Kontrollera och uppdatera Sophos Connect Client säkert

Sophos aktuella anvisningar beskriver en uppgradering på Windows och macOS som hämtning och installation av det nya paketet från VPN Portal eller administratören; de föreskriver ingen generell avinstallation i förväg. Det bekräftar dock inte att varje paket kan installeras som en uppdatering ovanpå varje befintlig installation. Den här artikeln behåller den kontrollerade metoden med avinstallation följd av ominstallation för en uttryckligen godkänd ominstallation eller rollback. Klargör före ändringen vilken metod som är lämplig för utgångs- och målversionen och testa den i en pilot; profiler, installationspaket och en plan för rollback måste finnas till hands.

Den installerade versionen visas i Sophos Connect under tre punkter > About. Guiderna för Windows och macOS beskriver första installationen; här behandlas versionsbeslutet och den kontrollerade övergången.

Om valet mellan IPsec, SSL VPN och andra metoder för fjärråtkomst fortfarande är öppet bör du börja med jämförelsen av lösningar för fjärråtkomst innan en målklient väljs.

Välj målversion

Distribuera inte automatiskt det senaste paketet brett. Jämför först de versionsändringar som förklaras nedan, operativsystem som stöds och de VPN-funktioner som faktiskt används med den egna miljön. Den redaktionella kontrollen den 7 september 2026 gav följande daterade ögonblicksbild:

• Windows: Sophos Connect 2.5 MR1, utgiven 18 juni 2026.
• macOS: Sophos Connect 2.0 MR1, utgiven 21 maj 2026.

Uppdatering den 9 oktober 2026: Release notes anger Sophos Connect 2.1 för macOS, publicerat den 6 oktober 2026, med inbyggt ARM-stöd, .pro-provisionering och Microsoft Entra ID SSO för IPsec och SSL VPN. Ögonblicksbilden från den 7 september förblir historisk. En dokumenterad release bevisar varken att paketet faktiskt är tillgängligt i den egna portalen eller att ett enhetstest har godkänts; inget ytterligare GA- eller utrullningsgodkännande härleds från detta.

Dessa versionsuppgifter är en ögonblicksbild, inte ett tidsmässigt obegränsat godkännande. Före en ny utrullning jämförs versionsmatrisen och de beskrivna korrigeringarna med versionen av det paket som faktiskt finns tillgängligt; ansvarig IT bekräftar paketets aktuella plattformsstöd och lämplighet för de VPN-funktioner som behövs. En nyare version testas först i en pilot; en äldre version förblir målversion endast om den fortfarande stöds för den befintliga plattformen och det finns ett dokumenterat skäl att inte använda den nyare. Klientspecifika slutdatum kan inte härledas från Sophos allmänna produktlivscykelsida.

Sophos Connect är inte en klient för iOS eller Android. Om en kombination ligger utanför gränserna ska en migrering först definieras i stället för att testas i produktion.

Windows 2.5 MR1 åtgärdar bland annat automatisk start för ytterligare användare (NCL-2570), felaktig SSO-status efter internetavbrott (NCL-2783), olika OTP-frågor vid återanslutning (NCL-2992) och SSL VPN-provisionering med specialtecken i certifikat (NCL-2795). macOS 2.0 MR1 åtgärdar SSL VPN-DNS och återställer möjligheten att spara inloggningsuppgifter. Ett åtgärdat fel ersätter inte en pilot med den egna profilen.

Förbered uppdatering och rollback

Dokumentera före underhållsfönstret per plattform och grupp:

• klient- och operativsystemversion;
• IPsec eller SSL VPN och profilkälla (.scx, .ovpn eller .pro); en .tgb-fil är däremot en export för IPsec-klienter från tredje part, inte en Sophos Connect-profil;
• lokal, AD-, RADIUS- eller Entra ID SSO-autentisering;
• MFA- och återanslutningsbeteende;
• beroenden som gateway, certifikat, DNS, VPN-pool och tillåtna nätverk.

Behåll målpaketet, föregående internt godkända paket och ursprungliga profilkällor i programvarudistributionen. En skärmbild av profilnamnet är ingen säkerhetskopia: rollback kräver exporten som användes eller en reproducerbar provisioneringskälla. Profiler med certifikat eller privata nycklar får endast lagras skyddat och för den avsedda användaridentiteten.

Administratörer hämtar installationsprogrammet med Download client under Remote access VPN > IPsec eller Remote access VPN > SSL VPN; användare kan hämta det från VPN Portal. Backup & Firmware > Pattern updates kan förnya paketet på brandväggen men uppdaterar inte installerade endpoints. Kontrollera källa, plattform och version och blockera eller märk gamla paket tydligt.

