Автентифікація клієнта Azure P2S: Entra, сертифікат або RADIUS
Вхід через Entra, клієнтські сертифікати та RADIUS потребують різних клієнтів і профілів Azure VPN. Спершу виберіть метод, потім клієнт, потім профіль.
Інсталятор запускається, профіль імпортується, а з'єднання зривається на кроці входу. Більшість таких звернень — не помилка клієнта: застосунок, сумісний з OpenVPN, може нести тунель і все одно не знати, як виконати вхід Microsoft Entra. Порядок, який позбавляє від циклу, — метод, потім клієнт, потім профіль. Виберіть метод автентифікації, для якого налаштовано шлюз, виберіть клієнт, який Microsoft документує для цього методу, і лише потім створіть профіль, якого очікує цей клієнт. Усе нижче дотримується цього порядку.
Починайте з методу, а не з інсталятора
Шлюз налаштований з одним або кількома типами тунелю та методами автентифікації. Саме ця пара, а не розширення файлу на робочому столі, визначає, які клієнти підтримуються.
Запишіть пару до того, як щось завантажити, бо матриця підтримки вузька, а неправильний старт коштує півдня.
Ось зіставлення, яке я тримаю в нотатках про розгортання:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Читайте цю таблицю як обмеження, а не як меню. Кожен рядок — документована комбінація, і змішування клієнта з одного рядка з методом з іншого — саме та помилка, для запобігання якій існує ця стаття.
Entra ID означає OpenVPN плюс Azure VPN Client
Для автентифікації Entra на з'єднанні «точка — сайт» підтримувана схема використовує тип тунелю OpenVPN і Azure VPN Client. Звичайний діалог імені користувача й пароля не замінює цю інтеграцію, а вбудований у Windows IKEv2 не є взаємозамінним способом виконати той самий вхід. Якщо сторонній клієнт пропонує варіант Entra або Azure AD, перевірте його за актуальною документацією Microsoft, а не за етикеткою. Етикетка — це маркетинг, а документована комбінація — це договір.
На macOS Azure VPN Client також є документованим шляхом для цього методу.
Сертифікатам потрібні клієнтські облікові дані, а не лише корінь
Автентифікація за сертифікатами — окрема підтримувана модель, і вона працює з клієнтами OpenVPN, які документує Microsoft, і з Azure VPN Client на підтримуваних платформах. У Windows Azure VPN Client не лише для Entra: у нього є й документований робочий процес із сертифікатами. Йому потрібен цільовий клієнтський сертифікат з придатним закритим ключем, якому довіряє шлюз. Довірений корінь шлюзу — не клієнтські облікові дані, а ключ підпису видавця ніколи не входить до клієнтського пакета.
Перевірте ланцюжок, перш ніж налагоджувати профіль. Сертифікат, виданий коренем, якому шлюз не довіряє, дає збій, що виглядає як поганий профіль, а насправді є проблемою довіри.
Тримайте закритий ключ неекспортованим там, де платформа це дозволяє, і тестуйте із сертифікатом, фактично встановленим для поточного користувача.
RADIUS — це вибір бекенду з власними комбінаціями
RADIUS переносить рішення про облікові дані на сервер, який ви обслуговуєте самі, і документований з конкретними типами тунелю та клієнтами. Він не стає автоматично правильною відповіддю лише тому, що в середовищі кілька операційних систем. Визначте, що реальний клієнт може пред'явити, перш ніж змінювати політику автентифікації шлюзу, бо перемикання шлюзу на RADIUS не пристосовує кожен наявний профіль. Клієнт усе одно має вміти запросити або надати ці облікові дані.
Якщо причина — змішане середовище, вирішуйте це за платформами, а не послаблюйте політику шлюзу для всіх.
Linux після припинення попереднього перегляду у 2026 році
Рекомендації Microsoft щодо припинення підтримки Linux називають 31 серпня 2026 року датою припинення попереднього перегляду Azure VPN Client для Linux, тож із листопада 2026 року цей перегляд уже позаду. Наявні інсталяції можуть продовжувати працювати, але більше не отримують підтримки, оновлень чи виправлень безпеки. Не роздавайте старий інсталятор Linux як підтримуване нове розгортання. Це припинення клієнта, а не Azure VPN Gateway чи клієнтів для Windows і macOS.
Документовані альтернативи для Linux — клієнт OpenVPN з автентифікацією за сертифікатом або strongSwan з IKEv2 та автентифікацією за сертифікатом чи RADIUS. Обидві — інші конфігурації, що потребують організаційного схвалення, а не перетворення, яке отримують перейменуванням старого профілю Entra.
Якщо вхід через Entra обов'язковий з політичних причин, власник має вибрати підтримувану платформу або затверджений альтернативний дизайн. Це рішення, а не обхідний шлях.
Створіть профіль і виконайте чотири перевірки
Коли комбінацію визначено, створіть конфігурацію клієнта з потрібного шлюзу й імпортуйте подання, документоване для цього клієнта та методу. Загальна тека OpenVPN і XML-профіль Azure VPN Client не взаємозамінні. Якщо шлюз навмисно вмикає кілька типів автентифікації, вибирайте відповідний профіль і шлях облікових даних, а не розраховуйте, що одне з'єднання задовольнить усі. Потім виконайте перевірки в такому порядку:
- Підтримуваний клієнт імпортує створений профіль без його редагування.
- Цільова особа автентифікується методом, якого очікує цей профіль.
- Потрібна політика маршрутів і розв'язувача з'являється на клієнті.
- Дозволений застосунок досягає свого приватного ресурсу.
Успішний імпорт не доводить ні сумісності автентифікації, ні авторизації для приватного ресурсу, тому ці чотири перевірки залишаються окремими.