Sophos SSL VPN instellen op Android

Sophos Connect ondersteunt Android niet direct voor IPsec of SSL VPN. Als een Android-smartphone of Android-tablet via Sophos Firewall Remote Access moet worden verbonden, is een OpenVPN-compatibele client nodig. In veel omgevingen is OpenVPN Connect de voor de hand liggende standaard, omdat de Sophos Firewall een .ovpn-configuratie voor mobiele clients biedt.

Dit artikel beschrijft de praktische stappen voor Sophos SSL VPN op Android: app installeren, .ovpn-configuratie verkrijgen, profiel importeren, verbinding testen en typische fouten diagnosticeren. Voor de fundamentele beslissing tussen Sophos Connect, SSL VPN, IPsec, mobiele clients en ZTNA, zie eerst Sophos Connect of SSL VPN: Welke Remote-Access-oplossing past?.

Wanneer SSL VPN op Android zinvol is

SSL VPN op Android is zinvol wanneer mobiele gebruikers af en toe toegang moeten hebben tot interne systemen en een klassiek VPN-profiel voldoende is.

Typische voorbeelden:

• Toegang tot interne webapplicaties
• Admin-toegang tot enkele systemen via een tablet
• Toegang tot interne tools via gedefinieerde apps
• Tijdelijke toegang zonder beheerde notebook-client
• Overgangsoplossing wanneer ZTNA of app-proxy nog niet beschikbaar is

Voor permanente toegang tot veel interne systemen is een mobiel apparaat vaak niet het beste doelplatform. Dan moet worden overwogen of een beheerde Windows- of macOS-client met Sophos Connect, beperktere ZTNA-toegang of een ander Remote-Access-ontwerp beter past.

Vergelijking met andere clients

Deze handleiding is van toepassing op Sophos Firewall met SFOS en Android-apparaten. Afhankelijk van het platform of de uitgangssituatie past een andere benadering:

• SSL VPN op Android instellen: Dit artikel.
• SSL VPN met Sophos Connect op Windows instellen: Sophos SSL VPN met Sophos Connect op Windows instellen.
• SSL VPN met Sophos Connect op macOS instellen: Sophos SSL VPN met Sophos Connect op macOS instellen.
• SSL VPN op iPhone en iPad instellen: Sophos SSL VPN op iPhone en iPad instellen.
• Sophos Connect op Windows installeren: Sophos Connect Client op Windows installeren.
• Sophos Connect op macOS installeren: Sophos Connect Client op macOS installeren.

Belangrijk is de afbakening: Sophos Connect is niet de directe SSL-VPN-client voor Android. Als mobiele apparaten ondersteund moeten worden, moet intern duidelijk worden gedefinieerd welke OpenVPN-compatibele client wordt gebruikt, waar de profielen vandaan komen en wie bij apparaatwisselingen ondersteunt.

Vereisten

Voor de installatie moeten deze punten worden opgehelderd:

• Sophos Firewall met geconfigureerde SSL-VPN-Remote-Access
• Gebruiker met toestemming voor SSL VPN
• Toegang tot het VPN Portal of een administratief verstrekt .ovpn-bestand
• OpenVPN-compatibele client op Android
• MFA/OTP ingesteld, indien Remote Access daarmee wordt beveiligd
• Geldig certificaat voor VPN Portal en Firewall-toegang, indien mogelijk
• Firewallregels voor verkeer uit de VPN-zone
• Duidelijk Split-Tunnel- of Full-Tunnel-ontwerp
• Ondersteuningsproces voor apparaatwisselingen, verloren apparaten en oude profielen

Voor een upgrade naar SFOS 22.0 MR1 of nieuwer moet bovendien worden gecontroleerd of er nog oude Remote-Access-IPsec-configuraties aanwezig zijn. SSL VPN wordt daar niet direct door beïnvloed, maar veel omgevingen herzien Remote Access op dat moment. De procedure staat in Legacy Remote Access IPsec voor SFOS 22 MR1 migreren.

