Instalar o Sophos Connect Client no macOS

O Sophos Connect 2.1 para macOS suporta IPsec e SSL VPN em Macs Intel e Apple Silicon a partir do macOS 14. Em Apple Silicon, esta versão é executada nativamente. O instalador é transferido no VPN Portal da própria organização, em VPN > Download for macOS; a equipa de TI fornece o endereço do portal e o perfil de ligação adequado.

Após a instalação, importa-se um .scx para IPsec ou um .ovpn para SSL VPN. A partir de 2.1, a equipa de TI pode fornecer em alternativa um .pro para obter os perfis automaticamente. Este artigo orienta a transferência, a instalação, a importação do perfil e as verificações seguintes. Para a decisão fundamental entre Sophos Connect, SSL VPN, clientes OpenVPN e ZTNA, consulte Sophos Connect ou SSL VPN: qual é a solução de acesso remoto adequada?.

Qual artigo é adequado?

O Sophos Connect no macOS sobrepõe-se facilmente a outros artigos sobre acesso remoto. Consoante a tarefa, outro ponto de partida pode ser mais adequado:

• Instalar o Sophos Connect no macOS: Este artigo.
• Configurar SSL VPN no macOS com .ovpn: Configurar Sophos SSL VPN com Sophos Connect no macOS.
• Preparar o Sophos Connect no firewall: Configurar o Sophos Connect no Sophos Firewall.
• Planear versões do cliente, atualizações e manutenção dos perfis: Verificar e atualizar com segurança a versão do Sophos Connect Client.
• Diagnosticar erros de importação, autenticação ou ligação: Resolver problemas do Sophos Connect Client.
• A VPN está ligada, mas o tráfego não funciona: Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture.

Esta separação é importante, porque a instalação do cliente representa apenas uma parte da operação de acesso remoto. As regras de firewall, o DNS, a MFA, os certificados, o VPN Portal e a distribuição dos perfis continuam a ser pontos de verificação distintos.

Pré-requisitos

• Sophos Firewall com uma configuração de acesso remoto preparada
• Sophos Connect Client numa versão compatível com a firewall e a plataforma
• Mac Intel ou Apple Silicon com uma versão de macOS compatível com a versão do cliente; consultar a visão geral abaixo
• Ficheiro de configuração para IPsec (.scx) ou SSL VPN (.ovpn), em alternativa um .pro fornecido pela equipa de TI a partir do cliente 2.1
• nenhum Sophos SSL VPN Client antigo instalado em paralelo
• conta de utilizador com permissão de VPN e, se estiver ativa, MFA funcional
• Regras de firewall para tráfego da zona VPN ou da zona de acesso remoto utilizada

Qual é a versão adequada para o Mac?

À data de 21 de outubro de 2026, as notas de lançamento da Sophos apresentam o Sophos Connect 2.1 para macOS, de 6 de outubro de 2026, como a versão atual para Mac. O número de versão superior do Windows, 2.5 MR1, não é uma versão do pacote macOS.

• 2.1 a partir do macOS 14 Sonoma: Intel e Apple Silicon; execução ARM nativa em Apple Silicon. São suportados IPsec, SSL VPN, aprovisionamento .pro e Microsoft Entra ID SSO. Para iniciar sessão por SSO no navegador do sistema, é também necessário SFOS 22.0 MR3 ou posterior.
• Linha 2.0 a partir do macOS 13 Ventura: IPsec e SSL VPN com importação manual de perfis; Apple Silicon através de Rosetta 2. A última versão de manutenção indicada é a 2.0 MR1, de 21 de maio de 2026. A execução ARM nativa, o aprovisionamento .pro e o Entra ID SSO não estão disponíveis nesta linha.
• Anterior à 2.0: o cliente macOS suporta apenas IPsec. Estes pacotes antigos não são adequados para SSL VPN.

Verificar antes da instalação o número de versão do pacote macOS efetivamente disponibilizado. Um anúncio de lançamento não prova que a firewall da organização já distribua esse pacote, nem que a combinação de cliente, macOS e perfil VPN esteja aprovada no próprio ambiente. A verificação da versão e o regresso controlado a uma versão anterior são descritos em Atualizar o Sophos Connect em segurança.

