Resolução de problemas do cliente Sophos Connect

Se o Sophos Connect não se conectar, o diagnóstico começa no endpoint: anote a hora do erro, leia a mensagem sobre esta tentativa em Events e verifique apenas o caminho afetado. Alterações nas regras de firewall, políticas VPN ou certificados baseados em suspeitas dificultam a análise. Este runbook abrange o cliente no Windows e no macOS; As instruções para Windows e macOS explicam a instalação.

Reduza rapidamente

1. Registre a situação inicial: Hora com fuso horário, usuário, sistema operacional, versão do Sophos Connect, VPN IPsec ou SSL e origem do perfil (.scx, .ovpn ou .pro).
2. Verifique a rede local: O adaptador físico precisa de um endereço IP válido. Um nome público deve poder ser resolvido sem VPN.
3. Evento de leitura: Em Events, compare a entrada com a tentativa de conexão. Salve o texto e os valores do espaço reservado inalterados.
4. Distinga o cliente do lado remoto: Se a interface ou o serviço não iniciar, continue a análise no endpoint. Se o cliente alcançar o gateway, mas falhar na política, autenticação ou IKE, o administrador da firewall deverá correlacionar a tentativa.
5. Verifique o resultado: Reconecte após exatamente uma ação e anote um novo carimbo de data/hora.
6. Escalar: Passe erros repetíveis com evento, log VPN e scvpntsr.zip; não escreva dados de acesso no ticket.

Um status Connected apenas prova que o túnel foi estabelecido. DNS, roteamento e acesso a um destino interno permitido são testes separados.

Leia os eventos corretamente

A mensagem em Events é o melhor primeiro filtro. No entanto, não descreve a causa final em todos os casos. Por exemplo, DNS resolution failed só pode confirmar que o cliente não conseguiu resolver o nome do gateway; Por que o resolvedor usado não responde deve ser esclarecido separadamente.

Rede, DNS e provisionamento

• No network connection: Ethernet ou WiFi não possui endereço IP. Primeiro, restaure a conectividade local sem VPN.
• DNS resolution failed: O nome do gateway não pode ser resolvido. Verifique se um servidor DNS está atribuído à interface física e execute nslookup www.sophos.com no Prompt de comando no Windows ou no Terminal no macOS. Pelo menos um endereço IP é esperado. Se este teste público falhar, o próximo passo recai sobre a rede local ou provedor, não sobre a política VPN.
• DNS resolution failed for gateway: <gateway name:port>: O nome do host no provisionamento é inválido; para .ovpn importado, o administrador do firewall deve verificar as configurações de SSL VPN.
• Cannot connect to policy gateway: <gateway name>: Para provisioning no Windows e no macOS a partir do Sophos Connect 2.1. Compare gateway e user_portal_port com o gateway e a porta HTTPS do VPN Portal. Verifique também se existe uma porta de saída bloqueada ou um policy gateway indisponível.
• Import file contains a duplicate connection: <connection name>: Para provisioning no Windows e no macOS a partir do Sophos Connect 2.1. Atribua um nome único a cada valor display_name duplicado no ficheiro .pro.
• The connection data could not be added. Connection with name <connection name> already exists: Verifique a conexão já importada e exclua-a somente se a fonte do perfil atual estiver disponível para reimportação.

Registro e status do perfil

• User authentication of <username entered> failed: Repita a entrada cuidadosamente uma vez. Se o erro persistir, o administrador do firewall deverá verificar o status da senha, o usuário e a autorização da VPN. Várias suposições podem acionar mecanismos de bloqueio.

• Server expected remote ID <expected ID value> but got <actual ID value>: ID local no firewall e perfil do cliente não correspondem. Obtenha o perfil atual do administrador do firewall.

• Possible pre-shared key mismatch <connection name>: Somente IPsec. A chave pré-compartilhada e o perfil exportado não são iguais; não transfira a chave no ticket ou chat.

• No SSL VPN policy is defined for this user: <username>: A política de acesso remoto SSL VPN não contém membros correspondentes. Esta é uma tarefa de autorização do lado do firewall.

