Instalar o Sophos Connect Client no macOS

O Sophos Connect pode ser usado no macOS para Acesso Remoto com o Sophos Firewall. Nas versões atuais, não é mais apenas o IPsec que é relevante: desde o Sophos Connect 2.0, também é possível o Remote Access SSL VPN no macOS. Isso mudou a recomendação para muitos ambientes.

O artigo descreve a instalação no macOS, a importação da conexão apropriada e os controles mais importantes após o estabelecimento da conexão. Para a decisão básica entre Sophos Connect, SSL VPN, clientes OpenVPN e ZTNA, consulte Sophos Connect ou SSL VPN: Qual solução de acesso remoto é adequada?.

Qual artigo é adequado?

O Sophos Connect no macOS rapidamente se sobrepõe a outros artigos de acesso remoto. Dependendo da tarefa, uma outra entrada pode ser melhor:

• Instalar o Sophos Connect no macOS: Este artigo.
• Configurar SSL VPN no macOS com .ovpn: Configurar Sophos SSL VPN com Sophos Connect no macOS.
• Preparar o Sophos Connect no firewall: Configurar o Sophos Connect no Sophos Firewall.
• Planejar versões de cliente, atualizações e manutenção de perfil: Verificar e atualizar com segurança a versão do Sophos Connect Client.
• VPN está conectada, mas o tráfego não funciona: Testar regra de firewall com Log Viewer, Policy Test e Packet Capture.

Essa separação é importante porque a instalação do cliente é apenas uma parte da operação de acesso remoto. Regras de firewall, DNS, MFA, certificados, portal VPN e distribuição de perfil permanecem como pontos de verificação separados.

Pré-requisitos

• Sophos Firewall com configuração de acesso remoto configurada
• Sophos Connect Client em uma versão compatível com o firewall e a plataforma
• Para Sophos Connect 2.0 ou posterior: macOS Ventura 13 ou posterior
• Mac com processador Intel ou Apple Silicon via Rosetta 2
• Arquivo de configuração para IPsec (.scx ou .tgb) ou SSL VPN (.ovpn)
• Conta de usuário com permissão de VPN e, se ativado, MFA funcional
• Regras de firewall para tráfego da zona VPN ou da zona de acesso remoto utilizada

Se o SSL VPN for usado no macOS, o Sophos Connect 2.0 ou posterior deve ser utilizado. Em instruções internas mais antigas, deve-se verificar se ainda partem da situação anterior apenas com IPsec. Para verificação de versão, planejamento de atualização e problemas típicos de DNS/perfil, consulte Verificar e atualizar com segurança a versão do Sophos Connect Client.

Importante: Para macOS, não há suporte documentado para arquivos de provisionamento. Portanto, para macOS, deve-se planejar com um arquivo de configuração IPsec importado ou um arquivo .ovpn. Se uma implementação totalmente automatizada for desejada, deve-se verificar previamente se o MDM utilizado pode representar corretamente os processos de arquivo e usuário.

1. Baixar o Sophos Connect Client

O Sophos Connect Client para macOS pode ser obtido, dependendo do ambiente, através do firewall, do portal VPN ou da Página de Downloads da Sophos. Em ambientes geridos, deve-se definir qual versão do cliente será distribuída e onde os usuários obterão o arquivo de configuração apropriado.

Para IPsec, geralmente é usado um arquivo .scx ou .tgb. Para SSL VPN, um arquivo .ovpn é importado. Qual arquivo é correto depende da configuração de acesso remoto no firewall.

• Acesso Remoto IPsec: .scx ou .tgb. utilizável com Sophos Connect em Intel e Apple Silicon.
• SSL VPN: .ovpn. Sophos Connect 2.0 ou posterior necessário.
• Provisionamento: .pro. não planejar como padrão para macOS.

Em uma configuração clássica de IPsec do Sophos Connect, a conexão é exportada no WebAdmin:

1. Abra VPN > Sophos Connect Client no Sophos Firewall.
2. Exporte a conexão.
3. Armazene o arquivo com segurança e disponibilize-o apenas para usuários autorizados.

Dependendo da fonte de download, o instalador pode estar em um arquivo Zip. Após descompactar, geralmente encontra-se o pacote Sophos Connect.pkg para macOS.

Para Macs geridos, o instalador não deve ser amplamente distribuído sem um grupo piloto. Deve-se testar pelo menos um Mac Intel e um Mac Apple Silicon, se ambas as plataformas estiverem presentes na empresa.

2. Instalar o Sophos Connect Client

A instalação é iniciada com um duplo clique em Sophos Connect.pkg. Após a conclusão do assistente de instalação, a janela pode ser fechada com Fechar.

