Instale o cliente Sophos Connect no Windows

O Sophos Connect é o cliente central da Sophos para muitos cenários de acesso remoto com o Sophos Firewall. No Windows, o cliente pode usar conexões VPN IPsec e SSL dependendo da configuração do firewall. É importante que a versão do cliente, a plataforma Windows, o arquivo de configuração e a configuração do firewall correspondam.

Estas instruções descrevem a instalação no Windows e as verificações mais importantes após importar a conexão. Ao decidir entre IPsec, SSL VPN, clientes móveis e ZTNA, a primeira comparação é Sophos Connect ou SSL VPN: Qualificação de acesso remoto e certificado?.

Qual artigo se encaixa?

O Sophos Connect no Windows é apenas uma parte das operações de acesso remoto. Dependendo da tarefa, uma abordagem diferente é apropriada:

• Instale o Sophos Connect no Windows: Este artigo.
• Configure SSL VPN no Windows com .ovpn: Configure o Sophos SSL VPN com Sophos Connect no Windows.
• Configure o Sophos Connect no lado do firewall: Configurar o Sophos Connect no Sophos Firewall.
• Configure o Microsoft Entra ID SSO para Sophos Connect: Configurar o SSO do Microsoft Entra ID para Sophos Connect e Portal VPN.
• Manter versões, atualizações e perfis de clientes: Verifique e atualize com segurança a verão do Sophos Connect Client.
• A VPN está conectada, mas o tráfego não está funcionando: Teste regras de firewall com Log Viewer, Policy Test e Packet Capture. Essa separação evita a solução de problemas típica no local errado. Um cliente instalado ainda não prova que o portal VPN, autenticação, perfil, regras de firewall, DNS e caminho de retorno estão corretos.

Requisitos

• Firewall Sophos com configuração de acesso remoto configurada
• Sophos Connect Client em uma versão que corresponda ao firewall e à plataforma
• Windows 10 ou Windows 11, com versões atuais do Sophos Connect como 64 bits ou Windows ARM
• Arquivo de configuração para IPsec (.scx ou .tgb) ou SSL VPN (.ovpn ou arquivo de provisionamento)
• Conta de usuário com permissão VPN e, se habilitado, MFA funcionando
• Regras de firewall para tráfego da zona VPN ou da zona de acesso remoto utilizada

Se o Sophos Connect for usado com o Microsoft Entra ID SSO, o Sophos Connect 2.4 ou mais recente será necessário no Windows e uma configuração de SSO adequada no firewall. O processo está em Configurar o SSO do Microsoft Entra ID para Sophos Connect e Portal VPN.

O Sophos Connect é compatível com Windows ARM a partir da versão 2.5. Se pacotes de software antigos ainda estiverem sendo distribuídos internamente, você deverá verificar qual versão está realmente instalada antes do lançamento. Para implementação, grupo piloto e verificação de atualização, cabe Verifique e atualize com segurança a verão do Sophos Connect Client.

O limite da plataforma também é importante: as versões atuais do Sophos Connect devem ser planejadas para novas implementações com Windows 10 ou Windows 11. Instalações antigas de 32 bits não devem continuar como o novo padrão apenas porque eram anteriormente possíveis com versões de clientes mais antigas.

1. Baixe o cliente Sophos Connect

O Sophos Connect Client pode ser baixado através do portal VPN do Sophos Firewall ou diretamente do Site da Sophos.

Em ambientes gerenciados, o cliente não deve ser instalado aleatoriamente por usuários individuais. Um pacote claro com uma versão definida, um grupo de implementação e um plano alternativo faz sentido. Isto é particularmente importante ao usar Windows ARM, SSL VPN via Sophos Connect ou provisionar arquivos.

O Sophos Connect deve ser atualizado regularmente. As novas versões não contêm apenas alterações funcionais, mas também componentes atualizados como OpenVPN, strongSwan ou OpenSSL.

Para ambientes maiores, a fonte de instalação deve ser clara. Se existirem arquivos MSI antigos, um download do portal VPN e uma distribuição de software ao mesmo tempo, o helpdesk instalará rapidamente diferentes versões do cliente.

2. Instale o cliente Sophos Connect

A instalação começa com o arquivo SophosConnect.msi. Após concluir o assistente, a janela pode ser fechada com Finish.Após a instalação, a versão deverá ser verificada diretamente no cliente ou através do inventário de software. Isto é particularmente importante para Windows ARM, Entra SSO, provisionamento de arquivos e erros recorrentes de serviço, porque pequenas diferenças de versão podem alterar o padrão de erro.

