Konfiguracja Sophos Firewall IPsec VPN na iPhonie

W przypadku natywnego zdalnego dostępu IPsec na iPhonie profil iOS pobiera się bezpośrednio z VPN Portal Sophos Firewall i instaluje w ustawieniach systemowych. Nie importuje się go przez Sophos Connect ani OpenVPN Connect. Plik .ovpn i osobna instrukcja SSL VPN na iPhonie i iPadzie dotyczą innego protokołu.

Skrócona procedura: sprawdź wersję iOS i zatwierdzenie konfiguracji, zaloguj się do VPN Portal w Safari, otwórz VPN > VPN configuration > IPsec VPN profile > Download for iOS, sprawdź i zainstaluj profil, a następnie skontroluj status VPN i dostęp do dozwolonych zasobów wewnętrznych. Samo pomyślne pobranie nie oznacza jeszcze działającego połączenia.

Przed pobraniem: ustal wersję i uprawnienia

Administrator musi skonfigurować zdalny dostęp IPsec i przypisać użytkownikowi odpowiednią politykę. Bez tej konfiguracji opcja pobrania profilu IPsec dla iOS nie będzie widoczna. Widoczna opcja pobrania SSL VPN nie potwierdza uprawnień do IPsec. Przygotowanie po stronie zapory opisuje Konfiguracja Sophos Connect na Sophos Firewall; opisane tam profile dla komputerów .scx i .pro nie są tutaj używane.

Przed instalacją należy udokumentować:

używany build SFOS i wersję iOS oraz zatwierdzenie tej kombinacji przez administratora;
dokładny adres portalu, użytkownika, metodę uwierzytelniania i oczekiwaną nazwę profilu;
dozwoloną aplikację wewnętrzną, wewnętrzne nazwy DNS i przewidziane działanie Split Tunnel lub Full Tunnel;
istniejące profile VPN oraz to, czy iPhone jest zarządzany przez MDM;
miejsce, w którym zainstalowana wersja iOS udostępnia instalację profili i status połączenia VPN, oraz sposób rozłączenia dokładnie tego tunelu.

Poniższe nazwy menu Apple podano po angielsku; na urządzeniu z innym językiem mogą mieć inne nazwy. Apple wskazuje zainstalowane profile w Settings > General > VPN & Device Management. Przed rozpoczęciem należy ustalić położenie przełącznika VPN w rzeczywiście używanej wersji systemu. Jeśli instalacja profili na zarządzanym urządzeniu jest zablokowana, skontaktuj się z administratorem zamiast usuwać zarządzanie lub zabezpieczenia.

Natywny klient musi obsługiwać przewidzianą metodę uwierzytelniania. Instrukcja dla Windows dotycząca Sophos Connect z OIDC lub Entra SSO nie stanowi potwierdzenia obsługi tych metod przez natywny IPsec w iOS. MFA dla VPN Portal i zdalnego dostępu należy ocenić osobno dla portalu i tunelu. Jeśli wymaganego drugiego czynnika nie da się bezpiecznie zastosować w natywnej procedurze, zatrzymaj wdrożenie i wybierz zatwierdzoną alternatywę; nie wyłączaj MFA w ramach rozwiązywania problemów.

