Configurar Sophos Connect na Sophos Firewall
O Sophos Connect é configurado na firewall em Remote access VPN > IPsec. Para uma ligação funcional, perfil IPsec, autenticação, grupo de utilizadores, pool IP, DNS, regras firewall e perfil de cliente distribuído têm de estar alinhados. Este artigo descreve a configuração completa do lado da firewall para IPsec Remote Access.
Para SSL VPN, aplica-se o guia separado Configurar Sophos Firewall SSL VPN Remote Access. Quem ainda estiver a escolher entre IPsec, SSL VPN, clientes móveis e ZTNA deve começar por Sophos Connect ou SSL VPN: que solução Remote Access se adequa?.
Configuração resumida
- Em Remote access VPN > IPsec, ativar IPsec Remote Access e selecionar a interface WAN e um perfil IKEv1 permitido.
- Configurar PSK ou certificados digitais e definir Local/Remote ID.
- Selecionar os utilizadores autorizados ou o respetivo grupo principal e verificar a opção do grupo.
- Introduzir o nome da ligação, o pool IP e os servidores DNS internos.
- Definir Split ou Full Tunnel e as restantes Advanced Settings.
- Configurar as regras firewall e as entradas necessárias em Administration > Device access.
- Exportar o ficheiro
.scx, importá-lo com um utilizador de teste e voltar a testar a ligação após reiniciar o cliente.
Pré-requisitos e planeamento
São necessários acesso administrativo ao WebAdmin, um intervalo de endereços VPN livre, servidores DNS internos para nomes internos, redes e serviços de destino definidos e utilizadores ou grupos com um conceito MFA. Antes de atualizar para SFOS 22.0 MR1 ou posterior, migrar Legacy Remote Access IPsec, pois esta configuração antiga pode bloquear o upgrade.
Antes da configuração, definir:
- utilizadores locais, grupo principal AD, RADIUS ou Microsoft Entra ID SSO;
- um pool VPN dedicado sem sobreposição com LAN, WLAN, VLAN, VPN Site-to-Site ou redes domésticas comuns;
- servidores DNS internos e, se necessário, um sufixo DNS;
- servidores, redes e serviços permitidos em vez de acesso geral à LAN;
- Split ou Full Tunnel;
- MFA, processo de suporte, distribuição de perfis e atualizações do cliente;
- um procedimento de reversão documentado caso um novo perfil ou uma nova versão do cliente cause problemas.
Para a configuração de MFA, consultar Configurar Sophos Firewall MFA.
Utilizar corretamente os tipos de perfil
.scx: perfil Sophos Connect para IPsec com definições gerais e avançadas..tgb: perfil IPsec para clientes antigos ou de terceiros, apenas com definições gerais..ovpn: perfil SSL VPN proveniente da configuração SSL VPN ou do VPN Portal..pro: ficheiro de provisioning para Windows 10 e 11 que carrega configurações através do VPN Portal após o início de sessão e aplica automaticamente alterações posteriores. No macOS, o perfil IPsec é importado como.scx.
Para novas implementações IPsec com Sophos Connect, .scx é o padrão adequado. Após alterações gerais a IPsec, é necessário voltar a exportar .scx e .tgb; se apenas as Advanced Settings forem alteradas, basta um novo .scx. Se um valor no próprio ficheiro .pro mudar, como a porta do VPN Portal, este ficheiro também tem de ser atualizado.
O provisioning simplifica a distribuição, mas torna o cliente dependente do VPN Portal. Se tiver de estar acessível a partir da Internet, o acesso deve ser limitado tanto quanto possível em Administration > Device access. Um portal permanentemente acessível de forma ampla aumenta a superfície de ataque; os detalhes são explicados em Device Access e Local Service ACL na Sophos Firewall.
Configurar IPsec Remote Access
Nas versões atuais do SFOS, a configuração encontra-se em Remote access VPN > IPsec. Interfaces mais antigas e a captura de ecrã existente ainda podem mostrar VPN > Sophos Connect Client.
