Аутентификација клијента Azure P2S: Entra, сертификат или RADIUS
Пријава преко Entra, клијентски сертификати и RADIUS захтевају различите Azure VPN клијенте и профиле. Изаберите метод, затим клијента, па профил.
Инсталатер се покреће, профил се увози, а веза пада на кораку пријаве. Већина ових пријава није грешка у клијенту: апликација компатибилна са OpenVPN-ом може да преноси тунел и ипак не зна како да изврши пријаву на Microsoft Entra. Редослед који избегава петљу је метод, затим клијент, па профил. Изаберите метод аутентификације за који је пролаз конфигурисан, изаберите клијента који Microsoft документује за тај метод и тек онда генеришите профил који тај клијент очекује. Све испод следи тај редослед.
Почните од метода, не од инсталатера
Пролаз је конфигурисан са једним или више типова тунела и метода аутентификације. Тај пар, а не наставак датотеке на вашој радној површини, одлучује који су клијенти подржани.
Запишите пар пре него што било шта преузмете, јер је матрица подршке уска и погрешан почетак кошта једно поподне.
Ево мапирања које држим у белешкама о имплементацији:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Читајте ту табелу као ограничење, не као мени. Сваки ред је документована комбинација, а мешање клијента из једног реда са методом из другог је управо грешка коју овај чланак треба да спречи.
Entra ID значи OpenVPN плус Azure VPN Client
За Entra аутентификацију на вези од тачке до локације, подржани распоред користи тип тунела OpenVPN и Azure VPN Client. Уобичајени дијалог за корисничко име и лозинку није замена за ту интеграцију, а уграђени IKEv2 у Windows-у није заменљив начин за исту пријаву. Ако клијент треће стране нуди опцију Entra или Azure AD, проверите је према актуелној Microsoft документацији, а не према ознаци. Ознака је маркетинг, а документована комбинација је уговор.
На macOS-у је Azure VPN Client такође документовани пут за овај метод.
Сертификати траже клијентске акредитиве, не само корен
Аутентификација сертификатом је засебан подржани модел и ради са OpenVPN клијентима које Microsoft документује и са Azure VPN Client-ом на подржаним платформама. На Windows-у Azure VPN Client није само за Entra: има и документовани ток рада са сертификатима. Потребан му је предвиђени клијентски сертификат са употребљивим приватним кључем, коме пролаз верује. Поуздани корен пролаза није клијентски акредитив, а издаваочев кључ за потписивање никада не припада клијентском пакету.
Проверите ланац пре него што почнете да отклањате грешке у профилу. Сертификат који је издао корен коме пролаз не верује даје квар који изгледа као лош профил, а заправо је проблем поверења.
Држите приватни кључ неизвозним где платформа то дозвољава и тестирајте са сертификатом који је стварно инсталиран за тренутног корисника.
RADIUS је избор позадинског система са сопственим комбинацијама
RADIUS премешта одлуку о акредитивима на сервер који сами водите и документован је са одређеним типовима тунела и клијентима. Није аутоматски исправан одговор само зато што окружење има неколико оперативних система. Утврдите шта стварни клијент може да представи пре него што промените политику аутентификације пролаза, јер пребацивање пролаза на RADIUS не прилагођава сваки постојећи профил. Клијент и даље мора да може да затражи или достави те акредитиве.
Ако је разлог мешовито окружење, решите то по платформама уместо да ослабите политику пролаза за све.
Linux након укидања прегледа у 2026.
Microsoft-ове смернице за укидање Linux-а наводе 31. август 2026. као датум укидања прегледа Azure VPN Client-а за Linux, па је од новембра 2026. тај преглед иза вас. Постојеће инсталације могу наставити да раде, али више не добијају подршку, ажурирања ни безбедносне исправке. Не делите стари Linux инсталатер као подржану нову имплементацију. Ово је укидање клијента, а не Azure VPN Gateway-а ни клијената за Windows и macOS.
Документоване Linux алтернативе су OpenVPN клијент са аутентификацијом сертификатом или strongSwan са IKEv2 и аутентификацијом сертификатом или RADIUS-ом. Обе су другачије конфигурације које траже организационо одобрење, а не претварање које се добија преименовањем старог Entra профила.
Ако је пријава преко Entra обавезна из политичких разлога, власник мора да изабере подржану платформу или одобрен алтернативни дизајн. То је одлука, а не заобилажење.
Генеришите профил и обавите четири провере
Када је комбинација утврђена, генеришите конфигурацију клијента са предвиђеног пролаза и увезите приказ документован за тај клијент и метод. Општа OpenVPN фасцикла и XML профил Azure VPN Client-а нису заменљиви. Ако пролаз намерно омогућава неколико типова аутентификације, изаберите одговарајући профил и пут акредитива уместо да очекујете да ће једна веза задовољити све. Затим обавите провере овим редоследом:
- Подржани клијент увози генерисани профил без његовог уређивања.
- Предвиђени идентитет се аутентификује методом који тај профил очекује.
- Потребна политика рута и резолвера појављује се на клијенту.
- Дозвољена апликација достиже свој приватни ресурс.
Успешан увоз не доказује ни компатибилност аутентификације ни ауторизацију приватног ресурса, зато те четири провере остају одвојене.