• The Single sign-on (SSO) option is grayed out: Windows a partir do Sophos Connect 2.4; macOS a partir de 2.1. A documentação atual de resolução de problemas indica, para ambas as plataformas, a ausência de valores sso_api_port e sso_api_domain no perfil .ovpn ou .scx. Peça ao administrador da firewall uma configuração atualizada, importe-a e volte a estabelecer a ligação; isto não é uma instrução para editar manualmente os perfis. Esta alteração não acrescenta suporte SSO ao cliente macOS 2.0.

• SSO Authentication failed due to Webview2 setup error: Repara ou atualiza o WebView2 e o status de atualização do Windows; o cliente não conseguiu abrir a página de login da Microsoft.

• O início de sessão Entra SSO falha no navegador ou não regressa ao cliente (macOS, Sophos Connect 2.1 ou posterior): Consulte o fluxo do navegador para SSO no macOS para verificar a escolha do navegador, o fallback e o regresso ao Sophos Connect. Se for necessário outro modo de navegador, peça à equipa de TI um ficheiro .pro aprovado de acordo com o esquema de provisioning de sso_auth_browser_type. Cumpra os requisitos de conformidade ou contacte a equipa de TI; não enfraqueça Conditional Access, MFA nem a validação de certificados.

eventos IPsec

• UDP ports 500/4500 blocked: Firewall ou roteador local bloqueia IKE/NAT-T. Se você não gerencia o roteador, verifique com um hotspot móvel. Se o mesmo cliente funcionar lá, isso é uma forte indicação do caminho de rede original.
• No response from gateway: <gateway FQDN or IP specified in connection>: O gateway IPsec não está respondendo ao IKE. O administrador do firewall deve verificar a acessibilidade e a conexão WAN pública.
• Received NO_PROPOSAL_CHOSEN notification from gateway: A política do Sophos Connect não está ativa ou a proposta da fase 1 e o perfil exportado não correspondem. Não afrouxe propostas cegamente; Compare políticas e perfis de maneira controlada.
• SA disabled or deleted by gateway: O gateway excluiu o SA, por exemplo, após uma alteração de política ou desconexão manual. Reconecte uma vez; correlacionar com o carimbo de data/hora do firewall quando repetido.
• Failure to add route [network/mask] prevented phase 2 completion: Somente Windows. Após a configuração da Fase 2 SA, a rota não pôde ser definida. Desative e reative o adaptador TAP. Se o erro persistir, abra Prompt de Comando como administrador:

net stop scvpn
net start scvpn

Espera-se então que o serviço esteja em execução novamente e uma nova tentativa de conexão definirá a rota. A interrupção interrompe os túneis existentes do Sophos Connect neste dispositivo.

• Failed to load connection info into strongSwan: Somente Windows; charon-svc.exe ou o serviço strongSwan não está em execução. Comece em Prompt de comando como administrador:

net start strongswan

Se o serviço não iniciar ou falhar novamente, não continue em um loop de reinicialização, mas faça backup do relatório de suporte e dos eventos do Windows.

Eventos VPN SSL

• Policy mismatch error. Will download policy and retry connection.: Uma ligação Windows criada a partir de .pro descarrega a política alterada e volta a ligar automaticamente. Com TCP, o cliente deteta a alteração durante a ligação; com UDP, pode ser necessário aguardar o fim do temporizador de inatividade.
• Policy mismatch error. Import a new policy for this connection.: Um .ovpn importado manualmente está obsoleto. Obtenha e importe novos .ovpn específicos do usuário do portal VPN.
• Compression mismatch error. Will retry connection.: Para .ovpn, reconecte manualmente; uma conexão provisionada tenta isso automaticamente.
• Server certificate cannot be verified: <gateway name>. Do you want to continue? Durante o provisioning, o VPN Portal apresenta um certificado que o endpoint não consegue validar, normalmente o certificado autoassinado da firewall. Continue apenas depois de confirmar o gateway e o certificado através de um canal fidedigno. O administrador deve atribuir um certificado publicamente fidedigno a Admin console and end-user interaction ou distribuir de forma controlada a CA da Sophos Firewall pelos trust stores dos endpoints geridos. Não desative a validação do certificado.
• Could not connect to untrusted server: <gateway>: O aviso do certificado foi cancelado. Primeiro esclareça a identidade e a cadeia de confiança e depois tente novamente.
• Timed out waiting for server response: A substituição do nome do host, DDNS ou endereço WAN público da configuração SSL VPN não aponta corretamente para o firewall. Para .pro use Update policy; Para .ovpn, obtenha um novo arquivo depois que o administrador do firewall corrigir a estação remota.