Interface WAN e perfil IPsec
Ativar IPsec remote access e selecionar a interface WAN através da qual os clientes chegam à firewall. Endereço IP público ou DynDNS/FQDN, routers a montante, encaminhamento de portas e comportamento do failover WAN têm de estar alinhados.
Para IPsec Remote Access, o SFOS apenas permite perfis IKEv1 nos quais Dead Peer Detection esteja desativado ou definido como Disconnect. O perfil determina os parâmetros IKE e IPsec e tem de corresponder ao conceito de segurança e a todos os clientes implementados.
Autenticação e IDs
Para autenticação, são normalmente utilizados Preshared key ou Digital certificate. Um PSK é rápido de configurar, mas tem de ser bem protegido e substituído em todos os perfis afetados em caso de suspeita. A MFA protege adicionalmente o início de sessão do utilizador, mas não substitui o PSK nem o certificado.
No SFOS 22.0, aplicam-se condições específicas aos certificados digitais:
- IPsec suporta certificados RSA, mas não certificados ECDSA.
- Local e Remote Certificate precisam de uma Certificate ID.
- External certificate não pode ser selecionado para esta ligação.
- Certificados assinados localmente e certificados de terceiros não podem ser combinados arbitrariamente. Utilizar em ambos os lados certificados gerados na firewall ou certificados assinados pela mesma CA de terceiros e carregar a respetiva Signing CA na firewall.
A Sophos recomenda uma Local ID para a firewall e uma Remote ID diferente para os clientes. Podem ser usados nome DNS, endereço IP, e-mail e, para certificados, DER ASN1 DN [X509]. Os IDs não são nomes de apresentação livremente intercambiáveis: o perfil e a firewall têm de utilizar os mesmos valores esperados.
Antes da implementação, verificar também validade, chaves privadas, processo de renovação e distribuição dos certificados. Uma alteração posterior do certificado afeta não só a firewall, mas também os perfis exportados e o teste de aceitação nos clientes.
Utilizadores e grupos
Em Allowed users and groups, adicionar apenas utilizadores ou grupos autorizados. Para utilizadores de diretório, o IPsec Remote Access considera o grupo principal. Para o acesso baseado em grupos, um grupo VPN dedicado tem, por isso, de ser utilizado como grupo principal. Se tal não for possível, autorizar utilizadores individuais; não autorizar um grupo principal amplo apenas devido a um grupo VPN secundário.
Além disso, verificar em Authentication > Groups se IPsec remote access está ativado para o grupo principal. Para grupos AD importados e grupos migrados, a opção está desativada por predefinição; para novos grupos locais está ativada. Se um utilizador pertencer a vários grupos, aplica-se a política do grupo no topo da lista; as políticas individuais do utilizador têm prioridade. A ordem dos grupos é explicada em mais detalhe em Ligar o Active Directory à Sophos Firewall.
Se o IPsec Remote Access for desativado para um grupo, a firewall desliga os utilizadores ativos desse grupo e impede um novo início de sessão. Antes do primeiro início de sessão clássico no Sophos Connect, um utilizador AD tem normalmente de se autenticar noutro Authentication Client, como o portal do utilizador. Com provisioning .pro, a firewall pode criar e atribuir o utilizador no primeiro início de sessão. Guest users não são suportados para Remote Access.
Nome da ligação, pool IP e DNS
Atribuir um nome compreensível para utilizadores e suporte, como homeoffice ou remote-access-ipsec. O intervalo de lease IPsec tem de estar dentro de uma sub-rede com pelo menos /24, por exemplo, de 10.250.10.10 a 10.250.10.200 em 10.250.10.0/24. Não pode ser utilizado simultaneamente para SSL VPN, L2TP ou PPTP, nem sobrepor-se a redes internas, redes Site-to-Site ou redes domésticas comuns, como 192.168.0.0/24 e 192.168.1.0/24.
O tamanho depende do número máximo de utilizadores simultâneos. Documentar o pool, os endereços reservados e as regras firewall associadas no IPAM ou na documentação de rede, para que alterações posteriores não causem sobreposições não detetadas.
