Konfiguracja Sophos SSL VPN z Sophos Connect w Windows

SSL VPN pozostaje na Sophos Firewall ważną metodą Remote Access, szczególnie gdy IPsec sprawia problemy w hotelach, sieciach gościnnych albo mocno filtrowanych sieciach zewnętrznych. W Windows SSL VPN jest dziś w wielu środowiskach używany przez Sophos Connect.

Ten artykuł opisuje instalację w Windows, import konfiguracji .ovpn oraz najważniejsze kontrole po zestawieniu połączenia. Przy podstawowym wyborze między Sophos Connect, SSL VPN, IPsec, klientami mobilnymi i ZTNA warto najpierw przeczytać Sophos Connect czy SSL VPN: które rozwiązanie Remote Access pasuje?.

Klasyfikacja

Ta instrukcja dotyczy Sophos Firewall z SFOS. W zależności od platformy lub sytuacji początkowej właściwy może być inny punkt wejścia:

• Konfiguracja SSL VPN z Sophos Connect w Windows: ten artykuł.
• Konfiguracja SSL VPN na macOS: Konfiguracja Sophos SSL VPN na macOS.
• Konfiguracja SSL VPN na iOS: Konfiguracja Sophos SSL VPN na iOS.
• Ogólna ocena Sophos Connect: Sophos Connect czy SSL VPN: które rozwiązanie Remote Access pasuje?.
• Utrzymanie wersji klienta Sophos Connect i profili: Sprawdzanie wersji Sophos Connect Client i bezpieczna aktualizacja.

Ważne: Sophos Connect obsługuje SSL VPN nie tylko w Windows. Od Sophos Connect 2.0 Remote Access SSL VPN jest możliwy również na macOS. Platformy mobilne, takie jak iOS i Android, nie są bezpośrednio obsługiwane przez Sophos Connect dla IPsec i SSL VPN; używa się tam klientów kompatybilnych z OpenVPN albo funkcji systemu operacyjnego.

Wymagania

• Sophos Firewall ze skonfigurowanym SSL-VPN-Remote-Access
• użytkownik z uprawnieniem do SSL VPN
• dostęp do VPN Portal albo administracyjnie dostarczony plik .ovpn
• Sophos Connect w aktualnej wersji pasującej do platformy Windows
• Windows 10 albo Windows 11, a przy Sophos Connect 2.5 lub nowszym także Windows ARM
• brak równolegle zainstalowanego starego Sophos SSL VPN Client
• skonfigurowane MFA/OTP, jeżeli Remote Access jest nim chroniony
• reguły firewall dla ruchu ze strefy VPN
• ustalony proces dystrybucji nowych plików .ovpn po zmianach

Jeżeli konfiguracja SSL VPN po stronie firewalla nie jest jeszcze gotowa, należy najpierw wdrożyć Konfigurację Sophos Firewall SSL VPN Remote Access.

Przed aktualizacją do SFOS 22 MR1 należy dodatkowo sprawdzić, czy istnieją jeszcze stare konfiguracje Remote Access IPsec. SSL VPN nie jest tym bezpośrednio dotknięty, ale wiele środowisk właśnie wtedy ponownie ocenia Remote Access. Procedurę opisuje Migracja legacy Remote Access IPsec przed SFOS 22 MR1.

Planowanie przed pobraniem

Zanim użytkownicy pobiorą klienta, powinno być jasne, jak SSL VPN będzie eksploatowany. Wiele późniejszych błędów nie wynika z instalacji, lecz ze starych profili, niejasnych uprawnień albo zbyt szerokich reguł firewall.

Ważne pytania planistyczne:

• Użytkownicy: którzy użytkownicy albo grupy są uprawnieni do SSL VPN jako Policy members?
• Portal: czy VPN Portal musi być dostępny z internetu, czy plik .ovpn będzie dystrybuowany administracyjnie?
• Certyfikat: czy certyfikat pasuje do publicznego FQDN i czy przeglądarka nie generuje ostrzeżenia?
• MFA: czy OTP/MFA jest wymagane dla Remote Access i czy rollout tokenów został zakończony?
• DNS: czy potrzebne są wewnętrzne serwery DNS i domeny wyszukiwania?
• Dostęp: do których sieci i usług wewnętrznych można przechodzić ze strefy VPN?
• Eksploatacja: kto aktualizuje Sophos Connect i dystrybuuje nowe profile po zmianach?

Jeżeli VPN Portal jest publicznie dostępny, nie należy traktować go wyłącznie jako strony pobierania. Jest to usługa logowania firewalla i należy do powierzchni ataku. Dlatego Device Access, certyfikat, MFA, logowanie oraz ewentualne ograniczenia źródeł lub krajów powinny być świadomie sprawdzone.

