Instalacja klienta Sophos Connect na macOS

Sophos Connect 2.1 dla macOS obsługuje IPsec i SSL VPN na komputerach Mac z procesorem Intel oraz Apple Silicon od macOS 14. Na Apple Silicon ta wersja działa natywnie. Instalator pobiera się z VPN Portal własnej organizacji przez VPN > Download for macOS; adres portalu i odpowiedni profil połączenia udostępnia dział IT.

Po instalacji importuje się plik .scx dla IPsec albo .ovpn dla SSL VPN. Od wersji 2.1 dział IT może zamiast tego udostępnić plik .pro do automatycznego pobierania profili. Artykuł prowadzi przez pobieranie, instalację, import profilu i późniejsze kontrole. W wyborze między Sophos Connect, SSL VPN, klientami OpenVPN i ZTNA pomoże artykuł Sophos Connect czy SSL VPN: które rozwiązanie zdalnego dostępu wybrać?.

Który artykuł wybrać?

Zakres artykułów o Sophos Connect na macOS częściowo się pokrywa. W zależności od zadania lepszy może być inny punkt wyjścia:

• Instalacja Sophos Connect na macOS: ten artykuł.
• Konfiguracja SSL VPN na macOS z plikiem .ovpn: Konfiguracja Sophos SSL VPN z Sophos Connect na macOS.
• Przygotowanie Sophos Connect na zaporze: Konfiguracja Sophos Connect na Sophos Firewall.
• Planowanie wersji klienta, aktualizacji i utrzymania profili: Sprawdzanie wersji i bezpieczna aktualizacja Sophos Connect Client.
• Diagnozowanie błędów importu, logowania lub połączenia: Rozwiązywanie problemów z Sophos Connect Client.
• VPN jest połączony, ale ruch nie działa: Testowanie reguły zapory za pomocą Log Viewer, Policy Test i Packet Capture.

To rozróżnienie jest ważne, ponieważ instalacja klienta jest tylko jednym z elementów obsługi zdalnego dostępu. Reguły zapory, DNS, MFA, certyfikaty, VPN Portal i dystrybucja profili pozostają odrębnymi punktami kontroli.

Wymagania

• Sophos Firewall ze skonfigurowanym zdalnym dostępem
• klient Sophos Connect w wersji zgodnej z zaporą i platformą
• Mac z procesorem Intel lub Apple Silicon i wersją macOS zgodną z wersją klienta; zestawienie poniżej
• plik konfiguracyjny IPsec (.scx) albo SSL VPN (.ovpn), ewentualnie plik .pro udostępniony przez dział IT od wersji klienta 2.1
• brak równolegle zainstalowanego starego klienta Sophos SSL VPN Client
• konto użytkownika z uprawnieniami VPN oraz działającym MFA, jeśli jest włączone
• reguły zapory dla ruchu ze strefy VPN lub używanej strefy zdalnego dostępu

Która wersja pasuje do Maca?

Według stanu na 21 października 2026 r. informacje o wydaniach Sophos wymieniają Sophos Connect 2.1 dla macOS z 6 października 2026 r. jako aktualne wydanie dla Maca. Wyższy numer wersji Windows 2.5 MR1 nie jest wersją pakietu macOS.

• 2.1 od macOS 14 Sonoma: Intel i Apple Silicon; na Apple Silicon natywna obsługa ARM. Obsługiwane są IPsec i SSL VPN, provisioning .pro oraz Microsoft Entra ID SSO. Logowanie SSO w przeglądarce systemowej wymaga dodatkowo SFOS 22.0 MR3 lub nowszego.
• Linia 2.0 od macOS 13 Ventura: IPsec i SSL VPN z ręcznym importem profilu; Apple Silicon przez Rosetta 2. Ostatnia wymieniona wersja serwisowa to 2.0 MR1 z 21 maja 2026 r. Natywna obsługa ARM, provisioning .pro i Entra ID SSO nie są w niej dostępne.
• Przed wersją 2.0: klient macOS obsługuje tylko IPsec. Te starsze pakiety nie nadają się do SSL VPN.

Przed instalacją sprawdzić numer wersji faktycznie udostępnianego pakietu macOS. Ogłoszenie wydania nie dowodzi, że własna zapora już udostępnia ten pakiet ani że połączenie klienta, macOS i profilu VPN zostało zatwierdzone do użytku w danym środowisku. Sprawdzanie wersji i kontrolowany powrót do poprzedniej wersji opisuje Bezpieczna aktualizacja Sophos Connect.

Apple Silicon i aktualizacje macOS

Rosetta nie jest ogólnym wymaganiem dla natywnego klienta 2.1. Pozostaje natomiast zależnością nadal używanego klienta 2.0: ogólna dostępność Rosetty nie oznacza zatwierdzenia konkretnego instalatora ani działania VPN na macOS 27. Również zatwierdzenie Sophos Endpoint nie stanowi potwierdzenia dla Sophos Connect.

