Konfigurera Sophos Firewall IPsec VPN på iPhone

För inbyggd IPsec-fjärråtkomst på iPhone hämtas iOS-profilen direkt från Sophos Firewalls VPN Portal och installeras i systeminställningarna. Sophos Connect och OpenVPN Connect används inte för denna import. .ovpn-filen och den separata guiden för SSL VPN på iPhone och iPad hör till ett annat protokoll.

Snabbvägen är: kontrollera iOS-versionen och att kombinationen är godkänd, logga in i VPN Portal via Safari, öppna VPN > VPN configuration > IPsec VPN profile > Download for iOS, granska och installera profilen och kontrollera därefter VPN-status och tillåtna interna mål. En lyckad nedladdning innebär inte i sig att anslutningen fungerar.

Före nedladdningen: klargör version och behörighet

Administratören måste ha konfigurerat IPsec-fjärråtkomst och tilldelat användaren rätt policy. Utan denna konfiguration visas inte nedladdningen för iOS-IPsec. En synlig SSL-VPN-nedladdning bevisar inte att användaren har IPsec-behörighet. Förberedelserna på brandväggen beskrivs i Konfigurera Sophos Connect på Sophos Firewall; dess skrivbordsprofiler .scx och .pro används inte här.

Dokumentera följande före installationen:

den SFOS-build och iOS-version som används samt administratörens godkännande av kombinationen;
exakt portaladress, användare, autentiseringsmetod och förväntat profilnamn;
tillåten intern applikation, interna DNS-namn och avsett split-tunnel- eller full-tunnel-beteende;
befintliga VPN-profiler och om iPhone hanteras via MDM;
var den installerade iOS-versionen visar profilinstallation och VPN-anslutningsstatus samt hur just denna tunnel kopplas från.

Följande Apple-menytexter anges på engelska; på en lokaliserad enhet kan de heta något annat. Apple beskriver installerade profiler under Settings > General > VPN & Device Management. VPN-reglagets placering måste klargöras i förväg för den version som faktiskt används. Om profilinstallation är spärrad på en hanterad enhet ska administratören kontaktas i stället för att enhetshantering eller säkerhetsfunktioner tas bort.

Den inbyggda klienten måste fungera med den avsedda autentiseringsmetoden. En Windows-guide för Sophos Connect med OIDC eller Entra SSO innebär inget löfte om stöd för inbyggt iOS-IPsec. MFA för VPN Portal och Remote Access måste bedömas separat för portalen och tunneln. Om den andra faktor som krävs inte kan hanteras säkert i det inbyggda flödet ska utrullningen stoppas och ett godkänt alternativ väljas; inaktivera inte MFA för att lösa problem.

Hämta och installera profilen via Safari

Öppna den VPN-portaladress som administratören har bekräftat i Safari. Exempel: https://vpn.example.com:443. vpn.example.com är en platshållare för portalens eget FQDN; 443 är standardporten. Använd en annan port endast enligt administratörens instruktioner. Red ut certifikatvarningar före nedladdningen, kringgå dem inte permanent.
Logga in med ditt eget VPN-användarkonto och bekräfta den avsedda andra faktorn. Öppna VPN och tryck sedan på Download for iOS under VPN configuration > IPsec VPN profile. Detta är varken den mobila SSL-VPN-nedladdningen eller ett Windows-klientpaket.
Godkänn den visade nedladdningsbegäran endast för den förväntade profilen. Öppna Profile Downloaded i Settings. Stäm av profilens ursprung, organisation, VPN-gateway och ingående inställningar med administratören. Installera inte oväntade certifikat eller ytterligare hanteringsinställningar utan granskning.
Välj först därefter Install och följ de bekräftelser som visas, inklusive enhetens lösenkod. Apple tar bort en nedladdad profil som ännu inte har installerats efter åtta minuter; om den senare saknas ska den hämtas på nytt från den bekräftade portalen. Endast en nedladdad profil kan vänta på installation åt gången. Om Stolen Device Protection hindrar installationen ska du först använda en bekant plats och den godkända supportprocessen i stället för att rutinmässigt inaktivera skyddet.
Identifiera den installerade profilen i systeminställningarna. Sophos beskriver i guiderna för SFOS 22/23 att IPsec-anslutningen upprättas automatiskt efter nedladdningen. Det är ingen garanti för den aktuella iOS-versionen: Apples installationsflöde och eventuell inloggning måste slutföras. Kontrollera den faktiska VPN-statusen; om anslutningen inte är upprättad använder du det VPN-reglage för denna profil som identifierades i förväg och anger de avsedda inloggningsuppgifterna respektive genomför MFA-stegen. Om reglaget saknas eller andra frågor visas ska du kontakta supporten, inte improvisera.

Behandla profilen som konfidentiell och lämna den inte vidare till andra användare. Portal-SSO, profilinstallation och tunnelinloggning är tre olika processer; ingen av dem bevisar i sig att de andra har lyckats.

