Installera Sophos Connect Client på macOS

Sophos Connect kan användas på macOS för fjärråtkomst med Sophos Firewall. I de senaste versionerna är inte bara IPsec relevant: Sedan Sophos Connect 2.0 är även Remote Access SSL VPN på macOS möjligt. Detta har ändrat rekommendationen för många miljöer.

Artikeln beskriver installationen på macOS, import av lämplig anslutning och de viktigaste kontrollerna efter anslutning. För det grundläggande beslutet mellan Sophos Connect, SSL VPN, OpenVPN-klienter och ZTNA, se Sophos Connect eller SSL VPN: Vilken fjärråtkomstlösning passar?.

Vilken artikel passar?

Sophos Connect på macOS överlappar snabbt med andra fjärråtkomstartiklar. Beroende på uppgift är en annan startpunkt bättre:

• Installera Sophos Connect på macOS: Denna artikel.
• Ställ in SSL VPN på macOS med .ovpn: Ställ in Sophos SSL VPN med Sophos Connect på macOS.
• Förbered Sophos Connect på brandväggen: Konfigurera Sophos Connect på Sophos Firewall.
• Planera klientversioner, uppdateringar och profilunderhåll: Kontrollera och säkert uppdatera Sophos Connect Client-versionen.
• VPN är anslutet, men trafiken fungerar inte: Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture.

Denna uppdelning är viktig eftersom klientinstallationen bara är en del av fjärråtkomstdriften. Brandväggsregler, DNS, MFA, certifikat, VPN-portal och profilfördelning förblir separata kontrollpunkter.

Förutsättningar

• Sophos Firewall med konfigurerad fjärråtkomstkonfiguration
• Sophos Connect Client i en version som passar brandväggen och plattformen
• För Sophos Connect 2.0 eller senare: macOS Ventura 13 eller senare
• Mac med Intel-processor eller Apple Silicon via Rosetta 2
• Konfigurationsfil för IPsec (.scx eller .tgb) eller SSL VPN (.ovpn)
• Användarkonto med VPN-behörighet och, om aktiverat, fungerande MFA
• Brandväggsregler för trafik från VPN-zonen eller den använda fjärråtkomstzonen

Om SSL VPN ska användas på macOS måste Sophos Connect 2.0 eller senare användas. Vid äldre interna instruktioner bör det därför kontrolleras om de fortfarande utgår från den tidigare IPsec-only-situationen. För versionskontroll, uppdateringsplanering och typiska DNS-/profilproblem, se Kontrollera och säkert uppdatera Sophos Connect Client-versionen.

Viktigt: För macOS finns ingen dokumenterad stöd för provisioning-filer. För macOS bör därför en importerad IPsec-konfigurationsfil eller en .ovpn-fil planeras. Om en rollout ska automatiseras helt måste det först kontrolleras om den använda MDM kan hantera fil- och användarprocesserna korrekt.

1. Ladda ner Sophos Connect Client

Sophos Connect Client för macOS kan beroende på miljö erhållas via brandväggen, VPN-portalen eller Sophos Download Page. I hanterade miljöer bör det definieras vilken klientversion som distribueras och var användare får den lämpliga konfigurationsfilen.

För IPsec används vanligtvis en .scx- eller .tgb-fil. För SSL VPN importeras en .ovpn-fil. Vilken fil som är korrekt beror på fjärråtkomstkonfigurationen på brandväggen.

• IPsec Remote Access: .scx eller .tgb. användbar med Sophos Connect på Intel och Apple Silicon.
• SSL VPN: .ovpn. Sophos Connect 2.0 eller senare krävs.
• Provisioning: .pro. planera inte som standard för macOS.

Vid en klassisk Sophos-Connect-IPsec-konfiguration exporteras anslutningen i WebAdmin:

1. Öppna VPN > Sophos Connect Client på Sophos Firewall.
2. Exportera anslutningen.
3. Spara filen säkert och tillhandahåll den endast för behöriga användare.

Beroende på nedladdningskälla ligger installationsprogrammet i en zip-fil. Efter uppackning hittar man vanligtvis paketet Sophos Connect.pkg för macOS.

För hanterade Mac-datorer bör installationsprogrammet inte distribueras brett utan en pilotgrupp. Minst en Intel-Mac och en Apple-Silicon-Mac bör testas om båda plattformarna finns i företaget.

2. Installera Sophos Connect Client

Installationen startas med ett dubbelklick på Sophos Connect.pkg. Efter att installationsguiden har slutförts kan fönstret stängas med Stäng.

