Configurar Sophos SSL VPN com Sophos Connect no Windows

O SSL VPN continua a ser uma importante via de Remote Access na Sophos Firewall, sobretudo quando o IPsec causa problemas em hotéis, redes para convidados ou redes externas com filtragem rigorosa. No Windows, o SSL VPN é atualmente utilizado em muitos ambientes através do Sophos Connect.

Este artigo descreve a instalação no Windows, a importação da configuração .ovpn e as verificações mais importantes após estabelecer a ligação. Para uma decisão fundamental entre Sophos Connect, SSL VPN, IPsec, clientes móveis e ZTNA, comece por Sophos Connect ou SSL VPN: qual é a solução de Remote Access adequada?.

Enquadramento

Este guia aplica-se à Sophos Firewall com SFOS. Consoante a plataforma ou o ponto de partida, poderá ser mais adequado começar por outro artigo:

• Configurar SSL VPN com Sophos Connect no Windows: Este artigo.
• Configurar SSL VPN no macOS: Configurar Sophos SSL VPN no macOS.
• Configurar SSL VPN no iOS: Configurar Sophos SSL VPN no iOS.
• Avaliar o Sophos Connect de forma geral: Sophos Connect ou SSL VPN: qual é a solução de Remote Access adequada?.
• Manter versões e perfis do Sophos Connect Client: Verificar a versão do Sophos Connect Client e atualizar com segurança.

Importante: o Sophos Connect não suporta SSL VPN apenas no Windows. Desde o Sophos Connect 2.0, o Remote Access SSL VPN também está disponível no macOS. As plataformas móveis, como iOS e Android, não são diretamente suportadas pelo Sophos Connect para IPsec e SSL VPN; nesses casos, são utilizados clientes compatíveis com OpenVPN ou funções do sistema operativo.

Pré-requisitos

• Sophos Firewall com a configuração de SSL VPN Remote Access preparada
• Utilizador com autorização para SSL VPN
• Acesso ao VPN Portal ou a um ficheiro .ovpn fornecido pela administração
• Sophos Connect numa versão atual e adequada à plataforma Windows
• Windows 10 ou Windows 11; com Sophos Connect 2.5 ou posterior, também Windows ARM
• não são suportados Windows 11 Enterprise multissessão nem Azure Virtual Desktop com Sophos Connect 2.5 ou posterior
• nenhum Sophos SSL VPN Client antigo instalado em paralelo
• MFA/OTP configurado, caso o Remote Access esteja protegido desta forma
• regras de firewall para tráfego proveniente da zona VPN
• processo definido para distribuir novos ficheiros .ovpn após alterações

Se a configuração de SSL VPN na firewall ainda não estiver preparada, deve começar por Configurar Sophos Firewall SSL VPN Remote Access.

Antes de uma atualização para SFOS 22 MR1, deve também verificar se ainda existem configurações antigas de Remote Access IPsec. O SSL VPN não é diretamente afetado, mas muitas organizações reavaliam o Remote Access nesta fase. O procedimento está descrito em Migrar Legacy Remote Access IPsec antes do SFOS 22 MR1.

Planear antes do download

Antes de os utilizadores descarregarem o cliente, deve estar claro como será operado o SSL VPN. Muitos problemas posteriores não surgem durante a instalação, mas devido a perfis antigos, autorizações pouco claras ou regras de firewall demasiado abrangentes.

Questões importantes de planeamento:

• Utilizadores: Que utilizadores ou grupos estão autorizados como Policy members para SSL VPN?
• Portal: O VPN Portal tem de estar acessível através da Internet ou o ficheiro .ovpn será distribuído pela administração?
• Certificado: O certificado corresponde ao FQDN público e o browser não apresenta avisos?
• MFA: É solicitado OTP/MFA para Remote Access e a distribuição dos tokens está concluída?
• DNS: São necessários servidores DNS internos e domínios de pesquisa?
• Acesso: A que redes e serviços internos é permitido aceder a partir da zona VPN?
• Operação: Quem atualiza o Sophos Connect e distribui novos perfis após alterações?

Se o VPN Portal estiver acessível publicamente, não deve ser considerado apenas uma página de download. É um serviço de autenticação da firewall e faz parte da superfície de ataque. Por isso, Device Access, certificado, MFA, logging e possíveis restrições por origem ou país devem ser avaliados de forma consciente.

