Sophos Firewall: ficheiro .ovpn ausente ou com 0 bytes

Quando o Sophos Firewall VPN Portal não fornece um ficheiro .ovpn utilizável, é necessário começar por esclarecer o erro exato. Há três casos semelhantes, mas com causas diferentes:

O download não aparece: Na maioria dos casos, o utilizador não está atribuído a uma policy de SSL VPN adequada ou a associação ao grupo esperado não está a ser aplicada.
O download aparece, mas o ficheiro tem 0 bytes ou contém apenas uma mensagem de erro: A criação ou entrega do perfil falhou. Neste caso, são relevantes a geração do certificado, os logs, a versão do firmware e, em HA, o node ativo.
O ficheiro não está vazio, mas uma ligação existente deixou de funcionar: Normalmente, não se trata de um erro de download. Depois de alterar Protocol, SSL server certificate, Override hostname ou Port, é necessário importar um perfil atual.

Esta distinção evita intervenções desnecessárias. Em particular, não se deve renovar a Default CA por suspeita nem executar comandos de reparação antigos encontrados em publicações da Community.

Classificar o erro no VPN Portal

Para a primeira verificação, inicia-se sessão no VPN Portal com o utilizador afetado e abre-se VPN > VPN configuration. Em seguida, são registados separadamente quatro resultados: portal acessível, início de sessão bem-sucedido, entrada de SSL VPN visível e tamanho do ficheiro descarregado.

A comparação com um utilizador de referência funcional da mesma policy de SSL VPN fornece a informação mais útil:

Anotar a hora exata do teste e o nome do utilizador afetado.
Verificar se o download de SSL VPN aparece em VPN configuration.
Descarregar o ficheiro e verificar o tamanho no sistema operativo.
Repetir o mesmo procedimento com um utilizador que se sabe estar funcional.
Registar se o erro afeta apenas um utilizador, um grupo ou todos os utilizadores.

Se o utilizador de referência funcionar, a causa estará provavelmente na atribuição da policy, no grupo, no User ID ou na geração do certificado desse utilizador. Se o download falhar para todos, tornam-se mais prováveis o certificado SSL VPN comum, o armazenamento, o pattern, o firmware e, em HA, o node ativo.

Um ficheiro .ovpn pode conter certificados e material de chaves. O seu conteúdo não deve ser incluído em capturas de ecrã, e-mails nem pedidos de suporte. Para o diagnóstico, são suficientes o nome e o tamanho do ficheiro, a hora e a mensagem de erro visível.

Se o acesso ao portal ou o início de sessão já falharem, o erro ocorre antes da geração do perfil. Nesse caso, verificam-se Administration > Device access, a autenticação do VPN Portal e vpnportal.log ou access_server.log. A configuração completa do firewall é descrita em Configurar SSL VPN Remote Access.

Quando o ficheiro .ovpn não aparece

O firewall só apresenta configurações de SSL VPN aos utilizadores atribuídos a uma policy de Remote Access SSL VPN. Um início de sessão bem-sucedido no portal não comprova, por si só, esta autorização.

Verificar a policy e a associação ao grupo

Abrir Remote access VPN > SSL VPN.
Editar a policy esperada.
Em Policy members, verificar se o utilizador ou o respetivo grupo efetivo está incluído.
Confirmar a associação ao grupo em Authentication > Users ou Authentication > Groups.
Iniciar novamente sessão no VPN Portal com o utilizador afetado e voltar a abrir VPN configuration.

Um utilizador pode iniciar sessão com êxito através de outra autorização do portal e, ainda assim, não receber uma configuração de SSL VPN. Os utilizadores e grupos Guest não são Policy members válidos para Remote Access SSL VPN. Quando existem utilizadores ou grupos diretamente associados idênticos, o Sophos Firewall remove-os da policy anterior ao guardar a policy mais recente. Por isso, é necessário verificar os Policy members que realmente permanecem e as associações sobrepostas a grupos.

Apenas utilizadores novos ou individuais são afetados

Nesse caso, também se deve consultar o User ID interno em Authentication > Users > Show additional properties. O Sophos Firewall só suporta IDs de utilizadores e grupos até 65535. Um ID superior pode impedir o download; a verificação e limpeza seguras estão descritas em Limite de User ID do Sophos Firewall.

Um início de sessão comprovadamente bem-sucedido no VPN Portal aponta contra o limite de User ID como causa principal. No entanto, é o ID visível da conta afetada que continua a ser determinante, não o número de utilizadores na lista.

Também se deve verificar a existência de carateres especiais no nome do utilizador e nos campos Subject do certificado e da CA. Para este procedimento, a Sophos recomenda nomes de utilizador ASCII e a ausência de carateres UTF-8 nos campos do certificado ou da CA. O nome do utilizador é utilizado no nome do ficheiro .ovpn e no certificado gerado para cada utilizador. Um utilizador de teste funcional com um nome ASCII simples ajuda a delimitar a causa; não se alteram espontaneamente nomes de identidades AD ou Entra em produção para este efeito.

