Ersätt gamla Sophos SSL VPN-klienten och migrera autostart

Den gamla Sophos SSL VPN Client for Windows ska inte längre konfigureras eller användas. Klienten har varit End of Life sedan den 31 januari 2022 och CVE-2021-36809 berör alla versioner. En lokal angripare kan använda administratörsbehörighet för att skriva över godtyckliga systemfiler med VPN-klientloggar, vilket kan leda till överbelastningsattack och dataförlust. Sophos kommer inte att åtgärda sårbarheten; migrering till Sophos Connect v2 krävs för att avhjälpa den. Sedan SFOS 20.0 MR1 kan den äldre klienten dessutom inte upprätta Remote Access SSL VPN-tunnlar.

Kompatibilitetsstatus den 7 september 2026: För SFOS 22 är Sophos Connect den Sophos-klient som stöds. Sophos Connect 2.5 MR1 och tidigare för Windows samt 2.0 MR1 och tidigare för macOS anges som kompatibla. Detta är brandväggens kompatibilitetsgränser, inte en rekommendation att använda en gammal klient. Före utrullning används Kontrollera och uppdatera Sophos Connect Client-versionen säkert för att välja aktuell godkänd version och granska kända problem för den.

Den säkra lösningen är att migrera till Sophos Connect: förbered en aktuell profil och installationsfil, avinstallera den gamla klienten, importera och testa anslutningen och rensa först därefter autostart, klartextfiler och gamla profiler fullständigt. För det grundläggande valet av Remote Access-modell, se Sophos Connect eller SSL VPN: vilken lösning passar?.

⚠️ Om den berörda enheten är den enda fjärråtkomsten för administration måste en alternativ åtkomst finnas på plats eller ett underhållsfönster med lokal åtkomst planeras före avinstallationen. EOL-klienten är ingen säker reservlösning.

Migrera till Sophos Connect

1. Inventera Windows-versioner, CPU-arkitekturer, användargrupper, MFA/SSO och installerad äldre version. Ha alternativ administratörsåtkomst och ett godkänt Sophos Connect-paket redo för piloten.
2. Förbered den aktuella installationsfilen för Sophos Connect och en ny .ovpn-fil från VPN Portal. I SFOS 22 är WebAdmin-sökvägen Remote access VPN > SSL VPN > Download client; användare hämtar klient och profil under VPN Portal > VPN. De fullständiga klickvägarna finns i Konfigurera Sophos SSL VPN med Sophos Connect i Windows.
3. Om VPN Portal inte är åtkomlig ska endast den befintliga .ovpn-filen från den äldre konfigurationsmappen kopieras till en skyddad tillfällig mapp. Kopiera inte password.txt.
4. Om profilkopian innehåller auth-user-pass password.txt ska filnamnet tas bort ur kopian, så att endast auth-user-pass återstår.
5. Koppla från VPN och avinstallera den gamla Sophos SSL VPN Client på normalt sätt under Inställningar > Appar > Installerade appar. Sophos Connect installeras inte parallellt med den äldre klienten; ta inte bort okända drivrutiner eller tjänster manuellt.
6. Starta om Windows, installera Sophos Connect och importera den aktuella .ovpn-filen eller den rensade profilkopian via Import connection.
7. Anslut med en pilotanvändare och, om konfigurerat, MFA eller SSO. Kontrollera VPN-adress, DNS, tillåtna och blockerade mål samt återanslutning. Utöka först därefter utrullningen och ta bort återstående äldre artefakter.

Sophos Connect och profilerna bör därefter underhållas genom en definierad uppdateringsprocess. För detta passar Kontrollera och uppdatera Sophos Connect Client-versionen säkert.

Identifiera äldre autostart och inloggningsuppgifter i klartext

Kontrollera autostart och Run-värde

Sök efter SSL VPN Client for Windows i Aktivitetshanteraren under Autostart-appar eller Autostart och inaktivera posten.

