Installera Sophos Connect Client på macOS

Sophos Connect 2.1 för macOS stöder IPsec och SSL VPN på Intel-Mac-datorer och Apple Silicon från macOS 14. På Apple Silicon körs denna version nativt. Installationspaketet hämtas i organisationens egen VPN Portal under VPN > Download for macOS; IT-avdelningen tillhandahåller portaladressen och rätt anslutningsprofil.

Efter installationen importeras en .scx för IPsec eller en .ovpn för SSL VPN. Från 2.1 kan IT-avdelningen i stället tillhandahålla en .pro för automatisk hämtning av profiler. Artikeln går igenom nedladdning, installation, profilimport och efterföljande kontroller. För det grundläggande valet mellan Sophos Connect, SSL VPN, OpenVPN-klienter och ZTNA, se Sophos Connect eller SSL VPN: Vilken fjärråtkomstlösning passar?.

Vilken artikel passar?

Sophos Connect på macOS överlappar snabbt med andra fjärråtkomstartiklar. Beroende på uppgift är en annan startpunkt bättre:

• Installera Sophos Connect på macOS: Denna artikel.
• Ställ in SSL VPN på macOS med .ovpn: Ställ in Sophos SSL VPN med Sophos Connect på macOS.
• Förbered Sophos Connect på brandväggen: Konfigurera Sophos Connect på Sophos Firewall.
• Planera klientversioner, uppdateringar och profilunderhåll: Kontrollera och säkert uppdatera Sophos Connect Client-versionen.
• Diagnostisera import-, inloggnings- eller anslutningsfel: Felsök Sophos Connect Client.
• VPN är anslutet, men trafiken fungerar inte: Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture.

Denna uppdelning är viktig eftersom klientinstallationen bara är en del av fjärråtkomstdriften. Brandväggsregler, DNS, MFA, certifikat, VPN-portal och profilfördelning förblir separata kontrollpunkter.

Förutsättningar

• Sophos Firewall med konfigurerad fjärråtkomstkonfiguration
• Sophos Connect Client i en version som passar brandväggen och plattformen
• Intel-Mac eller Apple Silicon med en macOS-version som passar klientversionen; se översikten nedan
• Konfigurationsfil för IPsec (.scx) eller SSL VPN (.ovpn), alternativt en .pro från IT-avdelningen från klientversion 2.1
• ingen äldre Sophos SSL VPN Client installerad parallellt
• Användarkonto med VPN-behörighet och, om aktiverat, fungerande MFA
• Brandväggsregler för trafik från VPN-zonen eller den använda fjärråtkomstzonen

Vilken version passar Mac-datorn?

Den 21 oktober 2026 listar Sophos versionsinformation Sophos Connect 2.1 för macOS från den 6 oktober 2026 som den aktuella Mac-utgåvan. Det högre Windows-versionsnumret 2.5 MR1 är inte en version av macOS-paketet.

• 2.1 från macOS 14 Sonoma: Intel och Apple Silicon; Apple Silicon körs nativt med ARM. IPsec och SSL VPN, .pro-provisionering samt Microsoft Entra ID SSO stöds. SSO-inloggning i systemwebbläsaren kräver dessutom SFOS 22.0 MR3 eller senare.
• 2.0-serien från macOS 13 Ventura: IPsec och SSL VPN med manuell profilimport; Apple Silicon via Rosetta 2. Den senast listade underhållsversionen är 2.0 MR1 från den 21 maj 2026. Nativ ARM-körning, .pro-provisionering och Entra ID SSO är inte tillgängliga här.
• Före 2.0: macOS-klienten stöder endast IPsec. Dessa gamla paket är olämpliga för SSL VPN.

Kontrollera versionsnumret på det macOS-paket som faktiskt tillhandahålls före installationen. Ett versionsmeddelande bevisar varken att den egna brandväggen redan levererar paketet eller att kombinationen av klient, macOS och VPN-profil är godkänd i den egna driften. Versionskontroll och kontrollerad återgång beskrivs i Uppdatera Sophos Connect säkert.

