Sophos Connect：为什么管理员不该追着博客文章跑

Windows 版 Sophos Connect 2.5 MR1 已经可用。乍看之下，这像是一个小型 maintenance release：几个 client 修复，一个 updated third-party component，可以通过 firewall 或直接从 Sophos 下载。

但问题恰恰就在这里。

Sophos Connect 不是偶尔做测试 VPN 连接的小工具。这个 client 运行在 Windows endpoints 上，建立 remote-access VPN，对很多组织来说，它就是进入 internal network 的直接路径。这样的 security tool 更新了重要的 cryptographic library 时，相关信息不应该像是藏在 community blog post 里。

更让我不舒服的是：OpenSSL 3.3.7 早在 2026 年 4 月 7 日就已经发布。Sophos Connect 2.5 MR1 到 2026 年 6 月 18 日才来。差不多十周。对普通 desktop app 来说，这也许只是一个晚到的 maintenance update。但对一个带有 cryptographic library 的 VPN client 来说，这段时间就不太让人安心。

普通 user 真的应该去读 Sophos blogs，才能发现自己的 VPN client 应该更新吗？每个小型 IT admin 都应该订阅 community feed，然后希望自己及时看到这种 release 吗？对于一个直接处理 Remote Access、certificates、authentication 和 encryption 的 tool 来说，这不够。

Sophos Connect 2.5 MR1 改了什么

Sophos 在 2026 年 6 月 18 日宣布 Windows 版 Sophos Connect Client 2.5 MR1。根据 Sophos 的说法，这是一个 maintenance release，修复了多个 community-reported issues。

最重要的 technical change 写得很清楚：

• OpenSSL 已更新到 version 3.3.7。

这句话看起来很小。但从运维角度看，它并不小。从 4 月 7 日的 OpenSSL release 到 6 月 18 日的 Sophos Connect version，中间已经超过两个月。可以公平地说，Sophos 需要 review、integrate、test 和 package。但也正因为如此，security client 才更需要 transparency：admins 不应该只能从 blog post 推断，一个 client component 已经等待 security patch release 好几周。

Sophos 还列出了几个 Sophos Connect issues 的修复：

• 如果 client 由另一个 user 安装，其他 Windows users 下 client 不会 auto-start。
• Internet interruption 后，SSO users 可能看到错误的 VPN status。
• 带 OTP 的 credential users 在 reconnect 时，会根据使用 IPsec 还是 SSL VPN 收到不同的 login verification prompt。
• 当 certificates 包含 special characters 时，SSO users 无法通过 provisioning file 建立 SSL VPN connection。

这些不是 cosmetic details。它们是典型的 remote-access 问题：startup behavior、status display、SSO、OTP、provisioning 和 certificates。也正是这些区域，一旦不干净，helpdesk、admins 和 users 很快就会失去可见性。

不过，对我来说，让这个 release 特别重要的仍然是 OpenSSL 3.3.7。

为什么 OpenSSL 3.3.7 重要

OpenSSL 3.3.7 在 2026 年 4 月 7 日作为 security patch release 发布。OpenSSL 自己将其中修复的最严重 issue 评为 Moderate。听起来不夸张。但它也不是普通的 bugfix update。

OpenSSL 3.3.7 修复的内容包括：

• CVE-2026-31790: RSA KEM RSASVE Encapsulation 中的 incorrect error handling，在特定条件下可能把 uninitialized memory contents 发送给 malicious peer。
• CVE-2026-28387: DANE client code 中的 potential use-after-free issue。
• CVE-2026-28388: 处理 Delta CRL 时可能出现 NULL pointer dereference。
• CVE-2026-28389 和 CVE-2026-28390: 处理某些 CMS EnvelopedData structures 时可能出现 NULL dereferences。
• CVE-2026-31789: 32-bit platforms 上进行 hexadecimal conversion 时的 heap buffer overflow。

这些 vulnerabilities 并不意味着在 Sophos Connect 中全部 automatically exploitable。这一点很重要。不能只看 OpenSSL CVE list 就盲目推断每个 client 在每个 scenario 中都马上 compromisable。

