Verificar e atualizar o Sophos Connect Client em segurança

As instruções atuais da Sophos descrevem o upgrade em Windows e macOS como a transferência e instalação do novo pacote obtido no VPN Portal ou junto do administrador; não exigem uma desinstalação prévia em todos os casos. Isso não confirma, por si só, que qualquer pacote possa atualizar qualquer instalação existente. Este artigo mantém o procedimento controlado de remoção e reinstalação para uma reinstalação expressamente aprovada ou para um rollback. Antes da alteração, confirme o método adequado às versões atual e alvo e valide-o no piloto; os perfis, os pacotes de instalação e o rollback têm de estar preparados.

A versão instalada aparece no Sophos Connect em três pontos > About. Os guias de Windows e macOS cobrem a primeira instalação; este guia trata da decisão de versão e da transição controlada.

Se ainda estiver a escolher entre IPsec, SSL VPN e outros métodos de acesso remoto, comece pela comparação das soluções de acesso remoto antes de definir o cliente alvo.

Escolher a versão alvo

Não distribua automaticamente o pacote mais recente em larga escala. Compare primeiro as alterações de versão explicadas abaixo, os sistemas operativos suportados e as funções VPN realmente usadas com o seu próprio ambiente. A revisão editorial, em 7 de setembro de 2026, resultou no seguinte retrato datado:

• Windows: Sophos Connect 2.5 MR1, lançado em 18 de junho de 2026.
• macOS: Sophos Connect 2.0 MR1, lançado em 21 de maio de 2026.

Atualização de 9 de outubro de 2026: As release notes indicam o Sophos Connect 2.1 para macOS, lançado em 6 de outubro de 2026, com suporte ARM nativo, aprovisionamento .pro e Microsoft Entra ID SSO para IPsec e SSL VPN. O retrato de 7 de setembro mantém-se histórico. Um lançamento documentado não comprova o pacote efetivamente disponível no seu portal nem a aprovação num teste de dispositivo; não se deduz daí qualquer aprovação adicional de disponibilidade geral (GA) ou de rollout.

Estes dados de versões são um retrato de um momento, não uma aprovação sem prazo. Antes de cada novo rollout, compare a matriz de versões e as correções descritas com a versão do pacote efetivamente disponível; a equipa de IT responsável confirma o suporte atual desse pacote às plataformas e a sua adequação às funções VPN necessárias. Uma versão nova entra primeiro no piloto; mantenha uma anterior como alvo apenas se ainda for suportada na plataforma existente e existir um motivo documentado contra a mais recente. Não deduza datas de fim de vida específicas do cliente a partir da página geral de lifecycle dos produtos Sophos.

O Sophos Connect não é cliente para iOS ou Android. Se uma combinação ficar fora destes limites, defina primeiro uma migração em vez de testar em produção.

O Windows 2.5 MR1 corrige, entre outros, o arranque para utilizadores adicionais (NCL-2570), estado SSO incorreto após falha de Internet (NCL-2783), pedidos OTP diferentes na reconexão (NCL-2992) e provisioning SSL VPN com caracteres especiais em certificados (NCL-2795). O macOS 2.0 MR1 corrige DNS com SSL VPN e restaura a gravação de credenciais. Um problema corrigido não substitui um piloto com o perfil próprio.

Preparar atualização e rollback

Antes da manutenção, registe por plataforma e grupo:

• versão do cliente e do sistema operativo;
• IPsec ou SSL VPN e origem do perfil (.scx, .ovpn ou .pro); um ficheiro .tgb, por sua vez, é uma exportação para clientes IPsec de terceiros, não um perfil do Sophos Connect;
• autenticação local, AD, RADIUS ou Entra ID SSO;
• comportamento de MFA e reconexão;
• dependências como gateway, certificado, DNS, pool VPN e redes permitidas.

Guarde na distribuição de software o pacote alvo, o pacote anterior aprovado internamente e as fontes originais dos perfis. Uma captura do nome não é uma cópia de segurança: o rollback requer o export usado ou uma fonte de provisioning reproduzível. Guarde os perfis com certificados ou chaves privadas apenas de forma protegida e para a identidade de utilizador prevista.

O administrador obtém o instalador com Download client em Remote access VPN > IPsec ou Remote access VPN > SSL VPN; o utilizador pode obtê-lo no VPN Portal. Backup & Firmware > Pattern updates pode renovar o pacote na firewall, mas não atualiza endpoints instalados. Verifique origem, plataforma e versão e bloqueie ou identifique claramente pacotes antigos.