Apple Silicon och macOS-uppgraderingar

Rosetta är inget generellt krav för den nativa 2.1-klienten. För en 2.0-klient som fortfarande används är det däremot ett beroende: den allmänna tillgängligheten av Rosetta innebär inget godkännande av det konkreta installationspaketet eller VPN-driften på macOS 27. Ett godkännande av Sophos Endpoint är inte heller belägg för Sophos Connect.

Testa installationen, den IPsec- eller SSL-VPN-profil som faktiskt används, MFA, intern DNS-upplösning och återanslutning på en pilotenhet före en macOS-uppgradering. Skjut upp uppgraderingen av VPN-beroende enheter tills testet är godkänt. Planera inte att använda Intel-klienten i 2.0-serien på macOS 28, utan godkänn i god tid en nativ klient eller en annan VPN-lösning som stöds.

1. Ladda ner Sophos Connect Client

I SFOS 22 laddar en administratör ner Sophos Connect Client för macOS i WebAdmin via Remote access VPN > IPsec > Download client eller Remote access VPN > SSL VPN > Download client. Användare öppnar i stället VPN-portalen, som standard på https://<Firewall-FQDN>:443, och väljer VPN > Download for macOS. Den aktuella klienten finns i VPN-portalen; paketet i WebAdmin är aktuellt när Pattern updates uppdateras automatiskt under Backup & Firmware > Pattern updates.

Den befintliga Sophos Download Page är nedladdningssidan för UTM. För en SFOS-installation bör därför WebAdmin eller VPN-portalen användas som paketkälla. I hanterade miljöer måste man dessutom fastställa godkänd klientversion och var användarna får rätt konfigurationsfil.

Filen beror på den anslutning som är konfigurerad på brandväggen:

• IPsec: importera .scx direkt.
• SSL VPN: importera den egna .ovpn direkt; Sophos Connect 2.0 eller senare krävs.
• Automatisk profilhämtning från macOS-klient 2.1: IT-avdelningen tillhandahåller en .pro. Den hämtar de behöriga IPsec- och SSL-VPN-profilerna via VPN Portal och hämtar senare ändringar; den är inte själv en tunnelprofil. macOS-klient 2.0 kräver fortfarande direktimport och manuell uppdatering. Förfarandet förklaras i Sophos Connect-provisionering med .pro.

I SFOS 22 hämtas profilerna från följande platser:

1. IPsec: öppna Remote access VPN > IPsec > Export connection. Arkivet innehåller .scx och .tgb; distribuera .scx-filen som Sophos rekommenderar för Sophos Connect.
2. SSL VPN: öppna VPN > VPN configuration > SSL VPN configuration i VPN-portalen och välj Download configuration for Windows, macOS, Linux. För Sophos Connect används Use with Sophos Connect and OpenVPN Connect v2 clients; Use with OpenVPN Connect v3 clients är för OpenVPN Connect 3, inte Sophos Connect. Ladda ner .ovpn-filen. Nedladdningen visas inte om användaren saknar en motsvarande SSL VPN-policy.
3. Spara filen säkert och lämna den endast till den avsedda användaren.

Det aktuella paketnamnet följer mönstret SophosConnect_x.x_(IPsec_and_SSLVPN).pkg. Ett paket med (IPsec) i namnet hör till den äldre macOS-linjen och saknar stöd för SSL VPN.

För hanterade Mac-datorer bör installationsprogrammet inte distribueras brett utan en pilotgrupp. Minst en Intel-Mac och en Apple-Silicon-Mac bör testas om båda plattformarna finns i företaget.

2. Installera Sophos Connect Client

Före installationen måste en befintlig äldre Sophos SSL VPN Client tas bort. Installationsanvisningen utesluter parallell användning med en annan VPN-klient, medan den allmänna felsökningshjälpen fortfarande beskriver en avvikande installationsordning för den äldre SSL VPN Client. Detta innebär inget generellt godkännande av parallella klienter; om ett specialfall med en äldre klient är nödvändigt, stäm av den konkreta kombinationen med Sophos. Den aktuella uppgraderingsanvisningen anger nedladdning och installation av det nya paketet, men inget generellt krav på föregående avinstallation. Använd den borttagnings- och ominstallationsprocess som beskrivs här endast som en kontrollerad underhålls- eller återgångsmetod som är godkänd för målversionen, inte som ett obligatoriskt steg vid varje uppdatering.

