Felsökning av Sophos Connect-klienten

Om Sophos Connect inte ansluter, börjar diagnostiken vid slutpunkten: notera feltiden, läs meddelandet om detta försök under Events och kontrollera endast den berörda sökvägen. Ändringar av brandväggsregler, VPN-policyer eller certifikat baserat på misstanke gör analysen svårare. Denna runbook täcker klienten på Windows och macOS; Instruktionerna för Windows och macOS förklarar installationen.

Begränsa snabbt

1. Spela in initialsituationen: Tid med tidszon, användare, operativsystem, Sophos Connect-version, IPsec eller SSL VPN och profilkälla (.scx, .ovpn eller .pro).
2. Kontrollera det lokala nätverket: Den fysiska adaptern behöver en giltig IP-adress. Ett offentligt namn måste kunna lösas utan ett VPN.
3. Läs händelse: Under Events, jämför posten med anslutningsförsöket. Spara formuleringar och platshållarvärden oförändrade.
4. Skilj klientfel från fel på fjärrsidan: Om gränssnittet eller tjänsten inte startar fortsätter analysen på endpointen. Om klienten når gatewayen men misslyckas vid policy, autentisering eller IKE måste brandväggsadministratören korrelera försöket.
5. Kontrollera resultatet: Återanslut efter exakt en åtgärd och notera en ny tidsstämpel.
6. Eskalera: Överlämna reproducerbara fel med händelse, VPN-logg och scvpntsr.zip; skriv inte inloggningsuppgifter i supportärendet.

En status Connected bevisar bara att tunneln har upprättats. DNS, routing och åtkomst till en tillåten intern destination är separata tester.

Läs händelser korrekt

Meddelandet under Events är det bästa första filtret. Den beskriver dock inte den yttersta orsaken i alla fall. Till exempel kan DNS resolution failed bara bekräfta att klienten inte kunde lösa gatewaynamnet; Varför den använda resolvern inte svarar måste klargöras separat.

Nätverk, DNS och provisionering

• No network connection: Ethernet eller WiFi har ingen IP-adress. Återställ först lokal anslutning utan VPN.
• DNS resolution failed: Gatewaynamnet kan inte lösas. Kontrollera om en DNS-server är tilldelad det fysiska gränssnittet och kör nslookup www.sophos.com i Kommandotolken på Windows eller i Terminal på macOS. Minst en IP-adress förväntas. Om detta offentliga test misslyckas ligger nästa steg hos det lokala nätverket eller leverantören, inte hos VPN-policyn.
• DNS resolution failed for gateway: <gateway name:port>: Värdnamn i provisionering är ogiltigt; för importerade .ovpn måste brandväggsadministratören kontrollera SSL VPN-inställningarna.
• Cannot connect to policy gateway: <gateway name>: För provisionering i Windows och macOS från Sophos Connect 2.1. Jämför gateway och user_portal_port med gatewayen och HTTPS-porten för VPN Portal. Kontrollera också om en utgående port är blockerad eller om policygatewayen inte är tillgänglig.
• Import file contains a duplicate connection: <connection name>: För provisionering i Windows och macOS från Sophos Connect 2.1. Ge varje duplicerat display_name-värde i .pro-filen ett unikt namn.
• The connection data could not be added. Connection with name <connection name> already exists: Kontrollera redan importerad anslutning och ta bara bort den om den aktuella profilkällan är tillgänglig för återimport.

Registrering och profilstatus

• User authentication of <username entered> failed: Upprepa inmatningen noggrant en gång. Om felet upprepas måste brandväggsadministratören kontrollera lösenordsstatus, användar- och VPN-auktorisering. Flera gissningar kan utlösa låsmekanismer.

• Server expected remote ID <expected ID value> but got <actual ID value>: Lokalt ID på brandväggen och klientprofilen stämmer inte överens. Få aktuell profil från brandväggsadministratören.

• Possible pre-shared key mismatch <connection name>: Endast IPsec. Fördelad nyckel och exporterad profil är inte samma sak; överför inte nyckeln i biljetten eller chatta.

• No SSL VPN policy is defined for this user: <username>: SSL VPN-fjärråtkomstpolicyn innehåller inte matchande medlemmar. Detta är en auktoriseringsuppgift på brandväggen.