1. Iniciar sessão no VPN Portal

Aviso de certificado: Não introduza credenciais nem descarregue uma configuração VPN enquanto o aviso não estiver resolvido. O administrador VPN deve verificar o endereço do portal, o nome de anfitrião do certificado, a validade e a cadeia de confiança, e corrigir a causa.

Abra o VPN Portal da Sophos Firewall no browser. Por predefinição, o endereço é https://<Firewall-FQDN>:443, desde que a porta não tenha sido alterada. Em seguida, inicie sessão com o utilizador VPN.

Se o browser apresentar um aviso sobre o certificado, deve investigar a causa. Em ambientes de produção, um certificado válido para o VPN Portal é preferível a uma exceção permanente no browser. Nos portais públicos, o certificado, MFA e Device Access não são detalhes secundários, mas parte da segurança do Remote Access. Para reforçar a segurança, consulte Device Access e Local Service ACL na Sophos Firewall.

Se o utilizador não vir uma configuração de SSL VPN após iniciar sessão com êxito, raramente se trata de um problema do Windows. Primeiro, verifique se o utilizador ou o respetivo grupo está incluído como Policy members na política de SSL VPN adequada e se foi acedido o portal correto.

2. Descarregar o Sophos Connect e a configuração de SSL VPN

No VPN Portal, aceda à área VPN. Aí são disponibilizados o Sophos Connect Client e a configuração de SSL VPN.

Para o processo manual com Sophos Connect no Windows:

1. Em Sophos Connect client, utilize Download for Windows para descarregar o cliente, caso este não seja distribuído centralmente.
2. Em VPN configuration, selecione Download configuration for Windows, macOS, Linux na configuração de SSL VPN pretendida.
3. Selecione Use with Sophos Connect and OpenVPN Connect v2 clients. A opção Use with OpenVPN Connect v3 clients destina-se ao OpenVPN Connect 3, não ao Sophos Connect.
4. Guarde o ficheiro .ovpn descarregado num local protegido para o importar mais tarde no Sophos Connect.

Para SFOS, o cliente não deve ser obtido na página de downloads do UTM. Os utilizadores descarregam-no a partir do VPN Portal, conforme descrito acima. Os administradores encontram o mesmo pacote no WebAdmin em Remote access VPN > SSL VPN > Download client. A versão mais recente está disponível aí se os Pattern Updates forem atualizados automaticamente em Backup & firmware > Pattern updates. Antes da distribuição, verifique a versão disponibilizada seguindo Verificar a versão do Sophos Connect Client e atualizar com segurança.

Em ambientes geridos, o cliente não deve ser instalado de forma avulsa. É preferível utilizar um pacote de software definido, com versão, grupo de teste e processo de atualização claros. A versão aprovada deve basear-se nas Release Notes oficiais, no VPN Portal ou no pacote de software interno, e não em downloads individuais nos dispositivos dos utilizadores. As versões atuais do Sophos Connect também incluem atualizações de segurança e de componentes, por exemplo para OpenVPN ou OpenSSL.

Se ainda estiver instalado no dispositivo Windows um Sophos SSL VPN Client antigo, este deve ser desinstalado antes do Sophos Connect. A Sophos indica que o Sophos Connect não pode funcionar em paralelo com outro cliente VPN existente. Além disso, vários clientes e perfis mantidos em simultâneo originam rapidamente adaptadores incorretos e casos de suporte pouco claros.

Em alternativa, um administrador pode disponibilizar no Windows um ficheiro de provisionamento .pro. Com este ficheiro, o Sophos Connect obtém através do VPN Portal a configuração .ovpn adequada ao utilizador e pode aplicar automaticamente alterações posteriores. Este método requer um VPN Portal acessível e com um certificado de confiança. A configuração detalhada do provisionamento e de GPO está descrita em Configurar o Sophos Connect na Sophos Firewall.

3. Instalar o Sophos Connect

Execute o instalador, aceite os termos de licença, clique em Install e conclua o assistente com Finish. Numa atualização, a versão existente do Sophos Connect tem primeiro de ser desinstalada e a versão atual deve ser instalada de seguida.

Se for necessário confirmar um adaptador de rede durante a instalação, este pertence ao cliente VPN. Em ambientes Windows geridos, este passo deve ser devidamente preparado através da distribuição de software ou de direitos de administrador local.

