SSL VPN op macOS werd vroeger vaak ingesteld met Tunnelblick of andere OpenVPN-clients. Dit is nog steeds mogelijk, maar is niet langer de enige voor de hand liggende optie: sinds Sophos Connect 2.0 ondersteunt Sophos ook Remote Access SSL VPN op macOS.

Het artikel beschrijft het huidige standaardpad met Sophos Connect op macOS en classificeert Tunnelblick als alternatief. Bij de keuze tussen Sophos Connect, SSL VPN, IPsec, mobiele clients en ZTNA is het eerste dat past Sophos Connect of SSL VPN: welke oplossing voor externe toegang is de juiste?.

Welk macOS VPN-artikel past?

Deze instructies zijn van toepassing op Sophos Firewall met SFOS en SSL VPN op macOS. Afhankelijk van de taak is een andere aanpak geschikt:

• Installeer Sophos Connect algemeen op macOS: Installeer Sophos Connect Client op macOS.
• Configureer SSL VPN aan de firewallkant: Stel Sophos Firewall SSL VPN Externe toegang in.
• Stel SSL VPN in op macOS met Sophos Connect: Dit artikel.
• SSL VPN instellen op Windows: Stel Sophos SSL VPN in met Sophos Connect op Windows.
• SSL VPN instellen op iPhone, iPad of Android: iPhone/iPad of Android.
• Sophos Connect-clientversies en -profielen onderhouden: Beheer en update van Sophos Connect Client-versie beschikbaar.
• VPN is verbonden, maar het verkeer werkt niet: Test firewallregels met Log Viewer, Policy Test en Packet Capture.

Mobiele platforms zoals iOS en Android worden niet rechtstreeks ondersteund door Sophos Connect voor IPsec en SSL VPN. OpenVPN-compatibele clients of besturingssysteemfuncties blijven daar relevant.

Vereisten

• Sophos Firewall met SSL VPN-configuratie voor externe toegang ingesteld
• Gebruikers geautoriseerd voor SSL VPN
• Toegang tot het VPN-portaal of een administratief verstrekt .ovpn-bestand
• Sophos Connect 2.0 of nieuwer
• macOS Ventura 13 of hoger met Sophos Connect 2.0+
• Mac met Intel-processor of Apple Silicon via Rosetta 2
• MFA/OTP ingesteld als externe toegang ermee is beveiligd
• Firewallregels voor verkeer vanuit de VPN-zone

Als de SSL VPN-configuratie aan de firewallzijde nog niet aanwezig is, moet eerst Stel Sophos Firewall SSL VPN External toegang in worden geïmplementeerd.

Voordat u SFOS 22 MR1 upgradet, moet u ook controleren of er nog oude IPsec-configuraties voor externe toegang bestaan. SSL VPN heeft hier niet direct last van, maar veel omgevingen zijn op dit moment de toegang op afstand opnieuw aan het evalueren. Het proces vindt plaats in Migreer of IPsec voor externe toegang tot SFOS 22 MR1.

Sophos Connect of Tunnelblick?

Voor nieuwe macOS-implementaties moet Sophos Connect eerst worden gecontroleerd, omdat Sophos Connect de eigen client van Sophos is en SSL VPN op macOS ondersteunt sinds versie 2.0. Tunnelblick blijft een OpenVPN-alternatief, maar mag niet als tweede ongeplande standaard naar voren komen.

• Sophos Connect: beheerde Macs, uniform ondersteuningsproces, huidige SFOS-omgeving. Versie, macOS-vereisten, Rosetta 2 bij Apple Silicon en huidig ​​.ovpn-profiel.
• Tunnelblick of andere OpenVPN-client: bestaand OpenVPN-proces, speciale gevallen, opzettelijke afwijking van Sophos Connect. Documenteer de OpenVPN-versie, profielonderhoud, DNS-gedrag en ondersteuningsverantwoordelijkheid duidelijk.

De clientnaam is minder belangrijk dan de bediening: het moet duidelijk zijn welke client wordt ondersteund, welke versie wordt gedistribueerd, waar het profiel vandaan komt en wanneer gebruikers een nieuw profiel moeten importeren.

1. Implementeer Sophos Connect voor macOS

Sophos Connect kan worden ingezet via de Sophos Firewall, de VPN Portal of de Sophos-downloadpagina, afhankelijk van uw omgeving. In beheerde omgevingen moet duidelijk zijn welke clientversie wordt uitgerold en of Rosetta 2 aanwezig is op Apple Silicon-toestellen.

SSL VPN op macOS vereist Sophos Connect 2.0 of hoger. Oudere interne instructies of installatiepakketten mogen daarom niet worden gebruikt zonder deze te controleren. Sophos Connect 2.0 MR1 brengt verschillende macOS-specifieke oplossingen, waaronder DNS-instellingen voor SSL VPN-verbindingen en de optie om inloggegevens op te slaan. Na een upgrade moet het profiel opnieuw worden geïmporteerd als deze optie moet worden gebruikt.