Firewall en VPN Portal voorbereiden

De Android-installatie is slechts de laatste stap. Vooraf moet de firewallconfiguratie correct zijn.

Op de Sophos Firewall moeten deze punten worden gecontroleerd:

1. Remote access VPN openen.
2. SSL VPN voor de benodigde gebruikers of groepen configureren.
3. VPN-IP-pool gebruiken zonder overlap met LAN, WLAN, VLANs, Site-to-Site-VPNs of typische thuisnetwerken.
4. DNS-servers en domeinsuffixen correct instellen als interne namen worden gebruikt.
5. MFA voor Remote Access activeren en met testgebruiker controleren.
6. Firewallregel van VPN naar de benodigde doelzone maken.
7. Logging voor de introductiefase activeren.
8. VPN Portal via Administration > Device access alleen zo breed vrijgeven als nodig.

De volledige firewallprocedure staat in Sophos Firewall SSL VPN Remote Access instellen.

Het VPN Portal is een openbaar toegankelijk toegangspunt. Als het vanaf het internet bereikbaar moet zijn, moeten certificaat, MFA, land-/bronbeperking en logcontrole bewust worden gepland. Voor de beveiliging past Device Access en Local Service ACL op Sophos Firewall.

1. OpenVPN Connect installeren

Installeer OpenVPN Connect vanuit Google Play: OpenVPN Connect.

Als in de omgeving een andere OpenVPN-compatibele client is gestandaardiseerd, moet deze beslissing worden gedocumenteerd. Het wordt problematisch als gebruikers parallel verschillende VPN-apps, oude profielen en verschillende handleidingen gebruiken.

Voor ondersteuning en werking moet worden vastgesteld:

• welke client wordt ondersteund
• welke app-versie minimaal wordt verwacht
• of gebruikers de app zelf mogen installeren
• hoe profielen worden verspreid en ingetrokken
• hoe verloren of vervangen apparaten worden behandeld

2. VPN Portal openen

Open op het Android-apparaat het VPN Portal van de Sophos Firewall in de browser. Het standaardadres is:

https://<Firewall-FQDN-oder-IP>:443

Als de beheerder een andere VPN portal HTTPS port heeft geconfigureerd, moet die poort worden gebruikt. Voor directe toegang in een HA-cluster noemt Sophos de FQDN of het IP-adres van de oorspronkelijk primaire appliance; in productieomgevingen moet de gedocumenteerde gemeenschappelijke portal-FQDN worden gebruikt.

Meld je vervolgens aan met de VPN-gebruiker. Het VPN Portal en de SSL-VPN-downloads verschijnen alleen als de gebruiker of diens groep aan een Remote-Access-SSL-VPN-policy is toegewezen. Als de download ontbreekt, controleer dan eerst de policytoewijzing en niet de OpenVPN-app.

Als het VPN Portal met een ongeldig of niet-vertrouwd certificaat wordt geopend, moet de oorzaak worden verholpen. Een permanente browseruitzondering is geen goede bedrijfsstandaard voor Remote Access in productie.

Bij Sophos OTP moet een nieuwe gebruiker eerst de QR-code in het VPN Portal scannen en het token in een authenticator-app registreren. Test daarna de daadwerkelijke verbindingsprocedure met een testgebruiker: afhankelijk van de client en MFA-methode worden wachtwoord en OTP samen of in afzonderlijke stappen verwerkt. Challenge-gebaseerde of externe MFA moet daarom vóór een brede uitrol worden getest met precies de Android-client die zal worden gebruikt. De basisprincipes staan in MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren.

3. OVPN-configuratie downloaden

Open in het VPN Portal VPN > VPN configuration. Tik onder SSL VPN configuration op Download for Android and iOS. De Sophos Firewall levert daarmee het .ovpn-bestand dat voor mobiele OpenVPN-clients is bedoeld.

Het gedownloade bestand heeft normaal gesproken de extensie .ovpn. Dit bestand is gebruikersspecifiek en mag niet aan andere gebruikers worden doorgegeven.