Przed aktualizacją macOS sprawdzić na urządzeniu pilotażowym instalację, rzeczywiście używany profil IPsec lub SSL VPN, MFA, rozwiązywanie wewnętrznych nazw DNS i ponowne połączenie. Dopóki test nie zakończy się pomyślnie, odłożyć aktualizację urządzeń zależnych od VPN. Na macOS 28 nie planować używania klienta Intel z linii 2.0, lecz odpowiednio wcześnie zatwierdzić natywną lub inną obsługiwaną metodę VPN. Ta instrukcja nie dokumentuje przeprowadzonego testu na urządzeniu.

1. Pobierz klienta Sophos Connect

W SFOS 22 administrator pobiera klienta Sophos Connect dla macOS w WebAdmin z Remote access VPN > IPsec > Download client albo Remote access VPN > SSL VPN > Download client. Użytkownicy otwierają natomiast VPN Portal, domyślnie pod adresem https://<FQDN-zapory>:443, i wybierają VPN > Download for macOS. Aktualny klient jest dostępny w VPN Portal; pakiet w WebAdmin jest aktualny, jeśli Pattern updates są aktualizowane automatycznie w Backup & Firmware > Pattern updates.

Istniejąca strona pobierania Sophos jest stroną dla UTM. W instalacji SFOS źródłem pakietu powinny być WebAdmin lub VPN Portal. W środowisku zarządzanym należy również określić zatwierdzoną wersję klienta i miejsce pobierania właściwego pliku konfiguracyjnego.

Wybór pliku zależy od połączenia skonfigurowanego na zaporze:

• IPsec: bezpośrednio zaimportować .scx.
• SSL VPN: bezpośrednio zaimportować własny .ovpn; wymagany Sophos Connect 2.0 lub nowszy.
• Automatyczne pobieranie profili od wersji klienta macOS 2.1: dział IT udostępnia .pro. Plik pobiera przez VPN Portal profile IPsec i SSL VPN, do których użytkownik ma uprawnienia, oraz późniejsze zmiany; sam nie jest profilem tunelu. Klient macOS 2.0 nadal wymaga bezpośredniego importu i ręcznych aktualizacji. Procedurę opisuje Provisioning Sophos Connect z plikiem .pro.

W SFOS 22 profile pobiera się z następujących miejsc:

1. IPsec: otwórz Remote access VPN > IPsec > Export connection. Archiwum zawiera pliki .scx i .tgb; rozpowszechniaj zalecany przez Sophos dla Sophos Connect plik .scx.
2. SSL VPN: w VPN Portal otwórz VPN > VPN configuration > SSL VPN configuration i wybierz Download configuration for Windows, macOS, Linux. Dla Sophos Connect użyj Use with Sophos Connect and OpenVPN Connect v2 clients; Use with OpenVPN Connect v3 clients jest przeznaczone dla OpenVPN Connect 3, nie dla Sophos Connect. Pobierz plik .ovpn. Pobieranie nie pojawi się bez odpowiedniej polityki SSL VPN przypisanej do użytkownika.
3. Zapisz plik w bezpiecznym miejscu i udostępnij go wyłącznie docelowemu użytkownikowi.

Nazwa aktualnego pakietu ma postać SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Pakiet z członem (IPsec) w nazwie należy do starszej linii dla macOS i nie obsługuje SSL VPN.

Na zarządzanych Macach nie należy rozpowszechniać instalatora na szeroką skalę bez wcześniejszego pilotażu. Jeśli w firmie występują obie platformy, należy najpierw przetestować co najmniej jeden komputer Mac z procesorem Intel i jeden z Apple Silicon.

2. Zainstaluj klienta Sophos Connect

Przed instalacją trzeba usunąć istniejącego starego klienta Sophos SSL VPN Client. Instrukcja instalacji wyklucza równoległe używanie innego klienta VPN, natomiast ogólny poradnik rozwiązywania problemów nadal opisuje odmienną kolejność instalacji starego klienta SSL VPN. Nie oznacza to ogólnego dopuszczenia równoległego używania klientów; jeśli konieczny jest szczególny przypadek z użyciem starszego klienta, uzgodnij konkretną kombinację z Sophos. Aktualna instrukcja aktualizacji wymienia pobranie i instalację nowego pakietu, ale nie nakłada ogólnego obowiązku wcześniejszej dezinstalacji. Opisaną tutaj procedurę usuwania i ponownej instalacji stosuj wyłącznie jako kontrolowaną, zatwierdzoną dla wersji docelowej procedurę serwisową lub powrotu do poprzedniej wersji, a nie jako obowiązkowy warunek każdej aktualizacji.

