Konfiguracja provisioningu Sophos Connect z .pro i GPO

Plik provisioningu Sophos Connect z rozszerzeniem .pro nie jest gotowym profilem VPN. Informuje klienta Windows, przez który portal VPN ma pobrać konfiguracje IPsec i SSL VPN udostępnione użytkownikowi. Sophos Connect importuje właściwy plik .scx lub .ovpn dopiero po pomyślnym uwierzytelnieniu.

Jest to szczególnie praktyczne, gdy profile mają być dystrybuowane centralnie, a późniejsze zmiany pobierane automatycznie. Portal VPN staje się jednak częścią produkcyjnej ścieżki logowania. Jego dostępność, certyfikat, MFA, przypisanie użytkowników i zabezpieczenie są zatem równie ważne jak składnia JSON pliku.

⚠️ Zdalny provisioning wymaga dostępności portalu VPN ze strefy WAN. Zwiększa to publicznie dostępną powierzchnię ataku. Przed wdrożeniem potrzebne są zaufany certyfikat, MFA, wąskie Local Service ACL, przetestowane blokady logowania i ścieżka awaryjna z profilem dystrybuowanym ręcznie.

Provisioning w ośmiu krokach

1. W pełni skonfigurować IPsec Remote Access lub SSL VPN na zaporze i przetestować przy użyciu ręcznie zaimportowanego pliku.
2. Udostępnić portal VPN przez zaufany FQDN i certyfikat.
3. W Administration > Device access zezwolić na dostęp do portalu VPN tylko z rzeczywiście potrzebnych stref lub sieci źródłowych.
4. Utworzyć minimalny plik .pro z display_name, gateway i vpn_portal_port.
5. Dodać MFA, automatyczne łączenie i kolejność bram dopiero po ustaleniu odpowiedniego procesu.
6. Najpierw ręcznie zaimportować plik dla użytkownika pilotażowego i osobno przetestować IPsec oraz SSL VPN.
7. Następnie rozprowadzić Sophos Connect i plik .pro do małej grupy pilotażowej za pomocą kontrolowanej GPO.
8. Zweryfikować logowanie do portalu, zaimportowane profile, tunel, cele wewnętrzne, logi, Update Policy i rollback.

Kiedy plik .pro jest odpowiedni

Provisioning dobrze sprawdza się na zarządzanych endpointach Windows używających Sophos Connect do IPsec, SSL VPN lub obu metod. Po zalogowaniu do portalu zapora udostępnia profil IPsec wszystkim uprawnionym użytkownikom. Konfiguracja SSL VPN jest importowana tylko wtedy, gdy użytkownik należy do odpowiedniej polityki SSL VPN.

Przy pierwszym provisioningu SFOS może automatycznie utworzyć użytkownika katalogowego, który nie istnieje jeszcze lokalnie, i przypisać go do grupy zgodnie z mapowaniem serwera uwierzytelniania. Użytkownik nie musi wcześniej logować się do portalu VPN ani portalu użytkownika. Automatyczne utworzenie nie zastępuje sprawdzenia kolejności grup i rzeczywistych uprawnień VPN.

Ręcznie dystrybuowany plik .scx lub .ovpn nadal ma sens, gdy portal VPN nie powinien być publikowany w Internecie, istnieje niewiele klientów albo portal jest niepożądaną dodatkową zależnością. Sophos Connect nie obsługuje provisioningu .pro na macOS; tam pliki .scx i .ovpn importuje się bezpośrednio. Provisioning IPsec w Windows wymaga Sophos Connect 2.1 lub nowszego.

Właściwą konfigurację VPN opisują osobne instrukcje: Konfiguracja Sophos Connect IPsec na zaporze i Konfiguracja zdalnego dostępu SSL VPN.

Wymagania i wartości przykładowe

Poniższy przykład używa publicznej nazwy portalu vpn.example.com oraz wewnętrznego hosta kontrolnego intranet.corp.example. Obie nazwy są symboliczne:

• vpn.example.com należy zastąpić rzeczywistym FQDN portalu VPN, prawidłowo rozwiązywanym publicznie i wewnętrznie. Certyfikat portalu musi być ważny dla tej nazwy i zaufany przez klientów.
• intranet.corp.example należy używać jako auto_connect_host tylko wtedy, gdy host jest stabilnie dostępny i odpowiada wyłącznie z sieci wewnętrznej. Publiczny lub niestabilny host zafałszowałby rozpoznawanie sieci.
• Port 443 jest domyślnym portem portalu VPN. Jeśli zapora używa innego portu, ta sama wartość musi znaleźć się w vpn_portal_port.

