Azure P2S-klientgodkendelse: Entra, certifikat eller RADIUS
Entra-logon, klientcertifikater og RADIUS kræver forskellige Azure VPN-klienter og -profiler. Vælg metoden, derefter klienten og til sidst profilen.
Installationsprogrammet kører, profilen importeres, og forbindelsen fejler ved logontrinnet. De fleste af disse sager er ikke en fejl i klienten: et OpenVPN-kompatibelt program kan bære tunnelen og alligevel ikke vide, hvordan en Microsoft Entra-logon udføres. Den rækkefølge, der undgår løkken, er metode, derefter klient, derefter profil. Vælg den godkendelsesmetode, gatewayen er konfigureret til, vælg en klient, som Microsoft dokumenterer til den metode, og generér først derefter den profil, klienten forventer. Alt nedenfor følger den rækkefølge.
Start med metoden, ikke med installationsprogrammet
Gatewayen er konfigureret med én eller flere tunneltyper og godkendelsesmetoder. Det par, og ikke filtypen på skrivebordet, afgør, hvilke klienter der understøttes.
Skriv parret ned, før du downloader noget, for understøttelsesmatrixen er smal, og en forkert start koster en eftermiddag.
Her er den mapping, jeg har i udrulningsnoterne:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Læs tabellen som en begrænsning, ikke som en menu. Hver række er en dokumenteret kombination, og at blande en klient fra én række med metoden fra en anden er præcis den fejl, artiklen findes for at forhindre.
Entra ID betyder OpenVPN plus Azure VPN Client
Til Entra-godkendelse på punkt-til-site bruger den understøttede opsætning OpenVPN-tunneltypen og Azure VPN Client. En generisk brugernavn- og adgangskodedialog er ikke en erstatning for integrationen, og Windows' indbyggede IKEv2 er ikke en udskiftelig måde at udføre samme logon på. Hvis en tredjepartsklient tilbyder en Entra- eller Azure AD-mulighed, skal du kontrollere den mod Microsofts aktuelle dokumentation og ikke mod etiketten. Etiketten er markedsføring, mens den dokumenterede kombination er kontrakten.
På macOS er Azure VPN Client også den dokumenterede vej til metoden.
Certifikater kræver en klientlegitimation, ikke bare en rod
Certifikatgodkendelse er en separat understøttet model, og den fungerer med OpenVPN-klienter, som Microsoft dokumenterer, og med Azure VPN Client på understøttede platforme. På Windows er Azure VPN Client ikke kun til Entra: den har også et dokumenteret certifikatworkflow. Det, den har brug for, er det tilsigtede klientcertifikat med en brugbar privat nøgle, som gatewayen har tillid til. Gatewayens betroede rod er ikke en klientlegitimation, og udstederens signeringsnøgle hører aldrig hjemme i en klientpakke.
Kontrollér kæden, før du fejlfinder profilen. Et certifikat udstedt af en rod, som gatewayen ikke har tillid til, giver en fejl, der ligner en dårlig profil og i virkeligheden er et tillidsproblem.
Hold den private nøgle ikke-eksporterbar, hvor platformen tillader det, og test med det certifikat, der faktisk er installeret for den aktuelle bruger.
RADIUS er et backend-valg med sine egne kombinationer
RADIUS flytter beslutningen om legitimationsoplysninger til en server, du selv driver, og det er dokumenteret med bestemte tunneltyper og klienter. Det er ikke automatisk det rigtige svar, fordi miljøet har flere operativsystemer. Afgør, hvad den faktiske klient kan præsentere, før du ændrer gatewayens godkendelsespolitik, fordi at skifte gatewayen til RADIUS ikke tilpasser alle eksisterende profiler. Klienten skal stadig kunne spørge efter eller levere de oplysninger.
Hvis et blandet miljø er årsagen, så løs det per platform i stedet for at svække gatewaypolitikken for alle.
Linux efter udfasningen af forhåndsvisningen i 2026
Microsofts vejledning om udfasning af Linux angiver 31. august 2026 som udfasningsdato for forhåndsvisningen af Azure VPN Client til Linux, så fra november 2026 er den forhåndsvisning bag dig. Eksisterende installationer kan fortsætte med at virke, men de får ikke længere support, opdateringer eller sikkerhedsrettelser. Udlever ikke et gammelt Linux-installationsprogram som en understøttet ny udrulning. Det er en udfasning af en klient, ikke af Azure VPN Gateway eller af Windows- og macOS-klienterne.
De dokumenterede Linux-alternativer er en OpenVPN-klient med certifikatgodkendelse eller strongSwan med IKEv2 og certifikat- eller RADIUS-godkendelse. Begge er andre konfigurationer, som kræver organisatorisk godkendelse, ikke en konvertering, du får ved at omdøbe den gamle Entra-profil.
Hvis Entra-logon er obligatorisk af politiske årsager, skal ejeren vælge en understøttet platform eller et godkendt alternativt design. Det er en beslutning, ikke en omvej.
Generér profilen, og kør fire kontroller
Generér klientkonfigurationen fra den tilsigtede gateway, når kombinationen er på plads, og importér den repræsentation, der er dokumenteret for den klient og metode. Den generiske OpenVPN-mappe og Azure VPN Client XML-profilen kan ikke udskiftes. Hvis gatewayen bevidst aktiverer flere godkendelsestyper, skal du vælge den matchende profil og legitimationsvej i stedet for at forvente, at én forbindelse opfylder dem alle. Kør derefter kontrollerne i denne rækkefølge:
- Den understøttede klient importerer den genererede profil uden at redigere den.
- Den tilsigtede identitet godkendes med den metode, profilen forventer.
- Den krævede rute- og resolverpolitik vises på klienten.
- Det tilladte program når sin private ressource.
En vellykket import beviser hverken godkendelseskompatibilitet eller autorisation til den private ressource, og derfor forbliver de fire kontroller adskilte.