Configurar o provisionamento do Sophos Connect com .pro

Um ficheiro de provisionamento do Sophos Connect com a extensão .pro não é um perfil VPN completo. Indica ao cliente Windows qual o VPN Portal que deve utilizar para obter as configurações IPsec e SSL VPN. Após um início de sessão bem-sucedido no portal, o Sophos Connect importa o ficheiro .scx e, se o utilizador estiver atribuído a uma política SSL VPN, também o ficheiro .ovpn. Um perfil visível não significa que a autenticação do túnel ou o acesso a destinos internos estejam autorizados.

Isto é especialmente útil quando os perfis têm de ser distribuídos centralmente e as alterações posteriores devem ser obtidas automaticamente. Ao mesmo tempo, o VPN Portal passa a fazer parte do percurso de início de sessão em produção. A sua acessibilidade, certificado, MFA, atribuição de utilizadores e proteção são, portanto, tão importantes como a sintaxe JSON do ficheiro.

⚠️ Se os utilizadores externos tiverem de efetuar o provisionamento a partir da WAN, o VPN Portal deve estar acessível a partir da WAN. Isto aumenta a superfície de ataque exposta publicamente. Antes da implementação, utilize um certificado fidedigno, MFA, ACL Local Service tão restritivas quanto possível, bloqueios de início de sessão testados e um caminho de recuperação com um perfil distribuído manualmente.

Provisionamento em oito passos

1. Configurar totalmente o IPsec Remote Access ou SSL VPN na firewall e testar a configuração com um ficheiro importado manualmente.
2. Disponibilizar o VPN Portal através de um FQDN e de um certificado fidedignos.
3. Ativar o VPN Portal em Administration > Device access apenas para as zonas necessárias. Para restringir o acesso a redes de origem específicas, é também necessária uma regra de exceção Local Service ACL adequada.
4. Criar um ficheiro .pro mínimo com display_name, gateway e vpn_portal_port.
5. Adicionar MFA, ligação automática e ordenação dos gateways apenas quando o fluxo de trabalho correspondente já estiver definido.
6. Importar primeiro o ficheiro manualmente com um utilizador piloto e testar IPsec e SSL VPN separadamente.
7. Entregar depois o ficheiro .pro aprovado à implementação Windows gerida e começar por um pequeno grupo piloto.
8. Validar o início de sessão no portal, os perfis importados, o túnel, os destinos internos, os logs, as atualizações dos perfis e rollback.

Quando um ficheiro .pro é adequado

O provisionamento é adequado para endpoints Windows geridos que utilizam o Sophos Connect para IPsec, SSL VPN ou ambos. Após o início de sessão no portal, a firewall disponibiliza o perfil IPsec a todos os utilizadores. Isto não significa que todos possam autenticar o túnel ou aceder a destinos internos. Uma configuração SSL VPN só é importada quando o utilizador pertence a uma política SSL VPN correspondente.

Durante o primeiro provisionamento, o SFOS pode criar automaticamente um utilizador de diretório que ainda não existe localmente e atribuí-lo a um grupo com base no mapeamento do servidor de autenticação. O utilizador não tem de iniciar sessão previamente no VPN Portal ou User Portal. Esta criação automática não substitui a verificação da ordem dos grupos e da autorização VPN efetiva.

Os ficheiros manuais .scx e .ovpn continuam a ser úteis quando o VPN Portal não deve estar publicamente acessível, existem poucos clientes ou o portal é uma dependência adicional indesejada. .pro obtém IPsec (.scx) e as configurações SSL VPN autorizadas para o utilizador (.ovpn) através do VPN Portal, bem como alterações posteriores; não é um perfil de túnel. São suportados clientes Windows compatíveis e Sophos Connect para macOS a partir de 2.1, não o cliente macOS 2.0 ou anterior. O provisioning IPsec requer Sophos Connect 2.1 ou posterior. No cliente macOS 2.0 continuam a ser necessários importação direta e atualização manual controlada.