Belangrijk:

• Het bestand moet afkomstig zijn uit de huidige firewallconfiguratie.
• Oude bestanden uit e-mailarchieven, chatgeschiedenissen of downloadmappen mogen niet opnieuw worden gebruikt.
• Als een tunnel die eerder werkte na een beheerwijziging geen verbinding meer maakt, moet het bestand opnieuw worden gedownload en geïmporteerd. Dit is vooral relevant bij wijzigingen aan SSL-VPN-poort, protocol, gateway of Override Hostname en het SSL-servercertificaat.
• Wijzigingen in gebruikers- of groepstoewijzingen worden niet opgelost door een profiel opnieuw te importeren. Die moeten worden gecorrigeerd in de Remote-Access-policy en op de authenticatieserver.
• Als een gebruiker het bedrijf verlaat of een apparaat verloren gaat, moeten gebruikersrechten, groepslidmaatschap en profielverdeling worden gecontroleerd.

4. Profiel in OpenVPN Connect importeren

Als Android de import niet automatisch aanbiedt, kan het .ovpn-bestand via de deelfunctie aan OpenVPN Connect worden doorgegeven. Open anders in OpenVPN Connect Menu > My Profiles > Add > Upload File en selecteer het opgeslagen .ovpn-bestand. Bevestig daarna de import.

OpenVPN Connect vraagt bij de eerste verbinding om Android-toestemming om een VPN-verbinding te maken. Deze toestemming moet worden bevestigd zodat de app een tunnel kan opbouwen.

Bij meerdere profielen moet de naam duidelijk zijn, bijvoorbeeld met locatie, omgeving of bedrijfsnaam. Meerdere bijna gelijknamige profielen zijn een veelvoorkomende oorzaak van ondersteuningsvragen.

5. VPN-verbinding opzetten

Activeer het geïmporteerde profiel en meld je aan met de VPN-gebruiker. Als MFA of OTP actief is, moet de tweede factor volgens de firewallconfiguratie worden bevestigd.

Na succesvolle verbinding moet niet alleen de OpenVPN-app als verbonden worden weergegeven. Doorslaggevend is of de geplande interne doelen bereikbaar zijn en of het verkeer op de firewall de juiste regel treft.

Na de installatie controleren

Minimaal deze punten moeten met een testgebruiker worden gecontroleerd:

• OpenVPN Connect toont de verbinding als verbonden.
• Android toont de VPN-status in de statusbalk of in de netwerkinstellingen.
• Gebruiker ontvangt een IP-adres uit de verwachte SSL-VPN-pool.
• Interne DNS-namen worden correct opgelost.
• Benodigde servers, webapplicaties of diensten zijn bereikbaar.
• Internetgedrag komt overeen met het ontwerp: Split Tunnel of Full Tunnel.
• In de Log Viewer is de verwachte firewallregel voor verkeer uit de VPN-zone zichtbaar.
• MFA wordt zoals gepland gevraagd.
• Verbinding na vliegtuigmodus, WLAN-wissel of wissel naar mobiele data opnieuw testen.
• Oude profielen zijn verwijderd of duidelijk als verouderd gemarkeerd.

Als de verbinding tot stand is gebracht, maar geen toegang werkt, ligt de oorzaak vaak niet bij de mobiele client, maar bij firewallregels, DNS, routing of NAT. Voor de analyse past Firewall-regel testen met Log Viewer, Policy Test en Packet Capture.

Handmatige distributie of MDM?

Bij enkele Android-apparaten kan de handmatige import via VPN Portal, downloadmap en OpenVPN Connect voldoende zijn. Zodra meerdere gebruikers, beheerde smartphones of regelmatige apparaatwisselingen betrokken zijn, moet de profielverdeling echter bewust worden gepland. Anders blijven oude .ovpn-bestanden in downloads, chats, e-mails of privé-cloudopslag liggen en worden ze later bij ondersteuningsgevallen opnieuw gebruikt.

