Configurar VPN IPsec da Sophos Firewall no iPhone

Para utilizar IPsec de acesso remoto nativo no iPhone, transfere-se o perfil iOS diretamente do VPN Portal da Sophos Firewall e instala-se nas definições do sistema. O Sophos Connect e o OpenVPN Connect não são o meio de importação deste perfil. O ficheiro .ovpn e o guia separado para SSL VPN no iPhone e iPad correspondem a outro protocolo.

O percurso rápido é: verificar a versão do iOS e a aprovação da administração, iniciar sessão no VPN Portal através do Safari, abrir VPN > VPN configuration > IPsec VPN profile > Download for iOS, verificar e instalar o perfil e, depois, confirmar o estado da VPN e o acesso aos destinos internos permitidos. Uma transferência bem-sucedida, por si só, ainda não significa que a ligação funcione.

Antes da transferência: esclarecer a versão e as permissões

A administração tem de ter configurado IPsec de acesso remoto e atribuído ao utilizador a política adequada. Sem esta configuração, a opção de transferência de IPsec para iOS não aparece. A presença de uma opção de transferência de SSL VPN não comprova a autorização para IPsec. A preparação do lado da firewall é explicada em Configurar o Sophos Connect na Sophos Firewall; os respetivos perfis de desktop .scx e .pro não são utilizados aqui.

Antes da instalação, devem documentar-se:

• o build de SFOS e a versão de iOS utilizados, bem como a aprovação desta combinação pela administração;
• o endereço exato do portal, o utilizador, o método de autenticação e o nome esperado do perfil;
• a aplicação interna permitida, os nomes DNS internos e o comportamento previsto de Split Tunnel ou Full Tunnel;
• os perfis VPN existentes e se o iPhone é gerido através de MDM;
• onde a versão de iOS instalada apresenta a instalação de perfis e o estado da ligação VPN, e como desligar especificamente este túnel.

As designações dos menus Apple apresentadas abaixo estão em inglês; num dispositivo com outro idioma, podem ser diferentes. A Apple indica que os perfis instalados se encontram em Settings > General > VPN & Device Management. A localização do interruptor VPN tem de ser esclarecida previamente para a versão efetivamente utilizada. Se a instalação de perfis estiver bloqueada num dispositivo gerido, contacte a administração em vez de remover a gestão ou as funções de segurança.

O cliente nativo tem de ser compatível com o método de autenticação previsto. Um guia Windows para Sophos Connect com OIDC ou Entra SSO não constitui uma garantia de compatibilidade com IPsec nativo no iOS. O MFA para VPN Portal e Remote Access tem de ser avaliado separadamente para o portal e para o túnel. Se não for possível aplicar de forma segura o segundo fator exigido no procedimento nativo, interrompa a implementação e escolha uma alternativa aprovada; não desative MFA para resolver problemas.

Obter e instalar o perfil através do Safari

1. No Safari, abra o endereço do VPN Portal confirmado pela administração. Exemplo: https://vpn.example.com:443. vpn.example.com é um marcador de posição para o FQDN do seu portal; 443 é a porta predefinida. Utilize uma porta diferente apenas por indicação da administração. Esclareça os avisos de certificado antes da transferência; não os contorne permanentemente.
2. Inicie sessão com o seu utilizador VPN e confirme o segundo fator previsto. Abra VPN e, em VPN configuration > IPsec VPN profile, toque em Download for iOS. Esta opção não corresponde à transferência de SSL VPN para dispositivos móveis nem a um pacote de cliente Windows.
3. Confirme a autorização de transferência apresentada apenas se corresponder ao perfil esperado. Em Settings, abra Profile Downloaded. Confirme com a administração a origem do perfil, a organização, o gateway VPN e as definições incluídas. Não instale certificados inesperados ou definições de gestão adicionais sem os verificar.
4. Só depois selecione Install e conclua as confirmações apresentadas, incluindo a introdução do código do dispositivo. A Apple remove uma transferência ainda não instalada ao fim de oito minutos; se já não estiver disponível, volte a transferi-la do portal confirmado. Apenas um perfil transferido pode aguardar instalação de cada vez. Se Stolen Device Protection impedir a instalação, recorra primeiro a um local familiar e ao processo de suporte aprovado, em vez de desativar habitualmente esta proteção.
5. Identifique o perfil instalado nas definições do sistema. Nos guias de SFOS 22/23, a Sophos descreve o estabelecimento automático da ligação IPsec após a transferência. Isto não é uma garantia para a versão atual de iOS: a instalação pela interface Apple e, se necessário, o início de sessão têm de estar concluídos. Verifique o estado real da VPN; se não estiver ligada, utilize o interruptor VPN previamente identificado para este perfil e execute os passos previstos de introdução de credenciais ou MFA. Se o interruptor não estiver disponível ou surgirem pedidos diferentes, não improvise; contacte o suporte.

Trate o perfil como confidencial e não o partilhe com outros utilizadores. O SSO do portal, a instalação do perfil e o início de sessão no túnel são três operações distintas; nenhuma delas comprova, por si só, o sucesso das outras.

