Ověřování klientů Azure P2S: Entra, certifikát nebo RADIUS
Přihlášení přes Entra, klientské certifikáty a RADIUS vyžadují různé klienty a profily Azure VPN. Vyberte metodu, pak klienta a nakonec profil.
Instalátor se spustí, profil se naimportuje a připojení selže v kroku přihlášení. Většina těchto případů není chyba klienta: aplikace kompatibilní s OpenVPN může přenášet tunel, a přesto neumí provést přihlášení Microsoft Entra. Pořadí, které se vyhne smyčce, je metoda, pak klient, pak profil. Zvolte metodu ověřování, pro kterou je brána nakonfigurována, vyberte klienta, kterého Microsoft pro tuto metodu dokumentuje, a teprve potom vytvořte profil, který tento klient očekává. Vše níže se drží tohoto pořadí.
Začněte metodou, ne instalátorem
Brána je nakonfigurována s jedním nebo více typy tunelu a metodami ověřování. Právě tato dvojice, nikoli přípona souboru na ploše, určuje, kteří klienti jsou podporováni.
Zapište si dvojici, než cokoli stáhnete, protože matice podpory je úzká a špatný začátek stojí odpoledne.
Toto je mapování, které si držím v poznámkách k nasazení:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Čtěte tuto tabulku jako omezení, ne jako menu. Každý řádek je dokumentovaná kombinace a smíchání klienta z jednoho řádku s metodou z jiného je přesně ta chyba, které má tento článek zabránit.
Entra ID znamená OpenVPN plus Azure VPN Client
Pro ověřování Entra u připojení point-to-site používá podporované uspořádání typ tunelu OpenVPN a Azure VPN Client. Obecný dialog pro uživatelské jméno a heslo tuto integraci nenahrazuje a nativní IKEv2 ve Windows není zaměnitelný způsob, jak provést stejné přihlášení. Pokud klient třetí strany nabízí možnost Entra nebo Azure AD, ověřte ji podle aktuální dokumentace Microsoftu, ne podle označení. Označení je marketing, kdežto dokumentovaná kombinace je smlouva.
V macOS je Azure VPN Client také dokumentovanou cestou pro tuto metodu.
Certifikáty potřebují klientský údaj, ne jen kořen
Ověřování certifikáty je samostatný podporovaný model a funguje s klienty OpenVPN, které Microsoft dokumentuje, i s Azure VPN Client na podporovaných platformách. Ve Windows není Azure VPN Client jen pro Entra: má také dokumentovaný postup pro certifikáty. Potřebuje zamýšlený klientský certifikát s použitelným soukromým klíčem, kterému brána důvěřuje. Důvěryhodný kořen brány není klientský údaj a podpisový klíč vydavatele nikdy nepatří do klientského balíčku.
Než začnete ladit profil, zkontrolujte řetěz. Certifikát vydaný kořenem, kterému brána nedůvěřuje, způsobí selhání, které vypadá jako špatný profil, ale ve skutečnosti je to problém důvěry.
Kde to platforma umožňuje, držte soukromý klíč neexportovatelný a testujte s certifikátem skutečně nainstalovaným pro aktuálního uživatele.
RADIUS je volba backendu s vlastními kombinacemi
RADIUS přesouvá rozhodnutí o údajích na server, který provozujete, a je dokumentován s konkrétními typy tunelu a klienty. Není automaticky správnou odpovědí jen proto, že prostředí má několik operačních systémů. Než změníte zásady ověřování brány, zjistěte, co skutečný klient umí předložit, protože přepnutí brány na RADIUS nepřizpůsobí každý existující profil. Klient stále musí umět tyto údaje vyžádat nebo poskytnout.
Pokud je důvodem smíšené prostředí, řešte to po platformách, místo abyste oslabili zásady brány pro všechny.
Linux po ukončení náhledu v roce 2026
Pokyny Microsoftu k ukončení podpory Linuxu uvádějí 31. srpna 2026 jako datum ukončení náhledu Azure VPN Client pro Linux, takže od listopadu 2026 máte tento náhled za sebou. Stávající instalace mohou dál fungovat, ale už nedostávají podporu, aktualizace ani bezpečnostní opravy. Nevydávejte starý linuxový instalátor jako podporované nové nasazení. Jde o ukončení klienta, ne o ukončení Azure VPN Gateway nebo klientů pro Windows a macOS.
Dokumentované alternativy pro Linux jsou klient OpenVPN s ověřováním certifikátem nebo strongSwan s IKEv2 a ověřováním certifikátem či RADIUS. Obě jsou jiné konfigurace, které potřebují organizační schválení, ne převod, který získáte přejmenováním starého profilu Entra.
Pokud je přihlášení Entra povinné z politických důvodů, musí vlastník zvolit podporovanou platformu nebo schválený alternativní návrh. To je rozhodnutí, ne obejití.
Vytvořte profil a proveďte čtyři kontroly
Jakmile je kombinace jasná, vytvořte klientskou konfiguraci ze zamýšlené brány a naimportujte reprezentaci dokumentovanou pro daného klienta a metodu. Obecná složka OpenVPN a profil XML Azure VPN Client nejsou zaměnitelné. Pokud brána záměrně povoluje několik typů ověřování, zvolte odpovídající profil a cestu k údajům, místo abyste čekali, že jedno připojení vyhoví všem. Pak proveďte kontroly v tomto pořadí:
- Podporovaný klient naimportuje vytvořený profil bez jeho úprav.
- Zamýšlená identita se ověří metodou, kterou tento profil očekává.
- Požadovaná zásada tras a překladače se objeví na klientovi.
- Povolená aplikace dosáhne na svůj privátní prostředek.
Úspěšný import neprokazuje ani kompatibilitu ověřování, ani autorizaci privátního prostředku, a proto tyto čtyři kontroly zůstávají oddělené.