Konfiguracja Sophos SSL VPN z Sophos Connect w Windows

SSL VPN pozostaje na Sophos Firewall ważną metodą Remote Access, szczególnie gdy IPsec sprawia problemy w hotelach, sieciach gościnnych albo mocno filtrowanych sieciach zewnętrznych. W Windows SSL VPN jest dziś w wielu środowiskach używany przez Sophos Connect.

Ten artykuł opisuje instalację w Windows, import konfiguracji .ovpn oraz najważniejsze kontrole po zestawieniu połączenia. Przy podstawowym wyborze między Sophos Connect, SSL VPN, IPsec, klientami mobilnymi i ZTNA warto najpierw przeczytać Sophos Connect czy SSL VPN: które rozwiązanie Remote Access pasuje?.

Klasyfikacja

Ta instrukcja dotyczy Sophos Firewall z SFOS. W zależności od platformy lub sytuacji początkowej właściwy może być inny punkt wejścia:

• Konfiguracja SSL VPN z Sophos Connect w Windows: ten artykuł.
• Konfiguracja SSL VPN na macOS: Konfiguracja Sophos SSL VPN na macOS.
• Konfiguracja SSL VPN na iOS: Konfiguracja Sophos SSL VPN na iOS.
• Ogólna ocena Sophos Connect: Sophos Connect czy SSL VPN: które rozwiązanie Remote Access pasuje?.
• Utrzymanie wersji klienta Sophos Connect i profili: Sprawdzanie wersji Sophos Connect Client i bezpieczna aktualizacja.

Ważne: Sophos Connect obsługuje SSL VPN nie tylko w Windows. Od Sophos Connect 2.0 Remote Access SSL VPN jest możliwy również na macOS. Platformy mobilne, takie jak iOS i Android, nie są bezpośrednio obsługiwane przez Sophos Connect dla IPsec i SSL VPN; używa się tam klientów kompatybilnych z OpenVPN albo funkcji systemu operacyjnego.

Wymagania

• Sophos Firewall ze skonfigurowanym SSL-VPN-Remote-Access
• użytkownik z uprawnieniem do SSL VPN
• dostęp do VPN Portal albo administracyjnie dostarczony plik .ovpn
• Sophos Connect w aktualnej wersji pasującej do platformy Windows
• Windows 10 albo Windows 11, a przy Sophos Connect 2.5 lub nowszym także Windows ARM
• bez Windows 11 Enterprise w trybie wielosesyjnym ani Azure Virtual Desktop z Sophos Connect 2.5 lub nowszym
• brak równolegle zainstalowanego starego Sophos SSL VPN Client
• skonfigurowane MFA/OTP, jeżeli Remote Access jest nim chroniony
• reguły firewall dla ruchu ze strefy VPN
• ustalony proces dystrybucji nowych plików .ovpn po zmianach

Jeżeli konfiguracja SSL VPN po stronie firewalla nie jest jeszcze gotowa, należy najpierw wdrożyć Konfigurację Sophos Firewall SSL VPN Remote Access.

Przed aktualizacją do SFOS 22 MR1 należy dodatkowo sprawdzić, czy istnieją jeszcze stare konfiguracje Remote Access IPsec. SSL VPN nie jest tym bezpośrednio dotknięty, ale wiele środowisk właśnie wtedy ponownie ocenia Remote Access. Procedurę opisuje Migracja legacy Remote Access IPsec przed SFOS 22 MR1.

Planowanie przed pobraniem

Zanim użytkownicy pobiorą klienta, powinno być jasne, jak SSL VPN będzie eksploatowany. Wiele późniejszych błędów nie wynika z instalacji, lecz ze starych profili, niejasnych uprawnień albo zbyt szerokich reguł firewall.

Ważne pytania planistyczne:

• Użytkownicy: którzy użytkownicy albo grupy są uprawnieni do SSL VPN jako Policy members?
• Portal: czy VPN Portal musi być dostępny z internetu, czy plik .ovpn będzie dystrybuowany administracyjnie?
• Certyfikat: czy certyfikat pasuje do publicznego FQDN i czy przeglądarka nie generuje ostrzeżenia?
• MFA: czy OTP/MFA jest wymagane dla Remote Access i czy rollout tokenów został zakończony?
• DNS: czy potrzebne są wewnętrzne serwery DNS i domeny wyszukiwania?
• Dostęp: do których sieci i usług wewnętrznych można przechodzić ze strefy VPN?
• Eksploatacja: kto aktualizuje Sophos Connect i dystrybuuje nowe profile po zmianach?

