مصادقة عميل P2S في Azure: Entra أو الشهادة أو RADIUS
يتطلب تسجيل الدخول عبر Entra وشهادات العميل وRADIUS عملاء Azure VPN وملفات تعريف مختلفة. اختر الطريقة، ثم العميل، ثم الملف التعريفي.
يعمل المثبّت، ويُستورد الملف التعريفي، ثم يفشل الاتصال عند خطوة تسجيل الدخول. معظم هذه التذاكر ليست خللاً في العميل: يمكن لتطبيق متوافق مع OpenVPN أن يحمل النفق ومع ذلك لا يعرف كيف ينفّذ تسجيل دخول Microsoft Entra. الترتيب الذي يتجنب الحلقة المفرغة هو الطريقة، ثم العميل، ثم الملف التعريفي. اختر طريقة المصادقة التي تم تكوين البوابة لها، ثم اختر عميلاً توثقه Microsoft لتلك الطريقة، وبعد ذلك فقط أنشئ الملف التعريفي الذي يتوقعه ذلك العميل. كل ما يلي يتبع هذا الترتيب.
ابدأ من الطريقة، لا من المثبّت
تُكوَّن البوابة بنوع نفق واحد أو أكثر وطرق مصادقة. هذا الزوج، وليس امتداد الملف الموجود على سطح مكتبك، هو ما يحدد العملاء المدعومين.
اكتب الزوج قبل أن تنزّل أي شيء، لأن مصفوفة الدعم ضيقة والبداية الخاطئة تكلفك بعد ظهر كامل.
هذا هو التخطيط الذي أحتفظ به في ملاحظات النشر:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
اقرأ هذا الجدول كقيد، لا كقائمة اختيار. كل صف هو مزيج موثّق، وخلط عميل من صف مع طريقة من صف آخر هو بالضبط الخطأ الذي توجد هذه المقالة لمنعه.
Entra ID يعني OpenVPN بالإضافة إلى Azure VPN Client
بالنسبة لمصادقة Entra على اتصال نقطة إلى موقع، يستخدم الترتيب المدعوم نوع نفق OpenVPN وAzure VPN Client. مربع حوار عام لاسم المستخدم وكلمة المرور ليس بديلاً عن هذا التكامل، وIKEv2 الأصلي في Windows ليس طريقة قابلة للتبديل لتنفيذ تسجيل الدخول نفسه. إذا قدّم عميل خارجي خيار Entra أو Azure AD، فتحقق منه مقابل وثائق Microsoft الحالية لا مقابل التسمية. التسمية تسويق، أما المزيج الموثّق فهو العقد.
على macOS، Azure VPN Client هو المسار الموثّق لهذه الطريقة أيضاً.
الشهادات تحتاج إلى بيانات اعتماد عميل، وليس مجرد جذر
مصادقة الشهادات نموذج مدعوم منفصل، ويعمل مع عملاء OpenVPN الذين توثّقهم Microsoft ومع Azure VPN Client على المنصات المدعومة. على Windows، Azure VPN Client ليس مخصصاً لـ Entra فقط: لديه سير عمل موثّق للشهادات أيضاً. ما يحتاجه هو شهادة العميل المقصودة مع مفتاح خاص قابل للاستخدام، يثق بها البوابة. الجذر الموثوق للبوابة ليس بيانات اعتماد عميل، ومفتاح التوقيع الخاص بالمُصدر لا ينتمي أبداً إلى حزمة عميل.
افحص السلسلة قبل أن تنقّح الملف التعريفي. الشهادة الصادرة عن جذر لا تثق به البوابة تنتج فشلاً يبدو كملف تعريفي سيئ وهو في الحقيقة مشكلة ثقة.
أبقِ المفتاح الخاص غير قابل للتصدير حيث تسمح المنصة بذلك، واختبر بالشهادة المثبّتة فعلياً للمستخدم الحالي.
RADIUS خيار خلفي بمزايجه الخاصة
ينقل RADIUS قرار بيانات الاعتماد إلى خادم تديره أنت، وهو موثّق بأنواع أنفاق وعملاء محددة. ليس تلقائياً الإجابة الصحيحة لأن المؤسسة تضم عدة أنظمة تشغيل. حدّد ما يمكن للعميل الفعلي تقديمه قبل أن تغيّر سياسة مصادقة البوابة، لأن تحويل البوابة إلى RADIUS لا يعدّل كل ملف تعريف قائم. ما يزال على العميل أن يطلب بيانات الاعتماد تلك أو يوفّرها.
إذا كانت البيئة المختلطة هي الدافع، فحلّها لكل منصة بدلاً من إضعاف سياسة البوابة للجميع.
Linux بعد إيقاف المعاينة في 2026
توجيهات Microsoft بشأن إيقاف Linux تحدد 31 أغسطس 2026 كتاريخ إيقاف معاينة Azure VPN Client لنظام Linux، لذا اعتباراً من نوفمبر 2026 أصبحت تلك المعاينة خلفك. قد تستمر عمليات التثبيت الحالية في العمل، لكنها لم تعد تتلقى الدعم أو التحديثات أو إصلاحات الأمان. لا توزّع مثبّت Linux قديماً كنشر جديد مدعوم. هذا إيقاف لعميل، وليس إيقافاً لـ Azure VPN Gateway أو لعميلَي Windows وmacOS.
البدائل الموثّقة لنظام Linux هي عميل OpenVPN مع مصادقة الشهادات، أو strongSwan مع IKEv2 ومصادقة الشهادات أو RADIUS. كلاهما تكوينان مختلفان يحتاجان إلى موافقة تنظيمية، وليس تحويلاً تحصل عليه بإعادة تسمية ملف تعريف Entra القديم.
إذا كان تسجيل الدخول عبر Entra إلزامياً لأسباب سياسية، فعلى المالك اختيار منصة مدعومة أو تصميم بديل معتمد. هذا قرار، وليس حلاً ملتوياً.
أنشئ الملف التعريفي ونفّذ أربعة فحوص
أنشئ تكوين العميل من البوابة المقصودة بعد أن يستقر المزيج، واستورد التمثيل الموثّق لذلك العميل والطريقة. مجلد OpenVPN العام وملف Azure VPN Client بصيغة XML غير قابلين للتبادل. إذا كانت البوابة تمكّن عمداً عدة أنواع مصادقة، فاختر الملف التعريفي ومسار بيانات الاعتماد المطابقين بدلاً من توقع أن اتصالاً واحداً يلبيها جميعاً. ثم نفّذ الفحوص بهذا الترتيب:
- يستورد العميل المدعوم الملف التعريفي المُنشأ دون تعديله.
- تتم مصادقة الهوية المقصودة بالطريقة التي يتوقعها ذلك الملف التعريفي.
- تظهر سياسة المسار والمُحلّل المطلوبة على العميل.
- يصل التطبيق المسموح به إلى موارده الخاصة.
لا يثبت الاستيراد الناجح توافق المصادقة ولا تفويض الموارد الخاصة، ولهذا تبقى تلك الفحوص الأربعة منفصلة.