Saltar para o conteudo
Avanet

Sophos Firewall SSL VPN Configurar acesso remoto

Sophos Firewall

SSL VPN continua sendo um importante caminho de acesso remoto, especialmente quando os usuários trabalham em hotéis, WLANs de hóspedes, redes celulares ou redes restritivas de terceiros. Mas não é apenas a construção do túnel que é importante. O que é crucial é se o firewall limita o acesso corretamente, se o DNS funciona, se MFA funciona e se as regras do firewall permitem o tráfego da zona VPN de maneira controlada.

O artigo descreve a configuração do lado do firewall do acesso remoto SSL VPN em Sophos Firewall. Para a instalação do cliente, Configurar o Sophos SSL VPN com o Sophos Connect no Windows, Configurar o Sophos SSL VPN com o Sophos Connect no macOS, Configurar o Sophos SSL VPN no iPhone e iPad e Configurar o Sophos SSL VPN no Android.

Para a decisão básica entre IPsec, SSL VPN, clientes móveis e ZTNA, Sophos Connect ou SSL VPN: Qual solução de acesso remoto é adequada? é a primeira escolha.

Qual artigo SSL-VPN se encaixa?

SSL VPN consiste em configuração de firewall, portal, cliente, autenticação e posterior análise de erros. Dependendo da tarefa, uma abordagem diferente é apropriada:

Essa separação é importante: um problema de usuário no VPN Portal, um perfil .ovpn desatualizado, uma regra de firewall ausente e um problema de DNS geralmente parecem iguais para o usuário. Para análise, esses níveis devem ser separados.

Imagem alvo

Uma estrutura SSL-VPN limpa consiste em vários blocos de construção:

  1. Os usuários ou grupos estão autorizados na política SSL VPN correta.
  2. As configurações globais do SSL VPN definem gateway, porta, certificado, Lease-Bereich, DNS e criptografia.
  3. O VPN Portal é amplamente acessível apenas quando necessário e protegido com MFA.
  4. As regras de firewall permitem o tráfego da zona VPN apenas para os destinos necessários.
  5. Split Tunnel ou Full Tunnel é decidido deliberadamente.
  6. Os clientes importam um perfil .ovpn atual.
  7. Logs, Packet Capture e dados de suporte podem ser avaliados em caso de erro.

Muitos problemas de SSL VPN surgem porque apenas o download do cliente é documentado. Na prática, porém, você deve considerar o portal, a autenticação, a política SSL-VPN, a regra de firewall, o DNS e o NAT juntos.> ⚠️ SSL VPN é um ponto de entrada acessível publicamente. MFA e senhas fortes são importantes, mas não substituem os limites de Device access, grupos restritos de usuários, perfis atuais, registros e revisões regulares.

⚠️ Alterações no gateway, porta, certificado, DNS, Lease-Bereich ou política não terminam automaticamente em perfis de clientes já importados. Após alterações relevantes, o arquivo .ovpn deverá ser baixado novamente, distribuído e substituído nos clientes.

Requisitos

Antes da configuração, estes pontos devem ser esclarecidos:

  • Sophos Firewall com versão atual do SFOS.
  • Acessibilidade pública do firewall ou encaminhamento de porta upstream.
  • FQDN ou endereço IP público para acesso VPN.
  • Certificado para VPN Portal e SSL VPN, idealmente correspondente ao FQDN.
  • Usuários ou grupos para acesso remoto.
  • Servidor de autenticação: local, Active Directory, RADIUS ou Microsoft Entra ID.
  • Conceito MFA/OTP para VPN Portal e acesso remoto.
  • Redes alvo internas, servidores DNS e domínio de pesquisa.
  • Opte por Split Tunnel ou Full Tunnel.
  • Regras de firewall para tráfego da zona VPN.
  • Processo de atualização do cliente e redistribuição do arquivo .ovpn.

Se o SSO do Microsoft Entra ID for usado, a autenticação deverá ser preparada corretamente antes de baixar a configuração VPN. O processo está em Configurando o SSO Microsoft Entra ID para Sophos Connect e VPN Portal.