1. Zaloguj się do VPN Portal

Otwórz VPN Portal Sophos Firewall w przeglądarce. Domyślny adres to https://<Firewall-FQDN>:443, o ile port nie został zmieniony. Następnie zaloguj się jako użytkownik VPN.

Jeżeli przeglądarka ostrzega przed certyfikatem, należy sprawdzić przyczynę. W środowiskach produkcyjnych prawidłowy certyfikat dla VPN Portal jest czystszy niż trwały wyjątek w przeglądarce. W przypadku publicznych portali certyfikat, MFA i Device Access nie są detalami pobocznymi, lecz częścią bezpieczeństwa Remote Access. Do utwardzenia pasuje Device Access i Local Service ACL na Sophos Firewall.

Jeśli użytkownik po udanym logowaniu nie widzi konfiguracji SSL VPN, rzadko jest to problem Windows. Najpierw należy sprawdzić, czy użytkownik albo jego grupa są zawarte w odpowiedniej SSL-VPN-Policy jako Policy members i czy osiągnięto właściwy portal.

2. Pobierz Sophos Connect i konfigurację SSL VPN

W VPN Portal przejdź do obszaru VPN. Udostępniane są tam Sophos Connect Client oraz konfiguracja SSL VPN.

Dla ręcznej konfiguracji Sophos Connect w Windows:

1. W sekcji Sophos Connect client wybierz Download for Windows, aby pobrać klienta, jeśli nie jest dystrybuowany centralnie.
2. W sekcji VPN configuration, przy wybranej konfiguracji SSL VPN, wybierz Download configuration for Windows, macOS, Linux.
3. Wybierz Use with Sophos Connect and OpenVPN Connect v2 clients. Wariant Use with OpenVPN Connect v3 clients jest przeznaczony dla OpenVPN Connect 3, a nie dla Sophos Connect.
4. Zapisz pobrany plik .ovpn w bezpiecznym miejscu, aby później zaimportować go do Sophos Connect.

Sophos Connect Client można też pobrać bezpośrednio ze strony Sophos: Pobierz Sophos Connect Client.

W środowiskach zarządzanych klient nie powinien być instalowany przypadkowo. Lepsze jest zdefiniowane pakietowanie oprogramowania z jasną wersją, grupą testową i procesem aktualizacji. Zatwierdzona wersja powinna wynikać z oficjalnych Release Notes, VPN Portal albo wewnętrznego pakietu oprogramowania, a nie z pojedynczych pobrań na urządzeniach użytkowników. Aktualne wersje Sophos Connect zawierają również aktualizacje bezpieczeństwa i komponentów, na przykład dla OpenVPN albo OpenSSL.

Jeżeli na urządzeniu z Windows nadal jest zainstalowany stary Sophos SSL VPN Client, trzeba go odinstalować przed instalacją Sophos Connect. Sophos wskazuje, że Sophos Connect nie może działać równolegle z innym zainstalowanym klientem VPN. Równoległe utrzymywanie kilku klientów i profili szybko prowadzi też do użycia niewłaściwych adapterów i niejednoznacznych przypadków supportowych.

Alternatywnie administrator może udostępnić w Windows plik provisioningowy .pro. Sophos Connect pobiera za jego pomocą z VPN Portal konfigurację .ovpn właściwą dla danego użytkownika i może automatycznie uwzględniać późniejsze zmiany. Ten wariant wymaga dostępnego VPN Portal z zaufanym certyfikatem. Szczegółową konfigurację provisioningu i GPO opisuje Konfiguracja Sophos Connect na Sophos Firewall.

3. Zainstaluj Sophos Connect

Uruchom instalator, zaakceptuj warunki licencji, kliknij Install, a następnie zakończ kreator przyciskiem Finish. Podczas aktualizacji należy najpierw odinstalować dotychczasową wersję Sophos Connect, a potem zainstalować wersję aktualną.

Jeżeli podczas instalacji trzeba potwierdzić adapter sieciowy, jest to element klienta VPN. W zarządzanych środowiskach Windows ten krok powinien być poprawnie przygotowany przez dystrybucję oprogramowania albo lokalne uprawnienia administratora.

Po instalacji należy udokumentować wersję Sophos Connect. Pomaga to później w przypadkach supportowych, ponieważ błędy klienta, błędy profilu i błędy firewalla szybko się mieszają. Do bieżącej eksploatacji pasuje Sprawdzanie wersji Sophos Connect Client i bezpieczna aktualizacja.

4. Zaimportuj konfigurację SSL VPN

Po instalacji ikona Sophos Connect pojawi się w obszarze powiadomień paska zadań Windows. Otwórz Sophos Connect i zaimportuj pobrany plik .ovpn.

Przy kilku profilach nazwa połączenia powinna być jednoznaczna. Stare lub zduplikowane profile szybko prowadzą do przypadków supportowych, ponieważ użytkownicy wybierają niewłaściwy cel.

