Sophos SSL VPN met Sophos Connect instellen op macOS
SSL VPN op macOS werd vroeger vaak ingesteld met Tunnelblick of andere OpenVPN-clients. Dat is nog steeds mogelijk, maar niet langer de enige voor de hand liggende optie: sinds Sophos Connect 2.0 ondersteunt Sophos ook Remote Access SSL VPN op macOS.
Dit artikel beschrijft de huidige standaardmethode met Sophos Connect op macOS en plaatst OpenVPN-compatibele clients als alternatief in de juiste context. Voor de keuze tussen Sophos Connect, SSL VPN, IPsec, mobiele clients en ZTNA leest u eerst Sophos Connect of SSL VPN: welke oplossing voor externe toegang past?.
Keuze en vereisten
Welk macOS VPN-artikel past bij uw situatie?
Deze handleiding geldt voor Sophos Firewall met SFOS en SSL VPN op macOS. Afhankelijk van de taak is een ander startpunt geschikter:
- Sophos Connect algemeen op macOS installeren: Sophos Connect Client op macOS installeren.
- SSL VPN aan de firewallzijde configureren: Sophos Firewall SSL VPN Remote Access instellen.
- SSL VPN op macOS met Sophos Connect instellen: dit artikel.
- SSL VPN op Windows instellen: Sophos SSL VPN met Sophos Connect op Windows instellen.
- SSL VPN op iPhone, iPad of Android instellen: iPhone/iPad of Android.
- Sophos Connect-clientversies en -profielen beheren: Sophos Connect-clientversie controleren en veilig bijwerken.
- VPN is verbonden, maar het verkeer werkt niet: Firewallregel testen met Log Viewer, Policy Test en Packet Capture.
Mobiele platforms zoals iOS en Android worden door Sophos Connect niet rechtstreeks ondersteund voor IPsec en SSL VPN. Daar blijven OpenVPN-compatibele clients of functies van het besturingssysteem relevant.
Vereisten
- Sophos Firewall met een ingestelde SSL VPN-configuratie voor externe toegang
- gebruiker met toestemming voor SSL VPN
- toegang tot het VPN Portal of een door de beheerder verstrekt
.ovpn-bestand - Sophos Connect voor macOS 2.0 of nieuwer
- Sophos Connect 2.0: macOS Ventura 13+; vanaf 2.1: macOS Sonoma 14+
- Mac met Intel-processor of Apple Silicon: met 2.0 via Rosetta 2, vanaf 2.1 native met ARM
- geen andere parallel geïnstalleerde VPN-client; Sophos sluit gelijktijdig gebruik expliciet uit
- MFA/OTP ingesteld als externe toegang hiermee wordt beveiligd
- firewallregels voor verkeer vanuit de
VPN-zone
Als de SSL VPN-configuratie aan de firewallzijde nog niet gereed is, moet u eerst Sophos Firewall SSL VPN Remote Access instellen uitvoeren.
Controleer vóór een upgrade naar SFOS 22 MR1 ook of er nog oude IPsec-configuraties voor externe toegang aanwezig zijn. SSL VPN wordt hierdoor niet rechtstreeks geraakt, maar veel organisaties beoordelen externe toegang op dat moment opnieuw. De procedure staat in Legacy Remote Access IPsec vóór SFOS 22 MR1 migreren.
Versiestand op 7 september 2026: onze gids voor Sophos Connect-versies en -updates vermeldt 2.0 MR1 voor macOS en 2.5 MR1 voor Windows. Het hogere Windows-nummer is geen macOS-update. Sophos bevestigt SSL VPN op Intel-Macs en Apple Silicon via Rosetta 2 vanaf Sophos Connect 2.0 en macOS Ventura 13. De destijds gecontroleerde SFOS-22-documentatie voor het VPN Portal vermeldt ondersteuning voor macOS 13.0 en nieuwer.
Bijgewerkt op 9 oktober 2026: Sophos Connect 2.1 voor macOS is in de release notes gedocumenteerd met als datum 6 oktober 2026: macOS 14+, Intel en native ARM-ondersteuning op Apple Silicon, .pro-provisioning en Microsoft Entra ID SSO. De momentopname van september beschrijft 2.0/Rosetta, niet de nieuwe 2.1-functies. De canonieke versiematrix en updateplanning houdt deze lijnen gescheiden. De beschikbaarheid van het pakket in het eigen portal en de goedkeuring voor apparaten moeten afzonderlijk worden gecontroleerd; dit artikel rapporteert geen apparaattest en leidt geen GA-goedkeuring af.