1. Prepare objetos locais

Primeiro, as redes alvo devem existir como hosts ou objetos de rede:

Hosts and services > IP host

Objetos típicos:

  • LAN_Server: 10.10.10.0/24. servidores internos
  • LAN_Client: 10.10.20.0/24. Rede de clientes, se necessário
  • DNS_Internal: 10.10.10.10. DNS interno ou controlador de domínio
  • SSLVPN_Users: Grupo de usuários. Membros da política

Você não deve simplesmente liberar áreas inteiras da rede interna se apenas servidores ou sub-redes individuais forem necessários. Quanto mais rigorosamente os objetos forem definidos, mais simples será a regra do firewall posteriormente.

2. Verifique as configurações globais de SSL-VPN

As configurações globais se aplicam a todas as políticas SSL de acesso remoto VPN:

Remote access VPN > SSL VPN > SSL VPN global settings

Protocolo e porta

SSL VPN pode usar TCP ou UDP dependendo da configuração. O UDP costuma ser mais eficiente, o TCP pode funcionar melhor em redes restritivas. A decisão deve ser testada nas redes nas quais os usuários realmente trabalham.

Quando se trata de portos, é preciso evitar sobreposições:

  • SSL VPN A porta padrão geralmente é 8443.
  • VPN Portal usa 443 por padrão nas versões atuais do SFOS.
  • As regras WAF e SSL VPN não podem se sobrepor no mesmo IP WAN com a mesma porta e mesmo protocolo.
  • Se SSL VPN e VPN Portal usarem a mesma porta, as funções de segurança de login não funcionarão conforme o esperado.

Se WAF, VPN Portal, User Portal e SSL VPN forem operados no mesmo IP WAN, você deve documentar conscientemente a porta, o protocolo e o certificado. Para noções básicas de WAF Sophos Firewall Configure o WAF e evite erros típicos é adequado.

Certificado e substituição do nome do host

Um certificado que corresponda ao FQDN público deve ser usado em certificado de servidor SSL. Um erro de certificado no perfil VPN Portal ou SSL VPN levará a casos de suporte desnecessários posteriormente. Em Override hostname você especifica qual nome de host ou endereço IP os clientes usam no perfil .ovpn. Isto é particularmente importante para:

  • vários endereços IP WAN,
  • roteador a montante,
  • NAT ou encaminhamento de porta na frente do firewall,
  • WAN-IP dinâmico com DDNS,
  • FQDNs separados para WebAdmin, VPN Portal e SSL VPN.

Se o campo for deixado vazio, vários endereços de interface poderão acabar no perfil. Isso pode funcionar, mas em ambientes de produção geralmente é menos claro do que um FQDN limpo.

Após alterar o nome do host de substituição, você deve baixar um novo perfil e verificar se o cliente realmente possui o novo FQDN ou o novo endereço IP público. Caso contrário, você poderá testar a conexão antiga mesmo que a configuração do firewall já esteja correta.

Lease-Bereich

Sophos Firewall atribui endereços de clientes SSL VPN do Lease-Bereich configurado. Esta área não deve colidir com redes internas, rotas estáticas, VPNs site a site ou áreas típicas de redes domésticas.

Você deve evitar sub-redes particularmente comuns, como:

  • 192.168.0.0/24
  • 192.168.1.0/24
  • 192.168.2.0/24
  • 10.0.0.0/24
  • 10.0.1.0/24

Quando o Lease-Bereich colide com a rede doméstica de um usuário, o túnel às vezes se conecta com êxito, mas os destinos internos permanecem inacessíveis. Isso parece um problema de regra de firewall, mas é um problema de roteamento no terminal.

Para regras de firewall, você deve usar os hosts do sistema ##ALL_SSLVPN_RW e para IPv6 ##ALL_SSLVPN_RW6, e não hosts recriados manualmente com Lease-Bereichs antigos.

Endereços IP SSL estáticos VPN e vida útil da chave

Endereços IP SSL VPN estáticos podem ser úteis em casos individuais, por exemplo, para acesso de administrador, acesso especial estritamente registrado ou aplicativos legados com aprovação baseada em IP. No entanto, eles não são adequados como padrão para todos os usuários. Quanto mais atribuições estáticas houver, mais difícil se torna a operação, a análise de erros e as migrações subsequentes.

