Overovanie klientov Azure P2S: Entra, certifikát alebo RADIUS
Prihlásenie cez Entra, klientske certifikáty a RADIUS vyžadujú rôznych klientov a profily Azure VPN. Vyberte metódu, potom klienta a nakoniec profil.
Inštalátor sa spustí, profil sa naimportuje a pripojenie zlyhá v kroku prihlásenia. Väčšina týchto prípadov nie je chyba klienta: aplikácia kompatibilná s OpenVPN môže prenášať tunel, a napriek tomu nevedieť, ako vykonať prihlásenie Microsoft Entra. Poradie, ktoré sa vyhne slučke, je metóda, potom klient, potom profil. Vyberte metódu overovania, pre ktorú je brána nakonfigurovaná, vyberte klienta, ktorého Microsoft pre túto metódu dokumentuje, a až potom vytvorte profil, ktorý tento klient očakáva. Všetko nižšie sa drží tohto poradia.
Začnite metódou, nie inštalátorom
Brána je nakonfigurovaná s jedným alebo viacerými typmi tunela a metódami overovania. Práve táto dvojica, nie prípona súboru na ploche, určuje, ktorí klienti sú podporovaní.
Zapíšte si dvojicu, skôr než čokoľvek stiahnete, pretože matica podpory je úzka a zlý začiatok stojí popoludnie.
Toto je mapovanie, ktoré si držím v poznámkach k nasadeniu:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Čítajte túto tabuľku ako obmedzenie, nie ako menu. Každý riadok je dokumentovaná kombinácia a miešanie klienta z jedného riadku s metódou z iného je presne tá chyba, ktorej má tento článok zabrániť.
Entra ID znamená OpenVPN plus Azure VPN Client
Pre overovanie Entra pri pripojení point-to-site používa podporované usporiadanie typ tunela OpenVPN a Azure VPN Client. Všeobecný dialóg pre používateľské meno a heslo túto integráciu nenahrádza a natívny IKEv2 v systéme Windows nie je zameniteľný spôsob, ako vykonať to isté prihlásenie. Ak klient tretej strany ponúka možnosť Entra alebo Azure AD, overte ju podľa aktuálnej dokumentácie Microsoftu, nie podľa označenia. Označenie je marketing, kým dokumentovaná kombinácia je zmluva.
V macOS je Azure VPN Client tiež dokumentovanou cestou pre túto metódu.
Certifikáty potrebujú klientsky údaj, nielen koreň
Overovanie certifikátmi je samostatný podporovaný model a funguje s klientmi OpenVPN, ktoré Microsoft dokumentuje, aj s Azure VPN Client na podporovaných platformách. V systéme Windows nie je Azure VPN Client len pre Entra: má aj dokumentovaný postup pre certifikáty. Potrebuje zamýšľaný klientsky certifikát s použiteľným súkromným kľúčom, ktorému brána dôveruje. Dôveryhodný koreň brány nie je klientsky údaj a podpisový kľúč vydavateľa nikdy nepatrí do klientskeho balíčka.
Skôr než začnete ladiť profil, skontrolujte reťaz. Certifikát vydaný koreňom, ktorému brána nedôveruje, spôsobí zlyhanie, ktoré vyzerá ako zlý profil, ale v skutočnosti je problém dôvery.
Kde to platforma umožňuje, držte súkromný kľúč neexportovateľný a testujte s certifikátom skutočne nainštalovaným pre aktuálneho používateľa.
RADIUS je voľba backendu s vlastnými kombináciami
RADIUS presúva rozhodnutie o údajoch na server, ktorý prevádzkujete, a je dokumentovaný s konkrétnymi typmi tunela a klientmi. Nie je automaticky správnou odpoveďou len preto, že prostredie má niekoľko operačných systémov. Než zmeníte zásady overovania brány, zistite, čo skutočný klient dokáže predložiť, pretože prepnutie brány na RADIUS neprispôsobí každý existujúci profil. Klient stále musí vedieť tieto údaje vyžiadať alebo poskytnúť.
Ak je dôvodom zmiešané prostredie, riešte to po platformách, namiesto oslabenia zásad brány pre všetkých.
Linux po ukončení náhľadu v roku 2026
Pokyny Microsoftu k ukončeniu podpory Linuxu uvádzajú 31. augusta 2026 ako dátum ukončenia náhľadu Azure VPN Client pre Linux, takže od novembra 2026 máte tento náhľad za sebou. Existujúce inštalácie môžu ďalej fungovať, ale už nedostávajú podporu, aktualizácie ani bezpečnostné opravy. Nevydávajte starý linuxový inštalátor ako podporované nové nasadenie. Ide o ukončenie klienta, nie o ukončenie Azure VPN Gateway alebo klientov pre Windows a macOS.
Dokumentované alternatívy pre Linux sú klient OpenVPN s overovaním certifikátom alebo strongSwan s IKEv2 a overovaním certifikátom či RADIUS. Obidve sú iné konfigurácie, ktoré potrebujú organizačné schválenie, nie prevod, ktorý získate premenovaním starého profilu Entra.
Ak je prihlásenie Entra povinné z politických dôvodov, vlastník musí zvoliť podporovanú platformu alebo schválený alternatívny návrh. To je rozhodnutie, nie obchádzka.
Vytvorte profil a vykonajte štyri kontroly
Keď je kombinácia jasná, vytvorte klientsku konfiguráciu zo zamýšľanej brány a naimportujte reprezentáciu dokumentovanú pre daného klienta a metódu. Všeobecný priečinok OpenVPN a profil XML Azure VPN Client nie sú zameniteľné. Ak brána zámerne povoľuje niekoľko typov overovania, zvoľte zodpovedajúci profil a cestu k údajom, namiesto očakávania, že jedno pripojenie vyhovie všetkým. Potom vykonajte kontroly v tomto poradí:
- Podporovaný klient naimportuje vytvorený profil bez jeho úprav.
- Zamýšľaná identita sa overí metódou, ktorú tento profil očakáva.
- Požadovaná zásada trás a prekladača sa objaví na klientovi.
- Povolená aplikácia dosiahne na svoj privátny prostriedok.
Úspešný import nepreukazuje ani kompatibilitu overovania, ani autorizáciu privátneho prostriedku, a preto tieto štyri kontroly zostávajú oddelené.