Sophos SSL VPN op iPhone en iPad instellen

Sophos Connect ondersteunt iOS en iPadOS niet direct voor IPsec of SSL VPN. Als iPhone of iPad via Sophos Firewall Remote Access moeten worden verbonden, wordt daarom een OpenVPN-compatibele client gebruikt. In veel omgevingen is OpenVPN Connect de voor de hand liggende standaard.

Dit artikel beschrijft de praktische werkwijze voor Sophos SSL VPN op iPhone en iPad: app installeren, .ovpn-configuratie ophalen, profiel importeren, verbinding testen en typische fouten afbakenen. Voor de principiële keuze tussen Sophos Connect, SSL VPN, IPsec, mobiele clients en ZTNA past eerst Sophos Connect of SSL VPN: welke Remote Access-oplossing past?.

Wanneer SSL VPN op iOS zinvol is

SSL VPN op iPhone of iPad is zinvol wanneer mobiele gebruikers af en toe toegang tot interne systemen nodig hebben en een klassiek VPN-profiel daarvoor voldoende is.

Typische voorbeelden:

toegang tot interne webapplicaties
admin-toegang tot enkele systemen via een iPad
toegang tot bestandsdiensten of interne tools via gedefinieerde apps
tijdelijke externe werkzaamheden zonder beheerde notebookclient
overgangsoplossing wanneer ZTNA of App Proxy nog niet beschikbaar is

Voor permanente toegang tot veel interne systemen is een mobiel apparaat vaak niet het beste doelplatform. Dan moet worden gecontroleerd of een beheerde Windows- of macOS-client met Sophos Connect, nauwere ZTNA-toegang of een ander Remote Access-ontwerp beter past.

Plaatsing ten opzichte van andere clients

Deze handleiding geldt voor Sophos Firewall met SFOS en mobiele Apple-apparaten. Afhankelijk van platform of uitgangssituatie past een andere ingang:

SSL VPN op iPhone en iPad instellen: Dit artikel.
SSL VPN met Sophos Connect op Windows instellen: Sophos SSL VPN met Sophos Connect op Windows instellen.
SSL VPN met Sophos Connect op macOS instellen: Sophos SSL VPN met Sophos Connect op macOS instellen.
SSL VPN op Android instellen: Sophos SSL VPN op Android instellen.
Sophos Connect op Windows installeren: Sophos Connect Client op Windows installeren.
Sophos Connect op macOS installeren: Sophos Connect Client op macOS installeren.

Belangrijk is de afbakening: Sophos Connect is voor iOS en iPadOS niet de directe SSL-VPN-client. Als mobiele apparaten moeten worden ondersteund, moet intern duidelijk zijn gedefinieerd welke OpenVPN-compatibele client wordt gebruikt, waar profielen vandaan komen en wie bij apparaatwissels ondersteunt.

Vereisten

Voor de inrichting moeten deze punten duidelijk zijn:

Sophos Firewall met ingerichte SSL-VPN-Remote-Access-configuratie
gebruiker met rechten voor SSL VPN
toegang tot het VPN Portal of administratief beschikbaar gesteld .ovpn-bestand
OpenVPN-compatibele client op iPhone of iPad
MFA/OTP ingericht, als Remote Access daarmee wordt beschermd
geldig certificaat voor VPN Portal en firewalltoegang, indien mogelijk
firewallregels voor traffic uit de VPN-zone
duidelijk Split Tunnel- of Full Tunnel-ontwerp
supportproces voor apparaatwissels, verloren apparaten en oude profielen

Voor een upgrade naar SFOS 22.0 MR1 of nieuwer moet daarnaast worden gecontroleerd of er nog oude Remote Access IPsec-configuraties aanwezig zijn. SSL VPN wordt daar niet direct door geraakt, maar veel omgevingen beoordelen Remote Access op dat moment opnieuw. De werkwijze staat in Legacy Remote Access IPsec voor SFOS 22 MR1 migreren.

Firewall en VPN Portal voorbereiden

De iOS-inrichting is alleen de laatste stap. Daarvoor moet de firewallconfiguratie kloppen.