Um caso especial específico está documentado na lista de problemas conhecidos: Para SSL VPN com autenticação local e IP SSL VPN atribuído estaticamente, a reautenticação pode falhar depois que o tempo de vida da chave expirar. O firewall pode tratar o endereço de concessão já atribuído como um conflito. Os usuários então precisam se reconectar manualmente, mesmo que o túnel estivesse funcionando anteriormente. Um valor típico de vida útil da chave é 18000 segundos.

Se um usuário precisar fazer login repetidamente após várias horas, você não deve apenas verificar MFA, versão do cliente e regra de firewall. Além disso, estes pontos pertencem à análise:

  • A autenticação local é usada para SSL VPN?
  • O usuário possui um endereço IP SSL VPN estático?
  • O problema ocorre aproximadamente após o término da vida útil da chave?
  • O mesmo usuário trabalha de forma mais estável com atribuição dinâmica de IP?
  • Um IP estático é realmente necessário ou uma regra sobre grupo de usuários, host do sistema SSL-VPN e registro é suficiente?

A Sophos cita duas contramedidas pragmáticas: planejar a vida útil da chave de modo que cubra o dia normal de trabalho ou usar a alocação dinâmica de IP. Em muitos ambientes, a alocação dinâmica é mais limpa porque as regras de firewall já devem ser controladas na zona VPN, no grupo de usuários, nos objetos de destino e nos hosts do sistema SSL VPN.

DNS e nome de domínio

Para resolução de nomes internos, servidores DNS e opcionalmente um nome de domínio são definidos nas configurações globais de SSL-VPN. Em ambientes Active Directory, geralmente é um servidor DNS interno ou controlador de domínio.

Além disso, o DNS da zona VPN deverá ser permitido em Administration > Device access se o próprio firewall for usado como um resolvedor de DNS no design VPN.

Se o DNS não funcionar no túnel, você deverá testar separadamente:

  • O alvo é acessível via endereço IP?
  • O servidor DNS interno é permitido pela regra do firewall?
  • O cliente recebe o domínio de pesquisa correto?
  • O cliente realmente utiliza o perfil .ovpn atual?
  • A configuração local de DNS ou DoH do endpoint intervém?

Para Split Tunnel, o DNS deve ser planejado com especial cuidado. Se apenas redes de destino internas forem roteadas através do túnel, deve ficar claro se os nomes internos são resolvidos através do servidor DNS interno e se os nomes públicos são resolvidos localmente ou através do firewall. Caso contrário, surgem erros nos quais o acesso IP funciona, mas os nomes de host internos são resolvidos apenas em clientes individuais.

3. Criar política SSL VPN

A política é criada em:

Remote access VPN > SSL VPN

Processo:

  1. Selecione Add.
  2. Utilize Configure manually.
  3. Atribua um nome, por exemplo SSLVPN-Remote-Users.
  4. Selecione os usuários ou grupos autorizados em Membros da política.
  5. Defina Split Tunnel ou Full Tunnel.
  6. Para Split Tunnel selecione Recursos de rede permitidos.
  7. Opcionalmente, configure Disconnect idle clients.
  8. Salve e verifique com um usuário de teste.

Importante: Se usuários ou grupos estiverem inscritos em uma política SSL-VPN mais recente que já esteja incluída em uma política SSL-VPN mais antiga, Sophos Firewall removerá essa associação da política anterior. Portanto, você deve evitar sobreposições de políticas e definir claramente qual política se aplica a cada grupo de usuários.

Após alterações na política, um usuário normal do grupo de destino deverá ser verificado em VPN Portal. Exatamente a configuração SSL-VPN esperada deve estar visível, não vários perfis antigos ou nenhuma configuração. Este teste do portal revela erros de grupo mais rapidamente do que um teste administrativo puro com direitos especiais.

4. Escolha Split Tunnel ou Full Tunnel

Split Tunnel

Com Split Tunnel, somente o tráfego para os recursos internos permitidos passa pelo túnel VPN. O tráfego da Internet do usuário continua diretamente na rede local do usuário.