• The Single sign-on (SSO) option is grayed out: Windows från Sophos Connect 2.4; macOS från 2.1. Den aktuella felsökningshjälpen anger saknade värden för sso_api_port och sso_api_domain i profilen .ovpn eller .scx för båda plattformarna. Be brandväggsadministratören tillhandahålla en uppdaterad konfiguration, importera den och anslut igen; detta är inte en uppmaning att redigera profilerna manuellt. macOS-klienten 2.0 får inte SSO-stöd genom detta.

• SSO Authentication failed due to Webview2 setup error: Reparera eller uppdatera WebView2 och Windows uppdateringsstatus; klienten kunde inte öppna Microsofts inloggningssida.

• Entra SSO misslyckas i webbläsaren eller återgår inte till klienten (macOS, Sophos Connect 2.1 eller senare): Kontrollera webbläsarflödet för SSO på macOS för val av webbläsare, övergång till reservwebbläsare och återgång till Sophos Connect. Om ett annat webbläsarläge behövs, be IT om en godkänd .pro-fil enligt provisioneringsschemat för sso_auth_browser_type. Uppfyll kraven för regelefterlevnad eller kontakta IT; försvaga inte Conditional Access, MFA eller certifikatvalideringen.

IPsec-händelser

• UDP ports 500/4500 blocked: Lokal brandvägg eller router blockerar IKE/NAT-T. Om du inte hanterar routern, kolla med en mobil hotspot. Om samma klient arbetar där är det en stark indikation på den ursprungliga nätverksvägen.
• No response from gateway: <gateway FQDN or IP specified in connection>: IPsec-gatewayen svarar inte på IKE. Brandväggsadministratören måste kontrollera tillgänglighet och offentlig WAN-anslutning.
• Received NO_PROPOSAL_CHOSEN notification from gateway: Sophos Connect-policyn är inte aktiv eller fas 1-förslaget och den exporterade profilen matchar inte. Lossa inte förslag blint; Jämför policyer och profiler på ett kontrollerat sätt.
• SA disabled or deleted by gateway: Gatewayen raderade SA, till exempel efter en policyändring eller manuell frånkoppling. Återanslut en gång; korrelera med brandväggens tidsstämpel när den upprepas.
• Failure to add route [network/mask] prevented phase 2 completion: Endast Windows. Efter att Fas 2 SA ställts in kunde rutten inte ställas in. Inaktivera och återaktivera TAP-adaptern. Om felet kvarstår, öppna Kommandotolken som administratör:

net stop scvpn
net start scvpn

Tjänsten förväntas sedan köras igen och ett nytt anslutningsförsök kommer att ställa in rutten. Att stoppa bryter befintliga Sophos Connect-tunnlar på den här enheten.

• Failed to load connection info into strongSwan: Endast Windows; charon-svc.exe eller strongSwan-tjänsten körs inte. Börja i Kommandotolken som administratör:

net start strongswan

Om tjänsten inte startar eller misslyckas igen, fortsätt inte i en omstartsslinga, utan säkerhetskopiera supportrapporten och Windows-händelser.

SSL VPN-händelser

• Policy mismatch error. Will download policy and retry connection.: En Windows-anslutning som skapats från .pro hämtar den ändrade policyn och återansluter automatiskt. Med TCP upptäcker klienten ändringen under anslutningen; med UDP kan inaktivitetstimern behöva löpa ut först.
• Policy mismatch error. Import a new policy for this connection.: En manuellt importerad .ovpn är utfasad. Skaffa och importera ny användarspecifik .ovpn från VPN-portalen.
• Compression mismatch error. Will retry connection.: För .ovpn, återanslut manuellt; en provisionerad anslutning försöker det automatiskt.
• Server certificate cannot be verified: <gateway name>. Do you want to continue? Under provisioneringen visar VPN Portal ett certifikat som endpointen inte kan verifiera, vanligtvis brandväggens självsignerade certifikat. Fortsätt endast efter att gatewayen och certifikatet har bekräftats via en betrodd kanal. Brandväggsadministratören bör tilldela ett publikt betrott certifikat till Admin console and end-user interaction eller distribuera Sophos Firewall-CA:n kontrollerat till de hanterade endpointernas betrodda arkiv. Inaktivera inte certifikatvalideringen.
• Could not connect to untrusted server: <gateway>: Certifikatvarningen har avbrutits. Förtydliga först identitet och förtroendekedja, försök sedan igen.
• Timed out waiting for server response: Åsidosätt värdnamn, DDNS eller offentlig WAN-adress för SSL VPN-konfigurationen pekar inte korrekt mot brandväggen. För .pro använd Update policy; För .ovpn, skaffa en ny fil efter att brandväggsadministratören har korrigerat fjärrstationen.