Starta installationen genom att dubbelklicka på SophosConnect_x.x_(IPsec_and_SSLVPN).pkg; x.x står för den godkända versionen. Kontrollera installationsmålet och ledigt utrymme, klicka på Install och slutför guiden med Finish.

På Apple Silicon kräver Sophos Connect 2.0 Rosetta 2; från 2.1 finns inbyggt ARM-stöd. Rosetta är därför inte ett generellt krav för 2.1. Om macOS frågar efter Rosetta 2 vid användning av det godkända installationspaketet för 2.0, installera det och starta klienten på nytt. På macOS 27 får man inte förutsätta att Rosetta som installerats före uppgraderingen återställs automatiskt eller att ett visst installationspaket fungerar oförändrat. Testa både installation och VPN-anslutning i en pilot för båda klientserierna.

Efter installationen bör versionen kontrolleras direkt i klienten. Detta är särskilt viktigt om flera installationspaket har cirkulerat internt eller om användare tidigare har installerat klienten.

3. Ladda ner anslutningsfil

Vid första starten behöver Sophos Connect en anslutningskonfiguration. Denna fil bör komma från den aktuella giltiga brandväggskonfigurationen och inte återanvändas från ett gammalt användararkiv.

Typiska anslutningsfiler:

• IPsec Remote Access: .scx; export från den aktuella Remote Access IPsec-konfigurationen.
• SSL VPN: .ovpn; VPN Portal eller administrativ export.
• Provisionering från 2.1: .pro; en hämtningsväg för behöriga profiler som tillhandahålls av IT-avdelningen.

Om gamla fjärråtkomst-IPsec-konfigurationer fortfarande används före en SFOS-22-MR1-uppgradering bör en gammal profil inte bara distribueras vidare. I detta fall bör Migrera Legacy Remote Access IPsec före SFOS 22 MR1 kontrolleras först.

Profiler bör behandlas som inloggningsuppgifter. En gammal .ovpn- eller .scx-fil kan fortfarande innehålla interna nätverk, gatewaynamn, certifikat eller användaranknytning. Om gateway, certifikat, DNS, användargrupp, IP-pool eller autentisering har ändrats bör profilen exporteras och importeras på nytt.

För SSL VPN är .ovpn-filen användarspecifik: den innehåller ett unikt användarcertifikat med privat nyckel och får därför inte distribueras som en gemensam teamprofil. En ännu inte importerad .pro-fil innehåller däremot provisioneringsmetadata och är inte i sig användarspecifik; den är inte samma sak som SSL-VPN-profilen och certifikaten som genereras vid importen. Dela inte heller dessa genererade profiler eller privata nycklar mellan användare.

För SFOS 22 dokumenterar Sophos att en importerad SSL-VPN-profil är bunden till användaridentitet, domän och autentiseringsmetod. Vid byte, till exempel från lokal autentisering till Active Directory, hämta och importera en separat .ovpn-konfiguration eller generera rätt SSL-profil genom en separat .pro-import. Enligt denna SFOS-22-dokumentation kan återanvändning av den importerade profilen med en annan metod eller domän orsaka Login failed. Wrong fingerprint of certificate. Denna dokumenterade SSL-bindning gäller inte IPsec-profiler i .scx-format.

För SFOS 23 är körningsbeteendet fortfarande oklart: motsvarande avsnitt saknas i den Sophos-guide som jämförts här. Det bekräftar varken friare återanvändning eller en oförändrad bindning. Fortsätt att hämta och importera separata SSL-profiler för avsedd identitet, metod och domän tills en versionsspecifik bekräftelse finns. Detta är en försiktighetsåtgärd, inte en verifierad körningsregel för SFOS 23; kringgå inte certifikatvalideringen.

