Konfiguracja Sophos Connect na Sophos Firewall

Sophos Connect konfiguruje się na firewallu w sekcji Remote access VPN > IPsec. Aby połączenie działało, profil IPsec, uwierzytelnianie, grupa użytkowników, pula IP, DNS, reguły firewall i rozprowadzony profil klienta muszą być ze sobą spójne. Ten artykuł opisuje kompletną konfigurację IPsec Remote Access po stronie firewalla.

Dla SSL VPN obowiązuje osobna instrukcja Konfiguracja SSL VPN Remote Access na Sophos Firewall. Jeśli trzeba jeszcze wybrać między IPsec, SSL VPN, klientami mobilnymi i ZTNA, warto zacząć od artykułu Sophos Connect czy SSL VPN: które rozwiązanie Remote Access wybrać?.

Konfiguracja w skrócie

1. W sekcji Remote access VPN > IPsec włączyć IPsec Remote Access oraz wybrać interfejs WAN i dozwolony profil IKEv1.
2. Skonfigurować PSK lub certyfikaty cyfrowe oraz ustawić Local ID i Remote ID.
3. Wybrać uprawnionych użytkowników lub ich grupę główną i sprawdzić przełącznik grupy.
4. Wprowadzić nazwę połączenia, pulę IP i wewnętrzne serwery DNS.
5. Określić Split Tunnel lub Full Tunnel oraz pozostałe Advanced Settings.
6. Skonfigurować reguły firewall i wymagane wpisy w sekcji Administration > Device access.
7. Wyeksportować .scx, zaimportować go dla użytkownika testowego i ponownie sprawdzić połączenie po restarcie klienta.

Wymagania i planowanie

Potrzebny jest dostęp administratora do WebAdmin, wolny zakres adresów VPN, wewnętrzne serwery DNS dla nazw wewnętrznych, określone sieci i usługi docelowe oraz użytkownicy lub grupy objęte koncepcją MFA. Przed aktualizacją do SFOS 22.0 MR1 lub nowszej wersji należy zmigrować Legacy Remote Access IPsec, ponieważ ta starsza konfiguracja może zablokować upgrade.

Przed konfiguracją trzeba ustalić:

• lokalnych użytkowników, główną grupę AD, RADIUS lub Microsoft Entra ID SSO;
• osobną pulę VPN bez nakładania się na LAN, WLAN, VLAN, Site-to-Site VPN lub popularne sieci domowe;
• wewnętrzne serwery DNS i w razie potrzeby sufiks DNS;
• dozwolone serwery, sieci i usługi zamiast ogólnego dostępu do całego LAN;
• Split Tunnel lub Full Tunnel;
• MFA, proces wsparcia, dystrybucję profili i aktualizacje klienta;
• udokumentowaną ścieżkę wycofania zmian na wypadek problemów z nowym profilem lub wersją klienta.

W konfiguracji MFA pomaga artykuł Konfiguracja MFA na Sophos Firewall.

Prawidłowe użycie typów profili

• .scx: profil Sophos Connect dla IPsec z ustawieniami ogólnymi i zaawansowanymi.
• .tgb: profil IPsec dla starszych klientów lub klientów innych producentów, zawierający tylko ustawienia ogólne.
• .ovpn: profil SSL VPN z konfiguracji SSL VPN lub VPN Portal.
• .pro: plik provisioningu dla Windows 10 i 11, który po zalogowaniu pobiera konfiguracje przez VPN Portal i automatycznie przejmuje późniejsze zmiany konfiguracji. W macOS profil IPsec importuje się jako .scx.

Dla nowych wdrożeń Sophos Connect IPsec właściwym standardem jest .scx. Po ogólnych zmianach IPsec trzeba ponownie wyeksportować .scx i .tgb; jeśli zmieniono tylko Advanced Settings, wystarczy nowy .scx. Jeśli zmieni się wartość w samym pliku .pro, na przykład port VPN Portal, ten plik również trzeba zaktualizować.

Provisioning upraszcza dystrybucję, ale uzależnia klienta od VPN Portal. Jeśli portal ma być dostępny z internetu, dostęp w sekcji Administration > Device access należy ograniczyć tak mocno, jak to możliwe. Stale szeroko dostępny portal zwiększa powierzchnię ataku; więcej informacji zawiera artykuł Device Access i Local Service ACL na Sophos Firewall.

