Azure P2S -asiakasautentikointi: Entra, varmenne vai RADIUS
Entra-kirjautuminen, asiakasvarmenteet ja RADIUS vaativat eri Azure VPN -asiakkaat ja -profiilit. Valitse ensin menetelmä, sitten asiakas ja lopuksi profiili.
Asennusohjelma käynnistyy, profiili tuodaan ja yhteys epäonnistuu kirjautumisvaiheessa. Useimmat näistä tiketeistä eivät ole asiakasohjelman virhe: OpenVPN-yhteensopiva sovellus voi kuljettaa tunnelia ja silti olla tietämättä, miten Microsoft Entra -kirjautuminen tehdään. Järjestys, joka välttää silmukan, on menetelmä, sitten asiakas, sitten profiili. Valitse autentikointimenetelmä, jota varten yhdyskäytävä on määritetty, valitse asiakasohjelma, jonka Microsoft dokumentoi kyseiselle menetelmälle, ja vasta sitten luo profiili, jota kyseinen asiakasohjelma odottaa. Kaikki alla noudattaa tätä järjestystä.
Aloita menetelmästä, älä asennusohjelmasta
Yhdyskäytävä on määritetty yhdellä tai useammalla tunnelityypillä ja autentikointimenetelmällä. Tämä pari, ei työpöydällä oleva tiedostopääte, ratkaisee, mitä asiakkaita tuetaan.
Kirjoita pari muistiin ennen kuin lataat mitään, sillä tukimatriisi on kapea ja väärä alku maksaa yhden iltapäivän.
Tässä on yhdistäminen, jota pidän käyttöönottomuistiinpanoissa:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Lue taulukkoa rajoituksena, älä valikkona. Jokainen rivi on dokumentoitu yhdistelmä, ja asiakasohjelman sekoittaminen yhdeltä riviltä toisen rivin menetelmään on täsmälleen se virhe, jonka estämiseksi tämä artikkeli on olemassa.
Entra ID tarkoittaa OpenVPN:tä ja Azure VPN Clientiä
Pisteestä sivustoon -yhteyden Entra-autentikoinnissa tuettu järjestely käyttää OpenVPN-tunnelityyppiä ja Azure VPN Clientiä. Yleinen käyttäjätunnus- ja salasanavalinta ei korvaa tätä integraatiota, eikä Windowsin natiivi IKEv2 ole vaihdettavissa oleva tapa tehdä sama kirjautuminen. Jos kolmannen osapuolen asiakasohjelma tarjoaa Entra- tai Azure AD -vaihtoehdon, varmista se Microsoftin nykyisestä dokumentaatiosta, älä merkinnästä. Merkintä on markkinointia, mutta dokumentoitu yhdistelmä on sopimus.
macOS:ssä Azure VPN Client on myös tämän menetelmän dokumentoitu polku.
Varmenteet tarvitsevat asiakastunnuksen, eivät vain juurta
Varmenneautentikointi on erillinen tuettu malli, ja se toimii Microsoftin dokumentoimien OpenVPN-asiakasohjelmien kanssa sekä Azure VPN Clientin kanssa tuetuilla alustoilla. Windowsissa Azure VPN Client ei ole vain Entraa varten: siinä on myös dokumentoitu varmennetyönkulku. Se tarvitsee aiotun asiakasvarmenteen, jossa on käyttökelpoinen yksityinen avain ja johon yhdyskäytävä luottaa. Yhdyskäytävän luotettu juuri ei ole asiakastunnus, eikä myöntäjän allekirjoitusavain koskaan kuulu asiakaspakettiin.
Tarkista ketju ennen kuin selvität profiilia. Juuresta, johon yhdyskäytävä ei luota, myönnetty varmenne tuottaa virheen, joka näyttää huonolta profiililta mutta on todellisuudessa luottamusongelma.
Pidä yksityinen avain ei-vietävänä, jos alusta sen sallii, ja testaa varmenteella, joka on todella asennettu nykyiselle käyttäjälle.
RADIUS on taustavalinta omine yhdistelmineen
RADIUS siirtää tunnusten päätöksen palvelimelle, jota itse ylläpidät, ja se on dokumentoitu tietyille tunnelityypeille ja asiakkaille. Se ei ole automaattisesti oikea vastaus vain siksi, että ympäristössä on useita käyttöjärjestelmiä. Selvitä, mitä todellinen asiakasohjelma voi esittää, ennen kuin muutat yhdyskäytävän autentikointikäytäntöä, sillä yhdyskäytävän vaihtaminen RADIUSiin ei mukauta kaikkia olemassa olevia profiileja. Asiakasohjelman on edelleen pystyttävä pyytämään tai toimittamaan ne tunnukset.
Jos syynä on sekaympäristö, ratkaise se alustakohtaisesti sen sijaan, että heikennät yhdyskäytävän käytäntöä kaikille.
Linux 2026 esikatselun poistamisen jälkeen
Microsoftin Linuxin poistamista koskeva ohjeistus antaa Linuxin Azure VPN Client -esikatselun poistopäiväksi 31. elokuuta 2026, joten marraskuusta 2026 alkaen esikatselu on takanasi. Nykyiset asennukset voivat jatkaa toimintaansa, mutta ne eivät enää saa tukea, päivityksiä tai tietoturvakorjauksia. Älä jaa vanhaa Linux-asennusohjelmaa tuettuna uutena käyttöönottona. Tämä on asiakasohjelman, ei Azure VPN Gatewayn tai Windows- ja macOS-asiakasohjelmien poistaminen.
Dokumentoidut Linux-vaihtoehdot ovat OpenVPN-asiakasohjelma varmenneautentikoinnilla tai strongSwan IKEv2:lla ja varmenne- tai RADIUS-autentikoinnilla. Molemmat ovat erilaisia kokoonpanoja, jotka vaativat organisaation hyväksynnän, eivät muunnos, jonka saa nimeämällä vanhan Entra-profiilin uudelleen.
Jos Entra-kirjautuminen on pakollinen käytäntösyistä, omistajan on valittava tuettu alusta tai hyväksytty vaihtoehtoinen suunnittelu. Se on päätös, ei kiertotie.
Luo profiili ja tee neljä tarkistusta
Luo asiakasohjelman kokoonpano aiotusta yhdyskäytävästä, kun yhdistelmä on selvä, ja tuo kyseiselle asiakkaalle ja menetelmälle dokumentoitu esitys. Yleinen OpenVPN-kansio ja Azure VPN Clientin XML-profiili eivät ole vaihdettavissa. Jos yhdyskäytävä ottaa tarkoituksella käyttöön useita autentikointityyppejä, valitse vastaava profiili ja tunnuspolku sen sijaan, että odottaisit yhden yhteyden täyttävän kaikki. Tee sitten tarkistukset tässä järjestyksessä:
- Tuettu asiakasohjelma tuo luodun profiilin muokkaamatta sitä.
- Aiottu identiteetti autentikoituu menetelmällä, jota profiili odottaa.
- Vaadittu reitti- ja resolverikäytäntö näkyy asiakasohjelmassa.
- Sallittu sovellus tavoittaa yksityisen resurssinsa.
Onnistunut tuonti ei todista autentikoinnin yhteensopivuutta eikä yksityisen resurssin valtuutusta, siksi nuo neljä tarkistusta pysyvät erillään.