Preverjanje pristnosti odjemalca Azure P2S: Entra, potrdilo ali RADIUS

Namestitveni program se zažene, profil se uvozi, povezava pa spodleti v koraku prijave. Večina teh zahtevkov ni napaka v odjemalcu: aplikacija, združljiva z OpenVPN, lahko prenaša tunel in vseeno ne ve, kako izvesti prijavo Microsoft Entra. Vrstni red, ki se izogne zanki, je metoda, nato odjemalec, nato profil. Izberite metodo preverjanja pristnosti, za katero je konfiguriran prehod, izberite odjemalca, ki ga Microsoft dokumentira za to metodo, in šele nato ustvarite profil, ki ga ta odjemalec pričakuje. Vse spodaj sledi temu vrstnemu redu.

Začnite z metodo, ne z namestitvenim programom

Prehod je konfiguriran z enim ali več vrstami tunela in metodami preverjanja pristnosti. Prav ta par, ne končnica datoteke na namizju, določa, kateri odjemalci so podprti.

Zapišite par, preden kar koli prenesete, ker je matrika podpore ozka in napačen začetek stane popoldne.

Tukaj je preslikava, ki jo hranim v opombah za uvajanje:

To tabelo berite kot omejitev, ne kot meni. Vsaka vrstica je dokumentirana kombinacija, mešanje odjemalca iz ene vrstice z metodo iz druge pa je natanko tista napaka, ki ji je ta članek namenjen.

Entra ID pomeni OpenVPN plus Azure VPN Client

Za preverjanje pristnosti Entra pri povezavi od točke do mesta podprta postavitev uporablja vrsto tunela OpenVPN in Azure VPN Client. Splošno pogovorno okno za uporabniško ime in geslo ne nadomesti te integracije, vgrajeni IKEv2 v sistemu Windows pa ni zamenljiv način za isto prijavo. Če odjemalec tretje strani ponuja možnost Entra ali Azure AD, jo preverite v aktualni dokumentaciji Microsofta, ne po oznaki. Oznaka je trženje, dokumentirana kombinacija pa je pogodba.

V macOS je Azure VPN Client tudi dokumentirana pot za to metodo.

Potrdila potrebujejo odjemalsko poverilnico, ne samo korenino

Preverjanje pristnosti s potrdili je ločen podprt model in deluje z odjemalci OpenVPN, ki jih dokumentira Microsoft, ter z Azure VPN Client na podprtih platformah. V sistemu Windows Azure VPN Client ni samo za Entra: ima tudi dokumentiran potek dela s potrdili. Potrebuje predvideno odjemalsko potrdilo z uporabnim zasebnim ključem, ki mu prehod zaupa. Zaupanja vredna korenina prehoda ni odjemalska poverilnica, ključ za podpisovanje izdajatelja pa nikoli ne sodi v odjemalski paket.

Preverite verigo, preden začnete razhroščevati profil. Potrdilo, ki ga je izdala korenina, ki ji prehod ne zaupa, povzroči napako, ki je videti kot slab profil, v resnici pa je težava z zaupanjem.

Zasebni ključ naj bo neizvozljiv, kjer platforma to dovoljuje, in preizkusite s potrdilom, ki je dejansko nameščeno za trenutnega uporabnika.

RADIUS je izbira zaledja z lastnimi kombinacijami

RADIUS premakne odločitev o poverilnicah na strežnik, ki ga upravljate sami, in je dokumentiran s posebnimi vrstami tunela in odjemalci. Ni samodejno pravi odgovor samo zato, ker ima okolje več operacijskih sistemov. Ugotovite, kaj lahko dejanski odjemalec predstavi, preden spremenite politiko preverjanja pristnosti prehoda, ker preklop prehoda na RADIUS ne prilagodi vsakega obstoječega profila. Odjemalec mora še vedno znati zahtevati ali zagotoviti te poverilnice.

Če je vzrok mešano okolje, ga rešite po platformah, namesto da oslabite politiko prehoda za vse.

Linux po ukinitvi predogleda v letu 2026

Microsoftove smernice za ukinitev Linuxa navajajo 31. avgust 2026 kot datum ukinitve predogleda Azure VPN Client za Linux, zato je od novembra 2026 ta predogled za vami. Obstoječe namestitve lahko delujejo naprej, vendar ne prejemajo več podpore, posodobitev ali varnostnih popravkov. Starega namestitvenega programa Linux ne delite kot podprto novo uvedbo. To je ukinitev odjemalca, ne Azure VPN Gateway ali odjemalcev za Windows in macOS.

Dokumentirani alternativi za Linux sta odjemalec OpenVPN s preverjanjem pristnosti s potrdilom ali strongSwan z IKEv2 in preverjanjem pristnosti s potrdilom ali RADIUS. Oba sta drugačni konfiguraciji, ki potrebujeta organizacijsko odobritev, ne pretvorba, ki jo dobite s preimenovanjem starega profila Entra.

Če je prijava Entra obvezna iz političnih razlogov, mora lastnik izbrati podprto platformo ali odobreno alternativno zasnovo. To je odločitev, ne obvoz.

Ustvarite profil in izvedite štiri preverjanja

Ko je kombinacija določena, ustvarite konfiguracijo odjemalca iz predvidenega prehoda in uvozite predstavitev, dokumentirano za tega odjemalca in metodo. Splošna mapa OpenVPN in profil XML Azure VPN Client nista zamenljiva. Če prehod namerno omogoča več vrst preverjanja pristnosti, izberite ustrezen profil in pot poverilnic, namesto da pričakujete, da bo ena povezava zadovoljila vse. Nato izvedite preverjanja v tem vrstnem redu:

• Podprti odjemalec uvozi ustvarjeni profil brez urejanja.
• Predvidena identiteta se preveri z metodo, ki jo ta profil pričakuje.
• Zahtevana politika poti in razreševalnika se prikaže na odjemalcu.
• Dovoljena aplikacija doseže svoj zasebni vir.

Uspešen uvoz ne dokazuje niti združljivosti preverjanja pristnosti niti dovoljenja za zasebni vir, zato ta štiri preverjanja ostajajo ločena.