Konfiguracja IPsec Remote Access

W aktualnych wersjach SFOS konfiguracja znajduje się w sekcji Remote access VPN > IPsec. Starsze interfejsy i istniejący zrzut ekranu mogą nadal pokazywać ścieżkę VPN > Sophos Connect Client.

Interfejs WAN i profil IPsec

Włączyć IPsec remote access i wybrać interfejs WAN, przez który klienci docierają do firewalla. Publiczny adres IP lub DynDNS/FQDN, routery nadrzędne, przekierowania portów oraz zachowanie WAN Failover muszą pasować do tej konfiguracji.

Dla IPsec Remote Access SFOS dopuszcza tylko profile IKEv1, w których Dead Peer Detection jest wyłączone lub ustawione na Disconnect. Profil określa parametry IKE i IPsec oraz musi odpowiadać koncepcji bezpieczeństwa i wszystkim wdrożonym klientom.

Uwierzytelnianie i identyfikatory

Zwykle stosuje się Preshared key lub Digital certificate. PSK można szybko skonfigurować, ale musi być silnie chroniony i w razie podejrzenia naruszenia wymieniony we wszystkich profilach, których dotyczy. MFA dodatkowo zabezpiecza logowanie użytkownika, ale nie zastępuje PSK ani certyfikatu.

Dla certyfikatów cyfrowych w SFOS 22.0 obowiązują konkretne warunki:

• IPsec obsługuje certyfikaty RSA, ale nie ECDSA.
• Local Certificate i Remote Certificate wymagają Certificate ID.
• Dla tego połączenia nie wolno wybierać External certificate.
• Certyfikatów podpisanych lokalnie i certyfikatów innych producentów nie można dowolnie łączyć. Należy użyć certyfikatów utworzonych na firewallu dla obu stron albo certyfikatów podpisanych przez ten sam zewnętrzny CA i zaimportować jego Signing CA na firewall.

Sophos zaleca Local ID dla firewalla oraz odmienne Remote ID dla klientów. Dostępne są nazwa DNS, adres IP, adres e-mail, a dla certyfikatów DER ASN1 DN [X509]. Identyfikatory nie są dowolnymi nazwami wyświetlanymi: profil i firewall muszą używać tych samych oczekiwanych wartości.

Przed wdrożeniem należy również sprawdzić okres ważności, klucze prywatne, proces odnawiania i dystrybucję certyfikatów. Późniejsza wymiana certyfikatu dotyczy nie tylko firewalla, lecz także wyeksportowanych profili i testów akceptacyjnych na klientach.

Użytkownicy i grupy

W sekcji Allowed users and groups należy dodać wyłącznie uprawnionych użytkowników lub grupy. Dla użytkowników katalogowych w IPsec Remote Access decydująca jest grupa główna. Dlatego przy dostępie opartym na grupach dedykowana grupa VPN musi być ustawiona jako grupa główna. Jeśli nie jest to możliwe, należy zezwolić na dostęp poszczególnym użytkownikom, a nie dopuszczać szerokiej grupy głównej tylko z powodu dodatkowej grupy VPN.

Dodatkowo w sekcji Authentication > Groups dla grupy głównej trzeba sprawdzić, czy włączono IPsec remote access. Dla importowanych grup AD i grup zmigrowanych przełącznik jest domyślnie wyłączony, a dla nowych grup lokalnych włączony. Jeśli użytkownik należy do kilku grup, obowiązuje polityka najwyżej położonej grupy; indywidualne polityki użytkownika mają pierwszeństwo. Kolejność grup opisano dokładniej w artykule Łączenie Active Directory z Sophos Firewall.

Wyłączenie IPsec Remote Access dla grupy rozłącza jej aktywnych użytkowników i uniemożliwia ponowne logowanie. Przed pierwszym klasycznym logowaniem w Sophos Connect użytkownik AD musi zwykle zalogować się przez inny Authentication Client, na przykład User Portal. W przypadku provisioningu .pro firewall może automatycznie utworzyć i przypisać użytkownika podczas pierwszego logowania. Guest users nie są obsługiwani w Remote Access.

