Substituir o antigo Sophos SSL VPN Client e migrar a inicialização

O antigo Sophos SSL VPN Client for Windows não deve mais ser configurado nem continuar em operação. Ele está End of Life desde 31 de janeiro de 2022 e a CVE-2021-36809 afeta todas as versões. Um invasor local pode usar privilégios de administrador para sobrescrever arquivos arbitrários do sistema com logs do cliente VPN, podendo causar negação de serviço e perda de dados. A Sophos não corrigirá a vulnerabilidade; a remediação exige a migração para o Sophos Connect v2. Além disso, desde o SFOS 20.0 MR1, o cliente legado não estabelece mais túneis Remote Access SSL VPN.

Estado de compatibilidade em 7 de setembro de 2026: Para o SFOS 22, o Sophos Connect é o cliente Sophos compatível. O Sophos Connect 2.5 MR1 e anteriores para Windows e 2.0 MR1 e anteriores para macOS constam como compatíveis. Esses são limites de compatibilidade do firewall, não uma recomendação para usar um cliente antigo. Antes da implementação, consulte Verificar e atualizar com segurança a versão do Sophos Connect Client para escolher a versão atualmente aprovada e analisar seus problemas conhecidos.

A solução segura é migrar para o Sophos Connect: preparar um perfil e instalador atuais, desinstalar o cliente antigo, importar e testar a conexão e somente depois remover por completo a inicialização automática, os arquivos com credenciais em texto claro e os perfis antigos. Para escolher o modelo de Remote Access mais adequado, consulte Sophos Connect ou SSL VPN: qual solução é a mais adequada?.

⚠️ Se o dispositivo afetado for o único acesso administrativo remoto, deve-se providenciar um acesso alternativo ou uma janela de manutenção com acesso local antes da desinstalação. O cliente EOL não é uma opção segura de retorno.

Migrar para o Sophos Connect

1. Inventariar versões do Windows, arquiteturas de CPU, grupos de usuários, MFA/SSO e a versão legada instalada. Para o piloto, manter acesso administrativo alternativo e um pacote Sophos Connect aprovado.
2. Preparar o instalador atual do Sophos Connect e um novo arquivo .ovpn do VPN Portal. No SFOS 22, o caminho no WebAdmin é Remote access VPN > SSL VPN > Download client; os usuários obtêm cliente e perfil em VPN Portal > VPN. Os caminhos completos estão em Configurar o Sophos SSL VPN com o Sophos Connect no Windows.
3. Se o VPN Portal não estiver acessível, copiar somente o arquivo .ovpn existente da pasta de configuração legada para uma pasta temporária protegida. O arquivo password.txt não deve ser copiado.
4. Se a cópia do perfil contiver auth-user-pass password.txt, remover o nome do arquivo da cópia para que reste apenas auth-user-pass.
5. Desconectar a VPN e desinstalar normalmente o antigo Sophos SSL VPN Client em Configurações > Aplicativos > Aplicativos instalados. O Sophos Connect não é instalado em paralelo com o cliente legado; não remover manualmente drivers ou serviços desconhecidos.
6. Reiniciar o Windows, instalar o Sophos Connect e importar o arquivo .ovpn atual ou a cópia limpa do perfil por meio de Import connection.
7. Conectar com um usuário piloto e, se configurado, MFA ou SSO. Verificar endereço VPN, DNS, destinos permitidos e bloqueados e reconexão. Somente então ampliar a implementação e remover os artefatos legados restantes.

Depois disso, o Sophos Connect e os perfis devem ser mantidos por um processo de atualização definido. Para isso, consulte Verificar e atualizar com segurança a versão do Sophos Connect Client.

Identificar a inicialização legada e credenciais em texto claro

Verificar a inicialização e o valor Run

No Gerenciador de Tarefas, em Aplicativos de inicialização ou Inicialização, procurar SSL VPN Client for Windows e desativar a entrada.

Também pode existir um valor de inicialização próprio para o usuário atual:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Um valor legado pode ser identificado por openvpn-gui.exe, --config_dir e --connect. O padrão a seguir serve apenas para identificação e não deve ser criado novamente:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profile-name>.ovpn

Remover somente o valor que pertença inequivocamente ao antigo cliente Sophos, nunca a chave Run inteira ou entradas desconhecidas. Em instalações antigas, verificar também a pasta clássica de inicialização do Windows. Em ambientes gerenciados, deve-se ainda confirmar se uma GPO ou a distribuição de software recria o valor.

Verificar o perfil OVPN e o password.txt

Os perfis legados costumam estar em um destes caminhos:

• Windows de 64 bits: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• instalações antigas de 32 bits: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

O valor Run realmente existente e a instalação local são mais confiáveis do que um caminho padrão presumido.

Uma referência problemática a arquivo tem esta aparência:

auth-user-pass password.txt

O arquivo referenciado contém o nome de usuário e a senha em texto claro. Não se deve abrir, exibir nem anexar esse arquivo a dados enviados ao suporte. Para a migração, deve-se manter apenas o login interativo normal em uma cópia do perfil:

auth-user-pass

Assim que o acesso administrativo alternativo e o perfil limpo estiverem disponíveis, remover o arquivo de senha referenciado e todas as cópias antes do primeiro login com o Sophos Connect. Em seguida, alterar a senha da conta afetada no sistema de identidade responsável, verificar os logs de VPN em busca de acessos inesperados e realizar o teste piloto com a nova senha. Remover os perfis legados que não forem mais necessários depois de validar a migração. Excluir apenas o arquivo não é suficiente.