Apple Silicon e atualizações do macOS

O Rosetta não é um requisito geral para o cliente 2.1 nativo. No entanto, continua a ser uma dependência de um cliente 2.0 ainda utilizado: a disponibilidade geral do Rosetta não constitui uma aprovação do instalador concreto nem do funcionamento da VPN no macOS 27. Da mesma forma, uma aprovação do Sophos Endpoint não comprova a compatibilidade do Sophos Connect.

Antes de atualizar o macOS, verificar num dispositivo piloto a instalação, o perfil IPsec ou SSL VPN efetivamente utilizado, a MFA, a resolução de DNS interno e a reconexão. Adiar a atualização dos dispositivos dependentes da VPN até estes testes serem bem-sucedidos. Para o macOS 28, não planear o funcionamento do cliente Intel da linha 2.0; aprovar atempadamente uma solução VPN nativa ou outra alternativa suportada.

1. Transferir o Sophos Connect Client

No SFOS 22, o administrador transfere o Sophos Connect Client para macOS no WebAdmin através de Remote access VPN > IPsec > Download client ou Remote access VPN > SSL VPN > Download client. Os utilizadores abrem o VPN Portal, por predefinição em https://<Firewall-FQDN>:443, e selecionam VPN > Download for macOS. O cliente atual está disponível no VPN Portal; o pacote no WebAdmin está atualizado quando os Pattern updates são atualizados automaticamente em Backup & Firmware > Pattern updates.

A página de transferências da Sophos existente é a página de transferências do UTM. Para uma instalação SFOS, utilize o WebAdmin ou o VPN Portal como origem do pacote. Em ambientes geridos, também se deve definir a versão aprovada e onde os utilizadores obtêm o ficheiro de configuração adequado.

O ficheiro depende da ligação configurada na firewall:

• IPsec: importar diretamente o .scx.
• SSL VPN: importar diretamente o .ovpn pessoal; requer Sophos Connect 2.0 ou posterior.
• Obtenção automática de perfis a partir do cliente macOS 2.1: a equipa de TI fornece um .pro. Este obtém os perfis IPsec e SSL VPN autorizados através do VPN Portal e recolhe alterações posteriores; não é um perfil de túnel. O cliente macOS 2.0 continua a requerer importações diretas e atualização manual. O procedimento está descrito em Aprovisionamento do Sophos Connect com .pro.

No SFOS 22, os perfis são obtidos nestes locais:

1. IPsec: abra Remote access VPN > IPsec > Export connection. O arquivo contém .scx e .tgb; distribua o ficheiro .scx recomendado pela Sophos para o Sophos Connect.
2. SSL VPN: no VPN Portal, abra VPN > VPN configuration > SSL VPN configuration e selecione Download configuration for Windows, macOS, Linux. Para Sophos Connect, utilize Use with Sophos Connect and OpenVPN Connect v2 clients; Use with OpenVPN Connect v3 clients destina-se a OpenVPN Connect 3, não a Sophos Connect. Transfira o ficheiro .ovpn. A descarga não aparece sem uma política SSL VPN adequada atribuída ao utilizador.
3. Guarde o ficheiro em segurança e disponibilize-o apenas ao utilizador previsto.

O nome do pacote atual segue o padrão SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Um pacote com (IPsec) no nome pertence à linha anterior para macOS e não inclui suporte para SSL VPN.

Para Macs geridos, o instalador não deve ser amplamente distribuído sem um grupo piloto. Deve-se testar pelo menos um Mac Intel e um Mac Apple Silicon, se ambas as plataformas estiverem presentes na empresa.

2. Instalar o Sophos Connect Client

Antes da instalação, é necessário remover um Sophos SSL VPN Client antigo que ainda esteja instalado. As instruções de instalação excluem o funcionamento em paralelo com outro cliente VPN, enquanto o guia geral de resolução de problemas ainda descreve uma ordem de instalação diferente para o antigo SSL VPN Client. Isto não constitui uma aprovação geral para clientes em paralelo; se for necessário um caso excecional com um cliente legado, esclareça a combinação concreta com a Sophos. As instruções atuais de atualização indicam a transferência e a instalação do novo pacote, mas não uma obrigação geral de desinstalar previamente a versão existente. Utilize o processo de remoção e reinstalação aqui descrito apenas como procedimento controlado de manutenção ou de regresso a uma versão anterior, aprovado para a versão de destino, e não como requisito obrigatório de todas as atualizações.