2. Verkrijg OVPN-configuratie

De SSL VPN-configuratie wordt geleverd als een .ovpn-bestand. Afhankelijk van het bedieningsmodel downloaden gebruikers ze van het VPN-portaal of ontvangen ze ze gecontroleerd via het admin-proces.

Typisch proces in het VPN-portaal:

1. Open het VPN-portaal van de Sophos Firewall.
2. Log in met de VPN-gebruiker.
3. Schakel over naar het VPN-gebied.
4. Download SSL VPN-configuratie voor het profiel.
5. Bewaar het .ovpn-bestand veilig en gebruik het alleen voor de geautoriseerde gebruiker.

Als de browser waarschuwt voor het certificaat van de portal, moet de oorzaak worden gecontroleerd. In productieve omgevingen is een geldig certificaat voor de VPN-portal schoner dan een persistente browseruitzondering. Voor verharding past Apparattoegang en local service-ACL op Sophos Firewall.

Na eventuele wijzigingen aan de gateway, poort, certificaat, DNS, leasebereik, authenticatie of SSL VPN-beleid moet het profiel opnieuw worden gedownload en geïmporteerd. Met alleen een clientupdate wordt een oud .ovpn-profiel niet bijgewerkt.

3. Importeer de verbinding in Sophos Connect

Open Sophos Connect en importeer het .ovpn-bestand. De verbinding zou dan in de verbindingenlijst moeten verschijnen. Als u meerdere profielen heeft, is het belangrijk om een ​​unieke naam te hebben, zodat gebruikers en ondersteuning niet per ongeluk het verkeerde profiel gebruiken.

Als het importeren niet werkt, controleer dan eerst de clientversie, het bestandstype en de herkomst van het configuratiebestand. SSL VPN op macOS vereist Sophos Connect 2.0 of hoger.

4. Breng een VPN-verbinding tot stand

Selecteer de geïmporteerde verbinding en klik op Connect. Log dan in met de VPN-gebruiker. Als MFA of OTP actief is, moet de tweede factor worden bevestigd volgens de firewallconfiguratie.

Nadat de verbinding tot stand is gebracht, moet niet alleen de status in de client worden gecontroleerd. Cruciaal is of de vereiste interne doelen kunnen worden bereikt.

Controleer na installatie

Deze punten moeten in ieder geval worden gecontroleerd bij een testgebruiker:

• Sophos Connect toont de verbinding als verbonden.
• Gebruiker ontvangt een IP-adres van de verwachte SSL VPN-pool.
• Interne DNS-namen worden correct omgezet.
• Benodigde servers en applicaties zijn toegankelijk.
• Internetgedrag komt overeen met het ontwerp: split-tunnel of volledige tunnel.
• De verwachte firewallregel voor verkeer uit de zone VPN is zichtbaar in de logviewer.
• MFA wordt opgevraagd zoals gepland.
• Verbinding verbreken en opnieuw inloggen werkt.

Als de verbinding tot stand is gebracht maar de toegang niet werkt, ligt de oorzaak vaak niet bij de client, maar bij firewallregels, DNS, routing of NAT. Test firewallregels met Log Viewer, Policy Test en Packet Capture is geschikt voor de analyse.

Acceptatietest op macOS

Na de installatie moet u een echte testcase documenteren, en niet alleen de groene klantstatus.

• Controleer Sophos Connect-versie: Clientversie komt overeen met macOS-versie en SSL VPN-ondersteuning.
• Test Apple Silicium: Rosetta 2 is beschikbaar en de klant start betrouwbaar.
• Controleer profielimport: .ovpn profiel komt uit de huidige firewallconfiguratie.
• MFA testen: Inloggen met de goede en foute factor gedraagt ​​zich begrijpelijk.
• DNS testen: Interne namen worden correct omgezet, niet alleen IP-adressen.
• Toegang testen: Toegestane doelen werken, ongeautoriseerde doelen blijven geblokkeerd.
• Controleer Logviewer: Verkeer uit de zone VPN stuit op de verwachte firewallregel.
• Test opnieuw verbinden: Loskoppelen en opnieuw verbinden werkt zonder profielen te veranderen.

Als er binnen het bedrijf meerdere macOS-versies worden gebruikt, moet er minimaal één Intel Mac en één Apple Silicon Mac worden getest. Voor gemengde klanten moet u ook controleren of Sophos Connect en Tunnelblick geen verschillende profielen of DNS-resultaten gebruiken.

Alternatief: Tunnelblick of andere OpenVPN-client

Tunnelblick kan nog steeds nuttig zijn als Sophos Connect niet wordt gebruikt of als een bestaand OpenVPN-proces bewust wordt behouden. Deze variant moet echter als aparte bedieningsstandaard worden gedocumenteerd, zodat Sophos Connect, Tunnelblick en oude profielen niet tegelijkertijd in omloop zijn.

Met Tunnelblick wordt het .ovpn-bestand geïmporteerd. Daarna moeten de OpenVPN-versie, het profiel, de gebruikersaanmelding en het DNS-gedrag worden gecontroleerd. Oude algemene specificaties voor een specifieke OpenVPN-versie mogen niet zonder controle worden overgenomen; Doorslaggevend zijn de momenteel gebruikte firewallversie, de clientversie en het specifieke profiel.