Split Tunnel geralmente se ajusta a:

  • Acesso a alguns aplicativos internos,
  • menor carga do firewall,
  • melhor desempenho do usuário,
  • locais remotos menores e usuários móveis.

A segurança depende mais do endpoint, do ambiente de rede local e dos recursos internos compartilhados.

Full Tunnel

Com Full Tunnel, todo o tráfego de usuários remotos é roteado através do firewall. Em Sophos Firewall isso corresponde à opção Usar como gateway padrão.

Full Tunnel é mais adequado se:

  • O tráfego da Internet deve ser controlado centralmente,
  • Web Protection, DNS Protection ou registro em log devem ser aplicados aos usuários VPN,
  • Os usuários trabalham em redes inseguras,
  • A conformidade requer avaliação central.

Para Full Tunnel, a política SSL VPN por si só não é suficiente. Você também precisa de regras de firewall e NAT/SNAT para tráfego de Internet da zona VPN. Você também deve testar o desempenho, a largura de banda, a filtragem da web e o registro com antecedência. Full Tunnel não deve ser ativado apenas porque os alvos Split-Tunnel individuais são difíceis de manter. Quando todo o tráfego da Internet passa pelo firewall, capacidade, filtragem da Web, DNS, registro, proteção de dados e sobrecarga de suporte tornam-se parte do design.

5. Crie regras de firewall para a zona VPN

Estabelecer um túnel não significa que o tráfego seja permitido. Para acessar recursos internos você precisa de uma regra de firewall adequada:

Rules and policies > Firewall rules

Regra recomendada para Split Tunnel:

  • Nome da regra: VPN_SSLVPN_to_Internal_Servers
  • Zona de origem: VPN
  • Source networks and devices: ##ALL_SSLVPN_RW
  • Destination zones: zonas alvo internas, por exemplo LAN ou DMZ
  • Destination networks: apenas servidores ou sub-redes permitidos
  • Services: apenas serviços necessários
  • Registrar tráfego de firewall: ativar

Para Full Tunnel você também precisa de uma regra de VPN a WAN ou Any, dependendo do design. As redes de origem ainda devem ser os hosts do sistema SSL VPN. Deve então ser verificado se existe uma regra SNAT adequada.

Se houver uma conexão, mas nenhum acesso funcionar, você deve primeiro verificar o Log Viewer. Testar regra de firewall com Log Viewer, Policy Test e Packet Capture é adequado para a metodologia.

As regras para SSL VPN devem estar em um grupo claramente nomeado, por exemplo VPN Remote Access. Uma regra ampla como VPN_to_LAN_Any é conveniente, mas dificulta a análise de erros subsequente e muitas vezes permite mais acesso do que o tecnicamente necessário. Regras separadas por área de destino ou classe de serviço com registro ativo são melhores.

6. Proteja VPN Portal e Device Access

Os usuários normalmente carregam o Sophos Connect e o arquivo .ovpn do VPN Portal:

Administration > Admin and user settings
Administration > Device access
Authentication > Services
Authentication > Multi-factor Authentication

Pelo menos verifique:

  • Porta e certificado VPN Portal.
  • Métodos de autenticação VPN Portal.
  • MFA para VPN Portal e acesso remoto.
  • Device Access para VPN Portal apenas em zonas obrigatórias.
  • Device Access para SSL VPN na zona WAN somente se necessário externamente.
  • Não há User Portal permanentemente aberto em WAN quando não estiver em uso.

Para fortalecer serviços de firewall locais, Device Access e Local Service ACL se ajustam a Sophos Firewall. Para MFA básico se encaixa MFA para Sophos Firewall WebAdmin, VPN Portal e ativar acesso remoto.

O VPN Portal só parece útil para usuários se eles ou seus grupos estiverem incluídos em uma política de acesso remoto apropriada. Se a atribuição de política estiver faltando, o usuário não verá os downloads de configuração necessários.

Se VPN Portal ou SSL VPN precisar ser permitido na zona WAN, isso deverá ser documentado deliberadamente. Em muitos ambientes, não basta abrir o serviço mundialmente e contar com o MFA. Sempre que possível, devem ser examinadas redes de fonte fixa, restrições nacionais, feeds de ameaças, verificação de registos ou uma concepção de acesso remoto a montante.

