Autentikacija klijenta Azure P2S: Entra, certifikat ili RADIUS
Prijava putem Entra, klijentski certifikati i RADIUS traže različite Azure VPN klijente i profile. Odaberite metodu, zatim klijenta, pa profil.
Instalacijski program se pokrene, profil se uveze, a veza padne na koraku prijave. Većina tih prijava nije greška u klijentu: aplikacija kompatibilna s OpenVPN-om može prenositi tunel i pritom ne znati kako izvesti prijavu na Microsoft Entra. Redoslijed koji izbjegava petlju jest metoda, zatim klijent, pa profil. Odaberite metodu autentikacije za koju je pristupnik konfiguriran, odaberite klijenta koji Microsoft dokumentira za tu metodu i tek onda generirajte profil koji taj klijent očekuje. Sve u nastavku slijedi taj redoslijed.
Počnite od metode, ne od instalacijskog programa
Pristupnik je konfiguriran s jednim ili više tipova tunela i metoda autentikacije. Taj par, a ne nastavak datoteke na radnoj površini, odlučuje koji su klijenti podržani.
Zapišite par prije nego što bilo što preuzmete, jer je matrica podrške uska, a pogrešan početak stoji jedno poslijepodne.
Ovo je preslikavanje koje držim u bilješkama o implementaciji:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Čitajte tu tablicu kao ograničenje, ne kao izbornik. Svaki redak je dokumentirana kombinacija, a miješanje klijenta iz jednog retka s metodom iz drugoga upravo je pogreška koju ovaj članak treba spriječiti.
Entra ID znači OpenVPN plus Azure VPN Client
Za Entra autentikaciju na vezi od točke do lokacije podržani raspored koristi tip tunela OpenVPN i Azure VPN Client. Uobičajeni dijalog za korisničko ime i zaporku nije zamjena za tu integraciju, a ugrađeni IKEv2 u Windowsima nije zamjenjiv način za istu prijavu. Ako klijent treće strane nudi opciju Entra ili Azure AD, provjerite je prema trenutačnoj Microsoftovoj dokumentaciji, a ne prema oznaci. Oznaka je marketing, dok je dokumentirana kombinacija ugovor.
Na macOS-u je Azure VPN Client također dokumentirani put za ovu metodu.
Certifikati traže klijentsko vjerodajnicu, ne samo korijen
Autentikacija certifikatom zaseban je podržani model i radi s OpenVPN klijentima koje Microsoft dokumentira te s Azure VPN Clientom na podržanim platformama. Na Windowsima Azure VPN Client nije samo za Entra: ima i dokumentirani tijek rada s certifikatima. Potreban mu je predviđeni klijentski certifikat s upotrebljivim privatnim ključem, kojemu pristupnik vjeruje. Pristupnikov pouzdani korijen nije klijentska vjerodajnica, a izdavateljev ključ za potpisivanje nikada ne pripada klijentskom paketu.
Provjerite lanac prije nego što počnete otklanjati pogreške u profilu. Certifikat koji je izdao korijen kojemu pristupnik ne vjeruje daje kvar koji izgleda kao loš profil, a zapravo je problem povjerenja.
Držite privatni ključ neizvozivim gdje platforma to dopušta i testirajte s certifikatom koji je stvarno instaliran za trenutačnog korisnika.
RADIUS je izbor pozadinskog sustava s vlastitim kombinacijama
RADIUS premješta odluku o vjerodajnicama na poslužitelj koji sami vodite i dokumentiran je s određenim tipovima tunela i klijentima. Nije automatski ispravan odgovor samo zato što okruženje ima nekoliko operacijskih sustava. Utvrdite što stvarni klijent može predočiti prije nego što promijenite politiku autentikacije pristupnika, jer prebacivanje pristupnika na RADIUS ne prilagođava svaki postojeći profil. Klijent i dalje mora moći zatražiti ili dostaviti te vjerodajnice.
Ako je razlog miješano okruženje, riješite to po platformama umjesto da oslabite politiku pristupnika za sve.
Linux nakon ukidanja pregleda u 2026.
Microsoftove smjernice za ukidanje Linuxa navode 31. kolovoza 2026. kao datum ukidanja pregleda Azure VPN Clienta za Linux, pa je od studenoga 2026. taj pregled iza vas. Postojeće instalacije mogu nastaviti raditi, ali više ne dobivaju podršku, ažuriranja ni sigurnosne ispravke. Ne dijelite stari Linux instalacijski program kao podržanu novu implementaciju. Ovo je ukidanje klijenta, a ne Azure VPN Gatewaya ni klijenata za Windows i macOS.
Dokumentirane Linux alternative su OpenVPN klijent s autentikacijom certifikatom ili strongSwan s IKEv2 i autentikacijom certifikatom ili RADIUS-om. Obje su drukčije konfiguracije koje trebaju organizacijsko odobrenje, a ne pretvorba koju dobijete preimenovanjem starog Entra profila.
Ako je prijava putem Entra obavezna iz političkih razloga, vlasnik mora odabrati podržanu platformu ili odobren alternativni dizajn. To je odluka, a ne zaobilazno rješenje.
Generirajte profil i provedite četiri provjere
Generirajte konfiguraciju klijenta s predviđenog pristupnika kad je kombinacija utvrđena i uvezite prikaz dokumentiran za taj klijent i metodu. Opća OpenVPN mapa i XML profil Azure VPN Clienta nisu zamjenjivi. Ako pristupnik namjerno omogućuje nekoliko tipova autentikacije, odaberite odgovarajući profil i put vjerodajnica umjesto da očekujete da će jedna veza zadovoljiti sve. Zatim provedite provjere ovim redoslijedom:
- Podržani klijent uvozi generirani profil bez uređivanja.
- Predviđeni identitet autentificira se metodom koju taj profil očekuje.
- Potrebna politika usmjeravanja i razrješivača pojavljuje se na klijentu.
- Dopuštena aplikacija doseže svoj privatni resurs.
Uspješan uvoz ne dokazuje ni kompatibilnost autentikacije ni autorizaciju privatnog resursa, zato te četiri provjere ostaju odvojene.