Configurar Sophos SSL VPN com Sophos Connect no Windows
SSL VPN ainda é um caminho importante de Remote Access para Sophos Firewall, especialmente quando IPsec causa problemas em hotéis, redes de hóspedes ou redes externas com filtros rígidos. No Windows, SSL VPN é usado hoje em muitos ambientes usando Sophos Connect.
Este artigo descreve a instalação em Windows, a importação da configuração do .ovpn e as verificações mais importantes após o estabelecimento da ligação. Para a decisão básica entre Sophos Connect, SSL VPN, IPsec, clientes móveis e ZTNA, é melhor começar com Sophos Connect ou SSL VPN: qual solução Remote Access se adapta?.
Classificação
Este guia se aplica a Sophos Firewall com SFOS. Dependendo da plataforma ou ponto de partida, outro artigo pode ser mais adequado:
- Configurar SSL VPN com Sophos Connect no Windows: Este artigo.
- Configurar SSL VPN no macOS: Configurar Sophos SSL VPN no macOS.
- Configurar SSL VPN no iOS: Configurar Sophos SSL VPN no iOS.
- Avalie Sophos Connect de maneira geral: Sophos Connect ou SSL VPN: qual solução Remote Access se encaixa?.
- Mantenha versões e perfis do Cliente Sophos Connect: Verifique a versão do Cliente Sophos Connect e atualize-a com segurança.
Importante: Sophos Connect não suporta apenas SSL VPN no Windows. Desde Sophos Connect 2.0, Remote Access SSL VPN também é possível no macOS. Plataformas móveis como iOS e Android não suportam diretamente Sophos Connect para IPsec e SSL VPN; Clientes compatíveis com OpenVPN ou funções do sistema operacional são usados lá.
Requisitos
- Sophos Firewall com configuração SSL-VPN-Remote-Access já preparada
- Utilizador autorizado para SSL VPN
- Acesso a VPN Portal ou a um ficheiro
.ovpnfornecido administrativamente - Sophos Connect em versão atual adequada para plataforma Windows
- Windows 10 ou Windows 11; com Sophos Connect 2.5 ou posterior, também Windows ARM
- MFA/OTP configurado, se Remote Access estiver protegido com ele
- Regras de firewall para tráfego da zona
VPN - Limpar processo para distribuição de novos ficheiros
.ovpnapós alterações
Se a configuração do SSL VPN na firewall ainda não estiver pronta, Configurar Sophos Firewall SSL VPN Remote Access deve ser implementado primeiro.
Antes de uma atualização para SFOS 22 MR1, também deve ser verificado se ainda existem configurações antigas de Remote Access IPsec. SSL VPN não é diretamente afetado, mas muitas organizações reavaliam Remote Access naquele momento. O procedimento está descrito em Migrar Legacy Remote Access IPsec antes de SFOS 22 MR1.
Planeje antes do download
Antes dos utilizadores transferirem o cliente, deve ficar claro como o SSL VPN deve ser operado. Muitos erros subsequentes ocorrem não durante a instalação, mas devido a perfis antigos, autorizações pouco claras ou regras de firewall excessivamente amplas.
Questões importantes de planeamento:
- Utilizadores: Quais utilizadores ou grupos estão autorizados como Membros da política para SSL VPN?
- Portal: O VPN Portal deve ser acessível pela Internet ou o ficheiro
.ovpné distribuído administrativamente? - Certificado: O certificado corresponde ao FQDN público e o navegador não mostra avisos?
- MFA: O OTP/MFA foi solicitado para Remote Access e a implantação do token foi concluída?
- DNS: São necessários servidores DNS internos e domínios de pesquisa?
- Acesso: Quais redes e serviços internos podem ser acedidos a partir da zona
VPN? - Operação: Quem atualiza Sophos Connect e distribui novos perfis após alterações?
Se VPN Portal for acessível publicamente, não deve ser tratado apenas como uma página de download. É um serviço de login de firewall e faz parte da superfície de ataque. É por isso que Device Access, certificado, MFA, registo e possíveis restrições por origem ou país devem ser revistos conscientemente.
1. Faça login em VPN Portal
Abra o VPN Portal do Sophos Firewall no navegador e faça login com o utilizador VPN.
Se o navegador avisar sobre o certificado, a causa deve ser revista. Em ambientes de produção, um certificado válido para VPN Portal é mais limpo que uma exceção permanente no navegador. Nos portais públicos, os certificados MFA e Device Access não são detalhes secundários, mas sim parte da segurança do Remote Access. Para endurecimento, ajuste Device Access e Local Service ACL a Sophos Firewall.
Se o utilizador não vir uma configuração SSL VPN após efetuar login com sucesso, raramente é um problema do Windows. Deve primeiro verificar se o utilizador ou seu grupo está incluído como Membros da política na política SSL-VPN correta e se o portal correto está a ser acedido.
