Azure P2S-klientautentikaasje: Entra, sertifikaat of RADIUS
Entra-oanmelding, kliïntsertifikaten en RADIUS freegje ferskate Azure VPN-kliïnten en -profylen. Kies de metoade, dan de kliïnt, dan it profyl.
It ynstallaasjeprogramma rint, it profyl wurdt ymportearre, en de ferbining mislearret by de oanmeldstap. De measte fan dizze tickets binne gjin bug yn de kliïnt: in OpenVPN-kompatibele applikaasje kin de tunnel drage en dochs net witte hoe't in Microsoft Entra-oanmelding dien wurdt. De folchoarder dy't de lus foarkomt is metoade, dan kliïnt, dan profyl. Kies de autentikaasjemetoade dêr't de gateway foar konfigurearre is, kies in kliïnt dy't Microsoft foar dy metoade dokumintearret, en meitsje pas dêrnei it profyl dat dy kliïnt ferwachtet. Alles hjirûnder folget dy folchoarder.
Begjin by de metoade, net by it ynstallaasjeprogramma
De gateway is konfigurearre mei ien of mear tunneltypen en autentikaasjemetoaden. Dat pear, net de bestânsútwreiding op jo buroblêd, beslút hokker kliïnten stipe wurde.
Skriuw it pear op foardat jo wat downloade, want de stipe-matrix is smel en in ferkearde start kostet in middei.
Hjir is de mapping dy't ik yn de útrôlnotysjes hâld:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Lês dy tabel as in beheining, net as in menu. Eltse rige is in dokumintearre kombinaasje, en in kliïnt fan ien rige mingen mei de metoade fan in oare is krekt de flater dy't dit artikel foarkomme wol.
Entra ID betsjut OpenVPN plus Azure VPN Client
Foar Entra-autentikaasje op punt-nei-site brûkt de stipe opstelling it OpenVPN-tunneltype en de Azure VPN Client. In algemiene dialooch foar brûkersnamme en wachtwurd ferfangt dy yntegraasje net, en de native IKEv2 fan Windows is gjin útwikselbere manier om deselde oanmelding te dwaan. As in kliïnt fan tredden in Entra- as Azure AD-opsje biedt, kontrolearje dy dan tsjin de aktuele dokumintaasje fan Microsoft, net tsjin it label. It label is marketing, wylst de dokumintearre kombinaasje it kontrakt is.
Op macOS is de Azure VPN Client ek it dokumintearre paad foar dizze metoade.
Sertifikaten freegje in kliïntbegryp, net allinnich in woartel
Sertifikaatautentikaasje is in apart stipe model, en it wurket mei OpenVPN-kliïnten dy't Microsoft dokumintearret en mei de Azure VPN Client op stipe platfoarms. Op Windows is de Azure VPN Client net allinnich foar Entra: hy hat ek in dokumintearre sertifikaatwurkstream. Wat er nedich hat, is it bedoelde kliïntsertifikaat mei in brûkbere priveesleutel, dêr't de gateway op fertrout. De fertroude woartel fan de gateway is gjin kliïntbegryp, en de ûndertekeningssleutel fan de útjouwer heart nea yn in kliïntpakket.
Kontrolearje de ketting foardat jo it profyl debugge. In sertifikaat útjûn troch in woartel dêr't de gateway net op fertrout, jout in flater dy't op in min profyl liket en eins in fertrouwensprobleem is.
Hâld de priveesleutel net-eksportearber wêr't it platfoarm it tastean, en test mei it sertifikaat dat eins foar de hjoeddeiske brûker ynstallearre is.
RADIUS is in backend-kar mei eigen kombinaasjes
RADIUS ferpleatst de beslissing oer begripen nei in tsjinner dy't jo sels beheare, en it is dokumintearre mei spesifike tunneltypen en kliïnten. It is net automatysk it juste antwurd om't it lânskip ferskate bestjoeringssystemen hat. Stel fêst wat de echte kliïnt presintearje kin foardat jo it autentikaasjebelied fan de gateway feroarje, want de gateway omskeakelje nei RADIUS past net elk besteand profyl oan. De kliïnt moat noch hieltyd dy begripen freegje of leverje kinne.
As in mingd lânskip de oanlieding is, los it dan per platfoarm op ynstee fan it gatewaybelied foar elkenien te ferswakjen.
Linux nei de útfasearring fan de 2026-foarbyldferzje
De rjochtline fan Microsoft oer de útfasearring fan Linux jout 31 augustus 2026 as de útfasearringsdatum foar de Linux-foarbyldferzje fan de Azure VPN Client, dus fan novimber 2026 ôf leit dy foarbyldferzje efter jo. Besteande ynstallaasjes kinne trochwurkje, mar se krije gjin stipe, fernijingen of feiligensreparaasjes mear. Jou gjin âld Linux-ynstallaasjeprogramma út as in stipe nije útrôl. Dit is in útfasearring fan in kliïnt, net fan Azure VPN Gateway of fan de Windows- en macOS-kliïnten.
De dokumintearre Linux-alternativen binne in OpenVPN-kliïnt mei sertifikaatautentikaasje, of strongSwan mei IKEv2 en sertifikaat- of RADIUS-autentikaasje. Beide binne oare konfiguraasjes dy't organisaasjegoedkarring nedich hawwe, net in konverzje dy't jo krije troch it âlde Entra-profyl te werneamen.
As Entra-oanmelding om beliedsredenen ferplichte is, moat de eigner in stipe platfoarm of in goedkard alternatyf ûntwerp kieze. Dat is in beslissing, gjin omwei.
Meitsje it profyl en doch fjouwer kontrôles
Meitsje de kliïntkonfiguraasje fan de bedoelde gateway sadree't de kombinaasje fêststiet, en ymportearje de presintaasje dy't dokumintearre is foar dy kliïnt en metoade. De algemiene OpenVPN-map en it XML-profyl fan de Azure VPN Client binne net útwikselber. As de gateway bewust ferskate autentikaasjetypen ynskeakelje, kies dan it byhearrende profyl en begrypspaad ynstee fan te ferwachtsjen dat ien ferbining se allegear foldocht. Doch dan de kontrôles yn dizze folchoarder:
- De stipe kliïnt ymportearret it makke profyl sûnder it te bewurkjen.
- De bedoelde identiteit autentisearret mei de metoade dy't dat profyl ferwachtet.
- It fereaske rûte- en resolverbebelied ferskynt op de kliïnt.
- De tastiene applikaasje berikt syn privee boarne.
In suksesfolle ymport bewiist noch autentikaasjekompatibiliteit noch autorisaasje foar de privee boarne, dêrom bliuwe dy fjouwer kontrôles apart.