Fazer um piloto

Inclua pelo menos um dispositivo de cada combinação produtiva e um a três utilizadores típicos, não apenas administradores. Quando aplicável, teste separadamente Windows x64, Windows ARM, macOS com IPsec, macOS com SSL VPN, Entra SSO e reconexão OTP/MFA. No Mac, verifique separadamente 2.0/Rosetta e 2.1/ARM nativo, a versão do macOS efetivamente utilizada, os perfis diretos e o aprovisionamento. Para Entra SSO a partir de 2.1, o modo de navegador, o fallback necessário e o regresso ao cliente fazem parte do piloto SSO no macOS. Um erro de conformidade é corrigido ou escalado para a equipa de TI, não contornado através do enfraquecimento de Conditional Access.

Antes do upgrade, documente uma referência: início de sessão, IP VPN atribuído, DNS interno, acesso a um destino representativo, split ou full tunnel e reconexão após mudança de rede. Repita exatamente os mesmos testes depois. Assim distingue uma regressão do cliente de um problema anterior de firewall, routing ou perfil.

Avance para um rollout faseado apenas depois de todas as combinações passarem e de o helpdesk conhecer alvo e rollback. Um único teste Windows não aprova macOS.

Desinstalar e reinstalar o cliente

Desligue a VPN ativa. Se for o único acesso administrativo remoto, planeie manutenção local ou um segundo acesso: a VPN fica interrompida durante o processo.

Windows

1. Em Control Panel > Programs > Uninstall a program, selecione Sophos Connect e Uninstall.
2. Aguarde o fim e não adie um reinício pedido.
3. Instale com direitos administrativos o pacote Windows aprovado.
4. Verifique a versão em três pontos > About.
5. Verifique o perfil ou reimporte-o da fonte guardada e repita o piloto.

Não reverta Windows ARM para uma versão anterior a 2.5. Não atualize Windows de 32 bits para 2.5; precisa de migração de plataforma.

macOS

Se o Mac tiver Sophos Endpoint, não desative Tamper Protection por regra antes da remoção. As instruções atuais de desinstalação já não apresentam essa alteração como requisito; no entanto, a ajuda de resolução de problemas continua a descrever processos do Sophos Connect bloqueados pela Tamper Protection do Endpoint e recomenda um reinício. Perante este problema, guarde os logs, reinicie durante a janela de manutenção e volte a verificar o estado. Se a remoção continuar bloqueada, esclareça a combinação concreta de Endpoint e cliente com a equipa de IT ou com a Sophos. Altere temporariamente a proteção apenas após aprovação expressa para este caso; a reativação faz parte da conclusão do procedimento, mesmo que a tentativa falhe. Para uma remoção aprovada, execute no Terminal com privilégios administrativos:

sudo /Library/Sophos\ Connect/uninstall.sh

A confirmação esperada é Sophos Connect has been uninstalled. Depois:

1. Reinicie o Mac se solicitado.
2. Instale o pacote macOS aprovado e confirme os diálogos necessários.
3. Verifique a versão em três pontos > About.
4. Forneça o perfil da fonte guardada e repita os testes do piloto.
5. Se Tamper Protection tiver sido expressamente desativada para este procedimento, reative-a e confirme que está ativa no Endpoint e na consola de gestão; faça o mesmo se a reinstalação falhar.

Uma versão anterior a 2.0 não é rollback válido para SSL VPN no macOS. Após mudar para 2.0 MR1, reimporte a configuração se for necessária a opção restaurada de guardar credenciais. Um regresso ao cliente macOS 2.0 não preserva a execução ARM nativa, o aprovisionamento .pro nem o Entra ID SSO. Se estas funções de 2.1 forem necessárias, 2.0 não é uma alternativa equivalente para regressar à versão anterior; aprove e teste previamente uma solução alternativa suportada.

Tratar alterações de perfil separadamente

O upgrade do cliente não atualiza automaticamente todas as configurações VPN. Após mudar definições IPsec avançadas, exporte e distribua um novo .scx se a distribuição for manual. No Windows com um cliente compatível e no macOS a partir de 2.1, um .pro importado obtém configurações pelo VPN Portal. Após mudar porta ou protocolo em Remote access VPN > SSL VPN > SSL VPN global settings, o utilizador clica na roda dentada do perfil e em Update policy. No macOS 2.0, continuam a ser necessárias importações diretas e manutenção manual dos perfis. A configuração do ficheiro de aprovisionamento é descrita em Aprovisionamento do Sophos Connect.

