Configurar o provisionamento do Sophos Connect com .pro e GPO

Um ficheiro de provisionamento do Sophos Connect com a extensão .pro não é um perfil VPN completo. Indica ao cliente Windows qual o VPN Portal a utilizar para obter as configurações IPsec e SSL VPN disponibilizadas ao utilizador. O Sophos Connect só importa o verdadeiro ficheiro .scx ou .ovpn após uma autenticação bem-sucedida.

Isto é especialmente útil quando os perfis têm de ser distribuídos centralmente e as alterações posteriores devem ser obtidas automaticamente. Ao mesmo tempo, o VPN Portal passa a fazer parte do percurso de início de sessão em produção. A sua acessibilidade, certificado, MFA, atribuição de utilizadores e proteção são, portanto, tão importantes como a sintaxe JSON do ficheiro.

⚠️ O provisionamento remoto exige que o VPN Portal esteja acessível a partir da WAN. Isto aumenta a superfície de ataque exposta publicamente. Antes da implementação são necessários um certificado fidedigno, MFA, Local Service ACL restritivas, bloqueios de início de sessão testados e um caminho de recuperação com um perfil distribuído manualmente.

Provisionamento em oito passos

1. Configurar completamente o acesso remoto IPsec ou SSL VPN na firewall e testá-lo com um ficheiro importado manualmente.
2. Disponibilizar o VPN Portal através de um FQDN e certificado fidedignos.
3. Em Administration > Device access, permitir o VPN Portal apenas a partir das zonas ou redes de origem realmente necessárias.
4. Criar um ficheiro .pro mínimo com display_name, gateway e vpn_portal_port.
5. Adicionar MFA, ligação automática e ordem dos gateways apenas quando o respetivo processo estiver definido.
6. Importar primeiro o ficheiro manualmente com um utilizador piloto e testar IPsec e SSL VPN separadamente.
7. Distribuir depois o Sophos Connect e o ficheiro .pro a um pequeno grupo piloto através de uma GPO controlada.
8. Validar o início de sessão no portal, os perfis importados, o túnel, os destinos internos, os logs, Update Policy e o rollback.

Quando um ficheiro .pro é adequado

O provisionamento é adequado para endpoints Windows geridos que utilizam o Sophos Connect para IPsec, SSL VPN ou ambos. Após o início de sessão no portal, a firewall fornece o perfil IPsec a todos os utilizadores autorizados. Uma configuração SSL VPN só é importada quando o utilizador pertence a uma política SSL VPN correspondente.

Durante o primeiro provisionamento, o SFOS pode criar automaticamente um utilizador de diretório que ainda não existe localmente e atribuí-lo a um grupo com base no mapeamento do servidor de autenticação. O utilizador não tem de iniciar sessão previamente no VPN Portal ou User Portal. Esta criação automática não substitui a verificação da ordem dos grupos e da autorização VPN efetiva.

Um ficheiro .scx ou .ovpn distribuído manualmente continua a ser útil quando o VPN Portal não deve ser publicado na Internet, existem poucos clientes ou o portal constitui uma dependência adicional indesejada. O Sophos Connect não suporta o provisionamento .pro no macOS; nesse sistema, .scx e .ovpn são importados diretamente. O provisionamento IPsec no Windows requer Sophos Connect 2.1 ou posterior.

A configuração VPN propriamente dita permanece nos guias dedicados: Configurar Sophos Connect IPsec na firewall e Configurar o acesso remoto SSL VPN.

Pré-requisitos e valores de exemplo

O exemplo seguinte utiliza o nome público do portal vpn.example.com e o host de verificação interno intranet.corp.example. Ambos são marcadores de posição:

• vpn.example.com deve ser substituído pelo FQDN real do VPN Portal, resolvido corretamente de forma pública e interna. O certificado do portal deve ser válido para este nome e fidedigno para os clientes.
• intranet.corp.example só deve ser utilizado como auto_connect_host se o host estiver disponível de forma estável e responder exclusivamente a partir da rede interna. Um host público ou pouco fiável falsearia a deteção da rede.
• A porta 443 é a porta predefinida do VPN Portal. Se a firewall utilizar outra porta, o mesmo valor deve ser definido em vpn_portal_port.