Åtgärda GUI och servicefel

Gränssnittet öppnas eller svarar inte

I Windows, öppna Task Manager > Detaljer, välj scgui.exe, kör Avsluta uppgift och starta om Sophos Connect från skrivbordsgenvägen. På macOS öppnar du Sophos Connect-processen i Activity Monitor, väljer Force Quit och startar om programmet från Launchpad. Detta tar slut på den fasta ytan, inte automatiskt orsaken. Om felet upprepas, spara version och scgui.log.

Service is unavailable

På Windows betyder händelsen att scvpn inte körs. Öppna Kommandotolken som administratör:

net start scvpn

För Service Unavailable efter en hängande IPsec-frånkoppling på macOS, stäng först GUI i Activity Monitor. Ladda sedan om den dokumenterade tjänsten i Terminal med administratörsrättigheter:

sudo /bin/launchctl unload -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist
sudo /bin/launchctl load -w /Library/LaunchDaemons/com.sophos.connect.scvpn.plist

Öppna Sophos Connect igen och se om meddelandet har försvunnit. Dessa kommandon avbryter tunneln. Om ett fel återkommer, ladda inte om tjänsterna upprepade gånger, utan spara loggar och rapporter.

Fler lokala SSL VPN-tjänstfel

• Management port is unavailable: Sophos Connect kunde inte ockupera TCP-porten 25340 för kommunikation med OpenVPN. Kontrollera vilken annan lokal applikation som använder porten och avsluta den endast om dess funktion är känd. Anslut sedan igen.
• OpenVPN service is unavailable: Kontrollera starttypen för OpenVPN-tjänsten i Windows. Om den är inställd på Disabled, dokumentera det befintliga värdet, ändra det till Manual och starta sedan om Sophos Connect-tjänsten. Detta avbryter aktiva tunnlar. Kontrollera därefter tjänsten och anslutningen; om försöket misslyckas, återställ den tidigare starttypen och eskalera. Tillämpa inte denna Windows-tjänsteinställning på macOS.
• Failed to create temporary file: Starta om enheten. Klienten kunde inte skapa den temporära filen för att skicka anslutningsattribut.
• Failed to write to pipe eller mer allmänt SSL VPN error: Återanslut en gång. Om felet kvarstår, starta om enheten; eskalera sedan med loggar istället för att kontinuerligt starta om.
• Sophos Connect can’t establish a tunnel efter att båda klienterna installerats: Felsökningshjälpen beskriver en ominstallation av båda klienterna i ordningen äldre Sophos SSL VPN Client, sedan Sophos Connect. Installationsanvisningen utesluter dock samtidig användning med andra VPN-klienter. Dessa motstridiga uppgifter är inget generellt godkännande för samexistens. Om den äldre klienten inte längre behövs, använd den godkända målkonfigurationen utan den; om båda är absolut nödvändiga, stäm först av den konkreta kombinationen med Sophos och planera ett separat pilottest samt en återställningsväg i stället för att installera båda på försök.
• Manuellt importerade .ovpn- eller .scx-profiler hämtar inte automatiskt senare policyändringar. Auto-connect och Update policy kräver provisionering: i Windows med en kompatibel klient och i macOS från 2.1, inte med 2.0. auto_connect_host aktiverar Auto-connect; Update policy blir tillgängligt efter den första lyckade anslutningen. Rename, Clear credentials och Delete är fortfarande separata åtgärder; efter Delete måste manuella profiler importeras på nytt.
• En uppgradering eller avinstallation lämnar äldre processer aktiva på en Mac med Sophos Endpoint: Enligt felsökningshjälpen kan Tamper Protection förhindra att Sophos Connect-daemoner laddas ur. Spara loggarna, starta om Mac-datorn en gång under underhållsfönstret och kontrollera därefter klientens och processernas tillstånd. Den aktuella avinstallationsanvisningen anger inte längre någon generell inaktivering av skyddet; det innebär varken att en sådan krävs eller att skyddet garanterat aldrig är inblandat. Om borttagningen fortfarande blockeras, stäm av den konkreta Endpoint-/klientkombinationen med IT eller Sophos. Gör endast en uttryckligen godkänd tillfällig skyddsändring och kontrollera därefter att skyddet åter är aktiverat och aktivt både på endpointen och i hanteringssystemet, även om försöket misslyckas. Skydd av profiler och återställningsväg beskrivs i avinstallationsprocessen för macOS; avsluta inte daemoner upprepade gånger.

