Аутентификация клиента Azure P2S: Entra, сертификат или RADIUS
Вход через Entra, клиентские сертификаты и RADIUS требуют разных клиентов и профилей Azure VPN. Сначала выберите метод, затем клиент, затем профиль.
Установщик запускается, профиль импортируется, а подключение срывается на шаге входа. Большинство таких обращений — не ошибка клиента: приложение, совместимое с OpenVPN, может нести туннель и при этом не знать, как выполнить вход Microsoft Entra. Порядок, который избавляет от замкнутого круга, — метод, затем клиент, затем профиль. Выберите метод аутентификации, для которого настроен шлюз, выберите клиент, который Microsoft документирует для этого метода, и только потом создайте профиль, которого ожидает этот клиент. Всё ниже следует этому порядку.
Начинайте с метода, а не с установщика
Шлюз настроен с одним или несколькими типами туннеля и методами аутентификации. Именно эта пара, а не расширение файла на рабочем столе, определяет, какие клиенты поддерживаются.
Запишите пару до того, как что-либо скачать, потому что матрица поддержки узкая, а неверный старт стоит половины дня.
Вот сопоставление, которое я держу в заметках о развёртывании:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Читайте эту таблицу как ограничение, а не как меню. Каждая строка — документированная комбинация, и смешивание клиента из одной строки с методом из другой — ровно та ошибка, ради предотвращения которой существует эта статья.
Entra ID означает OpenVPN плюс Azure VPN Client
Для аутентификации Entra на подключении «точка — сайт» поддерживаемая схема использует тип туннеля OpenVPN и Azure VPN Client. Обычный диалог имени пользователя и пароля не заменяет эту интеграцию, а встроенный в Windows IKEv2 не является взаимозаменяемым способом выполнить тот же вход. Если сторонний клиент предлагает вариант Entra или Azure AD, проверьте его по актуальной документации Microsoft, а не по ярлыку. Ярлык — это маркетинг, а документированная комбинация — это договор.
На macOS Azure VPN Client также является документированным путём для этого метода.
Сертификатам нужны клиентские учётные данные, а не только корень
Аутентификация по сертификатам — отдельная поддерживаемая модель, и она работает с клиентами OpenVPN, которые документирует Microsoft, и с Azure VPN Client на поддерживаемых платформах. В Windows Azure VPN Client не только для Entra: у него есть и документированный сценарий работы с сертификатами. Ему нужен целевой клиентский сертификат с пригодным закрытым ключом, которому доверяет шлюз. Доверенный корень шлюза — не клиентские учётные данные, а ключ подписи издателя никогда не входит в клиентский пакет.
Проверьте цепочку, прежде чем отлаживать профиль. Сертификат, выданный корнем, которому шлюз не доверяет, даёт сбой, который выглядит как плохой профиль, а на деле является проблемой доверия.
Держите закрытый ключ неэкспортируемым там, где платформа это позволяет, и тестируйте с сертификатом, фактически установленным для текущего пользователя.
RADIUS — это выбор бэкенда со своими комбинациями
RADIUS переносит решение об учётных данных на сервер, который вы обслуживаете сами, и документирован с конкретными типами туннеля и клиентами. Он не становится автоматически правильным ответом только потому, что в среде несколько операционных систем. Определите, что реальный клиент может предъявить, прежде чем менять политику аутентификации шлюза, потому что переключение шлюза на RADIUS не подстраивает каждый существующий профиль. Клиент всё равно должен уметь запросить или передать эти учётные данные.
Если причина — смешанная среда, решайте это по платформам, а не ослабляйте политику шлюза для всех.
Linux после прекращения предварительной версии в 2026 году
Рекомендации Microsoft о прекращении поддержки Linux называют 31 августа 2026 года датой прекращения предварительной версии Azure VPN Client для Linux, поэтому с ноября 2026 года эта предварительная версия уже позади. Существующие установки могут продолжать работать, но больше не получают поддержку, обновления или исправления безопасности. Не выдавайте старый установщик Linux за поддерживаемое новое развёртывание. Это прекращение клиента, а не Azure VPN Gateway или клиентов для Windows и macOS.
Документированные альтернативы для Linux — клиент OpenVPN с аутентификацией по сертификату или strongSwan с IKEv2 и аутентификацией по сертификату либо RADIUS. Оба варианта — другие конфигурации, требующие организационного одобрения, а не преобразование, которое получается переименованием старого профиля Entra.
Если вход через Entra обязателен по политическим причинам, владелец должен выбрать поддерживаемую платформу или утверждённый альтернативный дизайн. Это решение, а не обходной путь.
Создайте профиль и выполните четыре проверки
Когда комбинация определена, создайте конфигурацию клиента из нужного шлюза и импортируйте представление, документированное для этого клиента и метода. Общая папка OpenVPN и XML-профиль Azure VPN Client не взаимозаменяемы. Если шлюз намеренно включает несколько типов аутентификации, выбирайте соответствующий профиль и путь учётных данных, а не рассчитывайте, что одно подключение удовлетворит все. Затем выполните проверки в таком порядке:
- Поддерживаемый клиент импортирует созданный профиль без его редактирования.
- Целевая учётная запись проходит аутентификацию методом, которого ожидает этот профиль.
- Требуемая политика маршрутов и распознавателя появляется на клиенте.
- Разрешённое приложение достигает своего частного ресурса.
Успешный импорт не доказывает ни совместимость аутентификации, ни авторизацию для частного ресурса, поэтому эти четыре проверки остаются отдельными.