Konfiguracja Sophos Connect na Sophos Firewall

Sophos Connect dla zdalnego dostępu IPsec konfiguruje się w SFOS 22 w sekcji Remote access VPN > IPsec. Sam tunel nie zapewnia jeszcze dostępu: uwierzytelnianie, adresacja klientów, DNS, reguły firewalla i dystrybuowany profil muszą działać jako spójna całość.

Ten artykuł celowo ogranicza się do konfiguracji po stronie firewalla. Instalację i import opisano osobno dla systemów Windows i macOS. W przypadku SSL VPN należy skorzystać z instrukcji Konfiguracja SSL VPN Remote Access na Sophos Firewall, a w wyborze architektury pomoże porównanie Sophos Connect czy SSL VPN.

Przed pierwszym kliknięciem

Do kontrolowanego wdrożenia potrzebne są:

• dostęp administracyjny do WebAdmin oraz osiągalny adres WAN;
• użytkownicy lub grupy w źródle obsługiwanym przez Sophos Connect, na przykład lokalnie, w Active Directory, przez RADIUS albo Microsoft Entra ID, a także odpowiednia koncepcja MFA;
• wolna prywatna pula adresów klientów, wewnętrzne sieci docelowe oraz rzeczywiście potrzebne usługi;
• serwery DNS, które potrafią rozwiązywać wymagane nazwy wewnętrzne, oraz w razie potrzeby sufiks DNS;
• profil IPsec IKEv1 oraz klucz Preshared Key albo odpowiednie certyfikaty RSA;
• zewnętrzne łącze testowe, na przykład hotspot komórkowy. SFOS nie obsługuje IPsec Remote Access ze strefy LAN.

Przed aktualizacją do SFOS 22.0 MR1 lub nowszej wersji trzeba najpierw sprawdzić, czy konieczna jest migracja Legacy Remote Access IPsec.

Najpierw przypisz usługi uwierzytelniania

W sekcji Authentication > Services wymagane serwery muszą znajdować się we właściwych pozycjach listy Selected authentication server:

• VPN portal authentication methods — dla VPN Portal i provisioningu;
• VPN (IPsec/dial-in/L2TP/PPTP) authentication methods — dla logowania do tunelu IPsec.

Typowa konfiguracja obejmuje Local oraz skonfigurowany w sekcji Authentication > Servers serwer katalogowy, RADIUS albo Entra ID. To przypisanie należy przetestować przed eksportem. W przypadku Microsoft Entra ID SSO serwer Entra ID musi być wybrany już w tym miejscu przed pobraniem pliku konfiguracyjnego; w przeciwnym razie w pliku .scx zabraknie wartości SSO. Pełną procedurę opisuje artykuł Microsoft Entra ID SSO dla VPN, a konfigurację OTP — Konfiguracja MFA na Sophos Firewall.

W przypadku SSO w systemie Windows z Sophos Connect 2.4 lub nowszym należy rozróżnić firmware i dostawcę: w SFOS 22 obowiązuje procedura Entra ID wskazana powyżej; SFOS 23 udostępnia OpenID Connect (OIDC) z obsługiwanym dostawcą tożsamości (IdP). Entra ID nadal jest prawidłową opcją. Konfiguracja Google Workspace OIDC opisuje drugiego omawianego tutaj dostawcę i jego ograniczenia; nie jest to gwarancja obsługi dowolnego dostawcy OIDC, platformy klienta ani buildu firmware’u.

Również dla profilu importowanego bezpośrednio należy wybrać odpowiedni serwer IdP w Authentication > Services przed pobraniem konfiguracji. Przy bezpośrednim SSL VPN portal VPN i SSL VPN muszą używać tego samego serwera. Przy bezpośrednim IPsec tunel może używać tego samego serwera co portal VPN lub innego; nie oznacza to dowolnej zamienności dostawców. Rozszerzenie OIDC dla systemu Windows nie rozszerza opisanego poniżej wsparcia Entra ID SSO w macOS.

Określ adresy, cele i drogę wycofania zmian

Aby uniknąć kolizji, pula VPN nie może nakładać się na LAN, WLAN, sieci VLAN, tunele Site-to-Site VPN ani typowe sieci domowe. SFOS wymaga ponadto, aby zakres należał do podsieci o rozmiarze co najmniej /24 i nie był jednocześnie używany dla SSL VPN, L2TP ani PPTP. Przykładowy zakres to od 10.250.10.10 do 10.250.10.200 w podsieci 10.250.10.0/24.

Przed zmianą należy udokumentować bieżącą konfigurację IPsec, wybrane certyfikaty i identyfikatory, kolejność reguł oraz dotychczas dystrybuowane wersje .scx i .pro. Stary profil trzeba przechowywać w bezpiecznym miejscu. Dzięki temu nieudaną zmianę można wycofać, przywracając poszczególne wartości i reguły bez usuwania istniejących użytkowników, certyfikatów czy innych konfiguracji VPN. Przycisk Reset na końcu strony IPsec przywraca natomiast ustawienia fabryczne konfiguracji IPsec Remote Access i nie służy do zwykłego wycofywania zmian.

