Configurar Sophos SSL VPN com Sophos Connect no macOS

A SSL VPN no macOS era frequentemente configurada com o Tunnelblick ou outros clientes OpenVPN. Isso continua a ser possível, mas já não é a única opção evidente: desde o Sophos Connect 2.0, a Sophos também suporta Remote Access SSL VPN no macOS.

Este artigo descreve o procedimento padrão atual com o Sophos Connect no macOS e enquadra os clientes compatíveis com OpenVPN como alternativa. Para decidir entre Sophos Connect, SSL VPN, IPsec, clientes móveis e ZTNA, consulte primeiro Sophos Connect ou SSL VPN: qual é a solução de acesso remoto adequada?.

Decisão e requisitos

Qual é o artigo sobre VPN no macOS adequado?

Estas instruções aplicam-se ao Sophos Firewall com SFOS e SSL VPN no macOS. Consoante a tarefa, poderá ser mais adequado começar por outro artigo:

Instalar o Sophos Connect no macOS: Instalar o cliente Sophos Connect no macOS.
Configurar a SSL VPN no firewall: Configurar o Remote Access SSL VPN no Sophos Firewall.
Configurar a SSL VPN no macOS com o Sophos Connect: este artigo.
Configurar a SSL VPN no Windows: Configurar o Sophos SSL VPN com o Sophos Connect no Windows.
Configurar a SSL VPN no iPhone, iPad ou Android: iPhone/iPad ou Android.
Gerir versões e perfis do cliente Sophos Connect: Verificar a versão do Sophos Connect Client e atualizá-la em segurança.
A VPN está ligada, mas o tráfego não funciona: Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture.

As plataformas móveis, como iOS e Android, não são diretamente suportadas pelo Sophos Connect para IPsec e SSL VPN. Nestes sistemas, continuam a ser relevantes os clientes compatíveis com OpenVPN ou as funcionalidades do sistema operativo.

Requisitos

Sophos Firewall com uma configuração de Remote Access SSL VPN ativa
Utilizador autorizado a usar SSL VPN
Acesso ao VPN Portal ou a um ficheiro .ovpn disponibilizado pela administração
Sophos Connect para macOS 2.0 ou mais recente
Sophos Connect 2.0: macOS Ventura 13+; a partir de 2.1: macOS Sonoma 14+
Mac Intel ou Apple Silicon: com 2.0 através de Rosetta 2, a partir de 2.1 nativamente com ARM
nenhum outro cliente VPN instalado em paralelo; a Sophos exclui expressamente a execução simultânea
MFA/OTP configurado, caso o Remote Access esteja protegido dessa forma
Regras de firewall para o tráfego proveniente da zona VPN

Se a configuração de SSL VPN no firewall ainda não estiver concluída, implemente primeiro Configurar o Remote Access SSL VPN no Sophos Firewall.

Antes de uma atualização para SFOS 22 MR1, verifique também se ainda existem configurações antigas de Remote Access IPsec. A SSL VPN não é diretamente afetada, mas muitas organizações reavaliam o Remote Access nessa altura. O procedimento encontra-se em Migrar o Legacy Remote Access IPsec antes do SFOS 22 MR1.

Versões em 7 de setembro de 2026: o nosso guia de versões e atualizações do Sophos Connect indica 2.0 MR1 para macOS e 2.5 MR1 para Windows. O número superior do Windows não é uma atualização do macOS. A Sophos confirma SSL VPN em Macs Intel e Apple Silicon através do Rosetta 2 desde Sophos Connect 2.0 e macOS Ventura 13. A documentação do VPN Portal do SFOS 22 consultada nessa altura indica suporte para macOS 13.0 e versões posteriores.

Atualização de 9 de outubro de 2026: O Sophos Connect 2.1 para macOS está documentado nas release notes com a data de 6 de outubro de 2026: macOS 14+, Intel e suporte ARM nativo em Apple Silicon, aprovisionamento .pro e Microsoft Entra ID SSO. O retrato de setembro descreve 2.0/Rosetta, não as novas funções de 2.1. A matriz de versões de referência e o planeamento de atualizações distinguem estas linhas. A disponibilidade do pacote no seu portal e a aprovação dos dispositivos devem ser verificadas separadamente; este artigo não relata qualquer teste de dispositivo nem deduz uma aprovação de disponibilidade geral (GA).

