Kontrollera och uppdatera Sophos Connect Client-versionen på ett säkert sätt

Sophos Connect är den primära fjärråtkomstklienten för många Sophos brandväggsmiljöer. Ändå underhålls klientversionen ofta mindre medvetet i vardagen än brandväggens firmware. Detta leder till onödiga supportfall: anslutningar upprättas inte, DNS fungerar inte korrekt på macOS, SSO visar en felaktig status eller användarna tillfrågas annorlunda än förväntat under OTP-återanslutningar.

Artikeln förklarar hur du kontrollerar Sophos Connect-versioner, schemalägger uppdateringar och validerar efter uppdateringen. Den ersätter inte installationsinstruktionerna för Windows eller macOS, men kompletterar dem med drift och uppdatering av klienten.

För det grundläggande beslutet mellan IPsec, SSL VPN, mobila klienter och ZTNA passar Sophos Connect eller SSL VPN: vilken Remote Access-lösning passar? först.

När en uppdatering ska kontrolleras

En Sophos Connect-uppdatering bör inte bara kontrolleras för akuta fel. Speciellt med fjärråtkomst är klientversionen direkt relaterad till plattformsstöd, VPN-protokoll, MFA, SSO och profilimport.

Typiska triggers:

• nya Windows- eller macOS-versioner i företaget
• Byte från IPsec till SSL VPN eller vice versa
• Användning av Windows ARM
• Vi presenterar Microsoft Entra ID SSO
• Byt till Sophos Connect med SSL VPN på macOS
• återkommande återanslutning, DNS- eller OTP-problem
• Distribution av nya .scx, .tgb, .ovpn eller .pro filer
• större brandväggsuppdateringar, till exempel till SFOS 22 eller nyare

Om fjärråtkomst är kritiskt för uppdraget bör klienten inte uppdateras tillfälligt. Det är bättre att ha en liten pilot med en tydlig testlista innan versionen distribueras brett.

Klassificera aktuella versionspunkter

Den 2 juli 2026 är Sophos Connect 2.5 MR1 den aktuella versionen enligt officiella Sophos Connect Release Notes. Det dokumenterade releasedatumet är 18 juni 2026.

Viktiga punkter från den aktuella utgåvan:

• Sophos Connect 2.5 MR1: fixar flera praktiska problem kring Windows-start, SSO-status, OTP-återanslutning och SSL VPN-provision.
• Sophos Connect 2.5: stöder Windows ARM och använder 64-bitars Windows 10 eller 11 för aktuella Windows-klienter.
• Sophos Connect 2.4: lägger till Microsoft Entra ID SSO för Sophos Connect på Windows med SFOS 21.5 eller senare.
• Sophos Connect 2.0 för macOS: stöder Remote Access SSL VPN på macOS.
• Sophos Connect 2.0 MR1 för macOS: åtgärdar DNS-problem med SSL VPN och återställer möjligheten att spara inloggningsuppgifter för SSL VPN.

Den här listan är inte en fullständig releasehistorik. Punkterna som visas är de som i praktiken ofta leder till utrullnings- eller supportfrågor för Sophos Firewall-administratörer.

Inför en större rollout bör även Sophos Known Issues List för Sophos Connect kontrolleras. Den behöver inte läsas av varje användare, men den hjälper till att avgöra om ett observerat beteende redan är dokumenterat som känt problem.

Kontrollera vilka plattformar som stöds

Innan en uppdatering ska du inte bara ladda ner den senaste versionen. Först måste det framgå vilka plattformar och profiler som finns i området.

Windows

För nuvarande Sophos Connect-versioner bör du planera med Windows 10 eller Windows 11. Windows ARM stöds från Sophos Connect 2.5. Om gamla 32-bitars Windows-installationer fortfarande används bör du inte blint byta till den aktuella klientlinjen, utan först kontrollera om dessa enheter fortfarande ska användas som en fjärråtkomstplattform som stöds.

