Sophos SSL VPN met Sophos Connect instellen op macOS
SSL VPN op macOS werd vroeger vaak ingesteld met Tunnelblick of andere OpenVPN-clients. Dat is nog steeds mogelijk, maar niet langer de enige voor de hand liggende optie: sinds Sophos Connect 2.0 ondersteunt Sophos ook Remote Access SSL VPN op macOS.
Dit artikel beschrijft de huidige standaardmethode met Sophos Connect op macOS en plaatst OpenVPN-compatibele clients als alternatief in de juiste context. Voor de keuze tussen Sophos Connect, SSL VPN, IPsec, mobiele clients en ZTNA leest u eerst Sophos Connect of SSL VPN: welke oplossing voor externe toegang past?.
Keuze en vereisten
Welk macOS VPN-artikel past bij uw situatie?
Deze handleiding geldt voor Sophos Firewall met SFOS en SSL VPN op macOS. Afhankelijk van de taak is een ander startpunt geschikter:
- Sophos Connect algemeen op macOS installeren: Sophos Connect Client op macOS installeren.
- SSL VPN aan de firewallzijde configureren: Sophos Firewall SSL VPN Remote Access instellen.
- SSL VPN op macOS met Sophos Connect instellen: dit artikel.
- SSL VPN op Windows instellen: Sophos SSL VPN met Sophos Connect op Windows instellen.
- SSL VPN op iPhone, iPad of Android instellen: iPhone/iPad of Android.
- Sophos Connect-clientversies en -profielen beheren: Sophos Connect-clientversie controleren en veilig bijwerken.
- VPN is verbonden, maar het verkeer werkt niet: Firewallregel testen met Log Viewer, Policy Test en Packet Capture.
Mobiele platforms zoals iOS en Android worden door Sophos Connect niet rechtstreeks ondersteund voor IPsec en SSL VPN. Daar blijven OpenVPN-compatibele clients of functies van het besturingssysteem relevant.
Vereisten
- Sophos Firewall met een ingestelde SSL VPN-configuratie voor externe toegang
- gebruiker met toestemming voor SSL VPN
- toegang tot het VPN Portal of een door de beheerder verstrekt
.ovpn-bestand - Sophos Connect 2.0 of nieuwer
- macOS Ventura 13 of nieuwer bij Sophos Connect 2.0+
- Mac met Intel-processor of Apple Silicon via Rosetta 2
- geen parallel geïnstalleerde oude Sophos SSL VPN Client
- MFA/OTP ingesteld als externe toegang hiermee wordt beveiligd
- firewallregels voor verkeer vanuit de
VPN-zone
Als de SSL VPN-configuratie aan de firewallzijde nog niet gereed is, moet u eerst Sophos Firewall SSL VPN Remote Access instellen uitvoeren.
Controleer vóór een upgrade naar SFOS 22 MR1 ook of er nog oude IPsec-configuraties voor externe toegang aanwezig zijn. SSL VPN wordt hierdoor niet rechtstreeks geraakt, maar veel organisaties beoordelen externe toegang op dat moment opnieuw. De procedure staat in Legacy Remote Access IPsec vóór SFOS 22 MR1 migreren.
Sophos Connect of een OpenVPN-compatibele client?
Voor nieuwe macOS-implementaties moet Sophos Connect als eerste worden beoordeeld, omdat dit de eigen client van Sophos is en sinds versie 2.0 SSL VPN op macOS ondersteunt. OpenVPN Connect of Tunnelblick blijven alternatieven, maar mogen niet ongemerkt een tweede, ongeplande standaard worden.
- Sophos Connect: geschikt voor beheerde Macs, een uniform supportproces en actuele SFOS-omgevingen. Let op de versie, macOS-vereisten, Rosetta 2 bij Apple Silicon en een actueel
.ovpn-profiel. - OpenVPN Connect, Tunnelblick of een andere OpenVPN-client: geschikt bij een bestaand OpenVPN-proces, bijzondere situaties of een bewust gekozen afwijking van Sophos Connect. Let op de OpenVPN-versie, het passende downloadformaat, profielbeheer, DNS-gedrag en een duidelijk vastgelegde supportverantwoordelijkheid.
De clientnaam is minder belangrijk dan het beheer: het moet duidelijk zijn welke client wordt ondersteund, welke versie wordt uitgerold, waar het profiel vandaan komt en wanneer gebruikers een nieuw profiel moeten importeren.
