Zainstaluj klienta Sophos Connect w systemie Windows

Sophos Connect to centralny klient Sophos dla wielu scenariuszy zdalnego dostępu z zaporą Sophos. W systemie Windows klient może korzystać z połączeń IPsec i SSL VPN w zależności od konfiguracji zapory. Ważne jest, aby wersja klienta, platforma Windows, plik konfiguracyjny i ustawienia zapory były zgodne.

Niniejsza instrukcja opisuje instalację w systemie Windows oraz najważniejsze kontrole po zaimportowaniu połączenia. Przy podejmowaniu decyzji pomiędzy IPsec, SSL VPN, klientami mobilnymi a ZTNA, pierwszym porównaniem jest Sophos Connect i SSL VPN: Jaka jest różnica?.

Który artykuł pasuje?

Sophos Connect w systemie Windows to tylko część operacji zdalnego dostępu. W zależności od zadania odpowiednie jest inne podejście:

• Zainstaluj Sophos Connect w systemie Windows: Ten artykuł.
• Skonfiguruj SSL VPN w systemie Windows za pomocą .ovpn: Skonfiguruj Sophos SSL VPN za pomocą Sophos Connect w systemie Windows.
• Skonfiguruj Sophos Connect po stronie zapory: Skonfiguruj Sophos Connect do zaporze youciowej Sophos.
• Skonfiguruj logowanie jednokrotne Microsoft Entra ID dla Sophos Connect: Skonfiguruj jednokrotne logowanie Microsoft Entra ID dla Sophos Connect i portal VPN.
• Utrzymanie wersji klienta, aktualizacji i profili: Sprawdź i bezpiecznie zaktualizuj wersję klienta Sophos Connect.
• VPN jest podłączony, ale ruch nie działa: Przetestuj klucz zapory ogniowej za pomocą ustawień dzienników, testu zasad i przechwytywania pakietów. To oddzielenie zapobiega typowemu rozwiązywaniu problemów w niewłaściwym miejscu. Zainstalowany klient nie potwierdza jeszcze poprawności portalu VPN, uwierzytelniania, profilu, reguł zapory sieciowej, DNS i ścieżki zwrotnej.

Wymagania

• Zapora sieciowa Sophos z skonfigurowaną konfiguracją zdalnego dostępu
• Sophos Connect Client w wersji dopasowanej do firewalla i platformy
• Windows 10 lub Windows 11, z aktualnymi wersjami Sophos Connect w wersji 64-bitowej lub Windows ARM
• Plik konfiguracyjny protokołu IPsec (.scx lub .tgb) lub SSL VPN (.ovpn lub plik informacyjny)
• Konto użytkownika z uprawnieniami VPN i, jeśli jest włączone, działającym MFA
• Reguły zapory sieciowej dla ruchu ze strefy VPN lub używanej strefy dostępu zdalnego

Jeśli Sophos Connect ma być używany z Microsoft Entra ID SSO, wymagany jest Sophos Connect 2.4 lub nowszy w systemie Windows i odpowiednia konfiguracja SSO na zaporze ogniowej. Proces odbywa się w Skonfiguruj logowanie jednokrotne Microsoft Entra ID dla Sophos Connect i portal VPN.

Sophos Connect jest obsługiwany dla Windows ARM od wersji 2.5. Jeśli stare pakiety oprogramowania są nadal dystrybuowane wewnętrznie, przed wdrożeniem należy sprawdzić, która wersja jest faktycznie zainstalowana. Sprawdź i bezpieczne z aktualizacji wersji klienta Sophos Connect nadaje się do wdrażania, grup pilotażowych i sprawdzania aktualizacji.

Ważny jest także limit platformy: obecne wersje Sophos Connect należy zaplanować pod kątem nowych wdrożeń z systemem Windows 10 lub Windows 11. Stare instalacje 32-bitowe nie powinny być kontynuowane jako nowy standard tylko dlatego, że były wcześniej możliwe w przypadku starszych wersji klientów.

1. Pobierz klienta Sophos Connect

Klienta Sophos Connect można pobrać za pośrednictwem portalu VPN Sophos Firewall lub bezpośrednio z Strona Sophos.