W przypadku ręcznie zaimportowanego pliku .ovpn użytkownik musi po istotnych zmianach ponownie pobrać konfigurację z VPN Portal i ją zaimportować. Sophos wymienia tu w szczególności zmiany portu, protokołu, interfejsu lub certyfikatu serwera SSL w globalnych ustawieniach SSL VPN. Sama aktualizacja klienta nie wymaga natomiast ponownego importu profilu; istniejące pliki konfiguracyjne nadal działają.

W przypadku połączenia provisionowanego przez .pro Sophos Connect może automatycznie pobierać zmiany, dopóki nie zmienią się gateway ani port VPN Portal zapisane w pliku provisioningowym. Pobranie można wywołać ręcznie przez Edit connection > Update policy. Po zmianie SSO, gateway lub portu portalu należy mimo to sprawdzić, czy trzeba rozdystrybuować zaktualizowany plik .pro.

Typowe wskazówki na przestarzały albo błędny profil:

• Połączenie pokazuje starą nazwę lokalizacji: zwykle nadal zaimportowany jest stary profil. Usunąć stare połączenie i ponownie zaimportować aktualny .ovpn.
• Ostrzeżenie certyfikatu lub gateway: FQDN, certyfikat albo Override Hostname mogły zostać zmienione. Pobrać profil z aktualnego VPN Portal.
• DNS nie działa tylko na pojedynczych klientach: sprawdzić stare wartości DNS w profilu albo lokalne zachowanie DNS. Ponownie zaimportować profil i sprawdzić DNS w Windows.
• Użytkownik nie widzi konfiguracji w portalu: sprawdzić przypisanie Policy albo kontekst użytkownika. Skontrolować SSL-VPN-Policy i członkostwo w grupach.

5. Zestaw połączenie VPN

Wybierz zaimportowane połączenie i kliknij Connect. Następnie zaloguj się użytkownikiem VPN. Jeżeli MFA albo OTP jest aktywne, drugi czynnik musi zostać potwierdzony zgodnie z konfiguracją firewalla.

Po zestawieniu połączenia nie należy sprawdzać tylko statusu w kliencie. Decydujące jest to, czy wymagane cele wewnętrzne są osiągalne.

Jeżeli używane jest Microsoft Entra ID SSO, w Windows wymagany jest Sophos Connect 2.4 lub nowszy. Na współdzielonych urządzeniach poprzedni użytkownik powinien wybrać w menu Sophos Connect Force SSO re-login, aby kolejny użytkownik musiał zalogować się własnym kontem Entra ID.

Kontrola po instalacji

Co najmniej te punkty powinny zostać sprawdzone z użytkownikiem testowym:

• Sophos Connect pokazuje połączenie jako zestawione.
• Użytkownik otrzymuje adres IP z oczekiwanej puli SSL VPN.
• Wewnętrzne nazwy DNS są poprawnie rozwiązywane.
• Wymagane serwery i aplikacje są osiągalne.
• Zachowanie Internetu odpowiada projektowi: Split Tunnel albo Full Tunnel.
• W Log Viewer widoczna jest oczekiwana reguła firewall dla ruchu ze strefy VPN.
• MFA jest wymagane zgodnie z planem.
• Świadomie niedozwolony cel pozostaje zablokowany.
• Zerwanie połączenia i ponowne logowanie działają.

Jeżeli połączenie jest zestawione, ale dostęp nie działa, przyczyna często nie leży po stronie klienta, lecz w regułach firewall, DNS, routingu albo NAT. Do analizy pasuje Testowanie reguły firewall z Log Viewer, Policy Test i Packet Capture.

Szybka kontrola po stronie Windows

Na kliencie Windows proste testy pomagają przed zmianą konfiguracji firewalla:

ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10

Nie chodzi przy tym o dopuszczenie każdego pinga. Decydujące jest, czy klient otrzymał adres SSL VPN, czy istnieje trasa do wewnętrznej sieci docelowej i czy DNS rozwiązuje przez oczekiwany serwer. Jeśli dostęp działa po adresie IP, ale nie po nazwie, bardziej prawdopodobny jest DNS niż reguła firewalla.

Eksploatacja i bezpieczeństwo

SSL VPN jest publicznie osiągalną usługą Remote Access. Dlatego należy dokumentować nie tylko instalację, lecz także eksploatację:

• regularnie aktualizować Sophos Connect;
• aktywować i testować MFA dla Remote Access;
• regularnie sprawdzać grupy VPN;
• ograniczać dostęp do portalu przez Device Access i Local Service ACL, o ile to możliwe;
• utrzymywać wąskie reguły firewall dla strefy VPN i logować je;
• usuwać stare pliki .ovpn i przestarzałe profile;
• przy dłuższym przechowywaniu logów zaplanować Syslog albo centralną analizę.

