Dilysu cleient P2S Azure: Entra, tystysgrif neu RADIUS
Mae mewngofnodi Entra, tystysgrifau cleient a RADIUS angen cleientiaid a phroffiliau Azure VPN gwahanol. Dewiswch y dull, yna'r cleient, yna'r proffil.
Mae'r gosodwr yn rhedeg, mae'r proffil yn mewnforio, ac mae'r cysylltiad yn methu yn y cam mewngofnodi. Nid yw'r rhan fwyaf o'r tocynnau hyn yn fai yn y cleient: gall rhaglen sy'n gydnaws â OpenVPN gludo'r twnnel ac eto heb wybod sut i wneud mewngofnodi Microsoft Entra. Y drefn sy'n osgoi'r ddolen yw dull, yna cleient, yna proffil. Dewiswch y dull dilysu y mae'r porth wedi'i ffurfweddu ar ei gyfer, dewiswch gleient y mae Microsoft yn ei ddogfennu ar gyfer y dull hwnnw, ac wedyn yn unig cynhyrchwch y proffil y mae'r cleient hwnnw'n ei ddisgwyl. Mae popeth isod yn dilyn y drefn honno.
Dechreuwch o'r dull, nid o'r gosodwr
Mae'r porth wedi'i ffurfweddu ag un neu fwy o fathau twnnel a dulliau dilysu. Y pâr hwnnw, nid estyniad y ffeil ar eich bwrdd gwaith, sy'n penderfynu pa gleientiaid sy'n cael eu cefnogi.
Nodwch y pâr cyn lawrlwytho unrhyw beth, oherwydd mae'r matrics cefnogaeth yn gul ac mae dechrau anghywir yn costio prynhawn.
Dyma'r mapio rwy'n ei gadw yn y nodiadau defnyddio:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Darllenwch y tabl hwnnw fel cyfyngiad, nid fel bwydlen. Mae pob rhes yn gyfuniad wedi'i ddogfennu, a chymysgu cleient o un rhes â'r dull o res arall yw'r union fethiant y mae'r erthygl hon yn bodoli i'w atal.
Mae Entra ID yn golygu OpenVPN ynghyd ag Azure VPN Client
Ar gyfer dilysu Entra ar bwynt-i-safle, mae'r trefniant a gefnogir yn defnyddio math twnnel OpenVPN ac Azure VPN Client. Nid yw deialog enw defnyddiwr a chyfrinair cyffredinol yn cymryd lle'r integreiddiad hwnnw, ac nid yw IKEv2 brodorol Windows yn ffordd gyfnewidiol o wneud yr un mewngofnodi. Os yw cleient trydydd parti yn cynnig opsiwn Entra neu Azure AD, gwiriwch ef yn erbyn dogfennaeth gyfredol Microsoft yn hytrach na'r label. Marchnata yw'r label, tra mai'r cyfuniad wedi'i ddogfennu yw'r contract.
Ar macOS, Azure VPN Client yw'r llwybr wedi'i ddogfennu ar gyfer y dull hwn hefyd.
Mae angen cymhwyster cleient ar dystysgrifau, nid gwraidd yn unig
Mae dilysu tystysgrif yn fodel cefnogol ar wahân, ac mae'n gweithio gyda chleientiaid OpenVPN y mae Microsoft yn eu dogfennu a chydag Azure VPN Client ar lwyfannau cefnogol. Ar Windows nid yw Azure VPN Client ar gyfer Entra yn unig: mae ganddo lif gwaith tystysgrif wedi'i ddogfennu hefyd. Yr hyn sydd ei angen yw'r dystysgrif cleient a fwriadwyd gydag allwedd breifat y gellir ei defnyddio, y mae'r porth yn ymddiried ynddi. Nid yw gwraidd ymddiried y porth yn gymhwyster cleient, ac nid yw allwedd lofnodi'r dyroddwr byth yn perthyn i becyn cleient.
Gwiriwch y gadwyn cyn dadfygio'r proffil. Mae tystysgrif a ddyroddwyd gan wraidd nad yw'r porth yn ymddiried ynddo yn cynhyrchu methiant sy'n edrych fel proffil gwael ac sydd mewn gwirionedd yn broblem ymddiriedaeth.
