Bezpieczne sprawdzanie i aktualizowanie Sophos Connect Client

Aktualna instrukcja Sophos opisuje uaktualnienie w Windows i macOS jako pobranie i instalację nowego pakietu z VPN Portal lub od administratora; nie nakłada ogólnego wymogu wcześniejszego odinstalowania klienta. Nie potwierdza to jednak, że każdy pakiet można zainstalować jako aktualizację dowolnej istniejącej instalacji. W tym artykule zachowano kontrolowaną procedurę usunięcia i ponownej instalacji na potrzeby wyraźnie zatwierdzonej reinstalacji lub powrotu do poprzedniej wersji. Przed zmianą należy ustalić metodę odpowiednią dla wersji wyjściowej i docelowej oraz sprawdzić ją w pilotażu; profile, pakiety instalacyjne i droga powrotu muszą być przygotowane.

Zainstalowaną wersję można znaleźć w Sophos Connect w trzy kropki > About. Instrukcje dla Windows i macOS opisują pierwszą instalację; tutaj skupiamy się na wyborze wersji i kontrolowanym przejściu.

Jeśli wybór między IPsec, SSL VPN i innymi metodami dostępu zdalnego nie został jeszcze dokonany, przed wskazaniem klienta docelowego należy zacząć od porównania rozwiązań dostępu zdalnego.

Wybór wersji docelowej

Nie należy automatycznie szeroko wdrażać najnowszego pakietu. Najpierw trzeba porównać opisane poniżej zmiany w wersjach, obsługiwane systemy operacyjne i faktycznie używane funkcje VPN z własnym środowiskiem. Redakcyjna weryfikacja z 7 września 2026 r. dała następujący datowany obraz stanu:

• Windows: Sophos Connect 2.5 MR1, wydany 18 czerwca 2026 r.
• macOS: Sophos Connect 2.0 MR1, wydany 21 maja 2026 r.

Aktualizacja z 9 października 2026 r.: release notes wymieniają Sophos Connect 2.1 dla macOS, wydany 6 października 2026 r., z natywną obsługą ARM, provisioningiem .pro i Microsoft Entra ID SSO dla IPsec oraz SSL VPN. Stan z 7 września pozostaje historyczny. Udokumentowane wydanie nie potwierdza ani pakietu faktycznie dostępnego we własnym portalu, ani pomyślnego testu urządzenia; nie wynika z niego dodatkowe potwierdzenie statusu GA ani zgoda na wdrożenie.

Te informacje o wersjach przedstawiają stan w danym momencie, a nie bezterminową akceptację. Przed nowym wdrożeniem należy porównać macierz wersji i opisane poprawki z wersją faktycznie dostępnego pakietu; odpowiedzialny dział IT potwierdza jego aktualną obsługę platform i przydatność do wymaganych funkcji VPN. Nowsza wersja najpierw trafia do pilotażu; starsza pozostaje celem tylko wtedy, gdy nadal jest obsługiwana na posiadanej platformie i istnieje udokumentowany powód, by nie używać nowszej. Nie należy wyprowadzać dat końca życia konkretnego klienta z ogólnej strony cyklu życia produktów Sophos.

Sophos Connect nie jest klientem dla iOS ani Androida. Jeśli kombinacja wykracza poza te granice, należy najpierw zaplanować migrację, zamiast eksperymentować w środowisku produkcyjnym.

Windows 2.5 MR1 naprawia między innymi uruchamianie dla dodatkowych użytkowników (NCL-2570), nieprawidłowy status SSO po przerwie w dostępie do Internetu (NCL-2783), różne monity OTP przy ponownym łączeniu (NCL-2992) oraz provisioning SSL VPN ze znakami specjalnymi w certyfikatach (NCL-2795). macOS 2.0 MR1 zawiera poprawki DNS dla SSL VPN i przywraca zapisywanie poświadczeń. Naprawiony błąd nie zastępuje pilotażu z własnym profilem.