Pełna konfiguracja IPsec Remote Access

Starsze wersje interfejsu oraz istniejący zrzut ekranu pokazują jeszcze ścieżkę VPN > Sophos Connect Client. W SFOS 22 właściwa ścieżka to Remote access VPN > IPsec.

General settings

1. Włącz IPsec remote access.
2. W polu Interface wybierz port WAN, który będzie punktem końcowym tunelu. W tej konfiguracji Remote Access SFOS umożliwia wskazanie dokładnie jednego interfejsu WAN; wiele bram provisioningu nie zmienia powiązania tunelu z tym interfejsem.
3. W polu IPsec profile wybierz profil IKEv1. Profil pojawi się na liście tylko wtedy, gdy funkcja Dead Peer Detection jest wyłączona albo ustawiona na Disconnect. Algorytmy fazy 1 i 2, DH/PFS oraz czasy ważności muszą odpowiadać przyjętemu standardowi bezpieczeństwa. Silne algorytmy i PFS są zalecanymi praktykami, natomiast wskazane wymagania dotyczące IKEv1 i DPD są narzucone przez SFOS.
4. Ustaw Authentication type na Preshared key albo Digital certificate.
5. Uzupełnij Local ID, Remote ID oraz Allowed users and groups.

Klucz PSK jest umieszczany w eksportowanej konfiguracji. Musi być losowy i odpowiednio chroniony, a w razie podejrzenia ujawnienia należy wymienić go wraz ze wszystkimi profilami, których dotyczy. MFA zapewnia dodatkową ochronę logowania użytkownika, ale nie zastępuje klucza tunelu.

Dla opcji Digital certificate w SFOS 22 obowiązują jednoznaczne ograniczenia:

• IPsec używa certyfikatów RSA, a nie ECDSA;
• Local Certificate i Remote Certificate wymagają Certificate ID;
• nie wolno wybierać opcji External certificate;
• Local Certificate i Remote Certificate muszą pochodzić z tego samego łańcucha zaufania. Należy użyć certyfikatów wygenerowanych lokalnie albo certyfikatów wystawionych przez ten sam zewnętrzny urząd certyfikacji (CA), a jego Signing CA wgrać na firewall.

Sophos zaleca zastosowanie Local ID do identyfikacji firewalla oraz innego Remote ID dla klientów. Dozwolone typy to DNS, IP Address, Email, a w przypadku certyfikatów także DER ASN1 DN [X509]. Przy ostatnim typie firewall przejmuje Distinguished Name z certyfikatu. Identyfikatory nie muszą być publicznie rozwiązywalne, ale firewall i eksportowany profil muszą oczekiwać tych samych wartości.

Precyzyjnie nadaj dostęp użytkownikom i grupom

W polu Allowed users and groups należy uwzględnić wyłącznie przeznaczone do tego konta. W przypadku użytkownika katalogowego IPsec Remote Access uwzględnia jego Main group. Dozwolona grupa AD musi więc być jego grupą główną; w przeciwnym razie należy zezwolić na dostęp konkretnemu użytkownikowi zamiast otwierać dostęp szerokiej grupie.

W sekcji Authentication > Groups należy sprawdzić efektywne ustawienie IPsec remote access i kolejność grup. Dopóki zdalny dostęp IPsec nie jest skonfigurowany, jest domyślnie wyłączony dla wszystkich grup. Po konfiguracji zaimportowane grupy AD i grupy zmigrowane pozostają domyślnie wyłączone, natomiast nowo utworzone grupy lokalne są domyślnie włączone. Jeśli użytkownik należy do wielu grup, obowiązuje polityka grupy znajdującej się najwyżej. Indywidualne polityki użytkowników co do zasady mają pierwszeństwo: użytkownik może na przykład zostać jawnie uprawniony mimo wyłączenia dostępu dla grupy. Kluczowy wyjątek: jeśli zdalny dostęp IPsec został jawnie włączony dla grupy, nie można zablokować tego dostępu przez indywidualne wyłączenie go dla jej członka. Podczas odbierania użytkownikowi dostępu należy więc sprawdzić efektywne przypisanie Main-group, kolejność grup oraz wszystkie uprawnienia nadane użytkownikowi lub grupom i odebrać skuteczne uprawnienie, zamiast polegać na przełączniku użytkownika. Według Sophos wyłączenie dostępu dla grupy rozłącza jej aktywne sesje i uniemożliwia ponowne połączenie; indywidualnie nadane uprawnienia należy przy tym sprawdzić osobno. Z użyciem zwykłego użytkownika pilotażowego należy sprawdzić faktyczne uwierzytelnianie oraz dostęp do dozwolonych i zablokowanych zasobów docelowych. Podczas odbierania użytkownikowi dostępu należy sprawdzić aktywne sesje w sekcji Current activities > IPsec connections, w razie potrzeby użyć Disconnect dla odpowiednich sesji, a następnie potwierdzić, że użytkownik nie może ponownie się uwierzytelnić ani uzyskać dostępu do chronionych zasobów docelowych. Są to kroki weryfikacji odbiorczej, a nie potwierdzenie działania na urządzeniu w ramach tego opisu. Łączenie Active Directory z Sophos Firewall.