Cadwch yr allwedd breifat yn anallforadwy lle mae'r llwyfan yn caniatáu, a phrofwch gyda'r dystysgrif sydd mewn gwirionedd wedi'i gosod ar gyfer y defnyddiwr cyfredol.
Mae RADIUS yn ddewis backend gyda'i gyfuniadau ei hun
Mae RADIUS yn symud y penderfyniad cymhwyster i weinydd rydych chi'n ei redeg, ac mae wedi'i ddogfennu gyda mathau twnnel a chleientiaid penodol. Nid yw'n ateb cywir yn awtomatig oherwydd bod gan yr ystâd sawl system weithredu. Nodwch yr hyn y gall y cleient gwirioneddol ei gyflwyno cyn i chi newid polisi dilysu'r porth, oherwydd nid yw newid y porth i RADIUS yn addasu pob proffil presennol. Mae'n rhaid i'r cleient fod yn gallu gofyn am y cymwysterau hynny neu eu darparu o hyd.
Os mai ystâd gymysg yw'r rheswm, datryswch ef fesul llwyfan yn lle gwanhau polisi'r porth i bawb.
Linux ar ôl ymddeoliad y rhagolwg yn 2026
Mae canllaw Microsoft ar ymddeoliad Linux yn rhoi 31 Awst 2026 fel dyddiad ymddeoliad rhagolwg Azure VPN Client ar gyfer Linux, felly o fis Tachwedd 2026 mae'r rhagolwg hwnnw tu ôl i chi. Gall gosodiadau presennol barhau i weithio, ond nid ydynt yn cael cymorth, diweddariadau na thrwsiadau diogelwch mwyach. Peidiwch â dosbarthu hen osodwr Linux fel defnydd newydd a gefnogir. Ymddeoliad cleient yw hwn, nid ymddeoliad Azure VPN Gateway na chleientiaid Windows a macOS.
Y dewisiadau amgen wedi'u dogfennu ar gyfer Linux yw cleient OpenVPN gyda dilysu tystysgrif, neu strongSwan gydag IKEv2 a dilysu tystysgrif neu RADIUS. Mae'r ddau yn ffurfweddiadau gwahanol sy'n galw am gymeradwyaeth sefydliadol, nid trosi a gewch trwy ailenwi'r hen broffil Entra.
Os yw mewngofnodi Entra yn orfodol am resymau polisi, rhaid i'r perchennog ddewis llwyfan cefnogol neu ddyluniad amgen cymeradwy. Penderfyniad yw hyn, nid gwaith osgoi.
Cynhyrchwch y proffil a chynnal pedwar gwiriad
Cynhyrchwch ffurfweddiad y cleient o'r porth a fwriadwyd unwaith y bydd y cyfuniad wedi'i benderfynu, a mewnforiwch y gynrychiolaeth a ddogfenwyd ar gyfer y cleient a'r dull hwnnw. Nid yw'r ffolder OpenVPN generig a phroffil XML Azure VPN Client yn gyfnewidiol. Os yw'r porth yn galluogi sawl math dilysu yn fwriadol, dewiswch y proffil a'r llwybr cymhwyster cyfatebol yn lle disgwyl i un cysylltiad fodloni pob un. Yna cynhalwch y gwiriadau yn y drefn hon:
- Mae'r cleient cefnogol yn mewnforio'r proffil a gynhyrchwyd heb ei olygu.
- Mae'r hunaniaeth a fwriadwyd yn dilysu â'r dull y mae'r proffil hwnnw'n ei ddisgwyl.
- Mae'r polisi llwybr a datryswr gofynnol yn ymddangos ar y cleient.
- Mae'r rhaglen a ganiateir yn cyrraedd ei hadnodd preifat.
Nid yw mewnforio llwyddiannus yn profi na chydnawsedd dilysu na chaniata adnodd preifat, a dyna pam mae'r pedwar gwiriad hynny'n parhau ar wahân.