Após a instalação, deve documentar a versão do Sophos Connect. Isto ajuda em casos de suporte posteriores, pois, de outra forma, erros do cliente, do perfil e da firewall são rapidamente confundidos. Para a operação contínua, siga o processo para verificar a versão do Sophos Connect Client e atualizar com segurança.

Para permitir uma reversão, guarde antes da distribuição o instalador anteriormente aprovado, desde que essa versão continue autorizada internamente. Se o piloto falhar com a nova versão, desligue a VPN, desinstale o novo cliente e reinstale o pacote anteriormente aprovado. A Sophos indica que uma atualização do cliente, por si só, não invalida os ficheiros de configuração existentes; após a reversão, volte ainda assim a verificar a versão, o perfil, a ligação, o DNS e o acesso.

Distribuir através de um script de arranque de GPO

Para uma distribuição gerida centralmente, a Sophos documenta a instalação através de um script de arranque num GPO do Active Directory. Guarde o ficheiro batch com a extensão .bat e adicione-o na Consola de Gestão de Políticas de Grupo em Group Policy Management > [GPO aplicável] > Computer Configuration > Policies > Windows Settings > Scripts > Startup. O caminho do instalador deve apontar para o pacote aprovado numa partilha que as contas de computador dos endpoints consigam ler. O exemplo da Sophos para a instalação MSI silenciosa é:

@echo off
SET Sophos_Connect=Sophos\Connect\scvpn.exe
IF NOT EXIST "%ProgramFiles(x86)%\%Sophos_Connect%" GOTO INSTALL
exit /b 0

REM Make sure you enter the path where you've hosted the Sophos Connect client.

:INSTALL
msiexec.exe /i \\WINSERVER\Users\Administrator\Downloads\SophosConnect /QN
Popd

Execute gpupdate /force para atualizar a política. O script de arranque é aplicado no próximo arranque do endpoint e instala automaticamente o Sophos Connect se %ProgramFiles(x86)%\Sophos\Connect\scvpn.exe não existir. Se scvpn.exe já existir, exit /b 0 termina corretamente o script antes da secção de instalação, pelo que esta não se repete nos arranques seguintes. Após esse arranque, verifique num endpoint piloto se o ficheiro existe, abra o Sophos Connect e registe a versão instalada antes da distribuição geral. Este procedimento complementa, sem substituir, os controlos acima relativos ao pacote aprovado, ao grupo de teste e à reversão.

4. Importar a configuração de SSL VPN

Após a instalação, o ícone do Sophos Connect aparece na área de notificação da barra de tarefas do Windows. Abra o Sophos Connect, clique em Import connection e selecione o ficheiro .ovpn descarregado.

Um ficheiro .ovpn é específico do utilizador e contém um certificado de utilizador exclusivo com a respetiva chave privada. Por isso, não deve ser distribuído como perfil partilhado de grupo.

A documentação do SFOS 22 descreve a associação do perfil SSL importado à identidade do utilizador, ao domínio e ao método de autenticação. Identifica Login failed. Wrong fingerprint of certificate. como um possível erro quando a configuração de SSL VPN foi importada com outro método de autenticação ou domínio e recomenda importar um ficheiro .pro separado ou o ficheiro .ovpn do próprio utilizador.

A ajuda guardada do SFOS 23 omite esta secção, mas não documenta uma alteração do comportamento em execução. A omissão não comprova nem uma reutilização menos restritiva dos perfis nem uma associação inalterada em todas as versões. Até existir um esclarecimento oficial para a versão de SFOS e do cliente utilizada, mantenha os perfis SSL gerados separados por identidade, método de autenticação e domínio, por exemplo ao mudar entre um utilizador local, AD e Microsoft Entra ID SSO. É uma precaução de segurança, não uma regra de funcionamento verificada para o SFOS 23.

O ficheiro .pro original contém metadados de provisionamento reutilizáveis, não é o perfil SSL específico do utilizador gerado a partir deles. A sua reutilização não permite partilhar esse perfil nem as chaves privadas de outro utilizador. Configurar o provisionamento do Sophos Connect com .pro explica esta distinção de segurança e o procedimento de importação. Não aplique a associação SSL aqui descrita aos perfis IPsec .scx.

Se existirem vários perfis, o nome da ligação deve ser inequívoco. Caso contrário, perfis antigos ou duplicados originam rapidamente pedidos de suporte porque os utilizadores selecionam o destino errado.

