Azure P2S հաճախորդի նույնականացում՝ Entra, վկայական կամ RADIUS
Entra-ով մուտքը, հաճախորդի վկայականները և RADIUS-ը պահանջում են տարբեր Azure VPN հաճախորդներ և պրոֆիլներ։ Նախ ընտրեք մեթոդը, ապա հաճախորդը, ապա պրոֆիլը։
Տեղադրիչը աշխատում է, պրոֆիլը ներմուծվում է, և միացումը ձախողվում է մուտքի քայլում։ Այս դիմումների մեծ մասը հաճախորդի սխալ չէ. OpenVPN-համատեղելի հավելվածը կարող է կրել թունելը և միևնույն ժամանակ չիմանալ, թե ինչպես կատարել Microsoft Entra մուտք։ Շղթայից խուսափող կարգը մեթոդն է, ապա հաճախորդը, ապա պրոֆիլը։ Ընտրեք նույնականացման այն մեթոդը, որի համար կազմաձևված է դարպասը, ընտրեք հաճախորդ, որը Microsoft-ը փաստաթղթավորում է այդ մեթոդի համար, և միայն դրանից հետո ստեղծեք այն պրոֆիլը, որն ակնկալում է այդ հաճախորդը։ Ստորև ամեն ինչ հետևում է այդ կարգին։
Սկսեք մեթոդից, ոչ թե տեղադրիչից
Դարպասը կազմաձևված է մեկ կամ ավելի թունելի տեսակներով և նույնականացման մեթոդներով։ Այդ զույգը, ոչ թե ձեր աշխատասեղանին ընկած ֆայլի ընդլայնումը, որոշում է, թե որ հաճախորդներն են աջակցվում։
Գրեք զույգը նախքան որևէ բան ներբեռնելը, որովհետև աջակցության մատրիցը նեղ է, և սխալ սկիզբը արժենում է կես օր։
Ահա քարտեզագրումը, որը պահում եմ տեղակայման նշումներում՝
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Կարդացեք այդ աղյուսակը որպես սահմանափակում, ոչ որպես ընտրացանկ։ Յուրաքանչյուր տող փաստաթղթավորված համակցություն է, և մի տողի հաճախորդը մյուս տողի մեթոդի հետ խառնելը հենց այն սխալն է, որը կանխելու համար գոյություն ունի այս հոդվածը։
Entra ID նշանակում է OpenVPN գումարած Azure VPN Client
Կետից կայք Entra նույնականացման համար աջակցվող դասավորությունն օգտագործում է OpenVPN թունելի տեսակը և Azure VPN Client-ը։ Ընդհանուր օգտանուն-գաղտնաբառ երկխոսությունը այդ ինտեգրման փոխարինողը չէ, և Windows-ի ներկառուցված IKEv2-ը նույն մուտքը կատարելու փոխանակելի եղանակ չէ։ Եթե երրորդ կողմի հաճախորդն առաջարկում է Entra կամ Azure AD տարբերակ, ստուգեք այն Microsoft-ի ընթացիկ փաստաթղթերի, այլ ոչ թե պիտակի համաձայն։ Պիտակը մարքեթինգ է, իսկ փաստաթղթավորված համակցությունը՝ պայմանագիր։
macOS-ում նույնպես Azure VPN Client-ը այս մեթոդի փաստաթղթավորված ուղին է։
Վկայականները պահանջում են հաճախորդի հավատարմագրեր, ոչ միայն արմատ
Վկայականով նույնականացումը առանձին աջակցվող մոդել է, և այն աշխատում է Microsoft-ի փաստաթղթավորած OpenVPN հաճախորդների և աջակցվող հարթակներում Azure VPN Client-ի հետ։ Windows-ում Azure VPN Client-ը միայն Entra-ի համար չէ. այն ունի նաև վկայականի փաստաթղթավորված աշխատահոսք։ Դրան անհրաժեշտ է նախատեսված հաճախորդի վկայականը՝ օգտագործելի մասնավոր բանալիով, որին վստահում է դարպասը։ Դարպասի վստահելի արմատը հաճախորդի հավատարմագիր չէ, և թողարկողի ստորագրման բանալին երբեք չի պատկանում հաճախորդի փաթեթին։
Ստուգեք շղթան նախքան պրոֆիլի վրիպազերծումը։ Արմատի կողմից տրված վկայականը, որին դարպասը չի վստահում, առաջացնում է ձախողում, որը նման է վատ պրոֆիլի, բայց իրականում վստահության խնդիր է։