Przed pierwszym klasycznym logowaniem w Sophos Connect użytkownik AD musi zazwyczaj zalogować się za pomocą innego Authentication Client, na przykład User Portal. Provisioning może utworzyć konto podczas pierwszego logowania i przypisać je zgodnie z mapowaniem serwera. Guest users i guest groups nie są dozwolone w Remote Access.

Client information i Idle time

W sekcji Client information wszystkie pola należy ustawić świadomie:

• Name: krótka, jednoznaczna nazwa wyświetlana, na przykład remote-access-ipsec;
• Assign IP from: początek i koniec zaplanowanej prywatnej puli;
• Allow leasing IP address from RADIUS server for L2TP, PPTP, and IPsec remote access: włączyć tylko przy przydzielaniu adresów przez RADIUS. Jeśli RADIUS nie zwróci adresu, SFOS użyje najpierw statycznego adresu skonfigurowanego dla użytkownika, a jeśli go nie ma — dzierżawy z puli Assign IP from;
• DNS server 1 i DNS server 2: resolwery odpowiedzialne za wymagane strefy lub prawidłowo przekazujące do nich zapytania.

Publiczne resolwery nie są z definicji niewłaściwe, ale bez odpowiedniej publikacji lub przekazywania zapytań zazwyczaj nie rozwiązują prywatnych stref firmowych. Dlatego dla zasobów wewnętrznych należy przetestować rzeczywistą ścieżkę DNS do serwera autorytatywnego lub przekazującego.

W sekcji Idle time można włączyć Disconnect when tunnel is idle. Wartość Idle session time interval podaje się w sekundach. Jej dobór jest decyzją operacyjną: krótki limit ogranicza liczbę porzuconych sesji, ale może zakłócać pracę i ponowne połączenia z MFA. Po rozłączeniu z powodu bezczynności Sophos Connect próbuje ponownie zestawić tunel w tle; jeśli to się nie uda, w kliencie należy wybrać najpierw Disconnect, a następnie Connect.

Advanced settings

Poniższe wartości trafiają do pliku .scx, ale nie do .tgb:

• Use as default gateway: włączone dla Full Tunnel, wyłączone dla Split Tunnel. Ustawienie dotyczy wszystkich użytkowników wymienionych w Allowed users and groups; w ramach jednej konfiguracji IPsec nie można stosować różnych wariantów.
• Permitted network resources (IPv4): wewnętrzne sieci i hosty dostępne przez Split Tunnel. Należy wpisywać wyłącznie zasoby, do których użytkownicy mają docierać przez tunel.
• Send Security Heartbeat through tunnel: przesyła przez tunel Heartbeat istniejącego Sophos Endpoint.
• Allow users to save username and password: zezwalać tylko wtedy, gdy dopuszczają to wymagania ochrony urządzeń i MFA. Dla opcji Connect tunnel automatically Sophos zaleca zapisane dane logowania.
• Prompt users for 2FA token: wyświetla oddzielne pole OTP. Firewall nadal przekazuje ciąg passwordotp; uwierzytelnianie MFA oparte na challenge nie jest obsługiwane. SCCLI nie działa z tą opcją.
• Run AD logon script after connecting: uruchamia skrypt logowania AD po zestawieniu tunelu.
• Connect tunnel automatically: automatycznie zestawia połączenie po zalogowaniu do urządzenia końcowego.
• Hostname or DNS suffix to monitor: należy wpisać nazwę hosta rozwiązywalną tylko wewnętrznie albo wewnętrzny sufiks. Sophos Connect używa tej wartości do kontroli automatycznego połączenia; monitorowany host musi odpowiadać na próby ICMP.
• Assign client DNS suffix: dołącza sufiks, na przykład firma.example, do karty sieciowej urządzenia końcowego, dzięki czemu krótkie nazwy hostów są rozwiązywane jako FQDN.

W trybie Split Tunnel SFOS tworzy oddzielne ESP SA dla dozwolonych podsieci, a przy braku aktywności usuwa tylko odpowiednią Child SA. W trybie Full Tunnel istnieje jedna ESP SA, która zostaje usunięta po upływie przedziału bezczynności bez transmisji danych.

