Έλεγχος ταυτότητας πελάτη Azure P2S: Entra, πιστοποιητικό ή RADIUS

Το πρόγραμμα εγκατάστασης εκτελείται, το προφίλ εισάγεται και η σύνδεση αποτυγχάνει στο βήμα σύνδεσης. Τα περισσότερα από αυτά τα αιτήματα δεν είναι σφάλμα του πελάτη: μια εφαρμογή συμβατή με OpenVPN μπορεί να μεταφέρει το τούνελ και ωστόσο να μην ξέρει πώς να εκτελέσει σύνδεση Microsoft Entra. Η σειρά που αποφεύγει τον κύκλο είναι μέθοδος, μετά πελάτης, μετά προφίλ. Επιλέξτε τη μέθοδο ελέγχου ταυτότητας για την οποία είναι ρυθμισμένη η πύλη, επιλέξτε πελάτη που η Microsoft τεκμηριώνει για αυτή τη μέθοδο και μόνο τότε δημιουργήστε το προφίλ που περιμένει αυτός ο πελάτης. Όλα τα παρακάτω ακολουθούν αυτή τη σειρά.

Ξεκινήστε από τη μέθοδο, όχι από το πρόγραμμα εγκατάστασης

Η πύλη είναι ρυθμισμένη με έναν ή περισσότερους τύπους τούνελ και μεθόδους ελέγχου ταυτότητας. Αυτό το ζεύγος, όχι η επέκταση του αρχείου στην επιφάνεια εργασίας σας, καθορίζει ποιοι πελάτες υποστηρίζονται.

Σημειώστε το ζεύγος πριν κατεβάσετε οτιδήποτε, γιατί ο πίνακας υποστήριξης είναι στενός και μια λάθος αρχή κοστίζει ένα απόγευμα.

Αυτή είναι η αντιστοίχιση που κρατώ στις σημειώσεις ανάπτυξης:

Διαβάστε αυτόν τον πίνακα ως περιορισμό, όχι ως μενού. Κάθε γραμμή είναι ένας τεκμηριωμένος συνδυασμός, και η ανάμειξη πελάτη από μια γραμμή με τη μέθοδο από άλλη είναι ακριβώς το σφάλμα που υπάρχει για να αποτρέπει αυτό το άρθρο.

Το Entra ID σημαίνει OpenVPN συν Azure VPN Client

Για έλεγχο ταυτότητας Entra σε σύνδεση σημείου προς τοποθεσία, η υποστηριζόμενη διάταξη χρησιμοποιεί τον τύπο τούνελ OpenVPN και τον Azure VPN Client. Ένας γενικός διάλογος ονόματος χρήστη και κωδικού δεν υποκαθιστά αυτή την ενσωμάτωση, και το εγγενές IKEv2 των Windows δεν είναι εναλλάξιμος τρόπος για την ίδια σύνδεση. Αν ένας πελάτης τρίτου μέρους προσφέρει επιλογή Entra ή Azure AD, επαληθεύστε την με την τρέχουσα τεκμηρίωση της Microsoft και όχι με την ετικέτα. Η ετικέτα είναι μάρκετινγκ, ενώ ο τεκμηριωμένος συνδυασμός είναι η σύμβαση.

Στο macOS ο Azure VPN Client είναι επίσης η τεκμηριωμένη διαδρομή για αυτή τη μέθοδο.

Τα πιστοποιητικά χρειάζονται διαπιστευτήριο πελάτη, όχι μόνο ρίζα

Ο έλεγχος ταυτότητας με πιστοποιητικά είναι ξεχωριστό υποστηριζόμενο μοντέλο και λειτουργεί με πελάτες OpenVPN που τεκμηριώνει η Microsoft και με τον Azure VPN Client σε υποστηριζόμενες πλατφόρμες. Στα Windows ο Azure VPN Client δεν είναι μόνο για Entra: έχει και τεκμηριωμένη ροή εργασίας πιστοποιητικών. Αυτό που χρειάζεται είναι το προβλεπόμενο πιστοποιητικό πελάτη με χρησιμοποιήσιμο ιδιωτικό κλειδί, στο οποίο έχει εμπιστοσύνη η πύλη. Η έμπιστη ρίζα της πύλης δεν είναι διαπιστευτήριο πελάτη, και το κλειδί υπογραφής του εκδότη δεν ανήκει ποτέ σε πακέτο πελάτη.

Ελέγξτε την αλυσίδα πριν εντοπίσετε σφάλματα στο προφίλ. Ένα πιστοποιητικό που εκδόθηκε από ρίζα στην οποία η πύλη δεν έχει εμπιστοσύνη παράγει αποτυχία που μοιάζει με κακό προφίλ και στην πραγματικότητα είναι πρόβλημα εμπιστοσύνης.