Nazwa połączenia, pula IP i DNS

Należy nadać nazwę zrozumiałą dla użytkowników i wsparcia, na przykład homeoffice lub remote-access-ipsec. Zakres dzierżaw IPsec musi znajdować się w podsieci o rozmiarze co najmniej /24, na przykład od 10.250.10.10 do 10.250.10.200 w 10.250.10.0/24. Nie może być równocześnie używany dla SSL VPN, L2TP ani PPTP i nie może nakładać się na sieci wewnętrzne, sieci Site-to-Site ani popularne sieci domowe, takie jak 192.168.0.0/24 i 192.168.1.0/24.

Rozmiar zależy od maksymalnej liczby jednoczesnych użytkowników. Pulę, zarezerwowane adresy i powiązane reguły firewall należy udokumentować w IPAM lub dokumentacji sieciowej, aby późniejsze zmiany nie spowodowały niezauważonych kolizji.

Dla wewnętrznych FQDN należy rozprowadzić wewnętrzne serwery DNS i w razie potrzeby sufiks DNS. Zewnętrzne resolwery, takie jak 1.1.1.1, 8.8.8.8, 9.9.9.9 lub 208.67.222.222, nie rozwiązują stref wewnętrznych. Dlatego tunel może być zielony, mimo że aplikacje nie działają z powodu błędnych odpowiedzi DNS.

Idle Time i Advanced Settings

Opcję Disconnect when tunnel is idle oraz przedział czasu należy ustawić tak, aby nieużywane połączenia były kończone bez niepotrzebnego przerywania normalnych sesji roboczych. Jeśli Sophos Connect po Idle Disconnect nie może połączyć się automatycznie, w kliencie należy najpierw wybrać Disconnect, a następnie Connect.

Krótkie timeouty pasują raczej do sporadycznego dostępu administracyjnego, a dłuższe do stabilnych sesji roboczych. Przy OTP/MFA trzeba przetestować reconnect z wybraną wartością i udokumentować zachowanie dla helpdesku.

Advanced Settings są zapisywane tylko w .scx, a nie w .tgb:

• Use as default gateway: Full Tunnel dla całego ruchu albo Split Tunnel tylko do zasobów wewnętrznych.
• Permitted network resources: sieci dostępne przez Split Tunnel.
• Send Security Heartbeat through tunnel: przesyłanie Heartbeat z Sophos Endpoint przez tunel VPN.
• Allow users to save username and password: włączać tylko wtedy, gdy pasuje to do koncepcji MFA i bezpieczeństwa.
• Prompt users for 2FA token: wyświetlanie osobnego pola OTP.
• Run AD logon script after connecting: aktywować tylko potrzebne skrypty, na przykład mapowanie dysków, i sprawdzić je z użytkownikiem testowym.
• Connect tunnel automatically: automatyczne nawiązanie tunelu podczas logowania użytkownika.

Po włączeniu Prompt users for 2FA token narzędzie wiersza poleceń SCCLI nie działa. Sophos Connect nie obsługuje też challenge-based OTP; hasło i OTP są technicznie przekazywane do serwera uwierzytelniającego w formacie passwordotp.

Po zapisaniu należy użyć Export connection, a następnie bezpiecznie rozprowadzić konfigurację. Profile zawierają dane połączenia istotne dla bezpieczeństwa i nie powinny trafiać do ogólnodostępnych lokalizacji.

Reguły firewall i Device Access

Sophos Connect jedynie zestawia tunel. Dostęp produkcyjny nadal wymaga reguł firewall. Dla celów wewnętrznych należy utworzyć możliwie wąską regułę z VPN do wymaganej strefy docelowej i włączyć logging przynajmniej na etapie wdrożenia.

• Source Zone: VPN
• Destination Zone: LAN lub rzeczywiście wymagana strefa wewnętrzna

Przy Full Tunnel z opcją Use as default gateway potrzebna jest dodatkowo reguła z VPN do WAN oraz odpowiednia koncepcja NAT i Security Policy.

• Source Zone: VPN
• Destination Zone: WAN

W sekcji Administration > Device access należy zezwolić na IPsec z wymaganej strefy WAN. VPN Portal powinien być dostępny tylko z tych stref, które są rzeczywiście potrzebne do pobierania lub provisioningu. Jeśli sam firewall jest używany jako resolver DNS lub cel Ping, trzeba również zezwolić na DNS albo Ping ze strefy VPN.

