Installera Sophos Connect Client på Windows

Sophos Connect är Sophos centrala klient för många scenarier med fjärråtkomst via Sophos Firewall. På Windows kan klienten använda IPsec- och SSL VPN-anslutningar beroende på brandväggskonfigurationen. Det är viktigt att klientversion, Windows-plattform, konfigurationsfil och brandväggsinställningar passar ihop.

Den här guiden beskriver installationen på Windows och de viktigaste kontrollerna efter att anslutningen har importerats. Börja med jämförelsen Sophos Connect eller SSL VPN: Vilken lösning för fjärråtkomst passar? när du ska välja mellan IPsec, SSL VPN, mobila klienter och ZTNA.

Sophos Connect är inte IPsec-klienten för mobila Apple-enheter. Den separata guiden Konfigurera Sophos Firewall IPsec VPN på iPhone beskriver nedladdning, installation, kontroll och återkallning av den inbyggda iOS-profilen.

Vilken artikel passar?

Sophos Connect på Windows är bara en del av driften av fjärråtkomst. Beroende på uppgiften kan en annan ingång vara lämpligare:

• Installera Sophos Connect på Windows: Den här artikeln.
• Konfigurera SSL VPN på Windows med .ovpn: Konfigurera Sophos SSL VPN med Sophos Connect på Windows.
• Konfigurera Sophos Connect på brandväggen: Konfigurera Sophos Connect på Sophos Firewall.
• Konfigurera Microsoft Entra ID SSO för Sophos Connect: Konfigurera Microsoft Entra ID SSO för Sophos Connect och VPN Portal.
• Underhålla klientversioner, uppdateringar och profiler: Kontrollera och uppdatera Sophos Connect Client säkert.
• VPN är anslutet men trafiken fungerar inte: Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture.

Den här uppdelningen förhindrar att felsökningen sker på fel ställe. En installerad klient bevisar inte att VPN Portal, autentisering, profil, brandväggsregler, DNS och returväg är korrekt konfigurerade.

Förutsättningar

• Sophos Firewall med konfigurerad fjärråtkomst
• Sophos Connect Client i en version som passar brandväggen och plattformen
• Windows 10 eller Windows 11, för aktuella Sophos Connect-versioner som 64-bitars eller Windows ARM
• Konfigurationsfil för IPsec (.scx) eller SSL VPN (.ovpn), alternativt en provisioneringsfil (.pro)
• ingen äldre Sophos SSL VPN Client installerad parallellt
• användarkonto med VPN-behörighet och fungerande MFA om det är aktiverat
• brandväggsregler för trafik från zonen VPN eller den fjärråtkomstzon som används

Om Sophos Connect ska användas med Microsoft Entra ID SSO krävs Sophos Connect 2.4 eller senare på Windows samt en passande SSO-konfiguration på brandväggen. Processen beskrivs i Konfigurera Microsoft Entra ID SSO för Sophos Connect och VPN Portal.

SSO per brandväggsversion: SFOS 22 beskriver Entra ID SSO på Windows med Sophos Connect 2.4 eller senare; SFOS 23 utökar denna väg till stödda OpenID Connect-identitetsleverantörer (OIDC) för IPsec, SSL VPN och provisionering. Det innebär inte att varje OIDC-leverantör stöds eller att funktionen finns i varje firmwarebuild. Entra-konfigurationen är fortfarande giltig. Versions- och profilkraven finns i Sophos Connect-provisionering; använd för Google Konfigurera Google Workspace OIDC i SFOS 23. Guiderna innehåller också leverantörs- och versionsspecifik diagnostik; tillämpa inte de Microsoft-specifika råden nedan på andra IdP:er utan vidare.

För direkta .scx- eller .ovpn-profiler ska IdP först väljas under Authentication > Services, och profilen hämtas därefter. SSL VPN kräver samma IdP för VPN Portal och tunneln; direkt IPsec tillåter samma eller en annan IdP. SSO-provisionering med .pro kräver däremot samma konfigurerade IdP för VPN Portal, IPsec och SSL VPN.

