Instalacja klienta Sophos Connect na macOS

Sophos Connect może być używany na macOS do zdalnego dostępu z Sophos Firewall. W najnowszych wersjach nie tylko IPsec jest istotny: od Sophos Connect 2.0 możliwy jest również zdalny dostęp SSL VPN na macOS. To zmieniło zalecenia dla wielu środowisk.

Artykuł opisuje instalację na macOS, import odpowiedniego połączenia i najważniejsze kontrole po nawiązaniu połączenia. Dla podstawowej decyzji między Sophos Connect, SSL VPN, klientami OpenVPN i ZTNA, zobacz Sophos Connect czy SSL VPN: Które rozwiązanie zdalnego dostępu jest odpowiednie?.

Który artykuł jest odpowiedni?

Sophos Connect na macOS szybko pokrywa się z innymi artykułami o zdalnym dostępie. W zależności od zadania, inny punkt startowy może być lepszy:

• Instalacja Sophos Connect na macOS: Ten artykuł.
• Konfiguracja SSL VPN na macOS z .ovpn: Konfiguracja Sophos SSL VPN z Sophos Connect na macOS.
• Przygotowanie Sophos Connect na zaporze: Konfiguracja Sophos Connect na Sophos Firewall.
• Planowanie wersji klienta, aktualizacji i utrzymania profilu: Sprawdzenie wersji klienta Sophos Connect i bezpieczna aktualizacja.
• VPN jest połączony, ale ruch nie działa: Testowanie reguły zapory z Log Viewer, Policy Test i Packet Capture.

To rozdzielenie jest ważne, ponieważ instalacja klienta to tylko część operacji zdalnego dostępu. Reguły zapory, DNS, MFA, certyfikaty, portal VPN i dystrybucja profilu pozostają osobnymi punktami kontrolnymi.

Wymagania

• Sophos Firewall z skonfigurowanym zdalnym dostępem
• Klient Sophos Connect w wersji odpowiedniej do zapory i platformy
• Dla Sophos Connect 2.0 lub nowszego: macOS Ventura 13 lub nowszy
• Mac z procesorem Intel lub Apple Silicon przez Rosetta 2
• Plik konfiguracyjny dla IPsec (.scx lub .tgb) lub SSL VPN (.ovpn)
• Konto użytkownika z uprawnieniami VPN i, jeśli aktywowane, działające MFA
• Reguły zapory dla ruchu z VPN-strefy lub używanej strefy zdalnego dostępu

Jeśli ma być używane SSL VPN na macOS, należy zastosować Sophos Connect 2.0 lub nowszy. W przypadku starszych wewnętrznych instrukcji należy sprawdzić, czy nadal opierają się na wcześniejszej sytuacji tylko z IPsec. Dla sprawdzenia wersji, planowania aktualizacji i typowych problemów z DNS/profilami, zobacz Sprawdzenie wersji klienta Sophos Connect i bezpieczna aktualizacja.

Ważne: Dla macOS nie jest udokumentowane wsparcie dla plików provisioning. Dlatego dla macOS należy planować z importowanym plikiem konfiguracyjnym IPsec lub plikiem .ovpn. Jeśli wdrożenie ma być całkowicie zautomatyzowane, należy wcześniej sprawdzić, czy używane MDM może poprawnie odwzorować procesy plików i użytkowników.

1. Pobierz klienta Sophos Connect

Klient Sophos Connect dla macOS może być pobrany w zależności od środowiska przez zaporę, portal VPN lub stronę pobierania Sophos. W zarządzanych środowiskach powinno być określone, która wersja klienta jest dystrybuowana i skąd użytkownicy otrzymują odpowiedni plik konfiguracyjny.

Dla IPsec zazwyczaj używa się pliku .scx lub .tgb. Dla SSL VPN importuje się plik .ovpn. Który plik jest poprawny, zależy od konfiguracji zdalnego dostępu na zaporze.