Em dispositivos Apple Silicon, o Rosetta 2 pode ser necessário. Se o macOS exibir uma mensagem correspondente durante a instalação, o Rosetta 2 deve ser instalado e o cliente reiniciado.

Após a instalação, a versão deve ser verificada diretamente no cliente. Isso é especialmente importante se vários pacotes de instalação estiverem em circulação internamente ou se os usuários já tiverem instalado o cliente anteriormente.

3. Baixar o arquivo de conexão

Na primeira inicialização, o Sophos Connect precisa de uma configuração de conexão. Este arquivo deve vir da configuração de firewall atualmente válida e não deve ser reutilizado de um arquivo de usuário antigo.

Arquivos de conexão típicos:

• Acesso Remoto IPsec: .scx ou .tgb. Exportação em VPN > Sophos Connect Client.
• SSL VPN: .ovpn. Portal VPN ou exportação administrativa.

Se antes de uma atualização para SFOS-22-MR1 ainda houver configurações antigas de acesso remoto IPsec em uso, não deve simplesmente ser distribuído um perfil antigo. Nesse caso, primeiro verifique Migrar Acesso Remoto IPsec Legado antes do SFOS 22 MR1.

Os perfis devem ser tratados como credenciais de acesso. Um arquivo antigo .ovpn, .scx ou .tgb pode ainda conter redes internas, nomes de gateway, certificados ou referências de usuário. Se o gateway, certificado, DNS, grupo de usuários, pool de IP ou autenticação forem alterados, o perfil deve ser exportado e importado novamente.

4. Configurar o Sophos Connect Client

A configuração do Sophos Connect Client é concluída em poucos passos:

1. Abra o Sophos Connect.
2. Selecione Import Connection.
3. Importe o arquivo de conexão apropriado.
4. Verifique a conexão em Connections.
5. Clique em Connect.
6. Faça login com o usuário VPN e confirme o MFA, se ativado.

Após o estabelecimento bem-sucedido da conexão, deve-se verificar adicionalmente se os nomes DNS internos são resolvidos e se os sistemas necessários estão acessíveis. Se a conexão estiver estabelecida, mas não houver tráfego, o Log Viewer, Policy Test e Packet Capture podem ajudar. A instrução apropriada é Testar regra de firewall com Log Viewer, Policy Test e Packet Capture.

No SSL VPN no macOS, o teste de DNS é especialmente importante. O Sophos Connect 2.0 MR1 resolve um problema em que as configurações de DNS para conexões SSL VPN no macOS não eram aplicadas corretamente. Se os nomes internos não forem resolvidos, deve-se primeiro verificar a versão e o estado do perfil antes de ajustar cegamente as regras de DNS.

IPsec com Ferramentas Nativas do macOS

Dependendo da configuração do firewall, o Acesso Remoto IPsec também pode ser configurado com ferramentas nativas do macOS. Este é um modelo operacional separado e não deve ser confundido com o Sophos Connect. Pode ser útil se não for desejado software cliente adicional, mas não se encaixa em todos os ambientes.

Procedimento prático, se esta variante for usada conscientemente:

1. Faça login no User Portal do Sophos Firewall.
2. Baixe a configuração IPsec apropriada para dispositivos Apple.
3. Abra e instale o perfil no Mac.
4. Verifique a conexão nas configurações de rede do macOS.
5. Teste a conexão e valide os alvos internos.

Se o Sophos Connect e as ferramentas nativas do macOS forem usados em paralelo, isso deve ser documentado intencionalmente. Caso contrário, surgem casos de suporte em que os usuários dizem “VPN”, mas se referem a perfis, protocolos e comportamentos de DNS diferentes.

Verificar após a instalação

Após a instalação, devem ser verificados os seguintes pontos:

• A versão do Sophos Connect é compatível com a versão do macOS utilizada.
• No Apple Silicon, o Rosetta 2 está disponível, caso o cliente precise dele.
• O arquivo importado corresponde ao protocolo desejado: IPsec ou SSL VPN.
• O usuário está autorizado no grupo VPN correto.
• O MFA funciona e é solicitado de forma compreensível.
• O cliente recebe um IP VPN apropriado.
• Os nomes DNS internos são resolvidos.
• As regras de firewall para a zona VPN permitem apenas os alvos necessários.