Windows ARM stöds från Sophos Connect 2.5. Om äldre programpaket fortfarande distribueras internt bör du före utrullningen kontrollera vilken version som faktiskt installeras. För utrullning, pilotgrupp och uppdateringskontroll passar Kontrollera och uppdatera Sophos Connect Client säkert.

Supportgräns: Sophos Connect 2.5 och senare stöder inte Windows 11 Enterprise Multi-session, inklusive Azure Virtual Desktop-miljöer med detta operativsystem. Behandla vanlig Windows 11 och multi-session-utgåvan som separata plattformar vid godkännandet.

Plattformsgränsen är också viktig: nya utrullningar med aktuella Sophos Connect-versioner bör planeras för Windows 10 eller Windows 11. Äldre 32-bitarsinstallationer bör inte fortsätta som ny standard bara för att de var möjliga med tidigare klientversioner.

1. Ladda ned Sophos Connect Client

Användare hämtar klienten i VPN Portal under VPN > Sophos Connect client > Download for Windows. Administratörer kan hämta den i WebAdmin under Remote access VPN > IPsec eller Remote access VPN > SSL VPN via Download client och distribuera den kontrollerat. Versionen följer pattern updates under Backup & Firmware > Pattern updates. Sophos Connect-dokumentationen är en referens, inte en versionsstyrd paketkälla.

VPN Portal är som standard tillgänglig på https://<Firewall-FQDN>:443. Om VPN portal port har ändrats ska porten dokumenteras konsekvent i URL:en, provisioneringen och SSO-planeringen.

I hanterade miljöer bör inte enskilda användare installera valfria klientversioner. Använd i stället ett tydligt paket med definierad version, utrullningsgrupp och återställningsplan. Det är särskilt viktigt när Windows ARM, SSL VPN via Sophos Connect eller provisioneringsfiler används.

Sophos Connect bör uppdateras regelbundet. Nya versioner innehåller inte bara funktionsändringar utan även uppdaterade komponenter som OpenVPN, strongSwan och OpenSSL.

I större miljöer måste installationskällan vara entydig. Om äldre MSI-filer, nedladdning från VPN Portal och programvarudistribution används parallellt kan helpdesk annars snabbt installera olika klientversioner.

2. Installera Sophos Connect Client

En befintlig äldre Sophos SSL VPN Client måste tas bort före installationen. Sophos Connect kan inte användas parallellt med en annan redan installerad VPN-klient. En uppgradering av Sophos Connect sker enligt Sophos inte heller som en enkel uppdatering på plats: avinstallera den befintliga versionen och installera därefter den aktuella versionen.

Starta det hämtade MSI-paketet. Godkänn villkoren, klicka på Install och avsluta med Finish. Lägg inte till odokumenterade MSI-parametrar utan att kontrollera dem mot exakt det godkända paketet.

Efter installationen bör versionen kontrolleras direkt i klienten eller via programvaruinventeringen. Det är särskilt viktigt för Windows ARM, Entra SSO, provisioneringsfiler och återkommande tjänstefel, eftersom små versionsskillnader kan ändra felbilden.

3. Ladda ned anslutningsfilen

Vid första starten behöver Sophos Connect en anslutningskonfiguration. Beroende på utformningen av fjärråtkomsten är det en IPsec-, SSL VPN- eller provisioneringsfil.

Vanliga anslutningsfiler:

• IPsec Remote Access: .scx; exporteras från konfigurationen för Remote Access IPsec.
• SSL VPN: .ovpn; hämtas från VPN Portal eller genom administrativ export.
• Automatisk import via provisionering: .pro; en centralt förberedd provisioneringsfil.

Vid en klassisk IPsec-konfiguration exporteras filen i WebAdmin:

1. Öppna Remote access VPN > IPsec i SFOS 22 WebAdmin.
2. Rulla längst ned efter konfigurationen och klicka på Export connection.
3. Distribuera .scx från tar.gz-arkivet endast till behöriga användare. .tgb är avsedd för tredjepartsklienter; Sophos rekommenderar .scx med avancerade inställningar för Sophos Connect.