Jeżeli VPN Portal jest publicznie dostępny, nie należy traktować go wyłącznie jako strony pobierania. Jest to usługa logowania firewalla i należy do powierzchni ataku. Dlatego Device Access, certyfikat, MFA, logowanie oraz ewentualne ograniczenia źródeł lub krajów powinny być świadomie sprawdzone.

1. Zaloguj się do VPN Portal

Ostrzeżenie dotyczące certyfikatu: Nie podawaj danych logowania ani nie pobieraj konfiguracji VPN, dopóki przyczyna ostrzeżenia nie zostanie usunięta. Administrator VPN musi sprawdzić adres portalu, nazwę hosta w certyfikacie, jego ważność i łańcuch zaufania oraz usunąć przyczynę problemu.

Otwórz VPN Portal Sophos Firewall w przeglądarce. Domyślny adres to https://<Firewall-FQDN>:443, o ile port nie został zmieniony. Następnie zaloguj się jako użytkownik VPN.

Jeżeli przeglądarka ostrzega przed certyfikatem, należy sprawdzić przyczynę. W środowiskach produkcyjnych prawidłowy certyfikat dla VPN Portal jest czystszy niż trwały wyjątek w przeglądarce. W przypadku publicznych portali certyfikat, MFA i Device Access nie są detalami pobocznymi, lecz częścią bezpieczeństwa Remote Access. Do utwardzenia pasuje Device Access i Local Service ACL na Sophos Firewall.

Jeśli użytkownik po udanym logowaniu nie widzi konfiguracji SSL VPN, rzadko jest to problem Windows. Najpierw należy sprawdzić, czy użytkownik albo jego grupa są zawarte w odpowiedniej SSL-VPN-Policy jako Policy members i czy osiągnięto właściwy portal.

2. Pobierz Sophos Connect i konfigurację SSL VPN

W VPN Portal przejdź do obszaru VPN. Udostępniane są tam Sophos Connect Client oraz konfiguracja SSL VPN.

Dla ręcznej konfiguracji Sophos Connect w Windows:

1. W sekcji Sophos Connect client wybierz Download for Windows, aby pobrać klienta, jeśli nie jest dystrybuowany centralnie.
2. W sekcji VPN configuration, przy wybranej konfiguracji SSL VPN, wybierz Download configuration for Windows, macOS, Linux.
3. Wybierz Use with Sophos Connect and OpenVPN Connect v2 clients. Wariant Use with OpenVPN Connect v3 clients jest przeznaczony dla OpenVPN Connect 3, a nie dla Sophos Connect.
4. Zapisz pobrany plik .ovpn w bezpiecznym miejscu, aby później zaimportować go do Sophos Connect.

W przypadku SFOS klienta nie należy pobierać ze strony plików UTM. Użytkownicy pobierają go z VPN Portal zgodnie z powyższym opisem. Administratorzy znajdą ten sam pakiet w WebAdmin w sekcji Remote access VPN > SSL VPN > Download client. Najnowsza wersja jest tam dostępna, gdy Pattern Updates są aktualizowane automatycznie w Backup & firmware > Pattern updates. Przed wdrożeniem należy sprawdzić udostępnioną wersję zgodnie z procedurą Sprawdzanie wersji Sophos Connect Client i bezpieczna aktualizacja.

W środowiskach zarządzanych klient nie powinien być instalowany przypadkowo. Lepsze jest zdefiniowane pakietowanie oprogramowania z jasną wersją, grupą testową i procesem aktualizacji. Zatwierdzona wersja powinna wynikać z oficjalnych Release Notes, VPN Portal albo wewnętrznego pakietu oprogramowania, a nie z pojedynczych pobrań na urządzeniach użytkowników. Aktualne wersje Sophos Connect zawierają również aktualizacje bezpieczeństwa i komponentów, na przykład dla OpenVPN albo OpenSSL.