Ansluten men DNS eller trafik fungerar inte

Dra först en tydlig skiljelinje:

• Intern IP-adress tillgänglig, intern FQDN inte: Kontrollera DNS-server, sökdomän och profilstatus. Om DNS ändras medan en IPsec-tunnel är aktiv kommer Sophos Connect endast att visa de nya värdena efter att ha kopplat från och återanslutit.
• Efter en frånkopplad full tunnel fungerar inte webbåtkomst längre: Särskilt under macOS kan interna DNS-servrar finnas kvar på den fysiska adaptern. Koppla bort och återanslut lokal Wi-Fi- eller Ethernet-anslutning. Om detta upprepas, dokumentera version, profil och tid; Skriv inte över DNS permanent manuellt.
• Varken intern IP eller namn tillgängligt: Detta är inte bevis på ett klientfel. Kontrollera VPN-IP, destinationsnätverk, returväg, NAT och brandväggsregel på Sophos-brandväggen. Kontrollera brandväggsregler med Log Viewer, Policy Test och Packet Capture tar hand om denna diagnos.
• Endast IPsec-installation eller SA:er misslyckas: Brandväggssidans runbook är Sophos Firewall IPsec VPN Troubleshooting.
• SSL VPN-policy eller gatewaykonfiguration är felaktig: Konfigurationen hör hemma i Konfigurera SSL VPN Remote Access, inte i en lösning för klienttjänst.
• Små åtkomster fungerar, stora överföringar hänger: Kontrollera MTU/MSS längs stigen. Det är vad Kontrollera Sophos Firewall MTU och MSS för VPN-problem.

Received connection reset from gateway: <gateway name> visas i scvpn.log för SSL VPN när brandväggsinställningarna ändras, en administratör kopplar från användaren eller Sophos Firewall startar om. Importera en aktuell konfiguration och anslut igen. Klientloggarna kan inte ensamma visa exakt vilken åtgärd som skedde på brandväggen.

Säkerhetskopiera loggar och tekniska supportrapporter

För att komma igång, öppna Events eller välj Open VPN log från menyn med tre punkter. Om möjligt, säkerhetskopiera den aktuella felsituationen innan du startar om: Varje loggfil roteras endast en gång. Till exempel, efter omstart av slutpunkten eller klienten, är den föregående sessionen i openvpn.log.old och den nya sessionen är i openvpn.log. Det finns ingen dokumenterad maximal storleksgräns för loggarna; .txt-filer roteras inte.

För Received connection reset from gateway anger Sophos att scvpn.log finns i installationsmappen, men publicerar ingen loggsökväg som är stabil mellan Windows- och macOS-versioner. Gissa eller hårdkoda därför ingen sökväg: använd Open VPN log eller supportrapporten. macOS-tjänstekommandona ovan använder avsiktligt den dokumenterade absoluta sökvägen /Library/LaunchDaemons/com.sophos.connect.scvpn.plist.

Sophos Connect genererar scvpntsr.zip via menyn med tre punkter > About > Generate technical support report. Rapporten omfattar VPN-konfigurationer, anslutningshändelser, provisioneringsdetaljer, SSO-autentiseringsinformation, webbläsardetaljer och endpointinformation. Följande diagnostikfiler ingår:

• openvpn.log: SSL VPN-anslutningsförsök, status, virtuellt gränssnitt, paketflöde och fel.
• charon.log: strongSwan, IKE, ESP, säkerhetshändelser, konfigurationsändringar och paketflöde.
• scvpn.log: Inloggning, anslutning, frånkoppling och andra VPN-händelser.
• scgui.log: Versioner av Sophos Connect och OpenVPN, WebView2-versionsuppgifter endast i Windows samt SSO-inloggningar. Dra inte slutsatsen att macOS är beroende av WebView2.
• configs.txt: Detaljer om importerade .pro, .ovpn och .scx anslutningar; Sophos beskriver denna fil som att den inte innehåller någon personlig information.
• route.txt: Endpoint routing-tabeller.
• ipconfig.txt: IP-konfiguration av slutpunkten.
• systeminfo.txt: Endpoint-systeminformation.