Op de Sophos Firewall moeten deze punten worden gecontroleerd:

Remote access VPN openen.
SSL VPN voor de benodigde gebruikers of groepen configureren.
VPN-IP-pool zonder overlap met LAN, WLAN, VLAN’s, Site-to-Site-VPN’s of typische thuisnetwerken gebruiken.
DNS-servers en Domain Suffixes passend instellen wanneer interne namen worden gebruikt.
MFA voor Remote Access activeren en met testgebruiker controleren.
Firewallregel van VPN naar de benodigde doelzone maken.
Logging voor de introductiefase activeren.
VPN Portal via Administration > Device access slechts zo breed vrijgeven als nodig.

De volledige werkwijze aan firewallzijde staat in Sophos Firewall SSL VPN Remote Access instellen.

Het VPN Portal is een publiek bereikbare ingang. Als het vanaf internet bereikbaar moet zijn, moeten certificaat, MFA, landen-/bronbeperking en logcontrole bewust worden gepland. Voor hardening past Device Access en Local Service ACL op Sophos Firewall.

1. OpenVPN Connect installeren

Installeer OpenVPN Connect uit de App Store: OpenVPN Connect.

Als in de omgeving een andere OpenVPN-compatibele client is gestandaardiseerd, moet die beslissing worden gedocumenteerd. Problematisch wordt het wanneer gebruikers parallel verschillende VPN-apps, oude profielen en uiteenlopende handleidingen gebruiken.

Voor support en beheer moet worden vastgelegd:

welke client wordt ondersteund
welke appversie minimaal wordt verwacht
of gebruikers de app zelf mogen installeren
hoe profielen worden verdeeld en ingetrokken
hoe verloren of vervangen apparaten worden behandeld

2. VPN Portal openen

Open op de iPhone of iPad het VPN Portal van de Sophos Firewall in de browser en meld aan met de VPN-gebruiker. Safari is voor de download en overdracht van het .ovpn-bestand aan OpenVPN Connect meestal de betrouwbaarste weg.

Als het VPN Portal met een ongeldig of niet-vertrouwd certificaat wordt geopend, moet de oorzaak worden verholpen. Een permanente browseruitzondering is voor productieve Remote Access geen goede beheerstandaard.

Bij MFA moet de werkwijze met een echte testgebruiker worden gecontroleerd. Bijzonder belangrijk is of de tweede factor in een apart veld wordt gevraagd of dat wachtwoord en OTP-code in de verwachte vorm moeten worden ingevoerd. De basisprincipes staan in MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren.

3. OVPN-configuratie downloaden

Ga in het VPN Portal naar het gedeelte SSL VPN of VPN en download de configuratie voor Android/iOS. Afhankelijk van SFOS-versie en portalweergave heet de link ongeveer Download configuration for Android/iOS.

Het gedownloade bestand heeft normaal de extensie .ovpn. Dit bestand is gebruikersgebonden en mag niet aan andere gebruikers worden doorgegeven.

Belangrijk:

Het bestand moet uit de actuele firewallconfiguratie komen.
Oude bestanden uit e-mailarchieven of chatgeschiedenissen mogen niet opnieuw worden gebruikt.
Na wijzigingen aan SSL-VPN-policy, certificaat, gateway, DNS of gebruikersgroep moet het profiel opnieuw worden geladen.
Als een gebruiker het bedrijf verlaat of een apparaat verloren gaat, moeten gebruikerstoegang, groepslidmaatschap en profielverdeling worden gecontroleerd.

4. Profiel in OpenVPN Connect importeren

Als iOS de import niet automatisch aanbiedt, kan het .ovpn-bestand via de deel-functie aan OpenVPN Connect worden doorgegeven. OpenVPN Connect toont daarna het nieuwe profiel en vraagt bij de eerste inrichting toestemming om een VPN-configuratie aan te maken.

Deze iOS-bevestiging is nodig zodat de app een VPN-verbinding mag maken. Als de bevestiging wordt geweigerd, verschijnt het profiel mogelijk wel in de app, maar kan de verbinding niet netjes worden opgebouwd.

Bij meerdere profielen moet de naam duidelijk zijn, bijvoorbeeld met locatie, omgeving of bedrijfsnaam. Meerdere bijna gelijk genoemde profielen zijn een veelvoorkomende supportreden.

5. VPN-verbinding opbouwen

Activeer het geïmporteerde profiel en meld aan met de VPN-gebruiker. Als MFA of OTP actief is, moet de tweede factor volgens de firewallconfiguratie worden bevestigd.