Jeżeli na urządzeniu z Windows nadal jest zainstalowany stary Sophos SSL VPN Client, trzeba go odinstalować przed instalacją Sophos Connect. Sophos wskazuje, że Sophos Connect nie może działać równolegle z innym zainstalowanym klientem VPN. Równoległe utrzymywanie kilku klientów i profili szybko prowadzi też do użycia niewłaściwych adapterów i niejednoznacznych przypadków supportowych.

Alternatywnie administrator może udostępnić w Windows plik provisioningowy .pro. Sophos Connect pobiera za jego pomocą z VPN Portal konfigurację .ovpn właściwą dla danego użytkownika i może automatycznie uwzględniać późniejsze zmiany. Ten wariant wymaga dostępnego VPN Portal z zaufanym certyfikatem. Szczegółową konfigurację provisioningu i GPO opisuje Konfiguracja Sophos Connect na Sophos Firewall.

3. Zainstaluj Sophos Connect

Uruchom instalator, zaakceptuj warunki licencji, kliknij Install, a następnie zakończ kreator przyciskiem Finish. Podczas aktualizacji należy najpierw odinstalować dotychczasową wersję Sophos Connect, a potem zainstalować wersję aktualną.

Jeżeli podczas instalacji trzeba potwierdzić adapter sieciowy, jest to element klienta VPN. W zarządzanych środowiskach Windows ten krok powinien być poprawnie przygotowany przez dystrybucję oprogramowania albo lokalne uprawnienia administratora.

Po instalacji należy udokumentować wersję Sophos Connect. Pomaga to później w przypadkach supportowych, ponieważ błędy klienta, błędy profilu i błędy firewalla szybko się mieszają. W bieżącej eksploatacji należy stosować procedurę sprawdzania wersji Sophos Connect Client i bezpiecznej aktualizacji.

Aby umożliwić wycofanie zmiany, przed wdrożeniem zachowaj wcześniej zatwierdzony instalator, o ile ta wersja jest nadal dopuszczona wewnętrznie. Jeśli pilotaż nowej wersji się nie powiedzie, rozłącz VPN, odinstaluj nowego klienta i ponownie zainstaluj wcześniej zatwierdzony pakiet. Sophos informuje, że sama aktualizacja klienta nie unieważnia istniejących plików konfiguracyjnych; po wycofaniu należy jednak ponownie sprawdzić wersję, profil, zestawienie połączenia, DNS i dostęp.

Wdrażanie za pomocą skryptu startowego GPO

W przypadku centralnie zarządzanego wdrożenia Sophos opisuje instalację za pomocą skryptu startowego w obiekcie GPO usługi Active Directory. Zapisz plik wsadowy z rozszerzeniem .bat i dodaj go w konsoli Zarządzanie zasadami grupy w ścieżce Group Policy Management > [odpowiedni obiekt GPO] > Computer Configuration > Policies > Windows Settings > Scripts > Startup. Ścieżka instalatora musi wskazywać zatwierdzony pakiet w udziale, który mogą odczytać konta komputerów punktów końcowych. Przykład Sophos dotyczący cichej instalacji MSI wygląda następująco:

@echo off
SET Sophos_Connect=Sophos\Connect\scvpn.exe
IF NOT EXIST "%ProgramFiles(x86)%\%Sophos_Connect%" GOTO INSTALL
exit /b 0

REM Make sure you enter the path where you've hosted the Sophos Connect client.

:INSTALL
msiexec.exe /i \\WINSERVER\Users\Administrator\Downloads\SophosConnect /QN
Popd

Uruchom gpupdate /force, aby zaktualizować zasady. Skrypt startowy zostanie zastosowany przy następnym uruchomieniu punktu końcowego i automatycznie zainstaluje Sophos Connect, jeśli plik %ProgramFiles(x86)%\Sophos\Connect\scvpn.exe nie istnieje. Jeśli scvpn.exe już istnieje, polecenie exit /b 0 prawidłowo kończy skrypt przed sekcją instalacji, dzięki czemu instalacja nie jest powtarzana przy kolejnych uruchomieniach. Po tym uruchomieniu sprawdź na pilotażowym punkcie końcowym, czy plik istnieje, otwórz Sophos Connect i zapisz zainstalowaną wersję przed szerokim wdrożeniem. Procedura ta uzupełnia, a nie zastępuje, opisane wyżej mechanizmy kontroli zatwierdzonego pakietu, grupy testowej i wycofania.