W analizie reguł pomaga artykuł Testowanie reguły firewall za pomocą Log Viewer, Policy Test i Packet Capture. Po wdrożeniu należy świadomie ustalić, które reguły Remote Access mają być stale logowane i które zdarzenia mają być dodatkowo wysyłane do Sophos Central lub Syslog. Przy Full Tunnel obowiązują Web Protection, Application Control i inne polityki bezpieczeństwa, tak jak dla pozostałych sieci klienckich.

Testy akceptacyjne i eksploatacja połączenia

Następnie należy zainstalować Sophos Connect w systemie Windows lub macOS i przeprowadzić test z użytkownikiem testowym:

• Profil importuje się bez błędów, a logowanie z MFA działa.
• Klient otrzymuje adres z przewidzianej puli.
• Wewnętrzne FQDN i najważniejsze systemy są dostępne.
• Log Viewer pokazuje trafienia oczekiwanej reguły.
• Split Tunnel blokuje niedozwolone cele albo Full Tunnel prowadzi ruch internetowy zgodnie z planem przez firewall i NAT.
• Reconnect działa po zmianie sieci oraz restarcie klienta lub Endpoint.
• Klient testowy korzysta z udokumentowanej wersji profilu, a provisioning przejmuje zmiany w sposób możliwy do prześledzenia.

Dla późniejszej eksploatacji należy udokumentować:

• odpowiedzialną grupę VPN i proces odbierania dostępu użytkownikom odchodzącym z organizacji;
• reset MFA oraz blokowanie i odblokowywanie użytkowników;
• aktualną wersję profilu lub datę zmiany;
• znane ścieżki logów i wsparcia dla helpdesku;
• ponowne sprawdzenie Legacy Remote Access IPsec i profili klientów przed aktualizacjami SFOS.

Dla zmian puli, DNS, gateway, certyfikatów, grup lub Advanced Settings należy ustalić osobę odpowiedzialną, datę zmiany, ścieżkę wycofania i ponowny test akceptacyjny.

Rozwiązywanie problemów

Failed to validate certificate po restarcie

Jeśli pierwsze połączenie działa, ale po restarcie Endpoint lub Sophos Connect pojawia się komunikat Failed to validate certificate, Local Certificate i Remote Certificate często nie są podpisane przez ten sam CA.

Należy sprawdzić spójność przypisania CA oraz Certificate IDs dla Local Certificate i Remote Certificate. Można użyć certyfikatów wygenerowanych na firewallu lub podpisanych przez ten sam zewnętrzny CA, zaimportować Signing CA zewnętrznego dostawcy na firewall albo przejść na PSK. Następnie trzeba ponownie wyeksportować i zaimportować profil oraz jeszcze raz przetestować połączenie po kolejnym restarcie.

Remote Access IPsec nie działa po przełączeniu awaryjnym HA

Jeśli Remote Access IPsec działał przed zmianą ról w klastrze HA, a później nie można już nawiązać nowego połączenia, opis problemu odpowiada NC-175860 tylko wtedy, gdy wcześniej ponownie wygenerowano również Appliance Certificate. Jeśli którykolwiek z tych warunków nie jest spełniony, połączenie należy zbadać za pomocą standardowej diagnostyki IPsec.

Sophos usunął ten błąd w wersji SFOS 22.0 MR2 Build 546 z 14 lipca 2026. Sophos nie podaje wersji, w której problem pojawił się po raz pierwszy, oficjalnego obejścia ani jednoznacznego komunikatu w logach.

Przed wprowadzeniem zmian na obu urządzeniach HA należy zapisać wersję i build firmware’u, tryb HA, bieżące role oraz Last status change. Diagnostyka powinna również obejmować dokładny czas przełączenia awaryjnego, Authentication Type, wybrane Local i Remote Certificates wraz z Certificate IDs, wersję rozprowadzonego profilu klienta oraz odpowiadające czasowo wpisy z strongswan.log. Logi HA nie są synchronizowane między urządzeniami, dlatego trzeba sprawdzić logi węzła, który obsłużył nieudaną próbę połączenia.

