Autenticació de client P2S d'Azure: Entra, certificat o RADIUS
L'inici de sessió amb Entra, els certificats de client i RADIUS requereixen clients i perfils d'Azure VPN diferents. Trieu el mètode, després el client i després el perfil.
L'instal·lador s'executa, el perfil s'importa i la connexió falla al pas d'inici de sessió. La majoria d'aquests tiquets no són un error del client: una aplicació compatible amb OpenVPN pot transportar el túnel i, tot i així, no saber com fer un inici de sessió de Microsoft Entra. L'ordre que evita el bucle és mètode, després client, després perfil. Trieu el mètode d'autenticació per al qual està configurada la passarel·la, trieu un client que Microsoft documenti per a aquest mètode i només després genereu el perfil que aquest client espera. Tot el que segueix respecta aquest ordre.
Comenceu pel mètode, no per l'instal·lador
La passarel·la està configurada amb un o més tipus de túnel i mètodes d'autenticació. Aquesta parella, i no l'extensió del fitxer que teniu a l'escriptori, és la que decideix quins clients són compatibles.
Anoteu la parella abans de baixar res, perquè la matriu de compatibilitat és estreta i un mal començament costa una tarda.
Aquest és el mapatge que guardo a les notes de desplegament:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Llegiu aquesta taula com una restricció, no com un menú. Cada fila és una combinació documentada, i barrejar un client d'una fila amb el mètode d'una altra és exactament la fallada que aquest article vol evitar.
Entra ID vol dir OpenVPN més Azure VPN Client
Per a l'autenticació Entra en punt a lloc, la disposició compatible utilitza el tipus de túnel OpenVPN i l'Azure VPN Client. Un diàleg genèric d'usuari i contrasenya no substitueix aquesta integració, i l'IKEv2 natiu de Windows no és una manera intercanviable de fer el mateix inici de sessió. Si un client de tercers ofereix una opció Entra o Azure AD, verifiqueu-la amb la documentació actual de Microsoft i no amb l'etiqueta. L'etiqueta és màrqueting, mentre que la combinació documentada és el contracte.
A macOS, l'Azure VPN Client també és el camí documentat per a aquest mètode.
Els certificats necessiten una credencial de client, no només una arrel
L'autenticació amb certificats és un model compatible a part, i funciona amb els clients OpenVPN que Microsoft documenta i amb l'Azure VPN Client a les plataformes compatibles. A Windows, l'Azure VPN Client no és només per a Entra: també té un flux de certificats documentat. El que necessita és el certificat de client previst amb una clau privada utilitzable, en què confiï la passarel·la. L'arrel de confiança de la passarel·la no és una credencial de client, i la clau de signatura de l'emissor no pertany mai a un paquet de client.
Comproveu la cadena abans de depurar el perfil. Un certificat emès per una arrel en què la passarel·la no confia produeix una fallada que sembla un perfil dolent i en realitat és un problema de confiança.
Mantingueu la clau privada no exportable on la plataforma ho permeti, i proveu amb el certificat realment instal·lat per a l'usuari actual.
RADIUS és una elecció de backend amb les seves pròpies combinacions
RADIUS trasllada la decisió de credencials a un servidor que vosaltres executeu, i està documentat amb tipus de túnel i clients concrets. No és automàticament la resposta correcta només perquè el parc tingui diversos sistemes operatius. Identifiqueu què pot presentar el client real abans de canviar la política d'autenticació de la passarel·la, perquè passar la passarel·la a RADIUS no adapta cada perfil existent. El client encara ha de poder demanar o proporcionar aquestes credencials.
Si el motiu és un parc mixt, resoleu-ho per plataforma en lloc d'afeblir la política de la passarel·la per a tothom.
Linux després de la retirada de la previsualització del 2026
La guia de Microsoft sobre la retirada de Linux fixa el 31 d'agost del 2026 com a data de retirada de la previsualització de l'Azure VPN Client per a Linux, així que, el novembre del 2026, aquesta previsualització ja ha quedat enrere. Les instal·lacions existents poden continuar funcionant, però ja no reben suport, actualitzacions ni correccions de seguretat. No lliureu un instal·lador antic de Linux com a desplegament nou compatible. Aquesta és una retirada d'un client, no de l'Azure VPN Gateway ni dels clients de Windows i macOS.
Les alternatives documentades per a Linux són un client OpenVPN amb autenticació per certificat, o strongSwan amb IKEv2 i autenticació per certificat o RADIUS. Totes dues són configuracions diferents que necessiten aprovació organitzativa, no una conversió que s'obté canviant el nom del perfil Entra antic.
Si l'inici de sessió amb Entra és obligatori per motius de política, el propietari ha de triar una plataforma compatible o un disseny alternatiu aprovat. Això és una decisió, no una solució alternativa.
Genereu el perfil i feu quatre comprovacions
Genereu la configuració del client a partir de la passarel·la prevista un cop la combinació estigui decidida, i importeu la representació documentada per a aquest client i mètode. La carpeta genèrica d'OpenVPN i el perfil XML de l'Azure VPN Client no són intercanviables. Si la passarel·la habilita deliberadament diversos tipus d'autenticació, trieu el perfil i el camí de credencials que corresponguin en lloc d'esperar que una sola connexió els satisfaci tots. Després feu les comprovacions en aquest ordre:
- El client compatible importa el perfil generat sense editar-lo.
- La identitat prevista s'autentica amb el mètode que espera aquest perfil.
- La política de rutes i de resolutor requerida apareix al client.
- L'aplicació permesa arriba al seu recurs privat.
Una importació correcta no demostra ni la compatibilitat de l'autenticació ni l'autorització del recurs privat, i per això aquestes quatre comprovacions es mantenen separades.