2. Baixe a configuração Sophos Connect e SSL VPN
Em VPN Portal, mude para área VPN. Aí são fornecidas as configurações do Cliente Sophos Connect e SSL VPN. Para SSL VPN, o ficheiro relevante é .ovpn.
.ovpn são fornecidos em VPN Portal; O ficheiro deve corresponder à configuração atual da firewall.O Cliente Sophos Connect também pode ser transferido diretamente do site da Sophos: transferir Cliente Sophos Connect.
Em ambientes gerenciados, o cliente não deve ser instalado dinamicamente. É melhor usar um pacote de software definido, com versão, grupo de teste e processo de atualização claros. A versão aprovada deve ser derivada das Notas de Lançamento oficiais, VPN Portal, ou pacote de software interno, e não de transferências isolados nos computadores dos utilizadores. As versões atuais do Sophos Connect também incluem atualizações de segurança e componentes, por exemplo, para OpenVPN ou OpenSSL.
Se um cliente SSL VPN mais antigo ou outro cliente baseado em OpenVPN para a mesma ligação ainda estiver instalado no dispositivo Windows, esse estado deve ser limpo antes da implantação. Manter vários clientes VPN em paralelo leva rapidamente a adaptadores incorretos, perfis antigos e casos de suporte pouco claros.
3. Instale Sophos Connect
Execute a configuração e siga as etapas de instalação.
Se um adaptador de rede precisar ser confirmado durante a instalação, ele faz parte do cliente VPN. Em ambientes Windows gerenciados, esta etapa deve ser preparada adequadamente usando distribuição de software ou direitos de administrador local.
Após a instalação é aconselhável documentar a versão do Sophos Connect. Isso ajuda posteriormente em casos de suporte, porque erros de cliente, erros de perfil e erros de firewall se misturam rapidamente. Para operação contínua, Verifique a versão do cliente Sophos Connect e atualize-a com segurança se encaixa.
4. Importar configuração SSL VPN
Após a instalação o ícone Sophos Connect aparece na área de notificação da barra de tarefas do Windows. Abra Sophos Connect e importe o ficheiro .ovpn transferido.
Quando houver vários perfis, o nome da ligação deve ser exclusivo. Perfis antigos ou duplicados geram rapidamente casos de suporte porque os utilizadores selecionam o destino errado.
Após alterações na política SSL-VPN, certificado, gateway, DNS, grupo de utilizadores ou lógica de provisionamento, a ligação deve ser importada novamente. Uma atualização de cliente não substitui automaticamente um perfil .ovpn antigo. Se Sophos Connect reportar um desvio de Política ou Compressão, muitas vezes o problema é precisamente esse estado do perfil.
Indicações típicas de um perfil desatualizado ou incorreto:
- A ligação mostra o nome do local antigo: Um perfil antigo geralmente ainda é importado. Exclua a ligação antiga e importe o
.ovpnatual. - Aviso de certificado ou gateway: FQDN, certificado ou nome de host de substituição pode ter sido alterado. Baixe novamente o perfil do VPN Portal atual.
- DNS falha apenas em alguns clientes: revise valores DNS antigos no perfil ou comportamento DNS local. Reimporte o perfil e verifique DNS no Windows.
- O utilizador não vê nenhuma configuração no portal: revise a atribuição de política ou o contexto do utilizador. Verifique a política SSL-VPN e a associação ao grupo.
5. Estabeleça a ligação VPN
Selecione a ligação importada e clique em Connect. Em seguida faça login com o utilizador VPN. Caso MFA ou OTP esteja ativo, o segundo fator deve ser confirmado dependendo da configuração da firewall.
Após estabelecer a ligação não basta verificar o status do cliente. O factor decisivo é se os destinos internos necessários são acessíveis.
Verificações após a instalação
No mínimo, estes pontos devem ser verificados com um utilizador de teste:
- Sophos Connect mostra a ligação como ligada.
- O utilizador recebe um endereço IP do pool esperado SSL VPN.
- Os nomes DNS internos foram resolvidos corretamente.
- Os servidores e aplicações necessários estão acessíveis.
- O comportamento da internet corresponde ao design: Split Tunnel ou Full Tunnel.
- Em Log Viewer vê a regra de firewall esperada para o tráfego da zona
VPN. - MFA é solicitado conforme esperado.
- Um destino depermitidamente não permitido permanece bloqueado.
- Sair e entrar novamente funciona.
Se a ligação for estabelecida mas nenhum acesso funcionar, a causa geralmente não está no cliente, mas sim nas regras de firewall, DNS, encaminhamento ou NAT. Teste uma regra de firewall com Log Viewer, Policy Test e Packet Capture se ajusta à análise.