Inicie a instalação com um duplo clique em SophosConnect_x.x_(IPsec_and_SSLVPN).pkg; x.x representa a versão aprovada. Verifique o destino e o espaço livre, clique em Install e conclua o assistente com Finish.

Em Apple Silicon, o Sophos Connect 2.0 requer Rosetta 2; a partir de 2.1, ARM é suportado nativamente. Por isso, Rosetta não é um requisito geral para 2.1. Se o macOS o solicitar durante a utilização do instalador 2.0 aprovado, instale o Rosetta 2 e volte a iniciar o cliente. No macOS 27, não pressuponha que uma instalação do Rosetta anterior à atualização seja restaurada automaticamente ou que um pacote de instalação concreto funcione sem alterações. Teste a instalação e a ligação VPN no piloto para ambas as linhas do cliente.

Depois da instalação, a versão deve ser verificada diretamente no cliente. Isto é especialmente importante quando circulam internamente vários pacotes de instalação ou quando os utilizadores já tinham instalado o cliente.

3. Transferir o ficheiro de ligação

No primeiro arranque, o Sophos Connect necessita de uma configuração de ligação. Este ficheiro deve provir da configuração atual da firewall e não de um arquivo antigo de um utilizador.

Ficheiros de ligação habituais:

• Remote Access IPsec: .scx; exportação da configuração atual de Remote Access IPsec.
• SSL VPN: .ovpn; VPN Portal ou exportação administrativa.
• Aprovisionamento a partir de 2.1: .pro; método fornecido pela equipa de TI para obter os perfis autorizados.

Se antes de uma atualização para SFOS-22-MR1 ainda houver configurações antigas de acesso remoto IPsec em uso, não deve simplesmente ser distribuído um perfil antigo. Nesse caso, primeiro verifique Migrar Acesso Remoto IPsec Legado antes do SFOS 22 MR1.

Os perfis devem ser tratados como credenciais de acesso. Um ficheiro .ovpn ou .scx antigo pode ainda conter redes internas, nomes de gateway, certificados ou referências de utilizador. Se o gateway, certificado, DNS, grupo de utilizadores, pool de IP ou autenticação forem alterados, o perfil deve ser novamente exportado e importado.

No SSL VPN, o ficheiro .ovpn é específico do utilizador: contém um certificado de utilizador único e a respetiva chave privada, pelo que não deve ser distribuído como perfil partilhado de uma equipa. Em contrapartida, um ficheiro .pro ainda não importado contém metadados de aprovisionamento e não é, por si só, específico do utilizador; não equivale ao perfil SSL VPN e aos certificados gerados durante a importação. Também não partilhe entre utilizadores esses perfis gerados nem as chaves privadas.

Para SFOS 22, a Sophos documenta a associação de um perfil SSL VPN importado à identidade do utilizador, ao domínio e ao método de autenticação. Ao mudar, por exemplo, da autenticação local para o Active Directory, obtenha e importe uma configuração .ovpn separada ou gere o perfil SSL adequado através de uma importação separada de .pro. Segundo essa documentação do SFOS 22, reutilizar o perfil importado com outro método ou domínio pode provocar Login failed. Wrong fingerprint of certificate. Esta associação SSL documentada não se aplica a perfis IPsec .scx.

Para SFOS 23, o comportamento em execução continua por esclarecer: a secção correspondente não consta do guia Sophos aqui comparado. A ausência não confirma nem uma reutilização menos restritiva nem que a associação se mantenha inalterada. Até existir uma confirmação específica da versão, continue a obter e importar perfis SSL separados para a identidade, o método e o domínio previstos. É uma precaução, não uma regra de funcionamento verificada para SFOS 23; não ignore a validação de certificados.