För SSL VPN tillhandahålls konfigurationen vanligtvis via VPN Portal eller från fjärråtkomstkonfigurationen. Den exakta källan beror på hur Remote Access har konfigurerats på brandväggen. Den detaljerade processen för import av .ovpn, VPN Portal och SSL VPN-tester finns i Konfigurera Sophos SSL VPN med Sophos Connect på Windows.

SSL-profiler och identitet: En .ovpn innehåller användarspecifika certifikat och privata nycklar och får aldrig delas mellan användare. Skilj den från återanvändbara metadata i den ursprungliga .pro-filen. Klientdokumentationen för SFOS 22 kopplar den SSL-profil som skapas vid import till användaridentitet, autentiseringsmetod och domän. Importera separat för en annan metod eller domän; återanvändning av den importerade SSL-profilen kan orsaka Login failed. Wrong fingerprint of certificate. Denna dokumenterade begränsning gäller inte .scx-IPsec-profiler. Provisionering och SSL-identitet förklarar skillnaden.

Den sparade klientdokumentationen för SFOS 23 utelämnar detta identitetsavsnitt utan att förklara ändrat beteende vid körning. Det bevisar varken att profiler får återanvändas eller att kopplingen är oförändrad i varje version. Separera SSL-importer efter identitet, metod och domän som en försiktighetsåtgärd tills ett auktoritativt versionsspecifikt klargörande finns; detta är ingen verifierad regel för körbeteendet i SFOS 23.

Profiler bör distribueras kontrollerat. Om gateway, certifikat, DNS, användargrupp, IP-pool, SSO eller autentisering har ändrats ska du inte förlita dig på gamla filer i nedladdningsmappar. Berörda anslutningar måste exporteras och importeras på nytt eller uppdateras korrekt via provisionering.

En .pro-fil innehåller inte bara gatewayen för den senare VPN-tunneln. Sophos Connect använder först de gateways som anges i filen för att nå VPN Portal och hämta de .scx- och .ovpn-konfigurationer som passar användaren. Själva tunneln använder därefter gateways från dessa konfigurationsfiler.

Kontrollera medvetet följande förutsättningar för provisionering:

• IPsec-provisionering kräver Sophos Connect 2.1 eller senare.
• Fjärranvändare måste kunna nå VPN Portal. Vid åtkomst från WAN måste VPN Portal tillåtas för WAN-zonen under Administration > Device access > Local service ACL. Det ökar den publikt åtkomliga angreppsytan och bör därför kombineras med MFA, ett giltigt certifikat och en härdad portal.
• Värdet gateway i .pro-filen måste kunna nås som FQDN eller IPv4-adress. Använd för SSO brandväggens värdnamn eller IP i den konfigurerade IdP:ns avsnitt Redirect URI: Entra ID enligt SFOS 22, stödda OIDC-IdP:er enligt SFOS 23. Ange bara FQDN/IP, inte hela callback-URI:n; ställ in portalporten separat i vpn_portal_port. Följ för Google kraven på publik FQDN i den länkade leverantörsguiden.
• Det lokalt signerade portalcertifikatet som används som standard kan orsaka felet Untrusted certificate vid provisionering. I produktionsmiljöer bör VPN Portal använda ett certifikat som klienterna litar på.
• En anslutning som skapats med .pro kan hämta ändringar från VPN Portal. Edit connection > Update policy blir tillgängligt efter den första lyckade anslutningen för manuell uppdatering. Uppdatera först policyn efter flera misslyckade försök. För manuellt importerade .scx eller .ovpn måste administratören distribuera en aktuell fil och användaren importera den.

En provisioneringsfil förenklar distributionen men ersätter inte en teknisk acceptanskontroll av anslutningen. För konfiguration och GPO-distribution passar Konfigurera Sophos Connect på Sophos Firewall.

Den fullständiga .pro-strukturen, MFA-fälten, flera gateways och GPO-distributionen beskrivs i Sophos Connect-provisionering med .pro och GPO.

4. Konfigurera Sophos Connect Client

Konfigurationen görs i några få steg:

1. Öppna Sophos Connect.
2. Välj Import Connection.
3. Importera rätt anslutningsfil.
4. Kontrollera anslutningen under Connections.
5. Klicka på Connect.
6. Logga in med VPN-användaren och bekräfta MFA om det är aktiverat.