Teste de Aceitação para macOS

Um status de conexão verde não é suficiente como aceitação. Para uma implementação confiável, um usuário de teste deve passar por estes pontos:

• Verificar versão do cliente: A versão é compatível com macOS, IPsec ou SSL VPN e liberação interna.
• Verificar Apple Silicon: Rosetta 2 está presente e o Sophos Connect inicia de forma confiável.
• Importar perfil: o arquivo correto para IPsec ou SSL VPN é aceito.
• Testar MFA: O login exige o segundo fator esperado.
• Testar DNS: FQDNs internos são resolvidos corretamente.
• Testar acesso: servidores permitidos funcionam, alvos não permitidos permanecem bloqueados.
• Verificar Log Viewer: O tráfego da zona VPN atinge a regra de firewall esperada.
• Testar reconexão: Desconectar, mudar de rede e reconectar funcionam.

Em ambientes mistos, deve-se testar pelo menos um Mac Intel e um Mac Apple Silicon. Se também houver clientes Windows em uso, o comportamento não deve ser assumido como igual. Plataforma, tipo de perfil e versão do cliente podem diferir.

Dicas de Implementação para Macs Geridos

Para poucos usuários, muitas vezes basta uma instalação manual com importação de perfil controlada. Em ambientes maiores, o Sophos Connect deve ser tratado como outro software cliente relevante para segurança.

Antes de uma implementação ampla, esclareça:

• Qual versão do Sophos Connect está liberada?
• Quais versões do macOS estão em uso?
• Existem Macs Intel, Macs Apple Silicon ou ambos?
• Está sendo usado IPsec, SSL VPN ou ambos?
• De onde os usuários obtêm o perfil atual?
• Quem informa os usuários quando os perfis precisam ser importados novamente?
• Como o helpdesk identifica perfis desatualizados?
• O portal VPN, MFA e certificados são monitorados separadamente?

Pacotes de instalação antigos e perfis antigos devem ser removidos de repositórios de download internos ou claramente marcados como desatualizados. Especialmente no acesso remoto, um “algum perfil antigo da pasta de downloads” leva rapidamente a uma busca desnecessária por erros.

Solução de Problemas

Conexão é importada, mas não estabelecida

Primeiro, verifique se o arquivo pertence ao protocolo correto e se a versão do Sophos Connect é adequada para ele. O SSL VPN no macOS requer o Sophos Connect 2.0 ou posterior. Em seguida, verifique a autorização do usuário, MFA, certificado, gateway, hora do firewall e FQDN do portal VPN ou gateway acessível.

Nomes internos não são resolvidos

No SSL VPN no macOS, deve-se verificar a versão do Sophos Connect utilizada, pois houve correções específicas nesta área. Em seguida, verifique o servidor DNS, domínios de pesquisa, perfil importado e regras de firewall.

Se os endereços IP funcionarem, mas os nomes não, provavelmente é DNS. Se os endereços IP também não funcionarem, é mais provável que seja roteamento, regras de firewall, NAT ou caminho de retorno.

Conexão está estabelecida, mas nenhum acesso funciona

A causa geralmente está em regras de firewall, roteamento, NAT ou caminho de retorno. No Log Viewer, deve ser visível se o tráfego da zona VPN atinge a regra esperada. Para casos especiais de IPsec, consulte Solução de Problemas de VPN IPsec do Sophos Firewall.

Após alteração de perfil, a conexão não funciona mais

Após alterações no gateway, certificado, porta, DNS, pool de IP, grupo de usuários ou autenticação, o perfil deve ser exportado e importado novamente. Uma atualização do cliente não substitui automaticamente um perfil antigo.

Armazenamento de credenciais não é visível

A Sophos reativou esta opção para SSL VPN no macOS no Sophos Connect 2.0 MR1. Após uma atualização, o arquivo de configuração deve ser importado novamente para que a opção possa ser utilizada. Em ambientes com MFA, deve-se verificar adicionalmente se o armazenamento de credenciais se encaixa no conceito de segurança.

Conexão está estabelecida, mas transferências grandes travam

Se o login, DNS e pequenos acessos funcionarem, mas transferências de arquivos maiores ou determinados aplicativos travarem, deve-se verificar adicionalmente MTU/MSS. O padrão de erro geralmente está relacionado a fragmentação, PPPoE, conexões tuneladas ou um caminho assimétrico. O procedimento está em Verificar MTU e MSS do Sophos Firewall em Problemas de VPN.

Coletar dados de suporte

Se o erro não for visível diretamente, deve-se documentar o momento, usuário, versão do macOS, versão do Sophos Connect, tipo de perfil, rede de origem e sistema de destino. No firewall, o Log Viewer, sslvpn.log, logs de IPsec, Packet Capture e a regra de firewall afetada ajudam. A atribuição dos arquivos de log está em Solução de Problemas do Sophos Firewall: Serviços e Logs.

FAQ