• Zdalny dostęp IPsec: .scx lub .tgb. używany z Sophos Connect na Intel i Apple Silicon.
• SSL VPN: .ovpn. wymagana wersja Sophos Connect 2.0 lub nowsza.
• Provisioning: .pro. nie planować jako standard dla macOS.

W klasycznej konfiguracji Sophos-Connect-IPsec połączenie eksportuje się w WebAdmin:

1. Otwórz VPN > Sophos Connect Client na Sophos Firewall.
2. Eksportuj połączenie.
3. Bezpiecznie przechowuj plik i udostępniaj tylko uprawnionym użytkownikom.

W zależności od źródła pobierania, instalator znajduje się w pliku Zip. Po rozpakowaniu zazwyczaj znajduje się pakiet Sophos Connect.pkg dla macOS.

Dla zarządzanych Maców nie należy szeroko dystrybuować instalatora bez grupy pilotażowej. Najpierw należy przetestować co najmniej jeden Mac z procesorem Intel i jeden z Apple Silicon, jeśli obie platformy są obecne w firmie.

2. Zainstaluj klienta Sophos Connect

Instalacja rozpoczyna się podwójnym kliknięciem na Sophos Connect.pkg. Po zakończeniu kreatora instalacji można zamknąć okno za pomocą Zamknij.

Na urządzeniach z Apple Silicon może być wymagana Rosetta 2. Jeśli macOS wyświetli odpowiedni komunikat podczas instalacji, należy zainstalować Rosetta 2 i ponownie uruchomić klienta.

Po instalacji należy bezpośrednio sprawdzić wersję w kliencie. Jest to szczególnie ważne, jeśli wewnętrznie krążyło kilka pakietów instalacyjnych lub jeśli użytkownicy wcześniej zainstalowali klienta.

3. Pobierz plik połączenia

Przy pierwszym uruchomieniu Sophos Connect wymaga konfiguracji połączenia. Ten plik powinien pochodzić z aktualnej konfiguracji zapory i nie być ponownie używany z archiwum użytkownika.

Typowe pliki połączeń:

• Zdalny dostęp IPsec: .scx lub .tgb. Eksport pod VPN > Sophos Connect Client.
• SSL VPN: .ovpn. Portal VPN lub eksport administracyjny.

Jeśli przed aktualizacją do SFOS-22-MR1 wciąż są używane stare konfiguracje zdalnego dostępu IPsec, nie należy po prostu dalej dystrybuować starego profilu. W takim przypadku najpierw sprawdź Migracja Legacy Remote Access IPsec przed SFOS 22 MR1.

Profile powinny być traktowane jak dane dostępowe. Stary plik .ovpn, .scx lub .tgb może nadal zawierać wewnętrzne sieci, nazwy bram, certyfikaty lub odniesienia do użytkowników. Jeśli zmieniono bramę, certyfikat, DNS, grupę użytkowników, pulę IP lub uwierzytelnianie, profil powinien zostać ponownie wyeksportowany i zaimportowany.

4. Skonfiguruj klienta Sophos Connect

Konfiguracja klienta Sophos Connect jest prosta:

1. Otwórz Sophos Connect.
2. Wybierz Import Connection.
3. Zaimportuj odpowiedni plik połączenia.
4. Sprawdź połączenie w Connections.
5. Kliknij Connect.
6. Zaloguj się jako użytkownik VPN i potwierdź MFA, jeśli aktywowane.

Po pomyślnym nawiązaniu połączenia należy dodatkowo sprawdzić, czy wewnętrzne nazwy DNS są rozwiązywane i czy potrzebne systemy są osiągalne. Jeśli połączenie jest nawiązane, ale ruch nie płynie, pomocne są Log Viewer, Policy Test i Packet Capture. Odpowiednia instrukcja to Testowanie reguły zapory z Log Viewer, Policy Test i Packet Capture.