Kör en pilot

Ta med minst en enhet från varje produktionskombination och en till tre typiska användare, inte bara administratörer. Testa, där de finns, Windows x64, Windows ARM, macOS med IPsec, macOS med SSL VPN, Entra SSO och OTP/MFA-återanslutning separat. På Mac testas 2.0/Rosetta och 2.1/inbyggd ARM-körning, den macOS-version som faktiskt används samt direkta profiler och provisionering separat. För Entra SSO från 2.1 ingår webbläsarläge, nödvändig övergång till reservwebbläsare och återgång till klienten i SSO-pilottestet för macOS. Ett fel i regelefterlevnaden åtgärdas eller eskaleras till IT, inte kringgås genom att försvaga Conditional Access.

Dokumentera ett utgångstest före uppgraderingen: inloggning, tilldelad VPN-adress, intern DNS, åtkomst till ett representativt mål, split eller full tunnel och återanslutning efter nätverksbyte. Upprepa exakt samma tester efteråt. Då går det att skilja en klientregression från ett befintligt problem med brandvägg, routing eller profil.

Starta en stegvis bred utrullning först när alla kombinationer fungerar och helpdesk känner till målversion och rollback. Ett lyckat Windows-test godkänner inte macOS.

Avinstallera och installera om klienten

Koppla från aktiv VPN. Om detta är enhetens enda fjärradministrationsväg behövs lokalt underhåll eller en andra väg, eftersom VPN är avbruten under arbetet.

Windows

1. Välj Sophos Connect och Uninstall under Control Panel > Programs > Uninstall a program.
2. Vänta tills borttagningen är klar och skjut inte upp en begärd omstart.
3. Installera det godkända Windows-paketet med administratörsrättigheter.
4. Kontrollera versionen under tre punkter > About.
5. Kontrollera profilen eller importera den från den sparade källan och upprepa pilottestet.

Återställ inte Windows ARM till en version före 2.5. Uppdatera inte 32-bitars Windows till 2.5; plattformen behöver migreras.

macOS

Om Sophos Endpoint är installerat ska Tamper Protection inte stängas av rutinmässigt före borttagningen. De aktuella avinstallationsanvisningarna anger inte längre detta som ett krav; felsökningshjälpen beskriver dock fortfarande Sophos Connect-processer som blockeras av Endpoint Tamper Protection och rekommenderar en omstart. Vid dessa symtom ska loggarna sparas, datorn startas om under underhållsfönstret och tillståndet kontrolleras igen. Om borttagningen fortfarande blockeras ska den specifika kombinationen av Endpoint och klient utredas med IT eller Sophos. Ändra skyddet tillfälligt endast efter uttryckligt godkännande för just detta fall; skyddet måste då återaktiveras som en del av avslutningen även om försöket misslyckas. För en godkänd borttagning öppnar du Terminal och kör med administratörsrättigheter:

sudo /Library/Sophos\ Connect/uninstall.sh

Den förväntade bekräftelsen är Sophos Connect has been uninstalled. Därefter:

1. Starta om Mac-datorn om det begärs.
2. Installera det godkända macOS-paketet och bekräfta nödvändiga systemdialoger.
3. Kontrollera versionen under tre punkter > About.
4. Tillhandahåll profilen från den sparade källan och upprepa pilotkontrollerna.
5. Om Tamper Protection uttryckligen stängdes av för detta arbete ska det återaktiveras och dess aktiva status kontrolleras både på endpointen och i administrationsverktyget; detta gäller även om ominstallationen misslyckas.

En version före 2.0 är ingen giltig rollback för SSL VPN på macOS. Efter byte till 2.0 MR1 ska konfigurationen importeras om om den återställda funktionen för sparade inloggningsuppgifter behövs. En återgång till macOS-klient 2.0 behåller varken inbyggd ARM-körning, .pro-provisionering eller Entra ID SSO. Om dessa 2.1-funktioner krävs är 2.0 inte en likvärdig återgångslösning; godkänn och testa en alternativ lösning som stöds i förväg.