Vid migrering från en tredjepartsklient kan befintliga kompatibla konfigurationsfiler importeras till Sophos Connect. För IPsec bör du först förbereda de avancerade inställningarna på brandväggen och distribuera en aktuell .scx eller, från macOS-klient 2.1, en lämplig .pro: då får användarna även inställningar som tredjepartsklienter inte stöder. En uppdatering av klientversionen gör inte i sig befintliga filer ogiltiga; ändringar på brandväggen måste hanteras separat.

4. Ställ in Sophos Connect Client

Inställningen av Sophos Connect Client är klar i några få steg:

1. Öppna Sophos Connect.
2. Välj Import connection.
3. Importera lämplig anslutningsfil.
4. Kontrollera anslutningen under Connections.
5. Klicka på Connect.
6. Logga in med VPN-användaren och bekräfta MFA om det är aktiverat.

Efter en lyckad anslutning bör man dessutom kontrollera om interna DNS-namn löses och om de nödvändiga systemen är tillgängliga. Om anslutningen är upprättad men ingen trafik flödar, hjälper Log Viewer, Policy Test och Packet Capture. Den lämpliga instruktionen är Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture.

Vid SSL VPN på macOS är DNS-testet särskilt viktigt. Sophos Connect 2.0 MR1 åtgärdar ett problem där DNS-inställningar för SSL-VPN-anslutningar på macOS inte tillämpades korrekt. Om interna namn inte löses bör därför version och profilstatus kontrolleras först innan DNS-regler ändras blint.

För SSL VPN med flera gateways i .ovpn-filen försöker Sophos Connect med posterna i omvänd prioritetsordning; Dynamic DNS-gateways har företräde framför gateways med WAN-IP. Om ett försök misslyckas används nästa tillgängliga gateway i denna ordning. Vid ett oväntat gatewayval bör den aktuella filen jämföras med de mål som faktiskt provats i klienthändelserna, i stället för att anta att den första posten prioriteras.

Microsoft Entra ID SSO på macOS (Sophos Connect 2.1): webbläsare och återgång till klienten

Entra ID SSO är dokumenterat för IPsec, SSL VPN och provisionering från Sophos Connect 2.1 för macOS; macOS 2.0 stöder inte detta klientflöde. Kontrollera den relevanta Entra ID-konfigurationen på brandväggen, autentiseringsmetoder och Redirect URI innan du börjar. Använd den godkända paketversionen av 2.1 på macOS 14+. Valet av webbläsare beror på anslutnings- eller provisioneringskonfigurationen, inte enbart på operativsystemet. Autentisering i systemwebbläsaren och det automatiska bytet till den kräver SFOS 22.0 MR3 eller senare. Stäm av brandväggsversionen med IT-avdelningen innan ett sådant förfarande används; en äldre version uppfyller inte detta krav.

Kontrollera före Entra ID SSO att VPN Portal, SSL VPN-policyn och Microsoft Entra ID-konfigurationen använder den autentiseringsserver som krävs.

1. Välj rätt anslutning i Sophos Connect, använd SSO-inloggningen och starta Connect. Slutför inloggningen i webbläsaren som Sophos Connect öppnar, inklusive begärd MFA eller kontroll av regelefterlevnad. En separat öppnad portalinloggning ersätter inte detta klientflöde.
2. Om sso_auth_browser_type saknas eller har värdet auto börjar Sophos Connect i den inbäddade webbläsaren. Om inloggningen inte kan slutföras där på grund av Conditional Access-krav växlar klienten automatiskt till systemets standardwebbläsare och försöker logga in igen. Slutför inloggningen där och återgå sedan till Sophos Connect.
3. Med embedded används endast den inbäddade webbläsaren: ingen automatisk reservlösning. Om inloggningen misslyckas på grund av Conditional Access, be IT tillhandahålla en godkänd provisioneringsfil med system och försök igen. Med system används endast systemwebbläsaren; återgå till Sophos Connect efter inloggningen.
4. Direkt importerade .ovpn- eller .scx-profiler fungerar som auto: först inbäddad webbläsare, sedan automatiskt systemwebbläsaren vid motsvarande Conditional Access-krav. Om det nödvändiga webbläsarbytet uteblir och felet kvarstår, be IT tillhandahålla en godkänd .pro-fil med sso_auth_browser_type satt till system. Provisioneringsschemat och de tillåtna värdena hör hemma i Sophos Connect-provisionering; hitta inte på manuella ändringar i .ovpn eller .scx som webbläsarkonfiguration.