Kontrollera anslutningen med en pilotanvändare

Följande kontroller är acceptanssteg, inte redan genomförda enhetstester. Genomför det första testet utanför det interna Wi-Fi-nätet i ett godkänt externt nät, så att direkt LAN-åtkomst inte ger ett missvisande resultat.

Kontrollera i iOS VPN-inställningar att den förväntade profilen är ansluten. Administratören kontrollerar användare och session på brandväggen.
Öppna en tillåten intern applikation via dess dokumenterade DNS-namn. Exempelvis står https://intranet.example.com för den egna godkända applikationen; ersätt platshållaren med det faktiska interna namnet. Kontrollera DNS-upplösning och applikationsåtkomst separat.
Ett mål som har avtalats med administratören och inte är tillåtet måste förbli blockerat. Skapa inte en skenbart fungerande lösning genom bredare brandväggsregler.
Administratören kontrollerar i Log Viewer att trafiken från VPN-zonen träffar den förväntade, snävt avgränsade regeln; loggning måste vara aktiverad för detta. Förfarandet beskrivs i Testa brandväggsregler med Log Viewer och Packet Capture.
Kontrollera att den andra faktorn används där säkerhetskraven kräver den. En MFA-fråga i portalen bevisar inte att IPsec-tunneln använder MFA. Även återanslutning och ett kontrollerat byte mellan Wi-Fi och mobilnät ingår i acceptansen. Internettrafiken måste följa den överenskomna split-tunnel- eller full-tunnel-designen.

Om tunneln är upprättad men applikationsåtkomst saknas ska policy, regel, returväg och DNS undersökas först. Om tunneln saknas kontrolleras profil, användarbehörighet, autentisering och nätverksvägen för IPsec. IPsec-felsökning hjälper administratören att avgränsa orsaken; att inaktivera certifikatkontroll eller MFA är inget diagnostiksteg.

Koppla från anslutningen och ersätt profiler kontrollerat

Sophos anger Settings > General > VPN > Status för att koppla från den aktuella anslutningen. Denna beteckning i källan är inte en universell klickväg i dagens iOS. Öppna det VPN-avsnitt som identifierades vid förkontrollen, välj exakt din egen anslutning och sätt dess status till frånkopplad. Kontrollera därefter att tunneln inte längre är ansluten och att en ny begäran till testapplikationen som endast kan nås via VPN inte längre fungerar. Förlita dig inte på webbsidor som redan har laddats. Om en hanterad inställning hindrar frånkoppling eller om anslutningen återupprättas ska MDM-ansvarig involveras i stället för att andra profiler raderas.

Installera på nytt efter administrativa ändringar

Om en tidigare fungerande tunnel inte längre ansluter efter en konfigurationsändring kräver Sophos att konfigurationen installeras på nytt. Inbyggt iOS-IPsec använder här inte automatisk Sophos Connect-provisionering.

Dokumentera profilnamn, version, ändringsorsak och den återgång som administratören har godkänt före bytet. Avtala ett tidsfönster eftersom bytet avbryter åtkomsten. Återställ inte generellt alla nätverksprofiler eller enhetsinställningar.
Koppla från tunneln och hämta den aktuella iOS-IPsec-profilen på nytt från VPN Portal via Safari. Administratören klargör om den ersätter den befintliga profilen eller om just den gamla profilen först måste tas bort. För en MDM-profil sker bytet via den ansvariga hanteringsprocessen.
Granska och installera den nya profilen enligt ovan. Kontrollera därefter anslutning, MFA-krav, DNS samt tillåtna och blockerade mål på nytt. Behåll inte flera profiler med samma namn parallellt utan kontroll.
Om acceptansen misslyckas ska den nya tunneln kopplas från och införandet stoppas. Använd en gammal profil igen endast om administratören bekräftar att gateway, nycklar respektive certifikat och behörigheter fortfarande är giltiga. Efter säkerhetsändringar är den ingen tillförlitlig återgång. Ta bort gamla nedladdningar och föråldrade profiler selektivt först efter lyckad acceptans.

Ersätt eller förlora enheten, eller återkalla åtkomsten

Granska den aktuella profilen och dess innehåll under Settings > General > VPN & Device Management före borttagningen. Bekräfta den erbjudna profilborttagningen endast för den entydigt identifierade VPN-profilen och efter godkännande. Apple påpekar att tillhörande inställningar, appar och data också kan tas bort tillsammans med en profil. Radera därför inte en gemensam hanteringsprofil i tron att du bara städar bort VPN. Om borttagning är spärrad måste enhetshanteringen genomföra återkallningen.

Kontrollera efter återkallningen att profilen saknas och att ingen ny anslutning är möjlig. Vid enhetsförlust eller när en användare slutar ska administratören dessutom återkalla användar-/gruppbehörighet på serversidan, avsluta befintliga VPN-sessioner och klargöra hur eventuellt exponerade nycklar eller certifikat ska hanteras. Att bara radera den lokala filen återkallar ingen VPN-behörighet. Profilkopior i nedladdningar och säkerhetskopior måste också ingå i återkallningsprocessen.