Uppgiften om att personuppgifter saknas gäller endast configs.txt, inte hela arkivet, och innebär inte att alla ingående konfigurationsdata är ofarliga att dela. Förvara rapporten som konfidentiellt supportmaterial enligt interna riktlinjer och gör den endast tillgänglig för behöriga mottagare via den godkända överföringsvägen. Kopiera aldrig lösenord, engångslösenord (OTP) eller privata nycklar till ärendetexten eller ett offentligt loggutdrag.

Kompletterande kontroll av SCCLI på macOS

Den dokumenterade standardplatsen för SCCLI-verktyget är /Library/Sophos\ Connect/. Kontrollera först på en pilot-Mac om det faktiskt installerade paketet innehåller sccli där och vilka alternativ som anges i dess lokala hjälp. Följande exempel läser endast information och visar version och anslutningar; de redovisar inget körningstest på macOS som utförts här och styrker varken MDM-distribution eller att Windows-skript kan användas på macOS:

/Library/Sophos\ Connect/sccli show --version
echo $?
/Library/Sophos\ Connect/sccli list -d
echo $?

Kontrollera status med echo $? omedelbart efter respektive SCCLI-kommando, innan ett annat kommando skriver över den. Windows Command Prompt använder i stället echo %ERRORLEVEL%; det är inte macOS-syntax. Skalet returnerar processens status, inte nödvändigtvis den oförändrade numeriska diagnostikkoden från ett internt klientmeddelande. Om binärfilen saknas eller inte startar, kontrollera paketet och installationens tillstånd; tolka inte statusen som ett tunneltest.

Felreferensen anger -1 för ogiltiga alternativ eller tomma inloggningsuppgifter, 1 för ogiltiga indata eller indata som inte kan parsas, 2 för en saknad fil eller ett tomt lösenord/certifikat, 5 för filer som inte kan läsas, 14 för ett svar som inte kan parsas, 101 för en misslyckad begäran och 120 för saknade serverdata. 1016 begär inloggningsuppgifter, 1024 betyder ”anslutningen hittades inte”, 1101 anger en misslyckad inloggning och 9009 ett kommando som inte hittas eller inte kan startas. Dessa koder är diagnostiska ledtrådar från referensen, ingen garanti för att var och en visas exakt så som skalstatus i macOS. Registrera det exakta meddelandet, den omedelbara statusen och klientversionen tillsammans; vid fil- eller anslutningsfel, kontrollera källa och namn, och vid inloggningsfel, stäm av behörighet och autentisering med IT i stället för att gissa lösenord upprepade gånger.

SCCLI erbjuder även add, remove, update, enable, disable, get och show; detta innebär inte att kommandouppsättningen är nyinförd eller har testats för varje Mac-version. Åtgärder som ändrar tillstånd ingår inte i detta diagnostikexempel: remove kan först koppla från en aktiv anslutning och kan inte ta bort en hanterad anslutning; policyer kan begränsa add, remove eller disable. Auto-connect via add -a är markerat som TBD i källan och beskrivs inte här som en fungerande utrullningsmetod. Skriv aldrig lösenord eller engångslösenord som kommandoargument, i skript, i skalhistorik eller i loggar. Om ett separat godkänt inloggningsflöde använder SCCLI, använd dess interaktiva inmatning, inte de dokumenterade lösenordsargumenten. Läs hjälpen för det installerade verktyget för fler alternativ; gör ändringar endast med en säkrad profilkälla, en godkänd återställningsväg och ett efterföljande VPN-test.

Eskalera rent

Ett handlingsbart fall innehåller operativsystem och build, Sophos Connect-version, profiltyp och källa, feltid med tidszon, exakt händelsetext, förväntad destination, resultat efter IP och efter namn och scvpntsr.zip. Om det finns misstanke på brandväggssidan läggs motsvarande loggvisarutdrag och relevanta IPsec- eller SSL VPN-loggar till; Sophos Firewall Services and Logs klassificerar dem.

Eskalera om en tjänst misslyckas igen efter en enda kontrollerad start, samma fel kan reproduceras i en delad profil, certifikatidentiteten förblir otydlig eller tidsstämplar för klient och brandvägg kommer i konflikt. Ett supportärende kan skickas in på ett strukturerat sätt med hjälp av Förbered och öppna Sophos supportärende.

Vanliga frågor