Sophos Connect ou cliente compatível com OpenVPN?

Para novas implementações em macOS, o Sophos Connect deve ser avaliado primeiro, pois é o cliente da própria Sophos e suporta SSL VPN no macOS desde a versão 2.0. O OpenVPN Connect ou o Tunnelblick continuam a ser alternativas, mas não devem tornar-se inadvertidamente num segundo padrão sem planeamento.

Sophos Connect: adequado para Macs geridos, um processo de suporte uniforme e ambientes SFOS atuais. São importantes a versão, os requisitos do macOS, o Rosetta 2 em Apple Silicon com 2.0, o suporte ARM nativo a partir de 2.1 e um perfil .ovpn atualizado ou aprovisionamento aprovado.
OpenVPN Connect, Tunnelblick ou outro cliente OpenVPN: adequado quando já existe um processo OpenVPN, em casos especiais ou quando se pretende deliberadamente uma alternativa ao Sophos Connect. São importantes a versão do OpenVPN, o formato de download correto, a manutenção do perfil, o comportamento do DNS e uma responsabilidade de suporte claramente documentada.

Mais importante do que o nome do cliente é a operação: deve ficar claro qual é o cliente suportado, que versão é distribuída, de onde provém o perfil e quando os utilizadores têm de importar um novo perfil.

Configurar o Sophos Connect no macOS

1. Disponibilizar o Sophos Connect para macOS

Para SFOS, descarregue pelo VPN Portal o pacote macOS disponibilizado no firewall por Pattern Update ou distribua-o centralmente de forma controlada. Verifique a versão efetivamente disponível: 2.0 MR1 requer Rosetta 2 em Apple Silicon e macOS 13+; a partir de 2.1 aplicam-se macOS 14+ e suporte ARM nativo. Um pacote Windows não é uma atualização do macOS. Teste cada combinação de produção num piloto antes de um rollout alargado.

A SSL VPN no macOS requer Sophos Connect 2.0 ou mais recente. Por isso, instruções internas ou pacotes de instalação antigos não devem continuar a ser utilizados sem verificação. Um Sophos SSL VPN Client antigo tem de ser removido antes da instalação, pois não pode funcionar em paralelo com o Sophos Connect.

O Sophos Connect 2.0 MR1 inclui correções de DNS SSL VPN para macOS (NCL-2961) e da opção de guardar credenciais (NCL-2956). Após a atualização, volte a importar o perfil para utilizar esta opção.

A instalação é breve: abra o instalador, escolha um destino com espaço livre suficiente e clique em Install e Finish. O guia atual da Sophos não exige uma autorização adicional genérica em Privacy & Security. Aprove apenas pedidos realmente apresentados pelo instalador assinado ou pelo macOS; não acrescente passos inventados sobre extensões do sistema.

2. Obter a configuração OVPN

A configuração da SSL VPN é disponibilizada como ficheiro .ovpn. Consoante o modelo operacional, os utilizadores descarregam-no a partir do VPN Portal ou recebem-no de forma controlada através do processo administrativo.

No VPN Portal, o procedimento para o Sophos Connect no macOS é o seguinte:

Abra o VPN Portal do Sophos Firewall. Por predefinição, o endereço é https://<Firewall-FQDN>:443, desde que a porta não tenha sido alterada.
Inicie sessão com o utilizador VPN.
Aceda à área VPN.
Em Sophos Connect client, selecione Download for macOS para obter o cliente, caso ainda não tenha sido distribuído centralmente.
Em VPN configuration, selecione Download configuration for Windows, macOS, Linux e depois Use with Sophos Connect and OpenVPN Connect v2 clients. A opção v3 separada destina-se aos clientes OpenVPN Connect 3.0.
Guarde o ficheiro .ovpn em segurança e utilize-o apenas para o utilizador autorizado.

O ficheiro .ovpn é específico do utilizador: contém o certificado e a chave privada exclusivos desse utilizador. Não o partilhe nem reutilize para outro utilizador. Se um perfil for exposto, revogue ou substitua o acesso do utilizador afetado.