Sophos Connect of een OpenVPN-compatibele client?
Voor nieuwe macOS-implementaties moet Sophos Connect als eerste worden beoordeeld, omdat dit de eigen client van Sophos is en sinds versie 2.0 SSL VPN op macOS ondersteunt. OpenVPN Connect of Tunnelblick blijven alternatieven, maar mogen niet ongemerkt een tweede, ongeplande standaard worden.
- Sophos Connect: geschikt voor beheerde Macs, een uniform supportproces en actuele SFOS-omgevingen. Let op de versie, macOS-vereisten, bij 2.0 Rosetta 2 op Apple Silicon, vanaf 2.1 native ARM-ondersteuning en een actueel
.ovpn-profiel of goedgekeurde provisioning. - OpenVPN Connect, Tunnelblick of een andere OpenVPN-client: geschikt bij een bestaand OpenVPN-proces, bijzondere situaties of een bewust gekozen afwijking van Sophos Connect. Let op de OpenVPN-versie, het passende downloadformaat, profielbeheer, DNS-gedrag en een duidelijk vastgelegde supportverantwoordelijkheid.
De clientnaam is minder belangrijk dan het beheer: het moet duidelijk zijn welke client wordt ondersteund, welke versie wordt uitgerold, waar het profiel vandaan komt en wanneer gebruikers een nieuw profiel moeten importeren.
Sophos Connect instellen op macOS
1. Sophos Connect voor macOS beschikbaar stellen
Download voor SFOS het via Pattern Update aan de firewall geleverde macOS-pakket uit het VPN Portal of distribueer het gecontroleerd centraal. Controleer de daadwerkelijk beschikbare versie: 2.0 MR1 vereist op Apple Silicon Rosetta 2 en macOS 13+; vanaf 2.1 gelden macOS 14+ en native ARM-ondersteuning. Een Windows-pakket is geen macOS-update. Test elke productiecombinatie vóór de brede uitrol in een pilot.
Voor SSL VPN op macOS is Sophos Connect 2.0 of nieuwer vereist. Oudere interne handleidingen of installatiepakketten mogen daarom niet zonder controle worden hergebruikt. Een aanwezige oude Sophos SSL VPN Client moet vóór de installatie worden verwijderd, omdat deze niet parallel met Sophos Connect kan worden gebruikt.
Sophos Connect 2.0 MR1 bevat macOS-correcties voor SSL VPN-DNS (NCL-2961) en het opslaan van aanmeldgegevens (NCL-2956). Importeer het profiel na de upgrade opnieuw om die optie te gebruiken.
De installatie is kort: open het installatieprogramma, kies een doel met genoeg vrije ruimte en klik op Install en Finish. De actuele Sophos-handleiding schrijft geen algemene extra toestemming onder Privacy & Security voor. Keur alleen prompts goed die het ondertekende installatieprogramma of macOS werkelijk toont; voeg geen verzonnen systeemextensiestappen toe.
2. OVPN-configuratie ophalen
De SSL VPN-configuratie wordt als .ovpn-bestand beschikbaar gesteld. Afhankelijk van het beheermodel downloaden gebruikers dit bestand uit het VPN Portal of ontvangen zij het gecontroleerd via het beheerproces.
In het VPN Portal verloopt dit voor Sophos Connect op macOS als volgt:
- Open het VPN Portal van de Sophos Firewall. Standaard is het adres
https://<Firewall-FQDN>:443, tenzij de poort is gewijzigd. - Meld u aan met de VPN-gebruiker.
- Ga naar het onderdeel
VPN. - Download onder Sophos Connect client met Download for macOS de client als deze nog niet centraal is uitgerold.
- Kies onder VPN configuration Download configuration for Windows, macOS, Linux en vervolgens Use with Sophos Connect and OpenVPN Connect v2 clients. De afzonderlijke v3-optie is bedoeld voor OpenVPN Connect 3.0-clients.
- Bewaar het
.ovpn-bestand veilig en gebruik het uitsluitend voor de bevoegde gebruiker.