Corrigir erros de GUI e de serviço

A interface não abre nem responde

No Windows, abra Gerenciador de Tarefas > Detalhes, selecione scgui.exe, execute Finalizar tarefa e reinicie o Sophos Connect a partir do atalho na área de trabalho. No macOS, abra o processo do Sophos Connect no Activity Monitor, selecione Force Quit e reinicie o aplicativo no Launchpad. Isso acaba com a superfície presa, não automaticamente a causa. Se o erro persistir, salve a versão e scgui.log.

Service is unavailable

No Windows, o evento significa que scvpn não está em execução. Abra Prompt de comando como administrador:

net start scvpn

Para Service Unavailable após uma desconexão de IPsec suspensa no macOS, primeiro feche a GUI no Activity Monitor. Em seguida, recarregue o serviço documentado no Terminal com direitos de administrador:

sudo /bin/launchctl unload -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist
sudo /bin/launchctl load -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist

Abra novamente o Sophos Connect e veja se a mensagem desapareceu. Esses comandos interrompem o túnel. Se um erro ocorrer novamente, não recarregue os serviços repetidamente, mas salve logs e relatórios.

Mais erros locais do serviço VPN SSL

• Management port is unavailable: O Sophos Connect não pôde ocupar a porta TCP 25340 para comunicação com OpenVPN. Verifique qual outro aplicativo local está usando a porta e encerre-o somente se sua função for conhecida. Em seguida, reconecte.
• OpenVPN service is unavailable: No Windows, verifique o tipo de inicialização do serviço OpenVPN. Se estiver definido como Disabled, documente o valor anterior, altere-o para Manual e reinicie o serviço Sophos Connect. Isto interrompe os túneis ativos. Depois, verifique o serviço e a ligação; se a tentativa falhar, restaure o tipo de inicialização anterior e escale o caso. Não aplique esta definição de serviço do Windows ao macOS.
• Failed to create temporary file: Reinicie o dispositivo. O cliente não conseguiu criar o arquivo temporário para transmitir atributos de conexão.
• Failed to write to pipe ou, de forma mais geral, SSL VPN error: volte a estabelecer a ligação uma vez. Se o erro persistir, reinicie o dispositivo; depois, escale o caso com os registos em vez de reiniciar continuamente.
• Sophos Connect can’t establish a tunnel depois de instalar ambos os clientes: a documentação de resolução de problemas do antigo Sophos SSL VPN Client descreve a reinstalação de ambos os clientes, primeiro o antigo SSL VPN Client e depois o Sophos Connect. No entanto, o guia de instalação exclui a utilização em paralelo com outros clientes VPN. Estas indicações contraditórias não constituem uma aprovação geral da coexistência. Se o cliente antigo já não for necessário, mantenha a configuração de destino aprovada sem ele; se ambos forem indispensáveis, esclareça primeiro com a Sophos a combinação específica e planeie um piloto separado e um procedimento de reversão, em vez de instalar ambos por tentativa.
• Os perfis .ovpn ou .scx importados manualmente não obtêm automaticamente alterações posteriores. Auto-connect e Update policy requerem provisioning: no Windows com um cliente compatível e no macOS a partir de 2.1, não com 2.0. auto_connect_host ativa Auto-connect; Update policy fica disponível após a primeira ligação bem-sucedida. Rename, Clear credentials e Delete continuam a ser ações separadas; após Delete, os perfis manuais têm de ser reimportados.
• Uma atualização ou desinstalação deixa processos antigos em execução num Mac com Sophos Endpoint: Segundo a documentação de resolução de problemas, o Tamper Protection pode impedir o descarregamento dos daemons do Sophos Connect. Guarde os logs, reinicie o Mac uma vez durante a janela de manutenção e verifique depois o estado do cliente e dos processos. O guia atual de desinstalação já não indica uma desativação generalizada da proteção; isto não implica que essa desativação seja obrigatória nem garante que a proteção nunca esteja envolvida. Se a remoção continuar bloqueada, esclareça a combinação específica de Endpoint e cliente com a equipa de TI ou com a Sophos. Efetue apenas uma alteração temporária da proteção expressamente aprovada e, depois, confirme que a proteção foi reativada e está ativa tanto no endpoint como na consola de gestão, mesmo que a tentativa tenha falhado. A proteção dos perfis e o procedimento de reversão estão descritos no processo de desinstalação do macOS; não termine repetidamente os daemons.