Przygotowanie aktualizacji i rollbacku

Przed oknem serwisowym dla każdej platformy i grupy należy zapisać:

• wersję klienta i systemu operacyjnego;
• IPsec lub SSL VPN oraz źródło profilu (.scx, .ovpn lub .pro); plik .tgb jest natomiast eksportem dla klientów IPsec innych firm, a nie profilem Sophos Connect;
• uwierzytelnianie lokalne, AD, RADIUS lub Entra ID SSO;
• zachowanie MFA i ponownego łączenia;
• zależności, takie jak gateway, certyfikat, DNS, pula VPN i dozwolone sieci.

W systemie dystrybucji oprogramowania trzeba zachować pakiet docelowy, poprzedni pakiet zaakceptowany wewnętrznie oraz oryginalne źródła profili. Zrzut nazwy profilu nie jest kopią zapasową: rollback wymaga użytego eksportu albo powtarzalnego źródła provisioningu. Profile zawierające certyfikaty lub klucze prywatne należy przechowywać wyłącznie w sposób zabezpieczony i dla przewidzianej tożsamości użytkownika.

Administrator pobiera instalator przez Download client w Remote access VPN > IPsec lub Remote access VPN > SSL VPN; użytkownik może pobrać go z VPN Portal. Backup & Firmware > Pattern updates może odświeżyć pakiet na firewallu, ale nie aktualizuje zainstalowanych endpointów. Przed wdrożeniem trzeba sprawdzić źródło, platformę i wersję oraz zablokować lub wyraźnie oznaczyć stare pakiety.

Przeprowadzenie pilotażu

Należy uwzględnić co najmniej jedno urządzenie z każdej używanej kombinacji oraz od jednego do trzech typowych użytkowników, nie tylko administratorów. Jeśli występują, oddzielnie testuje się Windows x64, Windows ARM, macOS z IPsec, macOS z SSL VPN, Entra SSO oraz ponowne łączenie OTP/MFA. Na Macu oddzielnie sprawdza się 2.0/Rosetta i 2.1/natywne ARM, faktycznie używaną wersję macOS oraz bezpośrednie profile i provisioning. Dla Entra SSO od 2.1 tryb przeglądarki, wymagane przełączenie awaryjne i powrót do klienta są częścią pilotażu SSO na macOS. Błąd zgodności należy usunąć lub przekazać do działu IT, a nie omijać przez osłabianie Conditional Access.

Przed uaktualnieniem trzeba udokumentować test bazowy: logowanie, przydzielony adres VPN, wewnętrzny DNS, dostęp do reprezentatywnego celu, split lub full tunnel oraz ponowne połączenie po zmianie sieci. Po zmianie powtarza się dokładnie te same testy. Pozwala to odróżnić regresję klienta od wcześniejszego problemu z firewallem, routingiem lub profilem.

Etapowe szerokie wdrożenie rozpoczyna się dopiero po przejściu wszystkich kombinacji i przekazaniu helpdeskowi informacji o wersji docelowej i rollbacku. Jeden udany test Windows nie zatwierdza macOS.

Usunięcie i ponowna instalacja klienta

Najpierw należy rozłączyć aktywne VPN. Jeśli jest to jedyna droga zdalnej administracji urządzeniem, trzeba zapewnić lokalne okno serwisowe lub drugi dostęp, ponieważ VPN będzie przerwany.

Windows

1. W Control Panel > Programs > Uninstall a program wybierz Sophos Connect, a następnie Uninstall.
2. Poczekaj na zakończenie i nie odkładaj wymaganego restartu.
3. Zainstaluj zatwierdzony pakiet Windows z prawami administratora.
4. Sprawdź wersję w trzy kropki > About.
5. Sprawdź profil lub zaimportuj go ponownie z zachowanego źródła i powtórz test pilotażowy.

