Azure P2S-ügyfélhitelesítés: Entra, tanúsítvány vagy RADIUS
Az Entra-bejelentkezés, az ügyféltanúsítványok és a RADIUS különböző Azure VPN-ügyfeleket és -profilokat igényel. Először a módszert, majd az ügyfelet, végül a profilt válassza.
A telepítő lefut, a profil importálódik, és a kapcsolat a bejelentkezési lépésnél meghiúsul. E jegyek többsége nem az ügyfél hibája: egy OpenVPN-kompatibilis alkalmazás szállíthatja az alagutat, és mégsem tudja, hogyan kell Microsoft Entra-bejelentkezést végrehajtani. A hurkot elkerülő sorrend: módszer, majd ügyfél, majd profil. Válassza ki a hitelesítési módszert, amelyre az átjáró konfigurálva van, válasszon egy ügyfelet, amelyet a Microsoft dokumentál ehhez a módszerhez, és csak ezután állítsa elő azt a profilt, amelyet az az ügyfél elvár. Az alábbiak mindezt a sorrendet követik.
A módszerrel kezdje, ne a telepítővel
Az átjáró egy vagy több alagúttípussal és hitelesítési módszerrel van konfigurálva. Ez a pár, nem az asztalon lévő fájl kiterjesztése dönti el, mely ügyfelek támogatottak.
Írja fel a párt, mielőtt bármit letöltene, mert a támogatási mátrix szűk, és egy rossz kezdet egy délutánba kerül.
Íme a leképezés, amelyet az üzembe helyezési jegyzetekben tartok:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Ezt a táblázatot korlátozásként olvassa, nem menüként. Minden sor dokumentált kombináció, és egy ügyfél keverése az egyik sorból egy másik sor módszerével pontosan az a hiba, amelynek megelőzésére ez a cikk született.
Az Entra ID OpenVPN-t és Azure VPN Clientet jelent
A pont–hely Entra-hitelesítéshez a támogatott elrendezés az OpenVPN alagúttípust és az Azure VPN Clientet használja. Az általános felhasználónév- és jelszó-párbeszédpanel nem helyettesíti ezt az integrációt, és a Windows natív IKEv2-je nem felcserélhető mód ugyanazon bejelentkezés végrehajtására. Ha egy harmadik féltől származó ügyfél Entra- vagy Azure AD-lehetőséget kínál, ellenőrizze a Microsoft jelenlegi dokumentációja alapján, ne a címke alapján. A címke marketing, míg a dokumentált kombináció a szerződés.
macOS-en az Azure VPN Client szintén a dokumentált útvonal ehhez a módszerhez.
A tanúsítványokhoz ügyfél-hitelesítő adat kell, nem csak egy gyökér
A tanúsítványos hitelesítés külön támogatott modell, és működik a Microsoft által dokumentált OpenVPN-ügyfelekkel, valamint az Azure VPN Clienttel a támogatott platformokon. Windows alatt az Azure VPN Client nem csak Entrához való: dokumentált tanúsítvány-munkafolyamata is van. Amire szüksége van, az a szándékolt ügyféltanúsítvány használható privát kulccsal, amelyben az átjáró megbízik. Az átjáró megbízható gyökere nem ügyfél-hitelesítő adat, és a kibocsátó aláírókulcsa soha nem tartozik ügyfélcsomagba.
Ellenőrizze a láncot, mielőtt hibakeresést végez a profilon. Egy olyan gyökér által kiadott tanúsítvány, amelyben az átjáró nem bízik, olyan hibát okoz, amely rossz profilnak látszik, valójában azonban bizalmi probléma.
Tartsa a privát kulcsot nem exportálhatónak, ahol a platform engedi, és a jelenlegi felhasználóhoz ténylegesen telepített tanúsítvánnyal teszteljen.
A RADIUS saját kombinációkkal rendelkező háttérválasztás
A RADIUS a hitelesítő adatok döntését egy Ön által üzemeltetett kiszolgálóra helyezi, és meghatározott alagúttípusokkal és ügyfelekkel dokumentált. Nem automatikusan a helyes válasz csak azért, mert a környezetben több operációs rendszer van. Határozza meg, mit tud a tényleges ügyfél bemutatni, mielőtt módosítja az átjáró hitelesítési szabályzatát, mert az átjáró RADIUS-ra állítása nem igazít minden meglévő profilhoz. Az ügyfélnek továbbra is kérnie vagy szolgáltatnia kell tudnia azokat a hitelesítő adatokat.
Ha a vegyes környezet az ok, platformonként oldja meg, ahelyett hogy mindenki számára gyengítené az átjáró szabályzatát.
Linux a 2026-os előzetes visszavonása után
A Microsoft Linux visszavonásáról szóló útmutatása 2026. augusztus 31-ét jelöli meg a Linux Azure VPN Client előzetes visszavonási dátumaként, így 2026 novemberétől ez az előzetes már mögöttünk van. A meglévő telepítések tovább működhetnek, de már nem kapnak támogatást, frissítéseket vagy biztonsági javításokat. Ne osszon ki régi Linux-telepítőt támogatott új üzembe helyezésként. Ez egy ügyfél visszavonása, nem az Azure VPN Gateway vagy a Windows és macOS ügyfelek visszavonása.
A dokumentált Linux-alternatívák: OpenVPN-ügyfél tanúsítványos hitelesítéssel, vagy strongSwan IKEv2-vel és tanúsítványos vagy RADIUS-hitelesítéssel. Mindkettő más konfiguráció, amely szervezeti jóváhagyást igényel, nem pedig olyan átalakítás, amelyet a régi Entra-profil átnevezésével kap.
Ha az Entra-bejelentkezés szabályzati okokból kötelező, a tulajdonosnak támogatott platformot vagy jóváhagyott alternatív tervet kell választania. Ez döntés, nem megkerülés.
Állítsa elő a profilt, és végezzen négy ellenőrzést
Miután a kombináció eldőlt, állítsa elő az ügyfélkonfigurációt a szándékolt átjáróból, és importálja az adott ügyfélhez és módszerhez dokumentált reprezentációt. Az általános OpenVPN-mappa és az Azure VPN Client XML-profilja nem felcserélhető. Ha az átjáró szándékosan több hitelesítési típust engedélyez, válassza a megfelelő profilt és hitelesítő adat útvonalat, ahelyett hogy egyetlen kapcsolattól várná mindegyik kielégítését. Ezután végezze el az ellenőrzéseket ebben a sorrendben:
- A támogatott ügyfél a létrehozott profilt szerkesztés nélkül importálja.
- A szándékolt identitás azzal a módszerrel hitelesít, amelyet a profil elvár.
- A szükséges útvonal- és feloldószabályzat megjelenik az ügyfélen.
- Az engedélyezett alkalmazás eléri a privát erőforrását.
A sikeres importálás sem a hitelesítés kompatibilitását, sem a privát erőforrás engedélyezését nem bizonyítja, ezért marad a négy ellenőrzés külön.