Atualização da observação datada: as notas de versão da Sophos apresentam Sophos Connect 2.1 para macOS, publicado a 6 de outubro de 2026, com provisioning .pro, Entra ID SSO e ARM nativo. A observação de 24 de setembro de 2026 descreve a situação de então. Verifique a versão do instalador realmente disponível; a publicação não prova que o seu portal já distribua esse pacote ou que tenha sido testado num dispositivo específico.

A configuração VPN propriamente dita permanece nos guias dedicados: Configurar Sophos Connect IPsec na firewall e Configurar o acesso remoto SSL VPN.

Pré-requisitos e valores de exemplo

O exemplo seguinte utiliza o nome público do portal vpn.example.com e o host de verificação interno intranet.corp.example. Ambos são marcadores de posição:

• vpn.example.com deve ser substituído pelo FQDN real do VPN Portal, resolvido corretamente de forma pública e interna. O certificado do portal deve ser válido para este nome e fidedigno para os clientes.
• intranet.corp.example só deve ser utilizado como auto_connect_host se o host estiver disponível de forma estável e responder exclusivamente a partir da rede interna. Um host público ou pouco fiável falsearia a deteção da rede.
• A porta 443 é a porta predefinida do VPN Portal. Se a firewall utilizar outra porta, o mesmo valor deve ser definido em vpn_portal_port.

Antes de criar o ficheiro, pelo menos os seguintes pontos devem ter sido testados com êxito:

• O perfil IPsec ou SSL VPN pretendido funciona com uma importação manual.
• O VPN Portal está acessível através do FQDN previsto e utiliza uma cadeia de certificados completa.
• Utilizadores, grupos principais, política SSL VPN e métodos de autenticação correspondem.
• No provisionamento SSO, o VPN Portal, IPsec e SSL VPN utilizam o mesmo servidor do fornecedor de identidade (IdP) configurado em Authentication > Services: Microsoft Entra ID na documentação de SFOS 22, ou um IdP OpenID Connect (OIDC) suportado em SFOS 23.
• gateway corresponde ao FQDN ou ao endereço IP da firewall configurado na secção Redirect URI do servidor IdP. Introduza apenas esse host, não o URI de callback completo com esquema, porta e caminho; configure a porta do portal separadamente em vpn_portal_port.
• Funcionam o MFA e o teste negativo com um utilizador não autorizado.

Para publicar o portal, consulte Device Access e Local Service ACL. Proteção contra brute force para o VPN Portal aborda as tentativas de início de sessão repetidas e a proteção de um portal acessível a partir da WAN.

Escolher a versão SSO e o fornecedor

Para Windows com Sophos Connect 2.4 ou posterior, SFOS 22 descreve Entra ID SSO; SFOS 23 alarga o âmbito aos IdP OIDC suportados. Isto não implica suporte para todos os fornecedores OIDC nem disponibilidade comprovada numa compilação específica do firmware. Utilize o ramo de versão correspondente de Entra ID VPN SSO ou a configuração Google Workspace OIDC para SFOS 23. A Google exige um FQDN público válido para os redirecionamentos, não um endereço IP. Estes guias abrangem configuração do fornecedor, atribuição dos serviços e diagnóstico.

Para transferências diretas de .scx ou .ovpn sem .pro, selecione primeiro o IdP em Authentication > Services e depois transfira o perfil. SSL VPN deve utilizar o mesmo IdP para o portal e o túnel; IPsec direto permite o mesmo IdP ou outro. Não aplique esta exceção de IPsec ao provisionamento.

Para macOS 2.1 ou posterior, o guia do cliente indica Entra ID SSO, não suporte OIDC geral. Os requisitos e o guia do cliente guardados diferem na cobertura de macOS; confirme e teste separadamente a combinação de firmware, cliente e VPN prevista. O campo de navegador macOS abaixo continua exclusivo de Entra; GPO, automatização da pasta de importação e scripts de início de sessão continuam exclusivos de Windows.

Criar o ficheiro de provisionamento

Um ficheiro .pro é JSON. gateway é o único campo necessário. No entanto, o nome a apresentar e a porta do portal devem ser definidos explicitamente para que a configuração possa ser revista sem ambiguidades. Crie o ficheiro num editor de texto e guarde-o, por exemplo, como avanet-vpn.pro.