Sprawdź dostępność przed firewallem

Jeśli Sophos Firewall znajduje się za routerem albo innym urządzeniem NAT, urządzenie to musi translować adres publiczny na wybrany interfejs WAN firewalla. Dla NAT-T należy zezwolić i przekierować UDP 500 oraz UDP 4500. Jeśli na ścieżce nie ma NAT, ruch ESP korzysta z protokołu IP 50; urządzenie nadrzędne również musi go przepuszczać. Gdy SFOS wykryje NAT, NAT-T kapsułkuje kolejne pakiety IKE i ESP w UDP 4500.

Zwykły test portu TCP lub UDP nie potwierdza więc działania całej ścieżki IPsec. Zestawienie tunelu może uniemożliwić także Carrier-NAT, podwójny NAT albo restrykcyjna sieć gościnna. Jeśli adres publiczny jest przypisany bezpośrednio do SFOS, nadrzędna reguła DNAT nie jest potrzebna.

Jeśli firewall znajduje się za routerem, najpierw zachowaj bezpieczną kopię wyeksportowanego pliku .scx jako profil źródłowy. Zgodnie z FAQ Sophos ręcznie zmień adres bramy w .scx na adres IP WAN routera. W sposób kontrolowany rozprowadź i ponownie zaimportuj poprawiony profil, a następnie sprawdź tunel i dozwolony ruch z sieci zewnętrznej. Przekierowania IKE/NAT-T nadal są wymagane. Natomiast gateway w .pro wskazuje VPN Portal i nie poprawia automatycznie końca tunelu w .scx; nie zakładamy tu żadnego niezweryfikowanego klucza schematu.

Reguły firewalla i Device Access

Dostęp do celów wewnętrznych

W sekcji Rules and policies > Firewall rules utwórz precyzyjną regułę IPv4:

• Rule name: jednoznaczna nazwa, na przykład VPN-SophosConnect-to-ERP;
• Rule position: powyżej bardziej ogólnej reguły Drop albo sprzecznej reguły Accept;
• Action: Accept;
• Log firewall traffic: włączyć na potrzeby testów akceptacyjnych i eksploatacji;
• Source zones: VPN;
• Source networks and devices: pula klientów IPsec albo odpowiedni obiekt IP Host, a nie bez potrzeby Any;
• During scheduled time: All the time albo uzasadnione okno czasowe;
• Destination zones: rzeczywiście wymagana strefa, na przykład LAN lub DMZ;
• Destination networks: wyłącznie dozwolone serwery lub sieci;
• Services: wyłącznie potrzebne protokoły i porty;
• Match known users oraz Users or groups: opcjonalnie jako dodatkowy warunek tożsamości, jeśli odpowiada to koncepcji uwierzytelniania.

SFOS ocenia reguły od góry do dołu i zatrzymuje się na pierwszym dopasowaniu. Po zapisaniu trzeba więc sprawdzić rzeczywistą pozycję reguły; reguły tworzone automatycznie albo dodane później na samej górze mogą zmienić kolejność. Web Protection, Application Control, IPS, Heartbeat i pozostałe Security Policies nie są bezwzględnym wymaganiem SFOS dla ruchu VPN. Dobiera się je do wymaganego poziomu ochrony i testuje z używanymi aplikacjami.

Full Tunnel do internetu

Po włączeniu Use as default gateway potrzebna jest dodatkowo obsługa ruchu z VPN do WAN:

Ta reguła również powinna używać puli klientów jako Source network, odpowiednich usług, logowania oraz wymaganych polityk Web Protection, Application Control lub IPS. Pula klientów musi ponadto zostać objęta właściwą regułą SNAT/Masquerading; może to zapewniać już istniejąca reguła NAT. Powiązana reguła NAT jest możliwa, ale nieobowiązkowa. Reguły NAT także są oceniane kolejno, dlatego pierwszeństwo ma wcześniejsza, szerzej dopasowana reguła. Full Tunnel bez uzgodnionych zasad NAT i Security Policies często prowadzi do sytuacji, w której tunel jest aktywny, ale nie zapewnia dostępu do internetu, albo ruch jest niezamierzenie niefiltrowany.

Local Service ACL

Reguły firewalla sterują ruchem przekazywanym, a nie lokalnymi usługami firewalla. W sekcji Administration > Device access należy:

• zezwolić na IPsec z używanej strefy WAN;
• zezwolić na VPN portal tylko ze stref, z których wymagane jest pobieranie konfiguracji lub provisioning; Sophos zaleca dostęp z WAN wyłącznie tymczasowo;
• zezwolić na DNS z VPN tylko wtedy, gdy sam firewall pełni funkcję resolvera DNS;
• zezwolić na Ping/Ping6 z VPN tylko wtedy, gdy sam firewall ma być celem testów.

Jeśli zezwolenie dla całej strefy byłoby zbyt szerokie, reguła Local service ACL exception rule może ograniczyć dostęp do określonych hostów źródłowych lub sieci. Szczegóły opisuje artykuł Device Access i Local Service ACL.

