Configure o Sophos SSL VPN com Sophos Connect no macOS

A VPN SSL no macOS costumava ser configurada com Tunnelblick ou outros clientes OpenVPN. Isso ainda é possível, mas não é mais a única opção óbvia: desde o Sophos Connect 2.0, o Sophos também suporta VPN SSL de acesso remoto no macOS.

O artigo descreve o caminho padrão atual com o Sophos Connect no macOS e classifica o Tunnelblick como uma alternativa. Ao decidir entre Sophos Connect, SSL VPN, IPsec, clientes móveis e ZTNA, a primeira coisa que cabe é Sophos Connect ou SSL VPN: Qualificação para acesso remoto e certificado?.

Qual artigo do macOS VPN se encaixa?

Estas instruções se aplicam ao Sophos Firewall com SFOS e SSL VPN no macOS. Dependendo da tarefa, uma abordagem diferente é apropriada:

Instale o Sophos Connect geralmente no macOS: Instale ou cliente Sophos Connect no macOS.
Configurar SSL VPN no lado do firewall: Configurar ou acessar SSL VPN remoto do Sophos Firewall.
Configure SSL VPN no macOS com Sophos Connect: Este artigo.
Configure SSL VPN no Windows: Configure o Sophos SSL VPN com Sophos Connect no Windows.
Configure SSL VPN no iPhone, iPad ou Android: iPhone/iPad ou Android.
Manter versões e perfis do cliente Sophos Connect: Verifique e atualize com segurança a verão do Sophos Connect Client.
A VPN está conectada, mas o tráfego não está funcionando: Teste regras de firewall com Log Viewer, Policy Test e Packet Capture.

Plataformas móveis como iOS e Android não são diretamente suportadas pelo Sophos Connect para IPsec e SSL VPN. Clientes compatíveis com OpenVPN ou funções do sistema operacional permanecem relevantes lá.

Requisitos

Firewall Sophos com configuração de acesso remoto SSL VPN configurada
Usuários autorizados para SSL VPN
Acesso ao portal VPN ou a um arquivo .ovpn fornecido administrativamente
Sophos Connect 2.0 ou mais recente
macOS Ventura 13 ou posterior com Sophos Connect 2.0+
Mac com processador Intel ou Apple Silicon via Rosetta 2
MFA/OTP configurado se o acesso remoto estiver protegido com ele
Regras de firewall para tráfego da zona VPN

Se a configuração SSL VPN do lado do firewall ainda não estiver definida, Configurar o acesso remoto SSL VPN do Sophos Firewall deve ser implementado primeiro.

Antes de atualizar o SFOS 22 MR1, você também deve verificar se ainda existem configurações antigas de IPsec de acesso remoto. O SSL VPN não é diretamente afetado por isso, mas muitos ambientes estão reavaliando o acesso remoto neste momento. O processo está em Migrar IPsec de acesso remoto legado antes do SFOS 22 MR1.

Sophos Connect ou Tunnelblick?

Para novas implementações do macOS, o Sophos Connect deve ser verificado primeiro porque o Sophos Connect é o próprio cliente da Sophos e oferece suporte a SSL VPN no macOS desde a versão 2.0. O Tunnelblick continua sendo uma alternativa ao OpenVPN, mas não deve emergir como um segundo padrão não planejado.

Sophos Connect: Macs gerenciados, processo de suporte unificado, ambiente SFOS atual. Versão, requisitos do macOS, Rosetta 2 na Apple Silicon e perfil .ovpn atual.
Tunnelblick ou outro cliente OpenVPN: processo OpenVPN existente, casos especiais, desvio deliberado do Sophos Connect. Documente claramente a versão do OpenVPN, manutenção do perfil, comportamento do DNS e responsabilidade de suporte.

O nome do cliente é menos importante que a operação: deve ficar claro qual cliente é suportado, qual versão é distribuída, de onde vem o perfil e quando os usuários precisam importar um novo perfil.

1. Implante o Sophos Connect para macOS

Dependendo do seu ambiente, o Sophos Connect pode ser implantado através do Sophos Firewall, do Portal VPN ou da Página de download do Sophos. Em ambientes gerenciados, deve ficar claro qual versão do cliente está sendo lançada e se o Rosetta 2 está presente em dispositivos Apple Silicon.

SSL VPN no macOS requer Sophos Connect 2.0 ou posterior. Instruções internas ou pacotes de instalação mais antigos não devem, portanto, ser usados sem verificá-los. O Sophos Connect 2.0 MR1 traz várias correções específicas do macOS, incluindo configurações de DNS para conexões SSL VPN e a opção de salvar credenciais. Após uma atualização, o perfil deverá ser reimportado se esta opção for usada.

2. Obtenha a configuração OVPN

A configuração SSL VPN é fornecida como um arquivo .ovpn. Dependendo do modelo operacional, os usuários os baixam do portal VPN ou os recebem controlados pelo processo administrativo.

Processo típico no portal VPN:

Abra o portal VPN do Sophos Firewall.
Faça login com o usuário VPN.
Mude para a área VPN.
Baixe a configuração SSL VPN para o perfil.
Armazene o arquivo .ovpn com segurança e use-o apenas para o usuário autorizado.