É importante separar WebAdmin e VPN Portal. WebAdmin é a interface de administração do firewall. O VPN Portal é o acesso do usuário para downloads e perfis VPN. Ambos os serviços não devem ser agrupados porque têm riscos, portas, permissões e públicos diferentes.

7. Distribuir perfil do cliente

Após a configuração da política e do portal, o arquivo .ovpn é distribuído. Isso pode acontecer por meio do VPN Portal ou controlado pelo processo administrativo.

Importante:- Após alterações no gateway, porta, certificado, DNS, Lease-Bereich, política ou autenticação, o perfil deverá ser recarregado.

  • Uma atualização do Sophos Connect não substitui um perfil .ovpn antigo.
  • Os nomes dos perfis devem ser exclusivos.
  • Perfis antigos deverão ser removidos ao mudar de local, gateway ou usuário.
  • Windows, macOS, iOS, Android e Linux às vezes usam caminhos de cliente diferentes.

Mudanças típicas de perfil em operação:

  • Novo FQDN ou novo IP público: Baixe novamente .ovpn e substitua o perfil antigo
  • Porta ou protocolo alterado: Reimporte o perfil e remova a entrada de conexão antiga
  • Certificado renovado ou alterado: Redistribua o perfil e verifique ativamente os avisos de certificado
  • Servidor DNS ou nome de domínio alterado: Importe novo perfil e teste a resolução de nomes
  • Lease-Bereich alterado: Reimportar perfil e verificar rota/endereço do cliente
  • Grupo de usuários ou política alterada: Testar download do portal com usuário alvo normal

Para atualizações do cliente e manutenção de versão, Verifique a versão do cliente Sophos Connect e atualize-a com segurança.

Teste após configuração

Com um usuário de teste você não deve apenas verificar se o Sophos Connect mostra Connected.

Lista de testes:

  • O usuário vê o download do Sophos Connect e a configuração SSL VPN no VPN Portal.
  • O arquivo .ovpn pode ser importado.
  • MFA é pesquisado conforme esperado.
  • O cliente recebe um endereço do SSL-VPN-Lease-Bereich.
  • A rota para as redes internas permitidas aparece no endpoint.
  • Os nomes DNS internos são resolvidos.
  • O acesso aos servidores permitidos funciona.
  • As redes não autorizadas permanecem bloqueadas.
  • Log Viewer mostra a regra de firewall correta.
  • Um teste negativo deliberado será rejeitado e registrado.
  • Packet Capture mostra o tráfego através de uma interface tun, se necessário.
  • Acesso à Internet e SNAT também funcionam com Full Tunnel.

Se o teste for feito apenas com um usuário administrador, é fácil não perceber erros de grupo e de política. Um usuário piloto normal do grupo-alvo é melhor.

Um bom teste de aceitação sempre inclui acesso bloqueado. Esta é a única maneira de ver se as regras de firewall são realmente limitantes ou se uma regra muito ampla mais abaixo no conjunto de regras ainda permite o acesso.

Teste de aceitação por cenário

Antes de uma implementação ampla, pelo menos estes casos de teste devem ser claramente documentados:

  • Novo usuário: Registro em VPN Portal e importação de perfil. O usuário vê apenas a configuração SSL-VPN correspondente e pode importar o perfil
  • MFA ativo: Login com OTP correto e incorreto. Fator correto permite acesso, fator incorreto é rejeitado e registrado
  • Split Tunnel: Acesso a alvo interno permitido e não permitido. Destinos permitidos funcionam, outras redes permanecem bloqueadas
  • Full Tunnel: Acesso à Internet via VPN. Regra de firewall, SNAT, DNS e política de segurança/web funcionam conforme planejado
  • DNS: Acesso por nome e por endereço IP. Erros de DNS podem ser separados de problemas de roteamento ou regras
  • Mudança de perfil: Importar novo perfil .ovpn. FQDN, porta, DNS ou certificado alterados ficam visíveis no perfil do cliente
  • Caso de erro: Verifique Log Viewer e Packet Capture. A regra de firewall correspondente real e o fluxo de pacotes são rastreáveis ​​ Para ambientes de produção, cada teste deve conter horário, usuário, plataforma do cliente e alvo específico. Declarações como “VPN funciona” ou “VPN não funciona” são muito imprecisas para casos de suporte posteriores.