Het .ovpn-bestand is gebruikersspecifiek: het bevat het unieke certificaat en de privésleutel van die gebruiker. Deel of hergebruik het niet voor een andere gebruiker. Trek bij een uitgelekt profiel de toegang van de betrokken gebruiker in of vervang deze.
Gedocumenteerd voor SFOS 22: De clientdocumentatie koppelt het tijdens de import gegenereerde SSL-profiel en de certificaten ervan aan de gebruikersidentiteit, de authenticatiemethode en het domein. De SFOS 22-help voor probleemoplossing noemt import met een andere authenticatiemethode of een ander domein als oorzaak van Login failed. Wrong fingerprint of certificate. en adviseert daarvoor een afzonderlijke import van een .pro-bestand of het eigen .ovpn-bestand van de gebruiker. Dit bewijst niet dat downloaden en importeren dezelfde koppeling tot stand brengen.
De opgeslagen help voor probleemoplossing van SFOS 23 laat dit onderdeel over de certificaatvingerafdruk weg zonder een wijziging in het productgedrag te beschrijven. Dat bewijst noch ruimere mogelijkheden voor hergebruik, noch een ongewijzigde koppeling in elke versie; het gedrag van SFOS 23 is hier niet onafhankelijk geverifieerd. Houd gegenereerde SSL-profielen gescheiden per identiteit, authenticatiemethode en domein totdat er gezaghebbende duidelijkheid is voor de doelversie: als voorzorgsmaatregel, niet als geverifieerde SFOS 23-regel. Dit betreft de gegenereerde SSL-profielen, niet de herbruikbare metadata in het oorspronkelijke .pro-bestand of IPsec-profielen in .scx-formaat.
Rechtstreekse .ovpn-import werkt vanaf Sophos Connect 2.0 op macOS; latere policywijzigingen worden hiermee niet automatisch bijgewerkt. Vanaf macOS-client 2.1 is als alternatief .pro-provisioning voor SSL VPN en IPsec gedocumenteerd, niet met 2.0. .pro is een configuratie om gegevens uit het VPN Portal op te halen, geen tunnelprofiel. Het bestand, schema en gecontroleerde profielbeheer worden beschreven in Sophos Connect-provisioning. Download en importeer voor handmatige profielen na relevante wijzigingen een actueel .ovpn-bestand.
Als de browser waarschuwt voor het certificaat van het portal, moet u de oorzaak onderzoeken. In productieomgevingen is een geldig certificaat voor het VPN Portal beter dan een permanente browseruitzondering. Voor hardening leest u Device Access en Local Service ACL op Sophos Firewall.
Bij rechtstreeks geïmporteerde .ovpn-profielen: na wijzigingen aan gateway, poort, certificaat, DNS, leasebereik, authenticatie of SSL VPN-policy moet het profiel opnieuw worden gedownload en geïmporteerd. Een clientupdate alleen werkt een oud .ovpn-profiel niet bij.
3. Verbinding in Sophos Connect importeren
Open Sophos Connect en klik op Import connection op de pagina Connections. Zijn er al verbindingen, open dan het menu en kies Import connection. Selecteer het .ovpn-bestand; de verbinding moet daarna onder Connections verschijnen.
Controleer bij een mislukte import eerst de clientversie, het bestandstype en de herkomst. Rechtstreekse SSL-VPN-import op macOS vereist Sophos Connect 2.0 of nieuwer en een actueel .ovpn-bestand van Download configuration for Windows, macOS, Linux. .scx hoort bij IPsec, niet bij deze SSL-VPN-import. .pro is op macOS vanaf 2.1 het alternatieve provisioningpad; met macOS 2.0 wordt het niet ondersteund.
Entra ID SSO is op macOS gedocumenteerd vanaf Sophos Connect 2.1, niet met 2.0. Een grijze SSO-optie in 2.0 wordt niet geactiveerd door een portalaanmelding. Controleer voor 2.1 eerst de Entra ID-configuratie op de firewall en de actuele clientconfiguratie. Gebruik de volledige macOS-SSO-browserprocedure met fallback en compliance.
