Konfigurera Sophos SSL VPN med Sophos Connect på Windows

SSL VPN är fortfarande en viktig Remote Access-väg på Sophos Firewall, särskilt när IPsec skapar problem på hotell, gästnät eller strikt filtrerade externa nät. På Windows används SSL VPN idag i många miljöer via Sophos Connect.

Artikeln beskriver installationen på Windows, importen av .ovpn-konfigurationen och de viktigaste kontrollerna efter att anslutningen har etablerats. För det grundläggande valet mellan Sophos Connect, SSL VPN, IPsec, mobila klienter och ZTNA passar först Sophos Connect eller SSL VPN: vilken Remote Access-lösning passar?.

Översikt

Den här guiden gäller Sophos Firewall med SFOS. Beroende på plattform eller utgångsläge kan en annan startpunkt passa bättre:

• Konfigurera SSL VPN med Sophos Connect på Windows: Den här artikeln.
• Konfigurera SSL VPN på macOS: Konfigurera Sophos SSL VPN på macOS.
• Konfigurera SSL VPN på iOS: Konfigurera Sophos SSL VPN på iOS.
• Bedöma Sophos Connect i grunden: Sophos Connect eller SSL VPN: vilken Remote Access-lösning passar?.
• Underhålla Sophos Connect-klientversioner och profiler: Kontrollera Sophos Connect Client-version och uppdatera säkert.

Viktigt: Sophos Connect stöder SSL VPN inte bara på Windows. Sedan Sophos Connect 2.0 är Remote Access SSL VPN även möjligt på macOS. Mobila plattformar som iOS och Android stöds inte direkt av Sophos Connect för IPsec och SSL VPN; där används OpenVPN-kompatibla klienter eller operativsystemsfunktioner.

Förutsättningar

• Sophos Firewall med konfigurerad SSL-VPN-Remote-Access-konfiguration
• användare med behörighet för SSL VPN
• åtkomst till VPN Portal eller en administrativt tillhandahållen .ovpn-fil
• Sophos Connect i en aktuell version som passar Windows-plattformen
• Windows 10 eller Windows 11, med Sophos Connect 2.5 eller senare även Windows ARM
• MFA/OTP konfigurerat om Remote Access skyddas med det
• Firewall Rules för trafik från VPN-zonen
• klargjord process för hur nya .ovpn-filer distribueras efter ändringar

Om SSL-VPN-konfigurationen på firewallsidan ännu inte är klar bör Konfigurera Sophos Firewall SSL VPN Remote Access genomföras först.

Inför en uppgradering till SFOS 22 MR1 bör man dessutom kontrollera om gamla Remote Access IPsec-konfigurationer fortfarande finns. SSL VPN berörs inte direkt av detta, men många miljöer omvärderar Remote Access i det läget. Förloppet beskrivs i Migrera Legacy Remote Access IPsec före SFOS 22 MR1.

Planera före nedladdning

Innan användare laddar ner klienten bör det vara tydligt hur SSL VPN ska drivas. Många senare fel uppstår inte vid installationen, utan på grund av gamla profiler, oklara behörigheter eller för breda Firewall Rules.

Viktiga planeringsfrågor:

• Användare: Vilka användare eller grupper är behöriga som Policy members för SSL VPN?
• Portal: Måste VPN Portal vara åtkomlig från internet eller distribueras .ovpn-filen administrativt?
• Certifikat: Passar certifikatet till den publika FQDN:en och visar webbläsaren inga varningar?
• MFA: Efterfrågas OTP/MFA för Remote Access och är token-utrullningen klar?
• DNS: Behövs interna DNS-servrar och sökdomäner?
• Åtkomst: Vilka interna nät och tjänster får nås från VPN-zonen?
• Drift: Vem uppdaterar Sophos Connect och distribuerar nya profiler efter ändringar?

Om VPN Portal är publikt åtkomlig bör den inte betraktas som en ren nedladdningssida. Den är en inloggningstjänst på firewallen och ingår i angreppsytan. Device Access, certifikat, MFA, loggning och möjliga käll- eller landsbegränsningar bör därför kontrolleras medvetet.

1. Logga in i VPN Portal

Öppna Sophos Firewall VPN Portal i webbläsaren och logga in med VPN-användaren.

Om webbläsaren varnar för certifikatet bör orsaken kontrolleras. I produktionsmiljöer är ett giltigt certifikat för VPN Portal renare än ett permanent webbläsarundantag. För publika portaler är certifikat, MFA och Device Access inte en detalj vid sidan av, utan en del av Remote Access-säkerheten. För härdning passar Device Access och Local Service ACL på Sophos Firewall.