Documentado para SFOS 22: A documentação do cliente associa o perfil SSL gerado durante a importação e os respetivos certificados à identidade do utilizador, ao método de autenticação e ao domínio. A ajuda de resolução de problemas do SFOS 22 identifica a importação com outro método de autenticação ou domínio como causa de Login failed. Wrong fingerprint of certificate. e recomenda importar separadamente um ficheiro .pro ou o ficheiro .ovpn do próprio utilizador. Isto não demonstra que o download e a importação criem a mesma associação.

A ajuda de resolução de problemas guardada para SFOS 23 omite esta secção sobre a impressão digital do certificado sem descrever uma alteração no comportamento do produto. Essa omissão não prova nem uma reutilização menos restritiva nem uma associação inalterada em todas as versões; o comportamento do SFOS 23 não foi verificado de forma independente aqui. Até existir um esclarecimento oficial para a versão de destino, mantenha os perfis SSL gerados separados por identidade, método de autenticação e domínio como precaução, não como regra verificada do SFOS 23. Isto diz respeito aos perfis SSL gerados, não aos metadados reutilizáveis do ficheiro .pro original nem aos perfis IPsec .scx.

A importação direta de .ovpn funciona a partir do Sophos Connect 2.0 no macOS; não atualiza automaticamente alterações posteriores às políticas. A partir do cliente macOS 2.1, está documentado, como alternativa, o aprovisionamento .pro para SSL VPN e IPsec, não com 2.0. .pro é uma configuração para obter dados do VPN Portal, não um perfil de túnel. O ficheiro, o esquema e a manutenção controlada dos perfis são descritos em Aprovisionamento do Sophos Connect. Para perfis manuais, descarregue e importe um ficheiro .ovpn atualizado após alterações relevantes.

Se o browser apresentar um aviso relativo ao certificado do portal, investigue a causa. Em ambientes de produção, um certificado válido para o VPN Portal é preferível a uma exceção permanente no browser. Para reforçar a segurança, consulte Device Access e Local Service ACL no Sophos Firewall.

Para perfis .ovpn importados diretamente: após alterações ao gateway, porta, certificado, DNS, intervalo de concessão, autenticação ou política de SSL VPN, o perfil deve ser novamente descarregado e importado. Uma atualização do cliente, por si só, não atualiza um perfil .ovpn antigo.

3. Importar a ligação no Sophos Connect

Abra o Sophos Connect e clique em Import connection na página Connections. Se já existirem ligações, abra o menu e escolha Import connection. Selecione o ficheiro .ovpn; a ligação deve aparecer em Connections.

Se a importação falhar, verifique primeiro a versão do cliente, o tipo e a origem do ficheiro. A importação direta de SSL VPN no macOS requer Sophos Connect 2.0 ou mais recente e um ficheiro .ovpn atual de Download configuration for Windows, macOS, Linux. .scx pertence a IPsec, não a esta importação de SSL VPN. .pro é a alternativa de aprovisionamento no macOS a partir de 2.1; não é suportado com macOS 2.0.

O Entra ID SSO está documentado no macOS a partir do Sophos Connect 2.1, não com 2.0. Uma opção SSO desativada em 2.0 não é ativada por um início de sessão no portal. Para 2.1, verifique primeiro a configuração Entra ID no firewall e a configuração atual do cliente. Utilize o fluxo completo do navegador para SSO no macOS, com fallback e conformidade.

4. Estabelecer a ligação VPN

Selecione a ligação importada e clique em Connect, ou faça duplo clique na ligação. Depois, inicie sessão com o utilizador VPN. O nome de utilizador distingue maiúsculas de minúsculas. Se MFA ou OTP estiver ativo, o código de verificação apresentado deve ser confirmado de acordo com a configuração do firewall. Com Entra ID SSO a partir de 2.1, conclua integralmente o início de sessão no navegador integrado ou do sistema aberto pelo Sophos Connect e depois regresse ao Sophos Connect. Os perfis .ovpn importados diretamente utilizam o fluxo automático do navegador; se a mudança necessária não ocorrer, utilize aprovisionamento .pro aprovado pela equipa de TI com o navegador do sistema. Execute as medidas de conformidade ou contacte a equipa de TI; nunca enfraqueça Conditional Access.

Depois de estabelecer a ligação, não verifique apenas o estado no cliente. O essencial é confirmar se os destinos internos necessários estão acessíveis.

