Zastąpienie starego klienta Sophos SSL VPN i migracja autostartu

Starego Sophos SSL VPN Client for Windows nie należy już konfigurować ani dalej używać. Od 31 stycznia 2022 r. produkt jest End of Life, a CVE-2021-36809 dotyczy wszystkich jego wersji. Lokalny napastnik może użyć uprawnień administratora do nadpisania dowolnych plików systemowych dziennikami klienta VPN, co może spowodować odmowę usługi i utratę danych. Sophos nie naprawi tej luki; rozwiązanie problemu wymaga migracji do Sophos Connect v2. Ponadto od wersji SFOS 20.0 MR1 starszy klient nie zestawia już tuneli Remote Access SSL VPN.

Stan zgodności na 7 września 2026 r.: Dla SFOS 22 obsługiwanym klientem Sophos jest Sophos Connect. Sophos Connect 2.5 MR1 i starsze dla Windows oraz 2.0 MR1 i starsze dla macOS są wymienione jako zgodne. Są to granice zgodności firewalla, a nie zalecenie używania starego klienta. Przed wdrożeniem należy skorzystać z artykułu Sprawdzanie wersji klienta Sophos Connect i bezpieczna aktualizacja, aby wybrać aktualnie zatwierdzoną wersję i sprawdzić jej znane problemy.

Bezpiecznym rozwiązaniem jest migracja do Sophos Connect: należy przygotować aktualny profil i instalator, odinstalować starego klienta, zaimportować i przetestować połączenie, a dopiero potem całkowicie usunąć autostart, pliki z danymi w postaci jawnej oraz stare profile. Przy wyborze właściwego modelu Remote Access pomaga artykuł Sophos Connect czy SSL VPN: które rozwiązanie wybrać?.

⚠️ Jeśli dane urządzenie jest jedynym zdalnym dostępem administracyjnym, przed odinstalowaniem trzeba zapewnić dostęp alternatywny albo zaplanować okno serwisowe z dostępem lokalnym. Klient EOL nie jest bezpiecznym rozwiązaniem awaryjnym.

Migracja do Sophos Connect

1. Zinwentaryzować wersje Windows, architektury CPU, grupy użytkowników, MFA/SSO i zainstalowaną wersję starego klienta. Dla pilota przygotować alternatywny dostęp administracyjny i zatwierdzony pakiet Sophos Connect.
2. Przygotować aktualny instalator Sophos Connect oraz nowy plik .ovpn z VPN Portal. W SFOS 22 ścieżka WebAdmin to Remote access VPN > SSL VPN > Download client; użytkownicy pobierają klienta i profil w VPN Portal > VPN. Pełne ścieżki opisano w artykule Konfiguracja Sophos SSL VPN z Sophos Connect w Windows.
3. Jeśli VPN Portal jest niedostępny, skopiować wyłącznie istniejący plik .ovpn ze starego folderu konfiguracji do chronionego folderu tymczasowego. Nie kopiować pliku password.txt.
4. Jeśli kopia profilu zawiera auth-user-pass password.txt, usunąć z niej nazwę pliku, tak aby pozostało tylko auth-user-pass.
5. Rozłączyć VPN i standardowo odinstalować starego Sophos SSL VPN Client przez Ustawienia > Aplikacje > Zainstalowane aplikacje. Sophos Connect nie jest instalowany równolegle ze starym klientem; nie usuwać ręcznie nieznanych sterowników ani usług.
6. Uruchomić ponownie Windows, zainstalować Sophos Connect i zaimportować aktualny plik .ovpn lub oczyszczoną kopię profilu przez Import connection.
7. Połączyć się jako użytkownik pilotażowy i, jeśli skonfigurowano, użyć MFA lub SSO. Sprawdzić adres VPN, DNS, dozwolone i zablokowane cele oraz ponowne łączenie. Dopiero potem rozszerzyć wdrożenie i usunąć pozostałe artefakty.

Sophos Connect i profile powinny być następnie utrzymywane w ramach zdefiniowanego procesu aktualizacji. Pomaga w tym artykuł Sprawdzanie wersji klienta Sophos Connect i bezpieczna aktualizacja.

Wykrywanie starego autostartu i danych dostępowych w postaci jawnej

Sprawdzenie autostartu i wartości Run

W Menedżerze zadań, w sekcji Aplikacje startowe lub Autostart, wyszukać SSL VPN Client for Windows i wyłączyć ten wpis.