Ett fel i regelefterlevnaden är inte en uppmaning att försvaga säkerhetsreglerna. Genomför de nödvändiga åtgärderna för regelefterlevnad eller kontakta IT. Inaktivera inte Conditional Access, MFA eller certifikatkontroller för att tvinga fram inloggningen. Kontrollera tunnelstatus samt VPN-IP, DNS och åtkomst först efter återgången till klienten. Windows-flödet och Windows GPO-distribution är inget belägg för macOS.

Manuellt importerade .ovpn- eller .scx-profiler hämtar inte automatiskt senare policyändringar. Auto-connect och Update policy kräver provisionering: i Windows med en kompatibel klient och i macOS från 2.1, inte med 2.0. auto_connect_host aktiverar Auto-connect; Update policy blir tillgängligt efter den första lyckade anslutningen. Rename, Clear credentials och Delete är fortfarande separata åtgärder; efter Delete måste manuella profiler importeras på nytt.

Koppla först från tunneln på delade Mac-datorer. Öppna sedan Sophos Connect-menyn uppe till höger, välj Force SSO re-login och bekräfta med OK. Detta rensar den inbyggda webbläsarens cookies, inte systemwebbläsarens. Om den fortfarande använder föregående identitet, rensa bara cookies för berörda Microsoft Entra ID- eller VPN-gatewaydomäner. Det kan även logga ut andra sessioner på dessa domäner; rensa inte alla webbläsardata utan urskillning.

Kontrollera i piloten att nästa användare kan upprätta tunneln först efter inloggning med sin egen Microsoft Entra ID-identitet. En befintlig SSO-session eller enbart frånkoppling av tunneln bevisar inte ett säkert användarbyte. Efter rensningen återställs sessionen genom ny inloggning, inte genom att återställa någon annans cookies.

Om ett sparat lösenord orsakar automatisk inloggning och SSO-valet saknas, använd Edit connection > Clear credentials. Alternativen visas igen vid nästa Connect. Detta tar bort sparade inloggningsuppgifter, inte VPN-behörigheten, och skiljer sig från Force SSO re-login. Ändra klientens VPN Portal-port bara när administratören anger ett nytt värde: även SSO använder den porten.

Kontrollera efter installation

Efter installationen bör dessa punkter kontrolleras:

• Sophos Connect-versionen passar den använda macOS-versionen.
• På Apple Silicon startar Sophos Connect faktiskt och klarar hela VPN-pilottestet; kontrollera Rosetta för 2.0, inbyggd ARM-körning för 2.1 och de faktiska installationsdialogerna.
• Den importerade filen motsvarar det önskade protokollet: IPsec eller SSL VPN.
• Användaren är behörig i rätt VPN-grupp.
• MFA fungerar och begärs på ett begripligt sätt.
• Klienten får en lämplig VPN-IP.
• Interna DNS-namn löses.
• Brandväggsregler för VPN-zonen tillåter endast de nödvändiga målen.

Godkännandetest för macOS

En grön anslutningsstatus räcker inte som godkännande. För en pålitlig rollout bör en testanvändare gå igenom dessa punkter:

1. Kontrollera klientversion: Versionen passar macOS, IPsec eller SSL VPN och den interna godkännandenivån.
2. Kontrollera Apple Silicon: Sophos Connect startar på den macOS-version som faktiskt används. Kontrollera Rosetta-kraven för 2.0 och den inbyggda ARM-körningen för 2.1; att klienten startar ersätter inte ett anslutningstest.
3. Importera profil: Rätt fil för IPsec eller SSL VPN accepteras.
4. Testa MFA: Inloggningen kräver den förväntade andra faktorn.
5. Testa DNS: Interna FQDN:er löses korrekt.
6. Testa åtkomst: Tillåtna servrar fungerar och otillåtna mål förblir blockerade.
7. Kontrollera Log Viewer: Trafik från VPN-zonen träffar den förväntade brandväggsregeln.
8. Testa återanslutning: Frånkoppling, nätverksbyte och återanslutning fungerar.
9. Testa Entra SSO från 2.1: Dokumentera det använda webbläsarläget, nödvändig övergång till reservwebbläsare, fullständig webbläsarinloggning och återgång till Sophos Connect. En enhet som inte uppfyller kraven förblir blockerad; åtgärda regelefterlevnaden eller kontakta IT, försvaga inte Conditional Access.

