daadwerkelijke groepslidmaatschappen en de toegewezen netwerkresources of bookmarks en bookmarkgroepen. Bevestig dat de buitengebruikstelling is goedgekeurd en dat geen toegang die nog nodig is van dit beleid afhangt. Stop bij onduidelijke toewijzingen en verhelder eerst de afhankelijkheden; een nieuwe toewijzing kan leden uit een ouder beleid verwijderen.
Bewaar de naam, tak, leden en alle bijbehorende instellingen veilig en in herstelbare vorm. Verwijder onder Remote access VPN > SSL VPN alleen het geselecteerde beleid via de verwijderprocedure die voor de geïnstalleerde doelbuild wordt ondersteund. Raadpleeg vóór de wijziging de goedgekeurde documentatie of Sophos Support als die procedure niet duidelijk is bevestigd.
Moet de toegang onmiddellijk stoppen, controleer dan actieve sessies afzonderlijk onder Current activities > Remote users aan de hand van gebruiker, adressen en Mode en beëindig de betrokken sessies gericht met Disconnect. Verbreken vervangt het intrekken van rechten niet; leid uit het verwijderen geen automatische tunnelbeëindiging af.
Controleer opgeslagen beleidsregels en lidmaatschapstoewijzingen opnieuw. Controleer met een getroffen gewone gebruiker de verwachte configuratie in VPN Portal en de autorisatie bij een nieuwe verbindingspoging. Toegang die eerder via het buiten gebruik gestelde beleid werd verleend, moet vervallen; toegang die via andere beleidsregels nog is goedgekeurd, moet behouden blijven. Controleer daadwerkelijk toegestaan en geblokkeerd verkeer met de firewalllogs en bij clientless toegang ook de verwachte bookmarkrechten. Verhelder onverwachte resultaten vóór verdere verwijderingen; gebruik de bewaarde instellingen alleen met goedkeuring voor gericht herstel.

Documentatiegrens: De Delete-pagina’s van de legacy-XML-API voor SFOS 22/23 noemen Name als verplicht, maar bevestigen geen volledig XML-verwijdercontract, cascade-effecten of resultaat- en sessiesemantiek. Leid hieruit geen Delete-payload, statuscodes, meldingstekst of onmiddellijke intrekking van toegang af.

Firewallregels, Device Access en authenticatie

Firewallregels en DNS

Een opgebouwde tunnel verleent nog geen toegang tot interne resources. Daarvoor wordt een regel aangemaakt:

Rules and policies > Firewall rules

Voorbeeld voor Split Tunnel:

Rule name: VPN_SSLVPN_to_Internal_Servers
Action: Accept
Source zone: VPN
Source networks and devices: ##ALL_SSLVPN_RW
Destination zones: LAN
Destination networks: LAN_Server, DNS_Internal
Services: alleen de vereiste applicatieservices en DNS
Log firewall traffic: geactiveerd

De regel moet boven bredere VPN-regels staan. Een negatieve test naar een niet-toegestaan doel laat zien of een algemene regel verder naar beneden onbedoeld toch toegang verleent.

Voor IPv4 Full Tunnel komt er een regel van VPN naar WAN en een passende SNAT-/MASQ-regel bij. IPv6 vereist in plaats daarvan bewuste IPv6-routing en afzonderlijke IPv6-firewallregels. Bij ontbrekende toegang helpen Log Viewer, Rule ID en de handleiding voor het testen van firewallregels.

VPN Portal, Device Access en MFA

Portal, lokale diensten en authenticatie worden op afzonderlijke plaatsen gecontroleerd:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Minimaal vereist zijn:

SSL VPN in de zones vanwaar de tunnel mag worden opgebouwd;
VPN Portal alleen in de daadwerkelijk vereiste zones;
DNS in de VPN-zone alleen als de firewall als resolver fungeert;
passende VPN portal authentication methods;
passende SSL VPN authentication methods;
MFA voor portal en tunnel.

Wanneer een authenticatiemethode meerdere servers bevat, bevraagt SFOS ze in de weergegeven volgorde. Per methode kunnen maximaal 20 servers worden geselecteerd. Controleer bij identieke gebruikersnamen of terugvalgedrag welke server de aanvraag daadwerkelijk verwerkt.