4. Zaimportuj konfigurację SSL VPN

Po instalacji ikona Sophos Connect pojawi się w obszarze powiadomień paska zadań Windows. Otwórz Sophos Connect, kliknij Import connection i wybierz pobrany plik .ovpn.

Plik .ovpn jest przypisany do użytkownika i zawiera unikatowy certyfikat użytkownika wraz z kluczem prywatnym. Nie należy więc udostępniać go jako wspólnego profilu grupowego.

Dokumentacja SFOS 22 opisuje powiązanie zaimportowanego profilu SSL z tożsamością użytkownika, domeną i metodą uwierzytelniania. Wskazuje Login failed. Wrong fingerprint of certificate. jako możliwy błąd, gdy konfigurację SSL VPN zaimportowano przy użyciu innej metody uwierzytelniania lub domeny, i zaleca zaimportowanie osobnego pliku .pro albo własnego pliku .ovpn użytkownika.

Zapisana pomoc SFOS 23 pomija tę sekcję, ale nie dokumentuje zmiany zachowania podczas działania. Nie dowodzi to ani złagodzenia zasad ponownego użycia profili, ani niezmienionego powiązania we wszystkich wersjach. Do czasu uzyskania oficjalnego wyjaśnienia dla używanej wersji SFOS i klienta należy utrzymywać oddzielne wygenerowane profile SSL dla każdej tożsamości, metody uwierzytelniania i domeny, na przykład przy przejściu między użytkownikiem lokalnym, AD i Microsoft Entra ID SSO. Jest to środek ostrożności, a nie zweryfikowana reguła działania SFOS 23.

Źródłowy plik .pro zawiera metadane provisioningu, które można wykorzystywać ponownie; nie jest wygenerowanym na ich podstawie profilem SSL konkretnego użytkownika. Jego ponowne użycie nie pozwala udostępniać tego profilu ani kluczy prywatnych innego użytkownika. Konfiguracja provisioningu Sophos Connect z .pro wyjaśnia to rozróżnienie pod kątem bezpieczeństwa i procedurę importu. Nie należy przenosić opisanego tu powiązania SSL na profile IPsec .scx.

Przy kilku profilach nazwa połączenia powinna być jednoznaczna. Stare lub zduplikowane profile szybko prowadzą do przypadków supportowych, ponieważ użytkownicy wybierają niewłaściwy cel.

W przypadku ręcznie zaimportowanego pliku .ovpn użytkownik musi po istotnych zmianach ponownie pobrać konfigurację z VPN Portal i ją zaimportować. Sophos wymienia tu w szczególności zmiany portu, protokołu, interfejsu lub certyfikatu serwera SSL w globalnych ustawieniach SSL VPN. Sama aktualizacja klienta nie wymaga natomiast ponownego importu profilu; istniejące pliki konfiguracyjne nadal działają.

W połączeniu provisionowanym przez .pro Sophos Connect automatycznie pobiera większość późniejszych zmian konfiguracji. Po zmianie portu lub protokołu w globalnych ustawieniach SSL VPN użytkownik klika ikonę koła zębatego profilu > Update policy. Zmiana portu, gateway, certyfikatu serwera SSL lub protokołu wymaga następnie ponownego logowania. Jeśli zmieni się gateway albo port VPN Portal zapisany w pliku .pro, należy zamiast tego rozdystrybuować poprawiony plik .pro.