Verificar a ligação

Verificações após a instalação

Confirme, pelo menos, os seguintes pontos com um utilizador de teste:

O Sophos Connect apresenta a ligação como estabelecida.
O utilizador recebe um endereço IP do conjunto SSL VPN esperado.
Os nomes DNS internos são resolvidos corretamente.
Os servidores e aplicações necessários estão acessíveis.
O comportamento da Internet corresponde ao desenho: Split Tunnel ou Full Tunnel.
No Log Viewer, é visível a regra de firewall esperada para o tráfego proveniente da zona VPN.
O MFA é solicitado conforme previsto.
A interrupção da ligação e um novo início de sessão funcionam.

Se a ligação estiver estabelecida, mas não houver acesso, a causa geralmente não está no cliente, mas nas regras de firewall, no DNS, no routing ou no NAT. Para analisar o problema, consulte Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture.

Teste de aceitação no macOS

Após a configuração, documente um caso de teste real e não apenas o estado verde do cliente.

Verificar a versão do Sophos Connect: a versão do cliente é compatível com a versão do macOS e com o suporte de SSL VPN.
Testar Apple Silicon: com 2.0, o Rosetta 2 está instalado; a partir de 2.1, ARM é nativo. O cliente inicia de forma fiável na versão concreta do macOS em utilização.
Verificar a importação do perfil: o perfil .ovpn provém da configuração atual do firewall.
Testar MFA: o início de sessão com o fator correto e com um fator incorreto apresenta um comportamento compreensível.
Testar DNS: os nomes internos são resolvidos corretamente, e não apenas os endereços IP.
Testar o acesso: os destinos autorizados funcionam e os destinos não autorizados permanecem bloqueados.
Verificar o Log Viewer: o tráfego da zona VPN corresponde à regra de firewall esperada.
Testar a nova ligação: desligar e voltar a ligar funciona sem trocar de perfil.
Testar Entra SSO a partir de 2.1: verifique a escolha do navegador, o fallback necessário, o início de sessão completo e o regresso ao cliente; um erro de conformidade mantém o acesso bloqueado até serem cumpridas as medidas necessárias.

Se a organização utilizar várias versões do macOS, teste pelo menos um Mac Intel e um Mac Apple Silicon. Em ambientes com clientes diferentes, verifique também se o Sophos Connect e o Tunnelblick não estão a utilizar perfis ou resultados DNS diferentes.

Para um teste DNS reproduzível no Terminal, verifique primeiro um nome público e depois um nome interno:

nslookup www.sophos.com
nslookup intranet.example.internal

Substitua intranet.example.internal por um FQDN interno autorizado. O primeiro comando deve devolver um endereço mesmo sem VPN; com o túnel ativo, o segundo deve mostrar o servidor DNS e o endereço internos esperados. Se apenas o segundo falhar, verifique DNS servers e Domain name em Remote access VPN > SSL VPN > SSL VPN global settings e Administration > Device access > DNS > VPN.

Atualização, reversão e desinstalação limpa

A Sophos descreve a atualização como a remoção da versão atual seguida da instalação da versão atual para macOS. Guarde a origem do instalador aprovado e o ficheiro .ovpn atual e comece por um Mac de teste. Se houver problemas, reinstale a versão macOS anteriormente aprovada; reutilize o perfil antigo apenas se a configuração correspondente do firewall continuar válida. Um regresso ao cliente macOS 2.0 não preserva a execução ARM nativa, o aprovisionamento .pro nem o Entra ID SSO. Se estas funções de 2.1 forem necessárias, 2.0 não é uma alternativa equivalente para regressar à versão anterior; aprove e teste previamente uma solução alternativa suportada.

Se o Sophos Endpoint estiver instalado, desative primeiro Tamper Protection no Sophos Fusion (anteriormente Sophos Central). Depois, execute no Terminal com privilégios de administrador:

sudo /Library/Sophos\ Connect/uninstall.sh

O resultado esperado é Sophos Connect has been uninstalled. Volte a ativar Tamper Protection. Se ficarem processos antigos durante atualização ou remoção, a Sophos indica um reinício como passo seguinte. Só elimine uma ligação funcional depois de o novo perfil e o teste de acesso funcionarem.

