Azure P2S क्लाइंट प्रमाणीकरण: Entra, प्रमाणपत्र या RADIUS
Entra साइन-इन, क्लाइंट प्रमाणपत्र और RADIUS के लिए अलग Azure VPN क्लाइंट और प्रोफ़ाइल चाहिए। पहले तरीका, फिर क्लाइंट, फिर प्रोफ़ाइल चुनें।
इंस्टॉलर चलता है, प्रोफ़ाइल आयात होती है, और साइन-इन चरण पर कनेक्शन विफल हो जाता है। इनमें से ज़्यादातर टिकट क्लाइंट में बग नहीं हैं: OpenVPN-संगत एप्लिकेशन टनल ले जा सकता है और फिर भी Microsoft Entra साइन-इन करना नहीं जानता। लूप से बचने का क्रम तरीका, फिर क्लाइंट, फिर प्रोफ़ाइल है। वह प्रमाणीकरण विधि चुनें जिसके लिए गेटवे कॉन्फ़िगर है, उस विधि के लिए Microsoft जिस क्लाइंट का दस्तावेज़ीकरण करता है उसे चुनें, और उसके बाद ही वह प्रोफ़ाइल बनाएं जिसकी वह क्लाइंट अपेक्षा करता है। नीचे सब कुछ इसी क्रम का पालन करता है।
इंस्टॉलर से नहीं, तरीके से शुरू करें
गेटवे एक या अधिक टनल प्रकारों और प्रमाणीकरण विधियों के साथ कॉन्फ़िगर है। यह जोड़ी, न कि आपके डेस्कटॉप पर पड़ी फ़ाइल का एक्सटेंशन, तय करती है कि कौन से क्लाइंट समर्थित हैं।
कुछ भी डाउनलोड करने से पहले जोड़ी लिख लें, क्योंकि समर्थन मैट्रिक्स संकीर्ण है और गलत शुरुआत में एक दोपहर जाती है।
यह वह मैपिंग है जो मैं डिप्लॉयमेंट नोट्स में रखता हूँ:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
इस तालिका को मेन्यू नहीं, बाधा के रूप में पढ़ें। हर पंक्ति एक दस्तावेज़ीकृत संयोजन है, और एक पंक्ति के क्लाइंट को दूसरी पंक्ति की विधि के साथ मिलाना ठीक वही गलती है जिसे रोकने के लिए यह लेख है।
Entra ID का अर्थ है OpenVPN और Azure VPN Client
पॉइंट-टू-साइट पर Entra प्रमाणीकरण के लिए समर्थित व्यवस्था OpenVPN टनल प्रकार और Azure VPN Client का उपयोग करती है। सामान्य उपयोगकर्ता नाम और पासवर्ड संवाद उस एकीकरण का विकल्प नहीं है, और Windows का मूल IKEv2 वही लॉगिन करने का विनिमेय तरीका नहीं है। अगर कोई तीसरे पक्ष का क्लाइंट Entra या Azure AD विकल्प देता है, तो उसे लेबल के बजाय Microsoft के मौजूदा दस्तावेज़ों के सामने जाँचें। लेबल मार्केटिंग है, जबकि दस्तावेज़ीकृत संयोजन अनुबंध है।
macOS पर भी Azure VPN Client इस विधि का दस्तावेज़ीकृत मार्ग है।
प्रमाणपत्रों को क्लाइंट क्रेडेंशियल चाहिए, सिर्फ़ रूट नहीं
प्रमाणपत्र प्रमाणीकरण एक अलग समर्थित मॉडल है, और यह उन OpenVPN क्लाइंट के साथ काम करता है जिनका Microsoft दस्तावेज़ीकरण करता है और समर्थित प्लेटफ़ॉर्म पर Azure VPN Client के साथ भी। Windows पर Azure VPN Client केवल Entra के लिए नहीं है: इसका एक दस्तावेज़ीकृत प्रमाणपत्र वर्कफ़्लो भी है। इसे जिसकी ज़रूरत है वह है इच्छित क्लाइंट प्रमाणपत्र, उपयोगी निजी कुंजी के साथ, जिस पर गेटवे भरोसा करता है। गेटवे का विश्वसनीय रूट क्लाइंट क्रेडेंशियल नहीं है, और जारीकर्ता की हस्ताक्षर कुंजी कभी क्लाइंट पैकेज में नहीं होती।