Typowe wskazówki na przestarzały albo błędny profil:

• Połączenie pokazuje starą nazwę lokalizacji: zwykle nadal zaimportowany jest stary profil. Usunąć stare połączenie i ponownie zaimportować aktualny .ovpn.
• Ostrzeżenie certyfikatu lub gateway: FQDN, certyfikat albo Override Hostname mogły zostać zmienione. Pobrać profil z aktualnego VPN Portal.
• DNS nie działa tylko na pojedynczych klientach: sprawdzić stare wartości DNS w profilu albo lokalne zachowanie DNS. Ponownie zaimportować profil i sprawdzić DNS w Windows.
• Użytkownik nie widzi konfiguracji w portalu: sprawdzić przypisanie Policy albo kontekst użytkownika. Skontrolować SSL-VPN-Policy i członkostwo w grupach.

5. Zestaw połączenie VPN

Wybierz zaimportowane połączenie i kliknij Connect. Następnie zaloguj się użytkownikiem VPN. Jeżeli MFA albo OTP jest aktywne, drugi czynnik musi zostać potwierdzony zgodnie z konfiguracją firewalla.

Po zestawieniu połączenia nie należy sprawdzać tylko statusu w kliencie. Decydujące jest to, czy wymagane cele wewnętrzne są osiągalne.

Jeżeli używane jest Microsoft Entra ID SSO, wymagane są Sophos Connect 2.4 lub nowszy w Windows oraz SFOS 21.5 lub nowszy. Na współdzielonych urządzeniach poprzedni użytkownik powinien wybrać w menu Sophos Connect Force SSO re-login, aby kolejny użytkownik musiał zalogować się własnym kontem Entra ID.

Kontrola po instalacji

Co najmniej te punkty powinny zostać sprawdzone z użytkownikiem testowym:

• Sophos Connect pokazuje połączenie jako zestawione.
• Użytkownik otrzymuje adres IP z oczekiwanej puli SSL VPN.
• Wewnętrzne nazwy DNS są poprawnie rozwiązywane.
• Wymagane serwery i aplikacje są osiągalne.
• Zachowanie Internetu odpowiada projektowi: Split Tunnel albo Full Tunnel.
• W Log Viewer widoczna jest oczekiwana reguła firewall dla ruchu ze strefy VPN.
• MFA jest wymagane zgodnie z planem.
• Świadomie niedozwolony cel pozostaje zablokowany.
• Zerwanie połączenia i ponowne logowanie działają.

Jeżeli połączenie jest zestawione, ale dostęp nie działa, przyczyna często nie leży po stronie klienta, lecz w regułach firewall, DNS, routingu albo NAT. Do analizy pasuje Testowanie reguły firewall z Log Viewer, Policy Test i Packet Capture.

Szybka kontrola po stronie Windows

Na kliencie Windows proste testy pomagają przed zmianą konfiguracji firewalla:

ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10

Nie chodzi przy tym o dopuszczenie każdego pinga. Decydujące jest, czy klient otrzymał adres SSL VPN, czy istnieje trasa do wewnętrznej sieci docelowej i czy DNS rozwiązuje przez oczekiwany serwer. Jeśli dostęp działa po adresie IP, ale nie po nazwie, bardziej prawdopodobny jest DNS niż reguła firewalla.

Eksploatacja i bezpieczeństwo

SSL VPN jest publicznie osiągalną usługą Remote Access. Dlatego należy dokumentować nie tylko instalację, lecz także eksploatację:

• regularnie aktualizować Sophos Connect;
• aktywować i testować MFA dla Remote Access;
• regularnie sprawdzać grupy VPN;
• ograniczać dostęp do portalu przez Device Access i Local Service ACL, o ile to możliwe;
• utrzymywać wąskie reguły firewall dla strefy VPN i logować je;
• usuwać stare pliki .ovpn i przestarzałe profile;
• przy dłuższym przechowywaniu logów zaplanować Syslog albo centralną analizę.

Do podstaw MFA pasuje Aktywacja MFA dla Sophos Firewall WebAdmin, VPN Portal i Remote Access. W przypadku plików logów i service logs pomocny jest Sophos Firewall Troubleshooting: Services i Logs.

Troubleshooting

Logowanie do VPN Portal nie działa

Sprawdź użytkownika, hasło, MFA, członkostwo w grupach i serwer uwierzytelniania. Jeżeli uczestniczy AD, RADIUS albo Microsoft Entra ID SSO, uwierzytelnianie należy przetestować oddzielnie od VPN.