För Entra ID SSO med Sophos Connect listar Sophos Windows-enheter med Sophos Connect 2.4 eller senare. Identitetskonfigurationen på brandväggen beskrivs i artikeln Configuration of Microsoft Entra ID SSO for Sophos Connect and VPN Portal.

macOS

På macOS är vilket protokoll som används särskilt viktigt. IPsec har stötts av Sophos Connect under lång tid. SSL VPN via Sophos Connect på macOS är dock endast relevant från Sophos Connect 2.0.

För Sophos Connect 2.0 och nyare anropar Sophos macOS Ventura 13 eller nyare, både för Intel Macs och för Apple Silicon via Rosetta 2. Om äldre macOS-versioner används bör du innan lanseringen kontrollera om de berörda enheterna behöver uppdateras eller anslutas på annat sätt.

Mobila plattformar

Sophos Connect är inte klienten för iOS och Android. För mobila plattformar, beroende på fjärråtkomstdesignen, används operativsystemfunktioner eller OpenVPN-kompatibla appar. Beslutet mellan Sophos Connect, SSL VPN, OpenVPN-klienter och ZTNA sammanfattas i Sophos Connect eller SSL VPN: vilken Remote Access-lösning passar?.

Kontrollera profiler och plattformar grovt

Alla plattformar stöder inte varje profiltyp på samma sätt. För planering räcker oftast denna översikt:

För nya rollouts bör Windows 32-bit därför inte längre planeras som målplattform. Om sådana enheter fortfarande finns är det snarare ett migrations- eller lifecycle-ämne än en normal Sophos Connect-uppdatering.

Förtydliga VPN-profiltyp före uppdatering

Många fel orsakas inte av klienten själv, utan av gamla eller felaktiga profiler. Innan en uppdatering ska det dokumenteras vilka anslutningstyper som distribueras:

• IPsec fjärråtkomst: .scx eller .tgb. Profilen måste matcha brandväggskonfigurationen och användargruppen.
• SSL VPN: .ovpn. Kontrollera certifikat, användarbehörighet och DNS-inställningar.
• Provisionering: .pro. automatisk provisionering, men beroende av gateway, portal och klientsupport.

Efter ändringar av VPN-portalen, gatewayen, certifikaten, Entra SSO, användargrupper, IP-pooler eller DNS, bör man anta att profiler kommer att behöva återimporteras eller omdistribueras. Gamla profiler i omlopp är en av de vanligaste orsakerna till svårbegripliga fjärråtkomstproblem.

Konfiguration Sophos Connect for Sophos Firewall är lämplig för den grundläggande IPsec-konfigurationen på brandväggssidan. För SSL VPN är Konfigurera Sophos Firewall SSL VPN Remote Access den mer lämpliga ingångspunkten.

Förbered uppdateringen ordentligt

En kontrollerad Sophos Connect-uppdatering består av mer än det nya installationsprogrammet.

Kontrollera före lansering:

• Vilken Sophos Connect-version är installerad för närvarande?
• Vilka operativsystem påverkas?
• Används IPsec, SSL VPN eller båda protokollen?
• Används .pro provisioneringsfiler?
• Finns det Entra SSO, RADIUS, AD eller lokala användare?
• Är MFA aktivt och hur beter sig klienten vid återanslutningar?
• Finns det kända användare, certifikat eller konfigurationsfiler med specialtecken eller icke-ASCII-tecken?
• Finns gamla profiler fortfarande i omlopp?
• Finns det en pilotgrupp och en reservväg?
• Har aktuella known issues för Sophos Connect kontrollerats mot den egna plattforms- och profilkombinationen?

För hanterade klienter bör versionen kontrolleras genom normal mjukvarudistribution. Individuella manuella uppdateringar av användare är bara meningsfulla om supportprocessen är förberedd för detta.

Rekommenderat flöde

1. Spela in aktuell status

Först bör du spela in de befintliga klientversionerna. I små miljöer räcker det ofta med en manuell kontroll av ett fåtal enheter. I större miljöer bör programvarudistribution eller slutpunktshantering utvärdera de installerade versionerna.

Ytterligare dokument:

• anslutning används per användargrupp
• IPsec eller SSL VPN
• Profilkälla: Brandväggsexport, VPN-portal eller provisioneringsfil
• Autentisering: lokal, AD, RADIUS, Entra ID SSO
• MFA beteende
• välkända specialfall som Windows ARM eller Apple Silicon

2. Definiera testgrupp

Testgruppen ska inte bara bestå av IT-administratörer. Det är vettigt att ha en till tre normala användare med en typisk fjärråtkomstprofil och minst en enhet per plattform som används produktivt.