Colete registros e evidências

Se você tiver problemas com SSL-VPN, deve primeiro esclarecer se o erro é de login, configuração do túnel ou acesso a destinos internos. Essa separação economiza tempo porque, caso contrário, a autenticação, o perfil do cliente, o roteamento e as regras de firewall serão verificados em conjunto.

Para um caso de teste reproduzível, esta informação deve ser observada:

  • Nome de usuário e grupo: mostra qual política e autenticação SSL-VPN devem ser aplicadas
  • Plataforma cliente e versão Sophos Connect: separa erros do cliente da configuração do firewall
  • Hora do teste: torna Log Viewer, sslvpn.log e logs de autenticação comparáveis ​​
  • Rede de origem do usuário: ajuda com hotel-WLAN, celular, CGNAT, firewalls restritivos ou problemas de porta
  • Sistema e serviço alvo: evita declarações excessivamente amplas como “VPN não funciona”
  • Resultado por endereço IP e por nome DNS: separa problemas de roteamento e DNS

Você deve então realizar o teste nesta ordem:

  1. Verificar autenticação: Verifique em Log Viewer e, se necessário, nos logs de autenticação, se o usuário, MFA, grupo e servidor de autenticação foram bem-sucedidos. Para o SSO Microsoft Entra ID, oauth_sso_vpn.log também é relevante.
  2. Verifique o status do túnel: Verifique a conexão SSL VPN, o endereço de concessão e o status do OpenVPN. sslvpn.log e openvpn-status*.log ajudam no lado do firewall.
  3. Verifique a regra de firewall: Pesquise o tráfego da zona VPN no Log Viewer e verifique qual regra realmente corresponde. A regra deve ter Registrar tráfego de firewall ativo.
  4. Verifique o fluxo de pacotes: Se Log Viewer não for suficiente, filtre por origem, destino e serviço com Packet Capture. O que é importante é se os pacotes são apenas Incoming ou também se tornam Forwarded.
  5. Verifique a página de destino: Se o tráfego sair do firewall, mas nenhuma resposta retornar, a rota de retorno, o firewall do servidor, o firewall do host local ou o conflito de rede são mais prováveis ​​do que a política SSL VPN.

Solução de problemas Sophos Firewall: Services e logs é adequado para atribuir os arquivos de log mais importantes. Para análise de regras com Log Viewer, Policy Test e Packet Capture, Testar regra de firewall com Log Viewer, Policy Test e Packet Capture é adequado.

Solução de problemas

O usuário não vê a configuração SSL VPN em VPN Portal

A atribuição de política geralmente está faltando. Verifique se o usuário ou seu grupo está incluído na política SSL VPN em Membros da política. Além disso, a autenticação e a acessibilidade do portal MFA e VPN devem ser verificadas.

Se o login e a atribuição de política funcionarem corretamente, mas o download do arquivo .ovpn ainda estiver faltando ou falhar, o limite de ID do usuário Sophos Firewall também deverá ser verificado. Isto é particularmente relevante se vários utilizadores utilizam o portal, mas apenas os downloads individuais falham inesperadamente.

O túnel se conecta, mas os sistemas internos não podem ser alcançados

Primeiro verifique se existe uma rota para a rede de destino interna no terminal. Em seguida, pesquise em Log Viewer o tráfego da zona VPN. Se nenhum tráfego estiver visível, o cliente não está alcançando o firewall conforme esperado ou o perfil está desatualizado.

Se o tráfego estiver visível, mas a regra errada for aplicada, a ordem da regra ou a definição de serviço/destino precisa ser corrigida. Se não houver nenhuma resposta, é provável que haja roteamento, firewall de destino, firewall do servidor local ou conflito de rede.

Após uma mudança, apenas alguns dos clientes funcionam

Se os novos usuários funcionam, mas os clientes antigos não, a distribuição de perfis geralmente é o problema. Você verifica se os clientes afetados realmente importaram o perfil .ovpn atual e se as entradas de conexão antigas foram removidas.