På Apple-Silicon-enheter kan Rosetta 2 krävas. Om macOS visar ett meddelande om detta under installationen bör Rosetta 2 installeras och klienten startas om.

Efter installationen bör versionen kontrolleras direkt i klienten. Detta är särskilt viktigt om flera installationspaket har cirkulerat internt eller om användare tidigare har installerat klienten.

3. Ladda ner anslutningsfil

Vid första starten behöver Sophos Connect en anslutningskonfiguration. Denna fil bör komma från den aktuella giltiga brandväggskonfigurationen och inte återanvändas från ett gammalt användararkiv.

Typiska anslutningsfiler:

• IPsec Remote Access: .scx eller .tgb. Export under VPN > Sophos Connect Client.
• SSL VPN: .ovpn. VPN-portal eller administrativ export.

Om gamla fjärråtkomst-IPsec-konfigurationer fortfarande används före en SFOS-22-MR1-uppgradering bör ett gammalt profil inte bara distribueras vidare. I detta fall bör Migrera Legacy Remote Access IPsec före SFOS 22 MR1 kontrolleras först.

Profiler bör behandlas som inloggningsuppgifter. En gammal .ovpn-, .scx- eller .tgb-fil kan fortfarande innehålla interna nätverk, gatewaynamn, certifikat eller användaranknytning. Om gateway, certifikat, DNS, användargrupp, IP-pool eller autentisering har ändrats bör profilen exporteras och importeras på nytt.

4. Ställ in Sophos Connect Client

Inställningen av Sophos Connect Client är klar i några få steg:

1. Öppna Sophos Connect.
2. Välj Import Connection.
3. Importera lämplig anslutningsfil.
4. Kontrollera anslutningen under Connections.
5. Klicka på Connect.
6. Logga in med VPN-användaren och bekräfta MFA om aktiverat.

Efter en lyckad anslutning bör man dessutom kontrollera om interna DNS-namn löses och om de nödvändiga systemen är tillgängliga. Om anslutningen är upprättad men ingen trafik flödar, hjälper Log Viewer, Policy Test och Packet Capture. Den lämpliga instruktionen är Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture.

Vid SSL VPN på macOS är DNS-testet särskilt viktigt. Sophos Connect 2.0 MR1 åtgärdar ett problem där DNS-inställningar för SSL-VPN-anslutningar på macOS inte tillämpades korrekt. Om interna namn inte löses bör därför version och profilstatus kontrolleras först innan DNS-regler ändras blint.

IPsec med macOS inbyggda verktyg

Beroende på brandväggskonfiguration kan Remote Access IPsec även ställas in med macOS inbyggda verktyg. Detta är en separat driftsmodell och bör inte förväxlas med Sophos Connect. Det kan vara meningsfullt om ingen ytterligare klientprogramvara önskas, men passar inte i alla miljöer.

Praktiskt förfarande om denna variant används medvetet:

1. Logga in på User Portal på Sophos Firewall.
2. Ladda ner lämplig IPsec-konfiguration för Apple-enheter.
3. Öppna och installera profilen på Mac.
4. Kontrollera anslutningen i macOS-nätverksinställningarna.
5. Testa anslutningen och validera interna mål.

Om Sophos Connect och macOS inbyggda verktyg används parallellt bör detta dokumenteras medvetet. Annars uppstår supportfall där användare säger “VPN” men menar olika profiler, protokoll och DNS-beteenden.

Kontrollera efter installation

Efter installationen bör dessa punkter kontrolleras:

• Sophos Connect-versionen passar den använda macOS-versionen.
• På Apple Silicon är Rosetta 2 tillgänglig om klienten behöver det.
• Den importerade filen motsvarar det önskade protokollet: IPsec eller SSL VPN.
• Användaren är behörig i rätt VPN-grupp.
• MFA fungerar och begärs på ett begripligt sätt.
• Klienten får en lämplig VPN-IP.
• Interna DNS-namn löses.
• Brandväggsregler för VPN-zonen tillåter endast de nödvändiga målen.