Ao migrar de um cliente de terceiros, podem importar-se no Sophos Connect os ficheiros de configuração existentes compatíveis. Para IPsec, prepare primeiro as definições avançadas na firewall e distribua uma .scx atual ou, a partir do cliente macOS 2.1, uma .pro adequada: assim também são disponibilizadas definições não suportadas pelos clientes de terceiros. Uma simples atualização da versão do cliente não invalida automaticamente os ficheiros existentes; as alterações na firewall devem ser tratadas separadamente.

4. Configurar o Sophos Connect Client

A configuração do Sophos Connect Client requer apenas alguns passos:

1. Abra o Sophos Connect.
2. Selecione Import connection.
3. Importe o ficheiro de ligação adequado.
4. Verifique a ligação em Connections.
5. Clique em Connect.
6. Inicie sessão com o utilizador VPN e confirme a MFA, se estiver ativa.

Depois de estabelecer a ligação com sucesso, verifique também se os nomes DNS internos são resolvidos e se os sistemas necessários estão acessíveis. Se a ligação estiver estabelecida, mas não houver tráfego, o Log Viewer, o Policy Test e o Packet Capture ajudam na análise. Consulte Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture.

No SSL VPN no macOS, o teste de DNS é especialmente importante. O Sophos Connect 2.0 MR1 corrige um problema em que as definições de DNS das ligações SSL VPN no macOS não eram aplicadas corretamente. Se os nomes internos não forem resolvidos, verifique primeiro a versão e o estado do perfil antes de alterar indiscriminadamente as regras de DNS.

Com SSL VPN e vários gateways no ficheiro .ovpn, o Sophos Connect tenta as entradas pela ordem inversa de prioridade; os gateways de DNS dinâmico têm prioridade sobre os gateways com IP WAN. Se uma tentativa falhar, tenta o gateway disponível seguinte nessa ordem. Perante uma escolha inesperada, compare o ficheiro atual com os destinos realmente tentados nos eventos do cliente, em vez de assumir que a primeira entrada é a preferida.

Microsoft Entra ID SSO no macOS (Sophos Connect 2.1): navegador e regresso ao cliente

O Entra ID SSO está documentado para IPsec, SSL VPN e aprovisionamento a partir do Sophos Connect 2.1 para macOS; o macOS 2.0 não suporta este fluxo do cliente. Antes de começar, verifique a configuração Entra ID no firewall correspondente, os métodos de autenticação e o Redirect URI. No macOS 14+, utilize a versão aprovada do pacote 2.1. A escolha do navegador depende da configuração da ligação ou do aprovisionamento, não apenas do sistema operativo. A autenticação no navegador do sistema e a mudança automática para esse navegador requerem SFOS 22.0 MR3 ou posterior. Antes deste procedimento, confirmar a versão da firewall com a equipa de TI; uma versão anterior não cumpre este requisito.

Antes de utilizar Entra ID SSO, verifique se o VPN Portal, a política SSL VPN e a configuração Microsoft Entra ID utilizam o servidor de autenticação necessário.

1. No Sophos Connect, selecione a ligação correta, utilize o início de sessão SSO e inicie Connect. Conclua integralmente o início de sessão no navegador aberto pelo Sophos Connect, incluindo a MFA ou a verificação de conformidade exigida. Um início de sessão no portal aberto de forma independente não substitui este fluxo do cliente.
2. Quando sso_auth_browser_type não está definido ou tem o valor auto, o Sophos Connect começa no navegador integrado. Se não for possível concluir aí o início de sessão devido a requisitos de Conditional Access, o cliente muda automaticamente para o navegador predefinido do sistema e tenta iniciar sessão novamente. Conclua integralmente o início de sessão nesse navegador e depois regresse ao Sophos Connect.
3. Com embedded, é utilizado apenas o navegador integrado: sem fallback automático. Se o início de sessão falhar devido a Conditional Access, peça à equipa de TI que disponibilize um ficheiro de aprovisionamento aprovado com system e tente novamente. Com system, é utilizado exclusivamente o navegador do sistema; após o início de sessão, regresse ao Sophos Connect.
4. Os perfis .ovpn ou .scx importados diretamente comportam-se como auto: primeiro o navegador integrado, depois automaticamente o navegador do sistema quando os requisitos de Conditional Access o exigem. Se a mudança de navegador necessária não ocorrer e o erro persistir, peça à equipa de TI que disponibilize um ficheiro .pro aprovado com sso_auth_browser_type definido como system. O esquema de aprovisionamento e os valores permitidos são descritos em Aprovisionamento do Sophos Connect; não invente alterações manuais a .ovpn ou .scx como configuração do navegador.