Verificação Rápida no Windows
No cliente Windows, alguns testes simples ajudam antes de alterar as configurações da firewall:
ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10
Não se trata de permitir todos os pings. O fator decisivo é se o cliente recebeu um endereço SSL VPN, se existe uma rota para a rede interna de destino e se DNS resolve para o servidor esperado. Se o acesso funcionar por endereço IP, mas não por nome, é mais provável que DNS seja a regra de firewall.
Operação e segurança
SSL VPN é um serviço Remote Access acessível publicamente. É por isso que não só a instalação, mas também a operação devem ser documentadas:
- Atualize Sophos Connect regularmente.
- Ative e teste MFA para Remote Access.
- Verifique regularmente os grupos VPN.
- Limite o acesso ao portal através de Device Access e Local Service ACL na medida do possível.
- Mantenha-se rígido e registre as regras de firewall para a zona
VPN. - Exclua ficheiros
.ovpnantigos e perfis obsoletos. - Planeje Syslog ou avaliação centralizada se for necessária retenção de log de longo prazo.
Para bases MFA cabe Ativar MFA para Sophos Firewall WebAdmin, VPN Portal e Remote Access. Para ficheiros de log e logs de serviço, Sophos Firewall Resolução de problemas: serviços e logs é útil.
Resolução de problemas
O login em VPN Portal não funciona
Verifique nome de utilizador, senha, MFA, associação ao grupo e servidor de autenticação. Se AD, RADIUS ou Microsoft Enter SSO ID estiver envolvido, a autenticação deve ser testada separadamente de VPN.
O utilizador não vê a configuração do SSL VPN no VPN Portal
Se o login funcionar, mas nenhum ficheiro .ovpn aparecer ou transferências de SSL VPN, não se deve pesquisar no cliente Windows. SSL-VPN-Policy, Membros da política, associação ao grupo, acesso ao portal e limite de ID do utilizador devem ser revistos primeiro. O procedimento do lado da firewall está em Configurar Sophos Firewall SSL VPN Remote Access.
O ficheiro .ovpn não pode ser importado
Primeiro verifique se o ficheiro realmente pertence à configuração atual da firewall e se Sophos Connect é atual o suficiente. Se houver caracteres especiais em certificados ou dados do utilizador, deve ser usada uma versão atual do cliente.
Se o download do ficheiro .ovpn no próprio VPN Portal falhar mesmo que o login e a autorização estejam corretos, o Limite de ID do utilizador de Sophos Firewall também deve ser verificado.
A ligação está ativa, mas os sistemas internos não estão acessíveis
Verifique DNS, regras de firewall, encaminhamento, NAT e caminho de retorno. Log Viewer deve ver tráfego da área VPN. Se nenhum log aparecer, o tráfego provavelmente não está alcançando a regra esperada ou o log está desativado.
Se pequenos acessos funcionarem, mas transferências de ficheiros de maior dimensão ou determinados aplicações bloquearem, também se deve verificar MTU/MSS: Verifique MTU e MSS em Sophos Firewall para problemas de VPN.
Sophos Connect reporta Policy mismatch ou Compression mismatch
Essas mensagens normalmente indicam que a configuração da firewall foi alterada, mas o cliente ainda está usando um perfil SSL VPN antigo. Nesse caso, o ficheiro .ovpn atual deve ser transferido novamente do VPN Portal ou redistribuído administrativamente e depois importado novamente.
Após alterar o perfil, Sophos Connect ainda liga-se ao destino antigo
Neste caso, geralmente resta um registo de ligação antigo ou os utilizadores escolhem o nome de perfil errado no cliente. Deve excluir perfis antigos, importar o .ovpn atual novamente e escolher um nome de perfil que identifique claramente o local, o ambiente ou a finalidade.
A ligação é interrompida em redes externas
SSL VPN normalmente é mais tolerante que IPsec, mas não é imune a redes restritivas, portais cativos, forçamento de proxy ou WLANs instáveis. Nestes casos é aconselhável tentar uma segunda rede e verificar se Split Tunnel, porta, protocolo ou ZTNA se adaptam melhor.
Coletar dados de suporte
Se o erro não for diretamente visível, Sophos Connect pode gerar um relatório de suporte técnico. Contém eventos de ligação, configurações VPN e informações de Endpoint. Antes de compartilhar, dados confidenciais como nomes de utilizador, nomes de host internos, endereços IP e FQDNs de gateway devem ser revistos.
Log Viewer, sslvpn.log, openvpn-status*.log e a regra de firewall correspondente ajudam em paralelo na firewall. O mapeamento do ficheiro de log é descrito em Sophos Firewall Resolução de problemas: serviços e logs.