Do podstaw MFA pasuje Aktywacja MFA dla Sophos Firewall WebAdmin, VPN Portal i Remote Access. W przypadku plików logów i service logs pomocny jest Sophos Firewall Troubleshooting: Services i Logs.

Troubleshooting

Logowanie do VPN Portal nie działa

Sprawdź użytkownika, hasło, MFA, członkostwo w grupach i serwer uwierzytelniania. Jeżeli uczestniczy AD, RADIUS albo Microsoft Entra ID SSO, uwierzytelnianie należy przetestować oddzielnie od VPN.

Użytkownik nie widzi konfiguracji SSL VPN w VPN Portal

Jeśli logowanie działa, ale nie widać pliku .ovpn ani pobierania SSL VPN, nie należy szukać przyczyny na kliencie Windows. Najpierw trzeba sprawdzić SSL-VPN-Policy, Policy members, członkostwo w grupach, dostęp do portalu i limit User-ID. Procedurę po stronie firewalla opisuje Konfiguracja Sophos Firewall SSL VPN Remote Access.

Nie można zaimportować pliku .ovpn

Najpierw sprawdź, czy plik rzeczywiście należy do aktualnej konfiguracji firewalla i czy Sophos Connect jest wystarczająco aktualny. Przy znakach specjalnych w certyfikatach albo danych użytkownika należy używać aktualnego klienta.

Jeżeli pobieranie pliku .ovpn w samym VPN Portal kończy się błędem mimo poprawnego logowania i uprawnień, należy dodatkowo sprawdzić limit Sophos Firewall User-ID.

Połączenie jest zestawione, ale systemy wewnętrzne są nieosiągalne

Sprawdź DNS, reguły firewall, routing, NAT i drogę powrotną. W Log Viewer powinien być widoczny ruch ze strefy VPN. Jeżeli logi się nie pojawiają, ruch prawdopodobnie nie trafia w oczekiwaną regułę albo logowanie jest wyłączone.

Jeżeli małe dostępy działają, ale większe transfery plików albo określone aplikacje się zawieszają, należy dodatkowo sprawdzić MTU/MSS: Sprawdzanie MTU i MSS na Sophos Firewall przy problemach VPN.

Sophos Connect zgłasza Policy mismatch albo Compression mismatch

• Policy mismatch z informacją o konieczności ponownego importu: przy ręcznie zaimportowanym połączeniu .ovpn pobierz aktualny plik z VPN Portal i zaimportuj go ponownie. Przy połączeniu provisionowanym Sophos Connect automatycznie pobiera nową policy i ponownie zestawia tunel.
• Compression mismatch: przy połączeniu .ovpn połącz się ponownie ręcznie. Przy połączeniu .pro Sophos Connect automatycznie podejmuje próbę ponownego połączenia.

W przypadku TCP klient wykrywa zmianę SSL-VPN-Policy podczas aktywnego połączenia i odpowiednio rozłącza lub aktualizuje tunel. W przypadku UDP może być konieczne wcześniejsze wygaśnięcie Inactivity Timer. Dlatego należy dokumentować czas, protokół i dokładny komunikat zdarzenia, zamiast traktować wszystkie komunikaty mismatch jednakowo.

Po zmianie profilu Sophos Connect nadal łączy się ze starym celem

Często nadal istnieje stary wpis połączenia albo użytkownicy wybierają w kliencie niewłaściwą nazwę profilu. Należy usunąć stare profile, ponownie zaimportować aktualny .ovpn i wybrać nazwę profilu tak, aby lokalizacja, środowisko albo cel były jednoznacznie rozpoznawalne.

Połączenie zrywa się w obcych sieciach

SSL VPN jest często bardziej tolerancyjny niż IPsec, ale nie jest odporny na restrykcyjne sieci, Captive Portals, wymuszone proxy ani niestabilne WLAN. W takich przypadkach należy przetestować drugą sieć i sprawdzić, czy Split Tunnel, port, protokół albo ZTNA pasują lepiej.

Zbieranie danych supportowych

Jeżeli przyczyna błędu nie jest od razu widoczna, wybierz menu z trzema kropkami > About > Generate technical support report, aby utworzyć plik scvpntsr.zip. Zawiera on zdarzenia połączeń, konfiguracje VPN i informacje o punkcie końcowym. Przed przekazaniem należy sprawdzić dane wrażliwe, takie jak nazwy użytkowników, wewnętrzne nazwy hostów, adresy IP i FQDN gateway.

Po stronie firewalla równolegle pomagają Log Viewer, sslvpn.log, openvpn-status*.log i odpowiednia reguła firewall. Przypisanie plików logów opisuje Sophos Firewall Troubleshooting: Services i Logs.

FAQ