I blandade miljöer bör minst en Intel-Mac och en Apple-Silicon-Mac testas. Om Windows-klienter också används bör beteendet inte tyst likställas. Plattform, profiltyp och klientversion kan skilja sig.

Rollout-anvisningar för hanterade Mac-datorer

Vid få användare räcker ofta en manuell installation med kontrollerad profilimport. I större miljöer bör Sophos Connect behandlas som annan säkerhetsrelevant klientprogramvara.

Innan en bred rollout klargör:

• Vilken Sophos-Connect-version är godkänd?
• Vilka macOS-versioner används?
• Finns det Intel-Macs, Apple-Silicon-Macs eller båda?
• Används IPsec, SSL VPN eller båda?
• Var får användare den aktuella profilen?
• Vem informerar användare när profiler måste importeras på nytt?
• Vilken uppdateringsmetod är godkänd för utgångs- och målversionen, och hur genomförs en eventuell nödvändig avinstallation med efterföljande ominstallation?
• Microsoft Entra ID SSO är dokumenterat för Windows från Sophos Connect 2.4 och macOS från 2.1, inte för macOS-klient 2.0. En kompatibel SFOS-konfiguration och en aktuell klientkonfiguration krävs. Kontrollera autentiseringsmetoder och Redirect URI; MFA är fortfarande en separat kontrollpunkt. Detta innebär varken ett identiskt webbläsarflöde eller att Windows GPO-distribution kan överföras till macOS.
• Hur känner helpdesk igen föråldrade profiler?
• Övervakas VPN-portal, MFA och certifikat separat?

Gamla installationspaket och profiler bör tas bort från interna nedladdningsplatser eller tydligt märkas som föråldrade. Särskilt vid fjärråtkomst leder en godtycklig gammal profil från nedladdningsmappen snabbt till onödig felsökning. Den officiella installationsanvisning som används här beskriver ingen generell MDM-distribution av macOS-paketet. Överför därför inte Windows-rutiner eller leverantörsspecifika MDM-parametrar utan dokumentation och tester för den egna plattformen.

Ta bort eller återställ Sophos Connect säkert

Koppla från VPN före avinstallationen och säkerhetskopiera under kontrollerade former profilen som behövs för en senare återställning. En .ovpn-fil innehåller ett användarspecifikt certifikat och dess privata nyckel och ska därför lagras på en skyddad plats. Planera åtgärden under ett underhållsfönster med lokal eller alternativ administratörsåtkomst.

Om Sophos Endpoint är installerat med aktivt manipuleringsskydd ska du inte stänga av skyddet i förebyggande syfte. Vid en godkänd avinstallation kör du det dokumenterade skriptet med administratörsbehörighet i Terminal på macOS:

sudo /Library/Sophos\ Connect/uninstall.sh

Meddelandet Sophos Connect has been uninstalled bekräftar att avinstallationen lyckades. Kontrollera därefter att Sophos Connect inte längre startar.

Om borttagningen är blockerad

Sophos Connect-processer som inte laddas ur kan ha samband med Endpoints manipuleringsskydd. Vid denna felbild ska du spara loggar, starta om under ett underhållsfönster och därefter kontrollera igen. Om borttagningen fortfarande är blockerad, stäm av den konkreta Endpoint-/klientkombinationen med IT eller Sophos.

Ändra manipuleringsskyddet specifikt i Sophos Fusion endast om en tillfällig skyddsändring uttryckligen har godkänts för detta. Slå därefter på skyddet igen och kontrollera att det är aktivt på Endpoint och i hanteringssystemet, även om avinstallationen misslyckas.

