Удостоверяване на клиент за Azure P2S: Entra, сертификат или RADIUS
Влизането през Entra, клиентските сертификати и RADIUS изискват различни клиенти и профили на Azure VPN. Изберете метода, после клиента, после профила.
Инсталаторът се стартира, профилът се импортира, а връзката се проваля на стъпката за влизане. Повечето от тези сигнали не са дефект в клиента: съвместимо с OpenVPN приложение може да пренася тунела и въпреки това да не знае как да извърши влизане в Microsoft Entra. Редът, който избягва цикъла, е метод, после клиент, после профил. Изберете метода за удостоверяване, за който е конфигуриран шлюзът, изберете клиент, който Microsoft документира за този метод, и само след това генерирайте профила, който този клиент очаква. Всичко по-долу следва този ред.
Започнете от метода, не от инсталатора
Шлюзът се конфигурира с един или повече типове тунел и методи за удостоверяване. Тази двойка, а не разширението на файла на вашия работен плот, определя кои клиенти се поддържат.
Запишете двойката, преди да изтеглите нещо, защото матрицата на поддръжка е тясна и грешното начало струва един следобед.
Ето съответствието, което държа в бележките за внедряване:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Четете тази таблица като ограничение, не като меню. Всеки ред е документирана комбинация и смесването на клиент от един ред с метода от друг е точно грешката, срещу която съществува тази статия.
Entra ID означава OpenVPN плюс Azure VPN Client
За удостоверяване с Entra при връзка точка към сайт поддържаната схема използва типа тунел OpenVPN и Azure VPN Client. Обикновен диалог за потребителско име и парола не замества тази интеграция, а вграденият в Windows IKEv2 не е взаимозаменяем начин за същото влизане. Ако клиент на трета страна предлага опция за Entra или Azure AD, проверете я спрямо актуалната документация на Microsoft, а не спрямо етикета. Етикетът е маркетинг, а документираната комбинация е договорът.
На macOS Azure VPN Client също е документираният път за този метод.
Сертификатите изискват клиентско удостоверение, не само корен
Удостоверяването със сертификати е отделен поддържан модел и работи с клиенти на OpenVPN, които Microsoft документира, и с Azure VPN Client на поддържаните платформи. В Windows Azure VPN Client не е само за Entra: има и документиран работен процес със сертификати. Нужен му е предвиденият клиентски сертификат с използваем частен ключ, на който шлюзът се доверява. Довереният корен на шлюза не е клиентско удостоверение, а ключът за подписване на издателя никога не принадлежи в клиентски пакет.
Проверете веригата, преди да отстранявате проблеми с профила. Сертификат, издаден от корен, на който шлюзът не се доверява, дава отказ, който изглежда като лош профил, а всъщност е проблем с доверието.
Пазете частния ключ неекспортируем, където платформата позволява, и тествайте със сертификата, действително инсталиран за текущия потребител.
RADIUS е избор на бекенд със свои комбинации
RADIUS премества решението за удостоверения на сървър, който вие управлявате, и е документиран с конкретни типове тунел и клиенти. Той не е автоматично правилният отговор, защото средата има няколко операционни системи. Определете какво действителният клиент може да представи, преди да промените политиката за удостоверяване на шлюза, защото превключването на шлюза към RADIUS не обновява всеки съществуващ профил. Клиентът все още трябва да може да поиска или предостави тези удостоверения.
Ако причината е смесена среда, решавайте го по платформи, вместо да отслабвате политиката на шлюза за всички.
Linux след оттеглянето на прегледа през 2026 г.
Насоките на Microsoft за оттеглянето на Linux посочват 31 август 2026 г. като дата на оттегляне на прегледа на Azure VPN Client за Linux, така че от ноември 2026 г. този преглед е зад гърба ви. Съществуващите инсталации може да продължат да работят, но вече не получават поддръжка, актуализации или корекции за сигурност. Не раздавайте стар инсталатор за Linux като поддържано ново внедряване. Това е оттегляне на клиент, а не на Azure VPN Gateway или на клиентите за Windows и macOS.
Документираните алтернативи за Linux са клиент на OpenVPN с удостоверяване със сертификат или strongSwan с IKEv2 и удостоверяване със сертификат или RADIUS. И двете са различни конфигурации, които изискват организационно одобрение, а не преобразуване, което се получава с преименуване на стария профил на Entra.
Ако влизането през Entra е задължително по политически причини, собственикът трябва да избере поддържана платформа или одобрен алтернативен дизайн. Това е решение, а не заобикаляне.
Генерирайте профила и направете четири проверки
Генерирайте клиентската конфигурация от предвидения шлюз, след като комбинацията е установена, и импортирайте представянето, документирано за този клиент и метод. Общата папка на OpenVPN и XML профилът на Azure VPN Client не са взаимозаменяеми. Ако шлюзът умишлено включва няколко типа удостоверяване, изберете съответстващия профил и път за удостоверения, вместо да очаквате една връзка да удовлетвори всички. След това направете проверките в този ред:
- Поддържаният клиент импортира генерирания профил, без да го редактира.
- Предвидената идентичност се удостоверява с метода, който този профил очаква.
- Изискваната политика за маршрути и резолвер се появява на клиента.
- Разрешеното приложение достига до своя частен ресурс.
Успешният импорт не доказва нито съвместимост на удостоверяването, нито оторизация за частни ресурси, затова тези четири проверки остават отделни.