Normale firewallregels regelen deze lokale diensten niet. Striktere bronnetwerken, afzonderlijke IP-adressen of landen worden met Local Service ACL Exception Rules ingesteld. De volledige beveiligingsprocedure staat in Device Access en Local Service ACL.

De webproxy van de firewall is een bijzonder geval: HTTP- en HTTPS-aanvragen die erdoor lopen, gelden voor lokale diensten als intern. Gebruikers met proxytoegang kunnen VPN Portal daardoor bereiken, ook als het niet voor hun bronzone is geactiveerd. Test deze bereikbaarheid bij gebruik van de proxy afzonderlijk en vertrouw niet alleen op de zonematrix onder Device Access.

Third-party Threat Feeds kunnen ook systeemgericht verkeer naar VPN-diensten blokkeren. Daarmee kunnen bekende ongewenste bronnen aanvullend worden geweerd; de configuratie en beperkingen worden uitgelegd in Threat Feeds op Sophos Firewall.

VPN portal authentication methods regelen de aanmelding bij het portal en het downloaden van profielen; SSL VPN authentication methods regelen de daadwerkelijke tunnelaanmelding. WebAdmin is een afzonderlijke beheerinterface en hoeft voor SSL VPN niet vanuit de WAN-zone beschikbaar te zijn.

SSO per SFOS-versie: Configureer Microsoft Entra ID op SFOS 22 met Server type: Microsoft Entra ID SSO. Open op SFOS 23 Authentication > Servers > Add, selecteer Server type: OpenID Connect en vervolgens IdP vendor: Microsoft Entra ID of IdP vendor: Google Workspace. De inrichting van app, server, Redirect URIs en groepen staat respectievelijk in Microsoft Entra ID SSO voor Sophos Connect en Google Workspace OIDC op Sophos Firewall. Deze versietakken bevestigen niet de GA-beschikbaarheid van een build.

Vóór het downloaden van het profiel moet onder Authentication > Services dezelfde geconfigureerde IdP-server worden geselecteerd voor VPN portal authentication methods en SSL VPN authentication methods, met Apply voor elke dienst; op SFOS 22 is dit dezelfde Entra-server. Vergelijk de volledige Redirect URI bij de gekozen provider, inclusief FQDN, poort en pad, en controleer de vereiste aanmeldendpoints. Geslaagde SSO vervangt geen groepslidmaatschap, Policy members of nauw begrensde firewallregels. Bewaar vóór de omschakeling de diensttoewijzingen, servervolgorde en werkende profielen. Download en importeer na SSO-wijzigingen de actuele configuratie opnieuw en test met een gewone pilotgebruiker portal, tunnel, IdP-MFA, DNS en toegestane en geblokkeerde bestemmingen. Herstel bij fouten de vastgelegde diensttoewijzingen, volgorde en bijbehorende profielen en herhaal dezelfde tests; verwijder de vorige toegangsmethode niet voordat de acceptatie slaagt.

Selecteer voor de ingebouwde OTP van SFOS de doelgebruikers of -groepen onder Authentication > Multi-factor authentication en activeer onder Require MFA for zowel VPN portal als SSL VPN remote access. Bij Generate OTP token with next sign-in moet de gebruiker eerst de QR-code in VPN Portal scannen; pas daarna kan de tunneltest beginnen.

VPN Portal ondersteunt geen RADIUS-authenticatie met Challenge-MFA. Sophos Connect ondersteunt evenmin een OTP-challenge, maar verzendt wachtwoord en OTP samen; call- en pushmethoden worden ondersteund. Test de gekozen methode met een normale pilotgebruiker. Meer basisinformatie staat in MFA voor Sophos Firewall.