3. Baixe o arquivo de conexão

Quando você inicia o Sophos Connect pela primeira vez, requer configuração de conexão. Dependendo do design de acesso remoto, este é um IPsec, SSL VPN ou arquivo de provisionamento.

Arquivos de conexão típicos:

• Acesso remoto IPsec: .scx ou .tgb; Exportar para VPN > Sophos Connect Client.
• VPN SSL: .ovpn; Portal VPN ou exportação administrativa.
• Importação automática via provisionamento: .pro; arquivo de provisionamento preparado centralmente. Com uma configuração IPsec clássica, o arquivo é exportado no WebAdmin:

1. No Sophos Firewall, abra VPN > Sophos Connect Client.
2. Exportar conexão.
3. Armazene o arquivo com segurança e distribua-o apenas para usuários autorizados.

Com SSL VPN, a configuração geralmente é fornecida a partir do portal VPN ou da configuração de acesso remoto. A origem exata depende de como o Acesso Remoto foi configurado no firewall. O procedimento detalhado para importação de .ovpn, portal VPN e testes de VPN SSL está disponível em Configure o Sophos SSL VPN com Sophos Connect no Windows.

Os perfis devem ser distribuídos de forma controlada. Se o gateway, o certificado, o DNS, o grupo de usuários, o pool de IP, o SSO ou a autenticação tiverem sido alterados, os arquivos antigos nas pastas de download não deverão ser considerados. As conexões afetadas devem ser reexportadas, reimportadas ou atualizadas adequadamente por meio de provisionamento.

Para arquivos de provisionamento, o gateway, a porta do portal VPN, os certificados, a referência SSO e o grupo de usuários devem ser verificados com especial cuidado. Um arquivo de provisionamento facilita a distribuição, mas não substitui a aprovação técnica da conexão.

4. Configure o cliente Sophos Connect

A configuração é feita em apenas algumas etapas:

1. Abra o Sophos Connect.
2. Selecione Import Connection.
3. Importe o arquivo de conexão apropriado.
4. Verifique a conexão em Conexões.
5. Clique em Connect.
6. Faça login com o usuário VPN e confirme o MFA, se habilitado.

Se o login for bem-sucedido, o Sophos Connect deverá mostrar a conexão como conectada. Então você não deve apenas verificar o status verde, mas também testar o DNS, os alvos internos e as regras de firewall. Se a conexão for estabelecida, mas não houver tráfego fluindo, Teste regras de firewall com Log Viewer, Policy Test e Packet Capture ajuda.

Com o SSO do Entra ID, você também deve verificar se o fluxo de SSO realmente é executado por meio do servidor Microsoft Entra ID esperado e se o acesso condicional ou o MFA funcionam conforme planejado. Um login local bem-sucedido não prova automaticamente que o SSO, o mapeamento de grupo e a permissão VPN estão corretos.

Verifique após a instalação

Após a instalação, estes pontos devem ser verificados:

• A versão Sophos Connect se adapta à plataforma, principalmente com Windows ARM.
• O arquivo importado corresponde ao protocolo desejado: IPsec ou SSL VPN.
• O usuário está autorizado no grupo VPN correto.
• MFA funciona e não bloqueia o estabelecimento da conexão.
• O cliente recebe um IP VPN adequado.
• Os nomes DNS internos são resolvidos.
• As regras de firewall para a zona VPN permitem apenas os alvos necessários.
• Perfis antigos não foram reutilizados acidentalmente.

Se configurações antigas de IPsec de acesso remoto ainda existirem antes de uma atualização do SFOS 22 MR1, Migrar IPsec de accesso remoto legado antes do SFOS 22 MR1 deve ser verificado primeiro.

Teste de aceitação para Windows

O status de cliente verde não é suficiente como aceitação. Para uma implementação robusta, um usuário de teste deve verificar estes pontos:

1. Verifique a versão do cliente: Versão compatível com Windows 10/11, Windows ARM e versão interna.
2. Perfil de importação: .scx, .tgb, .ovpn ou .pro é reconhecido corretamente.
3. Testar SSO: O Entra SSO só começa onde está planejado.
4. Teste MFA: OTP, RADIUS-MFA ou Entra-MFA se comportam conforme documentado.
5. Testar DNS: FQDNs internos são resolvidos corretamente.
6. Acesso de teste: Os alvos permitidos funcionam, os alvos não autorizados permanecem bloqueados.
7. Verifique o visualizador de log: O tráfego da zona VPN atinge a regra de firewall esperada.
8. Teste de reconexão: Mudanças de rede, espera e reconexões são rastreáveis ​​.

Para ambientes mistos, pelo menos um dispositivo clássico do Windows 10/11 e um dispositivo Windows ARM deverão ser testados se o ARM for usado na produção. Se também forem usados ​​clientes macOS, o comportamento deverá ser documentado separadamente.