Com um ficheiro .ovpn importado manualmente, os utilizadores têm de voltar a descarregar e importar a configuração a partir do VPN Portal após alterações relevantes. A Sophos menciona, em particular, alterações à porta, ao protocolo, à interface ou ao certificado do servidor SSL nas definições globais de SSL VPN. Uma simples atualização do cliente, por outro lado, não requer uma nova importação do perfil; os ficheiros de configuração existentes continuam a funcionar.

Numa ligação provisionada através de .pro, o Sophos Connect obtém automaticamente a maioria das alterações posteriores da configuração. Após alterar a porta ou o protocolo nas definições globais de SSL VPN, o utilizador clica no ícone de roda dentada do perfil > Update policy. As alterações à porta, ao gateway, ao certificado do servidor SSL ou ao protocolo exigem depois um novo início de sessão. Se o gateway ou a porta do VPN Portal guardada no ficheiro .pro mudar, distribua antes um ficheiro .pro corrigido.

Indícios típicos de um perfil desatualizado ou incorreto:

• A ligação apresenta o nome da localização antiga: Normalmente, ainda está importado um perfil antigo. Remova a ligação antiga e importe o .ovpn atual.
• Aviso de certificado ou gateway: O FQDN, o certificado ou o Override Hostname podem ter sido alterados. Volte a descarregar o perfil a partir do VPN Portal atual.
• O DNS só não funciona em alguns clientes: Verifique valores DNS antigos no perfil ou o comportamento DNS local. Volte a importar o perfil e verifique o DNS do Windows.
• O utilizador não vê qualquer configuração no portal: Verifique a atribuição da política ou o contexto do utilizador. Confirme a política de SSL VPN e a pertença ao grupo.

5. Estabelecer a ligação VPN

Selecione a ligação importada e clique em Connect. Em seguida, inicie sessão com o utilizador VPN. Se MFA ou OTP estiver ativo, o segundo fator tem de ser confirmado de acordo com a configuração da firewall.

Após estabelecer a ligação, não deve verificar apenas o estado no cliente. O fator decisivo é saber se os destinos internos necessários estão acessíveis.

Se for utilizado Microsoft Entra ID SSO, são necessários Sophos Connect 2.4 ou posterior no Windows e SFOS 21.5 ou posterior. Em dispositivos partilhados, o utilizador anterior deve executar Force SSO re-login no menu do Sophos Connect, para que o utilizador seguinte tenha de iniciar sessão com a sua própria conta Entra ID.

Verificações após a instalação

Devem ser verificados, no mínimo, os seguintes pontos com um utilizador de teste:

• O Sophos Connect apresenta a ligação como estabelecida.
• O utilizador recebe um endereço IP do pool de SSL VPN esperado.
• Os nomes DNS internos são resolvidos corretamente.
• Os servidores e as aplicações necessários estão acessíveis.
• O comportamento da Internet corresponde ao design: Split Tunnel ou Full Tunnel.
• No Log Viewer, é apresentada a regra de firewall esperada para o tráfego proveniente da zona VPN.
• O MFA é solicitado conforme previsto.
• Um destino deliberadamente não permitido continua bloqueado.
• A interrupção da ligação e um novo início de sessão funcionam.

Se a ligação estiver estabelecida, mas nenhum acesso funcionar, a causa encontra-se frequentemente nas regras de firewall, no DNS, no routing ou no NAT, e não no cliente. Para a análise, consulte Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture.

Verificação rápida no Windows

No cliente Windows, algumas verificações simples ajudam antes de alterar a configuração da firewall:

ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10

O objetivo não é permitir todos os pings. O importante é saber se o cliente recebeu um endereço de SSL VPN, se existe uma rota para a rede interna de destino e se o DNS resolve através do servidor esperado. Se o acesso funcionar através do endereço IP, mas não através do nome, o DNS é uma causa mais provável do que a regra de firewall.

Operação e segurança

O SSL VPN é um serviço de Remote Access acessível publicamente. Por isso, não deve documentar apenas a instalação, mas também a operação:

• Atualizar regularmente o Sophos Connect.
• Ativar e testar MFA para Remote Access.
• Verificar regularmente os grupos VPN.
• Limitar o acesso ao portal através de Device Access e Local Service ACL, sempre que possível.
• Manter as regras de firewall para a zona VPN restritas e com logging ativo.
• Eliminar ficheiros .ovpn antigos e perfis desatualizados.
• Planear Syslog ou uma avaliação centralizada se for necessária uma retenção de logs a longo prazo.

