Vergleich: Sophos Connect Client oder SSL VPN Client

Betrifft Sophos XG und SG Serien

Da wir gerade mehre Kunden bei der Migration der Sophos SG auf die Sophos XG Firewall Serie unterstützen. Tritt mehr fach auch die Frage nach der Nutzung der VPN Clients auf. Was gibt es für Unterschiede, welche Gemeinsamkeiten gibt es bei den Clients. Hier unsere Zusammenfassung.

Lesedauer < 1Min

Sophos SSL VPN Client

Vorteile

• OpenVPN – Beim Sophos SSL VPN Client handelt es sich um einen gebrandeten OpenVPN Client. Dieser funktioniert bestens mit dem OpenVPN Server, der auf der Sophos Firewall läuft.
• OS Auswahl ist groß – Den OpenVPN Client gibt es für Windows, macOS, Android und iOS.
• Offener Standard mehrere Clients – Man kann auch, andere SSL VPN Clients verwenden, wie z. B.:
  • pritunl Client – Windows, macOS, Linux (Kostenlos und Open Source)
  • Tunnelblick – macOS (Kostenlos und Open Source)
• Einstellungsmöglichkeiten – Beim SSL VPN Client ist es bei Sophos möglich, einen anderen Port zu wählen, über den die Verbindung gehen sollen. Ebenso kann man die Verschlüsselungsstärke justieren.

Nachteile

• Softwareverteilung – Es ist nicht möglich, den VPN Client über eine Softwareverteilung zu installieren, da jeder Benutzer ein eigenes Zertifikat nutzen muss.
• Performance – Je nach Einstellung läuft der Traffic über einen TCP oder UDP Tunnel. Doch selbst bei UDP ist die Performance schlechter als über das IPsec Protokoll.
• Firewall-Auslastung – SSL benötigt auf der Sophos Firewall mehr Leistung (CPU), wodurch nicht so viele parallele Verbindungen aufgebaut werden können. Je nach Appliance sind hier bis zu 6-7 mal mehr Verbindungen möglich.

Sophos Connect Client

Vorteile

• Performance – IPsec bietet eine bessere Performance.
• Deployment – Das Tool kann über eine Softwareverteilung ausgerollt werden.
• Eigenentwicklung – Das Tool wird direkt von Sophos entwickelt und kann zukünftig auch über Sophos Central verteilt werden.
• Sophos Synchronized Security – Beim Sophos Connect Client ist es viel einfacher, den Security Heartbeat zu konfigurieren, als beim SSL VPN Client.
• ( interner Vorteil ) macOS / iOS Boardmittel – Bei macOS ist der Cisco IPsec Client ins Betriebssystem integriert. Über das “Sophos User Portal” kann man sich die IPsec Konfiguration ‘iOS_IPSECProfile.mobileconfig’ herunterladen und mit einem Klick installieren.

Nachteile

• Client download – Aktuell kann nur der Admin die Setup und Config Dateien herunterladen. Der User kann dies, abgesehen von macOS und iOS, nicht selber über das User Portal tun.
• Protokoll Ports – Für die IPsec Verbindung werden Ports benutzt, welche nicht überall z.B. Hotels oder Public Hotsports geöffnet sind.
• Benutzer Berechtigung – Es muss in der Konfiguration jeder Benutzer einzeln hinzugefügt werden. Es könne nicht ganze ActiveDirectory Gruppen für den Sophos Connect Client freigeschalten werden.