但反过来也一样错误：“Moderate” 或 “Low” 并不等于 “irrelevant”。

OpenSSL 是 base component。它参与 TLS、certificate validation、cryptographic operations，以及很多建立 secure connections 的 programs。如果 VPN client 随带这个 library，维护它就是 client security model 的一部分。尤其是这个 client 运行在会外出、会连接陌生 networks、再接回 internal environments 的 notebooks 上时。

为什么这里 SSL VPN 仍然相关

Sophos Connect 还有一点一直让我不舒服：无论 customer 是否实际使用 SSL VPN，client 都会为 SSL VPN 带上 OpenSSL。

很多 environment 现在更多依赖 IPsec。理由很多：通常 performance 更好，更容易融入 existing VPN designs，尤其更容易通过 software deployment、RMM、Intune 或其他 Endpoint Management tools 分发。在企业里，你不希望 users 手动从 portal 拉 VPN installer。你需要 package、version、rollout window 和 clean inventory。

如果 customer 只用 Sophos Connect 跑 IPsec，SSL VPN 用的 OpenSSL 仍然是 installed client 的一部分。这并不自动意味着每个 OpenSSL vulnerability 在该 environment 中都 practically exploitable。但它意味着 library 存在，必须维护，会出现在 inventory 和 vulnerability scans 中，也会带来 patch work。

这就是 update logic 如此重要的原因。如果一个 product 安装了并非每个 customer 都 active 使用的 components，那么 vendor 就有特别责任快速且可见地维护这些 components。否则就会出现经典 enterprise problem：feature technically present，operationally unused，但仍然需要 patch 和解释。

为什么专门为此发一个 release 是合理的

我认为 Sophos 为此发布 maintenance release 是对的。

VPN client 不是普通 desktop app。它是 access control 的一部分。如果这个 client 使用 outdated crypto libraries，即便实际 exploitability 需要 case-by-case 评估，也会产生 operational risk。

对 security components 来说，三件事很重要：

• Component maintenance: third-party libraries 必须及时更新。
• Traceability: admins 必须能看到部署了哪个 version。
• Distribution: patch 必须可靠到达 endpoints。

第一点在这里满足了：Sophos 更新了 OpenSSL。第二点至少部分满足：release notes 和 blog post 都写明了 version。第三点才是有意思的地方。

Sophos 说当前 client installer 会通过 Up2Date package 分发到 SFOS firewalls，然后可以从 WebAdmin 或 VPN portal 下载。这有用，因为 firewall 变成 installer 的 local source。

但这并不等同于每台 Windows endpoint 上都有一个干净、可见的 auto-update process。

如果 user 某次安装了 client，此后再也没有主动更新，那么 firewall-side installer availability 只是走了一半。仍然需要有人 trigger、monitor 并完成 rollout。

真正的批评点：visibility

我的批评主要不是针对 release 本身。这个 release 是合理的。

我的批评是 visibility 和 expectations。

在我看来，现代 security tool 至少应该提供以下选项之一：

• client 内清晰的 update notification，
• Sophos Central 或 firewall 上显示 outdated client versions 的 central view，
• official 且 well-documented 的 auto-update mechanism，
• 或者至少在 security-relevant client build outdated 时给 admin warning。

我最希望 Sophos Connect 有一个 optional、controllable 的 auto-update mechanism。不是偷偷更新，不是不受控，也不是违反 company policy。而是让 admin 能决定：security-relevant client updates 可以自动或半自动 rollout 到 defined groups。小 teams 会少一些 blind spots，大 teams 可以把它纳入 change process。

当然，有些 environments 已经通过 GPO、RMM、Intune 或 software deployment 解决了。好的 admins 能处理。但这不改变 product point：对 remote-access clients 来说，update communication 不应该交给运气。

Sophos 很清楚 update automation 的重要性。Firewalls 有 pattern updates、hotfixes、firmware notices 和 Central visibility。Endpoint products 本来就应该自动更新。为什么偏偏 VPN client 在某些地方仍然感觉这么 manual？