Perfil mínimo para um gateway

[
  {
    "display_name": "Avanet Remote Access",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": false,
    "auto_connect_host": "",
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

display_name pode ter no máximo 60 caracteres. Sem nome apresentado, o Sophos Connect mostra o valor gateway. Com can_save_credentials definido como true, o utilizador pode guardar o nome de utilizador e a palavra-passe; esta definição não é utilizada com SSO. Permitir credenciais guardadas é uma decisão de segurança, não uma predefinição de conveniência.

Os campos não especificados utilizam os valores predefinidos do fabricante. O exemplo define-os todos explicitamente para que uma revisão não ignore valores implícitos:

Com check_remote_availability, o cliente realiza uma verificação de acessibilidade quando a ligação começa. run_logon_script aplica-se apenas ao Sophos Connect para Windows; os valores permitidos são true e false, sendo false a predefinição. Executa o script de logon fornecido pelo controlador de domínio após o túnel ser estabelecido. O script de logon permanece desativado até que um teste piloto confirme a necessidade e o comportamento.

A sintaxe antiga user_portal_port continua a ser aceite, mas também identifica atualmente a porta do VPN Portal. vpn_portal_port é mais clara para novos ficheiros.

Escolher o navegador de Entra ID SSO no macOS

O campo opcional sso_auth_browser_type aplica-se exclusivamente a Microsoft Entra ID SSO com Sophos Connect para macOS 2.1 ou posterior. Não é uma definição do Windows nem uma opção geral de navegador para outros fornecedores de identidade. Os valores permitidos devem ser escritos literalmente:

• auto: predefinição; utiliza o navegador integrado e pode recorrer ao navegador do sistema se necessário.
• embedded: utiliza o navegador integrado no Sophos Connect.
• system: utiliza o navegador predefinido do sistema operativo.

Se o campo for omitido ou contiver um valor inválido, o Sophos Connect utiliza auto. Numa configuração Entra adequada para macOS, pode adicionar-se esta propriedade opcional ao objeto de ligação do ficheiro .pro:

"sso_auth_browser_type": "auto"

Este é apenas um fragmento JSON, não um ficheiro .pro completo. A propriedade deve ser colocada junto de gateway no objeto existente; as propriedades separam-se por vírgulas, sem vírgula após a última. auto torna a predefinição explícita para revisão; embedded ou system só devem ser definidos para um fluxo de navegador escolhido conscientemente e verificado num piloto. Sophos Connect no macOS descreve a importação e o início de sessão interativo; a sintaxe do campo continua descrita aqui.

Planear corretamente a ligação automática

auto_connect_host ajuda o Sophos Connect a determinar se o cliente já se encontra na rede interna. Sempre que uma interface de rede recebe um endereço IP novo ou alterado, o cliente verifica este host. Se não estiver acessível, a ligação é ativada. O túnel é estabelecido automaticamente se as credenciais estiverem guardadas ou se o último início de sessão tiver utilizado SSO.

"auto_connect_host": "intranet.corp.example"

O host de verificação não é um teste geral do estado da Internet. Deve ser estável, resolvido internamente e não estar acessível externamente. Antes da implementação, deve ser testado tanto na rede empresarial como através de uma rede externa. Uma cadeia vazia "" desativa a ligação automática.

Para funcionamento always-on, é necessário coordenar as credenciais guardadas, o SSO, a MFA e o comportamento após alterações de rede. Iniciar automaticamente SSL VPN com início de sessão automático explica as diferenças.

Utilizar vários gateways

Vários gateways do portal são introduzidos como um array. gateway_order determina apenas como o Sophos Connect seleciona o portal para obter a configuração. O túnel posterior utiliza os gateways da configuração .scx ou .ovpn importada.

[
  {
    "display_name": "Avanet Remote Access",
    "gateway_order": "in_order",
    "gateway": [
      "vpn-zrh.example.com",
      "vpn-ber.example.com"
    ],
    "vpn_portal_port": 443,
    "otp": false,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Os modos de seleção têm efeitos operacionais diferentes:

• in_order tenta as entradas pela ordem definida.
• latency seleciona o gateway com base no tempo de resposta de uma tentativa de ligação TCP.
• distributed seleciona aleatoriamente um gateway durante uma tentativa de ligação.