Uruchom instalację, klikając dwukrotnie pakiet SophosConnect_x.x_(IPsec_and_SSLVPN).pkg; x.x oznacza zatwierdzoną wersję. Sprawdź miejsce instalacji i ilość wolnego miejsca, kliknij Install, a następnie zakończ kreator przyciskiem Finish.

Na urządzeniach z Apple Silicon Sophos Connect 2.0 wymaga Rosetty 2; od 2.1 ARM jest obsługiwany natywnie. Rosetta nie jest więc ogólnym wymaganiem dla 2.1. Jeśli macOS wyświetli odpowiedni komunikat podczas korzystania z zatwierdzonego instalatora 2.0, zainstaluj Rosettę 2, a następnie ponownie uruchom klienta. Na macOS 27 nie zakładaj, że Rosetta zainstalowana przed aktualizacją zostanie automatycznie przywrócona ani że konkretny pakiet instalacyjny będzie działał bez zmian. Dla obu linii klienta sprawdź instalację i połączenie VPN w pilotażu.

Po instalacji od razu sprawdź wersję w kliencie. Jest to szczególnie ważne, jeśli w organizacji krążyło kilka pakietów instalacyjnych albo użytkownicy mieli już wcześniej zainstalowanego klienta.

3. Pobierz plik połączenia

Przy pierwszym uruchomieniu Sophos Connect wymaga konfiguracji połączenia. Plik powinien pochodzić z aktualnej konfiguracji zapory, a nie ze starego archiwum użytkownika.

Typowe pliki połączeń:

• IPsec Remote Access: .scx; eksport z aktualnej konfiguracji Remote Access IPsec.
• SSL VPN: .ovpn; pobrany z VPN Portal albo wyeksportowany przez administratora.
• Provisioning od 2.1: .pro; udostępniona przez dział IT metoda pobierania profili, do których użytkownik ma uprawnienia.

Jeżeli przed aktualizacją do SFOS 22 MR1 nadal są używane stare konfiguracje Remote Access IPsec, nie należy dalej rozpowszechniać starego profilu. Najpierw przeczytaj artykuł Migracja Legacy Remote Access IPsec przed aktualizacją do SFOS 22 MR1.

Profile należy traktować jak dane dostępowe. Stary plik .ovpn lub .scx może nadal zawierać informacje o sieciach wewnętrznych, nazwach bram, certyfikatach lub użytkownikach. Po zmianie bramy, certyfikatu, DNS, grupy użytkowników, puli adresów IP albo uwierzytelniania profil należy ponownie wyeksportować i zaimportować.

W przypadku SSL VPN plik .ovpn jest przypisany do użytkownika: zawiera unikatowy certyfikat użytkownika i klucz prywatny, dlatego nie wolno rozpowszechniać go jako wspólnego profilu zespołu. Natomiast plik .pro przed importem zawiera metadane provisioningu i sam w sobie nie jest przypisany do użytkownika; nie jest tym samym co profil SSL VPN i certyfikaty generowane podczas importu. Tych wygenerowanych profili ani kluczy prywatnych również nie wolno współdzielić między użytkownikami.

Dla SFOS 22 Sophos dokumentuje powiązanie zaimportowanego profilu SSL VPN z tożsamością użytkownika, domeną i metodą uwierzytelniania. Przy zmianie na przykład z uwierzytelniania lokalnego na Active Directory należy pobrać i zaimportować osobną konfigurację .ovpn albo wygenerować właściwy profil SSL przez osobny import .pro. Według tej dokumentacji SFOS 22 ponowne użycie zaimportowanego profilu z inną metodą lub domeną może powodować Login failed. Wrong fingerprint of certificate. To udokumentowane powiązanie SSL nie dotyczy profili IPsec .scx.

Dla SFOS 23 zachowanie podczas działania pozostaje niewyjaśnione: odpowiedniej sekcji nie ma w porównanej tutaj instrukcji Sophos. Nie potwierdza to ani złagodzenia zasad ponownego użycia, ani niezmienionego powiązania. Do uzyskania potwierdzenia dla konkretnej wersji nadal pobieraj i importuj osobne profile SSL dla zamierzonej tożsamości, metody i domeny. Jest to środek ostrożności, a nie zweryfikowana reguła działania SFOS 23; nie omijaj weryfikacji certyfikatów.

Podczas migracji z klienta innej firmy można zaimportować do Sophos Connect istniejące zgodne pliki konfiguracyjne. Dla IPsec najpierw przygotuj ustawienia zaawansowane na zaporze i udostępnij aktualny plik .scx albo, od klienta macOS 2.1, odpowiedni plik .pro: pozwala to przekazać również ustawienia nieobsługiwane przez klienty innych firm. Sama aktualizacja wersji klienta nie unieważnia automatycznie istniejących plików; zmiany na zaporze należy rozpatrywać osobno.