W środowiskach zarządzanych klient nie powinien być losowo instalowany przez poszczególnych użytkowników. Przejrzysty pakiet ze zdefiniowaną wersją, grupą wdrożeniową i planem awaryjnym ma sens. Jest to szczególnie ważne w przypadku korzystania z Windows ARM, SSL VPN poprzez Sophos Connect lub plików udostępniania.

Sophos Connect powinien być regularnie aktualizowany. Nowe wersje zawierają nie tylko zmiany funkcjonalne, ale także zaktualizowane komponenty, takie jak OpenVPN, strongSwan czy OpenSSL.

W przypadku większych środowisk źródło instalacji powinno być jasne. Jeśli w tym samym czasie istnieją stare pliki MSI, portal VPN do pobrania i dystrybucja oprogramowania, w przeciwnym razie dział pomocy technicznej szybko zainstaluje różne wersje klienta.

2. Zainstaluj klienta Sophos ConnectInstalacja rozpoczyna się od pliku SophosConnect.msi. Po zakończeniu pracy kreatora okno można zamknąć klawiszem Finish.

Po instalacji należy sprawdzić wersję bezpośrednio w kliencie lub poprzez inwentarz oprogramowania. Jest to szczególnie ważne w przypadku Windows ARM, Entra SSO, plików udostępniania i powtarzających się błędów usług, ponieważ niewielkie różnice w wersjach mogą zmienić wzór błędów.

3. Pobierz plik połączenia

Przy pierwszym uruchomieniu Sophos Connect wymaga konfiguracji połączenia. W zależności od projektu dostępu zdalnego jest to plik IPsec, SSL VPN lub plik udostępniania.

Typowe pliki połączeń:

• Zdalny dostęp IPsec: .scx lub .tgb; Eksportuj do VPN > Sophos Connect Client.
• SSL VPN: .ovpn; Portal VPN lub eksport administracyjny.
• Automatyczny import poprzez udostępnianie: .pro; centralnie przygotowany plik prowizyjny. W przypadku klasycznej konfiguracji protokołu IPsec plik jest eksportowany do programu WebAdmin:

1. W zaporze Sophos otwórz VPN > Sophos Connect Client.
2. Eksportuj połączenie.
3. Przechowuj plik w bezpieczny sposób i rozpowszechniaj go tylko autoryzowanym użytkownikom.

W przypadku protokołu SSL VPN konfiguracja jest zwykle dostarczana z portalu VPN lub z konfiguracji dostępu zdalnego. Dokładne źródło zależy od tego, jak skonfigurowano dostęp zdalny w zaporze. Szczegółowa procedura importu .ovpn, portalu VPN i testów SSL VPN jest dostępna w Skonfiguruj Sophos SSL VPN za pomocą Sophos Connect w systemie Windows.

Profile powinny być rozmieszczone w sposób kontrolowany. Jeśli brama, certyfikat, DNS, grupa użytkowników, pula IP, logowanie jednokrotne lub uwierzytelnianie zostały zmienione, nie należy polegać na starych plikach w folderach pobierania. Połączenia, których to dotyczy, muszą zostać ponownie wyeksportowane, ponownie zaimportowane lub odpowiednio zaktualizowane poprzez udostępnienie.

W przypadku plików udostępniania należy szczególnie dokładnie sprawdzić bramę, port portalu VPN, certyfikaty, numer referencyjny SSO i grupę użytkowników. Plik informacyjny ułatwia dystrybucję, ale nie zastępuje zatwierdzenia technicznego połączenia.

4. Skonfiguruj klienta Sophos Connect

Konfiguracja odbywa się w kilku krokach:

1. Otwórz Sophos Connect.
2. Wybierz Import Connection.
3. Zaimportuj odpowiedni plik połączenia.
4. Sprawdź połączenie w Połączenia.
5. Kliknij Connect.
6. Zaloguj się jako użytkownik VPN i potwierdź MFA, jeśli jest włączone.

Jeśli logowanie się powiedzie, Sophos Connect powinien pokazać połączenie jako połączone. Następnie należy nie tylko sprawdzić status zielony, ale także przetestować DNS, cele wewnętrzne i reguły zapory ogniowej. Jeśli połączenie zostało nawiązane, ale nie ma przepływu ruchu, pomaga Przetestuj położenie zapory ogniowej za pomocą ustawień dzienników, testu zasad i przechwytywania pakietów.