Sophos Connect instellen op macOS
1. Sophos Connect voor macOS beschikbaar stellen
Sophos Connect kan afhankelijk van de omgeving via de Sophos Firewall, het VPN Portal of de Sophos-downloadpagina beschikbaar worden gesteld. In beheerde omgevingen moet duidelijk zijn welke clientversie wordt uitgerold en of Rosetta 2 op Apple Silicon-apparaten aanwezig is.
Voor SSL VPN op macOS is Sophos Connect 2.0 of nieuwer vereist. Oudere interne handleidingen of installatiepakketten mogen daarom niet zonder controle worden hergebruikt. Een aanwezige oude Sophos SSL VPN Client moet vóór de installatie worden verwijderd, omdat deze niet parallel met Sophos Connect kan worden gebruikt.
Sophos Connect 2.0 MR1 bevat meerdere macOS-specifieke correcties, waaronder DNS-instellingen voor SSL VPN-verbindingen en de optie om aanmeldgegevens op te slaan. Na een upgrade moet het profiel opnieuw worden geïmporteerd als deze optie moet worden gebruikt.
2. OVPN-configuratie ophalen
De SSL VPN-configuratie wordt als .ovpn-bestand beschikbaar gesteld. Afhankelijk van het beheermodel downloaden gebruikers dit bestand uit het VPN Portal of ontvangen zij het gecontroleerd via het beheerproces.
In het VPN Portal verloopt dit voor Sophos Connect op macOS als volgt:
- Open het VPN Portal van de Sophos Firewall. Standaard is het adres
https://<Firewall-FQDN>:443, tenzij de poort is gewijzigd. - Meld u aan met de VPN-gebruiker.
- Ga naar het onderdeel
VPN. - Download onder Sophos Connect client met Download for macOS de client als deze nog niet centraal is uitgerold.
- Kies onder VPN configuration bij de gewenste SSL VPN-configuratie Download configuration for Windows, macOS, Linux.
- Kies voor Sophos Connect Use with Sophos Connect and OpenVPN Connect v2 clients. De variant voor OpenVPN Connect v3 is bedoeld voor een bijbehorende OpenVPN v3-client.
- Bewaar het
.ovpn-bestand veilig en gebruik het uitsluitend voor de bevoegde gebruiker.
Voor SSL VPN op macOS wordt momenteel het .ovpn-bestand gebruikt. Automatische .pro-provisioning voor SSL VPN is bij Sophos Connect alleen beschikbaar op Windows. Wijzigingen in de policy of in algemene SSL VPN-instellingen worden daarom niet automatisch naar de Mac doorgegeven; na relevante wijzigingen moet een actueel .ovpn-bestand worden gedownload en geïmporteerd.
Als de browser waarschuwt voor het certificaat van het portal, moet u de oorzaak onderzoeken. In productieomgevingen is een geldig certificaat voor het VPN Portal beter dan een permanente browseruitzondering. Voor hardening leest u Device Access en Local Service ACL op Sophos Firewall.
Na wijzigingen aan gateway, poort, certificaat, DNS, leasebereik, authenticatie of SSL VPN-policy moet het profiel opnieuw worden gedownload en geïmporteerd. Een clientupdate alleen werkt een oud .ovpn-profiel niet bij.
3. Verbinding in Sophos Connect importeren
Open Sophos Connect en importeer het .ovpn-bestand. De verbinding moet daarna in de lijst met verbindingen verschijnen. Bij meerdere profielen is een eenduidige naam belangrijk, zodat gebruikers en support niet per ongeluk het verkeerde profiel gebruiken.
Als het importeren niet werkt, controleer dan eerst de clientversie, het bestandstype en de herkomst van het configuratiebestand. SSL VPN op macOS vereist Sophos Connect 2.0 of nieuwer. Een profiel dat voor OpenVPN Connect v3 is gedownload, mag niet als Sophos Connect-profiel worden behandeld.
Als Microsoft Entra ID SSO wordt gebruikt, moet het profiel de actuele SSO-configuratie bevatten. Werkt SSO na een wijziging niet meer, download en importeer het .ovpn-bestand dan opnieuw. De configuratie aan de firewallzijde staat in Microsoft Entra ID SSO voor Sophos Connect en VPN Portal instellen.
