Azure P2S-Client-Authentifikatioun: Entra, Zertifikat oder RADIUS
Entra-Anmeldung, Client-Zertifikater an RADIUS brauchen ënnerschiddlech Azure VPN-Clients a -Profiler. Wielt d'Method, dann de Client, dann de Profil.
Den Installateur leeft, de Profil gëtt importéiert, an d'Verbindung schléit beim Anmeldungsschratt fehl. Déi meescht vun dësen Tickete sinn kee Feeler am Client: eng OpenVPN-kompatibel Applikatioun kann den Tunnel droen an trotzdem net wëssen, wéi eng Microsoft Entra-Anmeldung gemaach gëtt. D'Reiefolleg, déi de Krees vermeit, ass Method, dann Client, dann Profil. Wielt d'Authentifikatiounsmethod, fir déi de Gateway konfiguréiert ass, wielt e Client, deen Microsoft fir déi Method dokumentéiert, a generéiert erscht duerno de Profil, deen dee Client erwaart. Alles hei drënner follegt dëser Reiefolleg.
Fänkt mat der Method un, net mam Installateur
De Gateway ass mat engem oder méi Tunneltyppen an Authentifikatiounsmetoden konfiguréiert. Dee Pair, net d'Dateierweiderung op Ärem Desktop, entscheet, wéi eng Clients ënnerstëtzt ginn.
Schreift de Pair op, ier Dir eppes erofluedt, well d'Ënnerstëtzungsmatrix schmuel ass an en falschen Ufank en Nomëtteg kascht.
Hei ass d'Mapping, déi ech an den Deploymentsnotizen halen:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Liest dës Tabell als Restriktioun, net als Menü. All Zeil ass eng dokumentéiert Kombinatioun, an e Client aus enger Zeil mat der Method aus enger anerer ze mëschen ass genee dee Feeler, deen dësen Artikel verhënnere soll.
Entra ID heescht OpenVPN plus Azure VPN Client
Fir Entra-Authentifikatioun op Punkt-zu-Site benotzt déi ënnerstëtzt Usuerdnung den OpenVPN-Tunneltypp an den Azure VPN Client. En allgemengen Dialog fir Benotzernumm a Passwuert ersetzt déi Integratioun net, an dat natift IKEv2 vu Windows ass kee wiesselbare Wee fir déi selwecht Anmeldung. Wann en Drëttparte-Client eng Entra- oder Azure AD-Optioun ubitt, iwwerpréift se op Basis vun der aktueller Microsoft-Dokumentatioun an net vum Etikett. D'Etikett ass Marketing, wärend déi dokumentéiert Kombinatioun de Kontrakt ass.
Op macOS ass den Azure VPN Client och den dokumentéierte Wee fir dës Method.
Zertifikater brauchen eng Client-Berechtegung, net just eng Root
D'Zertifikat-Authentifikatioun ass en eegene ënnerstëtzte Modell, an en funktionéiert mat OpenVPN-Clients, déi Microsoft dokumentéiert, an mam Azure VPN Client op ënnerstëtzte Plattformen. Op Windows ass den Azure VPN Client net nëmme fir Entra: en huet och en dokumentéierte Zertifikatsworkflow. Wat en brauch, ass dat virgesinn Client-Zertifikat mat engem brauchbaren privaten Schlëssel, deem de Gateway vertraut. D'vertraute Root vum Gateway ass keng Client-Berechtegung, an de Signaturschlëssel vum Aussteller gehéiert ni an e Clientpak.
Préift d'Kette, ier Dir de Profil debuggt. En Zertifikat, dee vun enger Root ausgestallt gouf, déi de Gateway net vertraut, produzéiert e Feeler, deen no engem schlechte Profil ausgesäit an tatsächlech en Vertrauensproblem ass.
Halt de private Schlëssel net exportéierbar, wou d'Plattform et erlaabt, a testt mam Zertifikat, deen tatsächlech fir den aktuelle Benotzer installéiert ass.
RADIUS ass eng Backend-Wiel mat hiren eegene Kombinatiounen
RADIUS verréckelt d'Entscheedung iwwer d'Berechtegungen op e Server, deen Dir bedreift, an en ass mat bestëmmten Tunneltyppen a Clients dokumentéiert. En ass net automatesch déi richteg Äntwert, just well d'Ëmfeld méi Betribssystemer huet. Bestëmmt, wat dee reelle Client ka presentéieren, ier Dir d'Authentifikatiounspolitik vum Gateway ännert, well de Gateway op RADIUS ëmschalten net all bestoeënde Profil upasst. De Client muss nach ëmmer fäeg sinn, déi Berechtegungen unzefroen oder ze liwweren.
Wann en gemëscht Ëmfeld de Grond ass, léist et pro Plattform, amplaz d'Gateway-Politik fir jiddereen ze schwächen.
Linux no der Ofschafung vun der 2026-Virschau
Dem Microsoft seng Leitlinn zur Ofschafung vum Linux gëtt den 31. August 2026 als Ofschafungsdatum vun der Linux-Virschau vum Azure VPN Client un, also ass vum November 2026 un déi Virschau hannert Iech. Bestoeënd Installatioune kënnen nach funktionéieren, awer se kréien net méi Ënnerstëtzung, Update oder Sécherheetskorrekturen. Gitt keen ale Linux-Installateur als ënnerstëtzten neien Deployment aus. Dëst ass d'Ofschafung vun engem Client, net vum Azure VPN Gateway oder vun de Windows- a macOS-Clients.
Déi dokumentéiert Linux-Alternativen sinn en OpenVPN-Client mat Zertifikat-Authentifikatioun oder strongSwan mat IKEv2 an Zertifikat- oder RADIUS-Authentifikatioun. Béid sinn aner Konfiguratiounen, déi eng organisatoresch Genehmegung brauchen, keen Ëmwandlung, deen een duerch d'Ëmbenennen vum ale Entra-Profil kritt.
Wann d'Entra-Anmeldung aus Politikgrënn obligatoresch ass, muss den Eegentemer eng ënnerstëtzt Plattform oder en genehmegten alternativen Design wielen. Dat ass eng Entscheedung, keen Ëmwee.
Generéiert de Profil a maacht véier Kontrollen
Generéiert d'Clientkonfiguratioun vum virgesinne Gateway, wann d'Kombinatioun feststeet, an importéiert d'Duerstellung, déi fir dee Client an déi Method dokumentéiert ass. Den allgemengen OpenVPN-Dossier an de XML-Profil vum Azure VPN Client sinn net wiesselbar. Wann de Gateway bewosst méi Authentifikatiounstypen aktivéiert, wielt de passenden Profil an de Berechtegungswee amplaz ze erwaarden, datt eng Verbindung all erfëllt. Maacht dann d'Kontrollen an dëser Reiefolleg:
- Den ënnerstëtzte Client importéiert de generéierte Profil, ouni en ze änneren.
- Déi virgesinn Identitéit authentifizéiert sech mat der Method, déi dee Profil erwaart.
- Déi erfuerderlech Route- a Resolverpolitik erschéngt um Client.
- Déi erlaabte Applikatioun erreecht hir privat Ressource.
En erfollegräichen Import beweist weder d'Authentifikatiounskompatibilitéit nach d'Autorisatioun fir déi privat Ressource, dofir bleiwen déi véier Kontrollen getrennt.