Alternativa: cliente compatível com OpenVPN

O guia anterior do Tunnelblick mostrava o OpenVPN 2.3.18. Tratava-se de uma escolha histórica, não de um requisito atual de implementação; não selecione esta versão nem force um downgrade apenas por causa de uma captura de ecrã antiga. Para utilizar SSO com Microsoft Entra ID no Sophos Connect 2.1, siga o processo de SSO no macOS, não os passos históricos do Tunnelblick.

O OpenVPN Connect ou o Tunnelblick podem continuar a ser adequados quando não se pretende utilizar o Sophos Connect ou quando se mantém deliberadamente um processo OpenVPN existente. No entanto, esta variante deve ser documentada como um padrão operacional próprio, para evitar a utilização simultânea do Sophos Connect, de vários clientes OpenVPN e de perfis antigos.

No VPN Portal, a variante de configuração descarregada tem de corresponder ao cliente utilizado. Em seguida, verifique o ficheiro .ovpn, o início de sessão do utilizador e o comportamento do DNS. Não adote sem validação instruções genéricas antigas relativas a uma versão específica do OpenVPN; são determinantes a versão atual do firewall, a versão do cliente e o perfil concreto.

Operação e segurança

A SSL VPN é um serviço de Remote Access acessível publicamente. Por isso, deve documentar não apenas a instalação, mas também a operação:

Atualizar regularmente o Sophos Connect ou o cliente OpenVPN.
Ativar e testar MFA para o Remote Access.
Rever regularmente os grupos VPN.
Limitar, sempre que possível, o acesso ao portal através de Device Access e Local Service ACL.
Restringir e registar as regras de firewall para a zona VPN.
Remover ficheiros .ovpn antigos e perfis desatualizados.
Se for necessária uma retenção prolongada de logs, planear Syslog ou uma análise centralizada.

Para os princípios básicos de MFA, consulte Ativar MFA para Sophos Firewall WebAdmin, VPN Portal e Remote Access. Para ficheiros de log e logs de serviços, consulte Resolução de problemas no Sophos Firewall: serviços e logs.

Lista de verificação para a implementação no macOS

O cliente padrão suportado está definido: Sophos Connect ou, deliberadamente, um cliente OpenVPN.
O Sophos Connect 2.0 é compatível com macOS 13+; a partir de 2.1, é necessário macOS 14+.
Com 2.0, o Rosetta 2 está previsto para Apple Silicon; a partir de 2.1, é verificada a execução ARM nativa.
O perfil .ovpn provém da configuração de SSL VPN atual.
É utilizado o ficheiro SFOS 22 Download configuration for Windows, macOS, Linux.
Os perfis .ovpn diretos são mantidos manualmente; o aprovisionamento .pro é utilizado apenas com o cliente macOS a partir de 2.1.
O VPN Portal utiliza um certificado válido.
O utilizador está incluído na política de SSL VPN correta.
O comportamento do MFA está documentado e foi testado com um utilizador de teste.
O DNS, o domínio de pesquisa e os sistemas de destino internos foram testados no macOS.
As regras de firewall para a zona VPN registam o tráfego de teste.
Após alterações ao perfil, está definido quem informa os utilizadores sobre a necessidade de uma nova importação.

Resolução de problemas

O Sophos Connect não importa o ficheiro OVPN

Verifique se está instalado o Sophos Connect para macOS 2.0 ou mais recente e se o ficheiro provém da configuração atual. Se surgir Connection with name … already exists, elimine a ligação existente apenas se pretender substituí-la. Depois, descarregue novamente o ficheiro do VPN Portal.

Os nomes internos não são resolvidos

Verifique os servidores DNS, os domínios de pesquisa e a configuração de SSL VPN no firewall. No Sophos Connect para macOS, verifique também a versão do cliente, porque a Sophos corrigiu na versão 2.0 MR1 um problema de DNS nas ligações SSL VPN em macOS.

Se os endereços IP funcionarem, mas os nomes não, existe um problema de DNS ou do domínio de pesquisa. Se os endereços IP também não funcionarem, as causas mais prováveis são o routing, as regras de firewall ou o caminho de retorno.

A ligação está estabelecida, mas os sistemas internos não estão acessíveis

Verifique as regras de firewall, o routing, o NAT e o caminho de retorno. O tráfego proveniente da zona VPN deve ser visível no Log Viewer. Se não aparecerem logs, provavelmente o tráfego não está a chegar à regra esperada ou o logging está desativado.