4. Skonfiguruj klienta Sophos Connect

Konfiguracja klienta Sophos Connect wymaga tylko kilku kroków:

1. Otwórz Sophos Connect.
2. Wybierz Import connection.
3. Zaimportuj odpowiedni plik połączenia.
4. Sprawdź połączenie w sekcji Connections.
5. Kliknij Connect.
6. Zaloguj się jako użytkownik VPN i potwierdź MFA, jeśli jest włączone.

Po pomyślnym zestawieniu połączenia sprawdź również, czy rozwiązywane są wewnętrzne nazwy DNS i czy wymagane systemy są osiągalne. Jeżeli połączenie jest aktywne, ale ruch nie przepływa, użyj Log Viewer, Policy Test i Packet Capture. Szczegółową procedurę opisuje artykuł Testowanie reguły zapory za pomocą Log Viewer, Policy Test i Packet Capture.

W przypadku SSL VPN na macOS test DNS jest szczególnie ważny. Sophos Connect 2.0 MR1 usunął błąd, przez który ustawienia DNS dla połączeń SSL VPN na macOS nie były stosowane prawidłowo. Jeśli nazwy wewnętrzne nie są rozwiązywane, najpierw sprawdź wersję klienta i aktualność profilu, zanim zaczniesz zmieniać reguły DNS.

Przy SSL VPN z wieloma bramami w pliku .ovpn Sophos Connect próbuje wpisów w odwrotnej kolejności priorytetów; bramy Dynamic DNS mają pierwszeństwo przed bramami z adresem IP WAN. Jeśli próba się nie powiedzie, klient próbuje kolejnej dostępnej bramy w tej kolejności. Przy nieoczekiwanym wyborze bramy porównaj aktualny plik z celami rzeczywiście próbowanymi w zdarzeniach klienta, zamiast zakładać, że pierwszy wpis jest preferowany.

Microsoft Entra ID SSO na macOS (Sophos Connect 2.1): przeglądarka i powrót do klienta

Entra ID SSO dla IPsec, SSL VPN i provisioningu jest udokumentowane od Sophos Connect 2.1 dla macOS; macOS 2.0 nie obsługuje tej procedury klienta. Przed rozpoczęciem sprawdź odpowiednią konfigurację Entra ID na firewallu, metody uwierzytelniania oraz Redirect URI. Na macOS 14+ używaj zatwierdzonej wersji pakietu 2.1. Wybór przeglądarki zależy od konfiguracji połączenia lub provisioningu, a nie wyłącznie od systemu operacyjnego. Uwierzytelnianie w przeglądarce systemowej i automatyczne przełączenie do niej wymagają SFOS 22.0 MR3 lub nowszego. Przed rozpoczęciem takiej procedury uzgodnić z działem IT wersję zapory; starsza wersja nie spełnia tego wymagania.

Przed użyciem Entra ID SSO sprawdź, czy VPN Portal, polityka SSL VPN i konfiguracja Microsoft Entra ID korzystają z wymaganego serwera uwierzytelniania.

1. W Sophos Connect wybierz właściwe połączenie, użyj logowania SSO i uruchom Connect. Dokończ logowanie w przeglądarce otwartej przez Sophos Connect, włącznie z wymaganym MFA lub sprawdzeniem zgodności. Logowanie do portalu otwarte niezależnie nie zastępuje tej procedury klienta.
2. Jeśli brakuje sso_auth_browser_type lub ma on wartość auto, Sophos Connect rozpoczyna logowanie we wbudowanej przeglądarce. Jeśli nie można w niej dokończyć logowania z powodu wymagań Conditional Access, klient automatycznie przełącza się na domyślną przeglądarkę systemową i ponawia próbę logowania. Dokończ w niej logowanie, a następnie wróć do Sophos Connect.
3. Przy embedded używana jest wyłącznie wbudowana przeglądarka: bez automatycznego przełączenia awaryjnego. Jeśli logowanie nie powiedzie się z powodu Conditional Access, poproś dział IT o zatwierdzony plik provisioningu z system i spróbuj ponownie. Przy system używana jest wyłącznie przeglądarka systemowa; po zalogowaniu wróć do Sophos Connect.
4. Bezpośrednio zaimportowane profile .ovpn lub .scx zachowują się jak auto: najpierw używana jest wbudowana przeglądarka, a następnie, przy odpowiednich wymaganiach Conditional Access, automatycznie przeglądarka systemowa. Jeśli wymagane przełączenie przeglądarki nie następuje i błąd nadal występuje, poproś dział IT o zatwierdzony plik .pro z sso_auth_browser_type ustawionym na system. Schemat provisioningu i dozwolone wartości opisuje Provisioning Sophos Connect; nie wymyślaj ręcznych zmian w .ovpn ani .scx jako sposobu konfiguracji przeglądarki.