Eksport profilu lub provisioning

Opcja Export connection tworzy archiwum zawierające pliki .scx i .tgb. Dla Sophos Connect standardem jest .scx, który obejmuje General settings oraz Advanced settings. Plik .tgb jest przeznaczony dla zgodnych klientów innych producentów i zawiera tylko General settings. Po zmianach ustawień ogólnych lub zaawansowanych konfigurację trzeba rozprowadzić ponownie; jeśli zmieniono wyłącznie ustawienia zaawansowane, dotyczy to tylko pliku .scx.

W systemie Windows plik .pro może, począwszy od Sophos Connect 2.1, pobierać z VPN Portal konfiguracje IPsec i dozwolone konfiguracje SSL VPN oraz automatycznie przejmować późniejsze zmiany. Dokładną strukturę JSON, wiele bram portalu, pola MFA oraz dystrybucję przez GPO opisuje artykuł Provisioning Sophos Connect z .pro i GPO.

W przypadku SSO z Microsoft Entra ID w Sophos Connect dla macOS od wersji 2.1 należy uwzględnić w testach odbiorczych również logowanie w przeglądarce otwartej przez klienta oraz powrót do klienta. Przebieg logowania w macOS z wyborem przeglądarki i mechanizmem awaryjnym wyjaśnia poszczególne kroki; następnie należy sprawdzić stan tunelu, adres IP VPN, DNS i dostęp, bez osłabiania zasad Conditional Access, MFA ani weryfikacji certyfikatów. Jeśli wymaga to dostosowanego pliku .pro, należy użyć dokładnej składni pól i dozwolonych wartości sso_auth_browser_type opisanych w sekcji Sophos Connect Provisioning.

W diagnostyce trzeba pamiętać, że gateway w pliku .pro jest adresem FQDN albo IPv4 firewalla, przez który klient uzyskuje dostęp do VPN Portal i pobiera konfiguracje. Nie jest to automatycznie brama tunelu IPsec. Tunel kończy się na interfejsie wskazanym w polu Interface w sekcji Remote access VPN > IPsec i zapisanym w pobranym pliku .scx. Wiele bram w .pro zapewnia zatem wiele ścieżek provisioningu, ale nie obsługę Multi-WAN dla tej pojedynczej konfiguracji IPsec Remote Access.

Jeśli zmieni się gateway lub port VPN Portal, należy zmodyfikować plik .pro i ponownie go rozprowadzić. Jeśli obie wartości pozostają bez zmian, skonfigurowany mechanizm provisioningu może ponownie pobrać konfigurację VPN i późniejsze zmiany. Natomiast w przypadku ręcznie zaimportowanego pliku .scx po zmianach w General lub Advanced Settings należy ponownie wyeksportować aktualne połączenie przez Export connection, rozprowadzić je zabezpieczonym kanałem i ponownie zaimportować w kliencie. Update policy nie zastępuje tej ręcznej dystrybucji i ponownego importu; udokumentowane zastosowanie dotyczy połączenia skonfigurowanego przez provisioning, w szczególności po zmianie portu SSL VPN lub protokołu. Aktualizacja oprogramowania klienta nie aktualizuje automatycznie polityki zapory ani nieaktualnego profilu; istniejące profile co do zasady pozostają użyteczne po samej aktualizacji wersji Sophos Connect. Należy bezpiecznie zachować sprawdzony, działający profil i odpowiadające mu wartości konfiguracji zapory na potrzeby kontrolowanego wycofania zmian. Przed szeroką dystrybucją należy z użyciem zwykłego użytkownika pilotażowego sprawdzić wersję profilu i bramę tunelu, uwierzytelnianie/MFA, trasy, DNS oraz dostęp do dozwolonych i zablokowanych zasobów docelowych. Jeśli weryfikacja odbiorcza nie powiedzie się, należy przywrócić odpowiadające sobie poprzednie wartości konfiguracji zapory i sprawdzony, działający profil, a następnie powtórzyć te same kontrole.

Jeśli provisioning pobiera stare wartości albo nie pobiera żadnej konfiguracji, należy kolejno sprawdzić osiągalność i certyfikat VPN Portal, port portalu, gateway, logowanie użytkownika oraz MFA. Przy provisioningu SSO ustawienia VPN portal authentication methods, VPN (IPsec/dial-in/L2TP/PPTP) authentication methods i SSL VPN authentication methods w Authentication > Services muszą używać tego samego skonfigurowanego serwera IdP: Entra ID w SFOS 22 albo obsługiwanego IdP OIDC w SFOS 23 w opisanym powyżej zakresie dla systemu Windows. gateway musi odpowiadać nazwie FQDN lub adresowi IPv4 firewalla w sekcji Redirect URI tego serwera skonfigurowanego w Authentication > Servers. Chodzi wyłącznie o host, a nie pełny URI wywołania zwrotnego ze schematem, portem i ścieżką; port VPN Portal należy podać osobno w vpn_portal_port. Nadal obowiązują ograniczenia danego dostawcy: dla Google Workspace należy użyć prawidłowego FQDN wymaganego w szczegółowej instrukcji, a nie adresu IP. Przed dystrybucją należy porównać przypisania serwerów, host i port portalu. W przypadku błędów SSO należy zastosować procedurę odpowiednią dla firmware’u i dostawcy z powyższego artykułu Entra lub Google; nie należy uogólniać diagnostyki Entra na innych dostawców OIDC.