Återgå till föregående klientversion

För en säker återställning bör det tidigare godkända macOS-paketet förvaras med kontrollerad åtkomst tills piloten är klar. Om den nya versionen misslyckas, ta bort Sophos Connect med det stödda skriptet, installera det tidigare godkända paketet, importera den tillhörande profilen på nytt och upprepa hela godkännandetestet. En återgång till en version före 2.0 är olämplig för SSL VPN eftersom dessa macOS-versioner endast stöder IPsec. Spara versionsnummer, tidpunkt och supportrapport före återgången för fel som kan behöva eskaleras. Kontrollera och säkert uppdatera Sophos Connect Client-versionen beskriver versionsvalet och borttagnings- och ominstallationsprocessen mer utförligt. En återgång till macOS-klient 2.0 behåller varken inbyggd ARM-körning, .pro-provisionering eller Entra ID SSO. Om dessa 2.1-funktioner krävs är 2.0 inte en likvärdig återgångslösning; godkänn och testa en alternativ lösning som stöds i förväg.

Diagnostisera och eskalera problem

Öppna Events i klienten eller välj Open VPN log i trepunktsmenyn för den första diagnosen. Kontrollera att profiltyp, användaridentitet, macOS-version och Sophos Connect-version stämmer med testfallet. Om bara interna namn inte fungerar, undersök först DNS och profilens aktualitet. Om även åtkomst via IP-adress misslyckas är brandväggsregler, routing, NAT och returväg nästa kontrollpunkter.

Det detaljerade förfarandet per symptom finns i Felsök Sophos Connect Client. Där samlas bland annat import- och inloggningsfel, DNS efter Full Tunnel-anslutningar, ett låst gränssnitt, MTU/MSS samt loggar på klient- och brandväggssidan. Kringgå inte certifikatvalidering eller säkerhetskontroller för att tillfälligt upprätta en anslutning.

Anslutning importeras men upprättas inte

Kontrollera först om filen tillhör rätt protokoll och om Sophos-Connect-versionen är lämplig för det. SSL VPN på macOS kräver Sophos Connect 2.0 eller senare. Kontrollera sedan användarbehörighet, MFA, certifikat, gateway, brandväggens tid och tillgänglig VPN-portal eller gateway-FQDN.

För en första diagnos, öppna Events i klienten eller välj Open VPN log i trepunktsmenyn. Enligt SFOS-22-dokumentationen tyder för SSL VPN Login failed. Wrong fingerprint of certificate. på att den importerade profilen kanske inte passar den identitet, domän eller autentiseringsmetod som används. Kringgå inte certifikatvalideringen, utan hämta och importera en ny .ovpn-fil med samma autentiseringsmetod som ska användas för anslutningen. För SFOS 23 ska denna koppling inte behandlas som en bekräftad diagnos: dokumentera brandväggs- och klientversion samt profilidentitet och be IT eller Sophos om versionsspecifikt klargörande; kringgå inte certifikatvalideringen.

Interna namn löses inte

Vid SSL VPN på macOS bör den använda Sophos-Connect-versionen kontrolleras eftersom det finns specifika felkorrigeringar i detta område. Kontrollera sedan DNS-servrar, sökdomäner, importerad profil och brandväggsregler.

Om IP-adresser fungerar men namn inte gör det, är det troligen DNS. Om även IP-adresser inte fungerar är routing, brandväggsregler, NAT eller returväg mer sannolikt.

Anslutning är upprättad men ingen åtkomst fungerar

Då ligger orsaken ofta i brandväggsregler, routing, NAT eller returväg. I Log Viewer bör det synas om trafik från VPN-zonen träffar den förväntade regeln. För IPsec-specialfall, se Sophos Firewall IPsec VPN Troubleshooting.

Efter profiländring fungerar inte anslutningen längre

Manuellt importerade profiler: Efter ändringar av gateway, certifikat, port, DNS, IP-pool, användargrupp eller autentisering bör profilen exporteras och importeras på nytt. En klientuppdatering ersätter inte automatiskt en gammal profil, men gör inte heller en oförändrad konfiguration ogiltig.

