Configurar Sophos SSL VPN no iPhone e iPad

Sophos Connect não suporta diretamente iOS e iPadOS para IPsec ou SSL VPN. Quando um iPhone ou iPad deve ligar-se por Remote Access a uma Sophos Firewall, usa-se por isso um client compatível com OpenVPN. Em muitos ambientes, OpenVPN Connect é o padrão mais natural.

Este artigo descreve o procedimento prático para Sophos SSL VPN no iPhone e iPad: instalar a app, obter a configuração .ovpn, importar o perfil, testar a ligação e delimitar erros típicos. Para a decisão de base entre Sophos Connect, SSL VPN, IPsec, clients móveis e ZTNA, o ponto de partida adequado é Sophos Connect ou SSL VPN: que solução de Remote Access faz sentido?.

Quando SSL VPN no iOS faz sentido

SSL VPN no iPhone ou iPad faz sentido quando utilizadores móveis precisam de aceder ocasionalmente a sistemas internos e um perfil VPN clássico é suficiente para isso.

Exemplos típicos:

acesso a aplicações Web internas
acesso administrativo a poucos sistemas através de um iPad
acesso a serviços de ficheiros ou ferramentas internas através de apps definidas
trabalho externo temporário sem client gerido em notebook
solução transitória quando ZTNA ou App Proxy ainda não estão disponíveis

Para acesso permanente a muitos sistemas internos, um dispositivo móvel muitas vezes não é a melhor plataforma de destino. Nesse caso, deve verificar-se se um client Windows ou macOS gerido com Sophos Connect, um acesso ZTNA mais restrito ou outro desenho de Remote Access se adequa melhor.

Enquadramento face a outros clients

Estas instruções aplicam-se à Sophos Firewall com SFOS e a dispositivos móveis Apple. Consoante a plataforma ou a situação inicial, outro ponto de partida pode ser mais adequado:

Configurar SSL VPN no iPhone e iPad: Este artigo.
Configurar SSL VPN com Sophos Connect no Windows: Configurar Sophos SSL VPN com Sophos Connect no Windows.
Configurar SSL VPN com Sophos Connect no macOS: Configurar Sophos SSL VPN com Sophos Connect no macOS.
Configurar SSL VPN no Android: Configurar Sophos SSL VPN no Android.
Instalar Sophos Connect no Windows: Instalar Sophos Connect Client no Windows.
Instalar Sophos Connect no macOS: Instalar Sophos Connect Client no macOS.

Importante é a delimitação: Sophos Connect não é o client SSL-VPN direto para iOS e iPadOS. Se dispositivos móveis forem suportados, deve ficar definido internamente que client compatível com OpenVPN é utilizado, de onde vêm os perfis e quem presta suporte em mudanças de dispositivo.

Requisitos

Antes da configuração, estes pontos devem estar esclarecidos:

Sophos Firewall com configuração SSL-VPN Remote Access já criada
utilizador com autorização para SSL VPN
acesso ao VPN Portal ou a ficheiro .ovpn disponibilizado administrativamente
client compatível com OpenVPN no iPhone ou iPad
MFA/OTP configurado, se o Remote Access estiver protegido dessa forma
certificado válido para VPN Portal e acesso à firewall, se possível
regras de firewall para traffic da zona VPN
desenho de Split Tunnel ou Full Tunnel definido
processo de suporte para troca de dispositivos, dispositivos perdidos e perfis antigos

Antes de um upgrade para SFOS 22.0 MR1 ou mais recente, deve verificar-se adicionalmente se ainda existem configurações Remote Access IPsec antigas. SSL VPN não é afetado diretamente por isso, mas muitos ambientes reavaliam Remote Access nesse momento. O procedimento está em Migrar Legacy Remote Access IPsec antes do SFOS 22 MR1.

Preparar firewall e VPN Portal

A configuração em iOS é apenas o último passo. Antes disso, a configuração da firewall tem de estar correta.