4. VPN-verbinding opbouwen
Selecteer de geïmporteerde verbinding en klik op Connect, of dubbelklik erop. Meld u daarna aan met de VPN-gebruiker. De gebruikersnaam is hoofdlettergevoelig. Als MFA of OTP actief is, moet de weergegeven verificatiecode volgens de firewallconfiguratie worden bevestigd. Voltooi bij Entra ID SSO vanaf 2.1 de aanmelding in de door Sophos Connect geopende ingebouwde browser of systeembrowser en keer daarna terug naar Sophos Connect. Rechtstreeks geïmporteerde .ovpn-profielen gebruiken de automatische browserprocedure; als de vereiste wissel uitblijft, gebruik dan door de IT-afdeling goedgekeurde .pro-provisioning met de systeembrowser. Voer compliancemaatregelen uit of neem contact op met de IT-afdeling, verzwak Conditional Access nooit.
Controleer na het opbouwen van de verbinding niet alleen de status in de client. Bepalend is of de vereiste interne doelen bereikbaar zijn.
Verbinding controleren
Na de installatie controleren
Controleer minimaal de volgende punten met een testgebruiker:
- Sophos Connect toont de verbinding als verbonden.
- De gebruiker ontvangt een IP-adres uit de verwachte SSL VPN-pool.
- Interne DNS-namen worden correct omgezet.
- Benodigde servers en applicaties zijn bereikbaar.
- Het internetgedrag komt overeen met het ontwerp: Split Tunnel of Full Tunnel.
- In Log Viewer is de verwachte firewallregel voor verkeer uit de
VPN-zone zichtbaar. - MFA wordt zoals gepland gevraagd.
- Het verbreken van de verbinding en opnieuw aanmelden werken.
Als de verbinding tot stand komt maar toegang niet werkt, ligt de oorzaak vaak niet bij de client, maar bij firewallregels, DNS, routing of NAT. Voor de analyse gebruikt u Firewallregel testen met Log Viewer, Policy Test en Packet Capture.
Acceptatietest op macOS
Documenteer na de configuratie een echte testcase en niet alleen de groene clientstatus.
- Sophos Connect-versie controleren: de clientversie past bij de macOS-versie en de SSL VPN-ondersteuning.
- Apple Silicon testen: bij 2.0 is Rosetta 2 aanwezig, vanaf 2.1 is ARM native. De client start betrouwbaar op de daadwerkelijk gebruikte macOS-versie.
- Profielimport controleren: het
.ovpn-profiel is afkomstig uit de actuele firewallconfiguratie. - MFA testen: aanmelden met een juiste en een onjuiste factor levert een begrijpelijk resultaat op.
- DNS testen: interne namen worden correct omgezet, niet alleen IP-adressen.
- Toegang testen: toegestane doelen werken en niet-toegestane doelen blijven geblokkeerd.
- Log Viewer controleren: verkeer uit de
VPN-zone treft de verwachte firewallregel. - Opnieuw verbinden testen: verbreken en opnieuw verbinden werken zonder van profiel te wisselen.
- Entra SSO vanaf 2.1 testen: controleer de browserkeuze, de vereiste fallback, de volledige aanmelding en de terugkeer naar de client; bij een compliancefout blijft de toegang geblokkeerd totdat de vereiste maatregelen zijn uitgevoerd.
Als binnen de organisatie meerdere macOS-versies worden gebruikt, test dan minimaal één Intel-Mac en één Apple Silicon-Mac. Bij gemengde clients moet u daarnaast controleren of Sophos Connect en Tunnelblick geen verschillende profielen of DNS-resultaten gebruiken.
Controleer voor een reproduceerbare DNS-test in Terminal eerst de publieke en daarna een interne naam:
nslookup www.sophos.com
nslookup intranet.example.internal
Vervang intranet.example.internal door een toegestane interne FQDN. Het eerste commando moet ook zonder VPN een adres geven; na het opbouwen van de tunnel moet het tweede de verwachte interne DNS-server en het interne adres tonen. Faalt alleen het tweede, controleer DNS servers en Domain name onder Remote access VPN > SSL VPN > SSL VPN global settings en Administration > Device access > DNS > VPN.