Para FQDN internos, distribuir os servidores DNS internos e, se necessário, um sufixo DNS. Resolvers externos como 1.1.1.1, 8.8.8.8, 9.9.9.9 ou 208.67.222.222 não resolvem zonas internas. O túnel pode, por isso, aparecer ativo embora as aplicações não funcionem devido a respostas DNS incorretas.
Idle Time e Advanced Settings
Definir Disconnect when tunnel is idle e o intervalo de modo a terminar ligações não utilizadas sem interromper desnecessariamente sessões de trabalho normais. Se o Sophos Connect não conseguir voltar a ligar automaticamente após um Idle Disconnect, selecionar primeiro Disconnect e depois Connect no cliente.
Timeouts curtos são mais adequados para acessos administrativos esporádicos e timeouts mais longos para sessões de trabalho estáveis. Com OTP/MFA, é necessário testar a nova ligação com o valor escolhido e informar o helpdesk.
As Advanced Settings são incluídas apenas em .scx, não em .tgb:
- Use as default gateway: Full Tunnel para todo o tráfego ou Split Tunnel apenas para recursos internos.
- Permitted network resources: redes acessíveis através do Split Tunnel.
- Send Security Heartbeat through tunnel: enviar o heartbeat do Sophos Endpoint através do túnel VPN.
- Allow users to save username and password: ativar apenas se for compatível com o conceito de MFA e segurança.
- Prompt users for 2FA token: apresentar um campo OTP separado.
- Run AD logon script after connecting: ativar apenas scripts necessários, como o mapeamento de unidades, e testá-los com um utilizador de teste.
- Connect tunnel automatically: estabelecer automaticamente o túnel quando o utilizador inicia sessão.
Quando Prompt users for 2FA token está ativado, a ferramenta de linha de comandos SCCLI não funciona. O Sophos Connect também não suporta pedidos OTP baseados em challenge; a palavra-passe e o OTP são tecnicamente enviados para o servidor de autenticação no formato passwordotp.
Depois de guardar, exportar a configuração através de Export connection e distribuí-la de forma protegida. Os perfis contêm dados de ligação relevantes para a segurança e não devem ser guardados em locais de acesso público.
Regras firewall e Device Access
O Sophos Connect apenas estabelece o túnel. O acesso operacional continua a exigir regras firewall. Para destinos internos, criar uma regra tão restrita quanto possível de VPN para a zona de destino necessária e ativar o logging pelo menos durante a introdução.
- Source Zone: VPN
- Destination Zone: LAN ou a zona interna realmente necessária
Com Full Tunnel através de Use as default gateway, é também necessária uma regra de VPN para WAN e um desenho NAT e Security Policy adequado.
- Source Zone: VPN
- Destination Zone: WAN
Em Administration > Device access, permitir IPsec a partir da zona WAN necessária. Disponibilizar o VPN Portal apenas para download ou provisioning a partir das zonas realmente necessárias. Se a própria firewall for utilizada como resolver DNS ou destino de ping, também é necessário permitir DNS ou Ping a partir da zona VPN.
Para analisar regras, consultar Testar uma regra firewall com Log Viewer, Policy Test e Packet Capture. Após a introdução, definir conscientemente que regras Remote Access devem ser registadas permanentemente e que eventos devem ser também enviados para Sophos Central ou Syslog. Com Full Tunnel, Web Protection, Application Control e outras políticas de segurança aplicam-se como nas restantes redes de clientes.
Validar e operar a ligação
Instalar depois o Sophos Connect em Windows ou macOS e testar com um utilizador de teste:
- o perfil é importado sem erros e o início de sessão com MFA funciona;
- o cliente recebe um endereço do pool previsto;
- os FQDN internos e os sistemas centrais estão acessíveis;
- o Log Viewer mostra ocorrências na regra esperada;
- o Split Tunnel bloqueia destinos não permitidos ou o Full Tunnel encaminha o tráfego de Internet conforme planeado através da firewall e NAT;
- a nova ligação funciona após uma mudança de rede e após reiniciar o cliente ou endpoint;
- o cliente de teste utiliza a versão de perfil documentada e o provisioning aplica as alterações de forma verificável.