Użytkownik nie widzi konfiguracji SSL VPN w VPN Portal

Jeśli logowanie działa, ale nie widać pliku .ovpn ani pobierania SSL VPN, nie należy szukać przyczyny na kliencie Windows. Najpierw trzeba sprawdzić SSL-VPN-Policy, Policy members, członkostwo w grupach, dostęp do portalu i limit User-ID. Procedurę po stronie firewalla opisuje Konfiguracja Sophos Firewall SSL VPN Remote Access.

Nie można zaimportować pliku .ovpn

Najpierw sprawdź, czy plik rzeczywiście należy do aktualnej konfiguracji firewalla i czy Sophos Connect jest wystarczająco aktualny. Przy znakach specjalnych w certyfikatach albo danych użytkownika należy używać aktualnego klienta.

Jeżeli pobieranie pliku .ovpn w samym VPN Portal kończy się błędem mimo poprawnego logowania i uprawnień, należy dodatkowo sprawdzić limit Sophos Firewall User-ID.

Połączenie jest zestawione, ale systemy wewnętrzne są nieosiągalne

Sprawdź DNS, reguły firewall, routing, NAT i drogę powrotną. W Log Viewer powinien być widoczny ruch ze strefy VPN. Jeżeli logi się nie pojawiają, ruch prawdopodobnie nie trafia w oczekiwaną regułę albo logowanie jest wyłączone.

Jeżeli małe dostępy działają, ale większe transfery plików albo określone aplikacje się zawieszają, należy dodatkowo sprawdzić MTU/MSS: Sprawdzanie MTU i MSS na Sophos Firewall przy problemach VPN.

Sophos Connect zgłasza Policy mismatch albo Compression mismatch

• Policy mismatch z informacją o konieczności ponownego importu: przy ręcznie zaimportowanym połączeniu .ovpn pobierz aktualny plik z VPN Portal i zaimportuj go ponownie. Przy połączeniu provisionowanym Sophos Connect automatycznie pobiera nową policy i ponownie zestawia tunel.
• Compression mismatch: przy połączeniu .ovpn połącz się ponownie ręcznie. Przy połączeniu .pro Sophos Connect automatycznie podejmuje próbę ponownego połączenia.

W przypadku TCP klient wykrywa zmianę SSL-VPN-Policy podczas aktywnego połączenia i odpowiednio rozłącza lub aktualizuje tunel. W przypadku UDP może być konieczne wcześniejsze wygaśnięcie Inactivity Timer. Dlatego należy dokumentować czas, protokół i dokładny komunikat zdarzenia, zamiast traktować wszystkie komunikaty mismatch jednakowo.

Po zmianie profilu Sophos Connect nadal łączy się ze starym celem

Często nadal istnieje stary wpis połączenia albo użytkownicy wybierają w kliencie niewłaściwą nazwę profilu. Należy usunąć stare profile, ponownie zaimportować aktualny .ovpn i wybrać nazwę profilu tak, aby lokalizacja, środowisko albo cel były jednoznacznie rozpoznawalne.

Połączenie zrywa się w obcych sieciach

SSL VPN jest często bardziej tolerancyjny niż IPsec, ale nie jest odporny na restrykcyjne sieci, Captive Portals, wymuszone proxy ani niestabilne WLAN. W takich przypadkach należy przetestować drugą sieć i sprawdzić, czy Split Tunnel, port, protokół albo ZTNA pasują lepiej.

Zbieranie danych supportowych

Jeżeli przyczyna błędu nie jest od razu widoczna, wybierz menu z trzema kropkami > About > Generate technical support report, aby utworzyć plik scvpntsr.zip. Zawiera on zdarzenia połączeń, konfiguracje VPN i informacje o punkcie końcowym. Przed przekazaniem należy sprawdzić dane wrażliwe, takie jak nazwy użytkowników, wewnętrzne nazwy hostów, adresy IP i FQDN gateway.

Po stronie firewalla równolegle pomagają Log Viewer, sslvpn.log, openvpn-status*.log i odpowiednia reguła firewall. Przypisanie plików logów opisuje Sophos Firewall Troubleshooting: Services i Logs.

FAQ