Windows ARM nie wolno cofać do wersji wcześniejszej niż 2.5. Nie należy aktualizować 32-bitowego Windows do 2.5; potrzebny jest plan migracji platformy.

macOS

Jeśli zainstalowano Sophos Endpoint, nie należy rutynowo wyłączać jego Tamper Protection przed usunięciem klienta. Aktualna instrukcja odinstalowania nie wymienia już tego jako warunku wstępnego; pomoc dotycząca błędów nadal jednak opisuje blokowanie procesów Sophos Connect przez Tamper Protection endpointu i zaleca restart. Przy takich objawach zachowaj logi, uruchom urządzenie ponownie w oknie serwisowym i jeszcze raz sprawdź jego stan. Jeśli usunięcie nadal jest blokowane, skonsultuj konkretną kombinację Endpoint/klient z działem IT lub Sophos. Tymczasową zmianę ochrony można wprowadzić wyłącznie po uzyskaniu wyraźnej zgody dotyczącej tego przypadku; jej ponowne włączenie musi wtedy kończyć procedurę także po nieudanej próbie. W przypadku zatwierdzonego usunięcia wykonaj w Terminalu z uprawnieniami administratora:

sudo /Library/Sophos\ Connect/uninstall.sh

Oczekiwane potwierdzenie to Sophos Connect has been uninstalled. Następnie:

1. Uruchom ponownie Maca, jeśli pojawi się takie żądanie.
2. Zainstaluj zatwierdzony pakiet macOS i potwierdź wymagane komunikaty systemowe.
3. Sprawdź wersję w trzy kropki > About.
4. Dostarcz profil z zachowanego źródła i powtórz kontrole pilotażowe.
5. Jeśli Tamper Protection została wyłączona na potrzeby tej operacji za wyraźną zgodą, włącz ją ponownie i sprawdź, czy jest aktywna zarówno na endpoincie, jak i w systemie zarządzania; zrób to również w przypadku nieudanej ponownej instalacji.

Wersja wcześniejsza niż 2.0 nie jest prawidłowym rollbackiem dla SSL VPN w macOS. Po przejściu na 2.0 MR1 należy ponownie zaimportować konfigurację, jeśli potrzebna jest przywrócona opcja zapisywania poświadczeń. Powrót do klienta macOS 2.0 nie zachowuje natywnego wykonywania ARM, provisioningu .pro ani Entra ID SSO. Jeśli te funkcje 2.1 są wymagane, 2.0 nie jest równoważną opcją powrotu; wcześniej zatwierdź i przetestuj obsługiwaną metodę zastępczą.

Oddzielna obsługa zmian profilu

Uaktualnienie klienta nie aktualizuje automatycznie każdej konfiguracji VPN. Po zmianie zaawansowanych ustawień IPsec należy wyeksportować i rozprowadzić nowy plik .scx, jeśli jest dystrybuowany ręcznie. W systemie Windows z odpowiednim klientem oraz na macOS od 2.1 zaimportowany plik .pro pobiera konfiguracje przez VPN Portal. Po zmianie portu lub protokołu w Remote access VPN > SSL VPN > SSL VPN global settings użytkownik klika koło zębate profilu i Update policy. Na macOS 2.0 nadal wymagane są bezpośredni import i ręczne utrzymanie profili. Konfigurację pliku provisioningu opisuje Provisioning Sophos Connect.

Udokumentowane dla SFOS 22: zaimportowany profil SSL VPN jest powiązany z tożsamością użytkownika, domeną i metodą uwierzytelniania użytymi podczas importu. Przy przejściu na przykład z AD do Entra ID SSO albo między domenami należy zaimportować oddzielną konfigurację .pro lub .ovpn; ponowne użycie tego samego zaimportowanego profilu może spowodować Login failed. Wrong fingerprint of certificate. Plik .ovpn zawiera certyfikaty i klucze prywatne przypisane do konkretnego użytkownika. Natomiast plik .pro sam w sobie nie jest przypisany do konkretnego użytkownika: konfiguracja SSL VPN i certyfikaty są generowane dopiero podczas importu i przypisywane do użytej tożsamości oraz metody uwierzytelniania. To ograniczenie udokumentowane dla SFOS 22 dotyczy SSL VPN, a nie profili IPsec .scx.