Verificar a ligação com um utilizador-piloto

As verificações seguintes são passos de aceitação, não testes já realizados num dispositivo. Execute o primeiro teste fora da WLAN interna, numa rede externa aprovada, para que o acesso direto à LAN não distorça o resultado.

1. Nas definições VPN do iOS, verifique se o perfil esperado está ligado. A administração confirma o utilizador e a sessão na firewall.
2. Abra uma aplicação interna permitida através do respetivo nome DNS documentado. Por exemplo, https://intranet.example.com representa a sua aplicação aprovada; substitua o marcador de posição pelo nome interno real. Verifique separadamente a resolução DNS e o acesso à aplicação.
3. Um destino não autorizado, acordado com a administração, tem de permanecer bloqueado. Não alargue as regras de firewall para obter um aparente sucesso.
4. A administração verifica no Log Viewer se o tráfego proveniente da zona VPN corresponde à regra restrita esperada; o logging tem de estar ativado para esta verificação. O procedimento está em Verificar regras de firewall com Log Viewer e Packet Capture.
5. Verifique se o segundo fator é aplicado onde a política de segurança o exige. Um pedido de MFA no portal não comprova MFA no túnel IPsec. Uma nova ligação e uma mudança controlada entre WLAN e rede móvel também fazem parte da aceitação. O tráfego de Internet tem de corresponder ao modelo de Split Tunnel ou Full Tunnel acordado.

Se o túnel estiver estabelecido, mas não houver acesso à aplicação, investigue primeiro a política, a regra, o caminho de retorno e o DNS. Se o túnel não for estabelecido, verifique o perfil, as permissões do utilizador, a autenticação e o percurso de rede IPsec. A resolução de problemas de IPsec ajuda a administração a delimitar a causa; desativar a validação de certificados ou MFA não é um passo de diagnóstico.

Desligar a ligação e substituir perfis de forma controlada

Para desligar a ligação em causa, a Sophos indica Settings > General > VPN > Status. Esta designação da fonte não é um percurso universal para as versões atuais de iOS. Abra a área VPN identificada na verificação prévia, selecione especificamente a sua ligação e altere o respetivo estado para desligada. Depois, confirme que o túnel já não está ligado e que um novo pedido à aplicação de teste acessível exclusivamente através da VPN deixa de funcionar. Não se baseie em páginas já carregadas no browser para esta verificação. Se uma configuração gerida impedir a desconexão ou restabelecer a ligação, envolva o responsável pelo MDM em vez de eliminar perfis de terceiros.

Reinstalar após alterações administrativas

Se um túnel que funcionava anteriormente deixar de ligar após uma alteração de configuração, a Sophos exige a reinstalação da configuração. O IPsec nativo do iOS não utiliza aqui provisioning automático do Sophos Connect.

1. Antes da substituição, documente o nome do perfil, a versão, o motivo da alteração e o procedimento de reversão aprovado pela administração. Acorde uma janela de intervenção, porque a substituição interrompe o acesso. Não reponha indiscriminadamente todos os perfis de rede ou as definições do dispositivo.
2. Desligue o túnel e volte a transferir o perfil IPsec atual para iOS no Safari, a partir do VPN Portal. A administração esclarece se este substitui o perfil existente ou se é necessário remover primeiro especificamente o perfil antigo. No caso de um perfil MDM, a substituição é feita através do processo de gestão correspondente.
3. Verifique e instale o novo perfil como descrito acima. Em seguida, volte a verificar a ligação, os requisitos MFA, o DNS e os destinos permitidos e bloqueados. Não mantenha vários perfis com o mesmo nome em paralelo sem controlo.
4. Se a aceitação falhar, desligue o novo túnel e interrompa a implementação. Reutilize um perfil antigo apenas se a administração confirmar que o gateway, as chaves ou os certificados e as permissões continuam válidos. Após alterações de segurança, esse perfil não é uma opção de reversão fiável. Só depois de uma aceitação bem-sucedida remova especificamente as transferências antigas e os perfis obsoletos.

Substituir ou perder o dispositivo, ou retirar o acesso

Antes da remoção, verifique o perfil em causa e o respetivo conteúdo em Settings > General > VPN & Device Management. Confirme a opção de remoção apresentada apenas para o perfil VPN inequivocamente identificado e após aprovação. A Apple salienta que a remoção de um perfil também pode remover as definições, aplicações e dados associados. Por isso, não elimine um perfil de gestão partilhado como se fosse uma simples limpeza de VPN. Se a remoção estiver bloqueada, a equipa de gestão tem de efetuar a retirada.

Após a retirada, verifique se o perfil já não está presente e se não é possível estabelecer uma nova ligação. Em caso de perda do dispositivo ou saída do utilizador, retire também as permissões de utilizador ou grupo do lado do servidor, termine as sessões VPN existentes e esclareça com a administração como tratar eventuais chaves ou certificados expostos. Eliminar apenas o ficheiro local não revoga a autorização VPN. As cópias do perfil em downloads e cópias de segurança também fazem parte do processo de retirada.