Um erro de conformidade não é um convite a enfraquecer as regras de segurança. Execute as medidas de conformidade necessárias ou contacte a equipa de TI. Não desative Conditional Access, MFA nem as verificações de certificados para forçar o início de sessão. Só depois de regressar ao cliente verifique o estado do túnel, o IP VPN, o DNS e o acesso. O fluxo do Windows e a distribuição por GPO do Windows não constituem prova para macOS.

Os perfis .ovpn ou .scx importados manualmente não obtêm automaticamente alterações posteriores. Auto-connect e Update policy requerem provisioning: no Windows com um cliente compatível e no macOS a partir de 2.1, não com 2.0. auto_connect_host ativa Auto-connect; Update policy fica disponível após a primeira ligação bem-sucedida. Rename, Clear credentials e Delete continuam a ser ações separadas; após Delete, os perfis manuais têm de ser reimportados.

Nos Macs partilhados, desligue primeiro o túnel e abra o menu do Sophos Connect no canto superior direito. Selecione Force SSO re-login e confirme com OK. Esta ação elimina os cookies do browser integrado, não os do browser do sistema. Se este continuar a utilizar a identidade anterior, elimine apenas os cookies dos domínios relevantes de Microsoft Entra ID ou do gateway VPN. Isto também pode terminar outras sessões nesses domínios; não elimine indiscriminadamente todos os dados do browser.

No piloto, verifique se o utilizador seguinte só consegue estabelecer o túnel depois de iniciar sessão com a sua própria identidade Microsoft Entra ID. Uma sessão SSO existente ou a simples desconexão do túnel não comprovam uma mudança de utilizador segura. Após eliminar os cookies, a sessão é recuperada através de uma nova autenticação, não restaurando cookies de outra pessoa.

Se uma palavra-passe guardada provocar uma autenticação automática e ocultar a opção SSO, utilize Edit connection > Clear credentials. As opções reaparecem no próximo Connect. Esta ação elimina as credenciais guardadas, não a autorização VPN, e é diferente de Force SSO re-login. Altere a porta VPN Portal no cliente apenas quando o administrador indicar um novo valor: SSO também utiliza essa porta.

Verificar após a instalação

Após a instalação, devem ser verificados os seguintes pontos:

• A versão do Sophos Connect é compatível com a versão do macOS utilizada.
• Em Apple Silicon, o Sophos Connect inicia efetivamente e passa o piloto VPN completo; verifique Rosetta para 2.0, a execução ARM nativa para 2.1 e as caixas de diálogo de instalação efetivamente apresentadas.
• O ficheiro importado corresponde ao protocolo pretendido: IPsec ou SSL VPN.
• O utilizador está autorizado no grupo VPN correto.
• O MFA funciona e é solicitado de forma compreensível.
• O cliente recebe um IP VPN apropriado.
• Os nomes DNS internos são resolvidos.
• As regras de firewall para a zona VPN permitem apenas os destinos necessários.

Teste de Aceitação para macOS

Um estado de ligação verde não é suficiente para a validação. Para um rollout fiável, um utilizador de teste deve executar os seguintes testes:

1. Verificar a versão do cliente: A versão é compatível com o macOS, IPsec ou SSL VPN e com a aprovação interna.
2. Verificar Apple Silicon: O Sophos Connect inicia na versão concreta do macOS em utilização. Verifique os requisitos de Rosetta em 2.0 e a execução ARM nativa em 2.1; conseguir iniciar o cliente não substitui o teste da ligação.
3. Importar o perfil: O ficheiro correto para IPsec ou SSL VPN é aceite.
4. Testar MFA: O início de sessão exige o segundo fator esperado.
5. Testar DNS: Os FQDN internos são resolvidos corretamente.
6. Testar o acesso: Os servidores autorizados funcionam e os destinos não autorizados permanecem bloqueados.
7. Verificar Log Viewer: O tráfego da zona VPN atinge a regra de firewall esperada.
8. Testar a reconexão: Desligar, mudar de rede e voltar a ligar funciona.
9. Testar Entra SSO a partir de 2.1: Documente o modo de navegador utilizado, o fallback necessário, o início de sessão completo no navegador e o regresso ao Sophos Connect. Um dispositivo não conforme permanece bloqueado; corrija a conformidade ou contacte a equipa de TI, sem enfraquecer Conditional Access.

