Azure P2S kliento autentifikavimas: Entra, sertifikatas ar RADIUS
Entra prisijungimas, kliento sertifikatai ir RADIUS reikalauja skirtingų Azure VPN klientų ir profilių. Pirmiausia pasirinkite metodą, tada klientą, galiausiai profilį.
Diegimo programa paleidžiama, profilis importuojamas, o ryšys nepavyksta prisijungimo žingsnyje. Dauguma šių užklausų nėra kliento klaida: su OpenVPN suderinama programa gali pernešti tunelį ir vis tiek nežinoti, kaip atlikti Microsoft Entra prisijungimą. Tvarka, kuri išvengia ciklo, yra metodas, tada klientas, tada profilis. Pasirinkite autentifikavimo metodą, kuriam sukonfigūruotas šliuzas, pasirinkite klientą, kurį Microsoft dokumentuoja tam metodui, ir tik tada sugeneruokite profilį, kurio tikisi tas klientas. Viskas žemiau laikosi šios tvarkos.
Pradėkite nuo metodo, o ne nuo diegimo programos
Šliuzas sukonfigūruotas su vienu ar daugiau tunelio tipų ir autentifikavimo metodų. Būtent ši pora, o ne darbalaukyje esantis failo plėtinys, nusprendžia, kurie klientai palaikomi.
Užsirašykite porą prieš ką nors atsisiųsdami, nes palaikymo matrica siaura, o neteisinga pradžia kainuoja pusdienį.
Štai atitikimas, kurį laikau diegimo pastabose:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Skaitykite šią lentelę kaip apribojimą, o ne kaip meniu. Kiekviena eilutė yra dokumentuotas derinys, o vienos eilutės kliento maišymas su kitos eilutės metodu yra būtent ta klaida, kurios šis straipsnis skirtas išvengti.
Entra ID reiškia OpenVPN ir Azure VPN Client
Taško į svetainę Entra autentifikavimui palaikoma konfigūracija naudoja OpenVPN tunelio tipą ir Azure VPN Client. Bendras vartotojo vardo ir slaptažodžio dialogas nepakeičia šios integracijos, o Windows integruotas IKEv2 nėra keičiamas būdas atlikti tą patį prisijungimą. Jei trečiosios šalies klientas siūlo Entra arba Azure AD parinktį, patikrinkite ją pagal dabartinę Microsoft dokumentaciją, o ne pagal etiketę. Etiketė yra rinkodara, o dokumentuotas derinys yra sutartis.
macOS Azure VPN Client taip pat yra dokumentuotas šio metodo kelias.
Sertifikatams reikia kliento kredencialų, o ne vien šaknies
Autentifikavimas sertifikatais yra atskiras palaikomas modelis, ir jis veikia su OpenVPN klientais, kuriuos dokumentuoja Microsoft, ir su Azure VPN Client palaikomose platformose. Windows Azure VPN Client skirtas ne tik Entra: jis turi ir dokumentuotą sertifikatų darbo eigą. Jam reikia numatyto kliento sertifikato su tinkamu privačiu raktu, kuriuo pasitiki šliuzas. Šliuzo patikima šaknis nėra kliento kredencialai, o išdavėjo pasirašymo raktas niekada nepriklauso kliento paketui.
Patikrinkite grandinę prieš derindami profilį. Sertifikatas, išduotas šaknies, kuria šliuzas nepasitiki, sukelia gedimą, kuris atrodo kaip blogas profilis, o iš tikrųjų yra pasitikėjimo problema.
Laikykite privatų raktą neeksportuojamu ten, kur platforma tai leidžia, ir testuokite su sertifikatu, kuris iš tikrųjų įdiegtas dabartiniam vartotojui.
RADIUS yra užpakalinės dalies pasirinkimas su savo deriniais
RADIUS perkelia kredencialų sprendimą į serverį, kurį valdote patys, ir yra dokumentuotas su konkrečiais tunelio tipais ir klientais. Tai nėra automatiškai teisingas atsakymas vien todėl, kad aplinkoje yra kelios operacinės sistemos. Nustatykite, ką tikrasis klientas gali pateikti, prieš keisdami šliuzo autentifikavimo politiką, nes šliuzo perjungimas į RADIUS nepritaiko kiekvieno esamo profilio. Klientas vis tiek turi galėti paprašyti ar pateikti tuos kredencialus.
Jei priežastis yra mišri aplinka, spręskite tai pagal platformą, o ne silpninkite šliuzo politiką visiems.
Linux po 2026 m. peržiūros nutraukimo
Microsoft Linux nutraukimo gairės nurodo 2026 m. rugpjūčio 31 d. kaip Linux Azure VPN Client peržiūros nutraukimo datą, tad nuo 2026 m. lapkričio ši peržiūra jau praeityje. Esami diegimai gali toliau veikti, bet nebeatitinka palaikymo, atnaujinimų ar saugos pataisų. Neplatinkite senos Linux diegimo programos kaip palaikomo naujo diegimo. Tai kliento nutraukimas, o ne Azure VPN Gateway ar Windows bei macOS klientų nutraukimas.
Dokumentuotos Linux alternatyvos yra OpenVPN klientas su sertifikato autentifikavimu arba strongSwan su IKEv2 ir sertifikato arba RADIUS autentifikavimu. Abi yra skirtingos konfigūracijos, kurioms reikia organizacijos patvirtinimo, o ne konversija, gaunama pervadinus seną Entra profilį.
Jei Entra prisijungimas privalomas dėl politikos priežasčių, savininkas turi pasirinkti palaikomą platformą arba patvirtintą alternatyvų dizainą. Tai sprendimas, o ne apėjimas.
Sugeneruokite profilį ir atlikite keturis patikrinimus
Kai derinys nustatytas, sugeneruokite kliento konfigūraciją iš numatyto šliuzo ir importuokite atvaizdą, dokumentuotą tam klientui ir metodui. Bendras OpenVPN aplankas ir Azure VPN Client XML profilis nėra keičiami. Jei šliuzas sąmoningai įjungia kelis autentifikavimo tipus, pasirinkite atitinkantį profilį ir kredencialų kelią, o ne tikėkitės, kad vienas ryšys patenkins visus. Tada atlikite patikrinimus šia tvarka:
- Palaikomas klientas importuoja sugeneruotą profilį jo neredaguodamas.
- Numatytasis tapatumas autentifikuojamas metodu, kurio tikisi tas profilis.
- Reikalinga maršrutų ir sprendiklio politika atsiranda kliente.
- Leidžiama programa pasiekia savo privatų išteklių.
Sėkmingas importas neįrodo nei autentifikavimo suderinamumo, nei privataus ištekliaus autorizacijos, todėl tie keturi patikrinimai lieka atskiri.