Błąd zgodności nie jest poleceniem osłabienia zasad bezpieczeństwa. Wykonaj wymagane działania zapewniające zgodność lub skontaktuj się z działem IT. Nie wyłączaj Conditional Access, MFA ani weryfikacji certyfikatów, aby wymusić logowanie. Dopiero po powrocie do klienta sprawdź stan tunelu, adres IP VPN, DNS i dostęp. Procedura Windows i dystrybucja przez GPO Windows nie stanowią potwierdzenia działania na macOS.

Ręcznie importowane profile .ovpn lub .scx nie pobierają automatycznie późniejszych zmian polityk. Auto-connect i Update policy wymagają provisioningu: w Windows ze zgodnym klientem, a w macOS od 2.1, nie z 2.0. auto_connect_host włącza Auto-connect; Update policy jest dostępne po pierwszym udanym połączeniu. Rename, Clear credentials i Delete pozostają osobnymi działaniami; po Delete profile ręczne wymagają ponownego importu.

Na współdzielonych Macach najpierw rozłącz tunel, następnie otwórz menu Sophos Connect w prawym górnym rogu, wybierz Force SSO re-login i potwierdź przyciskiem OK. Usuwa to pliki cookie przeglądarki wbudowanej, nie przeglądarki systemowej. Jeśli ta nadal używa poprzedniej tożsamości, usuń wyłącznie pliki cookie odpowiednich domen Microsoft Entra ID lub bramy VPN. Może to wylogować także inne sesje w tych domenach; nie usuwaj bez potrzeby wszystkich danych przeglądarki.

W pilotażu sprawdź, czy następny użytkownik może zestawić tunel dopiero po zalogowaniu się przy użyciu własnej tożsamości Microsoft Entra ID. Istniejąca sesja SSO ani samo rozłączenie tunelu nie potwierdzają bezpiecznej zmiany użytkownika. Po usunięciu plików cookie sesję przywraca się przez ponowne logowanie, nie przez odtworzenie plików cookie innej osoby.

Jeśli zapisane hasło powoduje automatyczne logowanie i ukrywa wybór SSO, użyj Edit connection > Clear credentials. Opcje pojawią się ponownie przy następnym Connect. Usuwa to zapisane dane logowania, nie uprawnienia VPN, i jest inną czynnością niż Force SSO re-login. Port VPN Portal w kliencie zmieniaj tylko na nową wartość podaną przez administratora: SSO również korzysta z tego portu.

Kontrola po instalacji

Po instalacji sprawdź następujące punkty:

• Wersja Sophos Connect jest zgodna z używaną wersją macOS.
• Na Apple Silicon Sophos Connect rzeczywiście się uruchamia i przechodzi pełny pilotaż VPN; dla 2.0 sprawdź Rosettę, a dla 2.1 natywne wykonywanie ARM oraz rzeczywiste okna dialogowe instalacji.
• Zaimportowany plik odpowiada właściwemu protokołowi: IPsec albo SSL VPN.
• Użytkownik należy do odpowiedniej grupy uprawnionej do VPN.
• MFA działa i jest wywoływane w zrozumiały sposób.
• Klient otrzymuje właściwy adres IP VPN.
• Wewnętrzne nazwy DNS są rozwiązywane.
• Reguły zapory dla strefy VPN zezwalają wyłącznie na wymagane cele.

Test odbiorczy na macOS

Zielony status połączenia nie wystarcza do odbioru. Przed wdrożeniem produkcyjnym użytkownik testowy powinien wykonać następujące czynności:

1. Sprawdzenie wersji klienta: wersja jest zgodna z macOS, protokołem IPsec lub SSL VPN oraz wewnętrznymi wymaganiami.
2. Sprawdzenie Apple Silicon: Sophos Connect uruchamia się na faktycznie używanej wersji macOS. Dla 2.0 sprawdź wymagania dotyczące Rosetty, a dla 2.1 natywne wykonywanie ARM; sam udany start nie zastępuje testu połączenia.
3. Import profilu: właściwy plik dla IPsec albo SSL VPN zostaje zaakceptowany.
4. Test MFA: podczas logowania wymagany jest oczekiwany drugi składnik.
5. Test DNS: wewnętrzne nazwy FQDN są prawidłowo rozwiązywane.
6. Test dostępu: dozwolone serwery są osiągalne, a niedozwolone cele pozostają zablokowane.
7. Kontrola w Log Viewer: ruch ze strefy VPN trafia do oczekiwanej reguły zapory.
8. Test ponownego połączenia: rozłączenie, zmiana sieci i ponowne zestawienie połączenia działają prawidłowo.
9. Test Entra SSO od 2.1: udokumentuj używany tryb przeglądarki, wymagane przełączenie awaryjne, pełne logowanie w przeglądarce i powrót do Sophos Connect. Urządzenie niespełniające wymagań zgodności pozostaje zablokowane; zapewnij zgodność lub skontaktuj się z działem IT, nie osłabiaj Conditional Access.

