Azure P2S müştəri autentifikasiyası: Entra, sertifikat və ya RADIUS
Entra ilə giriş, müştəri sertifikatları və RADIUS fərqli Azure VPN müştəriləri və profilləri tələb edir. Əvvəlcə üsulu, sonra müştərini, sonra profili seçin.
Quraşdırıcı işləyir, profil idxal olunur, amma bağlantı giriş mərhələsində uğursuz olur. Bu müraciətlərin əksəriyyəti müştəridə səhv deyil: OpenVPN ilə uyğun tətbiq tuneli daşıya bilər və yenə də Microsoft Entra girişinin necə yerinə yetiriləcəyini bilməyə bilər. Döngüdən qaçan sıra üsul, sonra müştəri, sonra profildir. Şlüzün konfiqurasiya olunduğu autentifikasiya üsulunu seçin, Microsoft-un həmin üsul üçün sənədləşdirdiyi müştərini seçin və yalnız bundan sonra həmin müştərinin gözlədiyi profili yaradın. Aşağıdakıların hamısı bu sıranı izləyir.
Quraşdırıcıdan deyil, üsuldan başlayın
Şlüz bir və ya bir neçə tunel növü və autentifikasiya üsulu ilə konfiqurasiya olunur. Masaüstünüzdəki fayl uzantısı deyil, məhz bu cüt hansı müştərilərin dəstəkləndiyini müəyyən edir.
Heç nə yükləməzdən əvvəl bu cütü yazın, çünki dəstək matrisi dardır və yanlış başlanğıc bir günün yarısına başa gəlir.
Yerləşdirmə qeydlərimdə saxladığım uyğunluq cədvəli budur:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Bu cədvəli menyu kimi deyil, məhdudiyyət kimi oxuyun. Hər sətir sənədləşdirilmiş birləşmədir və bir sətirdən müştərini digər sətirin üsulu ilə qarışdırmaq bu məqalənin qarşısını almaq üçün mövcud olduğu dəqiq səhvdir.
Entra ID OpenVPN üstəgəl Azure VPN Client deməkdir
Nöqtədən sahəyə Entra autentifikasiyası üçün dəstəklənən quruluş OpenVPN tunel növündən və Azure VPN Client-dən istifadə edir. Ümumi istifadəçi adı və parol dialoqu bu inteqrasiyanın əvəzi deyil və Windows-un yerli IKEv2-si eyni girişi yerinə yetirməyin dəyişdirilə bilən yolu deyil. Əgər üçüncü tərəf müştəri Entra və ya Azure AD seçimi təklif edirsə, onu etiketə deyil, Microsoft-un cari sənədlərinə uyğun yoxlayın. Etiket marketinqdir, sənədləşdirilmiş birləşmə isə müqavilədir.
macOS-da Azure VPN Client bu üsul üçün də sənədləşdirilmiş yoldur.
Sertifikatlar yalnız kök deyil, müştəri etimadnaməsi tələb edir
Sertifikat autentifikasiyası ayrıca dəstəklənən modeldir və Microsoft-un sənədləşdirdiyi OpenVPN müştəriləri ilə və dəstəklənən platformalarda Azure VPN Client ilə işləyir. Windows-da Azure VPN Client yalnız Entra üçün deyil: onun sənədləşdirilmiş sertifikat iş axını da var. Ona lazım olan şlüzün etibar etdiyi, istifadə edilə bilən şəxsi açarı olan nəzərdə tutulan müştəri sertifikatıdır. Şlüzün etibarlı kökü müştəri etimadnaməsi deyil və buraxıcının imzalama açarı heç vaxt müştəri paketinə aid deyil.
Profili sazlamadan əvvəl zənciri yoxlayın. Şlüzün etibar etmədiyi kökdən verilmiş sertifikat pis profil kimi görünən, əslində isə etibar problemi olan nasazlıq yaradır.
Platforma imkan verdikdə şəxsi açarı ixrac edilə bilməyən saxlayın və cari istifadəçi üçün faktiki quraşdırılmış sertifikatla sınaqdan keçirin.
RADIUS öz birləşmələri olan backend seçimidir
RADIUS etimadnamə qərarını sizin idarə etdiyiniz serverə köçürür və konkret tunel növləri və müştərilərlə sənədləşdirilib. Müəssisədə bir neçə əməliyyat sistemi olduğu üçün bu avtomatik düzgün cavab deyil. Şlüzün autentifikasiya siyasətini dəyişməzdən əvvəl faktiki müştərinin nə təqdim edə bildiyini müəyyənləşdirin, çünki şlüzü RADIUS-a keçirmək hər mövcud profili yeniləmir. Müştəri yenə də həmin etimadnamələri soruşmalı və ya təqdim etməlidir.
Səbəb qarışıq mühitdirsə, şlüz siyasətini hamı üçün zəiflətmək əvəzinə hər platforma üzrə həll edin.
2026-cı il önizləmə ləğvindən sonra Linux
Microsoft-un Linux-un ləğvi barədə təlimatı Linux Azure VPN Client önizləməsinin ləğv tarixi kimi 31 avqust 2026-cı ili göstərir, yəni 2026-cı ilin noyabrından etibarən o önizləmə arxada qaldı. Mövcud quraşdırmalar işləməyə davam edə bilər, lakin artıq dəstək, yeniləmələr və ya təhlükəsizlik düzəlişləri almırlar. Köhnə Linux quraşdırıcısını dəstəklənən yeni yerləşdirmə kimi paylamayın. Bu, bir müştərinin ləğvidir, Azure VPN Gateway-in və ya Windows və macOS müştərilərinin ləğvi deyil.
Sənədləşdirilmiş Linux alternativləri sertifikat autentifikasiyalı OpenVPN müştərisi və ya IKEv2 ilə strongSwan və sertifikat və ya RADIUS autentifikasiyasıdır. Hər ikisi təşkilati təsdiq tələb edən fərqli konfiqurasiyalardır, köhnə Entra profilinin adını dəyişməklə əldə edilən çevrilmə deyil.
Əgər Entra girişi siyasət səbəbləri ilə məcburidirsə, sahib dəstəklənən platforma və ya təsdiqlənmiş alternativ dizayn seçməlidir. Bu qərardır, yan yol deyil.
Profili yaradın və dörd yoxlama aparın
Birləşmə müəyyənləşdikdən sonra müştəri konfiqurasiyasını nəzərdə tutulan şlüzdən yaradın və həmin müştəri və üsul üçün sənədləşdirilmiş təmsili idxal edin. Ümumi OpenVPN qovluğu və Azure VPN Client XML profili bir-birini əvəz etmir. Şlüz qəsdən bir neçə autentifikasiya növünü aktivləşdirirsə, bir bağlantının hamısını təmin etməsini gözləmək əvəzinə uyğun profil və etimadnamə yolunu seçin. Sonra yoxlamaları bu sıra ilə aparın:
- Dəstəklənən müştəri yaradılmış profili redaktə etmədən idxal edir.
- Nəzərdə tutulan şəxsiyyət həmin profilin gözlədiyi üsulla autentifikasiya olunur.
- Tələb olunan marşrut və həlledici siyasəti müştəridə görünür.
- İcazə verilmiş tətbiq öz şəxsi resursuna çatır.
Uğurlu idxal nə autentifikasiya uyğunluğunu, nə də şəxsi resurslara icazəni sübut edir, buna görə də bu dörd yoxlama ayrı qalır.