Պահեք մասնավոր բանալին չարտահանվող այնտեղ, որտեղ հարթակը թույլ է տալիս, և փորձարկեք ընթացիկ օգտվողի համար փաստացի տեղադրված վկայականով։
RADIUS-ը հետին պլանի ընտրություն է՝ իր իսկ համակցություններով
RADIUS-ը հավատարմագրերի որոշումը տեղափոխում է ձեր կողմից գործարկվող սերվեր, և այն փաստաթղթավորված է որոշակի թունելի տեսակներով և հաճախորդներով։ Այն ինքնաբերաբար ճիշտ պատասխան չէ միայն այն պատճառով, որ միջավայրում կան մի քանի օպերացիոն համակարգեր։ Որոշեք, թե իրական հաճախորդը ինչ կարող է ներկայացնել, նախքան դարպասի նույնականացման քաղաքականությունը փոխելը, որովհետև դարպասը RADIUS-ի անցնելը չի հարմարեցնում յուրաքանչյուր գոյություն ունեցող պրոֆիլ։ Հաճախորդը դեռ պետք է կարողանա պահանջել կամ տրամադրել այդ հավատարմագրերը։
Եթե խառը միջավայրն է պատճառը, լուծեք այն յուրաքանչյուր հարթակի համար, այլ ոչ թե թուլացնեք դարպասի քաղաքականությունը բոլորի համար։
Linux-ը 2026-ի նախադիտման դադարեցումից հետո
Microsoft-ի Linux-ի դադարեցման ուղեցույցը նշում է 2026 թվականի օգոստոսի 31-ը որպես Linux-ի Azure VPN Client նախադիտման դադարեցման ամսաթիվ, ուստի 2026 թվականի նոյեմբերից այդ նախադիտումն արդեն անցյալում է։ Գոյություն ունեցող տեղադրումները կարող են շարունակել աշխատել, բայց այլևս չեն ստանում աջակցություն, թարմացումներ կամ անվտանգության ուղղումներ։ Մի տարածեք հին Linux տեղադրիչը որպես աջակցվող նոր տեղակայում։ Սա հաճախորդի դադարեցում է, ոչ թե Azure VPN Gateway-ի կամ Windows-ի ու macOS-ի հաճախորդների դադարեցում։
Linux-ի փաստաթղթավորված այլընտրանքներն են վկայականով նույնականացում ունեցող OpenVPN հաճախորդը, կամ strongSwan-ը՝ IKEv2-ով և վկայականով կամ RADIUS-ով նույնականացմամբ։ Երկուսն էլ տարբեր կոնֆիգուրացիաներ են, որոնք պահանջում են կազմակերպական հաստատում, ոչ թե փոխարկում, որը ստացվում է հին Entra պրոֆիլը վերանվանելով։
Եթե Entra մուտքը պարտադիր է քաղաքականության պատճառներով, սեփականատերը պետք է ընտրի աջակցվող հարթակ կամ հաստատված այլընտրանքային ձևավորում։ Սա որոշում է, ոչ թե շրջանցում։
Ստեղծեք պրոֆիլը և կատարեք չորս ստուգում
Երբ համակցությունը որոշված է, ստեղծեք հաճախորդի կոնֆիգուրացիան նախատեսված դարպասից և ներմուծեք այդ հաճախորդի և մեթոդի համար փաստաթղթավորված ներկայացումը։ Ընդհանուր OpenVPN պանակը և Azure VPN Client-ի XML պրոֆիլը փոխանակելի չեն։ Եթե դարպասը դիտավորյալ միավորում է նույնականացման մի քանի տեսակ, ընտրեք համապատասխան պրոֆիլը և հավատարմագրերի ուղին, փոխարենը սպասելու, որ մեկ միացումը կբավարարի բոլորին։ Այնուհետև կատարեք ստուգումները այս հերթականությամբ՝
- Աջակցվող հաճախորդը ներմուծում է ստեղծված պրոֆիլը՝ առանց այն խմբագրելու։
- Նախատեսված ինքնությունը նույնականանում է այն մեթոդով, որն ակնկալում է այդ պրոֆիլը։
- Պահանջվող երթուղու և լուծիչի քաղաքականությունը հայտնվում է հաճախորդի վրա։
- Թույլատրված հավելվածը հասնում է իր մասնավոր ռեսուրսին։
Հաջող ներմուծումը չի ապացուցում ոչ նույնականացման համատեղելիությունը, ոչ էլ մասնավոր ռեսուրսի լիազորումը, այդ իսկ պատճառով այդ չորս ստուգումները մնում են առանձին։