Det kan även finnas ett separat startvärde för den aktuella användaren:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Ett äldre värde kan identifieras genom openvpn-gui.exe, --config_dir och --connect. Följande mönster är endast avsett för identifiering och får inte skapas på nytt:

"C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\bin\openvpn-gui.exe" --config_dir "C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\" --connect <profile-name>.ovpn

Ta endast bort det värde som entydigt tillhör den gamla Sophos-klienten, aldrig hela Run-nyckeln eller okända poster. Kontrollera även den klassiska Autostart-mappen i äldre installationer. I hanterade miljöer måste det dessutom klargöras om GPO eller programvarudistribution skapar värdet på nytt.

Kontrollera OVPN-profil och password.txt

Äldre profiler finns ofta under någon av dessa sökvägar:

• 64-bitars Windows: C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config\
• äldre 32-bitarsinstallationer: C:\Program Files\Sophos\Sophos SSL VPN Client\config\

Det Run-värde som faktiskt finns och den lokala installationen är mer tillförlitliga än en antagen standardsökväg.

En problematisk filreferens ser ut så här:

auth-user-pass password.txt

Den refererade filen innehåller användarnamn och lösenord i klartext. Filen ska inte öppnas, visas eller bifogas till supportdata. Vid migreringen ska endast vanlig interaktiv inloggning finnas kvar i en kopia av profilen:

auth-user-pass

Så snart alternativ administratörsåtkomst och den rensade profilen finns tillgängliga ska den refererade lösenordsfilen och alla kopior tas bort före den första inloggningen med Sophos Connect. Byt sedan lösenord för det berörda kontot i det ansvariga identitetssystemet, kontrollera VPN-loggarna efter oväntade inloggningar och genomför pilottestet med det nya lösenordet. Ta bort äldre profiler som inte längre behövs efter att migreringen har validerats. Det räcker inte att bara ta bort filen.

Auto-Connect utan password.txt

En Sophos Connect-provisioningfil (.pro) kan importera och uppdatera profiler automatiskt. Med auto_connect_host kontrollerar klienten en värd som endast kan nås från det interna nätverket. Om värden inte kan nås aktiverar Sophos Connect anslutningen; tunneln upprättas automatiskt endast med sparade inloggningsuppgifter eller efter en tidigare SSO-inloggning.

[
  {
    "display_name": "Company VPN",
    "gateway": "vpn.example.com",
    "vpn_portal_port": 443,
    "auto_connect_host": "intranet.corp.example",
    "can_save_credentials": false
  }
]

Med can_save_credentials: false sparar klienten inget användarlösenord. Utan SSO måste användaren fortfarande logga in. Om SSO var den senaste inloggningsmetoden kan Sophos Connect upprätta tunneln automatiskt via SSO. Exemplet är avsiktligt minimalt; klassisk Sophos Firewall OTP kräver ytterligare fält för otp och 2fa. Den länkade provisioneringsguiden för Sophos Connect förklarar dessa fält och GPO-distribution; för autentisering, se MFA på Sophos Firewall eller Microsoft Entra ID SSO för Sophos Connect.

Skilj på tre funktioner: Windows startar Sophos Connect-programmet, .pro importerar eller uppdaterar profiler och auto_connect_host utlöser en anslutning beroende på nätverket. Ingen är en stödd ersättning för password.txt. Exemplet innehåller inget användarnamn eller lösenord och kan utan tidigare SSO-inloggning inte skapa en obevakad tunnel. Auto-connect är inte heller en enhetstunnel före användarens Windows-inloggning.

För Microsoft Entra ID SSO anger Sophos Sophos Connect 2.4 eller senare i Windows med SFOS 21.5 eller senare. Guiden för uppdatering av Sophos Connect tar även upp versionsval och kända problem: 64-bitars Windows 10/11 och Windows 10/11 på ARM dokumenteras från 2.5; Windows 11 Enterprise Multi-session, inklusive Azure Virtual Desktop, stöds inte. .pro-provisioning är dokumenterad för Windows, inte macOS.

