Distribuera Sophos Connect centralt i Windows

Sophos Connect kan installeras och provisioneras i Windows med datorstartskript via GPO. Håll tre uppgifter åtskilda: MSI installerar klienten, .pro styr hämtning av tillåtna VPN-konfigurationer och SCCLI läser eller ändrar anslutningar. Paket, profil och automatisering kan då verifieras och återställas separat.

För en enskild dator, se Installera Sophos Connect i Windows. Provisioneringsguiden beskriver .pro; version och uppgraderingsordning finns i uppdateringsguiden.

Krav och utrullningsbeslut

Fastställ i förväg: Windows-version och arkitektur som Sophos stöder samt godkänd Sophos Connect-version; IPsec och/eller SSL VPN med autentisering, MFA och SSO; nåbar VPN Portal med betrott certifikat; verifierad MSI och godkänd .pro-, .scx- eller .ovpn-källa; datorkontots läsrättigheter; pilotgrupp, servicefönster och alternativ administrationsväg; samt tidigare, fortfarande stödd MSI med matchande profil för återställning.

Ett distributionssystem kan köra samma paket som lokalt system. Det innebär inte stöd för ett visst Intune- eller RMM-paket eller dess identifieringsregel eller hantering av returkoder. Testa anrop, konto, identifiering och omstarter med det faktiska verktyget.

Skydda paket och profiler

Förvara MSI, skript och profiler versionshanterat och skrivbart endast för ansvariga administratörer. Måldatorer får läsrättighet. Kontrollera signatur, version och internt dokumenterad hash; ersätt inte en godkänd fil under samma namn. .pro kan avslöja gatewaynamn, VPN Portal-port och inställningar. .scx, .ovpn, certifikat och fördelade nycklar kan vara känsligare. Lägg dem inte på allmänt läsbara resurser, i e-postbilagor eller i supportärenden. Skriv inte SCCLI-lösenord i skript eller processargument, eftersom processer, loggar och distributionsutdata kan exponera dem.

1. Installera klienten via GPO

Byt UNC-sökväg och fullständigt MSI-namn i Sophos dokumenterade mönster:

@echo off
set "Sophos_Connect=Sophos\Connect\scvpn.exe"
if exist "%ProgramFiles(x86)%\%Sophos_Connect%" exit /b 0

rem Replace the UNC path and filename with the approved MSI source.
msiexec.exe /i "\\WINSERVER\Software\SophosConnect\SophosConnect_x64.msi" /qn
exit /b %ERRORLEVEL%

Lägg till skriptet under Group Policy Management Console > Computer Configuration > Policies > Windows Settings > Scripts > Startup. gpupdate /force uppdaterar policyn; skriptet körs vid nästa start. Filkontrollen hittar inte fel eller gammal version. Kontrollera därför inventering och tjänst separat. Skriptkoden 0 kan också bero på att skriptet avslutas tidigt eftersom filsökvägen redan finns, utan att msiexec har körts. Installationsprogrammets returkod skickas vidare endast om programmet faktiskt körs. Värdet 0 bevisar därför varken installation eller rätt version; kontrollera version och tjänstestatus separat. 1641 och 3010 är MSI-resultat för omstart, inte SCCLI-koder.

2. Leverera provisioneringsfilen hanterat

Sophos Connect importerar .pro från C:\Program Files (x86)\Sophos\Connect\import\, tar bort filen och hämtar tillåtna konfigurationer. Det officiella mönstret väntar obegränsat; detta exempel begränsar väntan till två minuter och returnerar hämtnings- eller kopieringsfel:

@echo off
set /a WAIT_COUNT=0

:WAIT_FOR_SCVPN
sc query scvpn | findstr /C:"RUNNING" >NUL
if not errorlevel 1 goto DOWNLOAD_PROFILE
set /a WAIT_COUNT+=1
if %WAIT_COUNT% GEQ 24 exit /b 50
timeout /t 5 /nobreak >NUL
goto WAIT_FOR_SCVPN

:DOWNLOAD_PROFILE
powershell.exe -NoProfile -Command "$ErrorActionPreference='Stop'; Invoke-WebRequest 'https://software.example.net/vpn/company.pro' -OutFile '%TEMP%\company.pro'"
if errorlevel 1 exit /b %ERRORLEVEL%
copy /Y "%TEMP%\company.pro" "C:\Program Files (x86)\Sophos\Connect\import\company.pro" >NUL
exit /b %ERRORLEVEL%

software.example.net är ett exempel. Den verkliga värden behöver betrott certifikat och begränsad åtkomst; jämför hämtningen med godkänd källa i piloten. Lokal kod 50 i detta startskript betyder timeout och är ingen SCCLI-kod. JSON, vpn_portal_port, MFA och flera gatewayar hanteras i provisioneringsguiden.

3. Automatisera SCCLI kontrollerat

SCCLI finns normalt i C:\Program Files (x86)\Sophos\Connect; sccli ? visar kommandon.

cd /d "C:\Program Files (x86)\Sophos\Connect"
sccli show -v
if errorlevel 1 exit /b %ERRORLEVEL%
sccli list -d
set "SCCLI_RC=%ERRORLEVEL%"
exit /b %SCCLI_RC%

sccli add --file "C:\ProgramData\Company\VPN\branch.scx" --name "Company VPN" --overwrite
set "SCCLI_RC=%ERRORLEVEL%"
exit /b %SCCLI_RC%

add misslyckas om policyn förbjuder ohanterade anslutningar. remove tar bara bort anslutningar skapade med add, inte hanterade anslutningar. enable och disable ändrar tunnelstatus. enable frågar interaktivt efter saknade uppgifter; skicka därför inte klartextlösenord med --password obevakat.

Dokumenterade SCCLI-returkoder

Spara koden omedelbart.

Vissa system visar -1 utan tecken. Testa exakt produktionswrapper. Okänd kod är fel; logga tid, version, kontext och kommando utan hemligheter.

Pilot, lansering och återställning

Versionsbyte kan bryta aktiva VPN-anslutningar. Testa tyst borttagning och installation med aktuell MSI/Product ID och håll MSI- och SCCLI-koder åtskilda. För varje arkitektur, profiltyp och autentiseringsväg som ska godkännas kontrolleras signatur/hash/version, start av scvpn och Sophos Connect efter omstart och användarinloggning, .pro-import eller SCCLI, inloggning med MFA eller SSO och tilldelad VPN-adress, intern DNS samt ett tillåtet och ett blockerat mål, återanslutning efter nätverksbyte och ny inloggning samt centrala distributions-, MSI- och SCCLI-koder.

Rulla därefter ut stegvis. Jämför version och profil efter varje ring, kör sccli list -d och testa datavägen. En grön klientstatus bevisar inte ensam att DNS, behörigheter eller återvägen fungerar. Vid fel stoppas fortsatt utrullning och tidpunkt, koder, version och supportdata sparas. Ta bort via godkänd metod, installera tidigare stödd MSI, återställ matchande profil och upprepa piloten.

Om återställningen också misslyckas, fortsätt med felsökning av Sophos Connect i Windows. Testa brandväggsregler separat med Testa en brandväggsregel.