Clientprofiel distribueren en bijwerken

Als profielrelevante globale waarden zoals protocol, poort, interface, servercertificaat of Override hostname veranderen, downloadt u de actuele .ovpn opnieuw vanuit VPN Portal, verspreidt u deze beveiligd en importeert u deze bij handmatige uitrol opnieuw in de client. Update policy is hier niet de eerste stap en geen vervanging voor de handmatige herimport. Het gedocumenteerde gebruik betreft een via .pro geprovisioneerde verbinding: voer daar na een wijziging van de SSL-VPN-poort of het protocol Update policy uit; overige configuratiewijzigingen haalt dit provisioningpad automatisch op. Bij wijzigingen aan bijvoorbeeld poort, gateway, servercertificaat of protocol kan opnieuw aanmelden nodig zijn. Een software-update van Sophos Connect vervangt geen verouderd profiel. Bewaar het bekende werkende profiel en de bijbehorende globale firewallwaarden veilig voor een rollback; controleer de nieuwe import vóór brede verspreiding met een gewone pilotgebruiker op gateway/poort, authenticatie/MFA, routes, DNS en de toegestane en geblokkeerde doelen. Herstel bij een mislukte acceptatie de bij elkaar horende oude waarden en het bekende werkende profiel en herhaal dezelfde controles.

Controleer na een wijziging van Override hostname of de poort of het opnieuw geïmporteerde profiel daadwerkelijk de nieuwe gatewaynaam en poort gebruikt.

Na wijzigingen aan Policy members, Permitted network resources of het IP-adres van een FQDN-doel is normaal gesproken alleen een disconnect en reconnect nodig. Toegestane netwerken worden niet statisch in het .ovpn-bestand opgeslagen; SFOS voegt de gebruikersspecifieke resources toe wanneer de tunnel wordt opgebouwd. Voor deze wijzigingen hoeft dus geen nieuw .ovpn-bestand te worden gedownload.

.pro haalt IPsec (.scx) en de voor de gebruiker toegestane SSL VPN-configuraties (.ovpn) via het VPN Portal op, inclusief latere wijzigingen; het is zelf geen tunnelprofiel. Compatibele Windows-clients en Sophos Connect voor macOS vanaf 2.1 worden ondersteund, niet macOS-client 2.0 of ouder. IPsec-provisioning vereist Sophos Connect 2.1 of hoger. Met macOS-client 2.0 blijven rechtstreekse import en gecontroleerde handmatige updates nodig.

Als de provisioning-gateway of vpn_portal_port verandert, moet ook het .pro-bestand worden aangepast en opnieuw gedistribueerd. Het oudere veld user_portal_port wordt alleen voor compatibiliteit geaccepteerd. Bij de eerste uitrol met OTP of een andere MFA-methode kan de aanmelding twee keer verschijnen: eerst voor het downloaden van het profiel en daarna voor het opbouwen van de tunnel.

Als .pro alleen een IPsec-verbinding of geen SSL-VPN-configuratie levert, controleer dan eerst Policy members, groepslidmaatschap, bereikbaarheid van VPN Portal en authenticatie.

Voor SSO-provisioning met .pro op Windows met Sophos Connect 2.4 of nieuwer beschrijft SFOS 22 Entra ID; SFOS 23 ondersteunt de OIDC-identiteitsproviders die voor dit pad worden ondersteund, niet willekeurige identiteitsproviders. Onder Authentication > Services moeten VPN Portal, IPsec VPN en SSL VPN dezelfde geconfigureerde IdP-server gebruiken. gateway bevat alleen de firewall-FQDN of het IP-adres uit de sectie Redirect URI van die server, niet de volledige callback-URI; stel de portalpoort afzonderlijk in via vpn_portal_port. Voor SSO blijft macOS met Sophos Connect 2.1 of nieuwer hier beperkt tot Entra ID, zonder uitbreiding naar algemene OIDC-ondersteuning; de hieronder genoemde bevestiging van ondersteuning vóór uitrol blijft nodig. Het volgende provisioningartikel legt de provider- en versiegebonden vereisten uit.

Sophos Connect-provisioning met .pro en GPO beschrijft de volledige JSON-structuur, MFA-velden, gatewayselectie en GPO-distributie.