Dodatkowo dla bieżącego użytkownika może istnieć osobna wartość startowa:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Starszą wartość można rozpoznać po openvpn-gui.exe, --config_dir i --connect. Poniższy wzorzec służy wyłącznie do identyfikacji i nie wolno go ponownie tworzyć:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profile-name>.ovpn

Usunąć wyłącznie wartość jednoznacznie należącą do starego klienta Sophos, nigdy cały klucz Run ani nieznane wpisy. W starszych instalacjach należy dodatkowo sprawdzić klasyczny folder Autostart systemu Windows. W zarządzanych środowiskach trzeba również ustalić, czy GPO lub dystrybucja oprogramowania nie tworzy tej wartości ponownie.

Sprawdzenie profilu OVPN i password.txt

Starsze profile często znajdują się w jednej z następujących ścieżek:

• 64-bitowy Windows: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• starsze instalacje 32-bitowe: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

Rzeczywista wartość Run i lokalna instalacja są bardziej wiarygodne niż założona ścieżka standardowa.

Problematyczne odwołanie do pliku wygląda następująco:

auth-user-pass password.txt

Wskazany plik zawiera nazwę użytkownika i hasło w postaci jawnej. Nie należy go otwierać, wyświetlać ani dołączać do danych dla pomocy technicznej. Do migracji w kopii profilu pozostawia się wyłącznie zwykłe logowanie interaktywne:

auth-user-pass

Gdy tylko dostępne są alternatywny dostęp administracyjny i oczyszczony profil, przed pierwszym logowaniem za pomocą Sophos Connect usunąć wskazany plik z hasłem oraz wszystkie jego kopie. Następnie zmienić hasło konta w odpowiednim systemie tożsamości, sprawdzić logi VPN pod kątem nieoczekiwanych logowań i wykonać test pilotażowy z nowym hasłem. Niepotrzebne profile starszego klienta usunąć po zatwierdzeniu migracji. Samo usunięcie pliku nie wystarczy.

Auto-Connect bez password.txt

Plik provisioning Sophos Connect (.pro) może automatycznie importować i aktualizować profile. Za pomocą auto_connect_host klient sprawdza host dostępny wyłącznie w sieci wewnętrznej. Jeśli host jest nieosiągalny, Sophos Connect aktywuje połączenie; tunel zostanie zestawiony automatycznie tylko z zapisanymi danymi logowania lub po wcześniejszym logowaniu SSO.

[
  {
    "display_name": "Company VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Przy can_save_credentials: false klient nie zapisuje hasła użytkownika. Bez SSO użytkownik nadal musi się zalogować. Jeśli ostatnią metodą logowania było SSO, Sophos Connect może automatycznie zestawić tunel przez SSO. Przykład jest celowo minimalny; klasyczne Sophos Firewall OTP wymaga dodatkowych pól otp i 2fa. Podlinkowana wyżej instrukcja provisioningu Sophos Connect wyjaśnia te pola i dystrybucję GPO, a uwierzytelnianie opisują MFA na Sophos Firewall oraz Microsoft Entra ID SSO dla Sophos Connect.

Trzeba rozróżnić trzy funkcje: Windows uruchamia aplikację Sophos Connect, .pro importuje lub aktualizuje profile, a auto_connect_host wyzwala połączenie zależnie od sieci. Żadna nie jest obsługiwanym zamiennikiem password.txt. Przykład nie zawiera nazwy użytkownika ani hasła i bez wcześniejszego logowania SSO nie zestawi tunelu bez udziału użytkownika. Auto-connect nie jest też tunelem urządzenia przed logowaniem do Windows.

Dla Microsoft Entra ID SSO Sophos wymaga Sophos Connect 2.4 lub nowszego w Windows z SFOS 21.5 lub nowszym. Poradnik aktualizacji Sophos Connect obejmuje także wybór wersji i znane problemy: 64-bitowy Windows 10/11 i Windows 10/11 na ARM są udokumentowane od wersji 2.5; Windows 11 Enterprise Multi-session, w tym Azure Virtual Desktop, nie jest obsługiwany. Provisioning .pro jest udokumentowany dla Windows, nie dla macOS.