Przed utworzeniem pliku należy pomyślnie przetestować co najmniej następujące elementy:

• Docelowy profil IPsec lub SSL VPN działa po ręcznym imporcie.
• Portal VPN jest dostępny przez planowany FQDN i używa kompletnego łańcucha certyfikatów.
• Użytkownicy, grupy główne, polityka SSL VPN i metody uwierzytelniania są zgodne.
• W przypadku Microsoft Entra ID SSO portal VPN, IPsec i SSL VPN używają tego samego serwera Entra ID w Authentication > Services w procesie provisioningu.
• W przypadku Entra ID SSO wartość gateway odpowiada Redirect URI zapory.
• Działają MFA oraz test negatywny z nieuprawnionym użytkownikiem.

Przy publikacji portalu pomaga Device Access i Local Service ACL. Ochrona portalu VPN przed brute force opisuje powtarzające się nieudane logowania i zabezpieczenie portalu dostępnego z WAN.

Tworzenie pliku provisioningu

Plik .pro ma format JSON. gateway jest jedynym polem wymaganym, ale dla przejrzystej eksploatacji należy jawnie ustawić także nazwę wyświetlaną i port portalu. Plik tworzy się w edytorze tekstu i zapisuje na przykład jako avanet-vpn.pro.

Minimalny profil dla jednej bramy

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name może mieć maksymalnie 60 znaków. Bez nazwy wyświetlanej Sophos Connect pokazuje wartość gateway. Ustawienie can_save_credentials na true pozwala użytkownikowi zapisać nazwę użytkownika i hasło; ustawienie nie dotyczy SSO. Zezwolenie na zapis danych logowania jest decyzją bezpieczeństwa, a nie domyślnym udogodnieniem.

Podczas uruchamiania połączenia check_remote_availability sprawdza dostępność. run_logon_script uruchamia skrypt logowania udostępniony przez kontroler domeny po zestawieniu tunelu. Każdą opcję włącza się dopiero po potwierdzeniu w pilotażu, że dane zachowanie jest potrzebne.

Starsza składnia user_portal_port jest nadal akceptowana, ale również oznacza obecnie port portalu VPN. Dla nowych plików bardziej jednoznaczne jest vpn_portal_port.

Prawidłowe planowanie automatycznego łączenia

auto_connect_host pomaga Sophos Connect rozpoznać, czy klient znajduje się już w sieci wewnętrznej. Gdy interfejs sieciowy otrzyma nowy lub zmieniony adres IP, klient sprawdza ten host. Jeśli host nie jest dostępny, połączenie zostaje aktywowane. Tunel zestawia się automatycznie, jeśli zapisano dane logowania lub ostatnio użyto SSO.

"auto_connect_host": "intranet.corp.example"

Host kontrolny nie jest ogólnym testem stanu Internetu. Musi być stabilny, rozwiązywany wewnętrznie i niedostępny z zewnątrz. Przed wdrożeniem testuje się go zarówno w sieci firmowej, jak i z sieci zewnętrznej. Pusty ciąg "" wyłącza automatyczne łączenie.

Pełny projekt always-on ma dodatkowe ograniczenia. Zapisane dane logowania, SSO, MFA i zachowanie po zmianie sieci muszą być ze sobą zgodne. Automatyczne uruchamianie SSL VPN z auto-login wyjaśnia różnice.

Używanie wielu bram

Wiele bram portalu wprowadza się jako tablicę. gateway_order określa tylko sposób wyboru portalu przez Sophos Connect do pobrania konfiguracji. Późniejszy tunel korzysta z bram zapisanych w zaimportowanej konfiguracji .scx lub .ovpn.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Tryby wyboru mają różne skutki operacyjne:

• in_order próbuje wpisów w zdefiniowanej kolejności.
• latency wybiera bramę według czasu odpowiedzi na próbę połączenia TCP.
• distributed wybiera losowo bramę podczas próby połączenia.

Kolejność nie zastępuje przetestowanego projektu WAN, DNS ani HA. Każda podana nazwa portalu wymaga ważnego certyfikatu, odpowiedniej dostępności i tej samej oczekiwanej zawartości provisioningu.