Na Sophos Firewall, devem ser verificados estes pontos:

Abrir Remote access VPN.
Configurar SSL VPN para os utilizadores ou grupos necessários.
Usar um pool de IPs VPN sem sobreposição com LAN, WLAN, VLANs, Site-to-Site VPNs ou redes domésticas típicas.
Definir servidores DNS e domain suffixes adequados, se forem usados nomes internos.
Ativar MFA para Remote Access e testar com um utilizador de teste.
Criar regra de firewall de VPN para a zona de destino necessária.
Ativar logging para a fase de introdução.
Libertar o VPN Portal em Administration > Device access apenas com a amplitude necessária.

O procedimento completo do lado da firewall está em Configurar Sophos Firewall SSL VPN Remote Access.

O VPN Portal é um ponto de entrada publicamente acessível. Se tiver de estar acessível a partir da Internet, certificado, MFA, limitação por país/origem e verificação de logs devem ser planeados conscientemente. Para hardening, ver Device Access e Local Service ACL na Sophos Firewall.

1. Instalar OpenVPN Connect

Instalar OpenVPN Connect a partir da App Store: OpenVPN Connect.

Se no ambiente estiver normalizado outro client compatível com OpenVPN, essa decisão deve ser documentada. Torna-se problemático quando os utilizadores usam em paralelo várias apps VPN, perfis antigos e instruções diferentes.

Para suporte e operação, deve ser definido:

que client é suportado
que versão mínima da app é esperada
se os utilizadores podem instalar a app autonomamente
como os perfis são distribuídos e retirados
como dispositivos perdidos ou substituídos são tratados

2. Abrir o VPN Portal

No iPhone ou iPad, abrir o VPN Portal da Sophos Firewall no browser e iniciar sessão com o utilizador VPN. Safari costuma ser o caminho mais fiável para o download e a entrega do ficheiro .ovpn ao OpenVPN Connect.

Se o VPN Portal for aberto com um certificado inválido ou não confiável, a causa deve ser corrigida. Uma exceção permanente no browser não é um bom padrão operacional para Remote Access produtivo.

Com MFA, deve testar-se o procedimento com um utilizador de teste real. É especialmente importante saber se o segundo fator é solicitado num campo separado ou se a palavra-passe e o código OTP têm de ser introduzidos no formato esperado. Os fundamentos estão em Ativar MFA para Sophos Firewall WebAdmin, VPN Portal e Remote Access.

3. Transferir a configuração OVPN

No VPN Portal, mudar para a área SSL VPN ou VPN e transferir a configuração para Android/iOS. Consoante a versão SFOS e a vista do portal, o link tem uma designação semelhante a Download configuration for Android/iOS.

O ficheiro transferido tem normalmente a extensão .ovpn. Este ficheiro é específico do utilizador e não deve ser encaminhado para outros utilizadores.

Importante:

O ficheiro deve vir da configuração atual da firewall.
Ficheiros antigos de arquivos de e-mail ou chats não devem ser reutilizados.
Após alterações à SSL-VPN-Policy, certificado, gateway, DNS ou grupo de utilizadores, o perfil deve ser transferido novamente.
Se um utilizador sair da empresa ou se um dispositivo for perdido, devem verificar-se acesso do utilizador, pertença a grupos e distribuição de perfis.

4. Importar perfil no OpenVPN Connect

Se o iOS não sugerir automaticamente a importação, o ficheiro .ovpn pode ser enviado para OpenVPN Connect através da função de partilha. OpenVPN Connect mostra depois o novo perfil e, na primeira configuração, pede autorização para criar uma configuração VPN.

Esta confirmação do iOS é necessária para que a app possa criar uma ligação VPN. Se a confirmação for recusada, o perfil poderá aparecer na app, mas a ligação pode não ser estabelecida corretamente.

Se existirem vários perfis, o nome deve ser inequívoco, por exemplo com localização, ambiente ou nome da empresa. Vários perfis com nomes quase iguais são uma causa frequente de suporte.

5. Estabelecer a ligação VPN

Ativar o perfil importado e iniciar sessão com o utilizador VPN. Se MFA ou OTP estiver ativo, o segundo fator tem de ser confirmado de acordo com a configuração da firewall.