Notas de implementação para clientes Windows gerenciados

Se houver poucos usuários, uma instalação manual pode ser suficiente. Em ambientes maiores, o Sophos Connect deve ser controlado através da distribuição normal de software ou gerenciamento de endpoint.

Esclareça antes de uma implementação ampla:

• Qual versão do Sophos Connect foi lançada?
• Quais versões do Windows e arquiteturas de CPU estão em uso?
• É utilizado IPsec, SSL VPN, Entra SSO ou provisionamento?
• Existem usuários com OTP, RADIUS-MFA ou Entra-MFA?
• Como são distribuídos os novos perfis?
• Como remover perfis antigos ou marcá-los como obsoletos?
• Quem verifica o DNS, as regras de firewall e o comportamento de reconexão após as atualizações do cliente?
• Quais registros e capturas de tela o helpdesk precisa para casos de suporte?

Para dispositivos Windows compartilhados, atenção especial deve ser dada para saber se o Sophos Connect inicia de forma confiável para todos os usuários afetados. O Sophos Connect 2.5 MR1 inclui uma correção para um caso em que o cliente para usuários adicionais do Windows não iniciava automaticamente quando instalado por outro usuário.

Solução de problemas

O Sophos Connect não inicia ou mostra erros de serviço

Primeiro verifique se o serviço Sophos Connect está em execução e se uma versão atual do cliente está instalada. Para pacotes de instalação mais antigos, geralmente vale a pena fazer uma reinstalação limpa com a versão lançada. Se vários usuários do Windows usarem o mesmo dispositivo, você também deverá verificar se o cliente inicia automaticamente e corretamente no contexto do usuário.

A conexão é importada, mas não estabelecida

Geralmente, estão envolvidos permissão do usuário, MFA, certificado, chave pré-compartilhada, versão do firewall ou um tipo de arquivo incorreto. Os perfis VPN IPsec e SSL não devem ser misturados. Para arquivos de provisionamento, verifique também o gateway, a porta do portal VPN, o certificado, a configuração de SSO e os pontos de extremidade acessíveis da Microsoft se o Entra SSO estiver envolvido.

O status do SSO não está claro após a interrupção da Internet

Em ambientes Entra SSO, uma interrupção da Internet pode resultar em exibições de status irritantes. O Sophos Connect 2.5 MR1 inclui uma correção para usuários de SSO. No entanto, você também deve verificar se o túnel está realmente desconectado, se o cliente está se reconectando e se o firewall em Autenticação > Serviços está usando o servidor Microsoft Entra ID esperado.

OTP é consultado de forma diferente ao reconectar

Se os usuários clássicos de OTP ou MFA usarem IPsec e SSL VPN em paralelo, o comportamento de reconexão deverá ser testado. O Sophos Connect 2.5 MR1 corrige uma diferença na verificação de login entre IPsec e SSL VPN para usuários de credenciais com OTP.

A conexão foi estabelecida, mas os sistemas internos não podem ser alcançados

Neste caso, muitas vezes a causa não é o cliente, mas sim regras de firewall, roteamento, DNS ou NAT. Deve estar visível no visualizador de log se o tráfego da zona VPN atende à regra esperada. Para casos especiais de IPsec, Solução de problemas de VPN IPsec do Sophos Firewall ajuda.

A conexão não funciona mais após a mudança de perfil

Após alterações no gateway, certificado, porta do portal VPN, DNS, pool de IP, grupo de usuários, Entra SSO ou autenticação, o perfil deverá ser redistribuído ou reimportado. Uma atualização de cliente não substitui automaticamente um perfil antigo.### A conexão foi estabelecida, mas grandes transferências estão suspensas

Se o login, o DNS e os pequenos acessos funcionarem, mas as transferências de arquivos maiores ou determinados aplicativos travarem, o MTU/MSS também deverá ser verificado. O padrão de erro geralmente corresponde a fragmentação, PPPoE, conexões em túnel ou caminho assimétrico. O processo está em Verifique o Sophos Firewall MTU e MSS para problemas de VPN.

Colete dados de suporte

Se o erro não for imediatamente visível, você deve documentar a hora, o usuário, a versão do Windows, a arquitetura da CPU, a versão do Sophos Connect, o tipo de perfil, a rede de origem e o sistema de destino. Log Viewer, sslvpn.log, logs IPsec, captura de pacotes e a regra de firewall afetada ajudam no firewall. A atribuição dos arquivos de log está em Solução de problemas do Sophos Firewall: serviços e logs.

Perguntas frequentes