Quando o download tem 0 bytes ou não é gerado

Um ficheiro vazio significa que a ligação de download está disponível, mas a geração ou entrega não produziu uma configuração utilizável. A Sophos refere configurações incompletas de certificados ou CA como possível causa. Antes de regenerar qualquer elemento, guardam-se os logs e o estado do sistema.

Guardar os logs no momento exato do teste

Em Diagnostics > Tools > Troubleshooting logs, é possível descarregar os ficheiros relevantes sem intervir na Advanced Shell. Dependendo da fase do erro, são importantes:

vpnportal.log para o pedido no VPN Portal;
access_server.log para a autenticação normal;
oauth_sso_vpn.log para Microsoft Entra ID SSO;
peruser_cert_sslvpn.log para a geração do certificado específico do utilizador;
vpncertificate.log para certificados e Certificate Authorities;
sslvpn.log para o serviço SSL VPN.

Os logs são limitados à hora do teste e ao nome do utilizador previamente anotados. Se o portal e a autenticação forem bem-sucedidos, mas peruser_cert_sslvpn.log apresentar um erro à mesma hora, o certificado e a CA são o próximo ponto de verificação lógico. Se o erro afetar todos os utilizadores apenas desde um upgrade ou failover de HA, também se registam a versão do firmware, o node ativo e a hora da mudança de função. A classificação de outros ficheiros é explicada em Serviços e logs do Sophos Firewall.

Verificar o armazenamento temporário

Uma partição temporária cheia também pode impedir a geração do perfil. Depois do início de sessão por SSH no Sophos Firewall, abre-se 5 Device Management > 3 Advanced Shell e consulta-se o espaço livre:

df -kh /tmp

As colunas Avail e Use% do sistema de ficheiros que contém /tmp são determinantes. Se praticamente não existir espaço livre, não se eliminam manualmente ficheiros desconhecidos. Em vez disso, guardam-se os logs e o estado do sistema e determina-se qual o processo que ocupa o espaço. A Sophos já corrigiu com NC-142397 um erro antigo em que o SSL VPN enchia a partição /tmp; o ID do bug é, por isso, uma indicação sobre a versão, mas não um diagnóstico automático para builds atuais.

Verificar o certificado SSL VPN e a Signing CA

Em Remote access VPN > SSL VPN > SSL VPN global settings, o campo SSL server certificate mostra o certificado que o firewall utiliza para o túnel SSL VPN. Este certificado não deve ser confundido com o certificado HTTPS do VPN Portal em Administration > Admin and user settings.

Interpretar corretamente a validade dos certificados públicos

A redução anunciada da validade dos certificados TLS publicamente fidedignos até 47 dias não afeta automaticamente os certificados X.509 por utilizador incorporados no ficheiro .ovpn. Por predefinição, são assinados pela CA interna do SFOS e não fazem parte da Web PKI pública. Por isso, não é necessário descarregar o perfil todos os meses nem mudar para uma CA pública.

O certificado HTTPS do VPN Portal e o SSL server certificate do túnel continuam a desempenhar funções distintas. O certificado do portal deve ser renovado atempadamente por proteger um serviço de browser; um certificado Let’s Encrypt com renovação automática pode ser adequado. Uma alteração a Protocol, SSL server certificate, Override hostname ou Port só se torna fiável depois de voltar a descarregar e importar o ficheiro .ovpn. Esta distinção evita reconstruir desnecessariamente a PKI interna do SSL VPN devido a períodos de validade pública mais curtos.

Em seguida, verificar em Certificates > Certificates e Certificates > Certificate authorities:

O certificado de servidor SSL selecionado está disponível e ainda é válido?
A CA que o emitiu está disponível e é considerada fidedigna?
No caso de um certificado externo, foi importada a cadeia completa de Intermediate CA e Root CA?
A hora do erro coincide com uma alteração de certificado, um restore ou uma migração?

Por predefinição, o firewall utiliza o ApplianceCertificate integrado, assinado pela Default CA. Isto explica a dependência normal, mas ainda não comprova qual o objeto de certificado que causa o erro concreto. Em particular, um erro em peruser_cert_sslvpn.log não deve ser automaticamente interpretado como um ApplianceCertificate defeituoso.

Para um ficheiro com 0 bytes, a Sophos recomenda verificar a Signing CA realmente utilizada e o certificado afetado que esta gerou. No entanto, a reparação concreta difere consoante o certificado:

ApplianceCertificate: A Sophos só documenta a ação Regenerate em Certificates > Certificates para este certificado integrado. Esta ação só é utilizada se o ApplianceCertificate estiver selecionado como certificado de servidor SSL e uma mensagem de log ou o Sophos Support confirmar que este é o objeto afetado.
Certificado de servidor SSL externo: Verificar o certificado, a chave privada, a Intermediate CA e a Root CA como uma cadeia coerente e, perante uma mensagem de erro conclusiva, voltar a importá-los de forma controlada. Não existe aqui um passo Regenerate genérico.
Certificado SSL VPN específico do utilizador: Um erro em peruser_cert_sslvpn.log não afeta automaticamente o certificado de servidor SSL. Atualmente, a Sophos não descreve um procedimento geral na UI para repor este certificado do utilizador. Por isso, os logs guardados são entregues ao Sophos Support; não se reutilizam instruções antigas de Shell ou de base de dados.