Depois de estabelecer a ligação com sucesso, não basta a app OpenVPN aparecer como connected. O ponto decisivo é saber se os destinos internos planeados estão acessíveis e se o traffic na firewall corresponde à regra correta.

Verificar após a configuração

Pelo menos estes pontos devem ser verificados com um utilizador de teste:

OpenVPN Connect mostra a ligação como connected.
iOS mostra o símbolo VPN ou o estado VPN.
O utilizador recebe um endereço IP do pool SSL-VPN esperado.
Nomes DNS internos são resolvidos corretamente.
Servidores, aplicações Web ou serviços necessários estão acessíveis.
O comportamento da Internet corresponde ao desenho: Split Tunnel ou Full Tunnel.
No Log Viewer é visível a regra de firewall esperada para traffic da zona VPN.
MFA é solicitado como previsto.
A ligação é novamente testada após modo de voo, mudança de WLAN ou mudança para rede móvel.
Perfis antigos foram removidos ou claramente marcados como obsoletos.

Se a ligação está estabelecida, mas o acesso não funciona, a causa muitas vezes não está no client móvel, mas sim em regras de firewall, DNS, routing ou NAT. Para a análise, ver Testar regra de firewall com Log Viewer, Policy Test e Packet Capture.

Distribuição manual ou MDM?

Com poucos iPhones ou iPads, a importação manual através de VPN Portal, Safari e OpenVPN Connect pode ser suficiente. Assim que existam vários utilizadores, muitos dispositivos ou trocas regulares de equipamento, a distribuição de perfis deve ser planeada conscientemente. Caso contrário, ficheiros .ovpn antigos ficam em e-mails, chats ou pastas privadas de downloads e reaparecem meses depois em casos de suporte.

Importação manual: poucos dispositivos, grupo piloto, utilização ocasional. instruções claras, perfil atual, teste MFA e remoção de perfis antigos.
Distribuição por MDM ou Endpoint-Management: dispositivos geridos, muitos utilizadores, alterações recorrentes. versão do perfil, instalação da app, perda de dispositivo, retirada de perfis antigos e processo de suporte.

O ponto importante é a retirada. Se um dispositivo for substituído, se um utilizador sair ou se uma SSL-VPN-Policy for alterada, não basta distribuir um novo perfil. Perfis antigos, pertenças a grupos e eventuais dados de acesso guardados também têm de ser verificados.

Operação e segurança

Perfis VPN móveis precisam de regras operacionais claras. iPhones e iPads alternam frequentemente entre WLAN, rede móvel, hotspots e Captive Portals. Além disso, dispositivos móveis perdem-se ou são substituídos mais facilmente do que notebooks empresariais clássicos.

Boa prática:

Atualizar OpenVPN Connect regularmente.
Ativar e testar MFA para Remote Access.
Verificar grupos VPN regularmente.
Limitar o VPN Portal através de Device Access e Local Service ACL, sempre que possível.
Manter e registar regras de firewall para a zona VPN de forma restrita.
Remover ficheiros .ovpn antigos e perfis obsoletos.
Considerar trocas de dispositivo e dispositivos perdidos no processo de suporte.
Planear Syslog ou análise centralizada se for necessária retenção de logs prolongada.

Para ficheiros de log e service logs, Sophos Firewall Troubleshooting: Services e Logs é útil.

Erros típicos

O ficheiro OVPN não abre

Primeiro, verificar se OpenVPN Connect está instalado e se o ficheiro existe realmente como .ovpn. Depois transferir novamente o ficheiro a partir do VPN Portal ou enviá-lo para OpenVPN Connect através da função de partilha.

Se o ficheiro for distribuído por MDM, e-mail ou partilha de ficheiros, deve verificar-se se foi alterado, renomeado ou bloqueado durante o caminho.

A importação funciona, mas a ligação não

Nesse caso, muitas vezes a autorização iOS para a configuração VPN não foi concedida corretamente ou o perfil não corresponde à configuração atual da firewall. Eliminar o perfil, obter o ficheiro .ovpn atual e importar novamente.