Jeśli klaster korzysta z wersji starszej niż poprawka, należy najpierw sprawdzić zatwierdzoną ścieżkę aktualizacji do SFOS 22.0 MR2 Build 546 lub nowszej obsługiwanej wersji. Następnie w oknie serwisowym trzeba przeprowadzić kontrolowaną zmianę ról w klastrze Active-passive. Rzeczywisty klient zdalny z sieci zewnętrznej musi potem ponownie nawiązać połączenie; następnie należy sprawdzić dostępność zasobów wewnętrznych, oczekiwaną regułę firewalla i logi IPsec.

⚠️ Nie należy ponownie generować ani wymieniać Appliance Certificate bez potwierdzonej przyczyny ani ponownie rozprowadzać profili bez udokumentowanego powodu. Sophos nie opisuje tych działań jako obejścia dla NC-175860.

Użytkownik nie może się zalogować

Najpierw należy sprawdzić, czy grupa główna znajduje się w Allowed users and groups i czy w Authentication > Groups włączono IPsec remote access. Następnie sprawdzić serwer uwierzytelniający, MFA, status hasła, blokadę użytkownika i wymagane pierwsze logowanie. AD, RADIUS lub Entra ID należy najpierw przetestować niezależnie od VPN. W przypadku Microsoft Entra ID SSO metody w Authentication > Services muszą być prawidłowo przypisane jeszcze przed eksportem profilu.

Jeśli pojawia się no IKE config found, trzeba dodatkowo porównać profil IPsec, Local ID i Remote ID w firewallu i profilu klienta. Jeśli problem dotyczy tylko pojedynczych użytkowników katalogowych, należy sprawdzić także grupę główną, UPN, adres e-mail i mapowanie grup. Sophos Connect obsługuje w nazwach użytkowników wyłącznie znaki ASCII, dlatego nazwy ze znakami diakrytycznymi lub innymi znakami UTF-8/UTF-16 mogą nie działać mimo poprawnego hasła.

Połączenie jest zielone, ale brakuje ruchu lub internetu

W Log Viewer należy sprawdzić, czy ruch ze strefy VPN trafia w oczekiwaną regułę. Jeśli nie ma trafień, sprawdzić trasy klienta, Permitted network resources, sieci źródłowe i docelowe oraz Packet Capture; jeśli trafienia są widoczne, zawęzić analizę do routingu, ścieżki powrotnej, DNS i NAT. Device Access jest tutaj istotny tylko wtedy, gdy celem jest sam firewall, na przykład dla DNS lub Ping. Przy Full Tunnel muszą pasować reguła VPN do WAN i SNAT. Głębszą analizę tunelu opisuje Troubleshooting IPsec VPN na Sophos Firewall.

Klient lub provisioning używa starych wartości

Po zmianach ogólnych trzeba ponownie wyeksportować ręcznie rozprowadzane pliki .scx i .tgb; przy zmianach wyłącznie w Advanced Settings wystarczy zastąpić .scx. Stare wersje należy wycofać z obiegu. Dla .pro trzeba najpierw sprawdzić dostępność VPN Portal, port portalu, gateway, certyfikat, logowanie użytkownika i MFA. Przy Entra SSO wartość gateway musi odpowiadać Redirect URI.

Połączenie zrywa się mniej więcej co cztery godziny

Podczas IKEv1 Rekeying ponowne żądanie OTP może przerwać tunel. Przyczynę, dłuższy interwał Rekey i konsekwencje dla bezpieczeństwa opisuje artykuł Rozwiązywanie problemu z czterogodzinnym timeoutem IPsec Remote Access.

Duże transfery zatrzymują się lub IPsec nie działa tylko w obcych sieciach

Jeśli logowanie, DNS i małe transfery działają, ale większe nie, należy sprawdzić MTU i MSS. Jeśli IPsec przestaje działać tylko w hotelach, sieciach gościnnych Wi-Fi, sieciach komórkowych lub ściśle filtrowanych sieciach firmowych, dana sieć może blokować IPsec. Wtedy trzeba ocenić, czy dla tych użytkowników lepszym rozwiązaniem będzie SSL VPN lub inny model Remote Access.

FAQ