Typische varianten:

• Handmatige import: Geschikt voor enkele apparaten, een pilotgroep of incidenteel gebruik. Belangrijk zijn een duidelijke handleiding, een actueel profiel, een MFA-test en het verwijderen van oude profielen.
• Distributie via MDM of Endpoint-Management: Geschikt voor beheerde Android-apparaten, veel gebruikers of terugkerende wijzigingen. Belangrijk zijn app-distributie, profielversie, apparaatverlies, intrekking van oude profielen en het ondersteuningsproces.

Belangrijk is de intrekking. Als een Android-apparaat wordt vervangen, een gebruiker vertrekt of een SSL-VPN-policy wordt gewijzigd, is het niet voldoende om een nieuw profiel beschikbaar te stellen. Oude profielen, groepslidmaatschappen, opgeslagen inloggegevens en eventueel aanwezige bestandskopieën moeten ook worden gecontroleerd.

Beheer en beveiliging

Mobiele VPN-profielen hebben duidelijke operationele regels nodig. Android-apparaten wisselen vaak tussen WLAN, mobiele netwerken, hotspots en captive portals. Bovendien gaan mobiele apparaten gemakkelijker verloren of worden sneller vervangen dan klassieke bedrijfsnotebooks.

Goede praktijk:

• OpenVPN Connect regelmatig bijwerken.
• MFA voor Remote Access activeren en testen.
• VPN-groepen regelmatig controleren.
• VPN Portal via Device Access en Local Service ACL beperken, indien mogelijk.
• Firewallregels voor de VPN-zone strak houden en loggen.
• Oude .ovpn-bestanden en verouderde profielen verwijderen.
• Apparaatwisselingen en verloren apparaten in het ondersteuningsproces opnemen.
• Bij langere logbewaring Syslog of centrale evaluatie plannen.

Voor logbestanden en servicelogs is Sophos Firewall Troubleshooting: Services en Logs nuttig.

Battery Saver, Always-on VPN en Captive Portals

OpenVPN Connect biedt op Android meerdere opties die het opbouwen van de verbinding sterk beïnvloeden. Activeer deze alleen bewust:

• Battery Saver onder Menu > Settings pauzeert de VPN-tunnel zodra het scherm wordt uitgeschakeld. Dit bespaart energie, maar is ongeschikt wanneer achtergrondapps permanent toegang tot interne resources nodig hebben.
• Captive Portal Detection helpt bij wifi-netwerken van hotels, gasten of luchthavens waar eerst een aanmeldpagina moet worden bevestigd. Als de tunnel na een netwerkwissel geen verbinding maakt, controleer dan deze optie samen met de browseraanmelding.
• Always-on VPN wordt in de Android-systeeminstellingen voor OpenVPN Connect ingeschakeld. In combinatie met Block connections without VPN ontstaat kill-switch-gedrag. Dit beschermt tegen niet-getunneld verkeer, maar kan bij een verlopen profiel, een onbereikbare firewall of een vereiste captive-portal-aanmelding alle netwerktoegang blokkeren.

Voor incidentele handmatige toegang zijn deze opties niet verplicht. Een beheerd Always-on-scenario vereist daarentegen een getest terugval- en ondersteuningsproces. Schakel Android-batterijoptimalisatie voor OpenVPN Connect uit als het besturingssysteem anders de gewenste permanente tunnel beëindigt.

Typische fouten

OVPN-bestand kan niet worden geopend

Controleer eerst of OpenVPN Connect is geïnstalleerd en of het bestand echt als .ovpn aanwezig is. Download het bestand vervolgens opnieuw uit het VPN Portal of geef het via de deeloptie door aan OpenVPN Connect.

Als het bestand via MDM, e-mail of bestandsdeling wordt verspreid, moet worden gecontroleerd of het onderweg is gewijzigd, hernoemd of geblokkeerd. OpenVPN Connect verwacht voor bestandsimport een ASCII- of UTF-8-profiel van minder dan 256 KB. Als een handmatig bewerkt profiel naar externe certificaat- of sleutelbestanden verwijst, moeten die bij de import eveneens beschikbaar zijn. Gebruik het door Sophos gegenereerde .ovpn-bestand daarom bij voorkeur ongewijzigd.