A ordem não substitui um projeto de WAN, DNS ou HA testado. Cada nome de portal listado precisa de um certificado válido, correspondência de acessibilidade e o mesmo conteúdo de provisionamento esperado.

É necessário distinguir este caso do uso de várias ligações. Dois objetos separados no array JSON externo criam duas entradas no Sophos Connect, por exemplo uma para colaboradores e outra para administradores. Em contrapartida, um único objeto com vários valores no campo gateway continua a ser uma ligação com gateways de provisionamento alternativos. Antes de combinar ambas as variantes, devem ser definidos os nomes, grupos de destino e caminhos de recuperação.

Definir conscientemente os campos MFA

Com otp: true, o Sophos Connect mostra um terceiro campo de entrada. 2fa determina como o respetivo conteúdo é enviado ao servidor de autenticação:

• 2fa: 1 utiliza a configuração do Sophos Firewall. Palavra-passe e OTP são concatenados como passwordotp.
• 2fa: 2 utiliza um serviço externo como o Duo. Palavra-passe e código são separados por uma vírgula; consoante a configuração do Duo, também são possíveis push, phone, sms ou um código de token.

[
  {
    "display_name": "Avanet Remote Access MFA",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "otp": true,
    "2fa": 1,
    "can_save_credentials": false,
    "check_remote_availability": true,
    "run_logon_script": false
  }
]

Durante a primeira obtenção, o ecrã de início de sessão pode aparecer duas vezes: uma para transferir a configuração e outra para estabelecer o túnel. Isto não indica automaticamente um erro. O helpdesk deve conhecer este comportamento antes de uma implementação alargada. A configuração MFA na firewall é explicada em Configurar MFA no Sophos Firewall.

Os passos GPO e pasta de importação abaixo aplicam-se ao Windows. No macOS a partir de 2.1, importe a .pro aprovada diretamente no cliente e teste separadamente pacote, acesso ao portal, obtenção do perfil e ligação VPN; não transfira caminhos Windows ou passos GPO para o Mac.

Importar no Windows e entregar à implementação gerida

O ficheiro pode ser disponibilizado por download protegido e importado manualmente. Os utilizadores selecionam Import connection ou abrem o ficheiro .pro com um duplo clique. O e-mail só é adequado quando transporte e destinatários são controlados; palavras-passe, OTP e tokens nunca devem constar do ficheiro.

O Sophos Connect monitoriza esta pasta de importação:

C:\Program Files (x86)\Sophos\Connect\import\

Um ficheiro .pro colocado nesta pasta é importado automaticamente e depois eliminado. A eliminação é normal e não prova que a autenticação ou o túnel funcionem. Esta entrega através da pasta é a interface com a distribuição gerida.

Scripts de arranque GPO, pacote do cliente, SCCLI, códigos de saída e rollback completo são tratados em Distribuir o Sophos Connect em endpoints Windows geridos. Esse processo entrega o .pro aprovado ao cliente já instalado como artefacto separado e versionado, mantendo a implementação do pacote separada do provisionamento.

No piloto, documentar a versão ou hash aprovado, entregar o ficheiro à pasta de importação e verificar que ligação aparece. A origem deve ser legível apenas pelos dispositivos previstos, usar certificado fidedigno e não incluir credenciais no URL ou script. Instalar o Sophos Connect no Windows descreve a instalação e as plataformas suportadas.

Um ficheiro .pro normalmente não contém palavras-passe de utilizadores. Continua, no entanto, a ser um artefacto de configuração controlado: endereços do portal, comportamento, MFA e definições de ligação automática devem provir apenas de uma origem autorizada.

Metadados .pro reutilizáveis e identidade SSL

O ficheiro .pro original contém metadados de provisionamento reutilizáveis, não o certificado SSL VPN nem a chave privada de um utilizador. A documentação do cliente SFOS 22 distingue-o do perfil SSL gerado durante a importação: esse perfil e os seus certificados ficam associados à identidade, ao método de autenticação e ao domínio utilizados na importação. Para outro método ou domínio, importe um .pro separado ou o .ovpn próprio do utilizador; reutilizar o perfil SSL importado pode causar Login failed. Wrong fingerprint of certificate. Esta restrição documentada não se aplica aos perfis IPsec .scx.

