Auðkenning Azure P2S-biðlara: Entra, skírteini eða RADIUS

Uppsetningarforritið keyrir, sniðið flyst inn og tengingin mistekst í innskráningarþrepinu. Flest þessara erinda eru ekki villa í biðlaranum: forrit sem er samhæft við OpenVPN getur borið göngin og samt ekki vitað hvernig á að framkvæma Microsoft Entra-innskráningu. Röðin sem kemur í veg fyrir lykkjuna er aðferð, svo biðlari, svo snið. Veldu auðkenningaraðferðina sem gáttin er stillt fyrir, veldu biðlara sem Microsoft skjalfestir fyrir þá aðferð og búðu aðeins þá til sniðið sem sá biðlari á von á. Allt hér að neðan fylgir þeirri röð.

Byrjaðu á aðferðinni, ekki uppsetningarforritinu

Gáttin er stillt með einni eða fleiri göngutegundum og auðkenningaraðferðum. Þetta par, ekki skráarendingin á skjáborðinu þínu, ræður því hvaða biðlarar eru studdir.

Skrifaðu parið niður áður en þú hleður niður einhverju, því stuðningsfylkið er þröngt og röng byrjun kostar síðdegi.

Hér er varpanin sem ég geymi í uppsetningarpunktunum:

Lestu þessa töflu sem takmörkun, ekki sem valmynd. Hver röð er skjalfest samsetning, og að blanda biðlara úr einni röð með aðferð úr annarri er nákvæmlega sú mistök sem þessi grein á að koma í veg fyrir.

Entra ID þýðir OpenVPN auk Azure VPN Client

Fyrir Entra-auðkenningu á punkt-til-staðar notar studda fyrirkomulagið OpenVPN-göngutegundina og Azure VPN Client. Almennt notendanafns- og lykilorðsgluggi kemur ekki í stað þeirrar samþættingar, og innbyggt IKEv2 Windows er ekki skiptanleg leið til að framkvæma sömu innskráningu. Ef biðlari þriðja aðila býður Entra- eða Azure AD-valkost, staðfestu hann gegn núverandi skjölum Microsoft en ekki merkinu. Merkið er markaðssetning, en skjalfesta samsetningin er samningurinn.

Á macOS er Azure VPN Client einnig skjalfesta leiðin fyrir þessa aðferð.

Skírteini þurfa biðlaraheimild, ekki bara rót

Skírteinisauðkenning er sérstakt studd líkan og virkar með OpenVPN-biðlurum sem Microsoft skjalfestir og með Azure VPN Client á studdum kerfum. Á Windows er Azure VPN Client ekki bara fyrir Entra: það hefur einnig skjalfest skírteinisferli. Það sem það þarf er fyrirhugaða biðlaraskírteinið með nothæfum einkalykli, sem gáttin treystir. Treysta rót gáttarinnar er ekki biðlaraheimild, og undirskriftarlykill útgefandans tilheyrir aldrei biðlarapakka.

Athugaðu keðjuna áður en þú kembir sniðið. Skírteini sem gefið er út af rót sem gáttin treystir ekki veldur bilun sem lítur út eins og slæmt snið og er í raun traustsvandamál.

Haltu einkalyklinum óútflutningshæfum þar sem kerfið leyfir það, og prófaðu með skírteininu sem er í raun uppsett fyrir núverandi notanda.

RADIUS er bakenda-val með eigin samsetningum

RADIUS færir ákvörðunina um heimildir yfir á netþjón sem þú rekur, og það er skjalfest með ákveðnum göngutegundum og biðlurum. Það er ekki sjálfkrafa rétta svarið bara vegna þess að umhverfið hefur nokkur stýrikerfi. Greindu hvað raunverulegi biðlarinn getur lagt fram áður en þú breytir auðkenningarstefnu gáttarinnar, því að skipta gáttinni yfir í RADIUS lagar ekki hvert fyrirliggjandi snið. Biðlarinn verður samt að geta beðið um eða veitt þessar heimildir.

Ef blandað umhverfi er orsökin, leystu það kerfis fyrir kerfi í stað þess að veikja stefnu gáttarinnar fyrir alla.

Linux eftir að forskoðuninni var hætt árið 2026

Leiðbeiningar Microsoft um að hætta Linux gefa 31. ágúst 2026 sem dagsetningu þess að hætta forskoðun Azure VPN Client fyrir Linux, svo frá nóvember 2026 er sú forskoðun að baki. Núverandi uppsetningar geta haldið áfram að virka, en þær fá ekki lengur stuðning, uppfærslur eða öryggisleiðréttingar. Ekki dreifa gamalli Linux-uppsetningu sem studdri nýrri uppsetningu. Þetta er að hætta biðlara, ekki Azure VPN Gateway eða Windows- og macOS-biðlaranna.

Skjalfestu Linux-valkostirnir eru OpenVPN-biðlari með skírteinisauðkenningu, eða strongSwan með IKEv2 og skírteinis- eða RADIUS-auðkenningu. Báðir eru mismunandi stillingar sem þurfa stofnanalegt samþykki, ekki umbreyting sem fæst með því að endurnefna gamla Entra-sniðið.

Ef Entra-innskráning er skylda vegna stefnu verður eigandinn að velja studd kerfi eða samþykkta aðra hönnun. Það er ákvörðun, ekki hjáleið.

Búðu til sniðið og framkvæmdu fjórar athuganir

Búðu til biðlarastillinguna frá fyrirhugaðri gátt þegar samsetningin er ákveðin, og flyttu inn framsetninguna sem er skjalfest fyrir þann biðlara og þá aðferð. Almenna OpenVPN-mappan og XML-snið Azure VPN Client eru ekki skiptanleg. Ef gáttin virkjar viljandi nokkrar auðkenningartegundir skaltu velja samsvarandi snið og heimildarleið í stað þess að ætla að ein tenging fullnægi þeim öllum. Framkvæmdu síðan athuganirnar í þessari röð:

• Studdi biðlarinn flytur inn búið sniðið án þess að breyta því.
• Fyrirhuguð auðkenni auðkenna sig með þeirri aðferð sem sniðið á von á.
• Nauðsynleg leiðar- og leysistefna birtist á biðlaranum.
• Leyfða forritið nær einkaaðföngum sínum.

Árangursrík innflutningur sannar hvorki samhæfni auðkenningar né heimild fyrir einkaaðföngum, þess vegna halda þessar fjórar athuganir sér.