Import werkt, maar verbinding niet

Dan is vaak de Android-toestemming voor de VPN-configuratie niet correct verleend of past het profiel niet bij de huidige firewallconfiguratie. Verwijder het profiel, verkrijg het actuele .ovpn-bestand opnieuw en importeer het opnieuw.

Als meerdere vrijwel gelijknamige profielen aanwezig zijn, controleer dan eerst welk profiel daadwerkelijk is geactiveerd. Bij herhaalde import van dezelfde profielnaam voegt OpenVPN Connect toevoegingen zoals (1) of (2) toe. Verwijder oude varianten na een geslaagde test.

Aanmelding mislukt

Controleer gebruiker, wachtwoord, MFA, groepslidmaatschap en authenticatieserver. Als AD, RADIUS of Microsoft Entra ID SSO betrokken is, moet de authenticatie los van de VPN worden getest. Een inlogprobleem is niet automatisch een OpenVPN-probleem.

Verbinding staat, maar interne systemen zijn niet bereikbaar

Controleer DNS, firewallregels, routing, NAT en retourpad. In de Log Viewer moet verkeer uit de VPN-zone zichtbaar zijn. Als er geen logs verschijnen, bereikt het verkeer waarschijnlijk niet de verwachte regel of is logging uitgeschakeld.

Wanneer slechts enkele interne systemen niet bereikbaar zijn, ligt het probleem vaak niet bij de VPN zelf, maar bij een ontbrekende firewallregel, een verkeerde DNS-naam of een ontbrekende retourroute in het doelnetwerk.

Als kleine toegangspogingen werken, maar grotere bestandsoverdrachten of bepaalde applicaties vastlopen, moet ook MTU/MSS worden gecontroleerd: Sophos Firewall MTU en MSS bij VPN-problemen controleren.

Interne namen worden niet opgelost

Controleer DNS-servers en zoekdomein in de SSL-VPN-configuratie. Test vervolgens of interne systemen via IP-adres bereikbaar zijn. Als IP werkt, maar naam niet, ligt de oorzaak waarschijnlijk bij DNS, niet bij de VPN-verbinding zelf.

Verbinding verbreekt bij netwerkwissel

Bij mobiele apparaten zijn wifiwissels, wissels naar mobiele data, captive portals en energiebesparingsmechanismen typische oorzaken. Test met een tweede netwerk en controleer of het gedrag reproduceerbaar is.

Controleer in OpenVPN Connect ook Captive Portal Detection, Battery Saver en de instellingen voor starten en opnieuw verbinden. Bij Always-on VPN moet Android de app op de achtergrond kunnen uitvoeren. Als gebruikers vaak tussen netwerken wisselen, moet bovendien worden gecontroleerd of de applicatie met korte VPN-onderbrekingen kan omgaan of dat een ander toegangsmodel beter past.

Checklist

Voor de uitrol

• Ondersteunde OpenVPN-client gedefinieerd.
• SSL-VPN-gebruikersgroep gecontroleerd.
• MFA voor Remote Access getest.
• VPN Portal met geldig certificaat bereikbaar.
• Device Access en toegang vanaf internet bewust beperkt.
• Firewallregels voor VPN-zone gemaakt en gelogd.
• Split Tunnel of Full Tunnel gedocumenteerd.
• Profielverdeling en apparaatwisselproces opgehelderd.

Na de import

• Profiel in OpenVPN Connect zichtbaar.
• Android-VPN-toestemming bevestigd.
• Verbinding met testgebruiker opgezet.
• DNS, interne doelen en firewallregel-match gecontroleerd.
• WLAN, mobiele netwerken en netwerkwissel getest.
• Oude profielen verwijderd.

In bedrijf

• OpenVPN-app en Android up-to-date houden.
• Gebruikersgroepen regelmatig controleren.
• Oude profielen bij vertrek of apparaatverlies verwijderen.
• VPN-logs bij ondersteuningsgevallen vroegtijdig controleren.
• Bij terugkerende mobiele problemen ZTNA of app-gebaseerde toegang overwegen.

FAQ