Operaties en beveiliging

SSL VPN is een openbaar beschikbare dienst voor externe toegang. Daarom moet u niet alleen de installatie, maar ook de werking documenteren:

• Update de Sophos Connect- of OpenVPN-client regelmatig.
• Activeer en test MFA voor externe toegang.
• Controleer regelmatig VPN-groepen.
• Beperk waar mogelijk de portaltoegang via Device Access en Local Service ACL.
• Houd de firewallregels strak voor de VPN-zone en log.
• Verwijder oude .ovpn-bestanden en verouderde profielen.
• Als logs voor langere tijd worden bewaard, plan dan een syslog of centrale evaluatie.

Voor de basis van MFA past Schakel MFA bij Sophos Firewall WebAdmin, VPN Portal en Remote Access. Voor logbestanden en servicelogboeken is Sophos Firewall-probleemoplossing: services en logboeken nuttig.

checklist voor de uitrol van macOS

• Ondersteunde standaardclient is gedefinieerd: Sophos Connect of opzettelijk een OpenVPN-client.
• Sophos Connect-versie is geschikt voor macOS Ventura 13 of hoger.
• Apple Silicon-apparaten hebben Rosetta 2 in de uitrol opgenomen.
• Het profiel .ovpn is afkomstig van de huidige SSL VPN-configuratie.
• VPN Portal gebruikt een geldig certificaat.
• Gebruiker is opgenomen in het juiste SSL VPN-beleid.
• MFA-gedrag wordt gedocumenteerd en getest met een testgebruiker.
• DNS, zoekdomein en interne doelsystemen zijn getest op macOS.
• Firewallregels voor het VPN zonelogtestverkeer.
• Na profielwijzigingen is het duidelijk wie gebruikers gaat informeren over de nieuwe import.

Problemen oplossen

Sophos Connect importeert het OVPN-bestand niet

Controleer eerst of Sophos Connect 2.0 of nieuwer is geïnstalleerd en of het bestand echt uit de huidige SSL VPN-configuratie komt. Laad het bestand vervolgens opnieuw vanuit het VPN-portaal of implementeer het administratief opnieuw.

Interne namen zijn niet opgelost

Controleer DNS-servers, zoekdomeinen en SSL VPN-configuratie op de firewall. Voor Sophos Connect op macOS moet ook de clientstatus worden gecontroleerd, omdat Sophos in versie 2.0 MR1 een DNS-probleem met SSL VPN-verbindingen op macOS heeft opgelost.

Als IP-adressen werken, maar namen niet, is er sprake van een DNS- of zoekdomeinprobleem. Als IP-adressen ook niet werken, zijn routering, firewallregels of retourpad waarschijnlijker.

De verbinding is tot stand gebracht, maar interne systemen zijn niet bereikbaar

Controleer firewallregels, routing, NAT en retourpad. Verkeer uit de zone VPN moet zichtbaar zijn in de logviewer. Als er geen logboeken verschijnen, bereikt het verkeer waarschijnlijk niet de verwachte regel of is logboekregistratie uitgeschakeld.

Als kleine toegangen werken, maar grotere bestandsoverdrachten of bepaalde applicaties vastlopen, moet MTU/MSS ook worden gecontroleerd: Controleer Sophos Firewall MTU en MSS op VPN-problemen.

Verbinding werkt niet meer na profielwijziging

Na wijzigingen aan de gateway, het certificaat, de poort, DNS, het leasebereik of de authenticatie moet het .ovpn-profiel opnieuw worden geïmporteerd. Als alleen de client is bijgewerkt maar een oud profiel in gebruik blijft, kunnen oude bestemmingen, poorten of DNS-waarden nog steeds worden gebruikt.

Toegangsgegevens opslaan zijn niet zichtbaar

Sophos heeft de optie om inloggegevens op te slaan opnieuw ingeschakeld in Sophos Connect 2.0 MR1 voor macOS. Na de update moet de configuratie opnieuw worden geïmporteerd zodat de optie kan worden gebruikt. In omgevingen met MFA moet je toch controleren of het opslaan van toegangsgegevens past in het beveiligingsconcept.

Verbindingsonderbrekingen in buitenlandse netwerkenSSL VPN is vaak toleranter dan IPsec, maar is niet immuun voor beperkende netwerken, captive portals, proxy-dwang of onstabiele WLAN’s. Test in dergelijke gevallen met een tweede netwerk en kijk of split-tunnel, poort, protocol of ZTNA beter past.

Verzamel ondersteuningsgegevens

Als de fout niet onmiddellijk zichtbaar is, moet u de clientlogboeken, tijd, gebruiker, bronnetwerk en doelsysteem documenteren. Aan de kant van de firewall helpen Log Viewer, sslvpn.log, openvpn-status*.log en de juiste firewallregel parallel. De toewijzing van de logbestanden vindt u in Sophos Firewall-probleemoplossing: services en logboeken.

Veelgestelde vragen