När inloggningen lyckas ska Sophos Connect visa att anslutningen är upprättad. Kontrollera därefter inte bara den gröna statusen utan testa även DNS, interna mål och brandväggsregler. Om anslutningen är uppe men ingen trafik passerar hjälper Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture.

Vid Entra ID SSO bör du dessutom kontrollera att SSO-flödet verkligen går via den avsedda Microsoft Entra ID-servern och att Conditional Access eller MFA fungerar enligt plan. En lyckad lokal inloggning bevisar inte automatiskt att SSO, gruppmappning och VPN-behörighet är korrekta.

Koppla först från tunneln på delade Windows-enheter. Öppna sedan Sophos Connect-menyn uppe till höger, välj Force SSO re-login och bekräfta med OK. Detta rensar den inbyggda webbläsarens cookies. Kontrollera i piloten att nästa användare loggar in med sin egen SSO-identitet: Microsoft Entra ID på SFOS 22 eller den konfigurerade OIDC-leverantören i det stödda Windows-flödet för SFOS 23. Att bara koppla från tunneln ersätter inte detta användarbyte. Ny inloggning krävs efteråt; återställ inte någon annans sessionscookies.

Om automatisk lösenordsinloggning beror på Remember username and password, inte SSO, välj Edit connection > Clear credentials. Alternativen visas igen vid nästa Connect. Användaren måste ange sina uppgifter på nytt; detta ändrar varken profilen eller VPN-behörigheten och ersätter inte Force SSO re-login. Ändra klientens VPN Portal-port endast på administratörens instruktion, eftersom även SSO använder denna port.

Verifiera MFA och SSO målinriktat

Vid inloggning med användarnamn och lösenord är användarnamnet skiftlägeskänsligt. Ange en begärd kod i det visade MFA-steget; metoden måste stämma med brandväggen och identitetsleverantören. Microsoft Entra ID SSO på Windows kräver Sophos Connect 2.4 eller senare, VPN Portal-porten och aktuella SSO-värden i .scx eller .ovpn.

Om Single sign-on (SSO) är gråmarkerat ska du exportera eller hämta en aktuell konfiguration och importera den igen. Utan sso_api_port och sso_api_domain kan klienten inte erbjuda SSO. Kontrollera WebView2 och Windows-uppdateringar om Microsoft-inloggningen inte öppnas innan profiler eller regler ändras.

Kontrollera efter installationen

Kontrollera följande efter installationen:

• Sophos Connect-versionen passar plattformen, särskilt vid Windows ARM.
• Den importerade filen motsvarar önskat protokoll: IPsec eller SSL VPN.
• Användaren har behörighet i rätt VPN-grupp.
• MFA fungerar och blockerar inte anslutningen.
• Klienten får en lämplig VPN-IP-adress.
• Interna DNS-namn kan lösas.
• Brandväggsregler för zonen VPN tillåter endast nödvändiga mål.
• Gamla profiler har inte återanvänts av misstag.

Om äldre konfigurationer för Remote Access IPsec fortfarande finns inför en uppgradering till SFOS 22 MR1 bör du först kontrollera Migrera äldre Remote Access IPsec före SFOS 22 MR1.

Acceptanstest för Windows

En grön klientstatus räcker inte som acceptans. För en robust utrullning bör en testanvändare kontrollera följande:

1. Kontrollera klientversionen: Versionen passar Windows 10/11, Windows ARM och den internt godkända versionen.
2. Importera profilen: .scx, .ovpn eller .pro identifieras korrekt.
3. Testa SSO: Entra SSO startar endast där det är avsett.
4. Testa MFA: OTP, RADIUS-MFA eller Entra-MFA fungerar som dokumenterat.
5. Testa DNS: Interna FQDN kan lösas korrekt.
6. Testa åtkomsten: Tillåtna mål fungerar och otillåtna mål förblir blockerade.
7. Kontrollera Log Viewer: Trafik från VPN-zonen träffar den förväntade brandväggsregeln.
8. Testa återanslutning: Nätverksbyte, vänteläge och återanslutning går att följa.