Godkännandetest för macOS

En grön anslutningsstatus räcker inte som godkännande. För en pålitlig rollout bör en testanvändare gå igenom dessa punkter:

• Kontrollera klientversion: Versionen passar macOS, IPsec eller SSL VPN och intern frisläppning.
• Kontrollera Apple Silicon: Rosetta 2 finns och Sophos Connect startar pålitligt.
• Importera profil: rätt fil för IPsec eller SSL VPN accepteras.
• Testa MFA: Inloggning kräver den förväntade andra faktorn.
• Testa DNS: interna FQDN:er löses korrekt.
• Testa åtkomst: tillåtna servrar fungerar, ej tillåtna mål förblir blockerade.
• Kontrollera Log Viewer: Trafik från VPN-zonen träffar den förväntade brandväggsregeln.
• Testa återanslutning: Koppla från, nätverksbyte och återanslutning fungerar.

I blandade miljöer bör minst en Intel-Mac och en Apple-Silicon-Mac testas. Om Windows-klienter också används bör beteendet inte tyst likställas. Plattform, profiltyp och klientversion kan skilja sig.

Rollout-anvisningar för hanterade Mac-datorer

Vid få användare räcker ofta en manuell installation med kontrollerad profilimport. I större miljöer bör Sophos Connect behandlas som annan säkerhetsrelevant klientprogramvara.

Innan en bred rollout klargör:

• Vilken Sophos-Connect-version är godkänd?
• Vilka macOS-versioner används?
• Finns det Intel-Macs, Apple-Silicon-Macs eller båda?
• Används IPsec, SSL VPN eller båda?
• Var får användare den aktuella profilen?
• Vem informerar användare när profiler måste importeras på nytt?
• Hur känner helpdesk igen föråldrade profiler?
• Övervakas VPN-portal, MFA och certifikat separat?

Gamla installationspaket och gamla profiler bör tas bort från interna nedladdningsplatser eller tydligt märkas som föråldrade. Särskilt vid fjärråtkomst leder ett “något gammalt profil från nedladdningsmappen” snabbt till onödig felsökning.

Felsökning

Anslutning importeras men upprättas inte

Kontrollera först om filen tillhör rätt protokoll och om Sophos-Connect-versionen är lämplig för det. SSL VPN på macOS kräver Sophos Connect 2.0 eller senare. Kontrollera sedan användarbehörighet, MFA, certifikat, gateway, brandväggens tid och tillgänglig VPN-portal eller gateway-FQDN.

Interna namn löses inte

Vid SSL VPN på macOS bör den använda Sophos-Connect-versionen kontrolleras eftersom det finns specifika felkorrigeringar i detta område. Kontrollera sedan DNS-servrar, sökdomäner, importerad profil och brandväggsregler.

Om IP-adresser fungerar men namn inte gör det, är det troligen DNS. Om även IP-adresser inte fungerar är routing, brandväggsregler, NAT eller returväg mer sannolikt.

Anslutning är upprättad men ingen åtkomst fungerar

Då ligger orsaken ofta i brandväggsregler, routing, NAT eller returväg. I Log Viewer bör det synas om trafik från VPN-zonen träffar den förväntade regeln. För IPsec-specialfall, se Sophos Firewall IPsec VPN Troubleshooting.

Efter profiländring fungerar inte anslutningen längre

Efter ändringar av gateway, certifikat, port, DNS, IP-pool, användargrupp eller autentisering bör profilen exporteras och importeras på nytt. En klientuppdatering ersätter inte automatiskt en gammal profil.

Sparande av inloggningsuppgifter är inte synligt

Sophos har återaktiverat detta alternativ för SSL VPN på macOS i Sophos Connect 2.0 MR1. Efter en uppdatering måste konfigurationsfilen importeras på nytt för att alternativet ska kunna användas. I miljöer med MFA bör det dessutom kontrolleras om sparande av inloggningsuppgifter passar säkerhetskonceptet.

Anslutning är upprättad men stora överföringar hänger

Om inloggning, DNS och små åtkomster fungerar men större filöverföringar eller vissa applikationer hänger, bör MTU/MSS kontrolleras. Felbilden passar ofta fragmentering, PPPoE, tunnlade anslutningar eller en asymmetrisk väg. Förfarandet finns i Kontrollera Sophos Firewall MTU och MSS vid VPN-problem.

Samla supportdata

Om felet inte är direkt synligt bör man dokumentera tidpunkt, användare, macOS-version, Sophos-Connect-version, profiltyp, källnät och målsystem. På brandväggen hjälper Log Viewer, sslvpn.log, IPsec-loggar, Packet Capture och den berörda brandväggsregeln. Tilldelningen av loggfiler finns i Sophos Firewall Troubleshooting: Services och Logs.

FAQ