Pengesahan klien P2S Azure: Entra, sijil atau RADIUS

Pemasang berjalan, profil diimport, dan sambungan gagal pada langkah log masuk. Kebanyakan tiket ini bukan pepijat dalam klien: aplikasi serasi OpenVPN boleh membawa terowong dan masih tidak tahu cara melakukan log masuk Microsoft Entra. Urutan yang mengelakkan gelung ialah kaedah, kemudian klien, kemudian profil. Pilih kaedah pengesahan yang dikonfigurasikan untuk get laluan, pilih klien yang didokumenkan Microsoft untuk kaedah itu, dan hanya selepas itu jana profil yang dijangka oleh klien tersebut. Semua di bawah mengikut urutan itu.

Mulakan dengan kaedah, bukan pemasang

Get laluan dikonfigurasikan dengan satu atau lebih jenis terowong dan kaedah pengesahan. Pasangan itu, bukan sambungan fail di desktop anda, menentukan klien mana yang disokong.

Catat pasangan itu sebelum memuat turun apa-apa, kerana matriks sokongan sempit dan permulaan yang salah memakan satu petang.

Berikut ialah pemetaan yang saya simpan dalam nota penggunaan:

Baca jadual itu sebagai kekangan, bukan menu. Setiap baris ialah gabungan yang didokumenkan, dan mencampurkan klien daripada satu baris dengan kaedah daripada baris lain ialah tepat kesilapan yang artikel ini ingin elakkan.

Entra ID bermaksud OpenVPN tambah Azure VPN Client

Untuk pengesahan Entra pada titik ke tapak, susunan yang disokong menggunakan jenis terowong OpenVPN dan Azure VPN Client. Dialog nama pengguna dan kata laluan generik bukan pengganti integrasi itu, dan IKEv2 asli Windows bukan cara yang boleh ditukar ganti untuk melakukan log masuk yang sama. Jika klien pihak ketiga menawarkan pilihan Entra atau Azure AD, sahkan dengan dokumentasi Microsoft semasa dan bukan dengan label. Label ialah pemasaran, manakala gabungan yang didokumenkan ialah kontrak.

Pada macOS, Azure VPN Client juga merupakan laluan yang didokumenkan untuk kaedah ini.

Sijil memerlukan kelayakan klien, bukan hanya akar

Pengesahan sijil ialah model disokong yang berasingan, dan ia berfungsi dengan klien OpenVPN yang didokumenkan Microsoft serta dengan Azure VPN Client pada platform yang disokong. Pada Windows, Azure VPN Client bukan hanya untuk Entra: ia juga mempunyai aliran kerja sijil yang didokumenkan. Apa yang diperlukannya ialah sijil klien yang dimaksudkan dengan kunci peribadi yang boleh digunakan, yang dipercayai oleh get laluan. Akar dipercayai get laluan bukan kelayakan klien, dan kunci tandatangan pengeluar tidak pernah tergolong dalam pakej klien.

Periksa rantai sebelum menyahpepijat profil. Sijil yang dikeluarkan oleh akar yang tidak dipercayai get laluan menghasilkan kegagalan yang kelihatan seperti profil buruk dan sebenarnya masalah kepercayaan.

Kekalkan kunci peribadi tidak boleh dieksport di tempat platform membenarkannya, dan uji dengan sijil yang benar-benar dipasang untuk pengguna semasa.

RADIUS ialah pilihan backend dengan gabungannya sendiri

RADIUS memindahkan keputusan kelayakan ke pelayan yang anda jalankan, dan ia didokumenkan dengan jenis terowong serta klien tertentu. Ia bukan secara automatik jawapan yang betul hanya kerana persekitaran mempunyai beberapa sistem pengendalian. Tentukan apa yang boleh dibentangkan oleh klien sebenar sebelum menukar dasar pengesahan get laluan, kerana menukar get laluan kepada RADIUS tidak menyesuaikan setiap profil sedia ada. Klien masih perlu boleh meminta atau membekalkan kelayakan tersebut.

Jika persekitaran bercampur menjadi punca, selesaikannya mengikut platform dan bukannya melemahkan dasar get laluan untuk semua.

Linux selepas persaraan pratonton 2026

Panduan Microsoft tentang persaraan Linux menetapkan 31 Ogos 2026 sebagai tarikh persaraan pratonton Azure VPN Client untuk Linux, jadi mulai November 2026 pratonton itu sudah berlalu. Pemasangan sedia ada mungkin terus berfungsi, tetapi ia tidak lagi menerima sokongan, kemas kini atau pembetulan keselamatan. Jangan edarkan pemasang Linux lama sebagai penggunaan baharu yang disokong. Ini ialah persaraan klien, bukan persaraan Azure VPN Gateway atau klien Windows dan macOS.

Alternatif Linux yang didokumenkan ialah klien OpenVPN dengan pengesahan sijil, atau strongSwan dengan IKEv2 dan pengesahan sijil atau RADIUS. Kedua-duanya konfigurasi berbeza yang memerlukan kelulusan organisasi, bukan penukaran yang diperoleh dengan menamakan semula profil Entra lama.

Jika log masuk Entra wajib atas sebab dasar, pemilik mesti memilih platform yang disokong atau reka bentuk alternatif yang diluluskan. Itu keputusan, bukan jalan pintas.

Jana profil dan jalankan empat semakan

Jana konfigurasi klien daripada get laluan yang dimaksudkan setelah gabungan ditetapkan, dan import perwakilan yang didokumenkan untuk klien dan kaedah itu. Folder OpenVPN generik dan profil XML Azure VPN Client tidak boleh ditukar ganti. Jika get laluan sengaja mendayakan beberapa jenis pengesahan, pilih profil dan laluan kelayakan yang sepadan dan bukannya mengharapkan satu sambungan memenuhi semuanya. Kemudian jalankan semakan dalam urutan ini:

• Klien yang disokong mengimport profil yang dijana tanpa mengeditnya.
• Identiti yang dimaksudkan disahkan dengan kaedah yang dijangka oleh profil itu.
• Dasar laluan dan penyelesai yang diperlukan muncul pada klien.
• Aplikasi yang dibenarkan mencapai sumber peribadinya.

Import yang berjaya tidak membuktikan keserasian pengesahan mahupun kebenaran sumber peribadi, sebab itu keempat-empat semakan itu kekal berasingan.