Azure P2S istemci kimlik doğrulaması: Entra, sertifika veya RADIUS
Entra oturumu, istemci sertifikaları ve RADIUS farklı Azure VPN istemcileri ve profilleri gerektirir. Önce yöntemi, sonra istemciyi, sonra profili seçin.
Yükleyici çalışır, profil içe aktarılır ve bağlantı oturum açma adımında başarısız olur. Bu biletlerin çoğu istemcideki bir hata değildir: OpenVPN uyumlu bir uygulama tüneli taşıyabilir ama yine de Microsoft Entra oturumunun nasıl yapılacağını bilmeyebilir. Döngüden kaçınan sıra yöntem, sonra istemci, sonra profildir. Ağ geçidinin yapılandırıldığı kimlik doğrulama yöntemini seçin, Microsoft'un o yöntem için belgelediği bir istemci seçin ve ancak bundan sonra o istemcinin beklediği profili oluşturun. Aşağıdaki her şey bu sırayı izler.
Yükleyiciden değil, yöntemden başlayın
Ağ geçidi bir veya daha fazla tünel türü ve kimlik doğrulama yöntemiyle yapılandırılmıştır. Masaüstünüzdeki dosya uzantısı değil, bu çift hangi istemcilerin desteklendiğini belirler.
Bir şey indirmeden önce çifti yazın, çünkü destek matrisi dardır ve yanlış başlangıç yarım güne mal olur.
Dağıtım notlarında tuttuğum eşleme şudur:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Bu tabloyu menü olarak değil, kısıt olarak okuyun. Her satır belgelenmiş bir kombinasyondur ve bir satırdaki istemciyi başka bir satırdaki yöntemle karıştırmak, bu makalenin önlemek için var olduğu hatanın ta kendisidir.
Entra ID, OpenVPN artı Azure VPN Client anlamına gelir
Noktadan siteye Entra kimlik doğrulaması için desteklenen düzen OpenVPN tünel türünü ve Azure VPN Client'ı kullanır. Genel bir kullanıcı adı ve parola iletişim kutusu bu tümleşimin yerini tutmaz ve Windows'un yerleşik IKEv2'si aynı oturumu açmanın değiştirilebilir bir yolu değildir. Üçüncü taraf bir istemci Entra veya Azure AD seçeneği sunuyorsa, bunu etikete göre değil Microsoft'un güncel belgelerine göre doğrulayın. Etiket pazarlamadır, belgelenmiş kombinasyon ise sözleşmedir.
macOS'ta da Azure VPN Client bu yöntem için belgelenmiş yoldur.
Sertifikalar istemci kimlik bilgisi gerektirir, yalnızca kök değil
Sertifika kimlik doğrulaması ayrı bir desteklenen modeldir ve Microsoft'un belgelediği OpenVPN istemcileriyle ve desteklenen platformlarda Azure VPN Client ile çalışır. Windows'ta Azure VPN Client yalnızca Entra için değildir: belgelenmiş bir sertifika iş akışı da vardır. İhtiyaç duyduğu şey, ağ geçidinin güvendiği, kullanılabilir özel anahtara sahip amaçlanan istemci sertifikasıdır. Ağ geçidinin güvenilen kökü istemci kimlik bilgisi değildir ve verenin imzalama anahtarı hiçbir zaman istemci paketine ait değildir.
Profili ayıklamadan önce zinciri kontrol edin. Ağ geçidinin güvenmediği bir kök tarafından verilen sertifika, kötü profil gibi görünen ama aslında güven sorunu olan bir hataya yol açar.
Özel anahtarı platformun izin verdiği yerde dışa aktarılamaz tutun ve geçerli kullanıcı için gerçekten yüklenmiş sertifikayla test edin.
RADIUS kendi kombinasyonlarına sahip bir arka uç seçimidir
RADIUS, kimlik bilgisi kararını sizin işlettiğiniz bir sunucuya taşır ve belirli tünel türleri ve istemcilerle belgelenmiştir. Ortamda birkaç işletim sistemi olduğu için otomatik olarak doğru yanıt değildir. Ağ geçidinin kimlik doğrulama ilkesini değiştirmeden önce gerçek istemcinin ne sunabileceğini belirleyin, çünkü ağ geçidini RADIUS'a geçirmek mevcut her profili uyarlamaz. İstemci yine de bu kimlik bilgilerini isteyebilmeli veya sağlayabilmelidir.
Neden karma bir ortamsa, ağ geçidi ilkesini herkes için zayıflatmak yerine platform bazında çözün.
2026 önizlemesinin kaldırılmasından sonra Linux
Microsoft'un Linux'un kaldırılmasına ilişkin kılavuzu Linux için Azure VPN Client önizlemesinin kaldırılma tarihi olarak 31 Ağustos 2026'yı verir, bu nedenle Kasım 2026 itibarıyla o önizleme geride kaldı. Mevcut kurulumlar çalışmaya devam edebilir, ancak artık destek, güncelleme veya güvenlik düzeltmesi almazlar. Eski bir Linux yükleyicisini desteklenen yeni bir dağıtım olarak dağıtmayın. Bu bir istemcinin kaldırılmasıdır, Azure VPN Gateway'in veya Windows ve macOS istemcilerinin kaldırılması değildir.
Belgelenmiş Linux alternatifleri sertifika kimlik doğrulamalı bir OpenVPN istemcisi veya IKEv2 ve sertifika ya da RADIUS kimlik doğrulamalı strongSwan'dır. İkisi de kurumsal onay gerektiren farklı yapılandırmalardır; eski Entra profilinin adını değiştirerek elde edilen bir dönüşüm değildir.
Entra oturumu ilke gerekçeleriyle zorunluysa, sahibi desteklenen bir platform veya onaylanmış alternatif bir tasarım seçmelidir. Bu bir karardır, bir kaçınma yolu değildir.
Profili oluşturun ve dört kontrol yapın
Kombinasyon netleştikten sonra istemci yapılandırmasını amaçlanan ağ geçidinden oluşturun ve o istemci ve yöntem için belgelenmiş gösterimi içe aktarın. Genel OpenVPN klasörü ve Azure VPN Client XML profili birbirinin yerine kullanılamaz. Ağ geçidi bilerek birkaç kimlik doğrulama türünü etkinleştiriyorsa, tek bir bağlantının hepsini karşılamasını beklemek yerine eşleşen profili ve kimlik bilgisi yolunu seçin. Ardından kontrolleri şu sırayla yapın:
- Desteklenen istemci oluşturulan profili düzenlemeden içe aktarır.
- Amaçlanan kimlik, o profilin beklediği yöntemle kimlik doğrular.
- Gerekli yol ve çözümleyici ilkesi istemcide görünür.
- İzin verilen uygulama kendi özel kaynağına ulaşır.
Başarılı bir içe aktarma ne kimlik doğrulama uyumluluğunu ne de özel kaynak yetkilendirmesini kanıtlar, bu yüzden o dört kontrol ayrı kalır.