Especialmente após alterações no FQDN, porta, certificado, DNS, Lease-Bereich, política ou autenticação, você não deve apenas salvar o firewall, mas também testar ativamente o download de um perfil com um usuário normal. Você pode então verificar no endpoint se o gateway, o DNS e as rotas correspondem ao design atual.

DNS não está funcionando

Você verifica se o acesso via endereço IP funciona. Nesse caso, o erro provavelmente está no DNS. Em seguida, verifique o servidor DNS nas configurações globais de SSL VPN, nome de domínio, Device Access para DNS da zona VPN e comportamento do DNS do endpoint.

O acesso só funciona para alguns usuários

Então, associação a grupos, mapeamento de políticas, endereços IP estáticos SSL VPN, status MFA ou perfis obsoletos são mais prováveis do que um erro de firewall global. Você também deve verificar se há atribuições de política duplicadas.

O usuário precisa se reconectar após várias horas

Se SSL VPN funcionar inicialmente, mas após várias horas for necessário um novo login ou uma reconstrução manual, você deve primeiro verificar o padrão de tempo, autenticação e modelo de concessão. Isto é particularmente relevante para autenticação local com um IP SSL VPN atribuído estaticamente.

Processo prático:

  1. Anote a hora em que a conexão foi estabelecida e cancelada.
  2. Compare o tempo com a vida útil da chave configurada.
  3. Verifique se o usuário possui um endereço IP SSL VPN estático.
  4. Teste a atribuição de IP dinâmico para um usuário piloto, se for operacionalmente possível.
  5. Verifique sslvpn.log, openvpn-status*.log e Log Viewer para autenticação, endereço de concessão e novo login.
  6. Se for escolhida uma vida útil de chave mais longa, documente a alteração e não a veja como um substituto para MFA ou controle de sessão limpo.

Se IPs estáticos forem usados ​​apenas para tornar as regras de firewall mais simples, o design deverá ser retrabalhado. Na maioria dos casos, grupos, alvos claramente nomeados, serviços restritos e registro são uma base melhor do que endereços IP de usuários individuais.

Full Tunnel não tem acesso à internet

Com Usar como gateway padrão, é necessária uma regra de firewall para o tráfego da zona VPN para a Internet e uma regra SNAT adequada. Além disso, as políticas web, DNS e de segurança devem ser planejadas para que não bloqueiem inesperadamente os usuários VPN.

A conexão foi estabelecida, mas grandes transferências estão suspensas

Se login, DNS e pequenos acessos funcionam, mas RDP, transferências de arquivos, aplicações web ou downloads grandes travam, você deve verificar MTU e MSS. O padrão de erro geralmente corresponde a fragmentação, PPPoE, conexões em túnel ou um caminho assimétrico, e não apenas ao próprio SSL VPN.

Para análise sistemática, Sophos Firewall Verifique MTU e MSS para problemas VPN é adequado.

WAF ou portal colide com SSL VPN

Se WAF, VPN Portal, User Portal e SSL VPN estiverem em execução no mesmo IP WAN, a porta e o protocolo deverão ser separados de forma limpa. Combinações compartilhadas de WAN-IP, porta e TCP são particularmente críticas. Se as quedas não forem claras, verifique Log Viewer e Packet Capture.

O perfil está desatualizado após alteração

Após quaisquer alterações na política SSL-VPN, gateway, DNS, certificado, porta ou autenticação, o arquivo .ovpn deve ser baixado novamente e importado. Muitos problemas aparentes dos clientes são perfis desatualizados.

Lista de verificação operacional

Antes da implementação produtiva

  • FQDN e certificado verificados para VPN Portal e SSL VPN.
  • SSL-VPN-Lease-Bereich não entra em conflito com redes domésticas internas ou típicas.
  • A política SSL-VPN contém os usuários ou grupos corretos.
  • Split Tunnel ou Full Tunnel é decidido deliberadamente.
  • Os recursos de rede permitidos são definidos de forma restrita em Split Tunnel.
  • O servidor DNS e o nome de domínio estão configurados corretamente.
  • A regra de firewall de VPN para alvos internos existe e registra.
  • Full Tunnel possui regras de internet e SNAT.
  • Device Access para SSL VPN e VPN Portal é definido deliberadamente.
  • MFA foi testado para acesso remoto.
  • O usuário de teste pode baixar, importar perfil e atingir metas internas.