Voor Google Workspace SSO is deze handleiding beperkt tot Windows met Sophos Connect 2.4 of nieuwer; Entra-aanwijzingen voor macOS gelden niet voor Google. Voor Entra noemen de overzichtspagina’s macOS vanaf 2.1, niet 2.0, terwijl de vereistenpagina’s alleen Windows vanaf 2.4 noemen. Deze tegenstrijdigheid blijft ook in het gekoppelde detailartikel onopgelost: stop vóór een macOS-uitrol totdat ondersteuning voor de doelbuild, het clientplatform/de clientversie en het benodigde VPN-type afzonderlijk is bevestigd en getest. Controleer voor elk goedgekeurd pad passende SFOS-instellingen, actuele clientconfiguratie, authenticatiemethoden en Redirect URI; test MFA bij de IdP. Een identieke browserstroom of toepasbaarheid van Windows-GPO-uitrol op macOS wordt niet toegezegd.

Profielnamen moeten uniek zijn. Verwijder oude verbindingsvermeldingen na een wijziging van gateway of gebruiker en test de distributie met een normale doelgebruiker. Informatie over clientversies staat in Sophos Connect veilig bijwerken.

SSL VPN met Sophos Connect: Windows 10/11; macOS-client 2.0 op macOS 13+, en client 2.1 of hoger op macOS 14+. Linux, iOS en Android gebruiken een compatibele OpenVPN-client.

Onder Current activities > Remote users kunnen aangemelde externe gebruikers worden gefilterd op Connection date, Username, Source IP address en Leased IP address. De kolom Mode onderscheidt drie toestanden:

SSL VPN (remote access): opgebouwde remote-access-tunnel
User portal (clientless access): portalaanmelding van een lid van een clientless SSL VPN-policy
User portal: portalaanmelding zonder dat lidmaatschap

Een portalvermelding bewijst dus nog geen SSL-VPN-tunnel. Disconnect beëindigt de geselecteerde sessie. Documenteer gebruiker, adressen, modus en tijdstip vóór een support- of acceptatietest.

Configuratie afronden en diagnose voorbereiden

Gebruik in een nieuwe omgeving Hosts and services > IP host > Add om een naam en netwerk of hostadres in te voeren en kies Save. Maak SSLVPN_Users aan onder Authentication > Groups > Add met passende waarden voor Surfing quota en Access time en sla op. Stel onder Authentication > Users > Add de gebruikersnaam, weergavenaam en deze groep in en sla op. Onbeperkte internettoegang en onbeperkte toegangstijden zijn voorbeeldwaarden, geen beveiligingseisen. Controleer bij bestaande directorygebruikers de huidige groepstoewijzing in plaats van onnodige lokale accounts aan te maken.

Controleer naast de hierboven beschreven globale waarden:

Lease mode: IPv4 only wijst alleen IPv4 toe; IPv4 and IPv6 both wijst beide adresfamilies toe. De IPv6-pool, routes en regels moeten daarop aansluiten. Use static IP addresses toont het automatisch opgesplitste statische bereik; wijs individuele adressen toe onder Authentication > Users.
IPv4 WINS: Voer alleen primaire en secundaire WINS-servers in als de omgeving deze naamdienst nodig heeft. WINS vervangt DNS niet.
Encryption algorithm, Authentication algorithm en Key size: Kies versleuteling, berichtauthenticatie en sleutellengte bewust volgens de goedgekeurde beveiligingseisen. Key lifetime wordt opgegeven in seconden. Verzwak de cryptografie niet om een verbinding te onderzoeken.
Enable debug mode: Levert uitgebreidere SSL-VPN-logs. Schakel dit alleen in voor een gericht onderzoek, bescherm de logs en herstel daarna de vorige instelling.

Sla globale wijzigingen op met Apply. Importeer bij een extern ondertekende certificaatketen het servercertificaat met de privésleutel, de intermediate CA en de root CA. Ook wijzigingen aan Default CA bij ApplianceCertificate of een lokaal ondertekend certificaat vereisen een nieuwe handmatige .ovpn-import. Gebruik geen UTF-8-tekens in certificaat- en CA-velden; speciale tekens in gebruikersnamen kunnen ook het portaal, bestandsnamen en clients van derden beïnvloeden.