Świadome ustawianie pól MFA

Przy otp: true Sophos Connect wyświetla trzecie pole wprowadzania. 2fa określa sposób wysłania jego zawartości do serwera uwierzytelniania:

• 2fa: 1 używa konfiguracji Sophos Firewall. Hasło i OTP są łączone jako passwordotp.
• 2fa: 2 używa zewnętrznej usługi, takiej jak Duo. Hasło i kod są rozdzielone przecinkiem; zależnie od konfiguracji Duo możliwe są także push, phone, sms lub kod tokena.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Przy pierwszym pobraniu ekran logowania może pojawić się dwukrotnie: raz w celu pobrania konfiguracji, a następnie w celu zestawienia tunelu. Nie oznacza to automatycznie błędu. Helpdesk powinien znać to zachowanie przed szerokim wdrożeniem. Konfigurację MFA po stronie zapory opisuje Konfiguracja MFA na Sophos Firewall.

Dystrybucja Sophos Connect i .pro przez GPO

Plik można zaimportować ręcznie po dostarczeniu e-mailem lub przez bezpieczne pobranie. Użytkownicy wybierają Import connection albo dwukrotnie klikają plik .pro. W zarządzanej domenie Windows GPO zapewnia lepszą identyfikowalność, jeśli udokumentowano źródło, grupę docelową i rollback.

Sophos Connect monitoruje następujący folder importu:

C:\Program Files (x86)\Sophos\Connect\import\

Umieszczony w nim plik .pro jest automatycznie importowany, a następnie usuwany z folderu. Usunięcie jest normalnym zachowaniem i nie dowodzi, że uwierzytelnianie w portalu lub tunel już działają.

Do dystrybucji dodaje się skrypt startowy w Group Policy Management > Computer Configuration > Policies > Windows Settings > Scripts > Startup. Wzorzec udokumentowany przez Sophos czeka na usługę scvpn, pobiera plik z centralnej lokalizacji HTTPS i kopiuje go do folderu importu. Źródło pobierania powinno być czytelne tylko dla wymaganych komputerów, używać zaufanego certyfikatu i nie zawierać haseł użytkowników ani tokenów w adresie URL lub skrypcie.

Skrypt startowy najpierw testuje się na komputerze pilotażowym. Następnie politykę można odświeżyć poleceniem:

gpupdate /force

Sophos dokumentuje również komputerowy skrypt startowy z msiexec.exe do instalacji samego klienta. W produkcyjnej dystrybucji oprogramowania należy jednak stosować obowiązujące standardy pakietowania, podpisów, wersji i rollbacku. Instalacja Sophos Connect w Windows opisuje instalację i obsługiwane platformy Windows.

Plik .pro zwykle nie zawiera haseł użytkowników. Nadal jest jednak kontrolowanym artefaktem konfiguracyjnym: adresy portalu, zachowanie, MFA i ustawienia auto-connect powinny pochodzić wyłącznie z autoryzowanego źródła.

Zmiany i aktualizacje profili

Po pomyślnym imporcie Sophos Connect automatycznie pobiera dostępne profile .scx i .ovpn. Pobiera również wiele późniejszych zmian konfiguracji. W eksploatacji nadal trzeba odróżniać plik provisioningu od właściwego profilu VPN:

• Jeśli zmieni się gateway lub vpn_portal_port, plik .pro należy zaktualizować i ponownie rozprowadzić.
• Po zmianie portu lub protokołu w SSL VPN global settings w kliencie wybiera się ikonę koła zębatego i Update policy.
• Zmiany bramy, certyfikatu, portu lub protokołu SSL VPN mogą wymagać ponownego logowania.
• Po przywróceniu lub imporcie konfiguracji zapory profile IPsec i SSL VPN testuje się ponownie z klientem pilotażowym.
• Nowa wersja klienta nie aktualizuje automatycznie przestarzałego pliku .pro.

Nie należy równolegle rozprowadzać starych i nowych plików provisioningu przez różne GPO, pliki do pobrania i wiadomości e-mail. Dla każdego wdrożenia dokumentuje się nazwę pliku, wersję lub datę modyfikacji, grupę docelową i ścieżkę awaryjną.

Weryfikacja provisioningu i tunelu

Test przeprowadza się z uprawnionym i nieuprawnionym użytkownikiem z rzeczywistej sieci zewnętrznej. Pomyślne logowanie do portalu nie jest jeszcze pomyślnym testem VPN.