Na succesvolle opbouw moet niet alleen de OpenVPN-app als verbonden worden weergegeven. Beslissend is of de geplande interne doelen bereikbaar zijn en of de traffic op de firewall de juiste regel raakt.

Na de inrichting controleren

Minstens deze punten moeten met een testgebruiker worden gecontroleerd:

OpenVPN Connect toont de verbinding als verbonden.
iOS toont het VPN-symbool of de VPN-status.
De gebruiker krijgt een IP-adres uit de verwachte SSL-VPN-pool.
Interne DNS-namen worden correct opgelost.
Benodigde servers, webapplicaties of diensten zijn bereikbaar.
Internetgedrag komt overeen met het ontwerp: Split Tunnel of Full Tunnel.
In Log Viewer is de verwachte firewallregel voor traffic uit de VPN-zone zichtbaar.
MFA wordt zoals gepland gevraagd.
Verbinding na vliegtuigmodus, wifiwissel of mobiele-netwerkwissel opnieuw testen.
Oude profielen zijn verwijderd of duidelijk als verouderd gemarkeerd.

Als de verbinding staat maar toegang niet werkt, ligt de oorzaak vaak niet bij de mobiele client, maar bij firewallregels, DNS, routing of NAT. Voor de analyse past Firewallregel testen met Log Viewer, Policy Test en Packet Capture.

Handmatige verdeling of MDM?

Bij enkele iPhones of iPads kan handmatige import via VPN Portal, Safari en OpenVPN Connect voldoende zijn. Zodra meerdere gebruikers, veel apparaten of regelmatige apparaatwissels meespelen, moet profielverdeling bewust worden gepland. Anders blijven oude .ovpn-bestanden in e-mails, chats of private downloadmappen liggen en verschijnen ze maanden later opnieuw in supportcases.

Handmatige import: weinig apparaten, pilotgroep, incidenteel gebruik. duidelijke handleiding, actueel profiel, MFA-test en verwijderen van oude profielen.
Verdeling via MDM of Endpoint Management: beheerde apparaten, veel gebruikers, terugkerende wijzigingen. profielversie, app-installatie, apparaatverlies, intrekken van oude profielen en supportproces.

Belangrijk is het intrekken. Wanneer een apparaat wordt vervangen, een gebruiker vertrekt of een SSL-VPN-policy wordt gewijzigd, volstaat het niet om een nieuw profiel te verdelen. Oude profielen, groepslidmaatschappen en eventueel opgeslagen toegangsgegevens moeten ook worden gecontroleerd.

Beheer en beveiliging

Mobiele VPN-profielen hebben duidelijke beheerregels nodig. iPhones en iPads wisselen vaak tussen wifi, mobiel netwerk, hotspots en Captive Portals. Daarnaast raken mobiele apparaten makkelijker zoek of worden ze sneller vervangen dan klassieke zakelijke notebooks.

Goede praktijk:

OpenVPN Connect regelmatig bijwerken.
MFA voor Remote Access activeren en testen.
VPN-groepen regelmatig controleren.
VPN Portal via Device Access en Local Service ACL beperken waar mogelijk.
Firewallregels voor de VPN-zone strak houden en loggen.
Oude .ovpn-bestanden en verouderde profielen verwijderen.
Apparaatwissels en verloren apparaten in het supportproces meenemen.
Bij langere logbewaring Syslog of centrale analyse plannen.

Voor logbestanden en servicelogs is Sophos Firewall Troubleshooting: services en logs nuttig.

Typische fouten

OVPN-bestand kan niet worden geopend

Controleer eerst of OpenVPN Connect is geïnstalleerd en of het bestand echt als .ovpn aanwezig is. Download het bestand daarna opnieuw uit het VPN Portal of geef het via de deel-functie door aan OpenVPN Connect.

Als het bestand via MDM, e-mail of bestandsdeling wordt verdeeld, moet worden gecontroleerd of het onderweg is gewijzigd, hernoemd of geblokkeerd.

Import werkt, maar verbinding niet

Dan is vaak de iOS-toestemming voor de VPN-configuratie niet netjes verleend of past het profiel niet bij de actuele firewallconfiguratie. Profiel verwijderen, actuele .ovpn-bestand opnieuw ophalen en opnieuw importeren.