Hantera profiländringar separat

En klientuppgradering uppdaterar inte automatiskt varje VPN-konfiguration. Efter ändringar av avancerade inställningar distribueras en ny export för manuellt distribuerade IPsec-.scx-filer. På Windows med en kompatibel klient och på macOS från 2.1 hämtar en importerad .pro-fil konfigurationer via VPN Portal. Efter byte av port eller protokoll under Remote access VPN > SSL VPN > SSL VPN global settings klickar användaren på profilens kugghjul och Update policy. På macOS 2.0 krävs fortfarande direkta importer och manuellt profilunderhåll. Konfigurationen av provisioneringsfilen hör hemma i Sophos Connect-provisionering.

Dokumenterat för SFOS 22: en importerad SSL VPN-profil är bunden till användaridentiteten, domänen och autentiseringsmetoden som användes vid importen. Vid exempelvis byte från AD till Entra ID SSO eller mellan domäner måste en separat .pro- eller .ovpn-konfiguration importeras; återanvändning av samma importerade profil kan leda till Login failed. Wrong fingerprint of certificate. En .ovpn-fil innehåller användarspecifika certifikat och privata nycklar. En .pro-fil är däremot inte i sig användarspecifik: SSL VPN-konfigurationen och certifikaten skapas först vid importen och kopplas till den identitet och autentiseringsmetod som används. Denna begränsning som dokumenterats för SFOS 22 gäller SSL VPN, inte IPsec-profiler med .scx.

Detta beteende har inte verifierats för SFOS 23. Den motsvarande guiden innehåller inte avsnittet om profilbindning och detta felmeddelande. Det bevisar varken att bindningen har tagits bort eller att den fortfarande gäller oförändrad. Vid byte av domän eller autentiseringsmetod rekommenderas därför som försiktighetsåtgärd en separat import av en SSL-profil från en betrodd källa som IT har bekräftat; detta är inte ett bekräftat krav för SFOS 23. Stäm först av den avsedda användaridentiteten, domänen, autentiseringsmetoden och målservern med IT och hämta vid behov en aktuell .ovpn-fil från den bekräftade VPN Portal eller använd den godkända .pro-källan. Testa sedan klient-/profilparet i en pilot. Om fingerprintmeddelandet visas ska utrullningen stoppas och klient- och SFOS-versionerna, den avsedda identiteten, domänen, autentiseringsmetoden samt posten under Events dokumenteras för IT eller Sophos. Meddelandet i sig bevisar varken att ett certifikat har gått ut eller att det finns ett fel i signaturen eller förtroendekedjan. Kringgå inte certifikatkontroller.

Gör ändringar på brandväggen med guiderna för Sophos Connect med IPsec, SSL VPN-fjärråtkomst eller Entra ID SSO. Gå sedan tillbaka hit och testa det uppdaterade klient-/profilparet i piloten.

Validera och godkänn utrullningen

Rätt version och grön status räcker inte. Dokumentera per kombination:

• rätt målversion under About;
• inloggning och MFA eller SSO enligt förväntan;
• rätt VPN-adress;
• intern DNS och representativt mål fungerar;
• motsvarande regel i zonen VPN syns i Log Viewer;
• split eller full tunnel följer designen;
• återanslutning efter nätverksbyte, utloggning och ny inloggning fungerar.

Stoppa kombinationen om ett test misslyckas. Kontrollera version, OS-gräns och laddad profil och dokumentera sedan tid, meddelande och motsvarande post under Events. Felsökning av Sophos Connect Client ger systematisk diagnos av anslutnings-, DNS-, autentiserings-, policy- och tjänstefel; denna guide duplicerar inte katalogen.

Gör rollback och eskalera

Rollback återställer tjänsten tillfälligt och är ingen permanent lösning för en inaktuell eller sårbar klient.

1. Stoppa bred utrullning och identifiera berörd kombination.
2. Avinstallera den misslyckade klienten på samma sätt.
3. Installera endast föregående godkända och kompatibla paket.
4. Importera den sparade profilkällan igen.
5. Testa version, inloggning, VPN-adress, DNS, internt mål, Log Viewer och återanslutning igen.
6. Dokumentera resultatet och starta ny pilot först när orsaken är förstådd.

Om även rollback misslyckas öppnar du tre punkter > About > Generate Technical Support Report. Rapporten innehåller VPN-konfigurationer, anslutningshändelser, provisioneringsdetaljer, information om SSO-autentisering, webbläsardetaljer och endpointinformation. Enligt de interna dataskyddsreglerna får den endast lämnas till behöriga mottagare via en kontrollerad överföringsväg. Vid eskalering ska mål- och utgångsversion, operativsystem, profiltyp, tidpunkt, synligt felmeddelande och resultatet av rollback anges tillsammans; lösenord, OTP-koder eller privata nycklar får aldrig finnas i ärendetexten.