Bijwerken, terugrollen en schoon verwijderen
Sophos beschrijft een upgrade als het verwijderen van de bestaande versie en daarna installeren van de actuele macOS-versie. Bewaar de bron van het goedgekeurde installatieprogramma en het actuele .ovpn-bestand en begin met een test-Mac. Installeer bij problemen de eerder goedgekeurde macOS-versie opnieuw; hergebruik het oude profiel alleen als de bijbehorende firewallconfiguratie nog geldig is. Een rollback naar macOS-client 2.0 behoudt noch native ARM-uitvoering, noch .pro-provisioning of Entra ID SSO. Als deze 2.1-functies vereist zijn, is 2.0 geen gelijkwaardige terugweg; keur vooraf een ondersteund alternatief goed en test het.
Schakel bij geïnstalleerde Sophos Endpoint eerst Tamper Protection uit in Sophos Fusion (voorheen Sophos Central). Voer daarna in Terminal met beheerdersrechten uit:
sudo /Library/Sophos\ Connect/uninstall.sh
De verwachte melding is Sophos Connect has been uninstalled. Schakel Tamper Protection daarna weer in. Als oude processen bij upgrade of verwijdering blijven draaien, noemt Sophos een herstart als volgende stap. Verwijder een werkende verbinding pas nadat de nieuwe import en toegangstest zijn geslaagd.
Alternatief: OpenVPN-compatibele client
De eerdere Tunnelblick-handleiding toonde OpenVPN 2.3.18. Dat was een historische keuze, geen actuele uitrolvereiste; kies deze versie niet en forceer geen downgrade uitsluitend vanwege een oude schermafbeelding. Volg voor Microsoft Entra ID SSO met Sophos Connect 2.1 de SSO-procedure voor macOS, niet de historische Tunnelblick-stappen.
OpenVPN Connect of Tunnelblick kunnen nog steeds zinvol zijn als Sophos Connect niet moet worden gebruikt of als een bestaand OpenVPN-proces bewust wordt voortgezet. Documenteer deze variant als een eigen beheerstandaard, zodat Sophos Connect, meerdere OpenVPN-clients en oude profielen niet parallel in omloop raken.
Bij het downloaden in het VPN Portal moet de configuratievariant bij de gebruikte client passen. Controleer daarna het .ovpn-bestand, de gebruikersaanmelding en het DNS-gedrag. Neem oude algemene voorschriften voor een bepaalde OpenVPN-versie niet zonder controle over; bepalend zijn de actuele firewallversie, de clientversie en het concrete profiel.
Beheer en beveiliging
SSL VPN is een publiek bereikbare dienst voor externe toegang. Documenteer daarom niet alleen de installatie, maar ook het beheer:
- Werk Sophos Connect of de OpenVPN-client regelmatig bij.
- Activeer en test MFA voor externe toegang.
- Controleer VPN-groepen regelmatig.
- Beperk portaltoegang waar mogelijk via Device Access en Local Service ACL.
- Houd firewallregels voor de
VPN-zone beperkt en schakel logging in. - Verwijder oude
.ovpn-bestanden en verouderde profielen. - Plan syslog of centrale analyse als logs langer moeten worden bewaard.
Voor de basisprincipes van MFA leest u MFA voor Sophos Firewall WebAdmin, VPN Portal en Remote Access activeren. Voor logbestanden en servicelogs is Sophos Firewall-probleemoplossing: services en logs nuttig.
Checklist voor de macOS-uitrol
- De ondersteunde standaardclient is bepaald: Sophos Connect of bewust een OpenVPN-client.
- Sophos Connect 2.0 is geschikt voor macOS 13+; vanaf 2.1 is macOS 14+ vereist.
- Bij 2.0 is Rosetta 2 voor Apple Silicon in de uitrol meegenomen; vanaf 2.1 wordt native ARM-uitvoering gecontroleerd.
- Het
.ovpn-profiel is afkomstig uit de actuele SSL VPN-configuratie. - Het SFOS 22-bestand Download configuration for Windows, macOS, Linux wordt gebruikt.
- Rechtstreekse
.ovpn-profielen worden handmatig beheerd;.pro-provisioning wordt alleen met macOS-client vanaf 2.1 gebruikt. - Het VPN Portal gebruikt een geldig certificaat.
- De gebruiker is opgenomen in de juiste SSL VPN-policy.
- Het MFA-gedrag is gedocumenteerd en met een testgebruiker gecontroleerd.
- DNS, zoekdomein en interne doelsystemen zijn op macOS getest.