Em ambientes mistos, deve-se testar pelo menos um Mac Intel e um Mac Apple Silicon. Se também houver clientes Windows em uso, o comportamento não deve ser assumido como igual. Plataforma, tipo de perfil e versão do cliente podem diferir.

Dicas de Implementação para Macs Geridos

Para poucos utilizadores, uma instalação manual com importação controlada do perfil é frequentemente suficiente. Em ambientes maiores, o Sophos Connect deve ser tratado como qualquer outro software cliente relevante para a segurança.

Antes de uma implementação ampla, esclareça:

• Qual versão do Sophos Connect está liberada?
• Quais versões do macOS estão em uso?
• Existem Macs Intel, Macs Apple Silicon ou ambos?
• É utilizado IPsec, SSL VPN ou ambos?
• Onde obtêm os utilizadores o perfil atual?
• Quem informa os utilizadores quando é necessário voltar a importar os perfis?
• Qual é o procedimento de atualização aprovado para as versões de origem e de destino, e como se realiza uma eventual desinstalação necessária seguida de reinstalação?
• Microsoft Entra ID SSO está documentado para Windows a partir de Sophos Connect 2.4 e macOS a partir de 2.1, não para o cliente macOS 2.0. São necessárias uma configuração SFOS compatível e uma configuração do cliente atualizada. Verifique métodos de autenticação e Redirect URI; MFA continua a ser um controlo separado. Isto não implica um fluxo de navegador idêntico nem que a implementação GPO do Windows se aplique ao macOS.
• Como o helpdesk identifica perfis desatualizados?
• O VPN Portal, a MFA e os certificados são monitorizados separadamente?

Pacotes de instalação e perfis antigos devem ser removidos dos repositórios internos de transferências ou claramente marcados como desatualizados. Especialmente no acesso remoto, utilizar um perfil antigo qualquer da pasta de transferências leva rapidamente a diagnósticos desnecessários. As instruções oficiais de instalação citadas aqui não descrevem uma implementação MDM genérica do pacote macOS. Não aplique procedimentos do Windows nem parâmetros específicos de um fornecedor MDM sem documentação e testes para a sua plataforma.

Remover ou reverter o Sophos Connect em segurança

Antes da desinstalação, desligue a VPN e guarde de forma controlada o perfil necessário para uma recuperação posterior. Um ficheiro .ovpn contém um certificado específico do utilizador e a respetiva chave privada, pelo que deve ser guardado num local protegido. Planear a operação numa janela de manutenção com acesso administrativo local ou uma segunda via de administração.

Se o Sophos Endpoint estiver instalado com a proteção contra manipulação ativa, não a desative por precaução. Numa desinstalação aprovada, execute o script documentado com privilégios de administrador no Terminal do macOS:

sudo /Library/Sophos\ Connect/uninstall.sh

A mensagem de sucesso é Sophos Connect has been uninstalled. Verifique depois que o Sophos Connect já não inicia.

Se a remoção estiver bloqueada

Os processos do Sophos Connect que não são descarregados podem estar relacionados com a proteção contra manipulação do Endpoint. Perante este problema, guarde os logs, reinicie durante a janela de manutenção e volte a verificar; se a remoção continuar bloqueada, esclareça a combinação concreta de Endpoint e cliente com a equipa de TI ou com a Sophos.

Altere especificamente a proteção contra manipulação no Sophos Fusion apenas se uma alteração temporária da proteção tiver sido expressamente aprovada para esse fim. Depois, voltar a ativar a proteção e confirmar o estado ativo no endpoint e na gestão, mesmo que a desinstalação falhe.