Bij één statisch openbaar WAN-IP-adres kan Override hostname leeg blijven. Stel bij meerdere adressen de bedoelde FQDN of een specifiek interfaceadres in, of controleer elke geëxporteerde vermelding. Geef bij upstream NAT het openbare routeradres op en controleer de portforwarding; configureer bij een dynamisch adres eerst Network > DDNS en gebruik de DDNS-FQDN. Controleer de daadwerkelijke gatewayvermeldingen in .ovpn en test de naamresolutie afzonderlijk.

Controleer in de wizard de globale waarden, kies Next en stel VPN name, gebruikers/groepen en Authentication servers in. De opties zijn Same as VPN (IPsec, L2TP, PPTP), Same as firewall of Set authentication method for SSL VPN. Selecteer tunnelmodus en zones afzonderlijk; bevestig voor Split Tunnel de resources met Apply selected items onderaan de lijst. Kies pas na controle Finish en controleer de gegenereerde regels. De wizard vervangt noch de SNAT-controle noch de afzonderlijke IdP-configuratie.

⚠️ De inleiding van de Full-Tunnel-handleiding stelt dat alleen resources die in het beleid zijn geselecteerd bereikbaar zijn; de veldhulp zegt expliciet dat Permitted network resources bij Use as default gateway niet wordt afgedwongen. Een oudere diagnosehandleiding blijft ook in deze modus resourcekeuze aanbevelen. Deze tegenstrijdige uitspraak biedt geen toegangsgarantie: gebruik expliciete firewallregels als toegangscontrole voor Full Tunnel en test toegestane en geblokkeerde bestemmingen. Brede voorbeeldregels met Any zijn niet verplicht; beperk interne toegang en internettoegang afzonderlijk. Deze richtlijnen zijn aan de documentatie getoetst, niet op een klantfirewall uitgevoerd.

Open voor handmatige clientconfiguratie VPN in het VPN Portal, kies indien nodig Download for Windows of Download for macOS en installeer de client. Download configuration for Windows, macOS, Linux levert .ovpn; importeer dit met Import connection en meld aan met portaalgegevens of voorbereide SSO. De beheerder kan het installatiebestand ook via Remote access VPN > SSL VPN > Download client ophalen. De oude SSL-VPN-client is end-of-life en wordt niet meer in het portaal aangeboden.

Controleer als alleen bepaalde endpoints falen eerst internettoegang en de machtigingen van het OS, de endpointfirewall en antivirus. Gebruik tijdens een verbindingspoging het BPF-filter port <SSL VPN port number> onder Diagnostics > Packet capture; Details in Sophos Connect toont de verbindingsparameters. Ontbrekende pakketten bewijzen geen ISP-blokkade. Sluit eerst andere oorzaken uit; wijzig alleen naar een toegestane poort/protocolcombinatie nadat WAF-/portaalconflicten zijn gecontroleerd en profieldistributie en rollback zijn voorbereid. Het gedocumenteerde Android/OpenVPN-compressieprobleem betreft SFOS 20.0 GA en eerder, niet SFOS 22/23 in het algemeen.

Controleer bij een opgebouwde tunnel in de routingtabel van het endpoint het doelnetwerk, de TUN-interface en het geleasede adres. Ontbreekt de route, verbind dan eerst opnieuw en controleer het clientlog en de endpointmachtigingen; opnieuw importeren helpt alleen met de juiste actuele configuratie. Filter onder Log viewer > Firewall op In interface, Is, tun en controleer de Firewall rule-ID. Controleer bij gebruikersgebonden regels ook Match known users en User or groups. Test onder Diagnostics > Tools de bereikbaarheid van de firewall naar de bestemming om VPN-problemen van interne netwerkproblemen te onderscheiden; verwijder daarna eventuele tijdelijke pingtoestemming. Controleer bij reconnectproblemen ook wijzigingen in lease-, DNS-/WINS- en domeinwaarden en gebruik geen WAN-interfaces als Permitted network resources. Beleidswijzigingen beëindigen bestaande tunnels niet automatisch: gebruikers moeten zelf verbreken en opnieuw verbinden.