Um .ovpn contém certificados e chaves privadas específicos do utilizador: nunca o partilhe entre utilizadores. Reutilizar metadados .pro originais aprovados não significa partilhar um perfil SSL gerado nem exportar as chaves de outro utilizador. Importação e início de sessão em Windows e em macOS explicam os passos do cliente; aplique esta precisão de versão às indicações sobre vinculação SSL e impressão digital do certificado.

A documentação do cliente SFOS 23 guardada omite a secção de vinculação de identidade de SFOS 22 sem explicar uma alteração do comportamento em execução. A omissão não comprova nem uma reutilização mais permissiva nem uma vinculação inalterada em todas as versões. Até obter esclarecimento autorizado para a versão concreta, separe por precaução as importações SSL por identidade, método e domínio; esta precaução não é uma regra de execução de SFOS 23 verificada.

Alterações e atualizações de perfis

Após uma importação bem-sucedida, o Sophos Connect obtém automaticamente os perfis .scx e .ovpn e as alterações posteriores. Deve distinguir-se o caminho de obtenção no .pro do perfil VPN obtido:

• Se gateway ou vpn_portal_port mudar, atualize e redistribua o ficheiro .pro.
• Se a porta ou o protocolo mudar em SSL VPN global settings, os utilizadores devem clicar no ícone de roda dentada da ligação no cliente e selecionar Update policy.
• O cliente obtém automaticamente as outras alterações ao perfil VPN disponibilizado. As alterações ao gateway, certificado do servidor, porta ou protocolo SSL VPN podem exigir um novo início de sessão.
• Se gateway e a porta do VPN Portal permanecerem inalterados após um restauro ou importação, o ficheiro volta a obter automaticamente as configurações IPsec e SSL VPN afetadas.
• Se este caminho mudar, redistribua e reimporte o ficheiro .pro.
• Sem .pro funcional, reimporte as configurações IPsec; após alterações à porta, protocolo, interface ou certificado do servidor SSL VPN, transfira novamente e reimporte o .ovpn.
• A atualização do cliente não substitui a redistribuição controlada de um ficheiro .pro alterado.

Os ficheiros de provisionamento antigos e novos não devem ser distribuídos em paralelo através de diferentes GPO, downloads e e-mails. Para cada implementação devem ser documentados o nome do ficheiro, a versão ou data de alteração, o grupo de destino e o caminho de recuperação.

Validar o provisionamento e o túnel

O teste é realizado com um utilizador autorizado e outro não autorizado a partir de uma rede externa real. Uma autenticação bem-sucedida no portal não constitui, por si só, um teste VPN bem-sucedido.

1. Verificar a versão do Sophos Connect e a plataforma Windows.
2. Importar o ficheiro .pro manualmente ou através da GPO piloto.
3. Verificar quais as ligações .scx e .ovpn que aparecem efetivamente.
4. Concluir o fluxo de trabalho de MFA, incluindo um eventual segundo início de sessão.
5. Estabelecer separadamente as ligações IPsec e SSL VPN, caso ambas sejam disponibilizadas.
6. Verificar o endereço atribuído, a resolução DNS interna, o servidor de destino, a regra da firewall e o caminho de retorno.
7. Para o utilizador não autorizado, distinguir entre a importação do perfil e o acesso: pode aparecer um perfil IPsec, mas o túnel ou o acesso interno devem ser recusados na fase prevista de autenticação ou aplicação da política. Um ficheiro SSL VPN .ovpn não pode ser importado sem uma política correspondente.
8. Testar ambos os caminhos de atualização: uma alteração normal do perfil deve chegar automaticamente através do .pro importado; após alterar a porta ou o protocolo SSL VPN, selecionar Update policy no cliente.
9. Testar o reinício do cliente, a alteração de rede e nova entrega pelo método escolhido.
10. Testar o regresso manual a um perfil .scx ou .ovpn aprovado.

Com Microsoft Entra ID SSO, também se verificam Redirect URI, Conditional Access e o novo início de sessão forçado em endpoints partilhados. Microsoft Entra ID SSO para Sophos Connect e VPN Portal explica o mapeamento completo.