Antes de criar o ficheiro, pelo menos os seguintes pontos devem ter sido testados com êxito:

• O perfil IPsec ou SSL VPN pretendido funciona com uma importação manual.
• O VPN Portal está acessível através do FQDN previsto e utiliza uma cadeia de certificados completa.
• Utilizadores, grupos principais, política SSL VPN e métodos de autenticação correspondem.
• Com Microsoft Entra ID SSO, o VPN Portal, IPsec e SSL VPN utilizam o mesmo servidor Entra ID em Authentication > Services no processo de provisionamento.
• Com Entra ID SSO, o valor gateway corresponde ao Redirect URI da firewall.
• Funcionam o MFA e o teste negativo com um utilizador não autorizado.

Para publicar o portal, consulte Device Access e Local Service ACL. Proteção contra brute force para o VPN Portal aborda as tentativas de início de sessão repetidas e a proteção de um portal acessível a partir da WAN.

Criar o ficheiro de provisionamento

Um ficheiro .pro utiliza JSON. gateway é o único campo obrigatório, mas para uma operação rastreável convém definir explicitamente também o nome apresentado e a porta do portal. O ficheiro é criado num editor de texto e guardado, por exemplo, como avanet-vpn.pro.

Perfil mínimo para um gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name pode ter no máximo 60 caracteres. Sem nome apresentado, o Sophos Connect mostra o valor gateway. Com can_save_credentials definido como true, o utilizador pode guardar o nome de utilizador e a palavra-passe; esta definição não é utilizada com SSO. Permitir credenciais guardadas é uma decisão de segurança, não uma predefinição de conveniência.

Ao iniciar a ligação, check_remote_availability verifica a acessibilidade. run_logon_script executa o script de início de sessão disponibilizado pelo controlador de domínio depois de o túnel ser estabelecido. Cada opção só deve ser ativada quando o piloto confirmar que o respetivo comportamento é necessário.

A sintaxe antiga user_portal_port continua a ser aceite, mas também identifica atualmente a porta do VPN Portal. vpn_portal_port é mais clara para novos ficheiros.

Planear corretamente a ligação automática

auto_connect_host ajuda o Sophos Connect a determinar se o cliente já se encontra na rede interna. Sempre que uma interface de rede recebe um endereço IP novo ou alterado, o cliente verifica este host. Se não estiver acessível, a ligação é ativada. O túnel é estabelecido automaticamente se as credenciais estiverem guardadas ou se o último início de sessão tiver utilizado SSO.

"auto_connect_host": "intranet.corp.example"

O host de verificação não é um teste geral do estado da Internet. Deve ser estável, resolvido internamente e não estar acessível externamente. Antes da implementação, deve ser testado tanto na rede empresarial como através de uma rede externa. Uma cadeia vazia "" desativa a ligação automática.

Um desenho always-on completo tem limites adicionais. Credenciais guardadas, SSO, MFA e comportamento após alterações de rede têm de ser coerentes. Iniciar SSL VPN automaticamente com início de sessão automático explica estas diferenças.

Utilizar vários gateways

Vários gateways do portal são introduzidos como um array. gateway_order determina apenas como o Sophos Connect seleciona o portal para obter a configuração. O túnel posterior utiliza os gateways da configuração .scx ou .ovpn importada.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Os modos de seleção têm efeitos operacionais diferentes:

• in_order tenta as entradas pela ordem definida.
• latency seleciona o gateway com base no tempo de resposta de uma tentativa de ligação TCP.
• distributed seleciona aleatoriamente um gateway durante uma tentativa de ligação.

A ordem não substitui um desenho WAN, DNS ou HA testado. Cada nome de portal indicado precisa de um certificado válido, da acessibilidade adequada e do mesmo conteúdo de provisionamento esperado.