Configuratie testen en fouten lokaliseren

Acceptatietest

Een volledige test gebruikt een normale pilotgebruiker en één concreet intern doel:

De gebruiker ziet in VPN Portal precies de verwachte SSL-VPN-configuratie.
Test MFA met een juiste en een onjuiste factor.
Importeer .ovpn of .pro en controleer het toegewezen leaseadres.
Controleer bij Split Tunnel de route naar LAN_Server en DNS_Internal.
Test het interne doel eerst via het IP-adres en daarna via de hostnaam.
Open de toegestane service en controleer de Firewall Rule ID in Log Viewer.
Probeer een niet-toegestane verbinding en bevestig de drop.
Controleer bij Full Tunnel ook publieke internettoegang, DNS, Web Policy en IPv4-SNAT.
Verbreek na een beleids- of FQDN-wijziging de verbinding, bouw deze opnieuw op en herhaal dezelfde test.

Leg bij elke test het tijdstip, de gebruiker en groep, het clientplatform en de clientversie, het bronnetwerk, het doel en de service vast. Als alleen een beheerder test, blijven fouten in groepen, MFA en beleid gemakkelijk onopgemerkt.

Logs per foutfase

Bepaal eerst of de fout optreedt bij portaltoegang, authenticatie, tunnelopbouw of pas bij de toegang tot het doel:

VPN Portal: vpnportal.log
Normale authenticatie: access_server.log
Microsoft Entra SSO op SFOS 22: oauth_sso_vpn.log; gebruik voor SFOS 23 de versiegebonden logaanwijzingen in het betreffende Entra- of Google-detailartikel.
Gebruikersspecifieke SSL-VPN-certificaten: peruser_cert_sslvpn.log
SSL-VPN-dienst: sslvpn.log
Actieve verbindingen: openvpn-status*.log
Doelverkeer: firewalllog, Rule ID en indien nodig Packet Capture

In Packet Capture bewijst Incoming alleen dat de firewall het pakket heeft ontvangen. Bij Forwarded zonder antwoord moeten de retourroute, NAT, het doelsysteem en de lokale firewall daarvan worden gecontroleerd.

Bij TUN-verkeer vermelden SFOS-logs soms het TUN-interfaceadres als bron en het geleasete clientadres als doel. Dat betekent niet dat de adressen zijn verwisseld. Beoordeel de vermelding aan de hand van gebruiker, lease, verkeersrichting, Rule ID en testtijd.

De toewijzing van andere processen en bestanden staat in Sophos Firewall Services en logs.

Geen enkele gebruiker kan een tunnel opzetten: service en floodlimieten

Als alle gebruikers getroffen zijn, voert u eerst alleen-lezencontroles uit voordat u beleidsregels, floodlimieten of services wijzigt. Noteer het testtijdstip, het geconfigureerde SSL VPN-protocol en de poort, de huidige DoS-instellingen en of er ten minste één SSL VPN-beleidsregel bestaat.

Meld u aan bij de CLI, kies 5. Device management en vervolgens 3. Advanced shell, en controleer de servicestatus met de door Sophos gedocumenteerde opdracht:
```
service -S | grep sslvpn
```
De service moet Running weergeven. Als de service UNREGISTERED weergeeft, controleer dan of er ten minste één SSL VPN-beleidsregel bestaat. Als er wel een beleidsregel bestaat maar de service nog steeds geen Running weergeeft, correleert u sslvpn.log met het testtijdstip en onderzoekt u die afwijking in plaats van services zonder gedocumenteerde procedure opnieuw te starten.
Controleer onder Intrusion prevention > DoS & spoof protection > DoS settings de ingeschakelde opties en limieten voor UDP-, TCP- en ICMP/ICMPv6-floods. Gebruik voor tunnelverkeer het geconfigureerde SSL VPN-protocol. SFOS laat SSL VPN-verkeer en pingaanvragen vallen wanneer de bijbehorende floodlimiet wordt overschreden; alleen een mislukte ping bewijst dat niet. Correleer de verbindingspoging met bewijs van de drop voordat u een uitzondering maakt.
Leg alleen bij een bevestigde floodlimietmatch de bestaande configuratie vast en maak onder DoS bypass rules een zo beperkt mogelijke tijdelijke inbound-regel. Gebruik voor deze diagnostische uitzondering het relevante bron-IP-adres/netmask (of alleen als het onvermijdelijk is *), het adres van de toegestane netwerkresource als bestemming, het werkelijke protocol TCP of UDP, bronpoort Any en de geconfigureerde SSL VPN-doelpoort (standaard 8443). Beperk bron en bestemming verder als de test dit toestaat; schakel floodbeveiliging niet globaal uit.
Herhaal exact dezelfde getimede verbindings- en toegestane-resourcetests. Verwijder de bypassregel onmiddellijk als die de drop niet verklaart. Verwijder de tijdelijke regel na de diagnose of laat de beperkte uitzondering formeel goedkeuren en documenteer deze. Zet afzonderlijk gewijzigde floodlimieten terug op de genoteerde waarden en herhaal daarna de positieve en geblokkeerde toegangstests.