Testa åtminstone:

• Windows 10 eller 11 med standardprofil
• Windows ARM, om tillgängligt
• macOS med IPsec, om tillgängligt
• macOS med SSL VPN om tillgängligt
• Entra SSO om det används
• OTP/MFA återanslut om den används

3. Uppdatera klient

Installera det aktuella installationsprogrammet från den godkända källan. För Sophos Firewall distribueras Sophos Connect via SFOS eller pattern updates. UTM-nedladdningar är en annan väg och bör inte blandas med en SFOS-rollout. Det avgörande är att det internt är tydligt vilken version som har godkänts och från vilken källa den kommer.

Efter installationen:

1. Öppna Sophos Connect.
2. Kontrollera version.
3. Visa befintlig anslutning.
4. Testa anslutningen.
5. Om det finns profil- eller SSO-ändringar, importera om anslutningen.

4. Återimportera anslutningen om det behövs

Enbart en klientuppdatering uppdaterar inte automatiskt varje VPN-profil. Om brandväggskonfigurationen, gatewayen, DNS, certifikaten, SSO eller provisioneringsfilen har ändrats, bör anslutningen avsiktligt återimporteras. Med macOS är detta särskilt viktigt om alternativet att spara åtkomstdata för SSL VPN ska användas efter en uppdatering. Sophos noterar för Sophos Connect 2.0 MR1 att konfigurationsfilen måste återimporteras efter uppgraderingen för att använda detta alternativ.

5. Validera efter uppdatering

En grön anslutningsstatus räcker inte. Efter uppdateringen bör du kontrollera om Remote Access verkligen fungerar som planerat.

Checklista:

• Anslutning upprättas.
• MFA eller SSO efterfrågas som förväntat.
• Klienten får rätt VPN-IP.
• Interna DNS-namn löses.
• Centrala interna system är tillgängliga.
• Brandväggsregeln i zonen VPN träffas i loggvisaren.
• Split Tunnel eller Full Tunnel beter sig som dokumenterat.
• Återanslut fungerar efter nätverksbyte.
• Att logga ut och logga in igen fungerar.
• Helpdesk vet vilken ny version som har släppts.

Om anslutningen upprättas men ingen trafik flyter, är det ofta inte klienten som är orsaken. Då kommer Sophos Firewall IPsec VPN-felsökning och Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture att hjälpa.

Typiska fel efter uppdateringar

Sophos Connect startar inte automatiskt

Sophos Connect 2.5 MR1 fixar ett autostartproblem för ytterligare Windows-användare när klienten installerades av en annan användare. Om sådana fall inträffar bör du först kontrollera om den aktuella versionen faktiskt är installerad och hur programvarudistributionen installerar klienten.

SSO-status är felaktig efter internetavbrott

I Entra SSO-miljöer kan ett internetavbrott resultera i irriterande statusvisningar. Sophos Connect 2.5 MR1 innehåller en fix för SSO-användare. Du bör också kontrollera om brandväggen körs på en lämplig SFOS-version och om SSO-konfigurationen är korrekt inställd under Autentisering > Tjänster.

OTP frågas annorlunda när du återansluter

Om användare arbetar med klassisk MFA eller OTP, bör återanslutningsbeteendet testas efter en uppdatering. Sophos Connect 2.5 MR1 åtgärdar en skillnad i inloggningsverifiering mellan IPsec och SSL VPN för behörighetsanvändare med OTP.

För generell planering av Sophos Firewall MFA passar Aktivera MFA för Sophos Firewall WebAdmin, VPN-portal och fjärråtkomst.

SSL VPN med provisioneringsfil ansluter inte

En fix ingår för 2.5 MR1 för SSO-användare som inte kunde ansluta till SSL VPN och provisioneringsfil när certifikaten innehöll specialtecken. I sådana fall bör du inte bara uppdatera klienten, utan också kontrollera certifikatets namn, profilimport och provisioneringsfil.