Na współdzielonych urządzeniach Windows przetestować co najmniej dwa konta. Według tego samego poradnika Sophos Connect 2.5 MR1 usuwa błąd NCL-2570, przez który klient nie uruchamiał się automatycznie dla dodatkowych użytkowników, gdy zainstalował go ktoś inny. Aktualizacja nie zastępuje testu wielu użytkowników, a „klient uruchomiony” nie oznacza „VPN połączony”.

Provisioning wymaga dostępnego VPN Portal. Jeśli zostanie on udostępniony z WAN, potrzebne są zaufany certyfikat, MFA, monitoring i możliwie restrykcyjna konfiguracja Device Access i Local Service ACL.

Sprawdzenie migracji i zawężanie błędów

Po przejściu na nowego klienta należy osobno sprawdzić połączenie i usunięcie pozostałości:

• Stary klient, jego wpis autostartu w Menedżerze zadań i konkretna wartość HKCU Run zostały usunięte.
• W starej ścieżce profilu ani w dystrybucji oprogramowania nie ma już pliku password.txt.
• Zmigrowany profil nie zawiera odwołania do pliku po auth-user-pass.
• Sophos Connect używa właściwego aktualnego połączenia i aktualnej wersji klienta.
• Logowanie, MFA lub SSO działają.
• Klient otrzymuje adres z oczekiwanej puli VPN.
• Wewnętrzne nazwy DNS i dozwolone cele działają, a jawnie zablokowane sieci pozostają niedostępne.
• Log Viewer pokazuje oczekiwanego użytkownika i właściwą regułę Remote Access.

Nie można zainstalować Sophos Connect

Sprawdzić, czy stary Sophos SSL VPN Client jest nadal zainstalowany. Odinstalować go standardowo, uruchomić ponownie Windows i powtórzyć instalację. Przy konfliktach z innymi klientami VPN nie usuwać sterowników ani usług na próbę.

Profil został zaimportowany, ale tunel nie startuje

Ponownie zaimportować aktualny plik .ovpn z VPN Portal i sprawdzić przypisanie policy, konto użytkownika, MFA oraz zdarzenia Sophos Connect. Na firewallu, zależnie od problemu, pomagają sslvpn.log, openvpn-status*.log, a przy problemach z uwierzytelnianiem access_server.log.

Tunel działa, ale cele wewnętrzne są niedostępne

Problem leży wtedy najczęściej w policy, regule firewalla, DNS, routingu albo MTU. W diagnostyce pomagają Testowanie reguły firewalla za pomocą Log Viewer, Policy Test i Packet Capture, Usługi i logi Sophos Firewall oraz, gdy aplikacje przestają odpowiadać, MTU i MSS przy problemach z VPN.

Sophos Connect uruchamia się, ale nie łączy automatycznie

Najpierw sprawdzić, czy używany jest profil .pro, a auto_connect_host zawiera stabilny FQDN dostępny tylko wewnętrznie. Przetestować ten sam host w sieci firmowej i z zewnątrz. Jeśli jest osiągalny także z zewnątrz, Auto-connect pozostaje wyłączony; jeśli jest niestabilny wewnętrznie, połączenie może być aktywowane niepotrzebnie. Następnie sprawdzić wcześniejsze logowanie użytkownika przez SSO. Przy can_save_credentials: false i bez wcześniejszego SSO interaktywne logowanie jest oczekiwane.

Bezpieczny powrót

Powrót nie oznacza ponownej instalacji podatnego starego klienta. Przed pilotem zachować zatwierdzony pakiet Sophos Connect, oczyszczony profil i alternatywny dostęp administracyjny. Przy awarii najpierw zapisać zdarzenia Sophos Connect i scvpntsr.zip, następnie zatrzymać wdrożenie i dystrybucję GPO. Standardowo odinstalować wadliwą wersję, w razie potrzeby uruchomić ponownie system i zainstalować ostatnią zatwierdzoną wersję Sophos Connect z przetestowanym profilem.

Ponownie sprawdzić logowanie, MFA/SSO, adres VPN, DNS oraz dozwolone i zablokowane cele. Zmiany firewalla, portalu lub policy wycofać dopiero, gdy nie zależą od nich zmigrowani użytkownicy. Nie przywracać starego instalatora, password.txt ani wartości Run.

FAQ