Verificar utilizador, palavra-passe, MFA, pertença a grupos e servidor de autenticação. Se AD, RADIUS ou Microsoft Entra ID SSO estiverem envolvidos, a autenticação deve ser testada separadamente da VPN. Um problema de login não é automaticamente um problema de OpenVPN.

A ligação está estabelecida, mas os sistemas internos não estão acessíveis

Verificar DNS, regras de firewall, routing, NAT e caminho de retorno. No Log Viewer deve ser visível traffic da zona VPN. Se não aparecerem logs, provavelmente o traffic não chega à regra esperada ou o logging está desativado.

Em sistemas internos individuais, muitas vezes não é a própria VPN que está avariada, mas sim uma regra de firewall em falta, um nome DNS errado ou uma rota de retorno na rede de destino.

Se acessos pequenos funcionam, mas transferências de ficheiros maiores ou determinadas aplicações ficam bloqueadas, deve verificar-se também MTU/MSS: Verificar MTU e MSS na Sophos Firewall em problemas de VPN.

Nomes internos não são resolvidos

Verificar servidores DNS e search domain na configuração SSL-VPN. Depois testar se os sistemas internos estão acessíveis por endereço IP. Se IP funciona, mas o nome não, a causa está provavelmente no DNS, não na própria ligação VPN.

A ligação cai durante a mudança de rede

Em dispositivos móveis, mudanças de WLAN, mudanças de rede móvel, Captive Portals e mecanismos de poupança de energia são causas típicas. Testar com uma segunda rede e verificar se o comportamento é reproduzível.

Se os utilizadores mudam frequentemente de rede, deve verificar-se se a aplicação tolera interrupções VPN curtas ou se outro modelo de acesso se adequa melhor.

Checklist

Antes do rollout

Client OpenVPN suportado definido.
Grupo de utilizadores SSL-VPN verificado.
MFA para Remote Access testado.
VPN Portal acessível com certificado válido.
Device Access e acesso a partir da Internet limitados de forma consciente.
Regras de firewall para a zona VPN criadas e com logging.
Split Tunnel ou Full Tunnel documentado.
Distribuição de perfis e processo de troca de dispositivos definidos.

Após a importação

Perfil visível no OpenVPN Connect.
Autorização VPN do iOS confirmada.
Ligação estabelecida com utilizador de teste.
DNS, destinos internos e correspondência da regra de firewall verificados.
WLAN, rede móvel e mudança de rede testadas.
Perfis antigos removidos.

Em operação

Manter app OpenVPN e iOS atualizados.
Verificar grupos de utilizadores regularmente.
Remover perfis antigos em caso de saída ou perda de dispositivo.
Verificar logs VPN cedo em casos de suporte.
Em problemas móveis recorrentes, avaliar ZTNA ou acesso baseado em apps.

FAQ

Sophos Connect suporta SSL VPN no iOS?

Não. Sophos Connect não suporta diretamente iOS e iPadOS para IPsec e SSL VPN. No iPhone e iPad é usado um client compatível com OpenVPN.

É obrigatório usar OpenVPN Connect?

Não necessariamente. OpenVPN Connect é, contudo, um padrão comum para perfis OpenVPN em iOS. Se for usado outro client, este deve ser claramente documentado e suportado internamente.

MFA funciona com SSL VPN no iOS?

Sim, se MFA estiver corretamente configurado na Sophos Firewall para Remote Access. Consoante a configuração, o segundo fator é processado no login ou através da introdução da palavra-passe.

SSL VPN no iOS é melhor do que IPsec?

Não de forma geral. SSL VPN é muitas vezes prático quando já existem perfis OpenVPN estabelecidos. Em alguns ambientes, outro desenho de Remote Access com IPsec, ZTNA ou acesso baseado em apps pode ser mais adequado.

Porque é que a ligação funciona, mas nenhuma aplicação interna abre?

Nesse caso, o túnel é apenas uma parte da verificação. Muitas vezes faltam regras de firewall, resolução DNS, routing ou caminhos de retorno. No Log Viewer deve verificar-se se traffic da zona VPN corresponde à regra esperada.