De aanvraag bereikt de server, maar het antwoord ontbreekt

Als aantoonbaar is dat de aanvraag van de SSL VPN-client de toegestane interne resource bereikt, maar het antwoord niet bij de client aankomt, wordt het retourpad in twee delen gecontroleerd: eerst van de resource naar de firewall en daarna van de firewall naar het toegewezen SSL VPN-adres. Een groene tunnelstatus bakent deze fout niet af.

Controleer op de interne resource of de router daarvan of het retourpad naar het SSL VPN-adresbereik via Sophos Firewall loopt. Een specifieke retourroute is transparanter dan SNAT. Gebruik SNAT alleen gericht wanneer de retourroute niet kan worden ingericht en de daaruit voortvloeiende wijziging van het bronadres aanvaardbaar is.
Bevestig met Packet Capture dat het antwoord de firewall bereikt. Bronadres, toegewezen doeladres, service en testtijd moeten bij de oorspronkelijke toegangspoging passen.
Controleer onder Routing > SD-WAN routes de huidige Route Precedence en brede SD-WAN-routes. SSL VPN behoort tot de categorie static. Als sdwan_policyroute ervoor staat, kan een route met de interne resource of Any als bron en Any als doel en service het antwoord van de tunnel wegleiden.
Beperk bij voorkeur de betreffende SD-WAN-route zodat het SSL VPN-adresbereik niet meer als doel overeenkomt. Sophos noemt als alternatief een service-uitzondering voor de SSL VPN-poort en het protocol; deze variant moet bij het werkelijke regel- en verkeersontwerp passen.
Wijzig de globale Route Precedence alleen na een effectbeoordeling. De wijziging raakt meer dan deze verbinding. Bereid de oorspronkelijke volgorde, beheertoegang en rollback voor zoals beschreven in Route Precedence op Sophos Firewall.
Voer de toegang opnieuw uit en controleer in de capture dat het antwoord vanaf de resource binnenkomt en naar het toegewezen adres wordt doorgestuurd. Maak daarna opnieuw verbinding en test nogmaals met dezelfde toepassing.

⚠️ Een brede Any-regel, een algemene SNAT-regel of een globale wijziging van de Route Precedence kan het zichtbare probleem verplaatsen en andere VPN-, WAN- of beheerpaden verstoren. Stop als het retourpad naar de firewall of de daadwerkelijk overeenkomende SD-WAN-route niet is aangetoond.

Het thuisnetwerk en het interne doelnetwerk overlappen

Als de externe client bijvoorbeeld 192.168.1.0/24 gebruikt en de toegestane interne resource zich eveneens in 192.168.1.0/24 bevindt, beschouwt het besturingssysteem het doel meestal als lokaal. Het pakket bereikt de SSL VPN-tunnel dan helemaal niet. De nette permanente oplossing is om een van beide netwerken te hernummeren.