W przypadku Entra ID SSO należy również sprawdzić, czy przepływ SSO rzeczywiście przebiega przez oczekiwany serwer Microsoft Entra ID i czy dostęp warunkowy lub MFA działają zgodnie z planem. Pomyślne logowanie lokalne nie oznacza automatycznie, że logowanie jednokrotne, mapowanie grupowe i uprawnienia VPN są prawidłowe.

Sprawdź po instalacji

Po instalacji należy sprawdzić następujące punkty:

• Wersja Sophos Connect pasuje do platformy, szczególnie z Windows ARM.
• Zaimportowany plik odpowiada żądanemu protokołowi: IPsec lub SSL VPN.
• Użytkownik jest autoryzowany we właściwej grupie VPN.
• MFA działa i nie blokuje nawiązania połączenia.
• Klient otrzymuje odpowiedni adres IP VPN. — Rozwiązano wewnętrzne nazwy DNS.
• Reguły zapory sieciowej dla strefy VPN zezwalają tylko na wymagane cele.
• Stare profile nie zostały przypadkowo ponownie wykorzystane.

Jeśli przed aktualizacją SFOS 22 MR1 nadal istniały stare konfiguracje protokołu IPsec dostępu zdalnego, należy najpierw sprawdzić Przeprowadzenie migracji starszego dostępu zdalnego IPsec przed SFOS 22 MR1.

Test akceptacyjny dla Windows

Status klienta ekologicznego nie jest wystarczający jako akceptacja. Aby wdrożenie było niezawodne, użytkownik testowy powinien sprawdzić następujące punkty:

1. Sprawdź wersję klienta: Wersja pasuje do systemu Windows 10/11, Windows ARM i wersji wewnętrznej.
2. Importuj profil: .scx, .tgb, .ovpn lub .pro zostało rozpoznane prawidłowo.
3. Testuj jednokrotne logowanie: Entra SSO rozpoczyna się tylko tam, gdzie jest zaplanowane.
4. Testuj MSZ: OTP, RADIUS-MFA lub Entra-MFA zachowują się zgodnie z dokumentacją.
5. Przetestuj DNS: wewnętrzne nazwy FQDN są poprawnie rozpoznawane.
6. Dostęp testowy: Dozwolone cele działają, nieautoryzowane cele pozostają zablokowane.
7. Sprawdź przeglądarkę logów: Ruch ze strefy VPN trafia do oczekiwanej reguły zapory.
8. Testuj ponowne połączenie: Zmiany sieci, stan gotowości i ponowne połączenia są identyfikowalne.

W środowiskach mieszanych należy przetestować co najmniej jedno klasyczne urządzenie z systemem Windows 10/11 i jedno urządzenie z systemem Windows ARM, jeśli w produkcji używany jest procesor ARM. Jeśli używani są także klienci z systemem macOS, zachowanie to należy udokumentować osobno.

Uwagi dotyczące wdrożenia dla zarządzanych klientów Windows

Jeśli użytkowników jest niewielu, wystarczająca może być instalacja ręczna. W większych środowiskach Sophos Connect powinien być kontrolowany poprzez normalną dystrybucję oprogramowania lub zarządzanie punktami końcowymi.

Wyjaśnij przed szerokim wdrożeniem:

• Która wersja Sophos Connect została wydana?
• Które wersje systemu Windows i architektury procesorów są używane?
• Czy używany jest protokół IPsec, SSL VPN, Entra SSO lub udostępnianie?
• Czy są użytkownicy korzystający z OTP, RADIUS-MFA lub Entra-MFA?
• W jaki sposób dystrybuowane są nowe profile?
• Jak usunąć stare profile lub oznaczyć je jako przestarzałe?
• Kto sprawdza DNS, reguły zapory sieciowej i zachowanie ponownego łączenia po aktualizacjach klienta?
• Jakich dzienników i zrzutów ekranu potrzebuje dział pomocy technicznej w przypadku zgłoszeń do pomocy technicznej?