Documentado para SFOS 22: um perfil SSL VPN importado está ligado à identidade do utilizador, ao domínio e ao método de autenticação usados na importação. Ao mudar, por exemplo, de AD para Entra ID SSO ou entre domínios, é necessário importar uma configuração .pro ou .ovpn separada; a reutilização do mesmo perfil importado pode provocar Login failed. Wrong fingerprint of certificate. Um ficheiro .ovpn contém certificados e chaves privadas específicos do utilizador. Um ficheiro .pro, pelo contrário, não é, por si só, específico do utilizador: a configuração SSL VPN e os certificados só são gerados durante a importação e associados à identidade e ao método de autenticação usados. Esta limitação documentada para SFOS 22 aplica-se a SSL VPN, não a perfis IPsec .scx.

Este comportamento não foi verificado para SFOS 23. As instruções correspondentes não contêm a secção sobre a associação do perfil e esta mensagem de erro. Isso não comprova que a associação tenha sido eliminada nem que continue a aplicar-se sem alterações. Ao mudar de domínio ou de método de autenticação, recomenda-se, por isso, como precaução, importar um perfil SSL separado de uma fonte de confiança confirmada pela equipa de IT; não se trata de um requisito confirmado de SFOS 23. Antes, confirme com a equipa de IT a identidade do utilizador, o domínio, o método de autenticação e o servidor de destino previstos e, se necessário, obtenha um ficheiro .ovpn atualizado do VPN Portal confirmado ou utilize a fonte .pro aprovada. Depois, teste o par cliente/perfil no piloto. Se aparecer a mensagem de fingerprint, pare a distribuição e registe, para a equipa de IT ou a Sophos, as versões do cliente e de SFOS, a identidade prevista, o domínio, o método de autenticação e a entrada em Events. A mensagem, por si só, não comprova a expiração de um certificado nem um erro de assinatura ou de cadeia de confiança. Não contorne as verificações de certificados.

Faça as alterações na firewall com os guias de Sophos Connect com IPsec, acesso remoto SSL VPN ou Entra ID SSO. Depois volte aqui e teste no piloto o par atualizado de cliente e perfil.

Validar e aprovar o rollout

A versão correta e um estado verde não chegam. Registe por combinação:

• versão alvo correta em About;
• início de sessão e MFA ou SSO conforme esperado;
• IP VPN correto;
• DNS interno e destino representativo funcionam;
• regra correspondente da zona VPN visível no Log Viewer;
• split ou full tunnel conforme o desenho;
• reconexão após mudança de rede, saída e nova entrada funcionam.

Se um teste falhar, pare essa combinação. Verifique versão, limite do sistema e perfil carregado; depois registe hora, mensagem e entrada correspondente em Events. Resolução de problemas do Sophos Connect Client contém o diagnóstico sistemático de erros de ligação, DNS, autenticação, policy e serviços; este guia não duplica esse catálogo.

Fazer rollback e escalar

O rollback repõe temporariamente o serviço; não é solução permanente para um cliente desatualizado ou vulnerável.

1. Pare o rollout e identifique a combinação afetada.
2. Desinstale o cliente que falhou pelo mesmo procedimento.
3. Instale apenas o pacote anterior aprovado e compatível.
4. Reimporte a fonte guardada do perfil.
5. Repita versão, entrada, IP VPN, DNS, destino interno, Log Viewer e reconexão.
6. Documente o resultado e inicie outro piloto apenas depois de compreender a causa.

Se o rollback também falhar, abra três pontos > About > Generate Technical Support Report. O relatório contém configurações VPN, eventos de ligação, detalhes de aprovisionamento, informações de autenticação SSO, detalhes do navegador e informações do Endpoint. De acordo com as regras internas de privacidade, envie o relatório apenas por um canal de transferência controlado e a destinatários autorizados. Para escalar o problema, reúna as versões alvo e anterior, o sistema operativo, o tipo de perfil, a hora, a mensagem de erro visível e o resultado do rollback; nunca inclua palavras-passe, OTPs ou chaves privadas no texto do pedido.