Als dat niet onmiddellijk mogelijk is, documenteert Sophos een nauw begrensde DNAT-uitwijkmogelijkheid. Kies een vrij virtueel doeladres dat met geen enkel lokaal, intern, VPN-, statisch of SD-WAN-netwerk overlapt. Bij Split Tunnel moet dit adres als Permitted network resource bij de client aankomen, waarna opnieuw verbinden nodig is. De DNAT-regel gebruikt het SSL VPN-leasebereik als Original source, Original als Translated source, het virtuele adres als Original destination en de echte interne host als Translated destination. Beperk de services en de bijbehorende firewallregel van VPN naar de doelzone tot de werkelijk benodigde toegang.

De gebruiker benadert vervolgens het virtuele adres of een daarvoor bestemde DNS-naam die ernaar verwijst. Log Viewer moet de verwachte Firewall Rule ID en NAT Rule ID tonen; een Packet Capture bevestigt de vertaling en de retourroute. Maak geen volledig vervangend bereik aan als slechts één host nodig is. Stop als niet ondubbelzinnig vaststaat dat het virtuele adres vrij is of als een brede NAT-regel nodig zou zijn.

Veelvoorkomende foutbeelden

Geen of lege .ovpn in VPN Portal: Een ontbrekende of lege OVPN-download oplossen onderscheidt fouten in policy, User ID, certificaat, opslag, firmware en HA. Gastaccounts zijn niet toegestaan. Sophos Connect ondersteunt alleen ASCII-gebruikersnamen; gebruikersnaam en domein mogen samen maximaal 51 tekens lang zijn.
Aanmelden mislukt: vergelijk access_server.log en vpnportal.log met het testtijdstip; gebruik voor Entra op SFOS 22 ook oauth_sso_vpn.log en op SFOS 23 de versiegebonden OIDC-logaanwijzingen in het betreffende detailartikel. Controleer dezelfde IdP-server voor portal en SSL VPN, Redirect URIs en de volledige certificaatketen.
Tunnel staat, maar interne doelen ontbreken: controleer de route op het endpoint, Permitted Resources bij Split Tunnel, firewallregel, retourroute, doelfirewall en overlap met het lokale thuisnetwerk.
IP-adres werkt, hostnaam niet: controleer DNS-server, zoekdomein, Split-Tunnel-route, DNS-firewallregel, lokale DoH of endpoint-DNS en indien nodig Device Access voor DNS.
Alleen afzonderlijke gebruikers zijn getroffen: vergelijk groepslidmaatschap, beleidstoewijzing, MFA, statisch IP-adres, Simultaneous logins en het geladen profiel.
Alleen oude clients zijn getroffen: importeer na globale wijzigingen een actueel .ovpn-bestand. Maak na uitsluitend beleids- of FQDN-wijzigingen eerst opnieuw verbinding en controleer de geladen routing.
Full Tunnel zonder internet: controleer de regel van VPN naar WAN, IPv4-SNAT, DNS en toegepaste web- en beveiligingspolicies.
Grote overdrachten blijven hangen: als kleine verbindingen wel werken, controleer dan MTU en MSS over het werkelijke pad. Gebruik daarvoor MTU en MSS bij VPN-problemen.
Verbinding eindigt na langere tijd: vergelijk begin- en eindtijd met Idle Timeout, Disconnect idle clients en Key lifetime. Controleer statisch IP-adres en Simultaneous logins, adresseer indien nodig een pilotgebruiker dynamisch en analyseer sslvpn.log en openvpn-status*.log rond het testtijdstip.
Bij geen enkele gebruiker wordt een tunnel opgebouwd: zoek naast Device Access en de poortvrijgave naar een brede DNAT-regel met Original destination: Any en Services: Any of de SSL-VPN-poort die de verbindingsopbouw eerder onderschept.
WAF, portal of SSL VPN overlappen: vergelijk WAN-IP, poort en protocol van alle lokale diensten en WAF-regels. Gedeelde combinaties kunnen extra blootstelling van het portal of ontbrekende Login Security veroorzaken.

Controleer in het dagelijks beheer regelmatig groepen, MFA, statische IP-toewijzingen, certificaatverloop, leasebereik, Device Access, firewallregels, profieldistributie en logs. Nieuwe SFOS- en Sophos Connect-versies worden eerst gevalideerd met een pilotgebruiker en een positieve en negatieve doeltest.