I blandade miljöer bör minst en vanlig Windows 10/11-enhet och en Windows ARM-enhet testas om ARM används i produktionen. Om även macOS-klienter används bör deras beteende dokumenteras separat.

Utrullningsanvisningar för hanterade Windows-klienter

För ett fåtal användare kan en manuell installation vara tillräcklig. I större miljöer bör Sophos Connect hanteras via den normala programvarudistributionen eller endpoint-hanteringen.

Klargör följande före en bred utrullning:

• Vilken Sophos Connect-version är godkänd?
• Vilka Windows-versioner och CPU-arkitekturer används?
• Används IPsec, SSL VPN, Entra SSO eller provisionering?
• Finns det användare med OTP, RADIUS-MFA eller Entra-MFA?
• Hur distribueras nya profiler?
• Hur tas gamla profiler bort eller markeras som inaktuella?
• Hur avinstalleras Sophos Connect före en uppgradering och installeras sedan på nytt?
• Hur framtvingas Force SSO re-login på delade enheter?
• Vem kontrollerar DNS, brandväggsregler och återanslutningsbeteende efter klientuppdateringar?
• Vilka loggar och skärmbilder behöver helpdesk för supportärenden?

Kontrollera starten för alla användare på delade enheter. Den internt underhållna guiden Kontrollera Sophos Connect Client-versionen och uppdatera säkert sätter fyra relevanta korrigeringar i Sophos Connect 2.5 MR1 från 18 juni 2026 i sitt sammanhang: NCL-2570 (autostart för ytterligare användare), NCL-2783 (fel SSO-status efter internetavbrott), NCL-2992 (olika OTP-frågor vid IPsec/SSL VPN-återanslutning) och NCL-2795 (SSL VPN via provisionering misslyckades med specialtecken i certifikat). Pilot- och återanslutningstest krävs fortfarande.

Kontrollerad återställning efter en misslyckad uppdatering

Eftersom Sophos kräver avinstallation före installation av en ny version måste även återställningen förberedas. Dokumentera den tidigare godkända versionen, .scx/.ovpn/.pro-filerna och acceptansresultaten före piloten. Spara först scvpntsr.zip och brandväggsloggar vid fel.

Avinstallera den felaktiga versionen via Control Panel > Programs > Uninstall a program, starta om Windows om setup eller tjänster kräver det och installera det oförändrade paketet för den senast godkända versionen. Importera bara dess godkända profil och testa inloggning, MFA/SSO, VPN-IP, DNS, tillåtna och blockerade mål samt återanslutning igen. Stoppa utrullningen om testet misslyckas.

Felsökning

Sophos Connect startar inte eller visar tjänstefel

Kontrollera först om Sophos Connect-tjänsten körs och om en aktuell klientversion är installerad. För äldre installationspaket är en ren ominstallation med den godkända versionen oftast lämplig. Om flera Windows-användare använder samma enhet bör du även kontrollera att klienten startar automatiskt i respektive användarkontext.

Om gränssnittet visar SSL VPN error: 0x20000000 och scvpn.log dessutom innehåller socket connect failed:0x0000274D, var den lokala OpenVPN-hanteringstjänsten ofta ännu inte redo vid anslutningsförsöket. Det kan inträffa direkt efter Windows-start, efter resume eller vid hög CPU- eller minnesbelastning. Kombinationen är en indikation, inte ett bevis på orsaken.

Spara tidpunkten och scvpn.log innan något ingrepp görs. Vänta därefter kort och försök ansluta igen en gång. Om felet kvarstår kontrolleras statusen för Sophos Connect- och OpenVPN-tjänsterna i Windows Services, och den berörda tjänsten startas om kontrollerat. Starta om Windows först om detta inte hjälper. Om felet återkommer kontrolleras gateway, port, profil, certifikatkedja och nätverkssökväg som vid ett vanligt SSL VPN-fel; upprepade tjänsteomstarter ersätter inte denna diagnos.

Anslutningen importeras men upprättas inte

Vanliga orsaker är användarbehörighet, MFA, certifikat, Preshared Key, brandväggsversion eller fel filtyp. Blanda inte IPsec- och SSL VPN-profiler. För provisioneringsfiler ska även gateway, VPN Portal-port, certifikat, SSO-konfiguration och nåbara Microsoft-slutpunkter kontrolleras om Entra SSO används.

