Azure P2S-clientverificatie: Entra, certificaat of RADIUS

Het installatieprogramma draait, het profiel wordt geïmporteerd en de verbinding mislukt bij de aanmeldingsstap. De meeste van deze tickets zijn geen fout in de client: een OpenVPN-compatibele toepassing kan de tunnel dragen en toch niet weten hoe een Microsoft Entra-aanmelding moet worden uitgevoerd. De volgorde die de lus vermijdt, is methode, dan client, dan profiel. Kies de verificatiemethode waarvoor de gateway is geconfigureerd, kies een client die Microsoft voor die methode documenteert, en genereer pas daarna het profiel dat die client verwacht. Alles hieronder volgt die volgorde.

Begin bij de methode, niet bij het installatieprogramma

De gateway is geconfigureerd met een of meer tunneltypen en verificatiemethoden. Dat paar, niet de bestandsextensie op uw bureaublad, bepaalt welke clients worden ondersteund.

Noteer het paar voordat u iets downloadt, want de ondersteuningsmatrix is smal en een verkeerde start kost een middag.

Hier is de toewijzing die ik in de implementatienotities houd:

Lees die tabel als een beperking, niet als een menu. Elke rij is een gedocumenteerde combinatie, en een client uit de ene rij mengen met de methode uit een andere is precies de fout die dit artikel wil voorkomen.

Entra ID betekent OpenVPN plus Azure VPN Client

Voor Entra-verificatie op punt-naar-site gebruikt de ondersteunde opzet het OpenVPN-tunneltype en de Azure VPN Client. Een algemene dialoog voor gebruikersnaam en wachtwoord vervangt die integratie niet, en de native IKEv2 van Windows is geen uitwisselbare manier om dezelfde aanmelding uit te voeren. Als een client van derden een Entra- of Azure AD-optie biedt, controleer die dan aan de hand van de actuele Microsoft-documentatie en niet van het label. Het label is marketing, terwijl de gedocumenteerde combinatie het contract is.

Op macOS is de Azure VPN Client ook het gedocumenteerde pad voor deze methode.

Certificaten vereisen een clientreferentie, niet alleen een root

Certificaatverificatie is een apart ondersteund model, en het werkt met OpenVPN-clients die Microsoft documenteert en met de Azure VPN Client op ondersteunde platforms. Op Windows is de Azure VPN Client niet alleen voor Entra: hij heeft ook een gedocumenteerde certificaatworkflow. Wat hij nodig heeft, is het bedoelde clientcertificaat met een bruikbare persoonlijke sleutel, dat door de gateway wordt vertrouwd. De vertrouwde root van de gateway is geen clientreferentie, en de ondertekeningssleutel van de uitgever hoort nooit in een clientpakket.

Controleer de keten voordat u het profiel debugt. Een certificaat dat is uitgegeven door een root die de gateway niet vertrouwt, levert een fout op die op een slecht profiel lijkt en in werkelijkheid een vertrouwensprobleem is.

Houd de persoonlijke sleutel niet-exporteerbaar waar het platform dit toestaat, en test met het certificaat dat daadwerkelijk voor de huidige gebruiker is geïnstalleerd.

RADIUS is een backendkeuze met eigen combinaties

RADIUS verplaatst de beslissing over inloggegevens naar een server die u zelf beheert, en het is gedocumenteerd met specifieke tunneltypen en clients. Het is niet automatisch het juiste antwoord alleen omdat de omgeving meerdere besturingssystemen heeft. Bepaal wat de werkelijke client kan presenteren voordat u het verificatiebeleid van de gateway wijzigt, want de gateway op RADIUS zetten past niet elk bestaand profiel aan. De client moet die inloggegevens nog steeds kunnen opvragen of leveren.

Als een gemengde omgeving de oorzaak is, los het dan per platform op in plaats van het gatewaybeleid voor iedereen te verzwakken.

Linux na de uitfasering van de preview in 2026

Microsofts richtlijnen voor het uitfaseren van Linux noemen 31 augustus 2026 als de uitfaseringsdatum van de Linux-preview van de Azure VPN Client, dus vanaf november 2026 ligt die preview achter u. Bestaande installaties kunnen blijven werken, maar krijgen geen ondersteuning, updates of beveiligingsoplossingen meer. Deel geen oude Linux-installer uit als een ondersteunde nieuwe implementatie. Dit is het uitfaseren van een client, niet van Azure VPN Gateway of van de Windows- en macOS-clients.

De gedocumenteerde Linux-alternatieven zijn een OpenVPN-client met certificaatverificatie, of strongSwan met IKEv2 en certificaat- of RADIUS-verificatie. Beide zijn andere configuraties die organisatorische goedkeuring vereisen, geen conversie die u krijgt door het oude Entra-profiel een andere naam te geven.

Als Entra-aanmelding om beleidsredenen verplicht is, moet de eigenaar een ondersteund platform of een goedgekeurd alternatief ontwerp kiezen. Dat is een beslissing, geen omweg.

Genereer het profiel en voer vier controles uit

Genereer de clientconfiguratie van de bedoelde gateway zodra de combinatie vaststaat, en importeer de representatie die voor die client en methode is gedocumenteerd. De algemene OpenVPN-map en het XML-profiel van de Azure VPN Client zijn niet uitwisselbaar. Als de gateway bewust meerdere verificatietypen inschakelt, kies dan het bijbehorende profiel en referentiepad in plaats van te verwachten dat één verbinding ze allemaal vervult. Voer daarna de controles in deze volgorde uit:

• De ondersteunde client importeert het gegenereerde profiel zonder het te bewerken.
• De bedoelde identiteit verifieert met de methode die dat profiel verwacht.
• Het vereiste route- en resolverbeleid verschijnt op de client.
• De toegestane toepassing bereikt de eigen privébron.

Een geslaagde import bewijst noch de verificatiecompatibiliteit noch de autorisatie voor de privébron, daarom blijven die vier controles gescheiden.