Para operações contínuas

  • MFA para VPN Portal e forçar acesso remoto.
  • Verifique os grupos VPN regularmente.
  • Mantenha as regras de firewall rígidas para VPN e log.
  • Verifique Lease-Bereich antes de alterações na rede.
  • Use apenas endereços IP SSL estáticos VPN especificamente e verifique-os regularmente.
  • Documentar DNS e domínio de pesquisa.
  • Renove os certificados do portal e SSL VPN antes da expiração.
  • Acompanhe as versões do Sophos Connect.
  • Agende a redistribuição do perfil após alterações.
  • Avalie os logs a longo prazo usando Syslog ou Sophos Central se a rastreabilidade for importante.

Solução de problemas Sophos Firewall: Services e logs é adequado para arquivos de log e serviços.

Verifique casos especiais regularmente

  • Os endereços IP estáticos SSL VPN são justificados e documentados.
  • Key Lifetime se adapta ao modelo operacional e foi testado com Reconnect.
  • O perfil .ovpn antigo será redistribuído após as alterações.
  • VPN Portal, User Portal, WAF e SSL VPN não colidem no mesmo IP WAN com porta e protocolo.
  • Os usuários com direitos especiais ou acesso de administrador são verificados separadamente.

Perguntas frequentes

Onde configurar SSL VPN no Sophos Firewall?

A configuração central está em Acesso remoto VPN > SSL VPN. As políticas e configurações globais de SSL-VPN são definidas lá. Portal, autenticação, MFA e Device Access estão em áreas separadas.

Você precisa criar uma regra de firewall para VPN SSL?

Sim. A estrutura do túnel ainda não permite o acesso aos sistemas internos. O tráfego da zona VPN deve ser permitido por meio de regras de firewall para as zonas de destino, redes de destino e serviços necessários.

O que é melhor: túnel dividido ou túnel completo?

Split Tunnel geralmente tem melhor desempenho e é mais simples quando apenas alguns alvos internos são necessários. Full Tunnel roteia todo o tráfego através do firewall e requer regras adicionais, SNAT, políticas de segurança e planejamento de capacidade.

Por que um usuário não vê uma configuração VPN no portal VPN?

Na maioria das vezes, o usuário ou seu grupo está ausente de uma política SSL VPN de acesso remoto. Além disso, a autenticação, a acessibilidade do portal MFA, VPN e Device Access devem ser verificadas.

Por que o SSL VPN se conecta, mas os sistemas internos não podem ser acessados?

Muitas vezes faltam regras de firewall, a rota não foi definida no endpoint, o DNS não funciona, o Lease-Bereich colide com uma rede local ou o perfil .ovpn está desatualizado.

É necessário definir Permitted network resources também em Full Tunnel?

Com Use as default gateway, a Sophos Firewall não usa Permitted Resources como limite de acesso. O tráfego de Internet e os acessos internos passam pela firewall. Por isso, em Full Tunnel, os destinos e serviços internos devem ser limitados por regras de firewall e verificados no Log Viewer.

Porque é que um destino FQDN não funciona imediatamente após uma alteração DNS?

Em FQDNs usados como recursos SSL-VPN permitidos, alterações dinâmicas de IP não são transferidas automaticamente para túneis existentes. Os utilizadores afetados têm de desligar e voltar a ligar o túnel.

Por que um usuário de VPN SSL precisa se reconectar após algumas horas?

Se a autenticação local e um endereço IP SSL VPN estático forem usados, a nova autenticação após o término da vida útil da chave poderá ser afetada. Então você deve verificar a atribuição de IP estático, vida útil da chave, sslvpn.log e um teste com atribuição de IP dinâmico.

Quais registros ajudam com problemas de VPN SSL?

Log Viewer e Packet Capture ajudam no WebAdmin. No lado do firewall, dependendo do padrão de erro, sslvpn.log, openvpn-status*.log e logs do firewall são relevantes. Para armazenamento mais longo, Syslog ou avaliação de log central deve ser planejada.