Definir conscientemente os campos MFA

Com otp: true, o Sophos Connect mostra um terceiro campo de entrada. 2fa determina como o respetivo conteúdo é enviado ao servidor de autenticação:

• 2fa: 1 utiliza a configuração do Sophos Firewall. Palavra-passe e OTP são concatenados como passwordotp.
• 2fa: 2 utiliza um serviço externo como o Duo. Palavra-passe e código são separados por uma vírgula; consoante a configuração do Duo, também são possíveis push, phone, sms ou um código de token.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Durante a primeira obtenção, o ecrã de início de sessão pode aparecer duas vezes: uma para transferir a configuração e outra para estabelecer o túnel. Isto não indica automaticamente um erro. O helpdesk deve conhecer este comportamento antes de uma implementação alargada. A configuração MFA na firewall é explicada em Configurar MFA no Sophos Firewall.

Distribuir o Sophos Connect e .pro através de GPO

O ficheiro pode ser importado manualmente depois de ser enviado por e-mail ou download seguro. Os utilizadores selecionam Import connection ou abrem o ficheiro .pro com um duplo clique. Num domínio Windows gerido, uma GPO é mais rastreável quando a origem, o grupo de destino e o rollback estão documentados.

O Sophos Connect monitoriza esta pasta de importação:

C:\Program Files (x86)\Sophos\Connect\import\

Um ficheiro .pro colocado nesta pasta é importado automaticamente e depois eliminado. A eliminação é um comportamento normal e não prova que a autenticação no portal ou o túnel já funcionem.

Para a distribuição, adiciona-se um script de arranque em Group Policy Management > Computer Configuration > Policies > Windows Settings > Scripts > Startup. O padrão documentado pela Sophos aguarda pelo serviço scvpn, transfere o ficheiro de uma localização HTTPS central e copia-o para a pasta de importação. A origem do download deve ser legível apenas pelos computadores necessários, utilizar um certificado fidedigno e não conter palavras-passe de utilizadores ou tokens no URL ou no script.

O script de arranque é testado primeiro num computador piloto. Em seguida, a política pode ser atualizada com este comando:

gpupdate /force

A Sophos também documenta um script de arranque do computador com msiexec.exe para instalar o próprio cliente. Numa distribuição de software em produção devem, contudo, ser utilizados os padrões existentes de packaging, assinatura, versão e rollback. Instalar o Sophos Connect no Windows descreve a instalação e as plataformas Windows suportadas.

Um ficheiro .pro normalmente não contém palavras-passe de utilizadores. Continua, no entanto, a ser um artefacto de configuração controlado: endereços do portal, comportamento, MFA e definições de ligação automática devem provir apenas de uma origem autorizada.

Alterações e atualizações de perfis

Após uma importação bem-sucedida, o Sophos Connect obtém automaticamente os perfis .scx e .ovpn disponíveis. Também obtém muitas alterações posteriores da configuração. A operação deve, contudo, distinguir entre o ficheiro de provisionamento e o perfil VPN efetivo:

• Se gateway ou vpn_portal_port mudar, o ficheiro .pro deve ser atualizado e redistribuído.
• Se a porta ou o protocolo mudar em SSL VPN global settings, seleciona-se o ícone de engrenagem e Update policy no cliente.
• Alterações ao gateway, certificado, porta ou protocolo SSL VPN podem exigir um novo início de sessão.
• Depois de restaurar ou importar uma configuração da firewall, os perfis IPsec e SSL VPN são novamente testados com um cliente piloto.
• Uma nova versão do cliente não atualiza automaticamente um ficheiro .pro desatualizado.

Os ficheiros de provisionamento antigos e novos não devem ser distribuídos em paralelo através de diferentes GPO, downloads e e-mails. Para cada implementação devem ser documentados o nome do ficheiro, a versão ou data de alteração, o grupo de destino e o caminho de recuperação.

Validar o provisionamento e o túnel

O teste é realizado com um utilizador autorizado e outro não autorizado a partir de uma rede externa real. Uma autenticação bem-sucedida no portal não constitui, por si só, um teste VPN bem-sucedido.