IPsec-profil uppdateras inte efter policyändring

För IPsec-anslutningar som hämtats via en provisioneringsfil kan en policyändring på brandväggen leda till policy mismatch om klienten inte automatiskt tar över ändringen. Det händer särskilt lätt när tillåtna nätverk ändras eller när en profil flyttas från full tunnel till split tunnel.

I detta fall räcker det inte att starta om anslutningen. Policyn måste uppdateras medvetet i Sophos Connect, eller profilen måste importeras om. Därefter bör VPN-IP, DNS-upplösning, ett tillåtet mål och Log Viewer testas.

Interna DNS-namn fungerar inte på macOS

För macOS och SSL VPN bör versionen kontrolleras särskilt noggrant. Sophos Connect 2.0 MR1 åtgärdar ett problem där DNS-inställningar för SSL VPN-anslutningar inte tillämpades, vilket resulterade i att interna FQDN inte löstes.

Om DNS fortfarande inte fungerar efter uppdateringen bör du kontrollera DNS-servrar, sökdomäner, brandväggsregler och den faktiskt importerade .ovpn-konfigurationen.

macOS-uppgradering visar gammal version eller OpenVPN service-fel

Vid uppgradering av äldre macOS-klienter till Sophos Connect 2.0 kan klienten se förvirrande ut om About-dialogen fortfarande visar den gamla versionen eller om events anger att OpenVPN service inte är tillgänglig. Sophos beskriver detta beteende framför allt tillsammans med Sophos Endpoint Protection och aktiv Tamper Protection.

I praktiken bör en omstart planeras efter uppgraderingen. Om klienten därefter inte startar automatiskt, öppna Sophos Connect manuellt och testa sedan version, anslutning, DNS och åtkomst.

Driftsrekommendation

Sophos Connect bör behandlas som annan säkerhetsrelaterad klientprogramvara: med versionsspårning, pilotgrupp, dokumenterad utrullning och supportväg.

Dessa regler har visat sig i praktiken:

• Definiera en släppt målversion.
• Ta bort gamla installationspaket från interna nedladdningsmappar.
• Version VPN-profiler eller namnge dem tydligt.
• Tvinga ombalansering efter profiländringar.
• Testa Windows, macOS, SSO och OTP separat.
• Dokumentera kända fel och målversion i helpdesk.
• Kontrollera known issues igen före större rollouts och efter tydliga supportfall.
• Kontrollera klientens status efter större brandväggsuppdateringar.

Det är viktigt att separera klientproblemet och brandväggsproblemet. Att uppdatera Sophos Connect-klienten löser inte saknade brandväggsregler, felaktiga VPN-pooler, utgångna certifikat eller trasiga returvägar. Det är därför som kontrollen alltid inkluderar en titt på loggvisaren, paketinsamling och de berörda reglerna för fjärråtkomst.

Checklista

Före uppdateringen

• Installerade Sophos Connect-versioner dokumenterade.
• Understödda operativsystem kontrollerade.
• IPsec, SSL VPN och provisioneringsprofiler dokumenterade.
• Entra SSO, RADIUS, AD eller lokal autentisering kontrollerad.
• MFA/OTP-beteende känt.
• Risker med specialtecken och icke-ASCII kontrollerade för profilnamn, certifikat och användardata.
• Sophos Known Issues kontrollerade för den egna plattforms- och profilkombinationen.
• Pilotgrupp definierad.
• Rollback-väg dokumenterad.

Under uppdateringen

• Klient installerad från delad källa.
• Version kontrollerad efter installation.
• Återimporterad anslutning om profil eller SSO påverkas.
• Policy uppdaterad eller profil återimporterad om tillåtna nätverk, split tunnel, gateway eller certifikat ändrats.
• Windows och macOS testade separat.
• Återanslut och nätverksbyte testas.

Efter uppdateringen

• DNS, interna mål och brandväggsregelmatchning kontrolleras.
• Helpdesk informerad om målversion och kända ändringar.
• Borttagna eller tydligt märkta gamla profiler och installationspaket.
• Anomalier dokumenterade från loggvisaren och användarfeedback.

Vanliga frågor