Om användaren efter lyckad inloggning inte ser någon SSL-VPN-konfiguration är det sällan ett Windows-problem. Kontrollera först om användaren eller gruppen finns med som Policy members i rätt SSL-VPN-Policy och om rätt Portal nås.

2. Ladda ner Sophos Connect och SSL-VPN-konfigurationen

Gå till området VPN i VPN Portal. Där tillhandahålls Sophos Connect Client och SSL-VPN-konfigurationen. För SSL VPN är .ovpn-filen relevant.

Sophos Connect Client kan också laddas ner direkt från Sophos webbplats: Ladda ner Sophos Connect Client.

I hanterade miljöer bör klienten inte installeras slumpmässigt. Bättre är ett definierat mjukvarupaket med tydlig version, testgrupp och uppdateringsprocess. Den frisläppta versionen bör härledas från officiella Release Notes, VPN Portal eller det interna mjukvarupaketet, inte från enskilda nedladdningar på användarenheter. Aktuella Sophos Connect-versioner innehåller även säkerhets- och komponentuppdateringar, till exempel för OpenVPN eller OpenSSL.

Om en gammal SSL-VPN-klient eller en annan OpenVPN-baserad klient för samma anslutning fortfarande är installerad på Windows-enheten bör det rensas upp före utrullningen. Flera parallellt underhållna VPN-klienter leder annars snabbt till fel adaptrar, gamla profiler och oklara supportärenden.

3. Installera Sophos Connect

Kör installationsprogrammet och följ installationsstegen.

Om en nätverksadapter måste bekräftas under installationen hör det till VPN-klienten. I hanterade Windows-miljöer bör detta steg förberedas rent via mjukvarudistribution eller lokala administratörsrättigheter.

Efter installationen bör Sophos-Connect-versionen dokumenteras. Det hjälper senare vid supportfall, eftersom klientfel, profilfel och firewallfel annars snabbt blandas ihop. För löpande drift passar Kontrollera Sophos Connect Client-version och uppdatera säkert.

4. Importera SSL-VPN-konfigurationen

Efter installationen visas Sophos Connect-ikonen i meddelandefältet i Windows aktivitetsfält. Öppna Sophos Connect och importera den nedladdade .ovpn-filen.

Vid flera profiler bör anslutningsnamnet vara entydigt. Gamla eller dubbla profiler leder annars snabbt till supportärenden eftersom användare väljer fel mål.

Efter ändringar i SSL-VPN Policy, certifikat, gateway, DNS, användarkrets eller provisioning-logik bör anslutningen importeras på nytt. En klientuppdatering ersätter inte automatiskt en gammal .ovpn-profil. Om Sophos Connect rapporterar en policy- eller kompressionsavvikelse är det ofta just den här profilversionen som är problemet.

Typiska tecken på en föråldrad eller fel profil:

• Anslutningen visar gammalt platsnamn: Oftast är en gammal profil fortfarande importerad. Ta bort gammal anslutning och importera aktuell .ovpn igen.
• Certifikats- eller Gateway-varning: FQDN, certifikat eller Override Hostname kan ha ändrats. Ladda ner profilen på nytt från aktuellt VPN Portal.
• DNS fungerar bara på enskilda klienter: Kontrollera gamla DNS-värden i profilen eller lokalt DNS-beteende. Importera profilen på nytt och kontrollera Windows-DNS.
• Användaren ser ingen konfiguration i portalen: Kontrollera Policy-tilldelning eller användarkontext. Kontrollera SSL-VPN-Policy och gruppmedlemskap.

5. Upprätta VPN-anslutningen

Välj den importerade anslutningen och klicka på Connect. Logga därefter in med VPN-användaren. Om MFA eller OTP är aktivt måste den andra faktorn bekräftas enligt firewallkonfigurationen.

Efter att anslutningen har etablerats bör man inte bara kontrollera statusen i klienten. Det avgörande är om de interna mål som behövs är åtkomliga.

Kontrollera efter installationen

Minst dessa punkter bör kontrolleras med en testanvändare:

• Sophos Connect visar anslutningen som ansluten.
• Användaren får en IP-adress från den förväntade SSL-VPN-poolen.
• Interna DNS-namn löses korrekt.
• Nödvändiga servrar och applikationer är åtkomliga.
• Internetbeteendet motsvarar designen: Split Tunnel eller Full Tunnel.
• I Log Viewer syns den förväntade Firewall Rule för trafik från VPN-zonen.
• MFA efterfrågas enligt plan.
• Ett medvetet inte tillåtet mål förblir blockerat.
• Avbruten anslutning och ny inloggning fungerar.

Om anslutningen är uppe men ingen åtkomst fungerar ligger orsaken ofta inte i klienten, utan i Firewall Rules, DNS, routing eller NAT. För analysen passar Testa Firewall Rule med Log Viewer, Policy Test och Packet Capture.