Caso o navegador avise sobre o certificado do portal, a causa deverá ser verificada. Em ambientes produtivos, um certificado válido para o portal VPN é mais limpo do que uma exceção persistente do navegador. Acesso a dispositivos e ACL de serviço local no Sophos Firewall é adequado para proteção.

Após quaisquer alterações no gateway, porta, certificado, DNS, intervalo de concessão, autenticação ou política SSL VPN, o perfil deverá ser baixado novamente e importado. Uma atualização de cliente por si só não atualiza um perfil antigo do .ovpn.

3. Importar conexão para o Sophos Connect

Abra o Sophos Connect e importe o arquivo .ovpn. A conexão deverá então aparecer na lista de conexões. Se você tiver vários perfis, é importante ter um nome exclusivo para que os usuários e o suporte não usem acidentalmente o perfil errado.

Caso a importação não funcione, verifique primeiro a versão do cliente, tipo de arquivo e origem do arquivo de configuração. SSL VPN no macOS requer Sophos Connect 2.0 ou posterior.

4. Estabeleça uma conexão VPN

Selecione a conexão importada e clique em Connect. Em seguida, faça login com o usuário VPN. Se MFA ou OTP estiver ativo, o segundo fator deverá ser confirmado de acordo com a configuração do firewall.

Depois que a conexão for estabelecida, não apenas o status no cliente deverá ser verificado. O que é crucial é se os objetivos internos exigidos podem ser alcançados.

Verifique após a instalação

Pelo menos estes pontos devem ser verificados com um usuário de teste:

O Sophos Connect mostra a conexão como conectada.
O usuário recebe um endereço IP do pool VPN SSL esperado.
Os nomes DNS internos são resolvidos corretamente.
Os servidores e aplicativos necessários estão acessíveis.
O comportamento da Internet corresponde ao design: túnel dividido ou túnel completo.
A regra de firewall esperada para o tráfego da zona VPN está visível no visualizador de log.
O MFA é consultado conforme planejado.
Trabalho de desconexão e login novamente.

Se a conexão for estabelecida, mas nenhum acesso funcionar, a causa geralmente não é o cliente, mas sim regras de firewall, DNS, roteamento ou NAT. Teste regras de firewall com Log Viewer, Policy Test e Packet Capture é adequado para a análise.

Teste de aceitação no macOS

Após a configuração, você deve documentar um caso de teste real, não apenas o status do cliente verde.

Verifique a versão do Sophos Connect: A versão do cliente corresponde à versão do macOS e ao suporte SSL VPN.
Teste o silício da Apple: Rosetta 2 está disponível e o cliente inicia de forma confiável.
Verifique a importação do perfil: O perfil .ovpn vem da configuração atual do firewall.
Teste MFA: O login com o fator certo e errado se comporta de maneira compreensível.
Testar DNS: Os nomes internos são resolvidos corretamente, não apenas os endereços IP.
Acesso de teste: Os alvos permitidos funcionam, os alvos não autorizados permanecem bloqueados.
Verifique o visualizador de log: O tráfego da zona VPN atinge a regra de firewall esperada.
Teste de reconexão: Desconectar e reconectar funciona sem alterar perfis.

Se várias versões do macOS forem usadas na empresa, pelo menos um Intel Mac e um Apple Silicon Mac deverão ser testados. Para clientes mistos, você também deve verificar se o Sophos Connect e o Tunnelblick não estão usando perfis ou resultados de DNS diferentes.

Alternativa: Tunnelblick ou outro cliente OpenVPN

O Tunnelblick ainda pode ser útil se o Sophos Connect não for usado ou se um processo OpenVPN existente for deliberadamente retido. No entanto, esta variante deve ser documentada como um padrão operacional separado para que o Sophos Connect, o Tunnelblick e os perfis antigos não estejam em circulação ao mesmo tempo.

Com o Tunnelblick o arquivo .ovpn é importado. Depois disso, a versão do OpenVPN, perfil, login do usuário e comportamento do DNS devem ser verificados. Especificações gerais antigas para uma versão específica do OpenVPN não devem ser adotadas sem verificação; Os fatores decisivos são a versão do firewall atualmente utilizada, a versão do cliente e o perfil específico.

Operações e Segurança

SSL VPN é um serviço de acesso remoto disponível publicamente. É por isso que você não deve apenas documentar a instalação, mas também a operação:

Atualize o cliente Sophos Connect ou OpenVPN regularmente.
Ative e teste MFA para acesso remoto.
Verifique os grupos VPN regularmente.
Limite o acesso ao portal via Device Access e Local Service ACL sempre que possível.
Mantenha as regras de firewall rígidas para a zona e log VPN.
Remova arquivos .ovpn antigos e perfis desatualizados.
Se os logs forem armazenados por um longo período de tempo, planeje o syslog ou a avaliação central.

Para o básico de MFA, Habilite MFA para Sophos Firewall WebAdmin, Portal VPN e Acesso Remoto serve. Para arquivos de log e logs de serviço, Solução de problemas do Sophos Firewall: serviços e logs é útil.

