Аўтэнтыфікацыя кліента Azure P2S: Entra, сертыфікат або RADIUS
Уваход праз Entra, кліенцкія сертыфікаты і RADIUS патрабуюць розных кліентаў і профіляў Azure VPN. Спачатку выберыце метад, потым кліента, потым профіль.
Інсталятар запусціўся, профіль імпартаваўся, а злучэнне спыняецца на кроку ўваходу. Большасць такіх зваротаў — не памылка кліента: сумяшчальная з OpenVPN праграма можа несці тунель і ўсё ж не ведаць, як выканаць уваход у Microsoft Entra. Парадак, які пазбягае цыкла, — метад, потым кліент, потым профіль. Выберыце метад аўтэнтыфікацыі, для якога наладжаны шлюз, выберыце кліента, які Microsoft дакументуе для гэтага метаду, і толькі потым стварыце профіль, які чакае гэты кліент. Усё ніжэй ідзе гэтым парадкам.
Пачніце з метаду, а не з інсталятара
Шлюз наладжаны з адным або некалькімі тыпамі тунеляў і метадамі аўтэнтыфікацыі. Менавіта гэтая пара, а не пашырэнне файла на вашым працоўным стале, вызначае, якія кліенты падтрымліваюцца.
Запішыце пару да таго, як што-небудзь спампуеце, бо матрыца падтрымкі вузкая, і няправільны пачатак каштуе паўдня.
Вось суаднясенне, якое я трымаю ў нататках па разгортванні:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Чытайце гэтую табліцу як абмежаванне, а не як меню. Кожны радок — гэта дакументаваная камбінацыя, і змешванне кліента з аднаго радка з метадам з іншага — менавіта тая памылка, для прадухілення якой існуе гэты артыкул.
Entra ID азначае OpenVPN плюс Azure VPN Client
Для аўтэнтыфікацыі Entra на злучэнні «пункт–сайт» падтрыманая схема выкарыстоўвае тып тунеля OpenVPN і Azure VPN Client. Звычайны дыялог імя карыстальніка і пароля не заменіць гэтую інтэграцыю, а ўбудаваны ў Windows IKEv2 не з'яўляецца ўзаемазаменным спосабам выканаць той жа ўваход. Калі старонні кліент прапануе опцыю Entra або Azure AD, праверце яе па сучаснай дакументацыі Microsoft, а не па этыкетцы. Этыкетка — гэта маркетынг, а дакументаваная камбінацыя — гэта дамова.
На macOS Azure VPN Client таксама з'яўляецца дакументаваным шляхам для гэтага метаду.
Сертыфікатам патрэбныя кліенцкія ўліковыя даныя, а не толькі корань
Аўтэнтыфікацыя сертыфікатамі — асобная падтрыманая мадэль, і яна працуе з кліентамі OpenVPN, якія дакументуе Microsoft, і з Azure VPN Client на падтрыманых платформах. У Windows Azure VPN Client не толькі для Entra: у яго ёсць і дакументаваны працэс для сертыфікатаў. Яму патрэбны мэтавы кліенцкі сертыфікат з прыдатным прыватным ключом, якому давярае шлюз. Давераны корань шлюза — не кліенцкія ўліковыя даныя, а ключ подпісу выдаўца ніколі не належыць да кліенцкага пакета.
Праверце ланцужок, перш чым адладжваць профіль. Сертыфікат, выдадзены коранем, якому шлюз не давярае, дае збой, які выглядае як дрэнны профіль, а насамрэч з'яўляецца праблемай даверу.
Трымайце прыватны ключ неэкспартавальным там, дзе платформа гэта дазваляе, і тэстуйце з сертыфікатам, фактычна ўсталяваным для бягучага карыстальніка.
RADIUS — гэта выбар бэкенда са сваімі камбінацыямі
RADIUS пераносіць рашэнне аб уліковых даных на сервер, які вы запускаеце, і ён дакументаваны з пэўнымі тыпамі тунеляў і кліентамі. Гэта не аўтаматычна правільны адказ толькі таму, што ў арганізацыі некалькі аперацыйных сістэм. Вызначце, што фактычны кліент можа прадставіць, перш чым змяняць палітыку аўтэнтыфікацыі шлюза, бо пераключэнне шлюза на RADIUS не абнаўляе кожны існуючы профіль. Кліент усё роўна павінен умець запытваць або падаваць гэтыя ўліковыя даныя.
Калі прычына — змяшаная інфраструктура, вырашайце гэта па кожнай платформе, а не аслабляйце палітыку шлюза для ўсіх.
Linux пасля спынення папярэдняга прагляду ў 2026 годзе
Кіраўніцтва Microsoft па спыненні падтрымкі Linux называе 31 жніўня 2026 года датай спынення папярэдняга прагляду Azure VPN Client для Linux, таму з лістапада 2026 года гэты прагляд ужо ззаду. Існуючыя ўсталяванні могуць працягваць працаваць, але яны больш не атрымліваюць падтрымкі, абнаўленняў або выпраўленняў бяспекі. Не выдавайце стары інсталятар Linux як падтрыманае новае разгортванне. Гэта спыненне кліента, а не спыненне Azure VPN Gateway ці кліентаў для Windows і macOS.
Дакументаваныя альтэрнатывы для Linux — гэта кліент OpenVPN з аўтэнтыфікацыяй сертыфікатамі або strongSwan з IKEv2 і аўтэнтыфікацыяй сертыфікатам ці RADIUS. Абедзве — розныя канфігурацыі, якія патрабуюць арганізацыйнага зацвярджэння, а не пераўтварэнне, якое атрымліваецца перайменаваннем старога профілю Entra.
Калі ўваход праз Entra абавязковы з палітычных прычын, уласнік павінен выбраць падтрыманую платформу або зацверджаны альтэрнатыўны дызайн. Гэта рашэнне, а не абыход.
Стварыце профіль і выканайце чатыры праверкі
Стварыце канфігурацыю кліента з мэтавага шлюза, калі камбінацыя вызначана, і імпартуйце прадстаўленне, дакументаванае для гэтага кліента і метаду. Агульная папка OpenVPN і XML-профіль Azure VPN Client не ўзаемазаменныя. Калі шлюз наўмысна ўключае некалькі тыпаў аўтэнтыфікацыі, выбірайце адпаведны профіль і шлях уліковых даных, а не спадзявайцеся, што адно злучэнне задаволіць усе. Затым выканайце праверкі ў такім парадку:
- Падтрыманы кліент імпартуе створаны профіль без яго рэдагавання.
- Мэтавая асоба аўтэнтыфікуецца метадам, якога чакае гэты профіль.
- Патрабаваная палітыка маршрутаў і рэзалвера з'яўляецца на кліенце.
- Дазволеная праграма дасягае свайго прыватнага рэсурсу.
Паспяховы імпарт не даказвае ні сумяшчальнасці аўтэнтыфікацыі, ні аўтарызацыі прыватных рэсурсаў, таму гэтыя чатыры праверкі застаюцца асобнымі.