Conectado, mas o DNS ou o tráfego não estão funcionando

Primeiro desenhe uma linha divisória clara:

• Endereço IP interno acessível, FQDN interno não: Verifique o servidor DNS, domínio de pesquisa e status do perfil. Se o DNS mudar enquanto um túnel IPsec estiver ativo, o Sophos Connect só mostrará os novos valores após desconectar e reconectar.
• Após um túnel completo desconectado, o acesso à Web não funciona mais: Especialmente no macOS, os servidores DNS internos podem permanecer no adaptador físico. Desconecte e reconecte a conexão Wi-Fi ou Ethernet local. Caso isso se repita, documente a versão, perfil e horário; Não substitua permanentemente o DNS manualmente.
• Nem IP interno nem nome acessível: Isto não é evidência de erro do cliente. Verifique o IP da VPN, rede de destino, rota de retorno, NAT e regra de firewall no Sophos Firewall. Verifique as regras de firewall com Log Viewer, Policy Test e Packet Capture cuida desse diagnóstico.
• Apenas configuração IPsec ou SAs falham: O runbook do lado do firewall é Sophos Firewall IPsec VPN Troubleshooting.
• A política SSL VPN ou a configuração do gateway estão incorretas: A configuração pertence a Configurando o acesso remoto VPN SSL, e não a uma solução alternativa de serviço do cliente.
• Acessos pequenos funcionam, transferências grandes travam: Verifique MTU/MSS ao longo do caminho. É isso que Verifique o MTU e o MSS do Sophos Firewall em busca de problemas de VPN.

Received connection reset from gateway: <gateway name> aparece em scvpn.log para SSL VPN quando as definições da firewall mudam, um administrador desliga o utilizador ou a Sophos Firewall reinicia. Importe uma configuração atualizada e volte a estabelecer a ligação. Os registos do cliente, por si só, não identificam a ação exata do lado da firewall.

Faça backup de logs e relatórios de suporte técnico

Para começar, abra Events ou selecione Open VPN log no menu de três pontos. Se possível, faça backup da situação de erro atual antes de reiniciar: Cada arquivo de log é girado apenas uma vez. Por exemplo, após reiniciar o endpoint ou cliente, a sessão anterior está em openvpn.log.old e a nova sessão está em openvpn.log. Não há limite de tamanho máximo documentado para os logs; Os arquivos .txt não são girados.

Para Received connection reset from gateway, a Sophos indica scvpn.log na pasta de instalação, mas não publica um caminho de logs estável entre versões do Windows e do macOS. Não invente nem fixe um caminho: utilize Open VPN log ou o relatório de suporte. Os comandos de serviço macOS acima usam deliberadamente o caminho absoluto documentado /Library/LaunchDaemons/com.sophos.connect.scvpn.plist.

O Sophos Connect gera scvpntsr.zip por meio do menu de três pontos > About > Generate technical support report. O relatório inclui configurações VPN, eventos de ligação, detalhes de provisionamento, informações de autenticação SSO, detalhes do navegador e informações do endpoint. Inclui os seguintes ficheiros de diagnóstico:

• openvpn.log: Tentativas de conexão VPN SSL, status, interface virtual, fluxo de pacotes e erros.
• charon.log: strongSwan, IKE, ESP, eventos de segurança, alterações de configuração e fluxo de pacotes.
• scvpn.log: Login, conexão, desconexão e outros eventos VPN.
• scgui.log: versões do Sophos Connect e do OpenVPN, informações de versão do WebView2 apenas no Windows e inícios de sessão SSO. Não deduza daqui uma dependência do WebView2 no macOS.
• configs.txt: Detalhes das conexões .pro, .ovpn e .scx importadas; A Sophos descreve este arquivo como não contendo informações pessoais.
• route.txt: tabelas de roteamento de endpoint.
• ipconfig.txt: configuração IP do endpoint.
• systeminfo.txt: informações do sistema de endpoint.