Regressar à versão anterior do cliente

Para um rollback seguro, mantenha o pacote macOS anteriormente aprovado sob acesso controlado até concluir o piloto. Se a nova versão falhar, remova o Sophos Connect com o script suportado, instale o pacote anteriormente aprovado, volte a importar o perfil correspondente e repita o teste de aceitação completo. Um rollback para uma versão anterior à 2.0 não é adequado para SSL VPN, porque essas versões para macOS apenas suportam IPsec. Antes do rollback, guarde a versão, a hora e o relatório de suporte de qualquer erro que possa exigir escalonamento. Verificar e atualizar com segurança a versão do Sophos Connect Client explica em maior detalhe a escolha da versão e o processo de remoção e reinstalação. Um regresso ao cliente macOS 2.0 não preserva a execução ARM nativa, o aprovisionamento .pro nem o Entra ID SSO. Se estas funções de 2.1 forem necessárias, 2.0 não é uma alternativa equivalente para regressar à versão anterior; aprove e teste previamente uma solução alternativa suportada.

Diagnosticar e escalar problemas

Para o diagnóstico inicial, abrir Events no cliente ou selecionar Open VPN log no menu de três pontos. Verificar se o tipo de perfil, a identidade do utilizador, a versão do macOS e a versão do Sophos Connect correspondem ao caso de teste. Se apenas os nomes internos falharem, verificar primeiro o DNS e o estado do perfil; se o acesso por endereço IP também falhar, os próximos pontos de controlo são as regras de firewall, o routing, o NAT e o caminho de retorno.

O procedimento detalhado por sintoma está em Resolver problemas do Sophos Connect Client. Reúne, entre outros, erros de importação e de início de sessão, DNS após ligações Full Tunnel, uma interface bloqueada, MTU/MSS e os logs do cliente e da firewall. Não contornar a validação de certificados nem os controlos de segurança para estabelecer temporariamente uma ligação.

A ligação é importada, mas não é estabelecida

Verifique primeiro se o ficheiro corresponde ao protocolo correto e se a versão do Sophos Connect é adequada. O SSL VPN no macOS requer o Sophos Connect 2.0 ou mais recente. Em seguida, verifique a autorização do utilizador, a MFA, o certificado, o gateway, a hora da firewall e o FQDN acessível do VPN Portal ou do gateway.

Para o diagnóstico inicial, abra Events no cliente ou selecione Open VPN log no menu de três pontos. Segundo a documentação do SFOS 22, no SSL VPN, Login failed. Wrong fingerprint of certificate. indica que o perfil importado pode não corresponder à identidade, ao domínio ou ao método de autenticação utilizados. Não ignore a validação do certificado: obtenha e importe um novo ficheiro .ovpn com o mesmo método de autenticação que será utilizado para estabelecer a ligação. Para SFOS 23, não trate essa associação como um diagnóstico confirmado: documente as versões da firewall e do cliente e a identidade do perfil, e peça à equipa de TI ou à Sophos um esclarecimento específico da versão; não ignore a validação de certificados.

Nomes internos não são resolvidos

No SSL VPN no macOS, verifique a versão do Sophos Connect utilizada, porque foram disponibilizadas correções específicas nesta área. Em seguida, verifique o servidor DNS, os domínios de pesquisa, o perfil importado e as regras de firewall.

Se os endereços IP funcionarem, mas os nomes não, o problema é provavelmente o DNS. Se os endereços IP também não funcionarem, as causas mais prováveis são o routing, as regras de firewall, o NAT ou o caminho de retorno.

A ligação está estabelecida, mas nenhum acesso funciona

A causa encontra-se frequentemente nas regras de firewall, no routing, no NAT ou no caminho de retorno. O Log Viewer deve mostrar se o tráfego da zona VPN corresponde à regra esperada. Para casos específicos de IPsec, consulte Resolução de problemas de VPN IPsec no Sophos Firewall.

Depois de alterar o perfil, a ligação deixa de funcionar

Perfis importados manualmente: Depois de alterar o gateway, o certificado, a porta, o DNS, o pool de IP, o grupo de utilizadores ou a autenticação, o perfil deve ser novamente exportado e importado. Uma atualização do cliente não substitui automaticamente um perfil antigo, mas também não invalida automaticamente uma configuração que não foi alterada.