Profile zawierają informacje istotne dla bezpieczeństwa i muszą być rozpowszechniane chronionym kanałem. Stare i nowe wersje należy jednoznacznie oznaczać, aby helpdesk ani użytkownicy nie wrócili przypadkowo do wcześniejszej konfiguracji.

Dystrybucję nowej polityki firewalla należy odróżnić od aktualizacji oprogramowania klienckiego. Wersje, zatwierdzanie w grupach pilotażowych i plan wycofania opisuje artykuł Bezpieczna aktualizacja Sophos Connect.

W dokumentacji eksploatacyjnej należy wskazać grupę odpowiedzialną za VPN i proces odbierania dostępu osobom odchodzącym z organizacji, a także procedury resetowania MFA oraz blokowania i odblokowywania użytkowników. Trzeba również udokumentować wersję profilu, datę zmiany i osobę odpowiedzialną, wymagania dotyczące stałego logowania, w tym Sophos Fusion (dawniej Sophos Central) lub Syslog, oraz ponowne sprawdzenie profili przed aktualizacjami SFOS.

Testy akceptacyjne z rzeczywistym klientem zdalnym

Po imporcie należy przeprowadzić test ze standardowym użytkownikiem docelowym, łączącym się z sieci zewnętrznej:

1. Logowanie i MFA działają, a klient otrzymuje oczekiwany adres z puli albo z RADIUS.
2. Sesja pojawia się w sekcji Current activities > IPsec connections. Listę można filtrować między innymi według Connection name, Username, Local subnet oraz Remote host/subnet; Refresh odświeża widok, a Disconnect kończy wskazane połączenie.
3. Wewnętrzne nazwy FQDN oraz — jeśli skonfigurowano tę funkcję — krótkie nazwy uzupełniane sufiksem DNS są prawidłowo rozwiązywane.
4. Dozwolone cele są dostępne, a niedozwolone pozostają zablokowane.
5. Log Viewer pokazuje dopasowania do przewidzianej reguły firewalla.
6. Split Tunnel pozostawia pozostały ruch internetowy lokalnie, natomiast Full Tunnel prowadzi go przez firewall, oczekiwaną regułę SNAT i przewidziane Security Policies.
7. Ponowne połączenie po upływie Idle Timeout, zmianie sieci i restarcie urządzenia końcowego działa prawidłowo.
8. W kliencie Sophos Connect sekcja Events pokazuje chronologiczny przebieg importu, logowania i zestawiania tunelu. Jeśli błąd można odtworzyć, przed zmianą profili lub certyfikatów należy wygenerować w kliencie Support report i zachować go wraz z czasem wystąpienia, nazwą użytkownika, wersją klienta i wersją profilu.

Do analizy reguł służy instrukcja Testowanie reguły firewalla za pomocą Log Viewer, Policy Test i Packet Capture. Głębszą diagnostykę tunelu opisuje Rozwiązywanie problemów z IPsec VPN na Sophos Firewall.

Ukierunkowane rozwiązywanie problemów

Logowanie nie działa

Najpierw należy sprawdzić Authentication > Services, status hasła i MFA, blokady oraz serwer uwierzytelniający niezależnie od VPN. Następnie trzeba porównać Main group, Allowed users and groups oraz przełącznik grupy IPsec remote access. Sophos Connect obsługuje w nazwach użytkowników wyłącznie znaki ASCII; znaki diakrytyczne i inne znaki UTF-8 lub UTF-16 mogą uniemożliwić logowanie.

Zamiast opierać diagnozę na pojedynczym, niejednoznacznie udokumentowanym komunikacie tekstowym IKE, należy rozdzielić etapy procesu: czy próba dociera do uwierzytelnienia użytkownika, czy zgadzają się Interface, IPsec profile, certyfikat albo PSK oraz Local ID i Remote ID, a także czy użytkownik rzeczywiście ma dostęp przez swoją Main group? Zdarzenia klienta i odpowiadające im czasowo logi firewalla stanowią bardziej wiarygodny ślad diagnostyczny.

Failed to validate certificate po restarcie

Jeśli pierwsze zestawienie działa, ale po restarcie pojawia się komunikat Failed to validate certificate, Local Certificate i Remote Certificate często nie są podpisane przez ten sam urząd certyfikacji. Należy sprawdzić Certificate IDs i łańcuch zaufania. Trzeba użyć certyfikatów wygenerowanych lokalnie albo certyfikatów wystawionych przez ten sam zewnętrzny urząd certyfikacji (CA) i wgrać jego Signing CA, ewentualnie świadomie przejść na PSK. Następnie należy ponownie wyeksportować i zaimportować plik .scx oraz powtórzyć test po restarcie.

