Autentikasi klien P2S Azure: Entra, sertifikat, atau RADIUS
Login Entra, sertifikat klien, dan RADIUS memerlukan klien serta profil Azure VPN yang berbeda. Pilih metode, lalu klien, lalu profil.
Program penginstal berjalan, profil diimpor, dan koneksi gagal pada langkah masuk. Sebagian besar tiket ini bukan bug pada klien: aplikasi yang kompatibel dengan OpenVPN dapat membawa terowongan dan tetap tidak tahu cara melakukan login Microsoft Entra. Urutan yang menghindari lingkaran adalah metode, lalu klien, lalu profil. Pilih metode autentikasi yang dikonfigurasi untuk gateway, pilih klien yang didokumentasikan Microsoft untuk metode itu, dan baru setelah itu buat profil yang diharapkan klien tersebut. Semua yang berikut mengikuti urutan itu.
Mulai dari metode, bukan dari penginstal
Gateway dikonfigurasi dengan satu atau beberapa jenis terowongan dan metode autentikasi. Pasangan itu, bukan ekstensi file di desktop Anda, yang menentukan klien mana yang didukung.
Catat pasangan itu sebelum mengunduh apa pun, karena matriks dukungan sempit dan awal yang salah menghabiskan satu sore.
Berikut pemetaan yang saya simpan di catatan penerapan:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Baca tabel itu sebagai batasan, bukan menu. Setiap baris adalah kombinasi yang didokumentasikan, dan mencampur klien dari satu baris dengan metode dari baris lain adalah tepat kesalahan yang ingin dicegah artikel ini.
Entra ID berarti OpenVPN plus Azure VPN Client
Untuk autentikasi Entra pada point-to-site, susunan yang didukung memakai jenis terowongan OpenVPN dan Azure VPN Client. Dialog nama pengguna dan kata sandi generik bukan pengganti integrasi itu, dan IKEv2 bawaan Windows bukan cara yang dapat dipertukarkan untuk melakukan login yang sama. Jika klien pihak ketiga menawarkan opsi Entra atau Azure AD, verifikasi dengan dokumentasi Microsoft yang berlaku, bukan dengan labelnya. Label adalah pemasaran, sedangkan kombinasi yang didokumentasikan adalah kontraknya.
Di macOS, Azure VPN Client juga merupakan jalur yang didokumentasikan untuk metode ini.
Sertifikat memerlukan kredensial klien, bukan hanya root
Autentikasi sertifikat adalah model yang didukung secara terpisah, dan bekerja dengan klien OpenVPN yang didokumentasikan Microsoft serta dengan Azure VPN Client pada platform yang didukung. Di Windows, Azure VPN Client bukan hanya untuk Entra: ia juga memiliki alur kerja sertifikat yang didokumentasikan. Yang dibutuhkannya adalah sertifikat klien yang dimaksud dengan kunci privat yang dapat digunakan, yang dipercaya oleh gateway. Root tepercaya gateway bukan kredensial klien, dan kunci penandatangan penerbit tidak pernah menjadi bagian dari paket klien.
Periksa rantai sebelum men-debug profil. Sertifikat yang diterbitkan oleh root yang tidak dipercaya gateway menghasilkan kegagalan yang tampak seperti profil buruk dan sebenarnya masalah kepercayaan.
Jaga kunci privat agar tidak dapat diekspor di tempat platform mengizinkannya, dan uji dengan sertifikat yang benar-benar terpasang untuk pengguna saat ini.
RADIUS adalah pilihan backend dengan kombinasinya sendiri
RADIUS memindahkan keputusan kredensial ke server yang Anda jalankan, dan didokumentasikan dengan jenis terowongan serta klien tertentu. Ini bukan otomatis jawaban yang benar hanya karena lingkungan memiliki beberapa sistem operasi. Tentukan apa yang dapat disajikan klien sebenarnya sebelum mengubah kebijakan autentikasi gateway, karena mengalihkan gateway ke RADIUS tidak menyesuaikan setiap profil yang ada. Klien tetap harus dapat meminta atau menyediakan kredensial tersebut.
Jika lingkungan campuran adalah penyebabnya, selesaikan per platform alih-alih melemahkan kebijakan gateway untuk semua.
Linux setelah penghentian pratinjau 2026
Panduan Microsoft tentang penghentian Linux menetapkan 31 Agustus 2026 sebagai tanggal penghentian pratinjau Azure VPN Client untuk Linux, jadi sejak November 2026 pratinjau itu sudah di belakang Anda. Instalasi yang ada mungkin terus berfungsi, tetapi tidak lagi menerima dukungan, pembaruan, atau perbaikan keamanan. Jangan membagikan penginstal Linux lama sebagai penerapan baru yang didukung. Ini adalah penghentian klien, bukan penghentian Azure VPN Gateway atau klien Windows dan macOS.
Alternatif Linux yang didokumentasikan adalah klien OpenVPN dengan autentikasi sertifikat, atau strongSwan dengan IKEv2 dan autentikasi sertifikat atau RADIUS. Keduanya konfigurasi berbeda yang memerlukan persetujuan organisasi, bukan konversi yang diperoleh dengan mengganti nama profil Entra lama.
Jika login Entra wajib karena alasan kebijakan, pemilik harus memilih platform yang didukung atau desain alternatif yang disetujui. Itu keputusan, bukan jalan pintas.
Buat profil dan jalankan empat pemeriksaan
Buat konfigurasi klien dari gateway yang dimaksud setelah kombinasi ditetapkan, dan impor representasi yang didokumentasikan untuk klien dan metode itu. Folder OpenVPN generik dan profil XML Azure VPN Client tidak dapat dipertukarkan. Jika gateway sengaja mengaktifkan beberapa jenis autentikasi, pilih profil dan jalur kredensial yang sesuai alih-alih mengharapkan satu koneksi memenuhi semuanya. Lalu jalankan pemeriksaan dalam urutan ini:
- Klien yang didukung mengimpor profil yang dibuat tanpa mengeditnya.
- Identitas yang dimaksud terautentikasi dengan metode yang diharapkan profil itu.
- Kebijakan rute dan resolver yang diperlukan muncul pada klien.
- Aplikasi yang diizinkan mencapai sumber daya privatnya.
Impor yang berhasil tidak membuktikan kompatibilitas autentikasi maupun otorisasi sumber daya privat, karena itu keempat pemeriksaan tersebut tetap terpisah.