Jämför de berörda inställningarna efter en brandväggsåterställning eller konfigurationsimport:

• IPsec: Importera den aktuella konfigurationsfilen på nytt om gränssnitt, autentiseringsmetod eller 2FA har ändrats.
• SSL VPN: Om port, protokoll, gränssnitt eller servercertifikat i de globala SSL VPN-inställningarna har ändrats, ladda ner .ovpn på nytt från VPN Portal och importera den.

Provisionering från macOS-klient 2.1: En redan importerad .pro hämtar automatiskt de IPsec- och SSL VPN-konfigurationer som passar användaren så länge gatewayadressen (gateway) och VPN Portal-porten (user_portal_port) är oförändrade. Om dessa värden ändras, uppdatera och distribuera provisioneringsfilen på nytt; anta inte att den gamla hämtningsvägen fortfarande fungerar. Kontrollera sedan anslutning, MFA, DNS och tillåtna åtkomster igen. macOS-klient 2.0 kräver fortfarande manuell import.

Sparande av inloggningsuppgifter är inte synligt

Sophos har återaktiverat detta alternativ för SSL VPN på macOS i Sophos Connect 2.0 MR1. Efter en uppdatering måste konfigurationsfilen importeras på nytt för att alternativet ska kunna användas. I miljöer med MFA bör det dessutom kontrolleras om sparande av inloggningsuppgifter passar säkerhetskonceptet.

Sophos Connect öppnas inte eller svarar inte

Om gränssnittet inte öppnas eller inte reagerar på ikonen i macOS-menyraden kan GUI-processen ha hängt sig. Välj processen Sophos Connect i Activity Monitor, avsluta den med Force Quit och starta därefter programmet på nytt från Launchpad. Detta avslutar endast det låsta gränssnittet. Om felet återkommer bör klientversionen och supportrapporten kontrolleras.

Webbåtkomsten fungerar inte efter frånkoppling

Efter att en Full Tunnel-anslutning har kopplats från kan macOS fortsätta använda VPN-anslutningens interna DNS-servrar. Då kan webbplatser och namnuppslagning utanför tunneln sluta fungera. Koppla kort från och återanslut Wi-Fi eller Ethernet. Om problemet återkommer bör klientversion, profil och DNS-beteende dokumenteras i stället för att DNS-servrarna skrivs över permanent för hand.

Anslutning är upprättad men stora överföringar hänger

Om inloggning, DNS och små åtkomster fungerar men större filöverföringar eller vissa applikationer hänger, bör MTU/MSS kontrolleras. Felbilden passar ofta fragmentering, PPPoE, tunnlade anslutningar eller en asymmetrisk väg. Förfarandet finns i Kontrollera Sophos Firewall MTU och MSS vid VPN-problem.

Samla supportdata

Inför en eskalering ska du dokumentera tidpunkt, användare, macOS-version, Sophos-Connect-version, profiltyp, källnät och målsystem. I Sophos Connect Client skapar Trepunktsmenyn > About > Generate technical support report filen scvpntsr.zip. Den innehåller VPN-konfigurationer, anslutningshändelser, provisioneringsdetaljer, SSO-autentiseringsinformation, webbläsardetaljer och endpoint-information. Filen kan innehålla känsliga uppgifter och ska endast lämnas vidare till behöriga mottagare via den godkända överföringsvägen; kopiera aldrig lösenord, OTP-koder eller privata nycklar till ärendetexten. WebView2-uppgifter i scgui.log gäller endast Windows, inte macOS-webbläsaren.

På brandväggen hjälper samtidigt Log Viewer, sslvpn.log, IPsec-loggar, Packet Capture och den berörda brandväggsregeln. Tilldelningen av loggfiler finns i Sophos Firewall Troubleshooting: Services och Logs.

För en kompletterande SCCLI-kontroll som endast läser information på en Mac i pilotgruppen finns snabbreferensen för macOS-CLI. Den ersätter varken klientgränssnittet eller ett godkänt VPN-test och ger ingen grund för automatisk MDM-distribution.

FAQ