Tunel jest połączony, ale nie ma ruchu

Najpierw należy sprawdzić adres dzierżawy i trasy klienta, a potem Permitted network resources, pozycję reguły, Source networks i Destination networks, Services, trasę zwrotną oraz DNS. W przypadku Full Tunnel trzeba dodatkowo zweryfikować regułę z VPN do WAN i regułę SNAT, do której ruch faktycznie trafia. Device access ma znaczenie tylko wtedy, gdy celem jest sam firewall, na przykład dla DNS lub Ping.

Połączenie zrywa się mniej więcej co cztery godziny

Podczas rekeyingu IKEv1 nowe żądanie OTP może przerwać tunel. Sophos podaje dla domyślnego profilu IPsec interwał rekeyingu wynoszący około czterech godzin; profil niestandardowy może używać wartości do 24 godzin. Kompromis między bezpieczeństwem a ciągłością pracy oraz sposób konfiguracji opisuje Rozwiązanie problemu z rozłączaniem IPsec Remote Access po czterech godzinach.

Duże transfery zatrzymują się albo zawodzą tylko wybrane obce sieci

Jeśli logowanie, DNS i małe transfery działają, ale większe transmisje się zatrzymują, należy sprawdzić MTU i MSS. Jeśli IPsec nie działa tylko w hotelach, sieciach gościnnych Wi-Fi lub ściśle filtrowanych sieciach firmowych, obca sieć może blokować UDP 500/4500 albo ESP. Dla takich użytkowników bardziej niezawodny może być SSL VPN lub inny model Remote Access.

IPsec Remote Access po przełączeniu awaryjnym HA

Udokumentowany w informacjach o wydaniu SFOS 22 błąd NC-175860 dotyczy IPsec Remote Access po przełączeniu awaryjnym HA, jeśli wcześniej ponownie wygenerowano Appliance Certificate. Błąd naprawiono w wersji SFOS 22.0 MR2 Build 546 z 14 lipca 2026. Sophos nie wskazuje dla niego ani specjalnego komunikatu w logach, ani oficjalnego obejścia.

Przed podjęciem działań należy zapisać wersję i build firmware’u, tryb HA, role i Last status change obu urządzeń, czas przełączenia awaryjnego, Authentication Type, Local Certificate i Remote Certificate wraz z Certificate IDs oraz wersję profilu. Nie należy ponownie generować Appliance Certificate bez potwierdzonej przyczyny. W starszej wersji objętej błędem trzeba sprawdzić zatwierdzoną ścieżkę aktualizacji do MR2 Build 546 lub nowszej, a następnie w oknie serwisowym wykonać kontrolowane przełączenie awaryjne i przetestować ponowne połączenie z sieci zewnętrznej. Podczas planowania należy uwzględnić wariant klastra HA oraz właściwy proces aktualizacji firmware’u SFOS.

Dodatkowe kontrole wdrożenia i migracji

Certyfikaty, identyfikatory i Advanced settings

Jeśli brakuje wymaganego certyfikatu RSA, wybierz Generate locally-signed certificate w Certificates > Certificates > Add lub prześlij istniejący certyfikat przez Upload certificate. Uzupełnij dane certyfikatu i Subject Name; w Subject Alternative Names dodaj planowaną nazwę DNS lub adres IP przyciskiem +. Następnie sprawdź Certificate IDs i wspólny łańcuch zaufania zgodnie z opisem powyżej. Remote ID nie może być identyczny z Local ID. Zapisz General i Advanced settings przyciskiem Apply przed użyciem Export connection.

Według Sophos zapisane dane logowania są chronione przez usługi pęku kluczy urządzenia; nie zastępuje to ochrony urządzenia ani zgody wynikającej z polityki bezpieczeństwa. Prompt users for 2FA token wymaga faktycznie skonfigurowanego MFA dla Remote Access IPsec w Authentication > Multi-factor authentication lub u dostawcy OTP. Jeśli oddzielne pole jest wyłączone, dopisz OTP bezpośrednio do hasła: passwordotp. Jeśli różni użytkownicy potrzebują różnych trybów Split/Full Tunnel, użyj oddzielnych polityk SSL VPN Remote Access zamiast rozpowszechniać sprzeczne profile IPsec.

Dystrybucja klienta i przywracanie opcji logowania

Administratorzy pobierają klienta w Remote access VPN > IPsec lub SSL VPN > Download client. Użytkownicy znajdą Download for Windows i Download for macOS w VPN portal > VPN > Sophos Connect client. Zaktualizuj wersję oferowaną przez firewall w Backup & Firmware > Pattern updates; aktualizacje zainstalowanych urządzeń wdrażaj osobno zgodnie z podlinkowanym runbookiem aktualizacji. Logs na stronie IPsec otwiera logi; IPsec profiles prowadzi do parametrów IKE.