1. Sprawdzić wersję Sophos Connect i platformę Windows.
2. Zaimportować plik .pro ręcznie lub przez pilotażową GPO.
3. Sprawdzić, które połączenia .scx i .ovpn rzeczywiście się pojawiają.
4. Przejść pełny proces MFA, łącznie z możliwym drugim logowaniem.
5. Osobno połączyć IPsec i SSL VPN, jeśli dostępne są oba.
6. Sprawdzić adres z puli, wewnętrzne rozwiązywanie DNS, serwer docelowy, regułę zapory i trasę powrotną.
7. Nieuprawniony użytkownik nie może otrzymać użytecznego profilu ani dostępu do celów wewnętrznych.
8. Przetestować bezpieczną zmianę polityki za pomocą Update policy lub automatycznego pobierania.
9. Przetestować restart klienta, zmianę sieci i ponowne zastosowanie GPO.
10. Przetestować ręczny powrót do zatwierdzonego profilu .scx lub .ovpn.

W przypadku Microsoft Entra ID SSO dodatkowo sprawdza się Redirect URI, Conditional Access i wymuszone ponowne logowanie na współdzielonych endpointach. Microsoft Entra ID SSO dla Sophos Connect i portalu VPN wyjaśnia pełne mapowanie.

Systematyczne zawężanie błędów

Żadne połączenie nie jest importowane

Najpierw sprawdzić, czy plik zawiera prawidłowy JSON, kończy się na .pro i został zaimportowany przez klienta. Następnie zweryfikować gateway, vpn_portal_port, DNS, łańcuch certyfikatów i dostępność portalu VPN. Zniknięcie pliku z folderu importu oznacza jego przetworzenie, ale nie dowodzi pomyślnego uwierzytelnienia.

Jeśli klient dociera do portalu, lecz nie otrzymuje profilu, należy sprawdzić skonfigurowane połączenie IPsec, politykę SSL VPN, członkostwo w grupach i metody uwierzytelniania. IPsec jest udostępniany wszystkim odpowiednio uprawnionym użytkownikom; SSL VPN tylko członkom odpowiedniej polityki.

Błędy certyfikatu lub Entra SSO

Publiczna nazwa w gateway musi odpowiadać certyfikatowi. Przy Entra ID SSO ta sama wartość musi również odpowiadać Redirect URI, a portal VPN, IPsec i SSL VPN muszą w procesie provisioningu korzystać z tego samego serwera Entra ID. Nawet inna nazwa hosta lub port może przerwać proces.

Logowanie Microsoft Entra sprawdza się w Entra sign-in log. Na zaporze w odpowiednich etapach pomagają vpnportal.log, access_server.log i oauth_sso_vpn.log. Test connection serwera uwierzytelniania nie zastępuje uwierzytelniania w portalu ani tunelu.

MFA pojawia się dwa razy lub nie działa

Przy pierwszym pobraniu można oczekiwać dwóch logowań. W razie niepowodzenia należy porównać otp, 2fa, skonfigurowaną metodę MFA Sophos lub zewnętrzną oraz oczekiwany format danych. passwordotp i zewnętrzna metoda rozdzielana przecinkiem nie są zamienne.

Profil istnieje, ale ruch nie działa

Provisioning przeszedł wtedy dalej niż rzeczywisty punkt awarii. Osobno sprawdzić pulę adresów, trasy klienta, DNS, regułę zapory, NAT, trasę powrotną i packet capture. Dla IPsec kontynuować w Rozwiązywanie problemów z VPN IPsec na Sophos Firewall.

GPO nie importuje pliku

Sprawdzić, czy GPO rzeczywiście dotyczy konta komputera, skrypt startowy jest dostępny, usługa scvpn działa, a źródło pobierania jest dostępne z kontekstu systemowego. Następnie sprawdzić uprawnienia pliku i dokładną ścieżkę importu. Wielokrotne kopiowanie bez ustalenia przyczyny może ponownie rozprowadzać nieaktualne ustawienia i nie powinno stać się trwałym obejściem w skrypcie startowym.

Bezpieczny rollback

Najpierw zatrzymać dystrybucję do docelowej grupy GPO. Następnie usunąć automatyczne wdrażanie .pro, udostępnić wcześniej zatwierdzony ręczny plik .scx lub .ovpn i przetestować go z użytkownikiem pilotażowym. Zmiany w portalu VPN, Device Access lub uwierzytelnianiu cofa się dopiero wtedy, gdy nie zależy od nich żaden produkcyjny provisioning.

Na klientach testowych w kontrolowany sposób usunąć i ponownie zaimportować istniejące połączenie Sophos Connect. Następnie powtórzyć logowanie do portalu, test tunelu, DNS, celów wewnętrznych i test negatywny. Wadliwy plik .pro usunąć z centralnych repozytoriów i dystrybucji oprogramowania dopiero po potwierdzeniu ścieżki awaryjnej.

FAQ