W przypadku współdzielonych urządzeń z systemem Windows należy zwrócić szczególną uwagę na to, czy Sophos Connect uruchamia się niezawodnie dla wszystkich użytkowników, których to dotyczy. Sophos Connect 2.5 MR1 zawiera poprawkę dotyczącą przypadku, w którym klient dla dodatkowych użytkowników systemu Windows nie uruchamiał się automatycznie po instalacji przez innego użytkownika.

Rozwiązywanie problemów

Sophos Connect nie uruchamia się lub wyświetla błędy usługi

Najpierw sprawdź, czy usługa Sophos Connect jest uruchomiona i czy zainstalowana jest aktualna wersja klienta. W przypadku starszych pakietów instalacyjnych zazwyczaj warto przeprowadzić czystą ponowną instalację z wydaną wersją. Jeżeli z tego samego urządzenia korzysta wielu użytkowników systemu Windows, należy także sprawdzić, czy klient automatycznie uruchamia się poprawnie w kontekście użytkownika.

Połączenie zostało zaimportowane, ale nie zostało nawiązane

Zwykle w grę wchodzą uprawnienia użytkownika, MFA, certyfikat, klucz wstępny, wersja zapory sieciowej lub nieprawidłowy typ pliku. Nie należy mieszać profili IPsec i SSL VPN. W przypadku plików udostępniania sprawdź także bramę, port portalu VPN, certyfikat, konfigurację SSO i dostępne punkty końcowe Microsoft, jeśli zaangażowane jest Entra SSO.

Stan logowania jednokrotnego jest niejasny po przerwie w dostępie do Internetu

W środowiskach Entra SSO przerwa w Internecie może powodować irytujące wyświetlanie statusu. Sophos Connect 2.5 MR1 zawiera poprawkę dla użytkowników SSO. Niemniej jednak powinieneś także sprawdzić, czy tunel rzeczywiście jest rozłączony, czy klient ponownie się łączy i czy zapora sieciowa w obszarze Uwierzytelnianie > Usługi korzysta z oczekiwanego serwera Microsoft Entra ID.

Zapytanie OTP jest inaczej sprawdzane podczas ponownego łączenia

Jeśli użytkownicy klasycznego OTP lub MFA korzystają równolegle z protokołów IPsec i SSL VPN, należy przetestować zachowanie podczas ponownego łączenia. Sophos Connect 2.5 MR1 naprawia różnicę w weryfikacji logowania pomiędzy IPsec i SSL VPN dla użytkowników Credential z OTP.

Połączenie zostało nawiązane, ale nie można uzyskać dostępu do systemów wewnętrznych

W tym przypadku przyczyną często nie jest klient, ale raczej reguły zapory sieciowej, routing, DNS lub NAT. W przeglądarce logów powinno być widoczne czy ruch ze strefy VPN spełnia oczekiwaną regułę. W szczególnych przypadkach IPsec pomaga Rozwiązywanie problemów z zaporą sieciową Sophos IPsec VPN.

Połączenie nie działa już po zmianie profilu

Po zmianach w bramie, certyfikacie, porcie portalu VPN, DNS, puli IP, grupie użytkowników, Entra SSO lub uwierzytelnieniu, profil należy poddać redystrybucji lub ponownie zaimportować. Aktualizacja klienta nie zastępuje automatycznie starego profilu.### Połączenie zostało nawiązane, ale duże transfery zawieszają się

Jeśli logowanie, DNS i małe dostępy działają, ale przesyłanie większych plików lub niektóre aplikacje zawieszają się, należy również sprawdzić MTU/MSS. Wzorzec błędów często odpowiada fragmentacji, PPPoE, połączeniom tunelowym lub ścieżce asymetrycznej. Proces odbywa się w Sprawdź Sophos Firewall MTU i MSS pod kątem problemów z VPN.

Zbierz dane pomocy technicznej

Jeśli błąd nie jest od razu widoczny, należy udokumentować czas, użytkownika, wersję systemu Windows, architekturę procesora, wersję Sophos Connect, typ profilu, sieć źródłową i system docelowy. Przeglądarka dzienników, sslvpn.log, dzienniki IPsec, przechwytywanie pakietów i pomoc dotycząca reguły zapory, której dotyczy problem, na zaporze. Przypisanie plików dziennika znajduje się w Rozwiązywanie problemów z zaporą Sophos: usługi i dzienniki.

Często zadawane pytania