W środowisku mieszanym należy przetestować co najmniej jeden komputer Mac z procesorem Intel i jeden z Apple Silicon. Jeśli używane są również klienty Windows, nie należy zakładać identycznego działania. Platforma, typ profilu i wersja klienta mogą się różnić.

Wskazówki dotyczące wdrożenia na zarządzanych Macach

Przy niewielkiej liczbie użytkowników często wystarcza instalacja ręczna z kontrolowanym importem profilu. W większym środowisku Sophos Connect należy traktować tak samo jak inne oprogramowanie klienckie związane z bezpieczeństwem.

Przed wdrożeniem na szeroką skalę ustal:

• Która wersja Sophos Connect jest zatwierdzona?
• Jakie wersje macOS są używane?
• Czy środowisko obejmuje komputery Mac z procesorem Intel, Apple Silicon, czy oba typy?
• Czy używany jest IPsec, SSL VPN, czy oba protokoły?
• Skąd użytkownicy otrzymują aktualny profil?
• Kto informuje użytkowników o konieczności ponownego importu profilu?
• Jaka procedura aktualizacji jest zatwierdzona dla wersji wyjściowej i docelowej oraz jak przebiega ewentualna wymagana dezinstalacja i późniejsza ponowna instalacja?
• Microsoft Entra ID SSO jest udokumentowane dla Windows od Sophos Connect 2.4 i macOS od 2.1, nie dla klienta macOS 2.0. Wymagane są zgodna konfiguracja SFOS i aktualna konfiguracja klienta. Sprawdź metody uwierzytelniania oraz Redirect URI; MFA pozostaje osobnym punktem kontroli. Nie oznacza to identycznego przebiegu w przeglądarce ani możliwości przeniesienia wdrożenia GPO Windows na macOS.
• Jak dział pomocy technicznej rozpoznaje nieaktualne profile?
• Czy VPN Portal, MFA i certyfikaty są monitorowane oddzielnie?

Stare pakiety instalacyjne i profile należy usunąć z wewnętrznych repozytoriów pobierania albo wyraźnie oznaczyć jako nieaktualne. W przypadku zdalnego dostępu użycie dowolnego starego profilu z katalogu Pobrane szybko prowadzi do zbędnego poszukiwania błędów. Przywołana tutaj oficjalna instrukcja instalacji nie opisuje ogólnego wdrożenia MDM pakietu macOS. Nie przenoś więc procedur z Windows ani parametrów konkretnego dostawcy MDM bez dokumentacji i testów dla własnej platformy.

Bezpieczne usuwanie lub przywracanie Sophos Connect

Przed odinstalowaniem rozłącz VPN i w kontrolowany sposób zachowaj profil potrzebny do późniejszego przywrócenia. Plik .ovpn zawiera certyfikat konkretnego użytkownika i klucz prywatny, dlatego należy go przechowywać w chronionym miejscu. Zaplanuj operację w oknie serwisowym z lokalnym lub drugim dostępem administracyjnym.

Jeśli zainstalowany jest Sophos Endpoint z aktywną ochroną przed manipulacją, nie wyłączaj jej zapobiegawczo. Przy zatwierdzonej dezinstalacji uruchom udokumentowany skrypt z uprawnieniami administratora w Terminalu macOS:

sudo /Library/Sophos\ Connect/uninstall.sh

Komunikat Sophos Connect has been uninstalled potwierdza pomyślne zakończenie operacji. Następnie sprawdź, czy Sophos Connect już się nie uruchamia.

Gdy usuwanie jest zablokowane

Procesy Sophos Connect pozostające w pamięci mogą być związane z ochroną przed manipulacją w Endpoint. Przy takim objawie zachowaj logi, uruchom komputer ponownie w oknie serwisowym i ponów kontrolę; jeśli usuwanie nadal jest zablokowane, wyjaśnij konkretną kombinację Endpoint i klienta z działem IT lub Sophos.

Tylko jeśli tymczasowa zmiana ochrony została wyraźnie zatwierdzona w tym celu, zmień odpowiednie ustawienie ochrony przed manipulacją w Sophos Fusion. Następnie włącz ochronę ponownie i sprawdź jej aktywny status na urządzeniu końcowym oraz w konsoli zarządzania — również wtedy, gdy dezinstalacja się nie powiedzie.