Auto-Connect sem password.txt

Um arquivo de provisioning do Sophos Connect (.pro) pode importar e atualizar perfis automaticamente. Com auto_connect_host, o cliente verifica um host acessível somente na rede interna. Se esse host não estiver acessível, o Sophos Connect ativa a conexão; o túnel só é estabelecido automaticamente com credenciais salvas ou após um login SSO anterior.

[
  {
    "display_name": "Company VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Com can_save_credentials: false, o cliente não salva a senha do usuário. Sem SSO, o usuário ainda precisa fazer login. Se o SSO foi o último método de login, o Sophos Connect pode estabelecer o túnel automaticamente por SSO. O exemplo é intencionalmente mínimo; o OTP clássico do Sophos Firewall exige campos adicionais otp e 2fa. O guia de provisioning do Sophos Connect vinculado acima explica esses campos e a distribuição por GPO; para autenticação, consulte MFA no Sophos Firewall ou Microsoft Entra ID SSO para o Sophos Connect.

É preciso separar três funções: o Windows inicia o aplicativo Sophos Connect, .pro importa ou atualiza perfis e auto_connect_host aciona uma conexão conforme a rede. Nenhuma delas substitui password.txt de forma compatível. O exemplo não contém usuário nem senha e, sem login SSO anterior, não estabelece um túnel sem intervenção. Auto-connect também não é um túnel de dispositivo antes do login do usuário no Windows.

Para Microsoft Entra ID SSO, a Sophos especifica Sophos Connect 2.4 ou posterior no Windows com SFOS 21.5 ou posterior. O guia de atualização do Sophos Connect também aborda a seleção de versão e os problemas conhecidos: Windows 10/11 de 64 bits e Windows 10/11 em ARM são documentados a partir da 2.5; Windows 11 Enterprise Multi-session, incluindo Azure Virtual Desktop, não é compatível. O provisioning .pro é documentado para Windows, não para macOS.

Em dispositivos Windows compartilhados, testar pelo menos duas contas. Segundo o mesmo guia, o Sophos Connect 2.5 MR1 corrige o NCL-2570, que impedia a inicialização automática para usuários adicionais quando outro usuário havia instalado o cliente. A atualização não substitui o teste multiusuário, e “cliente iniciado” não significa “VPN conectada”.

O provisioning exige que o VPN Portal esteja acessível. Se ele for liberado pela WAN, são necessários um certificado confiável, MFA, monitoramento e uma configuração de Device Access e Local Service ACL o mais restrita possível.

Verificar a migração e delimitar erros

Após a mudança, a conexão e a remoção dos artefatos devem ser verificadas separadamente:

• O cliente antigo, sua entrada de inicialização no Gerenciador de Tarefas e o valor HKCU Run específico foram removidos.
• Não há mais nenhum password.txt no caminho antigo do perfil nem na distribuição de software.
• Um perfil migrado não contém referência a arquivo depois de auth-user-pass.
• O Sophos Connect usa a conexão atual e a versão de cliente previstas.
• Login, MFA ou SSO funcionam.
• O cliente recebe um endereço do pool de VPN esperado.
• Nomes DNS internos e destinos permitidos funcionam; redes explicitamente bloqueadas continuam inacessíveis.
• O Log Viewer mostra o usuário esperado e a regra de Remote Access correta.

Não é possível instalar o Sophos Connect

Verificar se o antigo Sophos SSL VPN Client ainda está instalado. Desinstalá-lo normalmente, reiniciar o Windows e repetir a instalação. Em caso de conflito com outros clientes VPN, não remover drivers ou serviços por tentativa.

O perfil foi importado, mas o túnel não inicia

Importar novamente um arquivo .ovpn atual do VPN Portal e verificar a atribuição da policy, a conta do usuário, o MFA e os eventos do Sophos Connect. No firewall, dependendo do erro, são úteis sslvpn.log, openvpn-status*.log e, para problemas de autenticação, access_server.log.

O túnel está ativo, mas os destinos internos não funcionam

Nesse caso, o problema normalmente está na policy, na regra de firewall, no DNS, no roteamento ou na MTU. Para delimitar a causa, consulte Testar uma regra de firewall com Log Viewer, Policy Test e Packet Capture, Serviços e logs do Sophos Firewall e, se aplicativos deixarem de responder, MTU e MSS em problemas de VPN.

O Sophos Connect inicia, mas não conecta automaticamente

Primeiro, verificar se um perfil .pro é usado e se auto_connect_host contém um FQDN estável acessível apenas internamente. Testar o mesmo host na rede corporativa e externamente. Se ele também for acessível externamente, Auto-connect permanece inativo; se for instável internamente, a conexão pode ser ativada sem necessidade. Depois, verificar se o usuário já fez login por SSO. Com can_save_credentials: false e sem SSO anterior, o login interativo é o comportamento esperado.

Retorno seguro

O retorno não significa reinstalar o cliente legado vulnerável. Antes do piloto, manter o pacote Sophos Connect aprovado, o perfil limpo e um acesso administrativo alternativo. Em caso de falha, primeiro salvar eventos do Sophos Connect e scvpntsr.zip, depois interromper a implementação e a GPO. Desinstalar normalmente a versão defeituosa, reiniciar se necessário e instalar a última versão Sophos Connect aprovada com seu perfil testado.

Testar novamente login, MFA/SSO, endereço VPN, DNS e destinos permitidos e bloqueados. Reverter alterações de firewall, portal ou policy somente quando nenhum usuário migrado depender delas. Não restaurar o instalador legado, password.txt nem o antigo valor Run.

FAQ