A afirmação sobre a ausência de dados pessoais aplica-se apenas a configs.txt, não ao arquivo completo, e não significa que todos os dados de configuração incluídos sejam inofensivos. Guarde o relatório como material de suporte confidencial de acordo com as orientações internas e disponibilize-o apenas a entidades autorizadas através do canal de transferência aprovado. Nunca copie palavras-passe, OTPs ou chaves privadas para o texto do ticket ou para um excerto público de logs.

Verificação complementar com SCCLI no macOS

A localização predefinida documentada da ferramenta SCCLI é /Library/Sophos\ Connect/. Num Mac piloto, verifique primeiro se o pacote efetivamente instalado contém sccli nessa localização e quais as opções indicadas pela ajuda local. Os exemplos de consulta seguintes mostram a versão e as ligações; não representam um teste de execução no macOS realizado aqui nem comprovam a distribuição por MDM ou a possibilidade de reutilizar scripts do Windows:

/Library/Sophos\ Connect/sccli show --version
echo $?
/Library/Sophos\ Connect/sccli list -d
echo $?

Consulte o estado com echo $? imediatamente após cada comando SCCLI, antes que outro comando o substitua. No Windows, o Command Prompt utiliza echo %ERRORLEVEL%; esta não é sintaxe do macOS. A shell fornece o estado do processo, que não corresponde necessariamente ao código numérico de diagnóstico inalterado de uma mensagem interna do cliente. Se o binário não existir ou não iniciar, verifique o pacote e o estado da instalação; não interprete o estado como um teste do túnel.

A referência de erros indica -1 para opções inválidas ou credenciais vazias, 1 para entradas inválidas ou que não podem ser analisadas, 2 para um ficheiro em falta ou uma palavra-passe/certificado vazio, 5 para ficheiros que não podem ser lidos, 14 para uma resposta que não pode ser analisada, 101 para um pedido falhado e 120 para dados do servidor em falta. 1016 solicita credenciais, 1024 significa «ligação não encontrada», 1101 indica uma falha no início de sessão e 9009 um comando não encontrado ou que não pode ser iniciado. Estes códigos são indicações de diagnóstico da referência, não uma garantia de que cada um apareça exatamente assim como estado da shell no macOS. Registe em conjunto a mensagem exata, o estado obtido imediatamente e a versão do cliente; em caso de erros de ficheiro ou de ligação, verifique a origem e os nomes; em caso de erros de início de sessão, esclareça as permissões e a autenticação com a equipa de TI, em vez de tentar adivinhar repetidamente palavras-passe.

O SCCLI também disponibiliza add, remove, update, enable, disable, get e show; isto não implica um conjunto de comandos recém-introduzido ou testado em todas as versões para Mac. As ações que alteram o estado não fazem parte deste exemplo de diagnóstico: remove pode desligar primeiro uma ligação ativa e não pode remover uma ligação gerida; as políticas podem restringir add, remove ou disable. A ligação automática através de add -a está assinalada como TBD na fonte e não é aqui apresentada como um método funcional de implementação. Nunca escreva palavras-passe ou OTPs como argumentos de comandos, em scripts, no histórico da shell ou em logs. Se um fluxo de início de sessão aprovado separadamente utilizar SCCLI, use o respetivo pedido interativo, não os argumentos de palavra-passe documentados. Para outras opções, consulte a ajuda da ferramenta instalada; efetue alterações apenas com uma origem do perfil salvaguardada, um procedimento de reversão aprovado e um teste VPN posterior.

Escalar de forma limpa

Um caso acionável contém sistema operacional e compilação, versão do Sophos Connect, tipo e origem do perfil, hora do erro com fuso horário, texto exato do evento, destino esperado, resultado por IP e por nome e scvpntsr.zip. Se houver suspeita do lado do firewall, o trecho correspondente do visualizador de log e os logs IPsec ou VPN SSL relevantes serão adicionados; Sophos Firewall Services and Logs os classifica.

Escale se um serviço falhar novamente após um único início controlado, se o mesmo erro for reproduzível em um perfil compartilhado, se a identidade do certificado permanecer obscura ou se os carimbos de data/hora do cliente e do firewall entrarem em conflito. Um caso de suporte pode ser enviado de maneira estruturada usando Preparar e abrir ticket de suporte Sophos.

PERGUNTAS FREQUENTES