Para a operação posterior, documentar:
- grupo VPN responsável e processo de saída;
- reposição da MFA e bloqueio ou desbloqueio de utilizadores;
- versão atual do perfil ou data da alteração;
- caminhos de logs e suporte conhecidos pelo helpdesk;
- nova verificação de Legacy Remote Access IPsec e dos perfis de cliente antes de upgrades do SFOS.
Para alterações ao pool, DNS, gateway, certificados, grupos ou Advanced Settings, definir um responsável, a data da alteração, um procedimento de reversão e um novo teste de aceitação.
Troubleshooting
Failed to validate certificate após reiniciar
Se a primeira ligação funcionar, mas após reiniciar o endpoint ou o Sophos Connect aparecer Failed to validate certificate, é frequente que Local e Remote Certificate não sejam assinados pela mesma CA.
Verificar se Local e Remote Certificate têm uma atribuição de CA coerente e Certificate IDs. Utilizar certificados gerados na firewall ou assinados pela mesma CA de terceiros, carregar a Signing CA do terceiro na firewall ou mudar para PSK. Depois, voltar a exportar e importar o perfil e testar a ligação após outro reinício.
O utilizador não consegue iniciar sessão
Primeiro, verificar se o grupo principal está incluído em Allowed users and groups e se IPsec remote access está ativado em Authentication > Groups. Em seguida, verificar o servidor de autenticação, MFA, estado da palavra-passe, utilizador bloqueado e o primeiro início de sessão necessário. Testar primeiro AD, RADIUS ou Entra ID separadamente da VPN. Com Microsoft Entra ID SSO, os métodos em Authentication > Services têm de estar corretamente atribuídos antes da exportação do perfil.
Se aparecer no IKE config found, comparar também o perfil IPsec, Local ID e Remote ID entre a firewall e o perfil do cliente. Se apenas alguns utilizadores do diretório forem afetados, verificar também o grupo principal, UPN, endereço de e-mail e mapeamento de grupos. O Sophos Connect apenas suporta caracteres ASCII nos nomes de utilizador; nomes com caracteres acentuados ou outros caracteres UTF-8/UTF-16 podem, por isso, falhar apesar de a palavra-passe estar correta.
A ligação está ativa, mas não há tráfego ou Internet
No Log Viewer, verificar se o tráfego da zona VPN atinge a regra esperada. Se não houver ocorrências, verificar rotas do cliente, Permitted network resources, redes de origem e destino e Packet Capture; se houver ocorrências, restringir a análise a routing, caminho de retorno, DNS e NAT. O Device Access só é relevante aqui se a própria firewall for o destino, por exemplo, para DNS ou Ping. Com Full Tunnel, a regra de VPN para WAN e o SNAT têm de estar corretos. Para uma análise mais profunda do túnel, consultar Troubleshooting Sophos Firewall IPsec VPN.
O cliente ou o provisioning utiliza valores antigos
Após alterações gerais, voltar a exportar os ficheiros .scx e .tgb distribuídos manualmente; se apenas as Advanced Settings forem alteradas, substituir apenas .scx. Retirar de circulação as versões antigas. Com .pro, verificar primeiro a acessibilidade do VPN Portal, a porta do portal, gateway, certificado, início de sessão do utilizador e MFA. Com Entra SSO, gateway tem de corresponder ao Redirect URI.
A ligação é interrompida aproximadamente a cada quatro horas
Durante o rekeying IKEv1, um novo pedido OTP pode interromper o túnel. A causa, um intervalo de rekeying mais longo e a avaliação de segurança são explicados em Resolver o timeout de IPsec Remote Access após quatro horas.
Transferências grandes bloqueiam ou o IPsec falha apenas em redes externas
Se o início de sessão, DNS e pequenas transferências funcionarem, mas as maiores não, verificar MTU e MSS. Se o IPsec falhar apenas em hotéis, Wi-Fi de convidados, redes móveis ou redes empresariais fortemente filtradas, a rede pode estar a bloquear o IPsec. Nesse caso, verificar se SSL VPN ou outro desenho Remote Access é mais adequado para estes utilizadores.