Para os fundamentos de MFA, consulte Ativar MFA para Sophos Firewall WebAdmin, VPN Portal e Remote Access. Para ficheiros de log e logs de serviços, consulte Troubleshooting da Sophos Firewall: serviços e logs.

Troubleshooting

O início de sessão no VPN Portal não funciona

Verifique o utilizador, a palavra-passe, MFA, a pertença ao grupo e o servidor de autenticação. Se estiver envolvido AD, RADIUS ou Microsoft Entra ID SSO, a autenticação deve ser testada separadamente do VPN.

O utilizador não vê a configuração de SSL VPN no VPN Portal

Se o início de sessão funcionar, mas não estiver visível nenhum ficheiro .ovpn nem qualquer download de SSL VPN, não deve procurar a causa no cliente Windows. Primeiro, verifique a política de SSL VPN, Policy members, a pertença ao grupo, o acesso ao portal e o limite de User ID. O procedimento do lado da firewall está descrito em Configurar Sophos Firewall SSL VPN Remote Access.

Não é possível importar o ficheiro .ovpn

Primeiro, verifique se o ficheiro pertence realmente à configuração atual da firewall e se o Sophos Connect está suficientemente atualizado. Se existirem carateres especiais em certificados ou dados de utilizador, deve ser utilizada uma versão atual do cliente.

Se o download do ficheiro .ovpn no próprio VPN Portal falhar apesar de o início de sessão e a autorização estarem corretos, deve verificar também o limite de User ID da Sophos Firewall.

A ligação está estabelecida, mas os sistemas internos não estão acessíveis

Verifique DNS, regras de firewall, routing, NAT e o caminho de retorno. No Log Viewer, deve ser visível tráfego proveniente da zona VPN. Se não aparecerem logs, o tráfego provavelmente não está a chegar à regra esperada ou o logging está desativado.

Se os acessos de pequena dimensão funcionarem, mas transferências de ficheiros maiores ou determinadas aplicações ficarem bloqueadas, verifique também MTU/MSS: Verificar MTU e MSS na Sophos Firewall em caso de problemas de VPN.

O Sophos Connect apresenta Policy mismatch ou Compression mismatch

• Policy mismatch com indicação de nova importação: Numa ligação .ovpn importada manualmente, descarregue o ficheiro atual a partir do VPN Portal e volte a importá-lo. Numa ligação provisionada, o Sophos Connect descarrega automaticamente a nova policy e restabelece o túnel.
• Compression mismatch: Numa ligação .ovpn, volte a estabelecer a ligação manualmente. Numa ligação .pro, o Sophos Connect tenta restabelecê-la automaticamente.

Com TCP, o cliente deteta uma política de SSL VPN alterada durante uma ligação existente e termina ou atualiza a ligação conforme necessário. Com UDP, poderá ser necessário aguardar primeiro que expire o Inactivity Timer. Por isso, documente a hora, o protocolo e a mensagem de evento exata, em vez de tratar todas as mensagens de mismatch da mesma forma.

Após mudar de perfil, o Sophos Connect continua a ligar-se ao destino antigo

Neste caso, normalmente ainda existe uma entrada de ligação antiga ou os utilizadores selecionam o nome de perfil errado no cliente. Remova os perfis antigos, volte a importar o .ovpn atual e escolha um nome de perfil que identifique claramente a localização, o ambiente ou a finalidade.

A ligação é interrompida em redes externas

O SSL VPN é frequentemente mais tolerante do que o IPsec, mas não é imune a redes restritivas, Captive Portals, utilização obrigatória de proxy ou redes Wi-Fi instáveis. Nestes casos, teste com uma segunda rede e verifique se Split Tunnel, porta, protocolo ou ZTNA são mais adequados.

Recolher dados de suporte

Se o erro não for diretamente visível, a opção menu de três pontos > About > Generate technical support report cria o ficheiro scvpntsr.zip. Este contém eventos de ligação, configurações VPN e informações sobre o endpoint. Antes de o partilhar, devem ser revistos dados sensíveis, como nomes de utilizador, nomes de host internos, endereços IP e FQDNs de gateway.

Do lado da firewall, o Log Viewer, sslvpn.log, openvpn-status*.log e a regra de firewall correspondente ajudam em paralelo. A correspondência dos ficheiros de log está descrita em Troubleshooting da Sophos Firewall: serviços e logs.

FAQ