Powrót do poprzedniej wersji klienta

Aby zapewnić bezpieczny powrót, do zakończenia pilotażu zachowaj poprzednio zatwierdzony pakiet macOS w miejscu o kontrolowanym dostępie. Jeśli nowa wersja zawiedzie, usuń Sophos Connect za pomocą obsługiwanego skryptu, zainstaluj poprzednio zatwierdzony pakiet, ponownie zaimportuj odpowiedni profil i powtórz pełny test odbiorczy. Powrót do wersji starszej niż 2.0 nie nadaje się do SSL VPN, ponieważ te wersje dla macOS obsługują wyłącznie IPsec. Przed powrotem zachowaj numer wersji, czas i raport pomocy technicznej dla błędów, które mogą wymagać eskalacji. Artykuł Sprawdzanie wersji i bezpieczna aktualizacja Sophos Connect Client dokładniej opisuje wybór wersji oraz proces usuwania i ponownej instalacji. Powrót do klienta macOS 2.0 nie zachowuje natywnego wykonywania ARM, provisioningu .pro ani Entra ID SSO. Jeśli te funkcje 2.1 są wymagane, 2.0 nie jest równoważną opcją powrotu; wcześniej zatwierdź i przetestuj obsługiwaną metodę zastępczą.

Diagnozowanie i eskalowanie problemów

Na początku diagnostyki otworzyć Events w kliencie albo wybrać Open VPN log w menu z trzema kropkami. Sprawdzić, czy typ profilu, tożsamość użytkownika, wersja macOS i wersja Sophos Connect odpowiadają przypadkowi testowemu. Jeśli nie działają tylko nazwy wewnętrzne, najpierw sprawdzić DNS i aktualność profilu; jeśli nie działa również dostęp przez adres IP, kolejnymi punktami kontroli są reguły zapory, routing, NAT i trasa zwrotna.

Szczegółową procedurę według objawu opisuje Rozwiązywanie problemów z Sophos Connect Client. Łączy ona między innymi błędy importu i logowania, DNS po połączeniach Full Tunnel, zawieszony interfejs, MTU/MSS oraz logi klienta i zapory. Nie omijać weryfikacji certyfikatów ani zabezpieczeń, aby tymczasowo zestawić połączenie.

Połączenie można zaimportować, ale nie można go zestawić

Najpierw sprawdź, czy plik odpowiada właściwemu protokołowi i czy używana wersja Sophos Connect go obsługuje. SSL VPN na macOS wymaga Sophos Connect 2.0 lub nowszego. Następnie sprawdź uprawnienia użytkownika, MFA, certyfikat, bramę, czas na zaporze oraz dostępność nazwy FQDN VPN Portal lub bramy.

Aby rozpocząć diagnostykę, otwórz w kliencie Events albo wybierz Open VPN log w menu z trzema kropkami. Według dokumentacji SFOS 22 w przypadku SSL VPN komunikat Login failed. Wrong fingerprint of certificate. wskazuje, że zaimportowany profil może nie odpowiadać używanej tożsamości, domenie lub metodzie uwierzytelniania. Nie omijaj weryfikacji certyfikatu. Pobierz i zaimportuj nowy plik .ovpn, używając tej samej metody uwierzytelniania, która będzie używana do zestawienia połączenia. Dla SFOS 23 nie traktuj tego powiązania jako potwierdzonej diagnozy: udokumentuj wersje zapory i klienta oraz tożsamość profilu, a następnie poproś dział IT lub Sophos o wyjaśnienie dla konkretnej wersji; nie omijaj weryfikacji certyfikatów.

Wewnętrzne nazwy nie są rozwiązywane

W przypadku SSL VPN na macOS sprawdź wersję Sophos Connect, ponieważ w tym obszarze opublikowano konkretne poprawki. Następnie zweryfikuj serwery DNS, domeny wyszukiwania, zaimportowany profil i reguły zapory.

Jeżeli adresy IP działają, ale nazwy nie, najbardziej prawdopodobną przyczyną jest DNS. Jeżeli nie działają również połączenia z adresami IP, bardziej prawdopodobne są problemy z routingiem, regułami zapory, NAT albo trasą zwrotną.

Połączenie jest aktywne, ale dostęp nie działa

Przyczyną są często reguły zapory, routing, NAT albo trasa zwrotna. W Log Viewer powinno być widoczne, czy ruch ze strefy VPN trafia do oczekiwanej reguły. Szczególne przypadki IPsec opisuje artykuł Rozwiązywanie problemów z IPsec VPN na Sophos Firewall.

Po zmianie profilu połączenie przestało działać

Profile importowane ręcznie: Po zmianach bramy, certyfikatu, portu, DNS, puli adresów IP, grupy użytkowników lub uwierzytelniania profil należy ponownie wyeksportować i zaimportować. Aktualizacja klienta nie zastępuje automatycznie starego profilu, ale również nie unieważnia automatycznie niezmienionej konfiguracji.