Pobierz profil w Safari i zainstaluj go

W Safari otwórz adres VPN Portal potwierdzony przez administratora. Przykład: https://vpn.example.com:443. vpn.example.com to symbol zastępczy dla własnego FQDN portalu; 443 jest portem domyślnym. Innego portu używaj tylko zgodnie z wytycznymi administratora. Wyjaśnij ostrzeżenia dotyczące certyfikatu przed pobraniem, zamiast trwale je omijać.
Zaloguj się własnym kontem VPN i potwierdź przewidziany drugi czynnik. Otwórz VPN, a następnie w VPN configuration > IPsec VPN profile dotknij Download for iOS. Nie jest to opcja pobrania mobilnej konfiguracji SSL VPN ani pakiet klienta dla Windows.
Potwierdź wyświetloną zgodę na pobranie wyłącznie dla oczekiwanego profilu. W Settings otwórz Profile Downloaded. Uzgodnij z administratorem pochodzenie profilu, organizację, bramę VPN i zawarte ustawienia. Nie instaluj nieoczekiwanych certyfikatów ani dodatkowych ustawień zarządzania bez ich sprawdzenia.
Dopiero potem wybierz Install i wykonaj wyświetlane kroki potwierdzenia, w tym podaj kod urządzenia. Apple usuwa pobrany, ale niezainstalowany profil po ośmiu minutach; jeśli później go brakuje, pobierz go ponownie z potwierdzonego portalu. W danej chwili tylko jeden pobrany profil może oczekiwać na instalację. Jeśli Stolen Device Protection uniemożliwia instalację, najpierw skorzystaj ze znanej lokalizacji i zatwierdzonej procedury wsparcia, zamiast rutynowo wyłączać ochronę.
Zidentyfikuj zainstalowany profil w ustawieniach systemowych. W instrukcjach dla SFOS 22/23 Sophos opisuje automatyczne zestawienie połączenia IPsec po pobraniu. Nie jest to gwarancja dla aktualnej wersji iOS: instalacja zgodnie z procedurą Apple i ewentualne logowanie muszą zostać zakończone. Sprawdź rzeczywisty status VPN; jeśli połączenie nie jest zestawione, użyj ustalonego wcześniej przełącznika VPN dla tego profilu i wykonaj przewidziane kroki logowania lub MFA. Jeśli przełącznika brakuje albo pojawiają się inne monity, nie improwizuj, lecz skontaktuj się ze wsparciem.

Traktuj profil jako poufny i nie przekazuj go innym użytkownikom. SSO w portalu, instalacja profilu i logowanie do tunelu to trzy odrębne operacje; żadna z nich sama w sobie nie potwierdza powodzenia pozostałych.

Sprawdź połączenie z użytkownikiem pilotażowym

Poniższe kontrole są krokami odbioru, a nie testami już wykonanymi na urządzeniu. Pierwszy test przeprowadź poza wewnętrzną siecią WLAN, w zatwierdzonej sieci zewnętrznej, aby bezpośredni dostęp do LAN nie zafałszował wyniku.

W ustawieniach VPN w iOS sprawdź, czy oczekiwany profil jest połączony. Administrator kontroluje użytkownika i sesję na zaporze.
Otwórz dozwoloną aplikację wewnętrzną przy użyciu jej udokumentowanej nazwy DNS. Na przykład https://intranet.example.com oznacza własną zatwierdzoną aplikację; zastąp symbol zastępczy rzeczywistą nazwą wewnętrzną. Sprawdź osobno rozwiązywanie DNS i dostęp do aplikacji.
Uzgodniony z administratorem niedozwolony zasób musi pozostać zablokowany. Nie twórz pozornego sukcesu przez rozszerzanie reguł zapory.
Administrator sprawdza w Log Viewer, czy ruch ze strefy VPN trafia do oczekiwanej reguły o ściśle ograniczonym zakresie; logowanie musi być w tym celu włączone. Procedurę opisuje Sprawdzanie reguł zapory za pomocą Log Viewer i Packet Capture.
Sprawdź, czy drugi czynnik jest wymagany tam, gdzie przewidują to zasady bezpieczeństwa. Monit MFA w portalu nie potwierdza MFA dla tunelu IPsec. Odbiór obejmuje również ponowne połączenie i kontrolowane przełączenie między WLAN a siecią komórkową. Ruch internetowy musi odpowiadać uzgodnionemu modelowi Split Tunnel lub Full Tunnel.

Jeśli tunel jest zestawiony, ale aplikacja jest niedostępna, najpierw sprawdź politykę, regułę, trasę powrotną i DNS. Jeśli tunelu nie ma, sprawdź profil, uprawnienia użytkownika, uwierzytelnianie i ścieżkę sieciową IPsec. Rozwiązywanie problemów z IPsec pomaga administratorowi zawęzić przyczynę; wyłączenie weryfikacji certyfikatu lub MFA nie jest krokiem diagnostycznym.