Provisioning z .pro jest udokumentowany również w macOS z Sophos Connect 2.1 lub nowszym; SSL VPN z bezpośrednio importowanym .ovpn jest dostępny od klienta macOS 2.0. Dystrybucja przez GPO pozostaje procedurą Windows. Przy migracji z klienta innego dostawcy istniejące konfiguracje mogą nadawać się do importu; dla IPsec preferuj świeżo wyeksportowany .scx lub aktualny .pro, aby uwzględnić Advanced settings. Postępuj zgodnie z procedurą macOS.

Jeśli Remember username and password powoduje automatyczne logowanie hasłem i ukrywa wybór SSO, wybierz w kliencie Edit connection > Clear credentials. Opcje wrócą przy następnym logowaniu; nie zmienia to uprawnień na firewallu.

Diagnozowanie SSO i opóźnionego rozłączenia

Wyszarzona opcja SSO w kliencie Windows 2.4+ lub macOS 2.1+ może wynikać z braku sso_api_port i sso_api_domain w .scx lub .ovpn. Dla Entra ID najpierw przypisz serwer w Authentication > Services, następnie wyeksportuj lub pobierz nową konfigurację i użyj właściwej ścieżki importu. Nie zgaduj wartości ani nie kopiuj ich z innego tenanta; nie stosuj tej diagnozy Entra do Google Workspace bez weryfikacji.

Jeśli Entra Conditional Access zawodzi we wbudowanej przeglądarce w macOS 2.1+, dokończ uwierzytelnianie w przeglądarce systemowej otwartej przez Sophos Connect i wróć do klienta. Jeśli klient zgłasza niezgodność urządzenia, wykonaj wymagane działania zapewniające zgodność lub skontaktuj się z IT. Ponowny import profilu nie usuwa braku zgodności; nie obchodź Conditional Access.

Po wyłączeniu powiązanego interfejsu WAN sesje Remote Access IPsec mogą zostać oznaczone jako rozłączone dopiero po upływie czasu bezczynności lub timeoutu DPD. Tunel nadal widoczny na liście nie dowodzi więc osiągalności. Sprawdź stan interfejsu i logi razem ze stanem sesji; użyj Disconnect, aby zakończyć konkretną sesję, zamiast zakładać, że wyłączenie interfejsu natychmiast wylogowuje użytkowników.

Granice SSL VPN i urządzeń mobilnych

Z .pro plik .scx jest pobierany jako wspólna konfiguracja IPsec, a .ovpn odpowiada politykom SSL VPN dozwolonym dla użytkownika; pobranie profilu nie nadaje uprawnienia do tunelu. Profile SSL są dostępne w VPN portal > VPN > VPN configuration > SSL VPN configuration. Zmiany portu, bramy, certyfikatu serwera lub protokołu SSL VPN mogą wymagać ponownego logowania w kliencie; dodatkowo użyj Update policy przy zmianach portu/protokołu w ścieżce provisioningu. Przy sprawdzaniu pustego .ovpn pamiętaj, że SSL VPN domyślnie używa ApplianceCertificate z Default CA.

Równoległe wdrożenie SSL VPN ma inne problemy: od SFOS 20.0 MR1 wcześniejszy klient legacy SSL VPN nie działa; przejdź na Sophos Connect lub zaplanowaną architekturę IPsec. Migracja z 18.5.x lub starszego do 19.5 lub nowszego konwertuje dawny zakres dzierżaw SSL na podsieć. Ręcznie utrzymywany obiekt IP host może wtedy przestać pasować. W odpowiednich regułach użyj dynamicznych hostów systemowych ##ALL_SSLVPN_RW i ##ALL_SSLVPN_RW6. Plik .ovpn o rozmiarze 0 bajtów wymaga sprawdzenia certyfikatu i Signing CA; dopiero po potwierdzeniu przyczyny odnów dany certyfikat w ramach kontroli zmian i ponownie pobierz/importuj .ovpn. W przypadku Login failed. Wrong fingerprint of certificate. po zmianie metody logowania lub domeny zaimportuj oddzielny .pro lub .ovpn, zamiast wyłączać weryfikację certyfikatów. Szczegóły w runbooku SSL VPN.

iOS może pobrać profil IPsec w VPN portal > VPN > VPN configuration > IPsec VPN profile. Nie jest to profil desktopowego Sophos Connect dla urządzeń mobilnych. Macierz klientów producenta zawiera sprzeczne przypisanie OpenVPN w wierszu IPsec; nie pozwala to ustalić bezpiecznej procedury IPsec z OpenVPN Connect. Dla mobilnego SSL VPN użyj .ovpn z OpenVPN Connect; dla mobilnego IPsec przed wdrożeniem zweryfikuj wyraźnie zgodny klient i typ profilu. Opisane kontrole akceptacyjne i diagnostyczne nie zostały tutaj wykonane na appliance ani urządzeniu końcowym.

FAQ