- Firewallregels voor de
VPN-zone registreren het testverkeer. - Na profielwijzigingen is duidelijk wie gebruikers over de nieuwe import informeert.
Problemen oplossen
Sophos Connect importeert het OVPN-bestand niet
Controleer of Sophos Connect voor macOS 2.0 of nieuwer is geïnstalleerd en of het bestand uit de actuele configuratie komt. Bij Connection with name … already exists verwijdert u de bestaande verbinding alleen als die moet worden vervangen. Download het bestand daarna opnieuw uit het VPN Portal.
Interne namen worden niet omgezet
Controleer de DNS-servers, zoekdomeinen en SSL VPN-configuratie op de firewall. Controleer bij Sophos Connect op macOS ook de clientversie, omdat Sophos in versie 2.0 MR1 een DNS-probleem met SSL VPN-verbindingen op macOS heeft opgelost.
Als IP-adressen wel werken maar namen niet, gaat het om een DNS- of zoekdomeinprobleem. Als IP-adressen evenmin werken, zijn routing, firewallregels of het retourpad waarschijnlijker.
Verbinding staat, maar interne systemen zijn niet bereikbaar
Controleer firewallregels, routing, NAT en het retourpad. In Log Viewer moet verkeer uit de VPN-zone zichtbaar zijn. Als er geen logs verschijnen, bereikt het verkeer waarschijnlijk niet de verwachte regel of is logging uitgeschakeld.
Als kleine verzoeken werken maar grotere bestandsoverdrachten of bepaalde applicaties vastlopen, moet u ook MTU/MSS controleren: Sophos Firewall MTU en MSS bij VPN-problemen controleren.
Verbinding werkt niet meer na een profielwijziging
Bij een .ovpn-verbinding vereist Policy mismatch error. Import a new policy for this connection. een nieuw bestand na wijzigingen aan gateway, certificaat, poort, DNS, leasebereik, authenticatie of policy. Received connection reset from gateway kan ook wijzen op gewijzigde SSL VPN-instellingen, een handmatige verbreking of een firewallherstart.
Dashboard opent niet of internet-DNS blijft defect na verbreken
Open in Activity Monitor het proces Sophos Connect, kies Force Quit en start de app opnieuw vanuit Launchpad. Werkt browsen na het verbreken van een Full Tunnel niet, verbreek dan de lokale netwerkverbinding, maak haar opnieuw en herhaal de publieke nslookup-test.
Management port is unavailable
Sophos Connect gebruikt lokaal TCP-poort 25340 voor communicatie met OpenVPN. Controleer en sluit zo mogelijk een andere toepassing die de poort bezet en verbind opnieuw. Sophos Connect 2.0 werkt niet zolang deze lokale poort niet beschikbaar is.
Optie om aanmeldgegevens op te slaan is niet zichtbaar
Sophos heeft de optie om aanmeldgegevens op te slaan in Sophos Connect 2.0 MR1 voor macOS opnieuw geactiveerd. Na de update moet de configuratie opnieuw worden geïmporteerd om deze optie te kunnen gebruiken. Controleer in omgevingen met MFA desondanks of het opslaan van aanmeldgegevens binnen het beveiligingsconcept past.
Verbinding valt weg in externe netwerken
SSL VPN is vaak toleranter dan IPsec, maar niet immuun voor restrictieve netwerken, Captive Portals, verplichte proxy’s of instabiele wifi. Test in zulke gevallen met een tweede netwerk en beoordeel of Split Tunnel, poort, protocol of ZTNA beter past.
Supportgegevens verzamelen
Als de fout niet direct zichtbaar is, documenteer dan clientlogs, tijdstip, gebruiker, bronnetwerk en doelsysteem. In de Sophos Connect Client kan via menu met drie punten > About > Generate technical support report een supportpakket worden gemaakt. Het bestand heet scvpntsr.zip en bevat verbindingsgebeurtenissen, configuratiegegevens en endpointgegevens. Controleer vóór doorgifte aan wie deze informatie mag worden verzonden.
Aan de firewallzijde helpen tegelijkertijd Log Viewer, sslvpn.log, openvpn-status*.log en de bijbehorende firewallregel. De indeling van de logbestanden staat in Sophos Firewall-probleemoplossing: services en logs.