W przypadku SSL VPN na macOS test DNS jest szczególnie ważny. Sophos Connect 2.0 MR1 rozwiązuje problem, w którym ustawienia DNS dla połączeń SSL VPN na macOS nie były poprawnie stosowane. Jeśli wewnętrzne nazwy nie są rozwiązywane, należy najpierw sprawdzić wersję i stan profilu, zanim ślepo dostosuje się reguły DNS.

IPsec z narzędziami macOS

W zależności od konfiguracji zapory, zdalny dostęp IPsec może być również skonfigurowany za pomocą narzędzi macOS. To osobny model operacyjny i nie powinien być mylony z Sophos Connect. Może być użyteczny, jeśli nie jest pożądane dodatkowe oprogramowanie klienckie, ale nie pasuje do każdego środowiska.

Praktyczny przebieg, jeśli ta opcja jest świadomie używana:

1. Zaloguj się do User Portal Sophos Firewall.
2. Pobierz odpowiednią konfigurację IPsec dla urządzeń Apple.
3. Otwórz i zainstaluj profil na Macu.
4. Sprawdź połączenie w ustawieniach sieciowych macOS.
5. Przetestuj połączenie i zweryfikuj wewnętrzne cele.

Jeśli Sophos Connect i narzędzia macOS są używane równolegle, powinno to być świadomie udokumentowane. W przeciwnym razie mogą powstać przypadki wsparcia, w których użytkownicy mówią “VPN”, ale mają na myśli różne profile, protokoły i zachowania DNS.

Sprawdzenie po instalacji

Po instalacji należy sprawdzić następujące punkty:

• Wersja Sophos Connect pasuje do używanej wersji macOS.
• Na Apple Silicon dostępna jest Rosetta 2, jeśli klient jej potrzebuje.
• Zaimportowany plik odpowiada żądanemu protokołowi: IPsec lub SSL VPN.
• Użytkownik ma uprawnienia w odpowiedniej grupie VPN.
• MFA działa i jest zrozumiale wymagane.
• Klient otrzymuje odpowiednie VPN-IP.
• Wewnętrzne nazwy DNS są rozwiązywane.
• Reguły zapory dla strefy VPN pozwalają tylko na potrzebne cele.

Test akceptacyjny dla macOS

Zielony status połączenia nie wystarcza jako akceptacja. Dla solidnego wdrożenia testowy użytkownik powinien przejść przez te punkty:

• Sprawdzenie wersji klienta: Wersja pasuje do macOS, IPsec lub SSL VPN i wewnętrznej zgody.
• Sprawdzenie Apple Silicon: Rosetta 2 jest dostępna i Sophos Connect uruchamia się niezawodnie.
• Import profilu: właściwy plik dla IPsec lub SSL VPN jest akceptowany.
• Test MFA: Logowanie wymaga oczekiwanego drugiego czynnika.
• Test DNS: wewnętrzne FQDN są poprawnie rozwiązywane.
• Test dostępu: dozwolone serwery działają, niedozwolone cele pozostają zablokowane.
• Sprawdzenie Log Viewer: Ruch z strefy VPN trafia na oczekiwaną regułę zapory.
• Test ponownego połączenia: Rozłączenie, zmiana sieci i ponowne połączenie działają.

W mieszanych środowiskach należy przetestować co najmniej jeden Mac z procesorem Intel i jeden z Apple Silicon. Jeśli dodatkowo używane są klienci Windows, nie należy zakładać, że zachowanie jest takie samo. Platforma, typ profilu i wersja klienta mogą się różnić.

Wskazówki dotyczące wdrożenia dla zarządzanych Maców

W przypadku niewielu użytkowników często wystarcza ręczna instalacja z kontrolowanym importem profilu. W większych środowiskach Sophos Connect powinien być traktowany jak inne oprogramowanie klienckie związane z bezpieczeństwem.