Depois de restaurar a firewall ou importar uma configuração, compare as definições afetadas:

• IPsec: Volte a importar o ficheiro de configuração atual se a interface, o método de autenticação ou a 2FA tiverem mudado.
• SSL VPN: Se a porta, o protocolo, a interface ou o certificado do servidor nas definições globais SSL VPN tiverem mudado, transfira novamente a .ovpn do VPN Portal e importe-a.

Aprovisionamento a partir do cliente macOS 2.1: Uma .pro já importada obtém automaticamente as configurações IPsec e SSL VPN adequadas ao utilizador enquanto o endereço do gateway (gateway) e a porta do VPN Portal (user_portal_port) permanecerem inalterados. Se estes valores mudarem, atualize e redistribua o ficheiro de aprovisionamento; não pressuponha que o caminho de obtenção anterior continua a funcionar. Depois, volte a verificar ligação, MFA, DNS e acessos permitidos. O cliente macOS 2.0 continua a exigir importação manual.

Armazenamento de credenciais não é visível

A Sophos reativou esta opção para SSL VPN no macOS no Sophos Connect 2.0 MR1. Depois de uma atualização, o ficheiro de configuração deve ser novamente importado para que a opção possa ser utilizada. Em ambientes com MFA, verifique também se o armazenamento de credenciais é compatível com o conceito de segurança.

O Sophos Connect não abre ou não responde

Se a interface não abrir ou não responder ao ícone na barra de menus do macOS, o processo da GUI pode estar bloqueado. Em Activity Monitor, selecione o processo Sophos Connect, termine-o com Force Quit e volte a iniciar a aplicação a partir do Launchpad. Isto termina apenas a interface bloqueada; se o problema se repetir, verifique a versão do cliente e o relatório de suporte.

O acesso à Web deixa de funcionar depois de desligar a VPN

Depois de desligar um Full Tunnel, o macOS pode continuar a utilizar os servidores DNS internos da ligação VPN. Nesse caso, os sites e a resolução de nomes deixam de funcionar fora do túnel. Desligue brevemente o Wi-Fi ou a Ethernet e volte a ligá-lo. Se o problema se repetir, documente a versão do cliente, o perfil e o comportamento do DNS, em vez de substituir permanentemente os servidores DNS de forma manual.

A ligação está estabelecida, mas as transferências grandes bloqueiam

Se o início de sessão, o DNS e os acessos pequenos funcionarem, mas as transferências de ficheiros maiores ou determinadas aplicações bloquearem, verifique também o MTU/MSS. Este padrão de erro está frequentemente relacionado com fragmentação, PPPoE, ligações em túnel ou um caminho assimétrico. O procedimento encontra-se em Verificar MTU e MSS do Sophos Firewall em problemas de VPN.

Recolher dados de suporte

Para escalar o problema, documente a hora, o utilizador, a versão do macOS, a versão do Sophos Connect, o tipo de perfil, a rede de origem e o sistema de destino. No Sophos Connect Client, Menu de três pontos > About > Generate technical support report cria o ficheiro scvpntsr.zip com configurações VPN, eventos de ligação, detalhes de aprovisionamento, informações de autenticação SSO, detalhes do navegador e informações do endpoint. O ficheiro pode conter dados sensíveis e só deve ser enviado a destinatários autorizados através do canal de transferência aprovado; nunca copie palavras-passe, OTPs ou chaves privadas para o texto do pedido de suporte. As informações sobre WebView2 em scgui.log dizem respeito apenas ao Windows, não ao navegador do macOS.

Na firewall, o Log Viewer, sslvpn.log, os logs de IPsec, o Packet Capture e a regra de firewall afetada ajudam em paralelo. A correspondência dos ficheiros de log está em Troubleshooting do Sophos Firewall: serviços e logs.

Para uma verificação SCCLI complementar, apenas de leitura, num Mac piloto, consulte a referência rápida da CLI para macOS. Esta não substitui a interface do cliente nem um teste VPN concluído com sucesso e não constitui fundamento para uma distribuição automática por MDM.

FAQ