Κρατήστε το ιδιωτικό κλειδί μη εξαγώγιμο όπου το επιτρέπει η πλατφόρμα και δοκιμάστε με το πιστοποιητικό που είναι πραγματικά εγκατεστημένο για τον τρέχοντα χρήστη.

Το RADIUS είναι επιλογή backend με τους δικούς του συνδυασμούς

Το RADIUS μεταφέρει την απόφαση για τα διαπιστευτήρια σε διακομιστή που διαχειρίζεστε εσείς και είναι τεκμηριωμένο με συγκεκριμένους τύπους τούνελ και πελάτες. Δεν είναι αυτόματα η σωστή απάντηση επειδή το περιβάλλον έχει πολλά λειτουργικά συστήματα. Προσδιορίστε τι μπορεί να παρουσιάσει ο πραγματικός πελάτης πριν αλλάξετε την πολιτική ελέγχου ταυτότητας της πύλης, γιατί η αλλαγή της πύλης σε RADIUS δεν προσαρμόζει κάθε υπάρχον προφίλ. Ο πελάτης πρέπει ακόμη να μπορεί να ζητήσει ή να παράσχει αυτά τα διαπιστευτήρια.

Αν η αιτία είναι μικτό περιβάλλον, λύστε το ανά πλατφόρμα αντί να αποδυναμώσετε την πολιτική της πύλης για όλους.

Linux μετά την απόσυρση της προεπισκόπησης το 2026

Οι οδηγίες της Microsoft για την απόσυρση του Linux δίνουν ως ημερομηνία απόσυρσης της προεπισκόπησης του Azure VPN Client για Linux τις 31 Αυγούστου 2026, επομένως από τον Νοέμβριο του 2026 αυτή η προεπισκόπηση είναι πίσω σας. Οι υπάρχουσες εγκαταστάσεις μπορεί να συνεχίσουν να λειτουργούν, αλλά δεν λαμβάνουν πλέον υποστήριξη, ενημερώσεις ή διορθώσεις ασφαλείας. Μη διανέμετε ένα παλιό πρόγραμμα εγκατάστασης Linux ως υποστηριζόμενη νέα ανάπτυξη. Πρόκειται για απόσυρση πελάτη, όχι για απόσυρση του Azure VPN Gateway ή των πελατών Windows και macOS.

Οι τεκμηριωμένες εναλλακτικές για Linux είναι πελάτης OpenVPN με έλεγχο ταυτότητας πιστοποιητικού ή strongSwan με IKEv2 και έλεγχο ταυτότητας πιστοποιητικού ή RADIUS. Και οι δύο είναι διαφορετικές ρυθμίσεις που απαιτούν οργανωτική έγκριση, όχι μετατροπή που προκύπτει με μετονομασία του παλιού προφίλ Entra.

Αν η σύνδεση Entra είναι υποχρεωτική για λόγους πολιτικής, ο ιδιοκτήτης πρέπει να επιλέξει υποστηριζόμενη πλατφόρμα ή εγκεκριμένο εναλλακτικό σχεδιασμό. Αυτό είναι απόφαση, όχι παράκαμψη.

Δημιουργήστε το προφίλ και εκτελέστε τέσσερις ελέγχους

Δημιουργήστε τη ρύθμιση πελάτη από την προβλεπόμενη πύλη αφού σταθεροποιηθεί ο συνδυασμός και εισαγάγετε την αναπαράσταση που τεκμηριώνεται για αυτόν τον πελάτη και τη μέθοδο. Ο γενικός φάκελος OpenVPN και το προφίλ XML του Azure VPN Client δεν είναι εναλλάξιμα. Αν η πύλη ενεργοποιεί σκόπιμα πολλούς τύπους ελέγχου ταυτότητας, επιλέξτε το αντίστοιχο προφίλ και τη διαδρομή διαπιστευτηρίων αντί να περιμένετε μία σύνδεση να τους ικανοποιήσει όλους. Στη συνέχεια εκτελέστε τους ελέγχους με αυτή τη σειρά:

• Ο υποστηριζόμενος πελάτης εισάγει το προφίλ που δημιουργήθηκε χωρίς επεξεργασία.
• Η προβλεπόμενη ταυτότητα ελέγχεται με τη μέθοδο που περιμένει αυτό το προφίλ.
• Η απαιτούμενη πολιτική δρομολόγησης και επίλυσης εμφανίζεται στον πελάτη.
• Η επιτρεπόμενη εφαρμογή φτάνει στον ιδιωτικό της πόρο.

Μια επιτυχημένη εισαγωγή δεν αποδεικνύει ούτε τη συμβατότητα ελέγχου ταυτότητας ούτε την εξουσιοδότηση για τον ιδιωτικό πόρο, γι' αυτό αυτοί οι τέσσερις έλεγχοι μένουν χωριστοί.