Provisionering visar Untrusted certificate eller hämtar ingen profil

Kontrollera först om gateway i .pro-filen kan nås och om WAN-zonen får åtkomst till VPN Portal under Administration > Device access > Local service ACL. Kontrollera därefter certifikatkedjan, FQDN, VPN Portal-porten och, vid SSO, att brandväggens värdnamn eller IP stämmer med avsnittet Redirect URI för den IdP som konfigurerats för den SFOS-versionen; använd inte hela callback-URI:n som gateway. Brandväggens lokalt signerade standardcertifikat är inte en lämplig förtroendebas för en hanterad produktionsutrullning.

SSO-statusen är oklar efter ett internetavbrott

I Entra SSO-miljöer kan ett internetavbrott ge missvisande statusinformation. Sophos Connect 2.5 MR1 innehåller en korrigering för SSO-användare. Kontrollera ändå om tunneln verkligen har kopplats ned, om klienten återansluter och om brandväggen under Authentication > Services använder den avsedda Microsoft Entra ID-servern.

OTP efterfrågas annorlunda vid återanslutning

Om användare med OTP eller MFA använder IPsec och SSL VPN bör återanslutningen testas. Sophos Connect 2.5 MR1 korrigerar skillnaden som NCL-2992.

SSL VPN via provisionering misslyckas med specialtecken i certifikat

Om felet bara uppstår med SSO, SSL VPN och .pro, medan en aktuell manuellt importerad profil fungerar, ska klientversion och certifikatnamn dokumenteras. Sophos Connect 2.5 MR1 korrigerar felet som NCL-2795. Ändra inte certifikatnamn på chans; det kan påverka tillit, SSO och andra tjänster.

Anslutningen är uppe men interna system kan inte nås

Orsaken ligger då ofta inte i klienten utan i brandväggsregler, routing, DNS eller NAT. I Log Viewer ska det gå att se om trafik från zonen VPN träffar den förväntade regeln. För särskilda IPsec-fall hjälper Felsökning av IPsec VPN på Sophos Firewall.

Anslutningen fungerar inte efter en profiländring

Börja med att skilja mellan hur profilerna hanteras. En manuellt importerad .scx- eller .ovpn-anslutning hämtar inte ändringar från VPN Portal. Efter ändringar av gateway, certifikat, VPN Portal-port, DNS, IP-pool, användargrupp, Entra SSO eller autentisering måste administratören därför exportera och distribuera en aktuell fil, som användaren sedan importerar på nytt. En anslutning som skapats med .pro hämtar däremot de tilldelade konfigurationerna från VPN Portal. Efter den första lyckade anslutningen kan användaren vid behov starta en uppdatering med Edit connection > Update policy. En klientuppdatering ersätter inte någon av dessa profiluppdateringar.

Anslutningen är uppe men stora överföringar stannar

Om inloggning, DNS och mindre åtkomster fungerar men stora filöverföringar eller vissa program stannar bör även MTU/MSS kontrolleras. Felbilden beror ofta på fragmentering, PPPoE, tunnlade anslutningar eller en asymmetrisk väg. Processen beskrivs i Kontrollera MTU och MSS på Sophos Firewall vid VPN-problem.

Samla in supportdata

Dokumentera tidpunkt, användare, Windows, arkitektur, klientversion, profil, källa och mål. Menyn med tre punkter > About > Generate technical support report skapar scvpntsr.zip med openvpn.log, charon.log, scvpn.log, scgui.log, configs.txt, route.txt, ipconfig.txt och systeminfo.txt. Arkivet visar VPN-konfiguration, händelser, routing, IP-konfiguration och systeminformation och ska skyddas som supportdata och bara delas med behöriga eller Sophos Support.

På brandväggen hjälper samtidigt Log Viewer, sslvpn.log, IPsec-loggar, Packet Capture och den berörda brandväggsregeln. Information om loggfilerna finns i Felsökning av Sophos Firewall: tjänster och loggar.

Vanliga frågor