Aanmelden mislukt

Controleer gebruiker, wachtwoord, MFA, groepslidmaatschap en authenticatieserver. Als AD, RADIUS of Microsoft Entra ID SSO betrokken is, moet de authenticatie los van VPN worden getest. Een loginprobleem is niet automatisch een OpenVPN-probleem.

Verbinding staat, maar interne systemen zijn niet bereikbaar

Controleer DNS, firewallregels, routing, NAT en retourpad. In Log Viewer moet traffic uit de VPN-zone zichtbaar zijn. Als er geen logs verschijnen, bereikt de traffic de verwachte regel waarschijnlijk niet of is logging gedeactiveerd.

Bij afzonderlijke interne systemen is vaak niet de VPN zelf defect, maar ontbreekt een firewallregel, klopt een DNS-naam niet of ontbreekt een terugroute in het doelnetwerk.

Als kleine toegangen werken, maar grotere bestandsoverdrachten of bepaalde toepassingen blijven hangen, moet ook MTU/MSS worden gecontroleerd: Sophos Firewall MTU en MSS bij VPN-problemen controleren.

Interne namen worden niet opgelost

Controleer DNS-servers en zoekdomein in de SSL-VPN-configuratie. Test daarna of interne systemen via IP-adres bereikbaar zijn. Als IP werkt maar naam niet, ligt de oorzaak waarschijnlijk bij DNS, niet bij de VPN-verbinding zelf.

Verbinding valt weg bij netwerkwissel

Bij mobiele apparaten zijn wifiwissels, mobiele-netwerkwissels, Captive Portals en energiebesparingsmechanismen typische oorzaken. Test met een tweede netwerk en controleer of het gedrag reproduceerbaar is.

Als gebruikers vaak tussen netwerken wisselen, moet worden gecontroleerd of de toepassing met korte VPN-onderbrekingen kan omgaan of dat een ander toegangsmodel beter past.

Checklist

Voor de rollout

Ondersteunde OpenVPN-client gedefinieerd.
SSL-VPN-gebruikersgroep gecontroleerd.
MFA voor Remote Access getest.
VPN Portal met geldig certificaat bereikbaar.
Device Access en toegang vanaf internet bewust beperkt.
Firewallregels voor VPN-zone gemaakt en gelogd.
Split Tunnel of Full Tunnel gedocumenteerd.
Profielverdeling en apparaatwisselproces duidelijk.

Na de import

Profiel in OpenVPN Connect zichtbaar.
iOS-VPN-toestemming bevestigd.
Verbinding met testgebruiker opgebouwd.
DNS, interne doelen en firewallregel-match gecontroleerd.
Wifi, mobiel netwerk en netwerkwissels getest.
Oude profielen verwijderd.

In beheer

OpenVPN-app en iOS actueel houden.
Gebruikersgroepen regelmatig controleren.
Oude profielen bij vertrek of apparaatverlies verwijderen.
VPN-logs bij supportcases vroeg controleren.
Bij terugkerende mobiele problemen ZTNA of appgebaseerde toegang controleren.

FAQ

Ondersteunt Sophos Connect SSL VPN op iOS?

Nee. Sophos Connect ondersteunt iOS en iPadOS niet direct voor IPsec en SSL VPN. Op iPhone en iPad wordt een OpenVPN-compatibele client gebruikt.

Moet OpenVPN Connect worden gebruikt?

Niet per se. OpenVPN Connect is wel een gangbare standaard voor OpenVPN-profielen op iOS. Als een andere client wordt gebruikt, moet die intern duidelijk gedocumenteerd en ondersteund zijn.

Werkt MFA met SSL VPN op iOS?

Ja, als MFA op de Sophos Firewall voor Remote Access correct is ingericht. Afhankelijk van de configuratie wordt de tweede factor bij login of via de wachtwoordinvoer verwerkt.

Is SSL VPN op iOS beter dan IPsec?

Niet algemeen. SSL VPN is vaak praktisch wanneer OpenVPN-profielen al zijn ingeburgerd. Voor sommige omgevingen kan een ander Remote Access-ontwerp met IPsec, ZTNA of appgebaseerde toegang beter passen.

Waarom werkt de verbinding, maar geen interne applicatie?

Dan is de tunnel slechts een deel van de controle. Vaak ontbreken firewallregels, DNS-resolutie, routing of retourpaden. In Log Viewer moet worden gecontroleerd of traffic uit de VPN-zone de verwachte regel raakt.