Lista de verificação de implementação do macOS

O cliente padrão suportado é definido: Sophos Connect ou deliberadamente um cliente OpenVPN.
A versão Sophos Connect é adequada para macOS Ventura 13 ou posterior.
Os dispositivos Apple Silicon incluíram Rosetta 2 no lançamento.
O perfil .ovpn vem da configuração SSL VPN atual.
O Portal VPN utiliza um certificado válido.
O usuário está incluído na política SSL VPN correta.
O comportamento do MFA é documentado e testado com um usuário de teste.
DNS, domínio de pesquisa e sistemas de destino interno foram testados no macOS.
Regras de firewall para o tráfego de teste de log da zona VPN.
Após as alterações de perfil, fica claro quem informará os usuários sobre a nova importação.

Solução de problemas

O Sophos Connect não importa o arquivo OVPN

Primeiro você deve verificar se o Sophos Connect 2.0 ou mais recente está instalado e se o arquivo realmente vem da configuração SSL VPN atual. Em seguida, recarregue o arquivo do portal VPN ou reimplante-o administrativamente.

Nomes internos não são resolvidos

Verifique os servidores DNS, pesquise domínios e configuração SSL VPN no firewall. Para o Sophos Connect no macOS, o status do cliente também deve ser verificado porque o Sophos corrigiu um problema de DNS com conexões SSL VPN no macOS na versão 2.0 MR1.

Se os endereços IP funcionarem, mas os nomes não, é um problema de DNS ou de domínio de pesquisa. Se os endereços IP também não funcionarem, o roteamento, as regras de firewall ou o caminho de retorno serão mais prováveis.

A conexão foi estabelecida, mas os sistemas internos não podem ser alcançados

Verifique regras de firewall, roteamento, NAT e caminho de retorno. O tráfego da zona VPN deve estar visível no visualizador de log. Se nenhum log aparecer, o tráfego provavelmente não está alcançando a regra esperada ou o log está desabilitado.

Se pequenos acessos funcionarem, mas transferências de arquivos maiores ou determinadas aplicações travarem, o MTU/MSS também deverá ser verificado: Verifique o Sophos Firewall MTU e MSS para problemas de VPN.

A conexão não funciona mais após a mudança de perfil

Após alterações no gateway, certificado, porta, DNS, faixa de concessão ou autenticação, o perfil .ovpn deverá ser reimportado. Se apenas o cliente tiver sido atualizado, mas um perfil antigo permanecer em uso, destinos, portas ou valores DNS antigos ainda poderão ser usados.

Salvar dados de acesso não está visível

A Sophos reativou a opção de salvar credenciais no Sophos Connect 2.0 MR1 para macOS. Após a atualização, a configuração deve ser reimportada para que a opção possa ser utilizada. Em ambientes com MFA, você ainda deve verificar se o armazenamento dos dados de acesso se enquadra no conceito de segurança.

Conexão interrompida em redes estrangeirasO SSL VPN costuma ser mais tolerante que o IPsec, mas não é imune a redes restritivas, portais cativos, coerção de proxy ou WLANs instáveis. Nesses casos, teste com uma segunda rede e verifique se túnel dividido, porta, protocolo ou ZTNA são mais adequados.

Colete dados de suporte

Se o erro não for imediatamente visível, você deverá documentar os logs do cliente, hora, usuário, rede de origem e sistema de destino. No lado do firewall, Log Viewer, sslvpn.log, openvpn-status*.log e a regra de firewall apropriada ajudam em paralelo. A atribuição dos arquivos de log está em Solução de problemas do Sophos Firewall: serviços e logs.

Perguntas frequentes

O Sophos Connect oferece suporte a SSL VPN no macOS?

Sim. Desde o Sophos Connect 2.0, o cliente Sophos Connect no macOS pode usar VPN SSL de acesso remoto.

O Sophos Connect funciona no Apple Silicon?

Sim, o Sophos Connect 2.0 e versões posteriores suportam Mac com Apple Silicon via Rosetta 2. Em ambientes gerenciados, o Rosetta 2 deve, portanto, ser considerado na implementação.

O Tunnelblick ainda precisa ser usado?

Não necessariamente. O Tunnelblick continua sendo uma alternativa ao OpenVPN, mas para muitos ambientes o Sophos Connect é o cliente padrão mais controlável.

Por que o DNS não funciona no macOS mesmo que uma conexão VPN SSL esteja conectada?

Muitas vezes é devido a servidores DNS, domínio de pesquisa, perfil desatualizado ou versão do cliente. O Sophos Connect 2.0 MR1 inclui uma correção para configurações de DNS em SSL VPN no macOS. Depois, o perfil e as regras de firewall ainda devem ser verificados separadamente.

O Sophos Connect pode ser usado para VPN SSL no iOS ou Android?

Não. O Sophos Connect não suporta diretamente plataformas móveis para IPsec e SSL VPN. Dependendo do protocolo, clientes compatíveis com OpenVPN ou funções do sistema operacional são usados para iOS e Android.