Se os acessos pequenos funcionarem, mas as transferências de ficheiros maiores ou determinadas aplicações bloquearem, verifique também o MTU/MSS: Verificar MTU e MSS no Sophos Firewall em caso de problemas de VPN.

A ligação deixou de funcionar após uma alteração ao perfil

Numa ligação .ovpn, Policy mismatch error. Import a new policy for this connection. exige um novo ficheiro após alterações ao gateway, certificado, porta, DNS, intervalo de concessão, autenticação ou política. Received connection reset from gateway também pode indicar alterações SSL VPN, uma desconexão manual ou reinício do firewall.

O painel não abre ou o DNS da Internet continua avariado após desligar

Em Activity Monitor, abra o processo Sophos Connect, selecione Force Quit e reinicie a aplicação no Launchpad. Se a navegação falhar após desligar um Full Tunnel, desligue e volte a ligar a rede local e repita o teste público nslookup.

Management port is unavailable

O Sophos Connect utiliza localmente a porta TCP 25340 para comunicar com o OpenVPN. Verifique e feche, se possível, outra aplicação que ocupe a porta e volte a ligar. O Sophos Connect 2.0 não funciona enquanto esta porta local estiver indisponível.

A opção para guardar credenciais não está visível

A Sophos voltou a disponibilizar a opção para guardar credenciais no Sophos Connect 2.0 MR1 para macOS. Após a atualização, a configuração tem de ser novamente importada para que a opção possa ser utilizada. Em ambientes com MFA, deve ainda assim confirmar se o armazenamento de credenciais é compatível com o conceito de segurança.

A ligação é interrompida em redes externas

A SSL VPN é frequentemente mais tolerante do que o IPsec, mas não é imune a redes restritivas, Captive Portals, utilização obrigatória de proxy ou redes Wi-Fi instáveis. Nestes casos, teste com uma segunda rede e verifique se Split Tunnel, porta, protocolo ou ZTNA são mais adequados.

Recolher dados de suporte

Se o erro não for imediatamente visível, documente os logs do cliente, a hora, o utilizador, a rede de origem e o sistema de destino. No Sophos Connect Client, pode criar um pacote de suporte através de menu de três pontos > About > Generate technical support report. O ficheiro chama-se scvpntsr.zip e contém eventos de ligação, informações de configuração e dados do endpoint. Antes de o transmitir, confirme quem está autorizado a receber estas informações.

No firewall, o Log Viewer, sslvpn.log, openvpn-status*.log e a regra de firewall correspondente ajudam na análise em paralelo. A correspondência entre os ficheiros de log é descrita em Resolução de problemas no Sophos Firewall: serviços e logs.

Perguntas frequentes

O Sophos Connect suporta SSL VPN no macOS?

Sim. Desde o Sophos Connect 2.0, o Sophos Connect Client no macOS pode utilizar Remote Access SSL VPN.

O Sophos Connect funciona em Apple Silicon?

Sim. O Sophos Connect 2.0 utiliza Rosetta 2 em Apple Silicon e suporta macOS 13+. A partir de 2.1, ARM é suportado nativamente e é necessário macOS 14+. Verifique a versão do pacote, a arquitetura e o funcionamento da VPN num piloto antes do rollout.

Ainda é necessário utilizar o Tunnelblick?

Não necessariamente. O Tunnelblick continua a ser uma alternativa OpenVPN, mas, em muitos ambientes, o Sophos Connect é o cliente padrão mais fácil de gerir.

Porque não funciona o DNS no macOS apesar de a ligação SSL VPN estar estabelecida?

As causas frequentes são os servidores DNS, o domínio de pesquisa, um perfil desatualizado ou a versão do cliente. O Sophos Connect 2.0 MR1 inclui uma correção para as definições de DNS em ligações SSL VPN no macOS. Ainda assim, o perfil e as regras de firewall devem ser verificados separadamente.

É possível utilizar o Sophos Connect para SSL VPN em iOS ou Android?

Não. O Sophos Connect não suporta diretamente plataformas móveis para IPsec e SSL VPN. Consoante o protocolo, são utilizados clientes compatíveis com OpenVPN ou funcionalidades do sistema operativo em iOS e Android.