Azure P2S kliendi autentimine: Entra, sertifikaat või RADIUS
Entra sisselogimine, kliendisertifikaadid ja RADIUS nõuavad erinevaid Azure VPN kliente ja profiile. Valige kõigepealt meetod, seejärel klient ja lõpuks profiil.
Paigaldaja töötab, profiil imporditakse ja ühendus ebaõnnestub sisselogimise sammul. Enamik neist juhtumitest ei ole kliendi viga: OpenVPN-iga ühilduv rakendus võib tunnelit kanda ja ikkagi mitte teada, kuidas teha Microsoft Entra sisselogimist. Järjekord, mis tsüklit väldib, on meetod, seejärel klient, seejärel profiil. Valige autentimismeetod, mille jaoks lüüs on seadistatud, valige klient, mille Microsoft selle meetodi jaoks dokumenteerib, ja alles siis looge profiil, mida see klient ootab. Kõik alljärgnev järgib seda järjekorda.
Alustage meetodist, mitte paigaldajast
Lüüs on seadistatud ühe või mitme tunnelitüübi ja autentimismeetodiga. Just see paar, mitte töölaual olev faililaiend, otsustab, milliseid kliente toetatakse.
Kirjutage paar üles enne, kui midagi alla laadite, sest toemassiiv on kitsas ja vale algus maksab ühe pärastlõuna.
Siin on vastendus, mida hoian juurutamise märkmetes:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Lugege seda tabelit piiranguna, mitte menüüna. Iga rida on dokumenteeritud kombinatsioon ja kliendi segamine ühest reast teise rea meetodiga on täpselt see viga, mille vältimiseks see artikkel on.
Entra ID tähendab OpenVPN-i pluss Azure VPN Client
Punkt-ühenduse Entra autentimiseks kasutab toetatud lahendus OpenVPN tunnelitüüpi ja Azure VPN Clienti. Üldine kasutajanime ja parooli dialoog ei asenda seda integratsiooni ning Windowsi natiivne IKEv2 ei ole sama sisselogimise tegemiseks vahetatav viis. Kui kolmanda osapoole klient pakub Entra või Azure AD valikut, kontrollige seda Microsofti praeguse dokumentatsiooni, mitte sildi järgi. Silt on turundus, dokumenteeritud kombinatsioon on aga leping.
MacOS-is on Azure VPN Client samuti selle meetodi dokumenteeritud tee.
Sertifikaadid vajavad kliendi mandaati, mitte ainult juurt
Sertifikaadi autentimine on eraldi toetatud mudel ja see töötab OpenVPN klientidega, mida Microsoft dokumenteerib, ning Azure VPN Clientiga toetatud platvormidel. Windowsis ei ole Azure VPN Client ainult Entra jaoks: sellel on ka dokumenteeritud sertifikaadi töövoog. Vaja on kavandatud kliendisertifikaati koos kasutatava privaatvõtmega, mida lüüs usaldab. Lüüsi usaldusjuur ei ole kliendi mandaat ja väljaandja allkirjastamisvõti ei kuulu kunagi kliendipaketti.
Kontrollige ahelat enne profiili silumist. Juure poolt välja antud sertifikaat, mida lüüs ei usalda, tekitab vea, mis näeb välja nagu halb profiil, kuid on tegelikult usalduse probleem.
Hoidke privaatvõti mitteeksporditavana, kui platvorm seda lubab, ja testige sertifikaadiga, mis on praegusele kasutajale tegelikult paigaldatud.
RADIUS on taustavalik oma kombinatsioonidega
RADIUS viib mandaadi otsuse serverisse, mida te ise haldate, ja see on dokumenteeritud konkreetsete tunnelitüüpide ja klientidega. See ei ole automaatselt õige vastus ainult seetõttu, et keskkonnas on mitu operatsioonisüsteemi. Tehke kindlaks, mida tegelik klient suudab esitada, enne kui muudate lüüsi autentimispoliitikat, sest lüüsi ümberlülitamine RADIUS-ele ei kohanda kõiki olemasolevaid profiile. Klient peab ikkagi suutma neid mandaate küsida või esitada.
Kui põhjuseks on segakeskkond, lahendage see platvormi kaupa, mitte nõrgestage lüüsi poliitikat kõigi jaoks.
Linux pärast 2026. aasta eelvaate lõpetamist
Microsofti Linuxi kasutusest kõrvaldamise juhised annavad Linuxi Azure VPN Clienti eelvaate lõppkuupäevaks 31. augusti 2026, seega alates 2026. aasta novembrist on see eelvaade seljataga. Olemasolevad paigaldused võivad edasi töötada, kuid ei saa enam tuge, värskendusi ega turbeparandusi. Ärge jagage vana Linuxi paigaldajat toetatud uue juurutusena. See on kliendi, mitte Azure VPN Gateway või Windowsi ja macOS-i klientide kasutusest kõrvaldamine.
Dokumenteeritud Linuxi alternatiivid on sertifikaadi autentimisega OpenVPN klient või strongSwan IKEv2-ga ning sertifikaadi või RADIUS-e autentimisega. Mõlemad on erinevad seadistused, mis vajavad organisatsiooni heakskiitu, mitte teisendust, mille saate vana Entra profiili ümbernimetamisega.
Kui Entra sisselogimine on poliitika tõttu kohustuslik, peab omanik valima toetatud platvormi või heakskiidetud alternatiivse lahenduse. See on otsus, mitte möödasõit.
Looge profiil ja tehke neli kontrolli
Kui kombinatsioon on kindlaks tehtud, looge kliendikonfiguratsioon kavandatud lüüsist ja importige selle kliendi ja meetodi jaoks dokumenteeritud esitus. Üldine OpenVPN kaust ja Azure VPN Clienti XML-profiil ei ole vahetatavad. Kui lüüs lubab teadlikult mitut autentimistüüpi, valige sobiv profiil ja mandaadi tee, selle asemel et oodata, et üks ühendus rahuldab kõiki. Seejärel tehke kontrollid selles järjekorras:
- Toetatud klient impordib loodud profiili ilma seda muutmata.
- Kavandatud identiteet autendib end meetodiga, mida see profiil ootab.
- Nõutav marsruudi- ja resolveripoliitika ilmub kliendile.
- Lubatud rakendus jõuab oma privaatse ressursini.
Edukas import ei tõesta ei autentimise ühilduvust ega privaatse ressursi autoriseerimist, seepärast jäävad need neli kontrolli eraldi.