1. Verificar a versão do Sophos Connect e a plataforma Windows.
2. Importar o ficheiro .pro manualmente ou através da GPO piloto.
3. Verificar que ligações .scx e .ovpn aparecem efetivamente.
4. Concluir todo o processo MFA, incluindo um possível segundo início de sessão.
5. Ligar IPsec e SSL VPN separadamente se ambos forem disponibilizados.
6. Verificar o endereço atribuído, resolução DNS interna, servidor de destino, regra da firewall e caminho de retorno.
7. Um utilizador não autorizado não pode receber um perfil utilizável nem aceder a destinos internos.
8. Testar uma alteração de política inofensiva com Update policy ou obtenção automática.
9. Testar um reinício do cliente, mudança de rede e nova aplicação da GPO.
10. Testar o caminho manual de recuperação com um perfil .scx ou .ovpn aprovado.

Com Microsoft Entra ID SSO, também se verificam Redirect URI, Conditional Access e o novo início de sessão forçado em endpoints partilhados. Microsoft Entra ID SSO para Sophos Connect e VPN Portal explica o mapeamento completo.

Delimitar erros sistematicamente

Nenhuma ligação é importada

Primeiro, deve verificar-se se o ficheiro contém JSON válido, termina em .pro e foi importado pelo cliente. Em seguida, verificam-se gateway, vpn_portal_port, DNS, cadeia de certificados e acessibilidade do VPN Portal. O desaparecimento de um ficheiro da pasta de importação indica que foi processado, mas não prova uma autenticação bem-sucedida.

Se o cliente alcançar o portal mas não receber nenhum perfil, verificam-se a ligação IPsec configurada, a política SSL VPN, a associação a grupos e os métodos de autenticação. IPsec é disponibilizado a todos os utilizadores devidamente autorizados; SSL VPN apenas a membros de uma política correspondente.

Erros de certificado ou Entra SSO

O nome público em gateway deve corresponder ao certificado. Com Entra ID SSO, o mesmo valor deve também corresponder ao Redirect URI, e VPN Portal, IPsec e SSL VPN devem utilizar o mesmo servidor Entra ID durante o provisionamento. Mesmo um nome de host ou porta diferente pode interromper o processo.

O início de sessão Microsoft Entra é verificado em Entra sign-in log. Na firewall, vpnportal.log, access_server.log e oauth_sso_vpn.log ajudam nas fases correspondentes. Test connection no servidor de autenticação não substitui a autenticação no portal nem no túnel.

MFA aparece duas vezes ou falha

Durante a primeira obtenção podem ser esperados dois inícios de sessão. Se a autenticação falhar, comparam-se otp, 2fa, o método MFA Sophos ou externo configurado e o formato de entrada esperado. passwordotp e o método externo separado por vírgula não são intercambiáveis.

O perfil existe, mas o tráfego não funciona

Nesse caso, o provisionamento já ultrapassou o ponto real da falha. Devem verificar-se separadamente o intervalo de atribuição, as rotas do cliente, DNS, regra da firewall, NAT, caminho de retorno e packet capture. Para IPsec, continue com Resolução de problemas de VPN IPsec no Sophos Firewall.

A GPO não importa o ficheiro

Verificar se a GPO se aplica realmente à conta do computador, se o script de arranque está acessível, se o serviço scvpn está em execução e se a origem do download está acessível a partir do contexto do sistema. Em seguida, verificar as permissões do ficheiro e o caminho de importação exato. Cópias repetidas sem identificar a causa podem redistribuir definições desatualizadas e não devem tornar-se uma solução permanente no script de arranque.

Reverter com segurança

Primeiro, interrompe-se a distribuição ao grupo de destino da GPO afetado. Em seguida, remove-se a distribuição automática do .pro, disponibiliza-se o ficheiro manual .scx ou .ovpn anteriormente aprovado e testa-se com um utilizador piloto. As alterações ao VPN Portal, Device Access ou autenticação só são revertidas quando nenhum provisionamento de produção depender delas.

Nos clientes de teste, a ligação Sophos Connect existente é removida e reimportada de forma controlada. Em seguida, repetem-se o início de sessão no portal, o túnel, DNS, destinos internos e o teste negativo. O ficheiro .pro defeituoso só é removido dos repositórios centrais e da distribuição de software depois de o caminho de recuperação funcionar.

FAQ