Rozłącz połączenie i wymieniaj profile w kontrolowany sposób

Sophos wskazuje Settings > General > VPN > Status jako sposób rozłączenia danej sesji. Ta nazwa ścieżki ze źródła nie jest uniwersalną ścieżką kliknięć w aktualnym iOS. Otwórz obszar VPN zidentyfikowany podczas kontroli wstępnej, wybierz dokładnie własne połączenie i ustaw jego status na rozłączony. Następnie sprawdź, czy tunel nie jest już połączony i czy nowe żądanie do aplikacji testowej dostępnej wyłącznie przez VPN przestaje działać. Nie polegaj przy tym na stronach już załadowanych w przeglądarce. Jeśli ustawienia zarządzania uniemożliwiają rozłączenie albo połączenie jest zestawiane ponownie, zaangażuj osobę odpowiedzialną za MDM, zamiast usuwać inne profile.

Zainstaluj ponownie po zmianach administracyjnych

Jeśli wcześniej działający tunel nie łączy się po zmianie konfiguracji, Sophos wymaga ponownej instalacji konfiguracji. Natywny IPsec w iOS nie korzysta tutaj z automatycznego provisioningu Sophos Connect.

Przed wymianą udokumentuj nazwę profilu, wersję, powód zmiany i zatwierdzoną przez administratora procedurę powrotu. Uzgodnij okno czasowe, ponieważ wymiana przerywa dostęp. Nie resetuj zbiorczo wszystkich profili sieciowych ani ustawień urządzenia.
Rozłącz tunel i ponownie pobierz aktualny profil IPsec dla iOS z VPN Portal w Safari. Administrator ustala, czy zastąpi on istniejący profil, czy najpierw trzeba usunąć dokładnie ten stary profil. W przypadku profilu MDM wymiana odbywa się przez właściwą procedurę zarządzania.
Sprawdź i zainstaluj nowy profil zgodnie z powyższą procedurą. Następnie ponownie skontroluj połączenie, wymagania MFA, DNS oraz dozwolone i zablokowane zasoby. Nie pozostawiaj bez kontroli kilku profili o tej samej nazwie równolegle.
Jeśli odbiór się nie powiedzie, rozłącz nowy tunel i zatrzymaj wdrożenie. Użyj ponownie starego profilu tylko wtedy, gdy administrator potwierdzi, że brama, klucze lub certyfikaty oraz uprawnienia nadal są ważne. Po zmianach bezpieczeństwa nie jest on niezawodną drogą powrotu. Dopiero po pomyślnym odbiorze usuń wskazane stare pobrane pliki i nieaktualne profile.

Wymiana lub utrata urządzenia albo odebranie dostępu

Przed usunięciem sprawdź odpowiedni profil i jego zawartość w Settings > General > VPN & Device Management. Potwierdź dostępną opcję usunięcia profilu wyłącznie dla jednoznacznie zidentyfikowanego profilu VPN i po uzyskaniu zgody. Apple zaznacza, że wraz z profilem mogą zostać usunięte powiązane ustawienia, aplikacje i dane. Dlatego nie usuwaj wspólnego profilu zarządzania w ramach pozornego porządkowania VPN. Jeśli usunięcie jest zablokowane, wycofanie musi przeprowadzić administrator zarządzania urządzeniami.

Po wycofaniu sprawdź, czy profil zniknął i czy nie można już nawiązać nowego połączenia. W przypadku utraty urządzenia lub odejścia użytkownika należy dodatkowo odebrać uprawnienia użytkownika lub grupy po stronie serwera, zakończyć istniejące sesje VPN i ustalić z administratorem sposób postępowania z kluczami lub certyfikatami, które mogły zostać ujawnione. Samo usunięcie lokalnego pliku nie cofa uprawnień VPN. Kopie profilu w pobranych plikach i kopiach zapasowych również należy uwzględnić w procesie wycofania.