Przed szerokim wdrożeniem należy wyjaśnić:

• Która wersja Sophos Connect jest zatwierdzona?
• Jakie wersje macOS są używane?
• Czy są używane Maci z procesorem Intel, Apple Silicon, czy oba?
• Czy używane jest IPsec, SSL VPN, czy oba?
• Skąd użytkownicy otrzymują aktualny profil?
• Kto informuje użytkowników, gdy profile muszą być ponownie zaimportowane?
• Jak helpdesk rozpoznaje przestarzałe profile?
• Czy portal VPN, MFA i certyfikaty są monitorowane osobno?

Stare pakiety instalacyjne i stare profile powinny być usunięte z wewnętrznych repozytoriów pobierania lub wyraźnie oznaczone jako przestarzałe. Zwłaszcza w przypadku zdalnego dostępu “jakikolwiek stary profil z folderu pobierania” szybko prowadzi do niepotrzebnego poszukiwania błędów.

Rozwiązywanie problemów

Połączenie jest importowane, ale nie nawiązywane

Najpierw sprawdź, czy plik należy do właściwego protokołu i czy wersja Sophos Connect jest dla niego odpowiednia. SSL VPN na macOS wymaga Sophos Connect 2.0 lub nowszego. Następnie sprawdź uprawnienia użytkownika, MFA, certyfikat, bramę, czas zapory i osiągalny FQDN portalu VPN lub bramy.

Wewnętrzne nazwy nie są rozwiązywane

W przypadku SSL VPN na macOS należy sprawdzić używaną wersję Sophos Connect, ponieważ w tym obszarze były konkretne poprawki błędów. Następnie sprawdź serwery DNS, domeny wyszukiwania, zaimportowany profil i reguły zapory.

Jeśli adresy IP działają, ale nazwy nie, prawdopodobnie problem dotyczy DNS. Jeśli również adresy IP nie działają, bardziej prawdopodobne są problemy z routingiem, regułami zapory, NAT lub ścieżką powrotną.

Połączenie jest nawiązane, ale żaden dostęp nie działa

Przyczyną są często reguły zapory, routing, NAT lub ścieżka powrotna. W Log Viewer powinno być widoczne, czy ruch z strefy VPN trafia na oczekiwaną regułę. Dla szczególnych przypadków IPsec pasuje Rozwiązywanie problemów z IPsec VPN w Sophos Firewall.

Po zmianie profilu połączenie nie działa

Po zmianach w bramie, certyfikacie, porcie, DNS, puli IP, grupie użytkowników lub uwierzytelnianiu profil powinien być ponownie wyeksportowany i zaimportowany. Aktualizacja klienta nie zastępuje automatycznie starego profilu.

Zapisywanie danych dostępowych nie jest widoczne

Sophos ponownie aktywował tę opcję dla SSL VPN na macOS w Sophos Connect 2.0 MR1. Po aktualizacji plik konfiguracyjny musi być ponownie zaimportowany, aby można było korzystać z tej opcji. W środowiskach z MFA należy dodatkowo sprawdzić, czy zapisywanie danych dostępowych pasuje do koncepcji bezpieczeństwa.

Połączenie jest nawiązane, ale duże transfery się zawieszają

Jeśli logowanie, DNS i małe dostępy działają, ale większe transfery plików lub określone aplikacje się zawieszają, należy dodatkowo sprawdzić MTU/MSS. Obraz błędu często pasuje do fragmentacji, PPPoE, połączeń tunelowanych lub asymetrycznej ścieżki. Procedura jest opisana w Sprawdzenie MTU i MSS w przypadku problemów z VPN w Sophos Firewall.

Zbieranie danych wsparcia

Jeśli błąd nie jest bezpośrednio widoczny, należy udokumentować czas, użytkownika, wersję macOS, wersję Sophos Connect, typ profilu, sieć źródłową i system docelowy. Na zaporze pomocne są Log Viewer, sslvpn.log, logi IPsec, Packet Capture i dotknięta reguła zapory. Przypisanie plików logów jest opisane w Rozwiązywanie problemów z usługami i logami w Sophos Firewall.

FAQ