Quando o objeto afetado estiver claramente identificado, a reparação é efetuada de forma controlada:

Criar um backup do firewall atual.
Documentar o certificado de servidor SSL selecionado, a CA emissora, a mensagem de log concreta e os serviços que o utilizam.
Executar a ação adequada a um dos três casos numa janela de manutenção; se o caso não for inequívoco, escalar para o Sophos Support.
Descarregar um novo ficheiro .ovpn com um utilizador piloto, importá-lo e testar o túnel.
Só após um teste piloto bem-sucedido, distribuir novos perfis a todos os utilizadores afetados e verificar os restantes serviços afetados.

⚠️ Não se deve, em alternativa, editar a Default CA por suspeita. Ao guardar, esta CA é gerada novamente. Isto pode afetar muitos mais certificados e relações de confiança do que o certificado de servidor SSL VPN individual. Renovar de forma controlada a Default CA do Sophos Firewall explica o inventário, a janela de manutenção, a migração de perfis e a recuperação.

Verificar pattern, firmware e HA

Em Backup & firmware > Pattern updates, os componentes instalados automaticamente devem apresentar uma data e hora atuais e o estado Success. Um único pedido manual com Update pattern now é útil quando está visível um erro de pattern; clicar repetidamente não substitui o diagnóstico. O procedimento completo encontra-se em Configurar e verificar Pattern Updates.

A avaliação também deve incluir o build exato do firmware. A Sophos apresenta NC-149642 — os utilizadores não conseguiam descarregar a configuração de SSL VPN a partir do VPN Portal — nos problemas corrigidos no SFOS 21.0 MR2 Build 349 e no SFOS 22.0 GA Build 411. Outras correções mais antigas afetavam downloads após upgrades ou failovers de HA. Um ID de bug histórico não comprova a causa atual, mas mostra por que motivo se deve comparar um build desatualizado com as Release Notes antes de reparações mais profundas. Uma atualização é planeada, não improvisada durante a resolução de problemas em curso; para isso, consulte Atualizar o firmware SFOS do Sophos Firewall.

Num cluster de HA, registam-se a função, o node ativo e a hora do último failover. Se o erro só ocorrer depois de uma mudança de função, guardam-se os logs de VPN e HA do node afetado. Não se reparam manualmente diretórios internos, entradas de base de dados ou symlinks em /content/sslvpn. Estas intervenções devem ser entregues ao Sophos Support juntamente com as informações do erro guardadas.

Quando o ficheiro existe, mas está desatualizado

Um ficheiro .ovpn não vazio pode ter sido gerado corretamente e, mesmo assim, já não corresponder ao estado atual do firewall. Depois de alterar Protocol, SSL server certificate, Override hostname ou Port, é necessário descarregar novamente o ficheiro e voltar a importá-lo no cliente. Se Override hostname estiver vazio, os endereços das interfaces disponibilizadas podem constar do perfil; também nesse caso é necessário obter um novo perfil após uma alteração.

Por outro lado, alterações em Policy members ou Permitted network resources requerem normalmente apenas uma nova ligação. Um ficheiro de provisioning .pro descarrega automaticamente a configuração disponível; durante o diagnóstico, deve ainda assim verificar-se separadamente se o download manual do .ovpn funciona.

Com Microsoft Entra ID SSO, seleciona-se o mesmo servidor Entra ID em Authentication > Services para VPN portal authentication methods e SSL VPN authentication methods. Em seguida, é necessário voltar a descarregar o .ovpn. Se um ficheiro .pro também fizer o provisioning de IPsec, verifica-se igualmente VPN (IPsec/dial-in/L2TP/PPTP) authentication methods com o mesmo servidor. A dependência completa é descrita em Microsoft Entra ID SSO para Sophos Connect e VPN Portal.

Verificar o resultado e escalar corretamente

O erro só é considerado resolvido quando o mesmo procedimento funciona por completo com um utilizador piloto normal:

O início de sessão no VPN Portal é bem-sucedido.
A entrada de SSL VPN esperada está visível em VPN configuration.
O ficheiro .ovpn descarregado não está vazio nem contém uma mensagem de erro.
É possível importar o novo perfil no cliente pretendido.
O túnel é estabelecido e recebe um endereço do conjunto de endereços SSL VPN esperado.
Um destino interno permitido funciona por endereço IP e nome de host.
Um destino deliberadamente não permitido permanece bloqueado.

Se a geração continuar a falhar com uma versão atual do firmware, o pacote de suporte deve incluir, no mínimo, o modelo, o build do firmware, a função HA, a hora do erro, o utilizador e o grupo, a policy afetada, o tamanho do ficheiro, a mensagem de erro visível, as últimas alterações e os logs indicados. O próprio ficheiro .ovpn não é enviado. Num caso reproduzível, estas evidências são mais valiosas do que alterações arriscadas a ficheiros internos.