XGS VPN-Client herunterladen

Du kannst einfach zu Sophos Connect migrieren. Dieser Client macht das alles automatisch. Dann musst du die Konfiguration nicht mehr herunterladen. 

Siehe: https://community.sophos.com/sophos-xg-firewall/f/recommended-reads/128936/sophos-connect-migration-script-from-utm-sslvpn Damit kannst du den Client migrieren. 

ok wie lädt der Connect die Konfiguration herunter? Wenn der Client außerhalb ist brauche ich ja die Konfiguration und die kann ich als Admin für den User nicht runterladen.

Wie kann ich verhindern das z.b. Private Endgeräte den VPN nutzen?

Der Connect Client macht das via User Portal eigenständig. Dafür ist ein Mechanismus im Connect Client. 

Das Verhindern kannst du in der SFOS ohne Endpoint nicht direkt. Jedoch hat der User keine Interaktion mit dem User Portal mehr. Daher fällt es sehr selten auf, dass der User das eigenständig installieren.

Mit Sophos Central Endpoint kannst du Sync-Sec Aktivieren (Heartbeat) und verhindern, dass jemand das zuhause installiert. 

Zukünftig werden solche Setups mit ZTNA behandelt. Das ist die Zukunft von VPN. 

Der Connect Client macht das via User Portal eigenständig. Dafür ist ein Mechanismus im Connect Client. 

Das Verhindern kannst du in der SFOS ohne Endpoint nicht direkt. Jedoch hat der User keine Interaktion mit dem User Portal mehr. Daher fällt es sehr selten auf, dass der User das eigenständig installieren.

Mit Sophos Central Endpoint kannst du Sync-Sec Aktivieren (Heartbeat) und verhindern, dass jemand das zuhause installiert. 

Zukünftig werden solche Setups mit ZTNA behandelt. Das ist die Zukunft von VPN. 

Wenn wir kein Sophos Central Endpoint im Einsatz haben kann ich es nicht differenzieren? 

Auch nicht mit Sophos Authentification oder ähnlich?

Nicht wirklich - Da fehlt dir ein NAC oder Software Lösung. Die UTM hatte die gleiche Challenge. User konnten dort einfach die OVPN weg kopieren. 

Hier können User das grundsätzlich herunterladen aber nicht wegkopieren. 

ok.

Beim Connect können die User die Config nicht zu ihrem Privaten Rechner übernehmen. 

Extern ist das User Portal nicht erreichbar nur intern. Das heißt ein User könnte Connect nur einrichten wenn sie im Unternehmen wäre. Das müsste hoffentlich reichen.

Wie kann ich mit Sync-Sec das Installieren verhindern?
Ich hätte das jetzt in die Firewallregel aktiviert und somit alle Clients ohne Sophos Entpoint wären ausgesperrt, aber eine Installation und Konfiguration wäre dennoch weiterhin möglich.