To zachowanie nie zostało zweryfikowane dla SFOS 23. Odpowiednia instrukcja nie zawiera sekcji o powiązaniu profilu i tym komunikacie błędu. Nie dowodzi to ani usunięcia tego powiązania, ani jego dalszego obowiązywania bez zmian. Dlatego przy zmianie domeny lub metody uwierzytelniania zaleca się, jako środek ostrożności, oddzielny import profilu SSL z zaufanego źródła potwierdzonego przez dział IT; nie jest to potwierdzony wymóg SFOS 23. Wcześniej należy uzgodnić z działem IT przewidzianą tożsamość użytkownika, domenę, metodę uwierzytelniania i serwer docelowy oraz w razie potrzeby pobrać aktualny plik .ovpn z potwierdzonego VPN Portal lub użyć zatwierdzonego źródła .pro. Następnie trzeba sprawdzić parę klient/profil w pilotażu. Jeśli pojawi się komunikat o fingerprint, należy zatrzymać wdrożenie i zapisać dla działu IT lub Sophos wersje klienta i SFOS, przewidzianą tożsamość, domenę, metodę uwierzytelniania oraz wpis w Events. Sam komunikat nie dowodzi ani wygaśnięcia certyfikatu, ani błędu podpisu lub łańcucha zaufania. Nie należy omijać kontroli certyfikatów.

Zmiany po stronie firewalla należy wykonać według instrukcji dla Sophos Connect z IPsec, dostępu zdalnego SSL VPN lub Entra ID SSO. Następnie trzeba wrócić tutaj i przetestować zaktualizowaną parę klient/profil w pilotażu.

Walidacja i zatwierdzenie wdrożenia

Prawidłowa wersja i zielony status nie wystarczą. Dla każdej kombinacji należy zapisać:

• prawidłową wersję docelową w About;
• logowanie i MFA lub SSO zgodne z oczekiwaniami;
• prawidłowy adres VPN;
• działający wewnętrzny DNS i reprezentatywny cel;
• odpowiednią regułę strefy VPN widoczną w Log Viewer;
• split lub full tunnel zgodny z projektem;
• działające ponowne łączenie po zmianie sieci, wylogowanie i logowanie.

Po nieudanym teście należy zatrzymać wdrożenie tej kombinacji. Najpierw sprawdza się wersję, granicę systemu i załadowany profil, a potem zapisuje czas, komunikat i odpowiedni wpis w Events. Rozwiązywanie problemów z Sophos Connect Client opisuje systematyczną diagnostykę błędów połączenia, DNS, uwierzytelniania, polityk i usług; ten artykuł nie powiela katalogu objawów.

Rollback i eskalacja

Rollback tymczasowo przywraca usługę i nie jest trwałym rozwiązaniem dla przestarzałego lub podatnego klienta.

1. Zatrzymaj szerokie wdrożenie i wskaż dotkniętą kombinację.
2. Odinstaluj klienta, który zawiódł, tą samą procedurą.
3. Zainstaluj wyłącznie poprzedni zatwierdzony i zgodny pakiet.
4. Ponownie zaimportuj zachowane źródło profilu.
5. Powtórz test wersji, logowania, adresu VPN, DNS, celu wewnętrznego, Log Viewer i ponownego łączenia.
6. Udokumentuj wynik i rozpocznij nowy pilotaż dopiero po ustaleniu przyczyny.

Jeśli rollback również zawiedzie, otwórz trzy kropki > About > Generate Technical Support Report. Raport zawiera konfiguracje VPN, zdarzenia połączeń, szczegóły provisioningu, informacje o uwierzytelnianiu SSO, szczegóły przeglądarki i informacje o endpoincie. Zgodnie z wewnętrznymi zasadami ochrony danych należy przekazywać go wyłącznie kontrolowanym kanałem uprawnionym odbiorcom. W eskalacji podaj wersję docelową i wyjściową, system operacyjny, typ profilu, czas, widoczny komunikat błędu i wynik rollbacku; nigdy nie umieszczaj haseł, kodów OTP ani kluczy prywatnych w treści zgłoszenia.