Testa delade Windows-enheter med minst två konton. Enligt samma guide åtgärdar Sophos Connect 2.5 MR1 med NCL-2570 att klienten inte startade automatiskt för ytterligare Windows-användare när en annan användare hade installerat den. En uppdatering ersätter inte fleranvändartestet och ”klienten startade” betyder inte ”VPN är anslutet”.

Provisioning kräver att VPN Portal kan nås. Om den görs tillgänglig från WAN krävs ett betrott certifikat, MFA, övervakning och en så restriktiv konfiguration av Device Access och Local Service ACL som möjligt.

Kontrollera migreringen och avgränsa fel

Efter bytet måste anslutningen och rensningen kontrolleras separat:

• Den gamla klienten, dess autostartpost i Aktivitetshanteraren och det specifika HKCU Run-värdet har tagits bort.
• Det finns ingen password.txt kvar i den gamla profilsökvägen eller programvarudistributionen.
• En migrerad profil innehåller ingen filreferens efter auth-user-pass.
• Sophos Connect använder den avsedda aktuella anslutningen och klientversionen.
• Inloggning, MFA eller SSO fungerar.
• Klienten får en adress från den förväntade VPN-poolen.
• Interna DNS-namn och tillåtna mål fungerar, medan uttryckligen blockerade nätverk förblir blockerade.
• Log Viewer visar den förväntade användaren och rätt Remote Access-regel.

Sophos Connect kan inte installeras

Kontrollera om den gamla Sophos SSL VPN Client fortfarande är installerad. Avinstallera den på normalt sätt, starta om Windows och försök installera igen. Ta inte bort drivrutiner eller tjänster på måfå vid konflikter med andra VPN-klienter.

Profilen har importerats, men tunneln startar inte

Importera en aktuell .ovpn-fil från VPN Portal på nytt och kontrollera policytilldelningen, användarkontot, MFA och Sophos Connect-händelserna. Beroende på felbilden kan sslvpn.log, openvpn-status*.log och vid autentiseringsproblem access_server.log vara till hjälp på brandväggen.

Tunneln är aktiv, men interna mål fungerar inte

Då ligger problemet oftast i policyn, brandväggsregeln, DNS, routingen eller MTU. För avgränsning, se Testa brandväggsregler med Log Viewer, Policy Test och Packet Capture, Sophos Firewall-tjänster och loggar och, om program slutar svara, MTU och MSS vid VPN-problem.

Sophos Connect startar men ansluter inte automatiskt

Kontrollera först att en .pro-profil används och att auto_connect_host innehåller ett stabilt FQDN som endast nås internt. Testa samma värd i företagsnätet och externt. Om den även nås externt förblir Auto-connect inaktivt; om den är instabil internt kan anslutningen aktiveras i onödan. Kontrollera sedan att användaren tidigare har loggat in via SSO. Med can_save_credentials: false och utan tidigare SSO-inloggning är interaktiv inloggning det förväntade beteendet.

Säker återställning

Återställning innebär inte att återgå till den sårbara äldre klienten. Behåll före piloten det godkända Sophos Connect-paketet, den rensade profilen och alternativ administratörsåtkomst. Vid fel sparas först Sophos Connect-händelser och scvpntsr.zip; stoppa sedan utrullning och GPO-distribution. Avinstallera den felaktiga versionen normalt, starta om vid behov och installera den senast godkända Sophos Connect-versionen med dess testade profil.

Testa inloggning, MFA/SSO, VPN-adress, DNS och tillåtna och blockerade mål igen. Återställ ändringar i brandvägg, portal eller policy först när inga migrerade användare är beroende av dem. Återställ inte äldre installationsfil, password.txt eller gammalt Run-värde.

FAQ