Po przywróceniu zapory z kopii lub imporcie konfiguracji porównaj odpowiednie ustawienia:

• IPsec: Ponownie zaimportuj aktualny plik konfiguracyjny, jeśli zmienił się interfejs, metoda uwierzytelniania lub 2FA.
• SSL VPN: Jeśli zmienił się port, protokół, interfejs lub certyfikat serwera w globalnych ustawieniach SSL VPN, pobierz ponownie .ovpn z VPN Portal i zaimportuj go.

Provisioning od klienta macOS 2.1: Już zaimportowany plik .pro automatycznie pobiera odpowiednie dla użytkownika konfiguracje IPsec i SSL VPN, o ile adres bramy (gateway) i port VPN Portal (user_portal_port) pozostają niezmienione. Jeśli te wartości się zmienią, zaktualizuj i ponownie udostępnij plik provisioningu; nie zakładaj, że poprzednia ścieżka pobierania nadal działa. Następnie ponownie sprawdź połączenie, MFA, DNS i dozwolony dostęp. Klient macOS 2.0 nadal wymaga ręcznego importu.

Opcja zapisywania danych logowania nie jest widoczna

Sophos ponownie udostępnił tę opcję dla SSL VPN na macOS w Sophos Connect 2.0 MR1. Po aktualizacji trzeba ponownie zaimportować plik konfiguracyjny, aby opcja stała się dostępna. W środowiskach z MFA należy dodatkowo sprawdzić, czy zapisywanie danych logowania jest zgodne z przyjętą koncepcją bezpieczeństwa.

Sophos Connect nie otwiera się lub nie reaguje

Jeśli interfejs się nie otwiera albo nie reaguje na ikonę na pasku menu macOS, proces GUI może być zawieszony. W Activity Monitor wybierz proces Sophos Connect, zakończ go za pomocą Force Quit, a następnie ponownie uruchom aplikację z Launchpad. Spowoduje to zamknięcie tylko zawieszonego interfejsu. Jeśli problem się powtarza, sprawdź wersję klienta i raport pomocy technicznej.

Po rozłączeniu przestaje działać dostęp do stron internetowych

Po rozłączeniu tunelu Full Tunnel system macOS może nadal korzystać z wewnętrznych serwerów DNS połączenia VPN. W takiej sytuacji strony internetowe i rozwiązywanie nazw poza tunelem przestają działać. Krótko rozłącz i ponownie połącz Wi-Fi lub Ethernet. Jeżeli problem się powtarza, udokumentuj wersję klienta, profil i zachowanie DNS zamiast trwale nadpisywać serwery DNS ręcznie.

Połączenie działa, ale duże transfery się zawieszają

Jeżeli logowanie, DNS i małe transfery działają, ale większe przesyłanie plików lub określone aplikacje się zawieszają, sprawdź również MTU/MSS. Taki objaw często wskazuje na fragmentację, PPPoE, połączenia tunelowane albo asymetryczną trasę. Procedurę opisuje artykuł Sprawdzanie MTU i MSS przy problemach z VPN na Sophos Firewall.

Zbieranie danych dla pomocy technicznej

Jeśli przyczyna błędu nie jest od razu widoczna, udokumentuj czas zdarzenia, użytkownika, wersję macOS, wersję Sophos Connect, typ profilu, sieć źródłową i system docelowy. W kliencie Sophos Connect wybierz menu z trzema kropkami > About > Generate technical support report, aby utworzyć plik scvpntsr.zip. Zawiera on konfiguracje VPN, zdarzenia połączeń, szczegóły provisioningu, informacje o uwierzytelnianiu SSO, szczegóły przeglądarki i informacje o urządzeniu końcowym. Plik może zawierać dane wrażliwe i należy go przekazywać wyłącznie uprawnionym osobom zatwierdzonym kanałem przesyłania; nigdy nie kopiuj haseł, kodów OTP ani kluczy prywatnych do treści zgłoszenia. Informacje o WebView2 w scgui.log dotyczą wyłącznie Windows, a nie przeglądarki macOS.

Na zaporze pomocne są równolegle Log Viewer, sslvpn.log, logi IPsec, Packet Capture oraz odpowiednia reguła zapory. Przypisanie plików dziennika opisuje artykuł Rozwiązywanie problemów z usługami i logami na Sophos Firewall.

Do uzupełniającej kontroli SCCLI wyłącznie w trybie odczytu na pilotażowym Macu służy krótka dokumentacja CLI dla macOS. Nie zastępuje ona interfejsu klienta ani pomyślnie zakończonego testu VPN i nie stanowi podstawy do założenia automatycznej dystrybucji przez MDM.

FAQ