Azure P2S клиентін аутентификациялау: Entra, сертификат немесе RADIUS
Entra арқылы кіру, клиенттік сертификаттар және RADIUS әртүрлі Azure VPN клиенттері мен профильдерін қажет етеді. Алдымен әдісті, содан кейін клиентті, соңында профильді таңдаңыз.
Орнатушы іске қосылады, профиль импортталады, ал қосылым кіру кезеңінде сәтсіз аяқталады. Бұл өтінімдердің көбісі клиенттегі ақау емес: OpenVPN-ге үйлесімді қолданба туннельді тасымалдай алады, бірақ Microsoft Entra-ға кіруді қалай орындау керектігін білмейді. Шектеулі циклден құтылатын реттілік — әдіс, содан кейін клиент, содан кейін профиль. Қақпа конфигурацияланған аутентификация әдісін таңдаңыз, Microsoft осы әдіс үшін құжаттайтын клиентті таңдаңыз, содан кейін ғана сол клиент күтетін профильді жасаңыз. Төмендегілердің барлығы осы реттілікке бағынады.
Орнатушыдан емес, әдістен бастаңыз
Қақпа бір немесе бірнеше туннель түрімен және аутентификация әдістерімен конфигурацияланған. Жұмыс үстеліңіздегі файл кеңейтімі емес, дәл осы жұп қандай клиенттерге қолдау көрсетілетінін анықтайды.
Бірдеңе жүктемес бұрын жұпты жазып қойыңыз, өйткені қолдау матрицасы тар және қате бастау жарты күнге тұрады.
Міне, мен орналастыру жазбаларында ұстайтын сәйкестік:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Бұл кестені мәзір емес, шектеу ретінде оқыңыз. Әр жол — құжатталған комбинация, ал бір жолдың клиентін басқа жолдың әдісімен араластыру — осы мақаланың алдын алу үшін жазылған дәл сол қате.
Entra ID дегеніміз OpenVPN және Azure VPN Client
Нүктеден сайтқа Entra аутентификациясы үшін қолдау көрсетілетін конфигурация OpenVPN туннель түрін және Azure VPN Client-ті пайдаланады. Кәдімгі пайдаланушы аты мен құпия сөз диалогы бұл интеграцияның орнын баспайды, ал Windows-тың кірістірілген IKEv2-сі сол кіруді орындаудың алмастырылатын тәсілі емес. Егер үшінші тарап клиенті Entra немесе Azure AD опциясын ұсынса, оны белгіге емес, Microsoft-тың ағымдағы құжаттамасына сәйкес тексеріңіз. Белгі — маркетинг, ал құжатталған комбинация — шарт.
macOS-те де Azure VPN Client осы әдістің құжатталған жолы болып табылады.
Сертификаттарға клиенттік тіркелгі деректері қажет, тек тамыр емес
Сертификатпен аутентификациялау — жеке қолдау көрсетілетін модель, ол Microsoft құжаттайтын OpenVPN клиенттерімен және қолдау көрсетілетін платформалардағы Azure VPN Client-пен жұмыс істейді. Windows-та Azure VPN Client тек Entra үшін емес: оның сертификаттың құжатталған жұмыс ағыны да бар. Оған қақпа сенетін, пайдалануға жарамды жеке кілті бар мақсатты клиенттік сертификат қажет. Қақпаның сенімді тамыры клиенттік тіркелгі деректері емес, ал шығарушының қол қою кілті ешқашан клиенттік бумаға жатпайды.
Профильді жөндеуден бұрын тізбекті тексеріңіз. Қақпа сенбейтін тамырдан шығарылған сертификат нашар профильге ұқсайтын, бірақ шын мәнінде сенім мәселесі болып табылатын ақау тудырады.
Платформа рұқсат еткен жерде жеке кілтті экспортталмайтын күйде ұстаңыз және ағымдағы пайдаланушы үшін нақты орнатылған сертификатпен сынаңыз.
RADIUS — өз комбинациялары бар бэкенд таңдауы
RADIUS тіркелгі деректері туралы шешімді өзіңіз басқаратын серверге ауыстырады және ол нақты туннель түрлері мен клиенттермен құжатталған. Ортада бірнеше операциялық жүйе бар болғандықтан, ол автоматты түрде дұрыс жауап емес. Қақпаның аутентификация саясатын өзгертуден бұрын нақты клиенттің нені ұсына алатынын анықтаңыз, өйткені қақпаны RADIUS-қа ауыстыру барлық қолданыстағы профильге сәйкестендірмейді. Клиент сол тіркелгі деректерін сұрай немесе ұсына алуы керек.
Егер себеп аралас орта болса, қақпа саясатын барлығы үшін әлсіретпей, оны платформа бойынша шешіңіз.
2026 жылғы алдын ала қарауды тоқтатқаннан кейінгі Linux
Microsoft-тың Linux-ты тоқтату жөніндегі нұсқаулығы Linux үшін Azure VPN Client алдын ала қарауының тоқтатылу күні ретінде 2026 жылғы 31 тамызды көрсетеді, сондықтан 2026 жылғы қарашадан бастап бұл алдын ала қарау артта қалды. Қолданыстағы орнатулар жұмысын жалғастыруы мүмкін, бірақ олар енді қолдау, жаңартулар немесе қауіпсіздік түзетулерін алмайды. Ескі Linux орнатушысын қолдау көрсетілетін жаңа орналастыру ретінде таратпаңыз. Бұл клиенттің тоқтатылуы, Azure VPN Gateway немесе Windows мен macOS клиенттерінің тоқтатылуы емес.
Linux-тың құжатталған баламалары — сертификатпен аутентификацияланатын OpenVPN клиенті немесе IKEv2 және сертификат немесе RADIUS аутентификациясы бар strongSwan. Екеуі де ұйымдық мақұлдауды қажет ететін әртүрлі конфигурациялар, ескі Entra профилінің атын өзгерту арқылы алынатын түрлендіру емес.
Егер Entra-ға кіру саяси себептермен міндетті болса, иесі қолдау көрсетілетін платформаны немесе мақұлданған балама дизайнды таңдауы керек. Бұл шешім, айналып өту емес.
Профильді жасаңыз және төрт тексеру жүргізіңіз
Комбинация анықталғаннан кейін мақсатты қақпадан клиент конфигурациясын жасаңыз және сол клиент пен әдіс үшін құжатталған көріністі импорттаңыз. Жалпы OpenVPN қалтасы мен Azure VPN Client XML профилі алмастырылмайды. Егер қақпа бірнеше аутентификация түрін әдейі қосса, бір қосылым барлығын қанағаттандырады деп күтпей, сәйкес профиль мен тіркелгі деректерінің жолын таңдаңыз. Содан кейін тексерулерді осы ретпен орындаңыз:
- Қолдау көрсетілетін клиент жасалған профильді өңдемей импорттайды.
- Мақсатты сәйкестік осы профиль күтетін әдіспен аутентификацияланады.
- Қажетті маршрут және шешуші саясаты клиентте пайда болады.
- Рұқсат етілген қолданба өзінің жеке ресурсына жетеді.
Сәтті импорт аутентификацияның үйлесімділігін де, жеке ресурсқа авторизацияны да дәлелдемейді, сондықтан бұл төрт тексеру бөлек қалады.