这不是奢侈问题。小 gap 长期留下来的地方，往往正是这里。

Admins 现在该做什么

对 admins 来说，实际结论相当清楚。

第一：检查你的 Sophos Firewall 是否已经收到新的 Sophos Connect installer。Sophos 说 installer 通过 Up2Date packages 交付到 SFOS firewalls，然后在 WebAdmin 或 VPN portal 中可用。

第二：检查 Windows clients 上 installed Sophos Connect versions。如果没有 central inventory，这就是真正的痛点。你至少需要通过 RMM、Intune、GPO、endpoint management 或 script 获得 overview。

第三：不要只用 standard user 测试新 client。要测试真实场景：

• 使用 username、password 和 MFA 的 SSL VPN
• 如果使用，测试 IPsec with OTP
• Microsoft Entra ID SSO
• provisioning files
• name 或 relevant fields 中包含 special characters 的 certificates
• internet interruption 后的 reconnect
• 如果环境中存在，同一 device 上的 multiple Windows users

如果你只使用 IPsec，我仍然不会忽略这个 update。尤其检查 client 在日常使用中是否 cleanly starts，profiles 是否按预期分发，inventory 是否正确检测 new version。OpenSSL 在这种情况下也许不是 active used VPN path，但 library 仍然是 installed client 的一部分。

第四：有计划地 rollout update。不是恐慌，也不是 someday。OpenSSL 3.3.7 是 security patch release。带 OpenSSL 的 VPN client 不应该属于“下次换 notebook 再说”的范畴。

第五：清楚沟通。Users 不需要知道 RSASVE、DANE 或 CMS KeyAgreeRecipientInfo 是什么。他们需要知道 VPN client 正在更新，之后应该测试连接，以及 SSO、OTP 或 provisioning 出问题时该向哪里报告。

Sophos 应该改进什么

我希望 Sophos Connect 改进三件事。

第一：client 内清晰的 update information。如果有 security-relevant client version 可用，user 或至少 local admin 应该能看到。更好的是为有意允许的 environments 提供 controllable auto-update path。

第二：central admin view。Sophos Central 或 firewall 应该显示 environment 中已知的 Sophos Connect versions，以及哪些已经 outdated。如果 client 没有 centrally managed，Sophos 至少应该提供清晰的 inventory 和 rollout recommendations。

第三：更好的 release communication。Community blog post 作为 announcement 没问题。但对 security-relevant client components 来说，“读 blog 然后下载 installer”不是 operating model，尤其当 underlying OpenSSL version 从 4 月起就已经可用。

我不是想贬低 Sophos。相反，更新 OpenSSL 是 positive 的。release notes 写明 version 是 positive 的。通过 firewall 分发 installer 也很实用。

但在 2026 年，security vendor 对 remote-access clients 应该做得更多。

我的结论

Sophos Connect 2.5 MR1 不是 glamorous release。正因如此，它才有意思。

它展示了 security operations 的真实样子：不只是重大 new features，还有 component maintenance、小 client fixes、certificate details、SSO behavior、OTP reconnects，以及 update 是否真的落到每个 endpoint 上的问题。

OpenSSL 3.3.7 是 security patch release。Sophos 将它集成进 Sophos Connect 是对的。Admins 不忽略这个 update 也是对的。但从 4 月到 6 月这段时间已经足够长，足以追问 update speed 和 visibility。

Architecture point 也仍然存在：即使 environment 主要或完全使用 IPsec，Sophos Connect 也会安装带 OpenSSL 的 SSL VPN components。因为 Sophos 提供 combined client，这在技术上可能合理。可在运维上，它意味着额外责任。凡是安装的东西，都必须可靠更新。

因此 Sophos 应该接受这个不舒服的问题：为什么 admin 需要主动追踪 blog post，才能注意到这种 VPN client update？

对于一个保护 internal network access 的 security tool 来说，这还不够。

此致，
Joe

FAQ