4. VPN-verbinding opbouwen
Selecteer de geïmporteerde verbinding en klik op Connect. Meld u vervolgens aan met de VPN-gebruiker. Als MFA of OTP actief is, moet de tweede factor volgens de firewallconfiguratie worden bevestigd.
Controleer na het opbouwen van de verbinding niet alleen de status in de client. Bepalend is of de vereiste interne doelen bereikbaar zijn.
Verbinding controleren
Na de installatie controleren
Controleer minimaal de volgende punten met een testgebruiker:
- Sophos Connect toont de verbinding als verbonden.
- De gebruiker ontvangt een IP-adres uit de verwachte SSL VPN-pool.
- Interne DNS-namen worden correct omgezet.
- Benodigde servers en applicaties zijn bereikbaar.
- Het internetgedrag komt overeen met het ontwerp: Split Tunnel of Full Tunnel.
- In Log Viewer is de verwachte firewallregel voor verkeer uit de
VPN-zone zichtbaar. - MFA wordt zoals gepland gevraagd.
- Het verbreken van de verbinding en opnieuw aanmelden werken.
Als de verbinding tot stand komt maar toegang niet werkt, ligt de oorzaak vaak niet bij de client, maar bij firewallregels, DNS, routing of NAT. Voor de analyse gebruikt u Firewallregel testen met Log Viewer, Policy Test en Packet Capture.
Acceptatietest op macOS
Documenteer na de configuratie een echte testcase en niet alleen de groene clientstatus.
- Sophos Connect-versie controleren: de clientversie past bij de macOS-versie en de SSL VPN-ondersteuning.
- Apple Silicon testen: Rosetta 2 is aanwezig en de client start betrouwbaar.
- Profielimport controleren: het
.ovpn-profiel is afkomstig uit de actuele firewallconfiguratie. - MFA testen: aanmelden met een juiste en een onjuiste factor levert een begrijpelijk resultaat op.
- DNS testen: interne namen worden correct omgezet, niet alleen IP-adressen.
- Toegang testen: toegestane doelen werken en niet-toegestane doelen blijven geblokkeerd.
- Log Viewer controleren: verkeer uit de
VPN-zone treft de verwachte firewallregel. - Opnieuw verbinden testen: verbreken en opnieuw verbinden werken zonder van profiel te wisselen.
Als binnen de organisatie meerdere macOS-versies worden gebruikt, test dan minimaal één Intel-Mac en één Apple Silicon-Mac. Bij gemengde clients moet u daarnaast controleren of Sophos Connect en Tunnelblick geen verschillende profielen of DNS-resultaten gebruiken.
Alternatief: OpenVPN-compatibele client
OpenVPN Connect of Tunnelblick kunnen nog steeds zinvol zijn als Sophos Connect niet moet worden gebruikt of als een bestaand OpenVPN-proces bewust wordt voortgezet. Documenteer deze variant als een eigen beheerstandaard, zodat Sophos Connect, meerdere OpenVPN-clients en oude profielen niet parallel in omloop raken.
Bij het downloaden in het VPN Portal moet de configuratievariant bij de gebruikte client passen. Controleer daarna het .ovpn-bestand, de gebruikersaanmelding en het DNS-gedrag. Neem oude algemene voorschriften voor een bepaalde OpenVPN-versie niet zonder controle over; bepalend zijn de actuele firewallversie, de clientversie en het concrete profiel.
Beheer en beveiliging
SSL VPN is een publiek bereikbare dienst voor externe toegang. Documenteer daarom niet alleen de installatie, maar ook het beheer:
- Werk Sophos Connect of de OpenVPN-client regelmatig bij.
- Activeer en test MFA voor externe toegang.
- Controleer VPN-groepen regelmatig.
- Beperk portaltoegang waar mogelijk via Device Access en Local Service ACL.
- Houd firewallregels voor de
VPN-zone beperkt en schakel logging in. - Verwijder oude
.ovpn-bestanden en verouderde profielen. - Plan syslog of centrale analyse als logs langer moeten worden bewaard.
Voor de basisprincipes van MFA leest u MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren. Voor logbestanden en servicelogs is Sophos Firewall-probleemoplossing: services en logs nuttig.
Checklist voor de macOS-uitrol
- De ondersteunde standaardclient is bepaald: Sophos Connect of bewust een OpenVPN-client.