No piloto SSO, registe a versão do firmware, a versão do cliente e o IdP. Utilize o ramo de versão escolhido acima, verifique a atribuição do mesmo IdP aos serviços de provisionamento e teste separadamente a obtenção pelo portal e o túnel com utilizadores autorizados e não autorizados. As indicações de identidade SSL continuam delimitadas por versão; um piloto bem-sucedido não resolve de forma geral o conflito pendente na documentação fonte de SFOS 23.

Delimitar erros sistematicamente

Nenhuma ligação é importada

Primeiro, deve verificar-se se o ficheiro contém JSON válido, termina em .pro e foi importado pelo cliente. Em seguida, verificam-se gateway, vpn_portal_port, DNS, cadeia de certificados e acessibilidade do VPN Portal. O desaparecimento de um ficheiro da pasta de importação indica que foi processado, mas não prova uma autenticação bem-sucedida.

Se o cliente alcançar o portal mas não receber nenhum perfil, verificam-se a ligação IPsec configurada, a política SSL VPN, a associação a grupos e os métodos de autenticação. O ficheiro IPsec .scx é disponibilizado a todos os utilizadores; um ficheiro SSL VPN .ovpn apenas a membros de uma política correspondente.

Erros de certificado ou SSO

O nome público em gateway deve corresponder ao certificado e ao host da firewall na secção Redirect URI do IdP configurado. Verifique vpn_portal_port separadamente. No provisionamento SSO, VPN Portal, IPsec e SSL VPN devem utilizar o mesmo IdP. Valide separadamente a obtenção pelo portal e a autenticação do túnel para o ramo SFOS/cliente/fornecedor escolhido; um perfil visível ou um Test connection bem-sucedido não comprova nenhuma das duas.

Para Entra, correlacione a tentativa com Entra sign-in log, incluindo MFA e Conditional Access. Siga o diagnóstico específico da versão em Entra ID VPN SSO: os nomes antigos dos registos SSO dizem respeito a SFOS 22, não a todas as implementações OIDC. Para Google em SFOS 23, siga o diagnóstico Google Workspace OIDC. Não transfira entre versões instruções de registos ou reinício específicas do fornecedor.

MFA aparece duas vezes ou falha

Durante a primeira obtenção podem ser esperados dois inícios de sessão. Se a autenticação falhar, comparam-se otp, 2fa, o método MFA Sophos ou externo configurado e o formato de entrada esperado. passwordotp e o método externo separado por vírgula não são intercambiáveis.

O perfil existe, mas o tráfego não funciona

Nesse caso, o provisionamento já ultrapassou o ponto real da falha. Devem verificar-se separadamente o intervalo de atribuição, as rotas do cliente, DNS, regra da firewall, NAT, caminho de retorno e packet capture. Para IPsec, continue com Resolução de problemas de VPN IPsec no Sophos Firewall.

A entrega gerida não importa o ficheiro

Teste primeiro a importação manual do mesmo ficheiro aprovado. Se funcionar, a falha está na entrega e não no esquema .pro. Verifique estado do serviço, contexto do sistema, acesso à origem, permissões e caminho exato. Continue o diagnóstico do pacote, GPO e SCCLI na implementação Windows gerida. Redistribuir sem identificar a causa não substitui o diagnóstico.

Reverter com segurança

Para efetuar o rollback, interrompa primeiro a distribuição ao grupo afetado para evitar novas importações. Interromper a entrega não elimina as ligações já importadas. Nos dispositivos piloto, remova ou substitua essas ligações de forma controlada antes de importar e testar o ficheiro .scx ou .ovpn manual previamente aprovado. Reverta as alterações ao VPN Portal, a Device Access ou à autenticação apenas quando nenhum provisionamento em produção continuar a depender delas.

Nos clientes de teste, a ligação Sophos Connect existente é removida e reimportada de forma controlada. Em seguida, repetem-se o início de sessão no portal, o túnel, DNS, destinos internos e o teste negativo. O ficheiro .pro defeituoso só é removido dos repositórios centrais e da distribuição de software depois de o caminho de recuperação funcionar.

FAQ