Snabbkontroll på Windows-sidan

På Windows-klienten hjälper enkla kontroller innan man ändrar firewallkonfigurationen:

ipconfig /all
route print
nslookup intranet.example.local
ping 10.10.10.10

Det handlar inte om att tillåta varje ping. Avgörande är om klienten har fått en SSL-VPN-adress, om en route till det interna målnätet finns och om DNS löser via förväntad server. Om åtkomst via IP-adress fungerar men inte via namn är DNS mer sannolikt än Firewall Rule.

Drift och säkerhet

SSL VPN är en publikt åtkomlig Remote Access-tjänst. Därför bör man inte bara dokumentera installationen, utan även driften:

• uppdatera Sophos Connect regelbundet
• aktivera och testa MFA för Remote Access
• kontrollera VPN-grupper regelbundet
• begränsa portalåtkomst via Device Access och Local Service ACL där det är möjligt
• hålla Firewall Rules för VPN-zonen snäva och loggade
• ta bort gamla .ovpn-filer och föråldrade profiler
• planera Syslog eller central utvärdering vid längre logglagring

För MFA-grunder passar Aktivera MFA för Sophos Firewall WebAdmin, VPN Portal och Remote Access. För loggfiler och serviceloggar är Sophos Firewall Troubleshooting: tjänster och loggar hjälpsam.

Troubleshooting

Inloggningen i VPN Portal fungerar inte

Kontrollera användare, lösenord, MFA, gruppmedlemskap och autentiseringsserver. Om AD, RADIUS eller Microsoft Entra ID SSO är inblandat bör autentiseringen testas separat från VPN.

Användaren ser ingen SSL-VPN-konfiguration i VPN Portal

Om inloggningen fungerar men ingen .ovpn-fil eller ingen SSL-VPN-nedladdning syns bör man inte felsöka Windows-klienten. Först ska SSL-VPN-Policy, Policy members, gruppmedlemskap, Portal-åtkomst och User-ID-gräns kontrolleras. Firewall-processen finns i Konfigurera Sophos Firewall SSL VPN Remote Access.

.ovpn-filen går inte att importera

Kontrollera först om filen verkligen hör till den aktuella firewallkonfigurationen och om Sophos Connect är tillräckligt aktuell. Vid specialtecken i certifikat eller användardata bör en aktuell klientversion användas.

Om nedladdningen av .ovpn-filen i själva VPN Portal misslyckas trots att inloggning och behörighet stämmer bör man dessutom kontrollera Sophos Firewall User-ID-gränsen.

Anslutningen är uppe, men interna system är inte åtkomliga

Kontrollera DNS, Firewall Rules, routing, NAT och returväg. I Log Viewer bör trafik från VPN-zonen synas. Om inga loggar visas når trafiken sannolikt inte den förväntade regeln eller så är loggning avaktiverad.

Om små åtkomster fungerar men större filöverföringar eller vissa applikationer hänger bör även MTU/MSS kontrolleras: Kontrollera Sophos Firewall MTU och MSS vid VPN-problem.

Sophos Connect rapporterar Policy mismatch eller Compression mismatch

Sådana meddelanden tyder ofta på att firewallkonfigurationen har ändrats men att klienten fortfarande använder en gammal SSL-VPN-profil. I så fall bör den aktuella .ovpn-filen laddas ner på nytt från VPN Portal eller distribueras administrativt på nytt och därefter importeras igen.

Efter profilbyte ansluter Sophos Connect fortfarande till gammalt mål

Då finns ofta en gammal anslutningspost kvar eller så väljer användaren fel profilnamn i klienten. Ta bort gamla profiler, importera aktuell .ovpn på nytt och välj profilnamn så att plats, miljö eller syfte är entydigt.

Anslutningen bryts i främmande nät

SSL VPN är ofta mer tolerant än IPsec, men inte immun mot restriktiva nät, Captive Portals, proxytvång eller instabila WLAN. I sådana fall bör man testa med ett annat nätverk och kontrollera om Split Tunnel, port, protokoll eller ZTNA passar bättre.

Samla in supportdata

Om felet inte är direkt synligt kan Sophos Connect skapa en teknisk supportrapport. Den innehåller anslutningshändelser, VPN-konfigurationer och information om endpointen. Innan den vidarebefordras bör känsliga data som användarnamn, interna hostnamn, IP-adresser och gateway-FQDN:er kontrolleras.

På firewallsidan hjälper samtidigt Log Viewer, sslvpn.log, openvpn-status*.log och rätt Firewall Rule. Kopplingen mellan loggfilerna beskrivs i Sophos Firewall Troubleshooting: tjänster och loggar.

FAQ