- De Sophos Connect-versie is geschikt voor macOS Ventura 13 of nieuwer.
- Voor Apple Silicon-apparaten is Rosetta 2 in de uitrol meegenomen.
- Het
.ovpn-profiel is afkomstig uit de actuele SSL VPN-configuratie. - De downloadvariant past bij Sophos Connect of bij de gebruikte OpenVPN-clientversie.
- In het profielproces is rekening gehouden met het ontbreken van het automatische
.pro-updatepad op macOS. - Het VPN Portal gebruikt een geldig certificaat.
- De gebruiker is opgenomen in de juiste SSL VPN-policy.
- Het MFA-gedrag is gedocumenteerd en met een testgebruiker gecontroleerd.
- DNS, zoekdomein en interne doelsystemen zijn op macOS getest.
- Firewallregels voor de
VPN-zone registreren het testverkeer. - Na profielwijzigingen is duidelijk wie gebruikers over de nieuwe import informeert.
Problemen oplossen
Sophos Connect importeert het OVPN-bestand niet
Controleer eerst of Sophos Connect 2.0 of nieuwer is geïnstalleerd en of het bestand daadwerkelijk uit de actuele SSL VPN-configuratie afkomstig is. Download het bestand daarna opnieuw uit het VPN Portal of stel het opnieuw via het beheerproces beschikbaar.
Interne namen worden niet omgezet
Controleer de DNS-servers, zoekdomeinen en SSL VPN-configuratie op de firewall. Controleer bij Sophos Connect op macOS ook de clientversie, omdat Sophos in versie 2.0 MR1 een DNS-probleem met SSL VPN-verbindingen op macOS heeft opgelost.
Als IP-adressen wel werken maar namen niet, gaat het om een DNS- of zoekdomeinprobleem. Als IP-adressen evenmin werken, zijn routing, firewallregels of het retourpad waarschijnlijker.
Verbinding staat, maar interne systemen zijn niet bereikbaar
Controleer firewallregels, routing, NAT en het retourpad. In Log Viewer moet verkeer uit de VPN-zone zichtbaar zijn. Als er geen logs verschijnen, bereikt het verkeer waarschijnlijk niet de verwachte regel of is logging uitgeschakeld.
Als kleine verzoeken werken maar grotere bestandsoverdrachten of bepaalde applicaties vastlopen, moet u ook MTU/MSS controleren: Sophos Firewall MTU en MSS bij VPN-problemen controleren.
Verbinding werkt niet meer na een profielwijziging
Na wijzigingen aan gateway, certificaat, poort, DNS, leasebereik of authenticatie moet het .ovpn-profiel opnieuw worden geïmporteerd. Als alleen de client is bijgewerkt terwijl een oud profiel in gebruik blijft, kunnen nog steeds oude doelen, poorten of DNS-waarden worden gebruikt.
Optie om aanmeldgegevens op te slaan is niet zichtbaar
Sophos heeft de optie om aanmeldgegevens op te slaan in Sophos Connect 2.0 MR1 voor macOS opnieuw geactiveerd. Na de update moet de configuratie opnieuw worden geïmporteerd om deze optie te kunnen gebruiken. Controleer in omgevingen met MFA desondanks of het opslaan van aanmeldgegevens binnen het beveiligingsconcept past.
Verbinding valt weg in externe netwerken
SSL VPN is vaak toleranter dan IPsec, maar niet immuun voor restrictieve netwerken, Captive Portals, verplichte proxy’s of instabiele wifi. Test in zulke gevallen met een tweede netwerk en beoordeel of Split Tunnel, poort, protocol of ZTNA beter past.
Supportgegevens verzamelen
Als de fout niet direct zichtbaar is, documenteer dan clientlogs, tijdstip, gebruiker, bronnetwerk en doelsysteem. In de Sophos Connect Client kan via menu met drie punten > About > Generate technical support report een supportpakket worden gemaakt. Het bestand heet scvpntsr.zip en bevat verbindingsgebeurtenissen, configuratiegegevens en endpointgegevens. Controleer vóór doorgifte aan wie deze informatie mag worden verzonden.
Aan de firewallzijde helpen tegelijkertijd Log Viewer, sslvpn.log, openvpn-status*.log en de bijbehorende firewallregel. De indeling van de logbestanden staat in Sophos Firewall-probleemoplossing: services en logs.