प्रोफ़ाइल डीबग करने से पहले श्रृंखला जाँचें। जिस रूट पर गेटवे भरोसा नहीं करता, उससे जारी प्रमाणपत्र ऐसी विफलता देता है जो खराब प्रोफ़ाइल जैसी दिखती है और असल में भरोसे की समस्या है।
जहाँ प्लेटफ़ॉर्म अनुमति दे वहाँ निजी कुंजी को निर्यात-अयोग्य रखें, और वर्तमान उपयोगकर्ता के लिए वास्तव में स्थापित प्रमाणपत्र से परीक्षण करें।
RADIUS अपने स्वयं के संयोजनों वाला एक बैकएंड विकल्प है
RADIUS क्रेडेंशियल का निर्णय उस सर्वर पर ले जाता है जिसे आप चलाते हैं, और यह विशिष्ट टनल प्रकारों और क्लाइंट के साथ दस्तावेज़ीकृत है। यह अपने आप सही उत्तर नहीं है क्योंकि परिवेश में कई ऑपरेटिंग सिस्टम हैं। गेटवे की प्रमाणीकरण नीति बदलने से पहले तय करें कि असल क्लाइंट क्या प्रस्तुत कर सकता है, क्योंकि गेटवे को RADIUS पर बदलने से हर मौजूदा प्रोफ़ाइल नहीं ढलती। क्लाइंट को अब भी वे क्रेडेंशियल माँगने या देने में सक्षम होना चाहिए।
अगर मिश्रित परिवेश कारण है, तो सभी के लिए गेटवे नीति कमज़ोर करने के बजाय इसे हर प्लेटफ़ॉर्म पर हल करें।
2026 प्रीव्यू सेवानिवृत्ति के बाद Linux
Microsoft का Linux सेवानिवृत्ति मार्गदर्शन Linux Azure VPN Client प्रीव्यू की सेवानिवृत्ति तिथि 31 अगस्त 2026 देता है, इसलिए नवंबर 2026 से वह प्रीव्यू आपके पीछे है। मौजूदा इंस्टॉलेशन काम करते रह सकते हैं, लेकिन उन्हें अब समर्थन, अपडेट या सुरक्षा सुधार नहीं मिलते। पुराने Linux इंस्टॉलर को समर्थित नए डिप्लॉयमेंट के रूप में न बाँटें। यह क्लाइंट की सेवानिवृत्ति है, Azure VPN Gateway या Windows और macOS क्लाइंट की नहीं।
दस्तावेज़ीकृत Linux विकल्प हैं प्रमाणपत्र प्रमाणीकरण वाला OpenVPN क्लाइंट, या IKEv2 और प्रमाणपत्र या RADIUS प्रमाणीकरण वाला strongSwan। दोनों अलग कॉन्फ़िगरेशन हैं जिनके लिए संगठनात्मक स्वीकृति चाहिए, पुरानी Entra प्रोफ़ाइल का नाम बदलकर मिलने वाला रूपांतरण नहीं।
अगर नीतिगत कारणों से Entra साइन-इन अनिवार्य है, तो मालिक को समर्थित प्लेटफ़ॉर्म या स्वीकृत वैकल्पिक डिज़ाइन चुनना होगा। यह निर्णय है, कोई बहाना नहीं।
प्रोफ़ाइल बनाएं और चार जाँचें करें
संयोजन तय होने पर इच्छित गेटवे से क्लाइंट कॉन्फ़िगरेशन बनाएं, और उस क्लाइंट और विधि के लिए दस्तावेज़ीकृत प्रस्तुति आयात करें। सामान्य OpenVPN फ़ोल्डर और Azure VPN Client XML प्रोफ़ाइल विनिमेय नहीं हैं। अगर गेटवे जानबूझकर कई प्रमाणीकरण प्रकार सक्षम करता है, तो एक कनेक्शन सभी को संतुष्ट करेगा यह अपेक्षा करने के बजाय मेल खाती प्रोफ़ाइल और क्रेडेंशियल पथ चुनें। फिर इस क्रम में जाँचें करें:
- समर्थित क्लाइंट बनाई गई प्रोफ़ाइल को बिना संपादित किए आयात करता है।
- इच्छित पहचान उस विधि से प्रमाणित होती है जिसकी वह प्रोफ़ाइल अपेक्षा करती है।
- आवश्यक रूट और रिज़ॉल्वर नीति क्लाइंट पर दिखाई देती है।
- अनुमत एप्लिकेशन अपने निजी संसाधन तक पहुँचता है।
सफल आयात न प्रमाणीकरण की अनुकूलता साबित करता है न निजी संसाधन का प्राधिकरण, इसलिए वे चार जाँचें अलग रहती हैं।